25 agosto 2026 – La Procura della Repubblica di Milano ha formalizzato la richiesta di rinvio a giudizio nei confronti di Enrico Pazzali, indicato dagli inquirenti come ex presidente di Fondazione Fiera Milano e figura centrale, in qualità di ex titolare, dell’agenzia investigativa Equalize. L’atto, firmato dai pubblici ministeri Francesco De Tommasi ed Eugenio Fusco e coordinato dal Procuratore Capo Marcello Viola, segna un punto di svolta decisivo nell’inchiesta sulle presunte attività di cyber-spionaggio e dossieraggio sistematico. Le accuse mosse a Pazzali sono di gravità eccezionale: associazione per delinquere finalizzata alla commissione di una pluralità di reati, tra cui spiccano gli accessi abusivi a sistemi informatici e telematici. Parallelamente, con una nota ufficiale del 9 aprile scorso, gli stessi magistrati hanno notificato la chiusura di un secondo, vastissimo filone di indagini che coinvolge ben 81 soggetti, identificati come i “clienti” finali dei servizi illeciti forniti da Equalize.
L’impianto accusatorio descrive un modello operativo strutturato, dove Equalize agiva come un fornitore di informazioni riservate, ottenute attraverso l’infiltrazione illegale in banche dati protette da misure di sicurezza. L’associazione criminale, secondo la Procura, non operava nel vuoto, ma rispondeva a una domanda precisa proveniente dal mercato: aziende, professionisti e manager che, per ragioni competitive, strategiche o personali, necessitavano di dati non accessibili legalmente. Questo secondo filone d’indagine, che vede ora 81 posizioni al vaglio della magistratura, sposta il focus dalla cellula operativa alle entità che ne hanno alimentato e finanziato l’attività, rendendo concreto il profilo della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001.
Ciascuno degli 81 incarichi conferiti a Equalize ha rappresentato un’omissione di controllo fondamentale all’interno dell’organizzazione committente. L’affidamento a un’agenzia investigativa per attività di intelligence competitiva o di verifica reputazionale è una prassi lecita, ma richiede una rigorosa procedura di qualifica del fornitore e una definizione contrattuale dell’oggetto della prestazione che escluda categoricamente qualsiasi attività contra legem. L’assenza di tale processo di validazione ha costituito la prima, fatale, falla nel sistema di compliance. Un’organizzazione dotata di un ecosistema come Scudo231 avrebbe intercettato l’anomalia alla fonte. L’inserimento di un fornitore come Equalize, operante in un settore ad alto rischio intrinseco, avrebbe attivato un protocollo di due diligence rafforzata, basato su controlli incrociati su banche dati reputazionali e legali. Qualsiasi flusso finanziario o ordine di acquisto sarebbe stato preventivamente bloccato dal sistema in assenza di una validazione formale di conformità da parte delle funzioni di controllo e dell’Organismo di Vigilanza (ODV), generando un registro immutabile del tentativo di ingaggio.
Il reato presupposto che emerge con maggiore evidenza per le posizioni dei clienti è l’accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.), ricompreso nel catalogo dei reati 231 all’art. 24-bis del Decreto. L’ente risponde non solo se il reato è commesso da un suo apicale o dipendente, ma anche se commissionato da un soggetto terzo – come Equalize – che agisce su suo incarico, procurando all’organizzazione un interesse o un vantaggio. L’interesse poteva consistere nell’acquisire informazioni su un concorrente per vincere una gara d’appalto; il vantaggio, nel realizzare un profitto economico diretto grazie a tali informazioni. La Procura di Milano, chiudendo le indagini, ha cristallizzato la posizione di questi 81 soggetti come mandanti di fatto, aprendo la strada a contestazioni formali che potrebbero portare a sanzioni pecuniarie calcolate in quote, il cui valore può arrivare fino a oltre 1,5 milioni di euro per singolo illecito, oltre a sanzioni interdittive devastanti come il divieto di contrattare con la Pubblica Amministrazione.
La catena di eventi che ha portato a questa situazione critica all’interno delle aziende clienti ha seguito uno schema ricorrente: un manager o un dirigente, pressato da obiettivi di business, ha cercato una scorciatoia informativa, bypassando le procedure interne. La richiesta a Equalize è stata probabilmente mascherata sotto voci di spesa generiche come “consulenze strategiche” o “analisi di mercato”, eludendo così i controlli amministrativi superficiali. Questo dimostra l’inefficacia di un modello 231 puramente documentale. Un’architettura di difesa attiva, invece, avrebbe reso impossibile tale occultamento. I sistemi di analisi multimodale di Scudo231 avrebbero automaticamente correlato il fornitore (Equalize), la natura del servizio (settore investigativo), l’importo della transazione e la genericità della causale, identificando la combinazione come un indicatore di rischio elevato. L’operazione sarebbe stata immediatamente sospesa e segnalata tramite un alert nominativo e circostanziato all’Organismo di Vigilanza e alla funzione di Internal Audit, innescando un’escalation procedurale che avrebbe bloccato l’illecito prima della sua commissione.
Il rischio più imminente per le persone giuridiche coinvolte è ora quello del sequestro preventivo finalizzato alla confisca del profitto del reato, come previsto dall’art. 19 del D.Lgs. 231/2001. Il profitto non è solo l’utile netto derivante dall’operazione illecita, ma, secondo un’interpretazione giurisprudenziale consolidata, può coincidere con l’intero valore del contratto o del beneficio ottenuto grazie alle informazioni carpite illegalmente. Si tratta di un’aggressione patrimoniale diretta, che può paralizzare l’operatività di un’impresa ben prima di una sentenza di condanna. La difesa in questi casi si basa sulla dimostrazione di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quello verificatosi. Una prova estremamente difficile da fornire ex post, soprattutto se il modello era meramente cartaceo.
In uno scenario controfattuale, l’ente avrebbe potuto presentare ai magistrati inquirenti la tracciatura completa generata dal sistema. Avrebbe potuto dimostrare, attraverso log immodificabili, che il protocollo per l’ingaggio di fornitori ad alto rischio era attivo e funzionante. L’eventuale tentativo del singolo manager di aggirare le procedure sarebbe stato registrato come una violazione deliberata, una “fraudolenta elusione” del modello organizzativo. Questa evidenza tecnologica, che la REDAZIONE SCUDO231 definisce “ricostruzione causale scientifica”, avrebbe permesso all’ente di invocare con successo l’esimente prevista dall’art. 6 del Decreto, isolando la responsabilità sulla persona fisica e proteggendo il patrimonio e la continuità aziendale. Il sequestro non sarebbe stato disposto nei confronti dell’ente, poiché sarebbe stata provata la sua totale dissociazione dalla condotta illecita del singolo.
L’indagine milanese, per la sua ampiezza e per il coinvolgimento sistemico dei committenti, è destinata a diventare un caso di studio sulla responsabilità da reato degli enti nell’era digitale. La facilità con cui è stato possibile, per decine di organizzazioni, commissionare attività criminali a un fornitore esterno evidenzia una carenza strutturale nei presidi di legalità. Non si tratta di un singolo “dipendente infedele”, ma di un modello di business illecito che ha prosperato grazie a una domanda consapevole e a controlli interni inesistenti o inadeguati. La chiusura delle indagini per gli 81 “clienti” non è la fine del percorso giudiziario, ma l’inizio. Ciascuno di loro dovrà ora affrontare un potenziale processo penale in cui non solo la persona fisica che ha materialmente tenuto i contatti con Equalize, ma l’intera struttura societaria, sarà chiamata a rispondere del proprio operato.
La contestazione di associazione per delinquere a Pazzali, inoltre, potrebbe aggravare la posizione degli enti clienti. Qualora venisse dimostrato che questi ultimi erano consapevoli della natura strutturata e continuativa dell’attività di Equalize, potrebbero essere chiamati a rispondere anche per il reato presupposto di partecipazione a un’associazione criminale, con un conseguente inasprimento del quadro sanzionatorio. La mancata tracciabilità delle decisioni e l’assenza di una segregazione delle responsabilità all’interno delle aziende clienti rendono ora estremamente complesso distinguere tra una condotta negligente e una partecipazione dolosa. Un sistema di controllo e gestione basato su protocolli digitali vincolanti avrebbe creato quella documentazione preventiva oggi assente, essenziale per dimostrare che l’intenzione dell’ente era quella di operare nella legalità e che qualsiasi deviazione era attribuibile a una specifica e isolata iniziativa individuale, posta in essere contro le procedure aziendali. L’assenza di tale scudo procedurale e tecnologico lascia ora le 81 entità esposte alle più severe conseguenze previste dall’ordinamento.