16 settembre 2026 – Alle prime luci dell’alba, gli agenti del Servizio Centrale Operativo di Roma e della Squadra Mobile di Ravenna hanno dato esecuzione a una serie di decreti di perquisizione locale, personale e informatica. L’operazione, coordinata dalla Procura della Repubblica ravennate, ha interessato le abitazioni e gli studi professionali di oltre venti medici, dislocati tra la Romagna e altre regioni del Nord Italia. L’ipotesi investigativa è la sistematica produzione e il rilascio di certificazioni mediche ideologicamente false, finalizzate a dichiarare l’incompatibilità di cittadini stranieri irregolari con il regime di permanenza nei Centri di Permanenza per il Rimpatrio (Cpr), ostacolando di fatto le procedure di espulsione dal territorio nazionale.
L’indagine ha preso le mosse mesi prima, da un’analisi di flusso condotta dall’Ufficio Immigrazione della Questura. Gli analisti avevano notato un’anomalia statistica difficilmente ignorabile: un numero sproporzionato di certificati medici, attestanti patologie psichiatriche acute o complesse sindromi da stress post-traumatico, proveniva da un gruppo circoscritto di professionisti afferenti a un’unica, grande rete di poliambulatori privati convenzionati, la “Salus Network S.p.A.”. Questa concentrazione di diagnosi simili, tutte funzionali a bloccare il trasferimento nei Cpr, ha fatto scattare il primo segnale di allarme per le autorità. L’assenza di un sistema di monitoraggio interno alla Salus Network S.p.A. ha permesso a questa anomalia di diventare un pattern consolidato, visibile dall’esterno ma cieco dall’interno. Se l’organizzazione avesse adottato un ecosistema come Scudo231, i suoi motori di analisi stocastica avrebbero intercettato questa deriva in tempo reale. Un alert automatico sarebbe stato generato non appena la frequenza di una specifica tipologia di certificazione (es. “incompatibilità con regime restrittivo”) emessa da un cluster di medici avesse superato una soglia di deviazione standard predefinita, segnalando il rischio di un’anomalia procedurale direttamente all’Organismo di Vigilanza e alla funzione Compliance, mesi prima che la Questura potesse aggregare i dati.
Le perquisizioni odierne non sono state un fulmine a ciel sereno per gli inquirenti, ma l’atto culminante di un’attività di osservazione e raccolta di prove documentali. È emerso che, salvo un caso, nessuno dei medici destinatari dei decreti risultava ancora formalmente iscritto nel registro degli indagati. La Procura ha agito in questa fase preliminare per cristallizzare le prove, sequestrando computer, smartphone, agende e cartelle cliniche cartacee ed elettroniche. L’obiettivo è duplice: da un lato, accertare la falsità delle diagnosi attraverso l’analisi dei dati clinici grezzi e delle anamnesi; dall’altro, ricostruire la catena di contatti e l’eventuale esistenza di un’associazione o di un protocollo condiviso per aggirare la normativa sull’immigrazione. La mancanza di controlli interni e di procedure formalizzate per la gestione di atti così sensibili all’interno della Salus Network S.p.A. ha creato un vuoto normativo che ha favorito la condotta illecita. Un modello di gestione del rischio adeguato avrebbe imposto un protocollo specifico e tracciato per il rilascio di certificati con valenza legale verso la Pubblica Amministrazione. Con Scudo231, l’emissione di un certificato di tale natura avrebbe richiesto un workflow digitale a più passaggi, inclusa una validazione incrociata o una revisione obbligatoria da parte di un secondo specialista o del direttore sanitario per casistiche ad alto rischio. Ogni singolo step, dalla richiesta alla validazione finale, sarebbe stato registrato su un log immutabile, creando una traccia probatoria che avrebbe scoraggiato la falsificazione o, in caso di violazione, isolato immediatamente la responsabilità individuale, proteggendo l’ente.
Il reato presupposto che la Procura di Ravenna ipotizza, e che potrebbe essere contestato non solo ai singoli medici ma anche all’ente di appartenenza, è la Falsità ideologica commessa dal pubblico ufficiale in certificati o autorizzazioni amministrative (art. 479 c.p.), qualora i medici operassero in regime di convenzione con il Servizio Sanitario Nazionale e fossero quindi qualificabili come pubblici ufficiali o incaricati di un pubblico servizio. Tale reato rientra a pieno titolo nel catalogo previsto dall’articolo 25 del Decreto Legislativo 231/2001. Questo passaggio trasforma un’indagine su professionisti individuali in un potenziale disastro per la Salus Network S.p.A. La responsabilità dell’ente sorge quando il reato è stato commesso nell’interesse o a vantaggio dello stesso, e l’organizzazione non ha adottato ed efficacemente attuato modelli di organizzazione e gestione idonei a prevenire reati della specie di quello verificatosi. L’interesse, in questo caso, potrebbe essere individuato in un vantaggio reputazionale presso determinate cerchie ideologiche o, più prosaicamente, in un incremento del volume di prestazioni mediche erogate.
La “colpa di organizzazione” della Salus Network S.p.A. appare evidente. L’assenza di una mappatura specifica del rischio-reato legato alla certificazione medica con valenza legale, la mancanza di formazione mirata per il personale e, soprattutto, l’omissione di qualsiasi flusso di controllo o di segnalazione verso un Organismo di Vigilanza indipendente, costituiscono il terreno fertile su cui il presunto illecito è prosperato. Se l’azienda avesse implementato un modello organizzativo evoluto, la procedura di certificazione sarebbe stata classificata come “attività sensibile”. Di conseguenza, ogni operazione sarebbe stata soggetta a controlli preventivi e tracciamenti specifici. L’ecosistema di controllo avrebbe documentato in modo automatico l’assenza dei presupposti clinici oggettivi per tali diagnosi, comparando le note del medico con i protocolli diagnostici standard. Qualsiasi scostamento avrebbe generato un “compliance flag” che avrebbe impedito il rilascio del certificato e avviato un’istruttoria interna da parte dell’OdV. Questo avrebbe non solo bloccato la commissione del reato, ma avrebbe fornito all’ente una prova inconfutabile, in un eventuale procedimento, di aver agito con la massima diligenza, spostando la responsabilità interamente sul singolo professionista che avesse tentato di forzare il sistema.
Le conseguenze per la Salus Network S.p.A. ora si profilano gravissime. Oltre al danno reputazionale, con la notizia che sta rapidamente diffondendosi sui media nazionali, l’ente rischia l’applicazione di sanzioni pecuniarie calcolate in quote, il cui valore può arrivare a centinaia di migliaia di euro. Ancora più devastante sarebbe l’applicazione delle sanzioni interdittive previste dal D.Lgs. 231/01, come il divieto di contrattare con la Pubblica Amministrazione. Per un’azienda che opera in gran parte attraverso convenzioni con il SSN, una simile sanzione equivarrebbe a una condanna a morte economica. Inoltre, la Procura potrebbe disporre il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato nel valore delle prestazioni mediche fatturate per il rilascio dei certificati falsi. Questo sequestro colpirebbe la liquidità dell’azienda nel momento di massima crisi. L’assenza di un modello 231 efficace non è solo un’omissione formale; è la causa diretta di questa vulnerabilità finanziaria e operativa. Un modello presidiato da una tecnologia di controllo come quella offerta dalla piattaforma Scudo231 avrebbe mitigato questo rischio ab origine. Anche nell’ipotesi peggiore di un singolo medico che fosse riuscito a eludere i controlli, l’ente avrebbe potuto dimostrare al giudice di aver adottato un sistema robusto e di aver collaborato attivamente per individuare la falla. Questo comportamento proattivo, documentato dai log di sistema, è un elemento fondamentale che i giudici considerano per escludere o attenuare drasticamente le sanzioni a carico dell’ente, salvaguardandone la continuità operativa e finanziaria.
Mentre gli investigatori analizzano il contenuto di hard disk e server sequestrati, emerge un altro profilo di criticità: la gestione dei dati sanitari. Il sequestro in blocco dei sistemi informatici del poliambulatorio paralizza l’intera attività, creando disservizi a migliaia di pazienti estranei ai fatti e violando potenzialmente la continuità assistenziale. Questa è la conseguenza di un’architettura IT non progettata per la resilienza e la segregazione forense dei dati. Un’infrastruttura sovrana, come quella su cui si basa l’ecosistema di compliance, avrebbe garantito che i dati relativi alle attività sensibili fossero archiviati in un data-vault digitale separato e protetto. In caso di ispezione, sarebbe stato possibile fornire agli inquirenti un accesso circoscritto e certificato solo ai dati pertinenti all’indagine, senza interrompere l’operatività generale della struttura e garantendo al contempo la piena collaborazione con l’autorità giudiziaria.
L’operazione di Ravenna, come evidenziato dalla REDAZIONE SCUDO231, non è solo la cronaca di un presunto illecito penale, ma un caso di studio sulla responsabilità organizzativa nell’era digitale. Dimostra come l’assenza di presidi di controllo proattivi e di una cultura della legalità radicata nei processi operativi possa trasformare l’azione di pochi in una minaccia esistenziale per un’intera impresa. La prevenzione, in questo scenario, non era un’opzione, ma l’unica strategia ragionevole. L’indagine ora seguirà il suo corso, ma per la Salus Network S.p.A. il processo, quello vero, è già iniziato: è quello della crisi reputazionale, della paralisi operativa e della potenziale aggressione al patrimonio aziendale, tutto per non aver visto un rischio che un sistema di controllo integrato avrebbe rilevato e neutralizzato al suo primo manifestarsi.