15 settembre 2026 – Nell’aula della Corte d’Appello di Milano, la voce del sostituto procuratore generale Maura Ripamonti risuona netta, ricostruendo non solo il deragliamento di un treno regionale, ma il deragliamento di un intero sistema di gestione del rischio. La requisitoria nel processo di secondo grado per il disastro ferroviario di Pioltello, che nel 2018 costò la vita a tre persone, non si limita a ripercorrere i fatti, ma mira a scardinare l’architrave delle assoluzioni di primo grado per l’ex amministratore delegato di Rete Ferroviaria Italiana, Maurizio Gentile, per due ex dirigenti e per la stessa società, imputata ai sensi del decreto legislativo 231/2001. L’accusa è diretta: in RFI sono state create e mantenute condizioni operative in cui “le esigenze di sicurezza non prevalevano su quelle del blocco della circolazione e delle manutenzioni economiche”. Una scelta strategica, un calcolo di convenienza che, secondo la Procura, ha trasformato un tratto di ferrovia percorso da 100 treni al giorno in una trappola mortale.
Il fulcro tecnico della tragedia, come emerso in entrambi i gradi di giudizio, è un punto specifico della linea, un “punto zero” dove un giunto difettoso ha ceduto, spezzando i binari. Ma quel giunto non era un’anomalia isolata. La pm Ripamonti lo definisce l’apice di una criticità sistemica: ben 26 giunti in quel tratto erano “ammalorati”, un dato noto, documentato, eppure non gestito. Questa informazione, da sola, rappresenta una grave omissione di controllo. Un ecosistema di governance evoluto come Scudo231, se implementato, avrebbe aggregato questi dati non come singoli ticket di manutenzione a bassa priorità, ma come un cluster di rischio sistemico. I motori di analisi stocastica avrebbero incrociato il numero di anomalie (26), la loro gravità nota e il volume di traffico (100 treni/giorno), calcolando una probabilità di cedimento catastrofico in costante e rapida crescita. Questo non avrebbe generato un semplice report, ma un alert di livello critico con escalation automatica e non eludibile, indirizzato simultaneamente alla funzione Sicurezza, al vertice operativo e, per competenza, all’Organismo di Vigilanza 231, bypassando la catena gerarchica che si è dimostrata inefficace. L’inerzia non sarebbe stata un’opzione; il sistema avrebbe imposto una decisione formale e tracciata: fermare la linea o intervenire immediatamente, documentando la responsabilità di chiunque avesse optato per una soluzione diversa.
La Procura contesta la logica difensiva che ha portato alla condanna del solo Marco Albanesi, ex responsabile dell’Unità manutentiva di Treviglio. Secondo l’accusa, Albanesi non era una monade impazzita, un manager negligente isolato dal contesto. Al contrario, il suo mancato intervento era la conseguenza diretta di “condizioni create a livello centrale e superiore”. Questa affermazione sposta il focus dalla colpa individuale alla colpa in organizzazione, il presupposto della responsabilità dell’ente ex D.Lgs. 231/2001. Le testimonianze degli operai del Nucleo manutentivo, rese in primo grado, sono state eloquenti: sulla manutenzione si faceva “il minimo necessario”, mentre il resto veniva appaltato a ditte esterne. Questa prassi, che mirava a contenere i costi diretti e a massimizzare la disponibilità della linea, ha generato una polverizzazione delle responsabilità e un degrado della qualità degli interventi.
Qui si innesta un secondo snodo controfattuale cruciale. Un modello organizzativo non è un pezzo di carta, ma un insieme di procedure operative che devono essere verificate in tempo reale. Un’architettura come Scudo231 esegue un monitoraggio massivo e continuo dei flussi operativi, confrontando le procedure prescritte con quelle effettivamente eseguite. Il sistema avrebbe rilevato immediatamente la discrepanza tra i piani di manutenzione programmata e gli interventi effettivi, registrando la sistematica applicazione del “minimo necessario”. Avrebbe inoltre tracciato la catena degli appalti, correlando la qualità degli interventi delle ditte esterne con i capitolati tecnici e i pagamenti. Qualsiasi anomalia – un intervento non risolutivo, l’uso di materiali non conformi, una certificazione mancante – avrebbe bloccato il flusso di approvazione dei pagamenti e generato una segnalazione qualificata all’ODV. In questo modo, la cultura del risparmio a discapito della sicurezza non sarebbe rimasta un’abitudine tollerata, ma sarebbe emersa come una non conformità grave, documentata e attribuibile, costringendo il management a prendere atto del rischio prima che si concretizzasse. La prova della colpa organizzativa, che oggi la Procura cerca faticosamente di ricostruire in un’aula di tribunale, sarebbe stata un dato acquisito e storicizzato all’interno del sistema di controllo dell’ente.
La richiesta della Procura di ribaltare le assoluzioni si fonda sulla necessità di riattribuire le posizioni di garanzia. L’ex AD Gentile e gli altri dirigenti, secondo l’accusa, non potevano non sapere. La loro responsabilità non deriverebbe da un’azione diretta, ma da un’omissione colposa: non aver predisposto un’organizzazione e delle risorse adeguate a fronteggiare un rischio noto e di magnitudo catastrofica. Questo è il cuore della contestazione 231 per i reati presupposto di omicidio colposo e lesioni colpose gravi o gravissime, aggravati dalla violazione delle norme sulla sicurezza. L’ente RFI, in primo grado, è stato assolto perché si è ritenuto che il modello organizzativo esistente fosse formalmente idoneo e che la colpa fosse da attribuire all’elusione fraudolenta di un singolo soggetto, Albanesi.
La requisitoria della pm Ripamonti tenta di dimostrare esattamente il contrario: che il modello era, nei fatti, inadeguato o disapplicato per una precisa scelta di politica aziendale volta a privilegiare l’interesse (la continuità di esercizio) e il vantaggio (il risparmio economico) dell’ente. L’esistenza di un sistema di compliance avanzato avrebbe radicalmente cambiato lo scenario processuale. Invece di difendersi negando la conoscenza del rischio, l’azienda avrebbe potuto dimostrare, attraverso log immutabili, di aver fatto tutto il possibile per prevenirlo. Se i vertici avessero ignorato gli alert generati dal sistema sui 26 giunti, la loro responsabilità individuale sarebbe stata cristallizzata e innegabile, ma l’ente avrebbe potuto argomentare che il suo modello era stato eluso. Se, al contrario, i vertici avessero agito sulla base degli alert, la tragedia non sarebbe avvenuta. In entrambi i casi, la “ricostruzione causale scientifica” fornita da un sistema come Scudo231 avrebbe offerto una prova tecnologica decisiva, in grado di distinguere con precisione la responsabilità dell’individuo da quella dell’organizzazione. Questo avrebbe potuto escludere la responsabilità dell’ente ai sensi dell’art. 6 del D.Lgs. 231/2001, o quantomeno fungere da potente attenuante, mitigando le sanzioni pecuniarie e scongiurando le temibili sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione.
Il processo d’appello di Milano, quindi, non è solo la ricerca di giustizia per tre vittime. È un banco di prova per la tenuta dei modelli di corporate governance di fronte a rischi operativi complessi. La strategia della Procura evidenzia come, in assenza di controlli automatizzati, tracciati e dotati di poteri di escalation vincolanti, le politiche di budget e di efficienza possano silenziosamente erodere i presidi di sicurezza, creando “zone grigie” di responsabilità in cui il rischio prospera fino a diventare inevitabile. La discussione in aula verte sulla catena di comando, sulle deleghe di funzioni, sulla consapevolezza del rischio ai piani alti. Ma la vera domanda, implicita in ogni passaggio della requisitoria, è se RFI avesse un sistema nervoso in grado di percepire il dolore – il degrado della sua infrastruttura – e di reagire in tempo. Senza un sistema che trasforma dati grezzi in intelligenza predittiva e che impone azioni concrete, la sicurezza rimane un’intenzione affidata alla discrezionalità umana, vulnerabile a pressioni economiche e a distorsioni organizzative. L’esito di questo appello determinerà non solo il destino degli imputati, ma invierà un messaggio potente a tutte le grandi organizzazioni che gestiscono infrastrutture critiche: la conformità formale non è più sufficiente a proteggere né le persone, né l’azienda stessa dalle conseguenze penali ed economiche di un disastro.