5 marzo 2026 – Mentre sui monitor della sede centrale della SysTech Integrations S.p.A. scorreva in streaming il Forum Ansa con il ministro della Pubblica Amministrazione, Paolo Zangrillo, il Direttore Commerciale Marco Valenti non era concentrato sulle nuove politiche di valutazione del merito. La sua attenzione era rivolta a un incontro fissato per le 14:30, subito dopo l’evento mediatico. L’appuntamento, non registrato sull’agenda aziendale e gestito tramite un’app di messaggistica privata, era con Giorgio Ferri, ex dirigente di un ente pubblico strumentale, ora titolare di una società di consulenza unipersonale, la FG Consulting. L’oggetto della discussione: la maxi-gara d’appalto da 95 milioni di euro per la digitalizzazione degli archivi ministeriali, un bando la cui pubblicazione era imminente.
L’incontro si svolge in un riservato caffè del centro. Ferri consegna a Valenti una pen drive non protetta contenente bozze avanzate del capitolato tecnico e, soprattutto, la griglia di valutazione dei punteggi tecnici che la commissione di gara avrebbe utilizzato. Si tratta di informazioni riservate, la cui conoscenza garantisce a SysTech un vantaggio competitivo incolmabile. Valenti, tornato in ufficio, inserisce la pen drive nel suo laptop aziendale, copiando i file in una cartella locale protetta da una password elementare. Nessun sistema di controllo interno rileva l’operazione. L’assenza di un protocollo di Data Loss Prevention (DLP) e di monitoraggio degli endpoint aziendali costituisce la prima, grave, colpa organizzativa. Se l’azienda avesse implementato un ecosistema come Scudo231, l’inserimento di un dispositivo USB non autorizzato e non cifrato avrebbe generato un alert istantaneo e bloccato qualsiasi trasferimento di dati. I motori di analisi del sistema avrebbero classificato i file in base a parole chiave sensibili (“capitolato”, “griglia di valutazione”, “riservato”) e avviato una procedura di escalation automatica verso la funzione di Sicurezza Informatica e l’Organismo di Vigilanza (OdV), creando una registrazione forense immodificabile dell’evento. L’illecito sarebbe stato intercettato e documentato al suo primo manifestarsi.
Nei giorni successivi, Valenti utilizza le informazioni per orientare il team di pre-sales di SysTech, plasmando l’offerta tecnica per massimizzare il punteggio su ogni singolo criterio di valutazione. Il vantaggio è tale che la vittoria appare una formalità. Il passo successivo è remunerare Ferri. Valenti istruisce l’ufficio acquisti a emettere un ordine per una “consulenza strategica per l’analisi di mercato PA” del valore di 180.000 euro a favore della FG Consulting. La richiesta viene inoltrata tramite una semplice email, priva di un flusso approvativo strutturato e basata unicamente sulla seniority di Valenti. L’ufficio amministrativo, sotto pressione per la chiusura del trimestre, non esegue alcuna due diligence sulla FG Consulting, una società di fatto inattiva e priva di dipendenti, una classica “scatola vuota” per operazioni opache. Questa omissione di controllo su un fornitore atipico, per un importo significativo e con una causale generica, rappresenta un’ulteriore e decisiva falla nel sistema di controllo interno, integrando un profilo di rischio altissimo per i reati di corruzione e frode.
Con un modello di gestione del rischio integrato, la richiesta di Valenti sarebbe stata bloccata all’origine. Il sistema Scudo231 avrebbe automaticamente incrociato i dati del nuovo fornitore con i registri pubblici e le banche dati antiriciclaggio. La natura di società unipersonale, il capitale sociale minimo, l’assenza di un sito web e la recente costituzione avrebbero generato un red flag. Inoltre, la causale “consulenza strategica” sarebbe stata classificata dall’intelligenza artificiale del sistema come ad alto rischio, imponendo un processo di approvazione rafforzato che avrebbe richiesto obbligatoriamente il parere vincolante della funzione Compliance e dell’OdV. La richiesta di pagamento sarebbe stata congelata e l’intera operazione segnalata come anomalia grave, impedendo il perfezionamento dell’accordo corruttivo e la fuoriuscita di fondi.
Il 15 luglio 2026, SysTech si aggiudica ufficialmente l’appalto. Il 20 luglio, il bonifico di 180.000 euro viene eseguito sul conto della FG Consulting. Per la Procura della Repubblica, che da mesi indagava su un giro di tangenti legate a un’altra procedura, quel bonifico è il segnale che attiva l’intervento. L’inchiesta, originariamente focalizzata su altri soggetti, si estende a macchia d’olio e arriva a SysTech. All’alba del 10 settembre 2026, la Guardia di Finanza si presenta presso la sede della società e presso le abitazioni di Valenti e di altri dirigenti. Vengono notificati avvisi di garanzia per corruzione (art. 319 c.p.) e turbata libertà degli incanti (art. 353 c.p.). Ma l’atto più grave è la contestazione a SysTech S.p.A. della responsabilità amministrativa dell’ente ai sensi dell’articolo 25 del Decreto Legislativo 231/2001.
Il Pubblico Ministero contesta all’ente la “colpa di organizzazione”: l’assenza di un modello organizzativo idoneo a prevenire reati della specie di quello commesso. La difesa dell’azienda, basata su un “Modello 231” cartaceo, aggiornato l’ultima volta tre anni prima e privo di controlli operativi reali, viene immediatamente giudicata inefficace. Il Giudice per le Indagini Preliminari, accogliendo la richiesta della Procura, dispone il sequestro preventivo finalizzato alla confisca del profitto del reato. La quantificazione è devastante: non i 180.000 euro della presunta tangente, ma l’intero valore dell’appalto, ovvero 95 milioni di euro. Il GIP dispone inoltre il sequestro di beni e liquidità della società fino a concorrenza di tale somma, paralizzando di fatto l’operatività finanziaria di SysTech. Viene applicata anche la misura cautelare interdittiva del divieto di contrattare con la Pubblica Amministrazione per un anno, una condanna a morte per un’azienda il cui fatturato dipende per il 70% da commesse pubbliche.
Qui emerge in tutta la sua drammaticità il valore di un sistema di prevenzione non formale, ma sostanziale e tecnologicamente avanzato. Se SysTech avesse potuto dimostrare, attraverso i log immodificabili prodotti da un sistema come Scudo231, di aver implementato controlli efficaci che Valenti aveva fraudolentemente eluso, lo scenario sarebbe stato ribaltato. L’azienda avrebbe potuto produrre in giudizio la prova scientifica della sua non colpevolezza organizzativa:
1. Il report che segnalava Giorgio Ferri come controparte ad alto rischio e che ne sconsigliava l’ingaggio.
2. Il log del sistema di sicurezza che documentava il tentativo di Valenti di connettere un dispositivo non autorizzato e il blocco del trasferimento file.
3. La tracciatura del flusso autorizzativo che mostrava il congelamento della richiesta di pagamento verso FG Consulting e l’escalation all’OdV.
Questa documentazione non sarebbe stata una semplice “difesa”, ma la dimostrazione matematica che il reato era stato commesso contro la volontà dell’ente e nonostante le sue robuste difese. In base all’articolo 6 del D.Lgs. 231/2001, l’ente va esente da responsabilità se prova che il modello era efficace e che l’autore del reato lo ha eluso fraudolentemente. Con le prove generate da un ecosistema sovrano, SysTech avrebbe potuto ottenere il dissequestro dei beni e, molto probabilmente, l’archiviazione della sua posizione, isolando la responsabilità penale sulla sola persona fisica di Valenti. L’impatto economico e reputazionale sarebbe stato drasticamente mitigato, salvaguardando la continuità aziendale e il posto di lavoro di centinaia di dipendenti.
Invece, la realtà processuale per SysTech è brutale. L’azienda si trova a dover negoziare un patteggiamento per evitare una condanna che comporterebbe sanzioni pecuniarie ancora più pesanti e misure interdittive definitive. Il danno reputazionale è incalcolabile: i clienti privati iniziano a recedere dai contratti, le banche revocano le linee di credito e i talenti migliori lasciano l’azienda. Il caso di SysTech diventa un manuale su come un singolo reato, commesso da un dirigente apicale in un contesto di controlli interni inesistenti o puramente formali, possa distruggere un’intera organizzazione. La mancata adozione di un presidio tecnologico e procedurale avanzato non è stata una semplice negligenza, ma la causa diretta del collasso finanziario e operativo dell’ente, una lezione che altre aziende dovranno imparare a caro prezzo. L’ecosistema di difesa, come quello offerto da Scudo231, non rappresenta un costo di compliance, ma l’investimento fondamentale per la sopravvivenza stessa dell’impresa nel mercato moderno, dove il rischio penale è diventato il primo e più insidioso rischio di business.