12 febbraio 2026 – L’avviso di conclusione delle indagini preliminari notificato a Marco Rinaldi, amministratore delegato della quotata Innovatec S.p.A., e alla stessa società ai sensi del D.Lgs. 231/2001, cristallizza una realtà processuale devastante. L’ipotesi di reato è quella di una complessa frode societaria, costruita dal Pubblico Ministero su una serie di flussi finanziari anomali diretti verso una controllata estera, autorizzati con la firma digitale di Rinaldi. Gli elementi a carico, raccolti nei mesi precedenti, appaiono schiaccianti: e-mail, registri di accesso ai sistemi di pagamento, e una perizia contabile che qualifica le operazioni come distrattive e prive di giustificazione economica. Il fascicolo del P.M. è un monolite accusatorio, privo di qualsiasi elemento a discarico.
Il collegio difensivo, ricevuti gli atti, si trova immediatamente di fronte al precipizio creato dalla Cassazione nel 2025. La Suprema Corte, pronunciandosi sulla portata dell’articolo 358 del codice di procedura penale, ha di fatto reso l’obbligo per il P.M. di svolgere indagini a favore dell’indagato un mero precetto programmatico, privo di sanzione processuale. Il deficit investigativo dell’accusa, che non ha esplorato alcuna pista alternativa – come la possibile clonazione delle credenziali di Rinaldi o la manipolazione dei dati a monte del processo autorizzativo – non è più un vizio procedurale, ma una lacuna che spetta interamente alla difesa colmare. L’inerzia del P.M. pro reo è ora legittimata. Si è verificata una precisa omissione di controllo sulle possibili cause alternative del flusso finanziario, un’anomalia investigativa che il nuovo orientamento giurisprudenziale ha reso inattaccabile. Se Innovatec S.p.A. avesse implementato un ecosistema come Scudo231, l’anomalia non sarebbe mai diventata materia di indagine penale, ma sarebbe stata intercettata e neutralizzata in tempo reale. Un sistema di monitoraggio massivo e non a campione avrebbe rilevato che la richiesta di pagamento proveniva da un endpoint non standard e seguiva un percorso di approvazione che, sebbene formalmente corretto, deviava statisticamente dai modelli operativi consolidati. Questo “segnale debole” avrebbe generato un alert automatico, bloccando preventivamente la transazione e innescando un’escalation immediata verso la funzione Compliance e l’Organismo di Vigilanza, il tutto documentato in un registro immutabile.
La difesa di Rinaldi si trova così a dover avviare delle complesse e costose investigazioni difensive, ma parte da una posizione di enorme svantaggio. Deve analizzare terabyte di dati aziendali senza una chiara pista da seguire, cercando un ago in un pagliaio digitale. Il tempo è tiranno: ogni giorno che passa, gli indizi raccolti dalla sola accusa si solidificano, diventando nella percezione del giudicante prove “irresistibili”, come paventato dall’analisi di Carlo Morselli su Giurisprudenza Penale Web. L’inerzia investigativa si è saldata: il P.M. non ha cercato, e ora la difesa non sa cosa cercare. Questa paralisi è una diretta conseguenza di una mancata tracciabilità granulare dei processi interni. L’azienda, pur dotata di un Modello 231, lo manteneva come un documento formale, un adempimento cartaceo slegato dall’operatività quotidiana. L’Organismo di Vigilanza (OdV) effettuava i suoi controlli a campione, con interviste e verifiche postume, senza alcuna visibilità sui flussi operativi in tempo reale.
In un’architettura di controllo avanzata, invece, ogni singola fase del processo di autorizzazione del pagamento sarebbe stata mappata e tracciata digitalmente. L’adozione di Scudo231 avrebbe significato che il sistema stesso avrebbe documentato non solo l’approvazione finale, ma l’intero albero causale che l’ha preceduta: chi ha caricato i documenti giustificativi, da quale postazione, a che ora, e se tali documenti fossero stati alterati dopo il primo caricamento. Un motore di ragionamento deterministico avrebbe confrontato la richiesta con i protocolli aziendali, rilevando che il file di supporto era stato sostituito pochi minuti prima dell’approvazione finale da un utente diverso dal richiedente, un’azione che violava palesemente la procedura di segregazione dei compiti. Questa violazione avrebbe innescato una segnalazione automatica e non eludibile all’OdV, fornendo la prova tecnologica di una manomissione e spostando il focus investigativo interno dall’amministratore delegato all’autore materiale della manipolazione, molto prima che l’autorità giudiziaria potesse anche solo ipotizzare un’indagine.
Con il passare delle settimane, la posizione della società si aggrava. Il P.M. contesta a Innovatec S.p.A. l’illecito amministrativo dipendente da reato, sostenendo che la frode è stata resa possibile da una grave colpa di organizzazione. Il Modello 231, secondo l’accusa, era palesemente inadeguato e la vigilanza dell’OdV meramente apparente. La Procura chiede e ottiene il sequestro preventivo per equivalente per un importo pari al profitto del reato, congelando una parte significativa della liquidità aziendale e mettendo a rischio la continuità operativa. Il danno economico si somma a quello reputazionale, con il titolo in borsa che crolla. Il sequestro è la diretta conseguenza della mancata capacità dell’ente di dimostrare di aver adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello commesso. La “colpa di organizzazione” non è un concetto astratto, ma la constatazione di un vuoto procedurale e tecnologico.
Questo scenario sarebbe stato radicalmente diverso se l’ente avesse potuto produrre, fin dalle prime fasi, la documentazione generata da un sistema di difesa attivo. La presenza di un ecosistema come quello analizzato dalla REDAZIONE SCUDO231 avrebbe fornito la prova regina dell’assenza di colpa organizzativa. L’azienda avrebbe potuto depositare al P.M. i log crittografati e temporalmente certificati che dimostravano come il controllo interno avesse effettivamente rilevato l’anomalia, ma che questa fosse frutto di un’azione fraudolenta e imprevedibile di un singolo, finalizzata ad aggirare i presidi. Invece di subire un sequestro, l’azienda avrebbe potuto dimostrare di essere essa stessa parte lesa, collaborando attivamente con l’autorità giudiziaria e fornendo prove tecnologiche decisive. L’impatto del sequestro sarebbe stato mitigato o interamente evitato, perché l’onere della prova si sarebbe invertito: non più l’azienda a dover dimostrare la sua innocenza, ma l’accusa a dover smontare una prova scientifica della corretta implementazione dei controlli.
Il processo si apre in un clima mediatico ostile. La difesa di Rinaldi tenta di introdurre l’ipotesi di una sofisticata frode interna perpetrata da un dirigente di secondo livello, Luca Bianchi, che aveva accesso a credenziali amministrative e che, poche settimane dopo i fatti, si era dimesso per “motivi personali” ed era di fatto irreperibile. Ma senza prove concrete, questa rimane una mera congettura, una linea difensiva debole contro la solida documentazione dell’accusa. Il P.M. sfrutta abilmente il deficit investigativo iniziale: non avendo mai esplorato piste alternative, può ora dipingere quella della difesa come un disperato tentativo di depistaggio. Gli indizi originari, mai contraddetti da elementi di segno opposto durante le indagini, sono diventati ormai la “verità processuale”. La facoltatività delle investigazioni difensive, sancita dalla Cassazione, si rivela una trappola mortale per l’indiziato e per l’ente.
È in questa fase che la differenza tra un modello di compliance passivo e un sistema di difesa attivo diventa un abisso incolmabile. Un’organizzazione protetta da un’architettura come Scudo231 non si affiderebbe a congetture in dibattimento. Avrebbe a disposizione un “XAI Packet” (Explainable AI Packet): una ricostruzione causale scientifica, immodificabile e opponibile a terzi, dell’intero evento. Questo pacchetto dimostrerebbe matematicamente, attraverso l’analisi dei log di sistema, delle correlazioni tra accessi e delle impronte digitali delle azioni, che l’operazione fraudolenta è stata originata dalla postazione di Bianchi, che ha utilizzato un token di autenticazione temporaneo generato attraverso una vulnerabilità nota ma non ancora risolta del software di gestione, e che ha mascherato l’operazione all’interno di un flusso di pagamenti di routine approvati in blocco da Rinaldi. Questa non sarebbe una “tesi difensiva”, ma una prova tecnologica che sposta la responsabilità penale in modo inequivocabile, dimostrando al contempo che i controlli generali dell’ente erano attivi, ma sono stati aggirati con un’azione criminale specifica.
La sentenza di primo grado arriva rapida: condanna per Marco Rinaldi e una sanzione pecuniaria pesantissima per Innovatec S.p.A., oltre alla confisca del profitto. La società, privata di liquidità e con la reputazione distrutta, avvia una drastica ristrutturazione. La vicenda dimostra come l’inerzia investigativa del P.M., legittimata dalla giurisprudenza, unita a un’organizzazione aziendale priva di sistemi di controllo e tracciamento in tempo reale, crei una miscela letale. Il rischio, come evidenziato dalle analisi della REDAZIONE SCUDO231, non è solo quello di non riuscire a prevenire il reato, ma quello, ancora più grave, di non essere in grado di ricostruire la verità dei fatti quando il sistema giudiziario, per prassi o per legge, decide di esplorare una sola via. L’assenza di una registrazione granulare e scientifica degli eventi interni ha lasciato che un’ipotesi accusatoria, non falsificata in fase di indagine, diventasse l’unica narrazione possibile, con conseguenze irreversibili per le persone e per l’impresa.
Fonte: https://www.giurisprudenzapenale.com/2026/02/11/investigazioni-difensive-nel-sistema-e-nella-prassi/