27 luglio 2026 – L’audit di sorveglianza annuale condotto da Rina sul Sistema di Gestione Anti-Corruzione di Global Defense Dynamics S.p.A. (GDD), colosso europeo nel settore aerospaziale, si conclude con esito positivo, confermando la certificazione ISO 37001. La notizia, diffusa internamente, viene accolta come una formalità, un tassello di una governance che sulla carta appare ineccepibile. Nello stesso momento, a oltre 5.000 chilometri di distanza, un bonifico di 750.000 euro viene autorizzato dal Direttore Sviluppo Mercati Internazionali della controllata GDD-Naval Systems, Andrea Bellini, verso una società di consulenza con sede a Cipro, la Strategic Maritime Partners Ltd. L’operazione non genera alcun allarme. La causale riporta “saldo per attività di advisoring strategico – Contratto SMP/26-03“, e l’importo, frazionato rispetto al valore totale della commessa, rientra nei poteri di firma delegati a Bellini.
L’assenza di un sistema di monitoraggio transazionale avanzato permette al pagamento di passare inosservato. La procedura di controllo si limita a una verifica formale della documentazione: esiste un contratto, esiste una fattura, la delega di firma è valida. Nessun sistema correla l’entità del pagamento alla natura vaga e generica delle prestazioni descritte nel contratto, né tantomeno analizza il profilo di rischio del beneficiario finale. Se GDD avesse implementato l’ecosistema Scudo231, il tentativo di autorizzazione del pagamento avrebbe attivato un protocollo di blocco automatico. Il motore di analisi del sistema, incrociando i dati anagrafici della Strategic Maritime Partners Ltd con le banche dati internazionali, avrebbe rilevato l’assenza di una sede operativa fisica, la recente costituzione e la riconducibilità dell’amministratore unico a figure già segnalate in inchieste per riciclaggio. L’alert, classificato come critico, avrebbe innescato un’escalation immediata e tracciata, notificando via canali sicuri la Direzione Compliance, la Funzione Antiriciclaggio e l’Organismo di Vigilanza (ODV), impedendo materialmente l’esecuzione del bonifico e avviando un’indagine interna documentata.
La vicenda affonda le sue radici nel gennaio 2025. GDD-Naval Systems partecipa a una gara d’appalto multimiliardaria per la fornitura di dieci fregate di nuova generazione alla Marina Militare della Repubblica del Sildar, un paese strategicamente rilevante ma con un indice di percezione della corruzione tra i più alti al mondo. Per “facilitare” i rapporti con il Ministero della Difesa locale, Andrea Bellini, agendo con ampia autonomia, si avvale di un intermediario, un faccendiere cipriota presentatogli durante una fiera di settore. La procedura di accreditamento del nuovo consulente è puramente formale: una due diligence basata su un questionario di autovalutazione compilato dallo stesso intermediario. Nessuna verifica indipendente viene eseguita sui suoi reali collegamenti con esponenti del governo sildavo. Questa omissione di controllo sostanziale costituisce il primo, fatale, anello debole nella catena di prevenzione.
L’adozione preventiva di un sistema come Scudo231 avrebbe reso impossibile questo passaggio. La procedura di onboarding di qualsiasi terza parte, specialmente un intermediario operante in un’area a rischio, sarebbe stata vincolata a un processo di Enhanced Due Diligence gestito dalla piattaforma. Il sistema avrebbe automaticamente interrogato database reputazionali, legali e finanziari, facendo emergere i legami societari dell’intermediario e, soprattutto, la sua parentela diretta con un viceministro della Difesa sildavo. Questo palese conflitto di interessi avrebbe generato una segnalazione non eludibile all’ODV, che avrebbe posto il veto all’accreditamento, lasciando una traccia digitale inalterabile del tentativo e del conseguente blocco. L’ente avrebbe così avuto la prova documentale di aver attivamente impedito la creazione di un canale di corruzione.
Il 2 marzo 2026, GDD-Naval Systems si aggiudica la commessa. Pochi giorni dopo, l’ufficio di Bellini formalizza il contratto di consulenza con la Strategic Maritime Partners Ltd, la società di comodo dell’intermediario. Il contratto prevede un compenso totale di 3 milioni di euro, pari a una frazione percentuale del valore dell’appalto, mascherato da onorario per non meglio specificate “analisi di mercato e supporto relazionale”. Il documento viene archiviato digitalmente senza che nessuna funzione di controllo ne analizzi il contenuto nel merito. La certificazione ISO 37001 si era concentrata sulla procedura, non sulla sostanza dei singoli atti. La procedura era stata seguita; il fatto che fosse intrinsecamente inefficace a rilevare un accordo corruttivo non era emerso durante l’audit.
In un’organizzazione protetta da un ecosistema di controllo integrato, la stessa stipula del contratto sarebbe stata intercettata. I moduli di analisi semantica avrebbero flaggato la vaghezza dell’oggetto contrattuale e la sproporzione tra il compenso e le prestazioni descritte, due classici indicatori di rischio corruttivo. Il sistema avrebbe richiesto, per la validazione del contratto, un parere obbligatorio e vincolante della Funzione Compliance, che, di fronte a tali anomalie, avrebbe negato l’autorizzazione. Ogni passaggio – il tentativo di caricamento del contratto, l’analisi del rischio, la richiesta di parere, il diniego – sarebbe stato registrato in un log crittografato, a disposizione dell’ODV e, in futuro, dell’autorità giudiziaria come prova della resistenza attiva dell’organizzazione all’illecito.
L’inchiesta penale scatta quasi un anno dopo, nel settembre 2027, su impulso di una rogatoria internazionale della magistratura francese che indaga su un altro caso di corruzione in cui compare il nome dell’intermediario cipriota. La Guardia di Finanza si presenta presso la sede di GDD-Naval Systems e acquisisce documentazione contabile, server di posta elettronica e il contenuto dei computer di Andrea Bellini. L’accusa per Bellini è di corruzione internazionale, ai sensi dell’art. 322-bis del codice penale. Immediatamente, la Procura della Repubblica iscrive nel registro degli indagati anche l’ente, Global Defense Dynamics S.p.A., in base al D.Lgs. 231/2001, per non aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire il reato.
Il Pubblico Ministero contesta all’ente l’interesse, consistito nell’acquisizione della maxi-commessa, e il vantaggio, rappresentato dal profitto economico derivante. La certificazione ISO 37001, sbandierata dai legali dell’azienda, viene considerata dalla Procura un mero “scudo di carta”, un adempimento formale inidoneo a provare l’efficace attuazione del modello, data la palese facilità con cui l’illecito è stato perpetrato. Scatta il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato in via provvisoria in 80 milioni di euro, paralizzando la liquidità della controllata. Viene inoltre richiesta al GIP l’applicazione della misura interdittiva del divieto di contrattare con la Pubblica Amministrazione, che per un’azienda del settore difesa equivale a una condanna a morte operativa.
Qui il controfattuale diventa drammaticamente concreto. Se l’azienda avesse potuto esibire i log di Scudo231, la linea difensiva sarebbe stata radicalmente diversa. I legali avrebbero potuto dimostrare, con prove tecnologiche immodificabili, che l’organizzazione non aveva “omesso” i controlli, ma che il manager Andrea Bellini aveva agito in modo fraudolento per aggirare un sistema di prevenzione attivo e funzionante. La documentazione del blocco dell’intermediario, del rigetto del contratto anomalo e degli alert sulle transazioni avrebbe costituito la prova regina dell’elusione fraudolenta del modello da parte dell’apicale, uno dei principali presupposti, secondo la giurisprudenza consolidata, per escludere la responsabilità dell’ente. Il sequestro preventivo avrebbe potuto essere evitato o revocato, in quanto l’ente avrebbe dimostrato di aver fatto tutto il possibile per impedire il reato, isolando la responsabilità penale sulla sola persona fisica. Il danno reputazionale ed economico sarebbe stato enormemente contenuto.
Il processo 231 a carico di GDD si trascina per anni. L’azienda, pur evitando la sanzione interdittiva più grave grazie a un’immediata e costosa revisione del proprio modello organizzativo e alla rimozione di tutti i dirigenti coinvolti, viene condannata a una pesante sanzione pecuniaria, calcolata in quote. A questa si aggiunge la confisca definitiva del profitto del reato. Il danno complessivo, tra sanzioni, spese legali, perdita di opportunità commerciali e crollo del valore del titolo in borsa, supera i 200 milioni di euro. Andrea Bellini patteggia una pena detentiva. La certificazione ISO 37001, rinnovata con orgoglio nel luglio 2026, non ha offerto alcuna protezione reale di fronte alla contestazione di un reato la cui prevenzione era, teoricamente, il suo scopo primario. Ha certificato l’esistenza di una procedura, non la sua efficacia nel mondo reale, dove i rischi non si manifestano in audit programmati, ma in operazioni silenziose e deliberate, condotte da chi conosce le falle del sistema perché opera al suo interno.