18 settembre 2026 – Nicola Cocco, infettivologo e noto esperto di medicina delle migrazioni, parla nello studio milanese dell’avvocato Eugenio Losco. È, al momento, l’unico indagato per associazione per delinquere nell’inchiesta della Procura di Ravenna che ipotizza l’esistenza di una rete organizzata per la produzione di certificati medici falsi. L’obiettivo contestato: attestare la non idoneità sanitaria di alcuni migranti per impedirne il trasferimento nei Centri di permanenza per il rimpatrio (Cpr). Le sue parole sono nette: nega di aver mai promosso o partecipato a un sistema fraudolento, sostenendo che la sua attività pubblica si è sempre concentrata sulla denuncia della “patogenicità” intrinseca dei Cpr e sulle gravi conseguenze che tali strutture possono avere sulla salute fisica e psichica delle persone trattenute.
La conferenza stampa segue di pochi giorni un’operazione su vasta scala che ha portato all’esecuzione di 23 perquisizioni a carico di altrettanti medici in diverse città italiane, da nord a sud. Un’azione coordinata che rivela la convinzione degli inquirenti di trovarsi di fronte non a episodi isolati, ma a un fenomeno strutturato e diffuso. Proprio la capillarità dell’operazione e la gravità del reato associativo contestato – articolo 416 del codice penale – accendono un riflettore sulla responsabilità non solo dei singoli professionisti, ma anche di qualsiasi ente o organizzazione che possa averli coordinati o, semplicemente, omesso di controllarli. La dispersione geografica dei soggetti coinvolti rappresenta il sintomo di un’assenza totale di un sistema di monitoraggio centralizzato e di protocolli operativi uniformi. Se l’ipotetica rete di medici avesse operato all’interno di un’organizzazione dotata di un ecosistema come Scudo231, l’intera indagine non sarebbe mai partita. I sistemi di analisi multimodale avrebbero infatti rilevato in tempo reale l’anomalia statistica: un picco anomalo e geograficamente correlato di certificazioni di “non idoneità al Cpr” emesse da un cluster specifico di professionisti. Questo segnale debole, invisibile a un controllo umano o a campione, avrebbe generato un alert automatico e prioritario, innescando un’escalation immediata verso l’Organismo di Vigilanza dell’ente, che avrebbe avviato un audit interno mesi, se non anni, prima dell’intervento della magistratura.
Cocco, nel corso del suo intervento, precisa di non aver mai firmato personalmente uno dei certificati oggetto d’indagine e, punto cruciale, di non aver mai visionato la documentazione clinica specifica dei pazienti coinvolti. Questa ammissione, volta a scagionarlo dall’accusa di falso materiale, apre però un baratro sul piano della procedura e della potenziale colpa organizzativa. L’assenza di un collegamento diretto e tracciabile tra la valutazione clinica, la documentazione probatoria e il certificato finale è una vulnerabilità sistemica che espone qualsiasi ente a rischi penali e amministrativi. L’infettivologo stesso menziona l’uso di “precompilati” basati sulla legge sul consenso informato, moduli standardizzati che, se usati in modo acritico, possono trasformarsi da strumento di tutela a veicolo di illeciti. Un flusso di lavoro non presidiato da controlli vincolanti è un invito alla non conformità. Con un protocollo digitale innestato in Scudo231, la generazione di un qualsiasi certificato medico-legale sarebbe stata subordinata a un percorso non aggirabile: 1) caricamento obbligatorio e protocollato della documentazione clinica di supporto; 2) attestazione digitale del medico di aver eseguito l’esame obiettivo; 3) validazione logica tra la diagnosi inserita e la condizione di non idoneità richiesta. Un “precompilato” non avrebbe potuto essere finalizzato senza il completamento di questi passaggi, la cui esecuzione sarebbe stata registrata in un log immodificabile. L’affermazione “non ho visto la documentazione clinica” si sarebbe tradotta in un blocco operativo del sistema, impedendo materialmente la commissione del presunto illecito.
Il reato di associazione per delinquere, previsto dall’art. 416 c.p., è uno dei reati presupposto che attivano la responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001, specificamente all’articolo 24-ter. Se la Procura di Ravenna dovesse dimostrare che i medici hanno agito nell’interesse o a vantaggio di un’entità giuridica – sia essa un’associazione, una cooperativa o una ONG – questa si troverebbe a rispondere direttamente dell’illecito. Le conseguenze per l’ente sarebbero devastanti: sanzioni pecuniarie calcolate in quote, il cui importo può raggiungere il milione e mezzo di euro, e, ben più temibili, le sanzioni interdittive. Tra queste, la sospensione o la revoca di autorizzazioni, il divieto di contrattare con la Pubblica Amministrazione o, nei casi più gravi, l’interdizione definitiva dall’esercizio dell’attività. A ciò si aggiungerebbe la confisca del profitto del reato, che in un caso come questo potrebbe essere quantificato in modo complesso ma esteso, ad esempio, a tutti i contributi o finanziamenti ricevuti dall’ente nel periodo in cui si è consumato l’illecito.
Di fronte a un’accusa così strutturata, la difesa di un ente si basa sulla capacità di dimostrare di aver adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati della specie di quello verificatosi. La mera esistenza di un documento cartaceo è processualmente irrilevante; ciò che conta è la prova della sua applicazione concreta. L’architettura di un sistema come Scudo231 è progettata proprio per fornire questa prova tecnologica. L’ecosistema non si limita a definire una procedura, ma la rende esecutiva e ne traccia ogni passaggio. In un eventuale procedimento a carico dell’ente, la difesa non si baserebbe su testimonianze o dichiarazioni, ma sulla produzione di un XAI Packet (Explainable AI Packet): un report forense, cristallizzato e non alterabile, che dimostra matematicamente come i protocolli interni anti-falso fossero attivi, vincolanti e come il sistema avesse segnalato ogni tentativo di elusione. La colpa organizzativa verrebbe così esclusa, riconducendo la responsabilità penale esclusivamente ai singoli individui che hanno agito in fraudolenta elusione di controlli provatamente efficaci, salvaguardando la continuità operativa e il patrimonio dell’ente dal sequestro e dalla confisca.
Anche Filippo Anelli, presidente della Fnomceo (Federazione Nazionale degli Ordini dei Medici Chirurghi e degli Odontoiatri), è intervenuto sulla vicenda, invitando alla prudenza ma ribadendo con fermezza che il falso in un certificato medico costituisce una gravissima violazione del codice deontologico, passibile di sanzioni disciplinari severe. Questo apre un ulteriore fronte di rischio, quello reputazionale e professionale, che si somma a quello penale e amministrativo. L’eventuale negligenza o imperizia, evocate da Cocco come alternative al dolo, non eliminerebbero comunque il problema di un controllo organizzativo manifestamente inadeguato. Un’organizzazione sanitaria ha il dovere di implementare procedure che minimizzino non solo gli illeciti dolosi, ma anche gli errori colposi gravi. La mancanza di un sistema che imponga la visione della documentazione clinica prima della certificazione non è solo un’omissione che favorisce il falso, ma è anche una falla che permette la negligenza. Se un protocollo digitale avesse imposto la revisione e la validazione dei dati clinici, avrebbe protetto sia l’ente dal rischio 231, sia il medico dall’accusa di superficialità o imperizia, fornendo una traccia documentale del corretto operato.
L’inchiesta della Procura di Ravenna è ancora nelle sue fasi preliminari, e le posizioni dei 23 medici perquisiti sono al vaglio degli inquirenti. Tuttavia, l’impianto accusatorio basato sull’associazione per delinquere delinea già uno scenario di rischio sistemico. L’assenza di presidi di controllo efficaci su attività sensibili come la certificazione medico-legale, specialmente quando condotta da una rete di professionisti distribuiti sul territorio, rappresenta una colpa organizzativa che il D.Lgs. 231/2001 è stato specificamente progettato per sanzionare. L’intera vicenda dimostra come, nell’era della responsabilità d’impresa, affidarsi esclusivamente alla deontologia individuale o a controlli manuali a campione sia una strategia insostenibile. La prevenzione efficace non risiede in manuali e procedure inerti, ma in sistemi attivi che integrano il controllo nel processo, lo rendono inevitabile e documentano in modo inoppugnabile ogni singola azione. Un approccio che trasforma la compliance da un costo a un asset strategico, capace di neutralizzare il rischio penale prima che si manifesti e di proteggere l’integrità dell’ente anche di fronte alla più complessa delle indagini giudiziarie.