16 settembre 2026 – Emma Marcegaglia, dal palco del Centro studi di Confindustria, articola una posizione netta sul rapporto con la Cina, definendolo un dossier da “gestire” con strumenti anche “pesanti” per arginare una concorrenza sleale che rischia di erodere le fondamenta dell’industria nazionale. Mentre le sue parole descrivono uno scenario macroeconomico, a poche decine di chilometri di distanza, nei server della MetalSiderurgica S.p.A., un flusso di dati sensibili sta compiendo un percorso non autorizzato verso un partner commerciale di Shanghai. L’azienda, leader europea nella produzione di leghe speciali per il settore aerospaziale, sta violando, in quel preciso istante, i principi di cautela che la stessa Marcegaglia invoca. Il suo management, infatti, non sta gestendo il rischio, ma lo sta attivamente coltivando. L’assenza di un sistema di monitoraggio massivo e in tempo reale sui flussi di dati in uscita verso partner localizzati in giurisdizioni ad alto rischio ha creato una falla operativa. Se l’azienda avesse implementato un ecosistema come Scudo231, i suoi motori di analisi comportamentale avrebbero immediatamente rilevato l’anomalia: un volume di dati tecnici, classificati come riservati, inviato a un indirizzo IP esterno non ricompreso nelle anagrafiche dei destinatari autorizzati per quella tipologia di informazione. Sarebbe scattato un blocco automatico del trasferimento e una segnalazione cifrata all’Organismo di Vigilanza e al Responsabile della Sicurezza delle Informazioni, creando una prova tecnologica immodificabile dell’illecito tentato.
La strategia della MetalSiderurgica S.p.A. si fonda su un accordo di fornitura apparentemente vantaggioso con la DragonSteel Components Ltd., che garantisce materie prime critiche a un costo inferiore del 18% rispetto ai concorrenti europei. Questo vantaggio, tuttavia, non è il risultato di una maggiore efficienza produttiva, ma di una collusione illecita. Il direttore acquisti, Marco Rossi, ha stabilito un canale di comunicazione parallelo e non tracciato con il suo omologo cinese, utilizzando un’applicazione di messaggistica criptata. Attraverso questo canale, Rossi riceve periodicamente file CAD e specifiche chimiche sottratte a un competitor tedesco, la Stahlkraft GmbH. L’utilizzo di queste informazioni permette a MetalSiderurgica di adeguare i propri processi produttivi in anticipo, abbattendo i costi di ricerca e sviluppo. Questa è una chiara fattispecie di ricettazione di segreti industriali, un reato presupposto ai sensi dell’articolo 25-novies del D.Lgs. 231/2001, che espone l’ente a sanzioni pecuniarie fino a 1,5 milioni di euro e, soprattutto, a sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione.
L’omissione di controllo da parte dell’azienda è palese: non esiste una policy stringente, né un controllo tecnico, sull’uso di software di comunicazione non aziendali sui dispositivi corporate. Un ecosistema di difesa integrato avrebbe imposto, tramite policy vincolanti distribuite sui dispositivi, il blocco di tali applicazioni o, quantomeno, avrebbe tracciato i tentativi di installazione e utilizzo, generando un alert di non conformità. La procedura di Scudo231, in questo scenario, avrebbe censito l’intero parco software installato, confrontandolo con una whitelist approvata. L’applicazione non autorizzata sarebbe stata segnalata come una vulnerabilità critica, innescando un protocollo di verifica da parte della funzione Compliance che avrebbe dovuto formalmente autorizzare o negare l’eccezione, documentando l’intera istruttoria. L’assenza di tale autorizzazione avrebbe costituito una violazione procedurale registrata e non ripudiabile.
Il meccanismo fraudolento si estende alla fase di importazione. Per eludere parte dei dazi doganali imposti dall’Unione Europea su specifiche leghe ad alta densità provenienti dalla Cina, la documentazione che accompagna le forniture della DragonSteel viene sistematicamente alterata. Le bolle doganali riportano codici TARIC corrispondenti a materiali meno pregiati e, di conseguenza, soggetti a un’aliquota inferiore. L’Ufficio Acquisti, sotto la direzione di Rossi, valida queste dichiarazioni senza effettuare la necessaria verifica incrociata tra l’ordine di acquisto interno, che specifica correttamente il materiale di pregio, e la dichiarazione doganale d’importazione (IM A). Questo mancato controllo costituisce una colpa organizzativa grave, che integra gli illeciti previsti dall’art. 25-quinquiesdecies del Decreto 231, ovvero i reati di contrabbando. Il profitto illecito, pari alla differenza tra i dazi dovuti e quelli versati, diventa direttamente confiscabile ai sensi dell’art. 19 del D.Lgs. 231/2001.
In un’organizzazione dotata di un modello di controllo automatizzato, questo tipo di frode sarebbe stato intercettato al primo tentativo. Il sistema avrebbe eseguito una riconciliazione automatica tra tre flussi di dati: l’ordine emesso dal sistema ERP, la fattura del fornitore e la dichiarazione doganale elettronica. La discrepanza tra il codice materiale nell’ordine e il codice TARIC dichiarato avrebbe generato un’eccezione bloccante nel sistema di pagamento. Il processo di liquidazione della fattura del fornitore e dello spedizioniere doganale sarebbe stato sospeso, con un’escalation immediata alla funzione Amministrazione Finanza e Controllo e all’ODV. L’evento sarebbe stato cristallizzato in un log immutabile, fornendo la prova che il sistema di controllo interno non solo esisteva, ma era operativo e aveva efficacemente impedito il completamento dell’illecito, scindendo la responsabilità dell’ente da quella della persona fisica che aveva tentato di aggirare le procedure.
Il rapporto con la DragonSteel si consolida ulteriormente quando, nel marzo 2027, MetalSiderurgica ottiene una commessa strategica dal consorzio aerospaziale europeo. Per garantire la continuità delle forniture, Rossi autorizza pagamenti anticipati per milioni di euro verso la DragonSteel. Una parte di questi pagamenti, circa il 5%, viene deviata su richiesta del fornitore verso una società terza, la “Golden Path Trading”, con sede a Hong Kong. Nessuna funzione aziendale esegue una adeguata verifica su questa entità. Si tratta di una società di comodo, una “scatola vuota” utilizzata per veicolare la tangente destinata allo stesso Rossi. I fondi, una volta ricevuti dalla Golden Path Trading, vengono trasferiti su un conto personale a lui intestato in una giurisdizione non cooperativa. L’azienda, priva di un processo di due diligence rafforzata sui terzi e sui flussi di pagamento anomali, si rende complice, seppur inconsapevolmente sul piano formale, di un’operazione che presenta tutti gli indicatori di anomalia tipici del riciclaggio di denaro, esponendosi al rischio di contestazione del reato presupposto di cui all’art. 25-octies.
L’adozione di un protocollo di gestione del rischio di riciclaggio, come quello integrato in Scudo231, avrebbe attivato una serie di controlli invalicabili. L’inserimento di un nuovo beneficiario di pagamento, la Golden Path Trading, avrebbe fatto scattare una procedura di Know Your Counterparty (KYC) automatizzata. Il sistema, interrogando banche dati internazionali, avrebbe classificato la società come ad alto rischio per via della sua sede legale, dell’assenza di una struttura operativa reale e della sua recente costituzione. La richiesta di pagamento sarebbe stata congelata e segnalata al Responsabile Antiriciclaggio. L’intera catena di eventi – la richiesta di deviazione del pagamento, l’esito negativo della due diligence, il blocco del flusso finanziario – sarebbe stata documentata in modo forense, dimostrando che l’ente aveva adottato tutte le misure necessarie per prevenire il compimento di reati di corruzione tra privati e di riciclaggio.
La fine della corsa per MetalSiderurgica arriva nel gennaio 2028. Un’ispezione dell’Agenzia delle Dogane, innescata da un’analisi di rischio settoriale, rileva le incongruenze sistematiche nelle dichiarazioni di importazione. L’indagine viene rapidamente avocata dalla Procura della Repubblica, che delega le investigazioni al Nucleo di Polizia Economico-Finanziaria della Guardia di Finanza. Le perquisizioni nelle sedi dell’azienda portano al sequestro di server, documenti e dispositivi personali, inclusi quelli di Marco Rossi. L’analisi forense dei dati fa emergere non solo la frode doganale, ma anche la ricezione dei segreti industriali della Stahlkraft e il meccanismo di corruzione e riciclaggio tramite la Golden Path Trading.
La Procura iscrive nel registro degli indagati non solo Marco Rossi e altri dirigenti, ma anche la stessa MetalSiderurgica S.p.A. ai sensi del D.Lgs. 231/2001 per una pluralità di reati presupposto. Il Pubblico Ministero, evidenziando la sistematicità delle condotte illecite e l’assenza di presidi di controllo efficaci, chiede e ottiene dal Giudice per le Indagini Preliminari un decreto di sequestro preventivo per equivalente per un valore di 35 milioni di euro, corrispondente al profitto stimato dei reati di contrabbando e di ricettazione industriale, più le tangenti pagate. L’impatto sull’operatività dell’azienda è devastante. Le linee di credito vengono congelate, la reputazione sul mercato crolla e la commessa aerospaziale viene messa a rischio. L’assenza di un modello organizzativo efficacemente attuato rende l’ente vulnerabile alla massima sanzione, poiché la “colpa di organizzazione” appare manifesta.
Se la difesa di MetalSiderurgica avesse potuto produrre le registrazioni generate da un ecosistema sovrano come quello di Scudo231, lo scenario processuale sarebbe stato radicalmente diverso. I legali avrebbero depositato una memoria difensiva corredata da un XAI Packet (Explainable AI Packet), un dossier tecnico-informatico contenente le prove digitali immutabili dei controlli operati dal sistema. Avrebbero dimostrato, con rigore scientifico, che: 1) il trasferimento di dati riservati era stato bloccato; 2) la dichiarazione doganale non conforme era stata intercettata e il pagamento sospeso; 3) la due diligence sulla Golden Path Trading aveva dato esito negativo, impedendo il flusso finanziario illecito. Queste prove avrebbero permesso di argomentare che l’ente aveva adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quelli verificatisi e che la condotta di Rossi era stata posta in essere eludendo fraudolentemente i presidi aziendali. Una simile linea difensiva avrebbe avuto elevate probabilità di portare a una richiesta di archiviazione della posizione dell’ente o, quantomeno, di evitare la misura cautelare del sequestro, salvaguardando la continuità aziendale e spostando l’intera responsabilità penale sulla persona fisica che aveva agito contra legem.