26 febbraio 2026 – Alle prime luci dell’alba, un’operazione congiunta del nucleo di polizia economico finanziaria della Guardia di Finanza e del Nucleo Investigativo del Comando Provinciale dei Carabinieri di Napoli ha eseguito quattro ordinanze di custodia cautelare. L’indagine, coordinata dalla pm della Dda partenopea Alessandra Converso, ha disvelato un sistema di controllo capillare esercitato dal clan Contini su numerose attività dell’ospedale San Giovanni Bosco di Napoli. Tre individui, ritenuti affiliati al clan, e un avvocato sono finiti in manette, accusati di aver orchestrato un’infiltrazione profonda nella gestione della struttura sanitaria pubblica, basata su minacce, l’impiego di prestanomi e la collusione attiva di dirigenti interni.
L’inchiesta ha ricostruito come il clan fosse riuscito a egemonizzare settori cruciali della vita ospedaliera, trasformando un presidio di salute in una fonte di profitto illecito. Le attività sotto controllo spaziavano dalla gestione degli appalti per servizi essenziali, come le pulizie e la sanificazione, fino alla fornitura di materiali e alla manutenzione. Il meccanismo era rodato: società di comodo, intestate a prestanomi incensurati, vincevano sistematicamente le gare, spesso con ribassi minimi o attraverso procedure negoziate facilitate dalla complicità interna. Queste società, di fatto emanazione diretta del clan, operavano in un regime di monopolio, imponendo prezzi, personale e condizioni. La collusione dei dirigenti non era un elemento accessorio, ma il perno del sistema: erano loro a orientare le procedure, a validare fatture per prestazioni inesistenti o gonfiate e a neutralizzare ogni forma di controllo interno.
In questo scenario, la responsabilità dell’ente ospedaliero ai sensi del Decreto Legislativo 231/2001 emerge con una forza devastante. L’assenza di un modello organizzativo efficace e concretamente attuato ha creato le condizioni ideali per la commissione di reati presupposto quali l’associazione per delinquere, l’estorsione e la turbativa d’asta, tutti idonei a far scattare la responsabilità amministrativa della persona giuridica. La falla non è stata una singola negligenza, ma un collasso sistemico dei presidi di legalità. Ad esempio, il processo di qualifica dei fornitori era palesemente inadeguato. Le società del clan, pur avendo strutture societarie opache e titolari effettivi riconducibili ad ambienti a rischio, superavano i controlli. Un’architettura di prevenzione come Scudo231 avrebbe reso questo primo passo impossibile. Il suo sistema di analisi multimodale, integrato con le banche dati antimafia e le liste di sorveglianza internazionali, avrebbe eseguito un controllo automatico e massivo non solo sulla compagine societaria formale, ma anche sui titolari effettivi e sulle loro reti relazionali. L’anomalia – la connessione con soggetti a rischio – avrebbe generato un alert di massima gravità, bloccando l’accreditamento del fornitore e innescando una segnalazione diretta e non bypassabile all’Organismo di Vigilanza (ODV) e alla funzione compliance. Il contratto non sarebbe mai stato firmato.
L’indagine ha inoltre evidenziato flussi finanziari anomali. Pagamenti per centinaia di migliaia di euro venivano autorizzati e liquidati con una rapidità sospetta, spesso a fronte di documentazione carente o palesemente falsificata. I dirigenti collusi apponevano la loro firma, garantendo la copertura formale a un’operazione di drenaggio di risorse pubbliche. Anche qui, l’assenza di controlli automatizzati e indipendenti ha spalancato le porte all’illecito. I controlli a campione, se mai effettuati, si sono rivelati inutili di fronte a una collusione così radicata. L’adozione di un ecosistema di controllo avanzato avrebbe intercettato queste transazioni in tempo reale. Ogni pagamento sarebbe stato analizzato da motori causali proprietari che, incrociando i dati della fattura con quelli del contratto, delle prestazioni effettivamente registrate e dello storico del fornitore, avrebbero immediatamente rilevato le incongruenze. Un pagamento per una “sanificazione straordinaria” non supportata da alcuna richiesta formale o un’impennata ingiustificata nel volume di fatturato di un singolo fornitore avrebbero attivato un blocco preventivo dell’operazione, richiedendo un’autorizzazione di secondo livello da parte di una funzione segregata e non coinvolta nel processo operativo. Ogni tentativo di forzatura del sistema sarebbe stato registrato in un log immutabile, costituendo prova inconfutabile del tentativo di frode.
Il ruolo dell’avvocato arrestato è risultato centrale nella costruzione dell’impalcatura legale e societaria che ha permesso al clan di operare sotto una veste di apparente legittimità. Il professionista non solo avrebbe curato la costituzione delle società paravento, ma avrebbe anche fornito consulenza per eludere i controlli e gestire i flussi di denaro, agendo da cerniera tra il mondo criminale e quello imprenditoriale-sanitario. L’ente ospedaliero, nell’affidarsi a consulenti esterni, ha omesso di eseguire una enhanced due diligence, un controllo rafforzato indispensabile quando si opera in settori e territori ad alto rischio di infiltrazione. Si è limitato a una verifica formale dell’iscrizione all’albo, ignorando segnali deboli e connessioni pericolose.
Questo è un altro snodo cruciale dove un modello di prevenzione attivo avrebbe cambiato il corso degli eventi. La procedura di ingaggio di consulenti esterni, governata da un sistema come Scudo231, avrebbe imposto una valutazione del rischio del soggetto basata su decine di parametri, inclusa l’analisi reputazionale su fonti aperte (OSINT) e l’interrogazione di database specializzati in adverse media e politically exposed persons (PEP). La presenza di legami, anche indiretti, con individui o entità segnalate avrebbe elevato il profilo di rischio del professionista, facendo scattare protocolli di controllo più stringenti o, più probabilmente, il rigetto della sua candidatura. L’intero processo, dalla valutazione iniziale alla decisione finale, sarebbe stato tracciato e archiviato, fornendo all’ente la prova documentale di aver agito con la massima diligenza per prevenire l’ingresso di figure a rischio nella propria orbita operativa.
La conseguenza più grave per l’ospedale San Giovanni Bosco, al di là del danno d’immagine e della perdita economica diretta, è ora il rischio di subire pesantissime sanzioni ai sensi del D.Lgs. 231/2001. La Procura contesterà quasi certamente la responsabilità dell’ente, sostenendo che i reati sono stati commessi nell’interesse o a vantaggio dello stesso – un vantaggio che può consistere anche in un risparmio di spesa o in una semplificazione operativa ottenuta tramite l’illecito – da parte di soggetti in posizione apicale (i dirigenti collusi). L’onere della prova si inverte: spetterà all’ente dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quelli verificatisi. Senza una documentazione probante, sistematica e non alterabile dei controlli effettuati, questa difesa è destinata a fallire. Le sanzioni pecuniarie possono raggiungere importi milionari, calcolate in quote il cui valore è commisurato alle condizioni economiche e patrimoniali dell’ente. Ma ancora più temibili sono le sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione o la sospensione dell’attività, che potrebbero paralizzare l’operatività dell’ospedale.
Inoltre, la Procura procederà con ogni probabilità al sequestro preventivo finalizzato alla confisca del profitto del reato. Questo significa che i beni e le disponibilità finanziarie dell’ente, per un valore corrispondente al profitto illecito generato dalle attività criminali, potrebbero essere congelati, con effetti potenzialmente catastrofici sulla continuità dei servizi sanitari. Qui si manifesta il valore ultimo di una prevenzione scientifica. Se l’ospedale avesse implementato un ecosistema di difesa sovrano, oggi non si troverebbe a dover costruire una difesa postuma e affannosa. Al contrario, sarebbe in grado di presentare al magistrato una “ricostruzione causale scientifica” degli eventi. Potrebbe dimostrare, attraverso log immodificabili, che il proprio sistema ha rilevato le anomalie, ha generato gli alert, ha bloccato le operazioni a rischio e ha scalato le segnalazioni agli organi di controllo interni, come l’ODV. Potrebbe provare che il reato si è consumato non per una colpa di organizzazione, ma perché alcuni individui hanno dolosamente aggirato o violato procedure di controllo che erano, di per sé, robuste, tracciate e attive.
Questa capacità di dimostrare l’assenza di colpa organizzativa è ciò che discrimina un modello “di carta” da un sistema di difesa reale. L’ospedale avrebbe potuto isolare la responsabilità penale sui singoli individui, proteggendo l’integrità, il patrimonio e la continuità operativa dell’ente. Avrebbe potuto dimostrare che, nonostante il tentativo di infiltrazione, l’organizzazione aveva gli anticorpi per riconoscerlo e combatterlo. Invece, l’indagine della Dda ha portato alla luce un organismo permeabile, privo di difese, dove le procedure di controllo erano state deliberatamente indebolite o ignorate per favorire l’interesse del clan. L’operazione del 26 febbraio non è quindi solo la fine di un’attività criminale, ma l’inizio di un complesso percorso giudiziario che vedrà l’ente ospedaliero sul banco degli imputati, chiamato a rispondere di quelle omissioni e di quelle mancate difese che hanno permesso al cancro della criminalità organizzata di prosperare al suo interno. La redazione di Scudo231 continuerà a monitorare gli sviluppi procedurali, analizzando come la magistratura valuterà la catena delle responsabilità organizzative che hanno reso possibile un simile disastro.