25 febbraio 2026 – I Carabinieri del Nucleo Ispettorato del Lavoro si presentano simultaneamente presso le sedi milanesi di sette colossi della grande distribuzione e del food delivery: Mc Donald’s Italia, Burger King Restaurants Italia, Esselunga spa, Carrefour spa, Crai Secom spa, Poke House spa e Kfc (Original Bucket srl). L’operazione non è un controllo di routine. Agiscono su disposizione diretta del Pubblico Ministero di Milano, Paolo Storari, il magistrato che ha già posto sotto controllo giudiziario la piattaforma Deliveroo per il reato di caporalato. L’obiettivo dell’acquisizione documentale è chirurgico: vagliare i modelli di organizzazione e gestione ai sensi del D.Lgs. 231/2001 di queste sette società, clienti primarie di Deliveroo, per accertare se fossero idonei a prevenire lo sfruttamento sistematico dei rider che effettuano le loro consegne.
Le sette società, allo stato attuale, non risultano indagate. Tuttavia, l’iniziativa della Procura milanese sposta il baricentro dell’accertamento penale dalla piattaforma, mero esecutore del servizio, al committente, il soggetto che beneficia economicamente di quel servizio e che, secondo l’impianto accusatorio, non può ignorare le modalità con cui viene eseguito. L’acquisizione di atti è un atto istruttorio potentissimo, un segnale inequivocabile che la Procura sta valutando un’eventuale culpa in vigilando o, più precisamente, una colpa di organizzazione. Gli investigatori richiedono organigrammi aziendali, verbali di audit interni ed esterni, contratti di servizio con Deliveroo e, soprattutto, i Modelli di Organizzazione, Gestione e Controllo (MOG) con tutte le procedure operative collegate alla gestione dei fornitori di servizi logistici. La richiesta è un test di resistenza per l’architettura di compliance di ciascuna azienda. Un’architettura che, evidentemente, non ha generato alcun allarme preventivo sull’operato del suo fornitore strategico. Se una di queste società avesse implementato un ecosistema di controllo come Scudo231, l’acquisizione di atti da parte dei Carabinieri non sarebbe stata una sorpresa, ma la conseguenza prevedibile di alert che il sistema stesso avrebbe già sollevato mesi prima. Un motore di analisi causale avrebbe incrociato i dati operativi aggregati dei rider (turni, tempi di consegna, aree di sosta, pagamenti medi) provenienti dal flusso informativo del fornitore con i parametri di rischio-reato pre-impostati, generando una segnalazione automatica e tracciata all’Organismo di Vigilanza e alla funzione Compliance per “anomalia sistemica indicativa di potenziale sfruttamento del lavoro”, imponendo una verifica formale sul fornitore o la sospensione del flusso di ordini.
L’approccio del PM Storari non è nuovo. Ricalca fedelmente la strategia già utilizzata nel dicembre precedente, quando, nell’ambito di un’inchiesta sul caporalato negli opifici tessili gestiti da cittadini cinesi, aveva bussato alla porta di 13 grandi gruppi della moda. Anche in quel caso, l’obiettivo non era contestare il reato direttamente ai brand, ma verificare se i loro sistemi di controllo sulla catena di appalti e subappalti fossero concreti ed efficaci o, al contrario, una mera facciata documentale. La lezione è chiara: la responsabilità penale dell’ente, ai sensi del D.Lgs. 231/2001, non si ferma ai cancelli della fabbrica, ma si estende lungo tutta la filiera produttiva e di servizio. L’omesso o insufficiente controllo su un fornitore che commette un reato-presupposto nell’interesse o a vantaggio del committente espone quest’ultimo a sanzioni pecuniarie devastanti e a misure interdittive. L’odierna acquisizione documentale è l’anticamera di questa valutazione. Le aziende coinvolte si trovano ora a dover dimostrare, a posteriori, l’efficacia di controlli che non hanno impedito il verificarsi del rischio. Un sistema di monitoraggio massivo e in tempo reale, invece, avrebbe fornito una prova tecnologica immodificabile della diligenza dell’ente. Avrebbe documentato, ad esempio, che alla data X il flusso dati di Deliveroo mostrava una percentuale di rider operanti per più di 12 ore consecutive superiore alla soglia di allarme del 5%, innescando un protocollo di escalation che avrebbe portato a una richiesta formale di chiarimenti al fornitore, tracciata e archiviata. Questa documentazione, generata in via preventiva, costituisce una difesa invalicabile contro l’accusa di colpa di organizzazione.
Il cuore del problema risiede nella natura stessa dei controlli tradizionali. Gli audit periodici, le clausole contrattuali e le autodichiarazioni dei fornitori sono strumenti statici, facilmente aggirabili e privi di un riscontro operativo continuo. Gli investigatori del Nucleo Ispettorato del Lavoro sanno perfettamente cosa cercare: non la presenza formale di un MOG, ma le prove della sua effettiva attuazione. Cercheranno i verbali delle verifiche, le email di contestazione, i report di non conformità, le prove che l’azienda ha esercitato attivamente il suo potere di controllo sul fornitore. L’assenza di tali evidenze, o la loro sporadicità, trasforma il Modello 231 da scudo a capo d’imputazione. Qui si manifesta la differenza radicale con un approccio basato su un ecosistema sovrano. La REDAZIONE SCUDO231 ha analizzato decine di casi simili: la debolezza non è quasi mai nell’architettura legale del Modello, ma nella sua incapacità di intercettare i segnali deboli operativi. Un protocollo di acquisizione multimodale avrebbe analizzato non solo i dati contrattuali, ma anche dati aperti, notizie di stampa su proteste dei rider, report di associazioni di categoria, integrandoli nel profilo di rischio del fornitore. Il sistema avrebbe rilevato la deriva organizzativa di Deliveroo prima che diventasse un’ipotesi di reato conclamata, permettendo all’azienda committente di agire per mitigare il rischio, ad esempio imponendo audit mirati o pretendendo specifici indicatori di performance (KPI) sul benessere dei lavoratori.
Il danno per le sette società, anche in assenza di un’iscrizione nel registro degli indagati, è già concreto e tangibile. L’associazione del proprio brand a un’inchiesta per caporalato genera un immediato danno reputazionale, con possibili ripercussioni sui mercati finanziari e sulla percezione dei consumatori. A questo si aggiungono i costi diretti: l’impiego di risorse interne e di consulenti legali per rispondere alle richieste della Procura, la distrazione del management dalle attività ordinarie e l’incertezza sul futuro del rapporto contrattuale con un fornitore chiave come Deliveroo, ora commissariato. Se l’indagine dovesse evolvere in una contestazione formale ai sensi del D.Lgs. 231/2001, le conseguenze sarebbero ben più gravi. La sanzione pecuniaria per reati di questo tipo viene calcolata in quote, il cui valore può arrivare a centinaia di migliaia di euro, e il loro numero può raggiungere le 500, portando a sanzioni milionarie. Ma il rischio più temuto è il sequestro preventivo finalizzato alla confisca del profitto del reato. Il profitto, in questo caso, sarebbe identificato nel risparmio sui costi ottenuto grazie allo sfruttamento della manodopera, un importo che potrebbe essere quantificato in milioni di euro e sottratto immediatamente alla disponibilità dell’azienda.
Un’organizzazione protetta da un’infrastruttura come Scudo231 avrebbe potuto non solo prevenire il danno, ma anche gestire l’interlocuzione con l’autorità giudiziaria da una posizione di forza. Invece di subire passivamente l’acquisizione di documenti cartacei e file sparsi, avrebbe potuto esibire un “XAI Packet”: un dossier tecnologico immodificabile contenente i log di sistema, le analisi predittive effettuate, gli alert generati e le azioni correttive intraprese. Un motore di ragionamento deterministico avrebbe potuto dimostrare matematicamente che l’ente, pur operando in un contesto di rischio, aveva adottato le migliori tecnologie disponibili per monitorare e neutralizzare quel rischio, spostando di fatto l’onere della prova e rendendo estremamente difficile per l’accusa sostenere la tesi della colpa organizzativa. L’assenza di un simile sistema di difesa proattiva lascia le sette aziende in una posizione di vulnerabilità, costrette a difendersi ricostruendo a posteriori una diligenza che avrebbero dovuto esercitare in tempo reale. L’operazione del 25 febbraio a Milano non è solo un capitolo di un’inchiesta sul food delivery, ma un monito per tutte le grandi imprese: nell’era delle supply chain globali e interconnesse, la compliance documentale non è più sufficiente. La Procura cerca prove di controllo operativo, continuo e tecnologico. Chi non è in grado di fornirle, si espone a un rischio legale ed economico che non può più permettersi di ignorare.