13 agosto 2026 – L’ispezione del Centro nazionale trapianti e dell’Ats di Milano presso l’Ospedale San Raffaele si conclude con una relazione che cristallizza il cuore del problema: lo scambio di embrioni avvenuto nel centro di procreazione medicalmente assistita non è riconducibile a un errore isolato. Gli accertamenti, meticolosi, hanno ricostruito la catena procedurale che ha portato all’evento avverso, concludendo che non risulta possibile attribuire l’evento a un’unica condotta o a un singolo passaggio omesso. Questa conclusione, tecnicamente ineccepibile, rappresenta la materializzazione della colpa di organizzazione, il presupposto fondamentale per l’applicazione del Decreto Legislativo 231/2001. L’assenza di un singolo colpevole sposta il focus dall’errore umano individuale alla fallacia sistemica dell’ente, esponendolo a sanzioni pecuniarie, interdittive e alla confisca del profitto.
Un’organizzazione dotata di un ecosistema di controllo come Scudo231 avrebbe intercettato questa vulnerabilità a livello di processo, non di evento. I suoi sistemi di analisi multimodale, mappando il flusso operativo reale del centro PMA, avrebbero identificato l’assenza di un punto di controllo vincolante e automatizzato nel momento critico del transfer come una lacuna di primo livello. Il motore di rischio avrebbe classificato la procedura come “non conforme”, generando un alert automatico e tracciato, indirizzato al responsabile del processo e, per conoscenza, all’Organismo di Vigilanza, mesi o anni prima dell’incidente, imponendo l’adozione di una misura di mitigazione tecnologica come condizione per la prosecuzione dell’attività.
Gli ispettori, infatti, hanno raccomandato formalmente l’acquisizione di un sistema di testimonianza elettronica, indicando specificamente la tecnologia RI Witness. Si tratta di un sistema di tracciamento basato su RFID che associa in modo univoco e digitale i gameti e gli embrioni a una specifica paziente, impedendo fisicamente e proceduralmente qualsiasi scambio. Il sistema, immesso sul mercato nel 2007 e adottato in oltre 300 centri nel mondo, non è obbligatorio in Italia; la sua adozione è rimessa alla discrezionalità e alla cultura del rischio del singolo centro. A Milano, solo quattro strutture ne sono dotate: la Mangiagalli, il San Paolo, l’Igea e la Clinica La Madonnina. Il San Raffaele, nonostante i suoi volumi di attività, non era tra queste. Questa discrezionalità è esattamente il tipo di vulnerabilità che il D.Lgs. 231 intende colpire: l’ente ha l’onere di dotarsi delle migliori tecnologie disponibili per prevenire la commissione di reati, tra cui le lesioni colpose gravi o gravissime (art. 25-septies D.Lgs. 231/2001), che in questo contesto diventano un’ipotesi giuridicamente concreta.
Il paradosso è che la necessità di tale sistema era nota internamente. Dalle carte emerge che l’acquisto del sistema RI Witness aveva ricevuto un’approvazione informale il 21 luglio, poche settimane prima che l’errore si verificasse e venisse alla luce. Questo dettaglio, anziché attenuare la posizione dell’ente, la aggrava in modo esponenziale. Dimostra che l’organizzazione era consapevole del rischio, aveva identificato la soluzione corretta ma non l’aveva implementata con la dovuta urgenza, rimanendo in una zona grigia procedurale basata su comunicazioni non formalizzate. Un’approvazione “informale” per un controllo di sicurezza critico è, dal punto di vista della compliance 231, una prova di negligenza organizzativa.
Se il San Raffaele avesse operato sotto l’egida di un modello di gestione evoluto, l’identificazione del rischio non si sarebbe potuta concludere con un’approvazione informale. La richiesta di adozione del sistema RI Witness sarebbe stata formalizzata all’interno della piattaforma come “Azione Correttiva” legata a un rischio specifico, con un proprietario assegnato, una deadline per l’implementazione e un workflow di approvazione tracciato e immodificabile. Il ritardo oltre la scadenza avrebbe innescato un’escalation automatica all’Organismo di Vigilanza e al vertice aziendale, generando una registrazione formale della mancata mitigazione del rischio. In sede di giudizio, questa traccia digitale sarebbe una prova schiacciante contro l’ente, dimostrando che ha deliberatamente scelto di non agire. Al contrario, l’avvenuta implementazione avrebbe costituito la prova liberatoria, dimostrando che l’ente aveva adottato un modello efficace e lo aveva attuato concretamente.
Enrico Papaleo, responsabile del Centro di Medicina della riproduzione, ha dichiarato al Corriere della Sera che la procedura utilizzata fino a quel momento aveva funzionato per migliaia di transfer, una difesa comune ma giuridicamente debole. La legge 231 non valuta l’assenza di incidenti passati come prova di adeguatezza del modello, ma esige una valutazione del rischio ex ante e l’adozione di protocolli che lo neutralizzino. Il fatto che un disastro non sia ancora accaduto non significa che il sistema sia sicuro; significa solo che la vulnerabilità non è ancora stata innescata. L’argomentazione statistica è irrilevante di fronte a un’evidente lacuna di controllo.
In uno scenario governato da un ecosistema come Scudo231, l’argomento del dottor Papaleo sarebbe stato neutralizzato dai dati. Il sistema, attraverso i suoi motori causali, avrebbe simulato scenari di errore basati sul processo esistente, calcolando la probabilità di un “evento raro ad alto impatto” e dimostrando matematicamente che, senza un controllo di validazione elettronica, l’errore umano non era una possibilità, ma una certezza statistica nel lungo periodo. La difesa dell’ente non si sarebbe basata su “ha sempre funzionato”, ma su un report che documentava l’avvenuta implementazione di un controllo specifico per abbattere quel rischio calcolato, trasformando la difesa da una speranza a una certezza documentale.
Le conseguenze per l’ospedale ora si muovono su più livelli. Il danno reputazionale è immediato e devastante, con una perdita di fiducia difficilmente quantificabile ma di enorme portata economica. Sul piano civilistico, si apre la strada a richieste di risarcimento milionarie da parte delle famiglie coinvolte. Ma è il fronte penale-amministrativo quello più insidioso. Se l’inchiesta penale dovesse accertare lesioni colpose a carico di uno o più operatori, e se il Pubblico Ministero dovesse collegare tali lesioni alla macroscopica falla organizzativa evidenziata dagli stessi ispettori, scatterebbe la responsabilità diretta dell’ente ai sensi dell’art. 25-septies.
Le sanzioni previste sono pesantissime. La sanzione pecuniaria, calcolata in quote, potrebbe raggiungere importi elevatissimi, commisurati al fatturato e alla gravità della colpa organizzativa. Ancora più temibili sono le sanzioni interdittive: il giudice potrebbe disporre la sospensione o la revoca dell’autorizzazione all’esercizio dell’attività di PMA, il divieto di contrattare con la pubblica amministrazione o l’esclusione da agevolazioni e finanziamenti. Infine, la confisca del profitto, che in questo caso potrebbe essere identificato nei ricavi ottenuti dal centro continuando a operare con un modello organizzativo palesemente inadeguato e a rischio noto, come dimostra l’approvazione informale del 21 luglio.
L’adozione preventiva di un sistema di controllo digitale non sarebbe stata solo una misura di buona pratica clinica, ma un presidio legale strategico. Avrebbe trasformato un costo (l’acquisto di una tecnologia come RI Witness) in un investimento per la messa in sicurezza dell’intero valore aziendale. La presenza di un log digitale immutabile che attesta l’identificazione univoca di ogni campione biologico in ogni fase del processo avrebbe costituito la “prova regina” per dimostrare in giudizio l’elusione fraudolenta del modello da parte del singolo operatore, qualora l’errore fosse stato deliberato, o l’efficacia del modello stesso nel prevenire l’errore colposo. Senza questa prova tecnologica, l’ente si trova ora a dover difendere un sistema intrinsecamente fallibile, la cui debolezza è stata certificata da due enti di vigilanza.
La vicenda del San Raffaele diventa così un caso di studio per l’intero settore sanitario. La spinta dei vertici della sanità pubblica per l’introduzione di un sistema anti-errore obbligatorio in tutti i centri di PMA è la logica, ma tardiva, conseguenza di un evento che si poteva e si doveva prevenire. La compliance 231 non è un adempimento burocratico, ma un’architettura di difesa che, se implementata attraverso tecnologie sovrane e protocolli rigorosi, cessa di essere un costo e diventa il principale asset a protezione del patrimonio, della reputazione e della continuità operativa dell’impresa. La differenza tra un’approvazione informale e un processo di mitigazione del rischio tracciato e automatizzato è la stessa che intercorre tra un danno potenziale da milioni di euro e la sua neutralizzazione. La lezione impartita dalla REDAZIONE SCUDO231 è che nel 2026, la gestione del rischio non può più essere affidata alla memoria umana o a catene di email, ma deve essere delegata a sistemi deterministici che non dimenticano, non si distraggono e, soprattutto, lasciano una traccia inconfutabile.