1. Con la sentenza in epigrafe, la Corte di appello di Ancona, in parziale riforma della sentenza del Tribunale di Ancona del 4 luglio 2019, ha dichiarato non doversi procedere nei confronti di A.A. e della Api Raffineria Spa in relazione alle contravvenzioni e dell'illecito amministrativo di cui ai capi B), C) e D) perchè estinte per intervenuta prescrizione e, concesse le circostanze attenuanti generiche in regime di equivalenza, ha ridotto a mesi 8 di reclusione la pena inflitta al A.A. e ad anni uno di reclusione la pena inflitta ad B.B. in relazione al reato di cui agli artt. 113 e 589 c.p. (capo A) (benefici della sospensione condizionale della pena concessi con la sentenza di primo grado) e ha confermato la condanna dei predetti e della responsabile civile Api Raffineria Spa al risarcimento del danno cagionato alle parti civili.

Il capo A) dell'imputazione è la seguente:

A) art. 113 c.p. e art. 589 c.p., comma 2, perchè, in cooperazione colposa tra loro, essendo il A.A. Amministratore Delegato, I.I. (originario coimputato) responsabile del settore Manutenzione, L.L. (originario coimputato) responsabile del Reparto Ispezione, B.B. dirigente del Settore Operazioni, M.M. (originaria coimputata) dirigente del Settore Produzione, N.N. dipendente con mansioni di operatore addetto alla messa in sicurezza dell'impianto della Spa API, società committente dei lavori eseguiti sui propri impianti e O.O. (originario coimputato) legale rappresentante della FERPLAST Srl esecutrice dei lavori e datore di lavoro, per colpa generica e per inosservanza delle norme di prevenzione degli infortuni sul lavoro ed in particolare dell'art. 28, comma 2, lett. b) e d), rispettivamente nell'ambito delle specifiche competenze disponendo, dirigendo, organizzando, coordinando ed autorizzando l'esecuzione di lavori di manutenzione di tredici valvole di sicurezza dell'impianto vapore esistente all'interno dello stabilimento API ad impianto in funzione anzichè fermo (l'Amministratore Delegato e i Dirigenti dei Settori Operazioni, Produzione e Manutenzione), quindi con un elevato rischio di fuoriuscita di vapore durante le operazioni di smontaggio delle PSV, senza adottare le cautele necessarie per evitare il suddetto rischio e comunque senza prescrivere l'emissione di singoli permessi di lavoro per lo smontaggio di ogni valvola di sicurezza, senza prevedere idonee misure di prevenzione e comunque una procedura di sicurezza idonea ad evitare il predetto rischio e senza disciplinare la gestione dei permessi di lavoro multipli o cumulati, protratti per più turni e contemporanei, con conseguente esecuzione di molteplici lavorazioni contemporanee e protratte nel tempo, non soggette a controllo da parte degli stessi operatori che le hanno autorizzate ed eseguite da operatori appartenenti all'area PRA - reparto alta pressione - anzichè da almeno due operatori del Reparto Ispezione, senza controllare la preventiva chiusura delle valvole di intercettazione e l'apertura della valvola di drenaggio esistenti prima di ogni PSV (a carico del Settore Operazioni, dell'Area Manutenzione e del Reparto Ispezioni dell'API), accollandosi la messa in sicurezza degli impianti che invece spettava al personale API e senza far verificare che dalla valvola di drenaggio non fuoriuscisse più vapore (legale rappresentante FERPLAST), in seguito a consegna del Permesso di lavoro n. 180248 del 29 maggio 2013 relativo allo smontaggio di tredici valvole PSV ma privo del loro elenco e di planimetria, da parte del capoturno in servizio P.P. e dell'Operatore di area N.N., che lo rifirmava il giorno successivo per la prosecuzione dei lavori, facevano eseguire lavori di smontaggio della valvola di sicurezza denominata PSV 2651 ad impianto del vapore acceso e, in conseguenza delle condotte colpose sopra delineate, in particolare l'avere fatto eseguire i lavori di smontaggio della valvola di sicurezza ad impianto acceso o comunque funzionante, l'avere omesso di potenziare il sistema di controllo dell'impianto con idoneo investimento per dotare ogni valvola di intercettazione di un sensore di prossimità che permetta di verificarne la chiusura dalla Sala controllo in qualunque momento e soprattutto al momento di iniziare lo smontaggio della corrispondente valvola di sicurezza, l'avere omesso di far eseguire la messa in sicurezza della valvola o almeno la sua verifica da almeno due operatori del Reparto Ispezione o di altro reparto API altrettanto competente, e comunque l'avere omesso di affidare la verifica finale della messa in sicurezza delle valvole anche agli operatori incaricati dello smontaggio, istruendoli a riconoscere le valvole di drenaggio ed a verificare che queste ultime risultassero aperte e che non ne fuoriuscisse più vapore, cagionavano la morte per insufficienza multiorganica ed ARDS conseguente ad ustioni profonde ed estese al 75% del dipendente della FERPLAST Srl Q.Q. che, eseguendo i lavori di smontaggio della valvola PSV 2651, era investito dal vapore ad alta pressione fuoriuscito dalla predetta valvola non messa in sicurezza.

2. Con sentenza del 4 luglio 2019, il Tribunale di Ancona, oltre alle statuizioni suindicate, aveva assolto I.I., L.L. e M.M. dal reato di cui ai capo A), perchè il fatto non costituisce reato e Api Raffineria Ancona Spa dell'illecito di cui al capo B) perchè il fatto non sussiste.

L'incidente che aveva causato il decesso del Q.Q. si verificava il (Omissis) all'interno dello stabilimento Api di (Omissis) durante i lavori di manutenzione degli impianti, eseguiti dopo il periodo di fermata generale annuale.

Nella sentenza era illustrato il programma in tre fasi di ravviamento finalizzato alla messa in funzione dell'impianto di produzione di vapore dopo il periodo di fermo: 1) avviamento delle unità di servizio, tra cui la caldaia ausiliaria (ASG-auxiliary steam generetor); 2) bonifica delle tubature ed apparecchiature con il vapore 3) ciecatura.

Già in date 9/10 maggio, dopo la messa in servizio della caldaia (fase 1), era iniziata la produzione di vapore necessaria alla bonifica degli impianti (fase 2), precedentemente mantenuti in pressione di azoto, per conservarne l'integrità. Il vapore prodotto da detta caldaia, attraverso la rete vapore dello stabilimento, arrivava alla linea vapore ad alta pressione HPS, tubazione sulla quale, tra le altre, era installata proprio la valvola di sicurezza PSV-2651 (valvola definita di sicurezza poichè, quando la pressione dei fluidi all'interno della linea su cui è montata crescono al di sopra di un valore critico, si apre automaticamente, con un sistema a molla, consentendo di scaricare il fluido contenuto all'esterno. Quando la pressione ritorna ai suoi valori normali, la valvola si richiude automaticamente).

Mentre eseguiva lo smontaggio della valvola di sicurezza PSV-2651, posta sulla linea vapore dell'impianto denominato platforming U.2600 del reparto PRA (Alta Pressione), il Q.Q. era investito da un getto di vapore che gli procurava lesioni gravissime a seguito delle quali decedeva il (Omissis).

Una volta riavviata la caldaia, prodotto il vapore e bonificata la linea, detta valvola, unitamente ad altre 12, doveva essere smontata, sottoposta alla taratura periodica in officina e rimontata. Per smontare le valvole era necessario eseguire, per ciascuna di esse, una serie di operazioni preliminari consistenti nella chiusura della valvola di intercettazione posta a monte di quella di sicurezza e nella depressurizzare della linea mediante apertura della valvola di drenaggio posta a valle. In questo modo il vapore presente nella tubatura rimaneva bloccato in corrispondenza della valvola di intercetto, mentre quello rimasto nella porzione di linea in cui erano istallate le valvole di sicurezza era scaricato dalla valvola di dreno, assicurando così agli operatori in campo che nella porzione di linea da lavorare non fosse più presente vapore.

I lavori di manutenzione in oggetto erano stati affidati in appalto dall'API ad una ditta esterna, la COIMA - Consorzio Industriale Marche. A sua volta la COIMA (committente) aveva stipulato con la consorziata COSMI (appaltatore) e con la FERPLAST (sub appaltatore) un "Accordo Quadro per attività di manutenzione impianti", con cui era stato assegnato a quest'ultima l'incarico di montaggio e rimontaggio delle tredici valvole. La gestione della sicurezza dei lavori di manutenzione appaltati era regolata dal DUVRI (Documento Unico di Valutazione dei Rischi di Interferenze) e dal PSC (Piano di Sicurezza e Coordinamento) elaborati dalla committente Api e dal POS (Piano Operativo Sicurezza) elaborato della ditta esterna FERPLAST. Il lavoro di smontaggio delle 13 valvole - tra cui la PS 2651 - era stato disciplinato dal PdL n. 180248, composto da diverse sezioni, ciascuna delle quali specificava gli adempimenti da compiere e i soggetti a ciò incaricati (richiedente, emittente, responsabile dell'esecuzione dei lavori e operatore di reparto).

In data 29 maggio 2013, P.P. - capoturno giornaliero di fermata dell'Api - in qualità di emittente compilava e firmava il quadro B2, della sezione B del PdL, che elencava le precauzioni di processo e operative adottate, tra le quali erano barrate le caselle "apparecchiatura/linea depressata", "apparecchiatura/linea vuotata", "apparecchiatura/linea intercettata", "apparecchiatura/linea discata cieca"; mentre il N.N. - operatore di unità dell'API - compilava e firmava il quadro D, dichiarando così di aver verificato l'attuazione delle prescrizioni di cui ai punti B2 e B3 ed autorizzando l'inizio dei lavori. Pertanto, quella giornata, una volta compilato e firmato il PdL da tutti i soggetti responsabili e in tutte le sue sezioni, iniziavano i lavori di smontaggio delle tredici valvole. Al termine del turno, però, gli operatori riuscivano a smontare solamente una parte limitata delle 13 valvole, per cui si rendeva necessaria la prosecuzione dell'attività il giorno seguente.

Difatti, in data (Omissis), era compilato un nuovo modulo di autorizzazione alla ripresa dei lavori. Firmando detto permesso, l'emittente P.P. delegava l'operatore di unità N.N. a procedere al controllo della permanenza delle condizioni di sicurezza indicate nel PdL ai fini della ripresa dei lavori e il N.N., firmando il documento, attestava di avervi proceduto, autorizzando la ripresa dei lavori. In calce al modulo era riportata la firma del Responsabile Esecuzione Lavori, R.R , per presa visione ed accettazione.

Ricevuto detto modulo, la squadra di operali FERPLAST composta dal Q.Q. e da S.S , dietro indicazione del caposquadra Cosmi T.T. (il quale, a sua volta, aveva ricevuto istruzioni in tal senso dal capoturno API U.U.), si recava sulla valvola PSV-2651, ma, nell'aprire l'accoppiamento flangiato, il Q.Q. era investito da un getto di vapore bollente (temperatura 400 e pressione 40 bar) che gli cagionava le gravissime ustioni che poi lo portavano alla morte.

Sulla dinamica dell'incidente erano stati sentiti i seguenti testi: S.S , dipendente FERPLAST ed appartenente alla squadra recatasi a smontare la valvola PSV-2651; T.T. Vittorio, dipendente Cosmi, quel giorno caposquadra in raffineria; R.R , dipendente Cosmi anch'egli in raffineria il giorno dell'infortunio; P.P., capoturno API il giorno del fatto; V.V., dipendente API, presente in raffineria il giorno precedente; U.U., dipendente API, in raffineria il giorno dell'incidente con funzione di capoturno senza ruoli specifici con riferimento al PdL in oggetto; Z.Z., dipendente API in raffineria il giorno dell'infortunio.

Tenuto conto delle - in parte qua assolutamente concordi - informazioni fornite dai predetti e dei convergenti esiti dell'ulteriore istruttoria dibattimentale espletata, il Tribunale ricostruiva la dinamica dell'infortunio che aveva condotto al decesso del Q.Q. e riteneva dimostrato che, quando il (Omissis), la squadra di operai FERPLAST si era recata presso la linea di vapore su cui avrebbero dovuto intervenire, diversamente da quanto attestato nel relativo PdL, la valvola PSV-2651 non era stata messa in sicurezza, in quanto la valvola di intercetto posta a monte non era stata chiusa. Tale mancata chiusura comportava che, non appena i due operai avevano iniziato a rimuovere i bulloni della valvola PSV-2651, improvvisamente l'accoppiamento flangiato si era aperto, con conseguente uscita del getto di vapore che aveva investito in pieno il Q.Q., soggetto più vicino all'apparecchiatura.

Il Tribunale riteneva fondati gli addebiti formulati dalla pubblica accusa circa l'ambiguità dei permessi di lavoro cd. cumulativi, ossia riguardanti interventi multipli o cumulativi da svolgersi per più turni o per più giorni.

Nel verbale di prescrizione ASUR del 23 luglio 2013, era stato contestato al datore di lavoro A.A., di non aver individuato, in relazione a tale tipologia di permessi, una procedura di sicurezza sufficientemente esaustiva volta ad evitare il rischio della mancata messa in sicurezza degli impianti a causa della sovrapposizione di più lavorazioni contemporanee o protratte nel tempo. Sentito a dibattimento, il tecnico ASUR W.W., confermava che tale rischio era proprio quello concretizzatosi nella vicenda in oggetto, in cui non erano state attuate misure di prevenzione per ogni singola valvola.

Analoghe valutazioni erano effettuate dal C.T. del P.M. prof. Y.Y., il quale confermava il proprio giudizio di inidoneità dei permessi rilasciati dall'API. Al contrario, il consulente della difesa ing. J.J. sosteneva che l'utilizzo dei permessi cumulativi rappresentava una prassi consolidata e perfettamente in linea con la salvaguardia della sicurezza del lavoro, data la ricorrenza di una serie di circostanze, tutte sussistenti nel caso di specie: apparecchiature insistenti sullo stesso impianto e simili tra loro, tipologie di lavoro omogeneo/ripetitivo; attività eseguite sotto la responsabilità e il coordinamento dello stesso Responsabile Esecuzioni Lavori.

Il Tribunale evidenziava che la generica dicitura, contenuta nei riquadri B2 e D del PdL, "precauzioni di processo e operative adottate", era suscettibile di essere fraintesa, lasciando intendere all'operatore sul campo che tutte le valvole indicate nell'elenco allegato fossero già state messe in sicurezza, anche perchè il giorno precedente all'infortunio erano state messe in sicurezza solo le 3 o 4 valvole da smontare quel giorno, in quanto era prassi intercettare le valvole man mano che si procedeva coi lavori. Secondo il Tribunale, per evitare simili fraintendimenti, sarebbe stato necessario predisporre un diverso modello di PdL con un ulteriore spazio o allegato in cui venisse richiesto di dare conto, per ciascuna valvola, dell'avvenuta messa in sicurezza, indicando anche giorno ed ora dello svolgimento di detta operazione e il nome del soggetto che vi aveva provveduto e che avrebbe dovuto apporre una sottoscrizione specifica, attestando tali circostanze con riferimento a ciascuna valvola.

Erano stati ritenuti, invece, infondati ulteriori gli addebiti relativi all'esecuzione delle operazioni di manutenzione eseguite ad impianto di vapore acceso, anzichè spento, e alla mancata installazione di sensori di prossimità, essendo stata giudicata, in particolare, l'applicazione di tale ultimo strumento una precauzione solo auspicabile, ma, allo stato, non esigibile, attesa l'evoluzione attuale della tecnica e l'inesistenza di un simile presidio in qualsiasi altra raffineria.

In merito al mancato coinvolgimento nella verifica della messa in sicurezza degli operatori del reparto ispezioni, pur condividendosi il coinvolgimento nelle operazioni di un reparto diverso rispetto a quello personalmente destinato alla messa in sicurezza, non si è ritenuto pertinente chiamare in causa il reparto ispezioni, in quanto dall'organigramma API tale articolazione non risultava avere funzioni operative.

Con riferimento alla posizione del datore di lavoro del deceduto, l'addebito relativo al promesso coinvolgimento degli operai materiali esecutori dei lavori nella verifica ultima della messa in sicurezza era stato ritenuto fondato.

L'inadeguatezza della procedura SGS.P.01.4 aveva costituito l'addebito di colpa anche per l'Amministratore Delegato API Cognati, in quanto le procedure di sicurezza costituiscono parte integrante del DUVRI che dia questi promana e rientrano tra le attribuzioni non delegabili del datore di lavoro.

Quanto alla responsabilità amministrativa dell'API, il Giudice ha rilevato come, seppure nel caso di specie risultasse integrato il presupposto soggettivo, tuttavia, l'ulteriore requisito di aver commesso il fatto nell'interesse o a vantaggio dell'ente non era ravvisabile. Le incongruenze sottostanti al rilascio dei permessi erano state causate da negligenze che non avevano determinato modifiche rilevanti in termini di tempi e costi per l'ente, in quanto l'API non avrebbe subito sostanziali aggravi di spesa se fosse stata adottata una procedura più dettagliata.

Quanto alla posizione della FERPLAST, era stato evidenziato che nel verbale di prescrizioni ASUR del 23 luglio 2013 era stato contestato al datore di lavoro della persona offesa (O.O., legale rappresentante della FERPLAST) di non avere individuato una misura di prevenzione idonea a ridurre al minimo il rischio di investimento dei lavoratori da fuoriuscite di vapore durante lo smontaggio delle valvole. Infatti, nel POS elaborato dalla FERPLAST, con riferimento a questa tipologia di lavorazioni, tra le misure di prevenzione e protezione, era stata prevista testualmente la verifica che le linee di processo fossero state intercettate, senza però specificare il soggetto deputato alla verifica e le modalità di svolgimento.

Peraltro, al riguardo, il CT del P.M. prof. Y.Y. aveva chiarito che gli operai potevano verificare visivamente ed agevolmente, se la valvola da smontare fosse o meno in sicurezza.

3. La Corte di appello ha osservato che l'infortunio mortale non era stato frutto di improvvide ed imprevedibili iniziative di singoli dipendenti API coinvolti nelle attività di manutenzione in corso, bensì di gravi falle esistenti in materia nelle procedure antinfortunistiche predisposte dall'API e nella loro attuazione, essendo emersi, in particolare, i seguenti punti critici:

1) insufficienza, incongruità ed ambiguità della procedura SGS.P.014 relativa al rilascio del permesso di lavoro, specie in caso di lavori multipli e di conseguente emissione di un unico permesso di lavoro cumulativo;

2) esistenza di una prassi applicativa - frutto anche delle carenze di cui al punto precedente - per cui per "apparecchiatura sulla quale operare" era intesa la singola valvola e si intercettavano, pertanto, via via le singole valvole che fermavano il flusso del vapore verso ciascuna singola da rimuovere e non a mettere in sicurezza, prima dell'inizio dei lavori di manutenzione, tutte le tredici valvole da smontare;

3) totale mancanza di rilevazione del rischio specifico di fuoriuscita di vapore bollente a 400 di temperatura connesso alle attività demandate agli dipendenti della FERPLAST (e, in particolare, alla persona offesa) e assenza dell'indicazione di tale (maggiore e più grave perchè mortale) fattore di rischio nella documentazione predisposta in relazione al compimento dell'attività lavorativa;

4) negligenze nell'individuazione ed assegnazione dei ruoli ai singoli soggetti coinvolti nelle varie operazioni.

In ordine al punto 3) deve rilevarsi che, nel permesso di lavoro in atti relativo alle operazioni qui di rilievo, v'era scritto che i rischi specifici derivanti dalla tipologia di lavoro erano solo quelli di "caduta da piani elevati" e "caduta di oggetti utensili" e che, nel contempo, nell'ambiente e/o nelle tubature avrebbero potuto trovarsi le seguenti sostanze nocive: acido solfidrico, azoto e idrocarburi. Ciò dimostrava che l'atto non era stato compilato con la previsione di fare il lavoro a impianto di vapore acceso, giacchè il vapore surriscaldato, come evidenziato da tutti i tecnici che si erano espressi sul punto (a cominciare dai CCTT delle difese), non rientrava tra le sostanze tossiche e/o nocive sopra indicate e, anzi, aveva proprio la funzione di bonificare le linee da eventuali residui di tali sostanze tossiche e/o nocive.

Pur essendo i lavori qui di interesse (appaltati alla FERPLAST) di carattere periodico e da effettuarsi su di una linea di vapore a 42 bar e a 400 di calore, l'API non aveva segnalato tale fonte di pericolo; poichè si era intervenuti ad impianto acceso, anzichè spento, una simile fonte di pericolo esisteva aldilà delle precauzioni adottate o da adottarsi (quali quella di intercettare le valvole), sussistendo la concreta possibilità di errori umani e di malfunzionamenti o di inefficienze delle valvole di intercetto. Anche il teste K.K. confermava tale circostanza, avendo affermato che era prevedibile una rottura o una mancata tenuta di una valvola di intercettazione per un difetto di costruzione, per usura e per qualsiasi altra ragione.

Del resto se, nonostante l'opera di bonifica svolta dal vapore, l'API aveva ritenuto necessario evidenziare la remota possibilità di permanenza di residui di sostanze pericolose nei tubi, a maggiore ragione non avrebbe dovuto essere sottaciuta la possibile presenza di un elemento potenzialmente mortale quale il vapore a quella temperatura. Nè si comprendeva come, in un impianto che produceva, appunto, vapore, avrebbero potuto trovarsi sostanze tossiche, ma non vapore.

Ne discende il completo scollamento tra il contenuto del permesso di lavoro (relativo, peraltro, ad attività che avevano carattere abituale e non poteva quindi certo non essere conosciute da tutti i livelli dell'organizzazione Api) e la specifica attività che questo era destinato a disciplinare.

Sono irrilevanti, pertanto, le argomentazioni difensive dirette ad adombrare una responsabilità della persona offesa, perchè questa non avrebbe seguito pedissequamente le regole da adottarsi nello smontaggio delle valvole (procedendo su un tirante alla volta con un'operazione a croce), giacchè, a parte l'elevata pressione il vapore comunque sarebbe sicuramente fuoriuscito; in ogni caso il rischio della fuoriuscita di vapore non era mai stato segnalato e, pertanto, la persona offesa non era rimproverabile, per non avere ipoteticamente adottato precauzioni in tal senso.

Il permesso di lavoro costituiva l'ultimo adempimento/documento che avrebbe dovuto garantire l'effettuazione in completa sicurezza dell'intervento in esame. Il complesso sistema di gestione della sicurezza applicato dall'API prevedeva l'interazione tra diverse procedure e compendiate principalmente in tre documenti: il DUVRI (di cui al D.Lgs. n. 81 del 2008, art. 26, comma 1, lett. b), comma 2, lett. a) e b), commi 3 e 6); il PSC e il Permesso di Lavoro (PDL).

Mediante il DUVRI, l'API avrebbe dovuto evidenziare e fornire alle ditte esecutrici le informazioni relative ai pericoli esistenti all'interno della raffineria; con il PSC avrebbe dovuto particolareggiare tali informazioni con riferimento allo svolgimento delle singole attività da svolgersi (come quella poi sfociata nel sinistro mortale) e attraverso il PDL avrebbe dovuto dare atto delle precauzioni da adottarsi ed effettivamente adottate per tutelare i lavoratori durante dette singole lavorazioni.

Ebbene, nella sezione relativa all'Organizzazione per i lavori in appalto del DUVRI, alle pagg. 40/43, al paragrafo 2.2.1 si legge: "Schede riportanti i principali fattori di rischia presenti nelle aree dove verranno effettuate le attività affidate alle ditte Appaltatrici"; l'API informava che erano state predisposte schede di censimento dei pericoli per ogni singola area, così da evidenziare tutti i fattori di rischio.

Partendo dall'analisi della scheda relativa ai pericoli di Area U-2600, è indicata la possibile presenza di superfici e/o materiali caldi e freddi - derivanti anche da getti di liquido o vapore - e come scenario ipotizzato/causa è indicata solo quella relativa all'esistenza di superfici calde accessibili; è l'unico accenno contenuto nel DUVRI in relazione all'eventuale presenza di vapore, privo di specificazioni quali condizioni di temperatura e pressione, in cui si sarebbe potuto presentare.

Coordinando questa generica informazione con le schede di censimento dei pericoli concreti relativi alle attività che la FERPLAST avrebbe dovuto svolgere secondo quanto riportato nel contratto d'appalto (scheda 2.1 Inserimento/Rimozione dischi ciechi, 2.2 Montaggio smontaggio tubazioni e componenti apparecchiature, 2.5 Lavori a freddo, 2.11 Sollevamento Apparecchiature/attrezzature tramite autogru), il riferimento alla presenza di vapore scompariva dei tutto.

Nella scheda 2.1 (Inserimento/Rimozione dischi ciechi), nelle precauzioni da adottare a carico della committente (API) era indicata la procedura di svuotamento, depressamento e bonifica delle apparecchiature, mentre a carico dell'impresa esecutrice era indicato solo l'uso di guanti e indumenti idonei in funzioni delle caratteristiche delle pericolosità dell'agente chimico con il quale si poteva venire in contatto.

Quindi il vapore acqueo surriscaldato, che, pur essendo estremamente pericoloso, non costituisce, però, certo un agente chimico, non era stato indicato tra i rischi - neppure remoti - che si potevano profilare nell'esecuzione dei lavori. Analogamente nel Piano di Sicurezza e Coordinamento (PSC) del 21 maggio 2013 concernente la "Manutenzione impianti di raffineria giugno 2013", a pag. 7, par. 8, erano stati analizzati tutti i possibili rischi derivanti dai lavori di manutenzione da effettuarsi sull'impianto, con ulteriore rimando, quanto alla loro specifica individuazione, al DUVRI e al Permesso di Lavoro (PdL) (oltre che all'Analisi Rischio Lavoro -.)FIA - per le attività complesse, tra le quali non rientrava quella qui in esame).

Ebbene, al paragrafo 8.2.1, erano state elencate le prescrizioni scaturite dalla valutazione dei rischi per attività particolari come segue: "Nel caso in cui si valuti il rischio di contatto con sostanze pericolose (es, sostanze liquide, vapore, etc.) nel permesso di lavoro dovrà essere riportata anche la prescrizione sull'uso della visiera in aggiunta agli altri dispositivi di protezione individuale. L'uso della visiera è limitato alle sole fasi di apertura di accoppiamenti flangiati". Dunque anche dal PSC non si evincevano rilevazioni del rischio specifico per taluni lavoratori - certo non emendabile con uso di una semplice visiera - di essere investiti da vapore ad alte temperatura (400C) e pressione (42 Kg/cm2).

Della completa carenza in parte qua anche nel permesso di lavoro che aveva regolato concretamente l'attività nell'esecuzione della quale si era verificato l'infortunio si è già detto innanzi (nessun cenno rivenendosi in esso al pericolo di fuoriuscita di vapore e neppure all'eventuale uso della visiera) nè era emerso che informazioni in tal senso fossero circolate nelle riunioni di coordinamento effettuate prima dell'inizio dei lavori e alle quali avevano partecipato anche i rappresentanti della ditte esterne. Tali carenze informative, unite a quelle relative all'organizzazione degli interventi derivanti dall'assenza di appropriata regolamentazione dei lavori cumulativi, avevano inciso in modo determinante nella veril1cazione dell'infortunio, giacchè, se anche a ritenere legittima la scelta aziendale di procedere ai lavori con l'impianto di vapore acceso (anzichè in condizione di spegnimento che, ovviamente, avrebbe azzerato ogni rischio per i dipendenti FERPLAST), nondimeno tale scelta era stata presa, appunto, a costo di assoggettare gli operatori ad un pericolo assai rilevante (perchè potenzialmente letale) e, allora, la relativa procedura avrebbe dovuto essere ideata e attuata con criteri di estrema prudenza, sensibilizzando gli attori della vicenda e costringendoli, anche mediante la redazione di apposito PdL, ad "attestare" l'effettiva avvenuta esecuzione dei necessari interventi di intercettazione e di scarico del vapore in relazione a ciascuna valvola, si da ridurre drasticamente sino ai limiti più bassi possibili il rischio di errori umani.

Inoltre, la dovuta informazione fornita al responsabile e ai dipendenti della FERPLAST circa il rischio di cui si è detto avrebbe consentito anche a questi ultimo di adottare le necessarie precauzioni. La FERPLAST, infatti, era attrezzata per lavori da svolgersi in ambienti pericolosi del genere di quello di cui si discute (quali fonderie) e, tra le proprie dotazioni, aveva anche caschi e tute ignifughe e protettive dal calore che avrebbero potuto se non evitare, certamente ridurre in maniera consistente i danni provocati dal contatto con il vapore surriscaldato e, con essi, l'evento morte. Gli stessi operai della FERPLAST avrebbero potuto essere invitati ad effettuare un controllo finale visivo circa lo stato delle valvole di intercetto, dato il pericolo che da esse si potesse sprigionare del vapore a simili temperature e pressione.

L'inadeguatezza della procedura costituiva addebito di colpa ascrivibile anche all'amministratore delegato A.A.. Le procedure di sicurezza, per quanto non specificatamente approvate e sottoscritte dall'amministratore delegato, appartengono al Duvri e rientrano tra le attribuzioni indelegabili del datore di lavoro.

Il datore di lavoro è tenuto a redigere e sottoporre ad aggiornamento il documento di valutazione dei rischi previsto dal D.Lgs. n. 81 del 2008, art. 28, all'interno del quale deve indicare in modo specifico i fattori di pericolo concretamente presenti all'interno dell'azienda in relazione alla singola lavorazione o ambiente di lavoro e le misure precauzionali e dispositivi adottati per tutelare la sicurezza e la salute dei lavoratori; il conferimento a terzi della delega relativa alla relazione del suddetto documento non esonera il datore di lavoro dall'obbligo di verificarne l'adeguatezza e l'efficacia e di informare i lavoratori dei rischi connessi alle lavorazioni in esecuzione e di fornire loro una formazione sufficiente ed adeguata.

Anche il teste X.X., responsabile risorse umane e organizzazione di Api, confermava che "l'amministratore delegato è a conoscenza di tutte le procedure che si utilizzano nella raffineria... " sotto il profilo antinfortunistico.

Contrariamente all'assunto difensivo, l'infortunio non era stato determinato da iniziative contingenti prese da singoli dipendenti dell'API, bensì era il frutto avvelenato di gravi carenze organizzative e di evidenti deficienze esistenti nelle procedure antinfortunistiche predisposte ed attuate dall'API. Dalla documentazione acquisita e dalle dichiarazioni dell'A.B. e del X.X. si comprendeva che il reparto operativo diretto dall'B.B. organizzava il lavoro (anche sotto il profilo antinfortunistico) e curava la predisposizione dei relativi permessi, essendo egli, nel contempo, uno di coloro i quali avevano personalmente approvato la procedura SGS.P.014.

4. Il A.A., l'B.B. e la responsabile civile API, a mezzo dei rispettivi difensori, ricorrono per Cassazione avverso la sentenza della Corte di appello.

5. A.A. (nove motivi di impugnazione).

5.1. Nullità della sentenza impugnata per vizio di motivazione in relazione alla ritenuta sussistenza del nesso causale fra il decesso del Q.Q. e l'asserita incongruità ed ambiguità della Procedura SGS.P.014 relativa al rilascio dei Permessi di lavoro.

Si deduce che la Corte di merito non ha vagliato le deduzioni articolate nei motivi di appello e che gli elementi probatori - ivi puntualmente richiamati - smentivano quella ricostruzione, in quanto la procedura SGS.P.014 prevedeva la necessità di attuare tutte le misure di prevenzione prima dell'avvio dei lavori.

Ciò risultava dal testo della procedura e dalle dichiarazioni rese in dibattimento dal consulente del P.M. prof. Y.Y. e dello P.P., Emittente del permesso di lavoro 180248, che avrebbe dovuto attuare le misure di sicurezza ivi previste. La procedura SGS.P.014 era chiara nel pretendere l'attuazione di tutte le misure di sicurezza prima dell'avvio dei lavori.

L'assunto di una "equivocità" della procedura SGS.P.014 era stato smentito anche da varie convergenti dichiarazioni rese in dibattimento dai testi, secondo i quali la procedura SGS.P.014 ed il permesso di lavoro n. 180248 imponevano di intercettare tutte le 13 valvole PSV (ivi compresa la PSV 2651) prima di avviare i lavori.

Il capoturno P.P. - cioè, colui il quale avrebbe dovuto assicurare l'attuazione delle misure di sicurezza consistenti nell'intercettazione delle 13 valvole PSV (fra cui la PSV 2651) - dava esplicitamente atto che il 29 maggio 2013 (il giorno prima dell'evento) l'operatore di reparto in turno N.N. avrebbe dovuto intercettare tutte le 13 valvole PSV (ivi compresa, la PSV 2651). Di fronte a questa circostanza, nell'intento di accreditare la propria ricostruzione, la Corte di appello ha lasciato intendere che lo P.P. avrebbe solo inteso confermare che, per mettere in sicurezza 13 valvole PSV, sarebbe stato necessario chiudere altrettante valvole di intercetto. In realtà, le dichiarazioni rese dallo P.P. non avevano il significato che la Corte territoriale ha cercato di attribuire loro.

Anche lo P.P. e il consulente del P.M. Y.Y. evidenziavano che l'assunto della pretesa ambiguità della procedura e le conseguenti "invitabili incertezze", in cui si sarebbero trovati ad operare gli addetti Api a seguito della mancata regolamentazione dei permessi di lavoro "multipli", costituiva una congettura confutata dagli elementi probatori acquisiti nel corso del giudizio di primo grado.

Lo stesso emittente del permesso di lavoro P.P. - che avrebbe dovuto assicurare l'attuazione delle misure di sicurezza, infatti, dimostrava di conoscere perfettamente non solo le misure di sicurezza dovute per eseguire i lavori in sicurezza - e cioè, la necessità di procedere all'intercettazione delle 13 valvole PSV - ma (più ancora) dimostrava di essere consapevole della necessità di attuare tutte le misure di sicurezza il 29 maggio 2013, prima dell'avvio dei lavori di manutenzione.

I testi A.C. (assistente tecnico di manutenzione), A.D. (Responsabile HSE fino al 2008) e A.E. (allora Responsabile della funzione HSE) avevano confermato che, secondo la procedura SGS.P.014, le misure di sicurezza indicate nel permesso di lavoro dovevano essere tutte attuate prima dell'avvio dei lavori.

5.2. Nullità della sentenza impugnata per vizio di motivazione, in relazione all'o-messa valutazione di quanto dedotto nei motivi di appello con riferimento all'ipotesi prevista dalla procedura SGS.P.014 di ripresa dei lavori.

Si rileva che, anche a voler condividere la ricostruzione ribadita dalla Corte distrettuale - e già prospettata nella sentenza di primo grado - secondo la quale la procedura SGS.P.014 avrebbe determinato l'insorgere (per usare le parole del giudice di appello) di "inevitabili equivoci ed ambiguità", lasciando nel dubbio gli operatori API sulla necessità di intercettare tutte le valvole da subito ovvero per gradi (in parallelo al progredire dei lavori), l'osservanza della medesima, nella parte in cui disciplina la "ripresa dei lavori", avrebbe comunque impedito con certezza l'evento.

I lavori di smontaggio delle valvole PSV, infatti, avevano avuto avvio il 29 maggio 2013, dopo che lo P.P., capoturno ed Emittente, e l'operatore di unità N.N. avevano sottoscritto i quadri B2 e D del permesso di lavoro, dando atto di avere adottato le "precauzioni di processo" e di averne verificato l'attuazione; i lavori non si erano conclusi il 29 maggio ed erano proseguiti il 30 maggio, dopo la sottoscrizione da parte dello P.P. e del N.N. di un nuovo modulo, con il quale avevano autorizzato la ripresa dei lavori, dando atto di aver nuovamente verificato l'effettiva attuazione delle misure di sicurezza previste nel permesso di lavoro.

La procedura SGS.P.014 ed il permesso di lavoro regolavano espressamente tale eventualità, stabilendo che - laddove i lavori si protraessero oltre una giornata - la ripresa dei lavori dovesse essere preceduta da un'ulteriore verifica dall'effettiva attuazione delle misure di sicurezza e dalla sottoscrizione da parte dell'Emittente e dell'Operatore di unità di uno specifico "Modulo di Autorizzazione alla ripresa del lavoro". Nel paragrafo 8 della procedura SGS.P.014 (allegata ai motivi di appello, come allegato 1) era, infatti, previsto che il permesso di lavoro deve essere rinnovato quando viene richiesto per più di una giornata lavorativa.

Il rinnovo del permesso di lavoro (con conseguente autorizzazione alla ripresa dei lavori) richiede ulteriori attività di verifica a carico dell'Emittente dell'Operatore di reparto e segnatamente: a) "l'Emittente/Responsabile di area verifica che le condizioni sulla base delle quali è stato formalizzato inizialmente il Permesso di Lavoro non siano mutate, che risultino confermate le prescrizioni presenti nel Permesso di Lavoro ed appone data e propria firma"; b) "l'Operatore di reparto, accompagnato dal Responsabile esecuzione lavori, si reca sul posto e verifica che le prescrizioni operative siano state messe in atto e autorizza l'inizio dei lavori, apponendo data e firma e facendo firmare il Responsabile esecuzione lavori". Infatti, al Permesso di lavoro n. 180248 era allegato un "Modulo di Autorizzazione alla ripresa del lavoro" (già allegato all'atto di appello e di seguito riprodotto per estratto), con il quale l'Emittente (P.P.) autorizza l'operatore di reparto "a controllare la permanenza delle condizioni di sicurezza indicate nel Permesso di Lavoro ai fini della ripresa dei lavori". Nel modulo si legge che l'operatore di reparto (N.N.) autorizzava la ripresa dei lavori, "avendo verificato l'attuazione di quanto indicato nel Permesso di Lavoro". Si tratta di una circostanza di importanza cruciale, che evidenzia in modo plateale la contraddittorietà della motivazione della sentenza impugnata.

Anche a dare per buona la ricostruzione accreditata nella sentenza di appello ed a ritenere: 1) che la procedura SGS.P.014 presentasse davvero margini di incertezza tali da indurre gli operatori Api a pensare che la messa in sicurezza delle valvole potesse essere effettuata "per gradi"; 2) che si fosse instaurata davvero una "prassi operativa" in tal senso resta il fatto che il (Omissis) (i.e., il giorno dell'evento) l'Operatore di reparto N.N. - come previsto dalla Procedura SGS.P.014 e dal Modulo di "Autorizzazione alla ripresa del lavoro" - avrebbe dovuto verificare nuovamente che le misure di sicurezza previste dal permesso di lavoro 180248 per le valvole, su cui dovevano intervenire gli addetti della FERPLAST (fra cui la PSV 2651), fossero "state messe in atto", prima di autorizzare la ripresa dei lavori. Se il N.N. avesse eseguito le prescrizioni di cui alla procedura SGS.P.014 e dal "Modulo di Autorizzazione alla ripresa del lavoro", l'evento non si sarebbe verificato.

5.3. Nullità della sentenza impugnata per violazione dell'art. 43 c.p. e per vizio di motivazione, quanto alla ritenuta sussistenza di profili di colpa.

Si rileva che l'unico fra i documenti richiamati in sentenza rispetto ai quali, secondo la Corte di appello, poteva ravvisarsi un a carenza informativa, suscettibile di essere ricondotta alle attribuzioni del A.A., nelle sua qualità di Amministratore delegato e datore di lavoro, era il Documento di Valutazione dei rischi interferenziali. Il A.A. era estraneo alle attività che avevano condotto alla redazione ed al rilascio del Permesso di Lavoro 180248 redatto e sottoscritto: a) dal Responsabile del reparto manutenzione (A.C. - Quadro A1) nella sua qualità di richiedente gli interventi di manutenzione (che avrebbero dovuto condurre allo smontaggio delle 13 valvole di sicurezza PSV); b) dal Responsabile Esecuzione Lavori (R.R - Quadro A2 e Quadro C), responsabile dell'impresa esecutrice dei lavori; c) dal Capoturno giornaliero di fermata (P.P. - Quadro B1) nella sua qualità di Emittente del permesso di lavoro, al quale spettava indicare (fra l'altro) le informazioni sulle sostanze che interferivano sul lavoro e sui rischi specifici ed elencare le precauzioni di processo ed operative adottate; d) dall'Operatore di Unita/Area (N.N. - Quadro D), nella sua qualità di operatore incaricato di autorizzare l'inizio dei lavori, dopo avere verificato l'effettiva attuazione delle prescrizioni di sicurezza ivi indicate.

Il A.A. non partecipava all'elaborazione e alla redazione del Piano di Sicurezza e Coordinamento (PSC) dell'API Raffineria di (Omissis), che - come previsto dal D.Lgs. n. 81 del 2008, art. 91 e come risultante dall'estratto del PSC in atti e di seguito riprodotto - era stato redatto e sottoscritto dal Coordinatore per la Sicurezza in fase di progettazione, A.F. (e sottoscritto altresì dal responsabile dei lavori nominato dalla Committente Api Raffineria di Ancona Spa ing. I.I.).

Pertanto, (pretese) carenze informative della documentazione di sicurezza, per l'asserita mancata indicazione dello specifico fattore di rischio (vapore) nel PSC di Api Raffineria di Ancona Spa o nel Permesso di Lavoro 180248 sarebbero - anche ove esistenti - del tutto irrilevanti, in quanto pacificamente irriferibili al A.A..

L'indicazione contenuta nel DUVRI ("svuotamento, depressamento e bonifica delle apparecchiature") imponeva l'intercettazione della linea, mediante la chiusura delle valvole di intercetto a monte della PSV 2651, come attestato dallo P.P., Emittente del permesso di lavoro.

Peraltro, la scelta di non menzionare esplicitamente il vapore (o altre sostanze specifiche) nel DUVRI - ma di far riferimento come fonte di rischio al "possibile contatto con residui delle sostanze precedentemente presenti nelle apparecchiature 24 tubazioni" - coprendo così tutti i rischi derivanti dalla presenza di sostanze pericolose (indipendentemente dalla loro natura e caratteristiche) all'interno della linea e prevedendo in ogni caso come precauzione da adottare l'intercettazione ("svuotamento, depressamento") e la bonifica delle linee e delle apparecchiature, era legittima.

Essa, infatti, non aveva formato oggetto di rilievi da parte dell'ASUR Marche (che aveva svolto le indagini), del consulente del P.M. prof. Y.Y. e del P.M., che aveva incentrato la contestazione sulla (pretesa) inidoneità della procedura SGS.P.014 sui permessi di lavoro e sullo svolgimento dei lavori di manutenzione ad impianto vapore in funzione.

Anche a voler ammettere che la mancata esplicitazione nel DUVRI della presenza del vapore costituisse un'omissione rimproverabile a titolo di colpa, le misure di cautela indicate nel DUVRI con riferimento alla possibile presenza di sostanze pericolose ("svuotamento, depressamento e bonifica delle apparecchiature") richiedevano ed imponevano in ogni caso l'intercettazione della linea mediante la chiusura delle valvole di intercettazione (ivi comprese quelle a monte della PSV 2651). L'addebito di colpa, quindi, costituiva una violazione eziologicamente irrilevante rispetto all'evento, in quanto - essendo nel DUVRI comunque richiesta l'intercettazione delle linee - anche un'eventuale esplicitazione della presenza del vapore non avrebbe aggiunto nulla alle misure di cautela già previste e dovute. La stessa Corte di appello, infatti, non ha saputo indicare quale sarebbe stata l'ulteriore misura di cautela dovuta laddove fosse stata esplicitata la presenza del vapore, continuando invece a far riferimento all'esigenza dell'intercettazione delle linee prima dell'avvio dei lavori.

Un ulteriore vizio di motivazione era riscontrabile in riferimento all'assunto proiettato dalla Corte di appello - secondo il quale la mancata indicazione di tale fattore di rischio specifico avrebbe impedito all'impresa esecutrice FERPLAST di dotare i propri dipendenti di idonei DPI (caschi e tute ignifughe e protettive dal calore) in grado di impedire il decesso del Q.Q., ovvero di invitare i propri dipendenti a verificare l'intercettazione delle linee. La ritenuta possibilità per la FERPLAST di dotare i propri dipendenti di DPI in grado di impedire ili decesso del Q.Q. è stata enunciata dalla Corte territoriale, nonostante ciò non emergesse dagli atti processuali. Anzi, si pone in contrasto con le dichiarazioni rese in dibattimento dal teste A.G., funzionario dell'AsuR Marche, che aveva svolto le indagini e che aveva dato atto dell'inesistenza di DPI in grado di assicurare protezione contro il vapore alle pressioni e temperature (42 bar e 4000), caratterizzanti il getto di vapore che aveva investito il Q.Q..

L'AsuR Marche e il P.M., infatti, non avevano formulato addebiti nei confronti del A.A. (quale Amministratore delegato di API Raffineria di Ancona e datore di lavoro), di altri dirigenti della Società o di O.O., nella sua qualità di Amministratore unico e datore di lavoro della FERPLAST. Era altresì viziata l'affermazione, secondo la quale la mancata esplicitazione nel DUVRI e negli altri documenti di sicurezza della presenza di vapore surriscaldato avrebbe impedito alla FERPLAST di invitare i propri dipendenti "ad effettuare essi stessi un controllo finale visivo" circa l'avvenuta intercettazione delle linee. Al riguardo, nella sentenza impugnata si è dato atto che il POS della FERPLAST prevedeva (con riferimento alle operazioni riguardanti lo smontaggio delle valvole PSV) che gli addetti della FERPLAST verificassero l'avvenuta intercettazione delle linee e si escludeva la concreta esigibilità di un siffatto controllo da parte di tali addetti.

Dalla procedura SGS.P.014 e dal permesso di lavoro in atti si evinceva che la verifica finale prevista anche sul versante delle ditte appaltatrici (peraltro solo a livello "esterno") era successiva all'effettuazione delle operazioni di messa in sicurezza da parte dell'API e spettava solo alla Cosmi e non alle altre realtà imprenditoriali coinvolte e/o ai loro dipendenti. I dipendenti della FERPLAST, pertanto, dovevano adottare solo la precauzione di non entrare in azione, Finchè il personale preposto dell'API e della Cosmi non avesse dato loro il segnale di avvio, rassicurandoli sull'avvenuta messa in sicurezza delle valvole da smontare, la quale, tuttavia, avrebbe dovuto essere effettuata con modalità adottate a sua insindacabile scelta dall'API e, quindi, non note (ne controllabili) dagli esecutori.

5.4. Nullità della sentenza impugnata per violazione di legge e per vizio di motivazione in relazione alla ritenuta attribuibilità dell'evento a condotte colpose del A.A., nella sua qualità di Amministratore delegato di Api Raffineria di Ancona s.p.a..

Si deduce che la Corte di appello ha riconosciuto l'estraneità del A.A. alle attività riguardanti la predisposizione ed il rilascio dei permessi di lavoro, tra i quali il n. 180248 emesso il 21 maggio 2013 per l'esecuzione dei lavori di smontaggio delle valvole PSV, compresa la PSV 2651 interessata dall'evento. E ha ribadito l'estraneità del A.A. all'elaborazione e redazione della procedura SGS.P.014, la cui ritenuta inadeguatezza sarebbe (secondo la ricostruzione accreditata in sentenza) alla base dell'evento incidentale che aveva determinato il decesso del Q.Q..

In relazione alla pretesa riferibilità (anche) all'Amministratore delegato dell'inadeguatezza della procedura SGS.P.014, in ragione della sua (asserita) riconducibilità al DUVRI e, quindi, alle attribuzioni indelegabili del Datore di lavoro, va censurata la ricostruzione accreditata nella sentenza del Tribunale. La procedura SGS.P.014 non era "stata nè redatta, nè approvata, nè sottoscritta" dal A.A. e la motivazione con la quale il Tribunale aveva cercato di ricondurre a quest'ultimo la responsabilità della procedura era stata smentita - in via di fatto - dalle dichiarazioni rese in dibattimento dai testi e, in particolare, dal Responsabile del personale e dell'organizzazione X.X.). In realtà, il contenuto dell'obbligo indelegabile gravante sul datore di lavoro D.Lgs. n. 81 del 2008, ex art. 28 riguardava - semmai - la valutazione dei rischi e la redazione (ed aggiornamento) del relativo documento "e non certo l'elaborazione o redazione delle singole procedure".

Pur dando atto dell'estraneità del A.A. all'elaborazione, alla redazione e all'approvazione della procedura SGS.P.014 ed al rilascio del permesso di lavoro 180248, la Corte territoriale ha sostenuto che la (ritenuta) inadeguatezza della procedura andrebbe posta a carico anche dell'imputato, sull'assunto che tutte le procedure dovrebbero ritenersi attratte fra le attribuzioni indelegabili del datore di lavoro. Il A.A., in qualità di datore di lavoro, dovrebbe - per ciò solo - ritenersi responsabile di tutte le procedure esistenti dentro la Raffineria API. Questa impostazione travisa il contenuto dell'obbligo indelegabile del datore di lavoro di procedere alla valutazione dei rischi, come dimostrano le conseguenze obiettivamente abnormi ed incompatibili con il principio di colpevolezza - alle quali conduce la sua applicazione. L'obbligo indelegabile gravante sul datore di lavoro ai sensi D.Lgs. n. 81 del 2008, art. 28 riguarda esclusivamente la valutazione dei rischi, cui fa seguito la redazione ed aggiornamento del relativo documento (oltrechè la nomina del RSPP e del medico competente), non certo l'elaborazione e/o redazione delle procedure, in cui trovano concretizzazione le misure di cautela previste.

I "permessi di lavoro multipli" costituivano uno strumento operativo utilizzato da molti anni in raffineria - ed ampiamente "consolidato e testato", secondo le dichiarazioni del teste A.C. - ed all'interno della Raffineria API erano previsti una serie di controlli sull'adempimento della procedura SGS.P.014 e dei permessi di lavoro, anche attraverso verifiche a campione da parte di un team di specialisti munito di check-list. Non erano mai emerse anomalie o di carenze della procedura SGS.P.014 o di prassi operative scorrette degli operatori di campo.

5.5. Nullità della sentenza impugnata per violazione di legge e per vizio di motivazione, in relazione alla posizione di garanzia ed alla prevedibilità dell'evento.

Si osserva che la Raffineria API in oggetto era un'impresa estesa per una superficie di oltre 70 ettari, con centinaia di chilometri di tubazioni e migliaia di valvole di ogni tipo e dentro la quale lavoravano (all'epoca dei fatti) circa quattrocento dipendenti. A queste dimensioni faceva riscontro una corrispondente articolazione organizzativa, che prevedeva un'articolata ripartizione di funzioni e competenze, con attribuzione ad una serie di figure dirigenziali della gestione degli impianti e dell'esecuzione delle attività (ivi comprese quelle di carattere manutentivo).

Come attestato dal teste Dott. X.X. (Responsabile Organizzazione e risorse umane della Raffineria dal 2005), l'amministratore delegato non svolgeva funzioni operative, ma si occupava della gestione strategica dell'impresa nel suo complesso.

Il Tribunale aveva affermato la responsabilità dell'imputato, unicamente in virtù del suo ruolo di datore di lavoro, evidenziando che la sussistenza di profili di colpa in capo al A.A. doveva essere verificata e valutata avuto riguardo alla concreta realtà organizzativa dell'azienda. Dentro un'impresa di queste dimensioni il datore di lavoro non poteva verificare in proprio l'attuazione delle misure di sicurezza previste dai permessi di lavoro e il "dovere di sicurezza", bensì doveva assicurare il disegno organizzativo dell'insieme e apprestare un sistema di controlli idoneo ad evidenziare eventuali inadempimenti dei doveri di sicurezza da parte delle figure operative.

Non si comprendevano le ragioni, in base alle quali la ritenuta inadeguatezza della procedura SGS.P.014 avrebbero dovuto essere poste a carico dell'amministratore delegato, estraneo alla sua redazione, elaborazione ed attuazione.

Un vizio di motivazione è riscontrabile anche con riferimento al tema dei controlli e dell'avvenuta certificazione - da parte di un ente esterno accreditato (DNV) - del Sistema integrato di Gestione della Sicurezza della raffineria API e delle procedure relative (ivi compresa la SGS.P.014), in conformità allo standard internazionale OH-SAS 18001. Il sistema dei controlli comprendeva verifiche dirette a testare il rispetto della procedura SGS.P.014 e delle misure di sicurezza previste dai permessi di lavoro, demandate a specifiche figure interne alla raffineria. Dalle centinaia di controlli effettuati in raffineria nel corso di 12 anni (la procedura era in vigore dal 2001) non erano mai emerse evidenze di carenze della procedura SGS.P.014, nè di un suo inadempimento o dell'inosservanza di quanto previsto nei permessi di lavoro, nè - men che mai - di prassi applicative in contrasto con l'obbligo di attuare le misure di sicurezza ivi indicate prima dell'avvio dei lavori.

In ordine al sistema dei controlli, la Corte distrettuale ha riconosciuto l'esistenza e la pervasività del sistema dei controlli (affidati "a specialisti con l'ausilio di check list") e - più ancora - ha dato atto che da tali controlli non era mai emersa evidenza di una "prassi operativa" nella quale le misure di sicurezza fossero attuate "per gradi", in parallelo all'avanzamento dei lavori richiesti. Ma ha cercato di azzerarne la rilevanza, sostenendo che - poichè i permessi di lavoro "multipli" non erano stati esplicitamente regolati nella procedura - la mancata rilevazione di anomalie o di violazioni non avrebbe avuto alcun significato, perchè la violazione si sarebbe potuta riscontrare solo rispetto ad una procedura "codificata".

Così facendo, però, la Corte di appello è incorsa - anzitutto - in un'evidente contraddizione. La Corte distrettuale ha dato atto che il teste A.C. aveva riferito che l'impiego dei permessi di lavoro "multipli" era diffuso da tempo in raffineria. Peraltro, il teste A.C. aveva dato atto nelle sue dichiarazioni che si trattava di una prassi non solo consolidata da molti anni, ma anche "testata". Se la modalità operativa dei permessi di lavoro "multipli" era diffusa ("consolidata e testata") da molti anni, i controlli effettuati dalle strutture specialistiche di raffineria sul rispetto della procedura SGS.P.014 e dei permessi di lavoro non potevano che essere estesi anche questi ultimi: è ovviamente inverosimile, infatti, che - a fronte di uno strumento operativo oggetto di "una prassi diffusa in raffineria" - le centinaia di controlli eseguiti negli anni sull'osservanza della procedura e dei permessi di lavoro non avessero mai avuto ad oggetto "permessi multipli".

Se fosse vera l'ipotesi, accreditata in sentenza, secondo la quale - a causa dell'incertezza indotta dalla mancata "standardizzazione" nella procedura SGS.P.014 dei permessi di lavoro "multipli" - si fosse instaurata una "prassi operativa" in cui le misure di sicurezza ivi previste erano attuate per gradi, tale circostanza non sarebbe potuta sfuggire alle strutture specialistiche di raffineria incaricate dei controlli. Data la "diffusione" dei permessi di lavoro "multipli", sarebbe stato inevitabile che, in occasione di una delle numerose verifiche effettuate, le strutture deputate al controllo si avvedessero che le cautele previste dal permesso di lavoro "multiplo" non erano state interamente attuate prima dell'avvio dei lavori, ma erano state eseguite solo in parte (e cioè, per la parte corrispondente ai lavori in corso di esecuzione). Non avrebbero certamente mancato di segnalarlo come una violazione della procedura SGS.P.014 (e, comunque, come una criticità), indipendentemente dal fatto che il permesso di lavoro fosse "singolo" o "multiplo".

La Corte di appello ha riconosciuto che le evidenze probatorie (vedi le dichiarazioni del teste A.E.) attestavano l'assenza di anomalie connesse all'adempimento della procedura SGS.P.014 o di un'attuazione parziale delle misure di cautela previste dai permessi di lavoro. L'assunto di cui alla sentenza impugnata, secondo il quale i controlli eseguiti in raffineria sui permessi di lavoro non avrebbero mai rilevato l'esistenza di alcuna prassi operativa "distorta", solo perchè la procedura SGS.P.014 non regolava esplicitamente i permessi di lavoro "multipli", si rivelava illogico e infondato.

Il A.E. - responsabile della funzione HSE - descriveva il funzionamento del sistema dei controlli, dando atto che essi comprendevano anche verifiche dirette ad accertare il puntuale rispetto della procedura SGS.P.014 e delle misure previste dai permessi di lavoro, effettuate da figure specialistiche, con l'ausilio di apposite check list. Aveva esplicitamente affermato che dai controlli eseguiti non erano emerse evidenze di prassi operative, in cui le misure di sicurezza previste dai permesso di lavoro fossero attuate progressivamente, in parallelo all'avanzamento dei lavori. Il A.E. faceva chiaramente riferimento all'ipotesi di permessi di lavoro "multipli".

Analogamente, la sentenza impugnata si esponeva ad una serie di rilievi, anche in riferimento alle argomentazioni addotte circa la Certificazione OHSAS 18001 del Sistema di Gestione della Sicurezza e delle relative procedure.

La Corte di appello non ha disconosciuto che il Sistema di Gestione della Sicurezza era stato certificato secondo lo standard OHSAS 18001, ma ha cercato di escluderne la rilevanza, sull'assunto che l'Ente di certificazione non avrebbe potuto valutare la validità della procedura con riferimento ai permessi di lavoro "multipli", che non erano espressamente regolati. Il discorso svolto dalla Corte distrettuale, tuttavia, risulta non solo carente sul piano logico, ma anche viziato in diritto.

La circostanza che il Sistema di Gestione della Sicurezza e l'intero corpo procedurale che ne faceva parte - ivi compresa la procedura SGS.P.014 sui permessi di lavoro - fossero stati certificati ai sensi del British Standard OHSAS 18001 riveste una rilevanza determinante sul terreno dell'affidamento che legittimamente il A.A. riponeva nell'idoneità della procedura.

La Corte di appello ha rimproverato al A.A. - nella sua qualità di Amministratore delegato e datore di lavoro - la ritenuta inadeguatezza della procedura SGS.P.014, in quanto (asseritamente) rientrante nelle sue "attribuzioni indelegabili". Dal momento che anche la Corte territoriale ha dovuto dare atto (come già il Tribunale) che il A.A. non aveva partecipato alla sua elaborazione, nè alla sua redazione, l'addebito di colpa rivoltogli consisteva nel non essersi avveduto della sua insufficienza/incongruità/ambiguità (e nel mancato suo intervenuto per emendarla). Tale addebito si fondava, in realtà, su una ricostruzione del contenuto dei "doveri indelegabili" gravanti sul datore di lavoro incompatibile coi principi fondanti del nostro sistema penale. L'argomentazione svolta dalla Corte territoriale collideva con il principio di affidamento, che governa le attività che richiedano la partecipazione ed il contributo di una pluralità di soggetti. Il A.A. non avrebbe potuto cogliere - da solo ed in proprio - la ritenuta insufficienza/incongruità/ambiguità della procedura SGS.P.014, dopo che non solo era stata predisposta e verificata dai responsabili delle funzioni aziendali preposte specificamente alla tutela della sicurezza in azienda, ma era stata certificata ai sensi del British Standard OHSAS 18001.

5.6. Nullità della sentenza impugnata per vizio di motivazione in relazione alla prevedibilità dell'evento ed alla ritenuta sussistenza di una prassi caratterizzata dall'attuazione progressiva delle misure di sicurezza previste dal permesso di lavoro.

Si rileva che anche a ritenere che il teste V.V. avesse confermato che le valvole non fossero state tutte intercettate prima dell'avvio dei lavori, ma in parallelo al progredire dei lavori, ciò non significava che si fosse instaurata in azienda una prassi di attuazione "per gradi" delle misure di sicurezza previste dai permessi di lavoro.

L'esistenza di una siffatta "prassi operativa" è smentita dalle dichiarazioni dello P.P., emittente del permesso di lavoro n. 180248, secondo il quale il N.N. avrebbe dovuto mettere in sicurezza tutte le tredici valvole, prima di autorizzare l'avvio dei lavori, senza fare riferimenti ad una "messa in sicurezza per gradi".

Analoga smentita poteva trarsi dalle dichiarazioni rese dal Calcagnile e dal T.T. (dipendenti della FERPLAST e colleghi del Q.Q.), laddove avevano dato atto che il (Omissis) - dopo la consegna del "Modulo di Autorizzazione alla ripresa del lavoro" sottoscritto dallo P.P. e dal N.N. - un dipendente API (poi identificato in U.U.) aveva loro indicato la collocazione della valvola PSV 2651, rassicurandoli che "era tutto a posto" e che potevano iniziare i lavori.

Se fosse vera la ricostruzione proiettata dalla sentenza impugnata di una messa in sicurezza per gradi, ci si sarebbe dovuti attendere che l'U.U. (dipendente API ed operatore di campo) accompagnasse la squadra della FERPLAST sul posto, per mettere in sicurezza la valvola PSV 2651. Al contrario, allorchè il caposquadra T.T. gli mostrava il permesso di lavoro (rectius il "Modulo di Autorizzazione alla ripresa del lavoro") e gli chiedeva se potevano iniziare il lavoro, l'U.U. rispondeva affermativamente. La Corte di appello non ha dimostrato la conoscenza - da parte del A.A. - di questa (supposta) "prassi operativa", ma ha addirittura escluso che il A.A. ed i vertici aziendali ne fossero a conoscenza. Pertanto, non v'è spazio per addebitare al A.A. la pretesa incongruità o ambiguità della procedura SGS.P.014.

5.7. Nullità della sentenza impugnata per violazione di legge e vizio di motivazione in relazione a mancato proscioglimento del A.A. dalla contestazione di cui al capo C) dell'imputazione (D.Lgs. n. 81 del 2008, art. 55, comma 3, in riferimento all'art. 28, comma 2, lett. d), D.Lgs. cit.).

Si deduce che la fattispecie incriminatrice dm cui si discute mira a sanzionare il datore di lavoro per aver adottato un DUVRI privo dell'individuazione delle procedure per l'attuazione delle misure da realizzare, nonchè dei ruoli dell'organizzazione aziendale che vi debbono provvedere.

La contestazione rivolta al A.A., tuttavia, riguardava non già l'assenza del DUVRI o la mancata indicazione in quest'ultimo delle procedure per l'attuazione delle misure di sicurezza necessarie, quanto - semmai il fatto che la procedura SGS.P.014 sui permessi di lavoro non fosse stata ritenuta "sufficientemente esaustiva", non avendo tenuto conto "della gestione di Permessi di lavoro relativi a interventi multipli o cumulati contemporanei e protratti per più turni". La contestazione formulata nei confronti del A.A. riguardava non l'inesistenza della procedura, ma solo la sua (pretesa) "inadeguatezza" (o "non esaustività"), sull'assunto che nella procedura mancasse un'indicazione specifica volta a regolare i permessi di lavoro "multipli" o "cumulativi". Ne consegue che la contestata contravvenzione doveva (e deve) ritenersi insussistente (prima ancora che in fatto) già in diritto, dal momento che l'esistenza della procedura SGS.P.014 non era mai stata messa in discussione.

5.8. Nullità della sentenza impugnata per erronea applicazione dell'art. 185 c.p., e s.s. e comunque per mancanza e manifesta illogicità della motivazione, in relazione al capo attinente le statuizioni civili.

Si osserva che, quanto esposto nei motivi precedenti, impone l'integrale riforma anche del capo civile della sentenza impugnata. In ogni caso, la sentenza è nulla nel capo attinente alla condanna civile, per mancanza assoluta di motivazione con riferimento alle censure espresse con riferimento alle statuizioni civili.

5.9. Nullità della sentenza impugnata per violazione dell'art. 133 c.p. e per vizio di motivazione, in riferimento al trattamento sanzionatorio applicato al A.A..

Si rileva che i criteri enunciati per formulare un giudizio di equivalenza tra le circostanze si pongono in contrasto coi parametri per la commisurazione della pena. Il risarcimento effettuato dalla società assicuratrice deve ritenersi eseguito personalmente dall'imputato medesimo, se questi ne abbia conoscenza e mostri la volontà di farlo proprio. Peraltro, la gradazione della pena non può essere ancorata all'età della persona offesa (o al suo stato di salute), in contrasto coi principi dell'ordinamento.

6. B.B. (sette motivi di impugnazione).

6.1. Vizio di motivazione e travisamento in relazione all'affermazione di responsabilità dell'imputato.

Si deduce che la procedura SGS.P.014 "Rilascio del Permesso di Lavoro" era conforme alle norme tecniche e agli standard Europei di riferimento (norma tecnica UNI 10449 del 2008) ed idonea a prevenire eventi del tipo di quello verificatosi, in quanto, il Permesso di Lavoro specifico per ogni singola attività disciplinava le condizioni di pericolo in relazione ad ogni operazione e le misure intraprese per fronteggiarle.

In base a tale procedura l'Emittente P.P. si assumeva la responsabilità dell'attuazione della messa in sicurezza, compilando le sezioni B2 e B3 del Modulo, relative alle precauzioni di processo ed operative adottate. A pag. 16 della procedura era previsto che egli definisse e ponesse in atto, con l'ausilio del personale operativo in turno, gli interventi sull'apparecchiatura coinvolta. Nella sua qualità di Emittente e Preposto, egli doveva vigilare sulla corretta esecuzione delle operazioni. L'Operatore di Unità N.N. doveva verificare l'attuazione delle prescrizioni di cui ai punti B2 e B3, prima di sottoscrivere l'autorizzazione ad iniziare i lavori (sezione D).

L'assunto della Corte territoriale, secondo cui l'asserito generico riferimento ad una "apparecchiatura" contenuto nella procedura potrebbe essere fuorviante, contrasta con le precise indicazioni della procedura SGS.P.014, applicabile a tutti i lavori da eseguirsi all'interno del sito, senza distinzione tra apparecchiature, macchine o linee (o porzioni delle stesse), demandando la specifica analisi relativa alla singola operazione da svolgere al Modulo "Permesso di Lavoro", compilato a cura dell'Emittente, persona esperta, rivestendo la qualifica di preposto, e più vicina alla fonte di rischio.

Con il Modulo "Permesso di lavoro" n. 180248 del 21 maggio 2013, relativo alla operazione in oggetto, alla voce "apparecchiatura interessata" era stato indicato "PSV come da elenco": non v'era incertezza, pertanto" su come compilare il modulo (che doveva riguardare tutte le valvole oggetto di intervento) o su come procedere (intercettare tutte le valvole come da elenco). L'indicazione è specifica: le apparecchiature interessate dall'intervento manutentivo avviato il 29.5.2013 erano tredici PSV, indicate in un dettagliato elenco che precisava persino la loro collocazione sull'impianto. L'Emittente, adeguatamente formato in un unico contesto avrebbe dunque dovuto mettere in sicurezza tutte le valvole, senza alcuna distinzione.

Dall'elenco delle valvole allegato al Permesso di Lavoro neppure si può intuire una qualche forma di discriminazione tra valvola e valvola. Ciò conferma come l'Emittente dovesse intercettare tutte le PSV che dovevano essere smontate. Non vi sono equivoci, pertanto, data la chiarezza della procedura, in ordine all'apparecchiatura coinvolta nei lavori ed ai compiti e responsabilità connessi alle operazioni.

6.2. Vizio di motivazione in ordine all'affermazione di responsabilità dell'imputato in punto di individuazione ed assegnazione dei ruoli ai singoli soggetti coinvolti.

Si osserva che la Corte territoriale non ha valutato tali dichiarazioni alla luce del chiaro contenuto della procedura, che non lasciava spazio a dubbi interpretativi nè a possibili fraintendimenti.

La procedura SGS.P.014 pone a carico dell'Emittente l'obbligo non solo di "definire", ma soprattutto quello di "porre in atto, con l'ausilio del personale operativo in turno, gli interventi sull'apparecchiatura coinvolta nel lavoro richiesto, per consentire l'esecuzione del lavoro in sicurezza".

All'Emittente è imposto di attuare le misure di sicurezza previste e, con la sottoscrizione del Quadro B del "permesso di lavoro", l'Emittente (Capo Turno P.P.) attestava di avere adottato e attuato tutte le misure di sicurezza richiamate nel "permesso di lavoro" e in particolare (e per quello che qui interessa) di avere intercettato la linea ("Apparecchiatura/Linea intercettata"). La procedura SGS.P.014 prevede che, successivamente, l'Emittente debba "consegnare o far consegnare al proprio Operatore il Permesso di Lavoro per la verifica dell'avvenuta attuazione delle prescrizioni (Sezioni B2, B3), che dopo la propria firma formalizza l'inizio dei lavori".

La procedura prescrive espressamente l'intervento di una seconda figura, l'Operatore di reparto/unità (nel caso di specie N.N.), che in un secondo momento è tenuta a verificare l'effettiva attuazione di tutte le misure di sicurezza previste dal "permesso di lavoro", prima di autorizzare l'inizio dei lavori. Emittente ed Operatore di Reparto/Unità sono due soggetti diversi e distinti: la procedura, quindi, esclude un'identificazione tra queste due figure.

6.3. Vizio di motivazione con riferimento all'esistenza di una prassi operativa contraria alle regole di sicurezza.

Si rileva che la Corte di appello ha preteso di dimostrare l'asserita carenza della procedura SGS.P.014 "Rilascio del Permesso di Lavoro" dal mero fatto che gli operatori avevano "agito diversamente", incorrendo, così, in un ragionamento circolare.

A questo proposito è citata la dichiarazione del R.R a conferma che i lavoratori "erano convinti che si potesse procedere per gradi", dalla quale, tuttavia, non si può ricavare l'esistenza di una prassi di procedere gradatamente.

Lo smontaggio di gruppi di valvole in uno stesso contesto era già stato realizzato nel passato; ne deriva che le corrette modalità operative non erano sconosciute al personale di raffineria e alle imprese appaltatrici che nel passato avevano sempre svolto le attività di smontaggio delle valvole con modalità analoghe a quelle da realizzare in quest'occasione, ben note ai lavoratori esperti, in quanto conoscevano a fondo l'impianto e le prescrizioni per la messa in sicurezza. Tale prassi di procedere per gradi, inoltre, era stata apertamente esclusa da molti dei testimoni, per cui la motivazione è contraddittoria rispetto alle evidenze dichiarative.

Proprio il teste P.P. il quale affermava che l'operatore di impianto avrebbe dovuto intercettare tutte e tredici le valvole, come prescritto dal Permesso di Lavoro.

Il A.C., dipendente di Api con qualifica di manutentore strumentista, chiariva che l'intervento del (Omissis) riguardava la rimozione di alcune valvole di sicurezza e che anche nel passato per questa stessa operazione erano stati aperti Permessi di Lavoro cumulativi, poichè questa era la procedura nota e consolidata.

Il A.E., responsabile della funzione salute e sicurezza, negava l'esistenza di una prassi di operare valvola per valvola, in quanto detta prassi non era emersa nè in sede di interviste condotte a seguito dell'evento per analizzare le cause e proporre azioni migliorative nè in precedenza, in sede di controlli periodici effettuati dalla stessa funzione EISE. 6.4. Insussistenza dell'elemento soggettivo sotto il profilo della prevedibilità e dell'evitabilità dell'evento; conoscenza o conoscibilità dell'esistenza di una prassi operativa contraria alle regole di sicurezza.

Si deduce che non sussistevano elementi probatori idonei a dimostrare la conoscenza in capo ai dirigenti della Raffineria di una prassi non conforme alla procedura e come non fosse possibile ricavare tale consapevolezza sulla base di inferenze connotate da logicità. La responsabilità dell'B.B. è stata riconosciuta per la mera posizione ricoperta. Non sussistevano elementi, per sostenere che in altre occasioni si fosse operato "valvola per valvola" ovvero mettendo in sicurezza l'intero impianto. L'assenza di incidenti nei casi precedenti di ricorso ai Permessi di Lavoro cumulativi costituisce, viceversa, un indice di correttezza delle modalità esecutive seguite dai lavoratori. Non essendo stati acquisiti elementi di sicura valenza probatoria in ordine all'esistenza della prassi indicata in sentenza di procedere gradatamente alla messa in sicurezza e non essendo stato svolti accertamenti in ordine a come si era proceduto nel passato, la motivazione della sentenza sul punto è del tutto mancante.

6.5. Erronea imputazione soggettiva dell'evento.

Si osserva che la responsabilità dell'evento era ascrivibile al preposto P.P., le cui condotte assumevano rilevanza causale esclusiva nella causazione dell'evento.

La violazione episodica e non prevedibile delle procedure era attribuibile alla sfera di rischio gestibile dal preposto nella fase esecutiva dell'attività. Lo P.P. avrebbe dovuto vigilare sull'applicazione delle disposizioni aziendali nel corso delle operazioni di messa in sicurezza dell'impianto Platforming (112600) del Reparto PRA. Avrebbe dovuto eseguire il depressamento, il vuotamento, l'intercettazione e la ciecatura delle linee e verificare l'effettività del controllo svolto dall'operatore N.N.. Se lo P.P. avesse rispettato la procedura e il N.N. avesse controllato il mantenimento delle condizioni di sicurezza dell'impianto, come aveva dichiarato di aver fatto sottoscrivendo l'autorizzazione all'esecuzione dei lavori, il tragico incidente sarebbe stato evitato. Non essendo derivato l'evento da una scorretta valutazione del rischio o da un difetto organizzativo generalizzato ma da un errore nella esecuzione delle istruzioni datoriali, era impossibile ravvisare profili di colpa a carico dell'B.B..

6.6. Violazione di legge e vizio di motivazione in ordine al trattamento sanzionatorio.

Si osserva che la severa valutazione della Corte di appello si è fondata su due sostanziali argomentazioni: il pagamento dei risarcimenti da parte delle compagnie assicurative; la relativa giovane età della vittima. Dette argomentazioni, tuttavia, paiono manifestamente illogiche ed in contrasto coi criteri di valutazione della gravità della condotta di reato al fine della determinazione della pena.

6.7. Erronea applicazione dell'art. 185 c.p..

Si contesta la generica condanna al risarcimento del danno sotto due profili: la totale assenza di motivazione e la mancata esclusione dalle parti risarcibili dell'infante G.P. e dei parenti esterni alla cd. famiglia nucleare (E.E., F.F. e D.D.). Emergeva la totale assenza di motivazione circa le statuizioni civili e la conseguente impossibilita di articolare un'impugnazione motivata: nella sentenza di primo grado, infatti, mancava del tutto una motivazione a sostegno della pronuncia sulla responsabilità civile, con la conseguente nullità della sentenza per carenza assoluta di motivazione. Sennonchè la Corte di appello non ha valutato detto motivo d'impugnazione, limitandosi ad esplicitare le ragioni che la inducevano a ritenere corretta la cd. condanna generica per tutte le parti civili costituite.

7. Responsabile civile API Raffineria di Ancona Spa (tre motivi di impugnazione).

7.1. Vizio di motivazione in relazione alla ritenuta sussistenza del nesso causale.

Si deduce che il Tribunale aveva individuato la causa dell'incidente nella circostanza secondo cui la valvola, diversamente da quanto attestato nel PDL n. 180248, non era in sicurezza, in quanto la valvola di intercetto non era stata chiusa e che esisteva una procedura specifica per la messa in sicurezza della summenzionata valvola di intercetto (procedura SGS.P.014), che affidava dei compiti specifici a persone individuate nel corso del procedimento, le quali non avevano effettuato quanto previsto e dichiarato nel permesso di lavoro.

Il Tribunale aveva spiegato che le valvole oggetto di manutenzione dovessero essere tutte intercettate prima dei lavori, ma tale procedura non era stata rispettata, ancorchè qualcuno avesse attestato nel permesso di lavoro il contrario. Il Tribunale aveva dunque concluso, affermando in modo netto di condividere il "parere di tutti i tecnici escussi", secondo i quali "la procedura adottata da API consistente nell'intercettazione, depressamento e svuotamento della linea, ove correttamente eseguita avrebbe escluso certamente l'evento infortunistico".

Tutte le precauzioni dettate dalla procedura dovevano essere attuate, senza possibilità di fraintendimenti, prima dell'avvio dei lavori, ma la Corte anconetana si è limitata ad escludere la possibilità di trarre dal testo della procedura tale conclusione, sottraendosi però al confronto con le prove e con le conseguenti ulteriori censure sviluppate nei motivi di appello.

L'intera motivazione addotta dalla Corte territoriale a supporto della ritenuta insufficienza/incongruità/ambiguità della procedura SGS.P.014 riposa, infatti, sull'apodittica affermazione che la mancata "standardizzazione" dei permessi di lavoro "multipli" avrebbe creato un inevitabile margine di incertezza, lasciando nel dubbio gli operatori di campo se si dovesse provvedere (fin da subito) all'intercettazione di tutte le valvole, ovvero se si potesse procedere man mano che i lavori proseguivano.

La procedura SGS.P.014 era univoca nel pretendere l'attuazione di tutte le misure di sicurezza prima dell'avvio dei lavori, circostanza riconosciuta in dibattimento anche dallo stesso consulente del P.M. prof. Y.Y.. Questi aveva riconosciuto e dato atto - nel rispondere alle domande rivoltegli dal P.M. - che non v'erano dubbi sulla circostanza che in base alla procedura ed al permesso di lavoro le misure di sicurezza previste dovessero essere adottate prima dell'avvio dei lavori di manutenzione. Secondo l'esperto nominato dal P.M., la procedura SGS.P.014 ed il permesso di lavoro non erano suscettibili di fraintendimenti, ma richiedevano che tutte le tredici valvole PSV fossero intercettate prima dell'avvio dei lavori.

L'assunto di una "equivocità" della procedura SGS.P.014 era stato smentito anche dai testi, che avevano confermato che tale procedura ed il permesso di lavoro n. 180248 imponevano di intercettare tutte le 13 valvole PSV (ivi compresa la PSV 2651) prima dell'avvio alle attività di manutenzione. La stessa Corte territoriale ha dato atto di ciò, salvo aggiungere che gli operatori in campo (P.P. e N.N.) e gli addetti delle imprese appaltatrici avrebbero fatto altrimenti, perchè "convinti che si potesse procedere per gradi". L'intima contraddizione che mina alla radice il discorso svolto dalla Corte di appello è evidente. Una cosa, infatti, è dare atto che i testi abbiano riconosciuto che "tutte le valvole avrebbero dovuto essere messe in sicurezza prima dell'inizio dei lavori". Altro conto è dare atto che gli operatori di campo P.P. e N.N. abbiano "agito diversamente", disattendendo le indicazioni della procedura e del permesso di lavoro: ciò non significa che - come ha scritto la Corte di appello - ciò sia accaduto perchè "convinti che si potesse procedere per gradi". Le procedure di sicurezza e le indicazioni che vi sono contenute, infatti, possono essere disattese dai lavoratori per ragioni non ricollegabili alla loro chiarezza ed idoneità (si pensi, ad esempio, alle violazioni dovute a pigrizia).

Lo P.P. era l'Emittente del Permesso di lavoro 180248: cioè colui che, secondo la procedura SGS.P.014 - avrebbe dovuto "definire e porre in atto, con l'ausilio del personale operativo di turno, gli interventi sulle apparecchiature coinvolte nel lavoro richiesto, necessari per eseguire il lavoro in sicurezza". Proprio lo P.P., destinatario della procedura SGS.P.014 che avrebbe dovuto assicurare l'attuazione delle misure di sicurezza consistenti nell'intercettazione delle tredici valvole PSV (fra cui la PSV 2651), dava atto che il 29 maggio 2013 (cioè, il giorno prima dell'evento) l'operatore di reparto avrebbe dovuto intercettare tutte le tredici valvole. Di fronte a questa circostanza - puntualmente dedotta dalle difese nei motivi di appello - la Corte di appello, nell'intento di accreditare la propria ricostruzione, non ha esitato a travisare il significato di quelle dichiarazioni, lasciando intendere che lo P.P. avrebbe solo inteso confermare che, per mettere in sicurezza tredici valvole PSV, sarebbe stato necessario chiudere altrettante valvole di intercetto.

Anche le dichiarazioni rese dallo P.P. (come quelle del consulente del P.M., prof. Y.Y.), dunque, evidenziano che l'assunto su cui la Corte di appello ha costruito la pronuncia di responsabilità degli odierni imputati - e cioè, la pretesa ambiguità della procedura e le incertezze operative conseguenti alla mancata regolamentazione dei permessi di lavoro "multipli" - è un'illazione, positivamente smentita dagli elementi probatori. E attestano conseguentemente la manifesta illogicità e contraddittorietà della motivazione posta a fondamento della sentenza impugnata.

Lo stesso P.P. - che avrebbe dovuto assicurare l'attuazione delle misure di sicurezza - dimostrava, infatti, di sapere perfettamente non solo le misure di sicurezza previste per eseguire i lavori in sicurezza e di essere consapevole che tutte le misure di sicurezza avrebbero dovuto essere attuate il 29 maggio 2013 prima dell'avvio dei lavori di manutenzione. Lo P.P. non aveva fatto riferimenti ad una messa in sicurezza "per gradi" delle valvole di sicurezza (cioè, in parallelo al progredire dei lavori di manutenzione), ma aveva dato atto che l'operatore di impianto avrebbe dovuto mettere in sicurezza tutte le tredici valvole ("Doveva intercettare tredici valvole", "Io dicevo tutte quante") il 29 maggio 2013, prima di far partire i lavori.

Anche i testi A.C. (assistente tecnico di manutenzione), A.D. (Responsabile HSE fino al 2008) e A.E. (allora Responsabile della funzione HSE) avevano confermato che, secondo la procedura SGS.P.014, le misure di sicurezza indicate nel permesso di lavoro dovevano essere tutte attuate prima dell'avvio dei lavori. Anche a dare per buona la ricostruzione ribadita dalla Corte distrettuale - e già prospettata nella sentenza di primo grado - secondo la quale la procedura SGS.P.014 avrebbe determinato l'insorgere (per usare le parole del giudice di appello) di "inevitabili equivoci ed ambiguità", lasciando così nel dubbio gli operatori API se si dovesse provvedere da subito all'intercettazione di tutte le valvole o si potesse procedere per gradi (in parallelo al progredire dei lavori), l'osservanza della procedura SGS.P.014 nella parte in cui disciplina la "ripresa dei lavori" avrebbe con certezza impedito l'evento.

7.2. Vizio di motivazione in relazione al trattamento sanzionatorio.

Si osserva che non si giustificava il significativo scostamento dai minimi edittali di pena in ragione della liquidazione dei danni da parte delle compagnie assicurative della responsabile civile e dell'aspettativa di vita della persona offesa.

7.3. Erronea applicazione dell'art. 185 c.p. e mancanza della motivazione.

Si contesta la generica condanna al risarcimento del danno per la mancata esclusione dalle parti risarcibili dell'infante (G.P.) e dei parenti esterni alla cd. famiglia nucleare (E.E., F.F. e D.D.).

8. Con memoria difensiva le parti civili C.C., E.E., F.F. e D.D. chiedono il rigetto dei ricorsi.

Si rileva che la responsabilità degli imputati è stata riconosciuta sulla base di valutazioni sostanzialmente congrue, logiche, aderenti al materiale istruttorio raccolto e atte a sorreggere il percorso argomentativo seguito. L'infortunio mortale non era stato frutto di improvvide ed imprevedibili iniziative di singoli lavoratori coinvolti nelle attività di manutenzione in corso, quanto di gravi falle esistenti in materia nelle procedure antinfortunistiche predisposte dall'API e nella loro attuazione.

Il dato inequivocabile, mai contestato dai ricorrenti nel corso dei due precedenti gradi di giudizio, è quello che la valvola di intercettazione, nell'impianto attivo e funzionante, era aperta. Il lavoro di manutenzione delle valvole di sicurezza avrebbe potuto essere svolto prima dell'accensione dell'impianto vapore in condizioni di assoluta sicurezza soprattutto per il lavoratore; la scelta di compiere siffatte operazioni di manutenzione con l'impianto invece attivo senza un preventivo obbligo di informazione e coordinamento era riconducibile alla responsabilità dell'API, la quale aveva predisposto un permesso di lavoro unico, e non multiplo rivelatosi del tutto insufficiente, inadeguato ed inadatto, come affermato nella sentenza del G.U.P. del Tribunale di Ancona di assoluzione del N.N..

La scelta del veloce riavvio dell'impianto a vapore con lo scopo di accelerare le operazioni di avviamento degli impianti di raffinazione, ricadeva sui vertici dell'API, che aveva badato a contenere il tempo ed i costi.

La responsabilità di voler effettuare il lavoro di manutenzione su un elevato numero di valvole con un unico PdL, con evidente aumento di rischio di errori, era riconducibile all'API per le considerazioni ampiamente trattate dai giudici di merito. Avrebbe dovuto concretamente ed adeguatamente vigilare sulla corretta esecuzione della messa in sicurezza delle valvole da smontare, controllando la chiusura delle valvole di intercettazione.

Il DUVRI, infatti, non può essere surrogato dal Permesso di Lavoro, perchè quest'ultimo documento è interamente gestito da soggetti privi di qualifica dirigenziale, mentre l'obbligo di adozione e aggiornamento del DUVRI fa capo al datore di lavoro e per espressa previsione normativa non è delegabile.

L'API non aveva mai ottemperato alla prescrizione impostagli. Stante l'incompletezza e la superficialità della documentazione afferente alla valutazione dei rischi specifici, la responsabilità doveva essere ascritta all'API ed ai suoi vertici apicali.

Dal verbale di prescrizioni ASUR - Prot. n. 86416 del 23 luglio 2013 - emergevano i profili di responsabilità dell'API Spa Con detto Verbale si contestava al A.A. di non aver individuato una procedura di sicurezza" sul rilascio del Permesso di Lavoro, sufficientemente esaustiva che tenesse conto della gestione di Permessi relativo ad interventi multipli o cumulati, contemporanei e protratti per più turni di lavoro dopo quello dell'operatore di unità in turno che ha autorizzato l'avvio del lavori.

Il lavoro di manutenzione della valvole di sicurezza avrebbe potuto essere svolto prima dell'accensione dell'impianto vapore in condizioni di assoluta sicurezza; la scelta di compiere siffatte operazioni di manutenzione con l'impianto attivo, senza preventivi obblighi di informazione e coordinamento era riconducibile alla responsabilità dell'API. Gli addebiti di colpa erano ascrivibilli in primo luogo all'B.B., Dirigente del Settore Operazioni, in quanto aveva firmato sotto la dicitura "approvato" la Procedura SGSP014, risultata inadeguata, quanto alla disciplina dei Permessi di Lavoro "cumulativi", sia in quanto Dirigente del Settore Responsabile della messa in sicurezza per operazioni di quel tipo.

L'inadeguatezza della procedura costituisce altresì addebito di colpa a carico del A.A. per via dell'inadeguatezza della procedura SGSP014 in quanto le procedure di sicurezza, per quanto non specificatamente approvate e sottoscritte dall'Amministratore Delegato API, appartengono al DUVRI (in cui è richiamata la suindicata procedura) che, come detto sopra, il cui obbligo di adozione e aggiornamento fa capo al datore di lavoro e, per espressa previsione normativa, non è delegabile.

1. I ricorsi sono infondati.

Col primo e col secondo motivo del ricorso proposto da A.A. e col primo motivo del ricorso dell'API si formulano plurimi distinti rilievi in ordine al tema della (pretesa) inidoneità ed ambiguità della procedura SGS.P.014, in quanto essa contrariamente a quanto affermato dalla Corte di appello - prevedeva la necessità di attuare tutte le misure di prevenzione prima dell'avvio dei lavori. Tale dato sarebbe confermato dalle dichiarazioni del C.T. del P.M. Y.Y., del teste P.P. e di altri testi. Inoltre, col quarto motivo del ricorso dell'B.B. si sostiene che la procedura di ripresa dei lavori contemplava l'esigenza di provvedere in via prioritaria all'intercetto delle valvole e che non esisteva una prassi di disporre l'intercetto delle valvole di volta in volta.

Contrariamente a quanto evidenziato dalla difesa, la Corte territoriale ha chiarito, con motivazione ampia ed esauriente, le ragioni per le quali ha ritenuto il rilascio dei permessi di lavoro multipli non previsto e regolato in una procedura ben definita.

Si è evidenziato che, in caso di interventi erano multipli per apparecchiatura poteva intendersi un'intera linea o la singola parte di essa interessata dai lavori (nel caso di specie la singola valvola che, pure, costituiva anch'essa un'apparecchiatura), per cui permaneva un'insormontabile incertezza se, in un caso quale quello in esame, si fosse dovuti intervenire ad isolare l'intera linea di vapore sulla quale erano situate diverse valvole di sicurezza, oppure agire via via sulle singole valvole di intercettazione e di dreno poste prima e dopo la singola apparecchiatura (o valvola) da smontare, tanto più laddove non si trattava di effettuare un'operazione unica (come, ad es., quella di chiudere una valvola generale posta a monte dell'impianto), ma, appunto, di intervenire su singole valvole (di intercetto e di dreno) poste a monte e a valle di ciascuna di quelle da sostituire.

Si è precisato altresì che le affermazioni del C.T. della difesa in ordine alla sussistenza delle condizioni (apparecchiature che insistono sullo stesso impianto/unità, apparecchiature simili tra loro, tipologie di lavoro omogeneo/ripetitivo...) che, nel frangente specifico, avrebbero legittimato l'utilizzo dei permessi di lavoro multipli o cumulativi in realtà riguardavano modelli teorici non concretizzatisi in una specifica procedura elaborata dall'API, lasciando così aperti inevitabili spazi esecutivi caratterizzati dalla massima ambiguità e soggettività.

La Corte territoriale ha illustrato la notevole diversità tra un lavoro che può essere svolto intercettando a monte un impianto con una singola operazione ed un lavoro multiplo che richiede il previo intercetto (a monte e a valle) di tredici + tredici diverse valvole poste in zone diverse e, soprattutto, ad altezze molto diverse di un determinato impianto e, quindi, un'attività di prevenzione in realtà diversificata, perchè si trattava di recarsi in 13 + 13 diversi punti e operare su diversi marchingegni (vale a dire sulle valvole sia di intercetto, che di sfogo del vapore rimasto nelle tubature).

Nella sentenza impugnata si è correttamente evidenziato che i permessi multipli, sebbene non censurabili in astratto, avrebbero dovuto essere previsti e regolamentati in maniera specifica prima del loro concreto utilizzo, per stabilire i casi nei quali erano applicabili senza rischi (e non è detto che quello in esame lo fosse, per le ragioni appena esposte) e l'adozione di appositi moduli che, indipendentemente dalla loro lunghezza o dalla loro complessità, avrebbe dovuto, immancabilmente specificare gli "apparecchi" (ossia, nel caso di specie, quali valvole) intercettati e da chi.

Inoltre, si sarebbe dovuto precisare espressamente se occorreva mettere previamente in sicurezza tutte le valvole da sostituire nei casi di lavoro non completato in un solo giorno, ovvero procedere per gradi, mettendo via via in sicurezza solo le valvole sulle quali si andava ad operare, non potendosi certo desumersi implicitamente dalla procedura standardizzata relativa ai permesso di lavoro ed al relativo modello, essendo entrambi stati concepiti per un singolo intervento e non già per interventi multipli che riguardavano plurime apparecchiature. Un conto è un intervento (anche protratto magari per più giorni) limitato ad una certa - singola - apparecchiatura o macchinario e un conto un intervento che, come nel caso di specie, riguardava, invece, diverse apparecchiature richiedenti singole operazioni di messa in sicurezza per ciascuna di esse.

Si è spiegato esaurientemente che gli esperti sentiti in dibattimento avevano ovviamente affermato che - in teoria - tutte le valvole dovevano essere messe in sicurezza prima dell'inizio dei lavori, mentre in realtà lo P.P., il N.N., il responsabile dell'esecuzione dei lavori R.R e tutti gli altri addetti della ditte appaltatrici (che pure seguivano i corsi di formazione e di informazione organizzati dall'Api) erano convinti di poter agire per gradi; (o P.P. aveva risposto che tutte le valvole dovevano essere messe preventivamente in sicurezza rispetto alla domanda "se si dovevano rimuovere valvole di sicurezza, quante valvole di intercetto bisognava azionare?", per cui era ovvio che rispondesse "tredici". Nonostante i corsi e l'attività di formazione si era formata tale convinzione e si era determinata una prassi sistematicamente seguita.

Tale dato era confermato dal teste V.V., che attestava l'avvenuto depressamento dell'apparecchiatura, cioè oggetto di intercetto limitatamente alle tre o quattro valvole sostituite quel giorno e non a tutte quelle da sostituire. Le sue dichiarazioni riscontrate dal teste Z.Z.. Secondo la Corte distrettuale, da tali dichiarazioni si evinceva la consapevolezza del N.N. della mancata messa in sicurezza delle valvole, proprio perchè era usuale procedere step by step. Si è specificato che il Manuale del sistema di gestione salute e sicurezza ambiente API, diversamente dalla tesi prospettata dai testi indotti dalla difesa, non prevedeva che, in caso di lavori da eseguirsi su più apparecchiature, le stesse dovessero essere tutte intercettate in precedenza, per cui la scelta avventata degli operatori di procedere per gradi non integrava una prassi consapevolmente attuata in spregio alle direttive e/o alla formazione ricevuta. Si è così logicamente spiegata la ragione della ritenuta irrilevanza delle testimonianze citate dalle difese degli imputati e dell'API. Inoltre, la Corte territoriale ha sufficientemente illustrato le ragioni della ritenuta irrilevanza della sottoscrizione di un nuovo modulo ai fini della ripresa dei lavori da parte dello P.P. e del N.N.. Stante l'incertezza sulla procedura da seguire, infatti, era impossibile riversare la responsabilità in via esclusiva a tali soggetti.

La Corte distrettuale ha tratto logicamente conferma della distorsione derivante dalla prassi dei permessi multipli - non codificata nelle procedure ed individuata quale falla del sistema - dalla decisione di reintrodurre la prassi dei permessi singoli dopo l'incidente.

Dalla lettura della sentenza impugnata, peraltro, è emerso che tali prassi di esecuzione degli interventi sulle valvole da parte del personale della FERPLAST fosse costante e generalmente adoperata (da qui anche le ragioni per le quali tale attività non completata il giorno precedente era poi proseguita il giorno dell'infortunio sempre con personale della FERPLAST). Il personale dell'API non aveva mai effettuato tali operazioni sulle valvole in altre occasioni e, pertanto, la FERPLAST aveva sempre agito senza attendere l'intervento di altri.

2. Col terzo, col quarto e col quinto motivo del ricorso del A.A. si prospettano plurime doglianze attinenti al tema della causalità, alla posizione di garanzia ed alla prevedibilità dell'evento.

2.1. Si deduce l'impossibilità di rimproverare al A.A. la mancata esplicitazione nel DUVRI della presenza del vapore, in quanto le misure di cautela ivi indicate con riferimento alla possibile presenza di sostanze pericolose ("svuotamento, depressamento e bonifica delle apparecchiature") richiedevano ed imponevano in ogni caso come misura di cautela - l'intercettazione della linea mediante la chiusura delle valvole di intercettazione (ivi comprese quelle a monte della PSV 2651).

Al riguardo, la difesa del A.A. ha richiamato le dichiarazioni del teste P.P., secondo cui il depressamento comprenderebbe l'intercetto, dato che tuttavia non appare agevolmente ricollegabile alle sue dichiarazioni. Al riguardo, sono riportate nella sentenza impugnata le dichiarazioni del teste V.V., secondo il quale si procedeva man mano al depressamento, ma non emerge la dedotta coincidenza tra tali due operazioni.

2.2. Si evidenzia che nel Duvri era richiesta l'intercettazione della linea mediante la chiusura delle relative valvole, per cui l'esplicito inserimento della presenza del vapore non avrebbe modificato la situazione.

In proposito, questa Corte ha costantemente affermato che, in tema di prevenzione degli infortuni, il datore di lavoro è tenuto a redigere e sottoporre ad aggiornamento il documento di valutazione dei rischi previsto dal D.Lgs. n. 81 del 2008, art. 28, all'interno del quale deve indicare in modo specifico i fattori di pericolo concretamente presenti all'interno dell'azienda, in relazione alla singola lavorazione o all'ambiente di lavoro e le misure precauzionali ed i dispositivi adottati per tutelare la salute e la sicurezza dei lavoratori; il conferimento a terzi della delega relativa alla redazione di suddetto documento non esonera il datore di lavoro dall'obbligo di verificarne l'adeguatezza e l'efficacia, di informare i lavoratori dei rischi connessi alle lavorazioni in esecuzione e di fornire loro una formazione sufficiente ed adeguata (Sez. 4, n. 27295 del 02/12/2016, dep. 2017, Furlan, Rv. 270355).

E ha altresì precisato che, nel caso in cui la lavorazione comporti un numero elevato di azioni ripetitive, è obbligo del datore di lavoro, quale titolare della posizione di garanzia, prevenire il concretizzarsi di rischi riguardanti la verificazione anche di un "evento raro" la cui realizzazione non sia però ignota all'esperienza e alla conoscenza della scienza tecnica e, una volta individuato il rischio, predisporre le misure precauzionali e procedimentali, ove necessarie, per impedire l'evento (Sez. 4, n. 27186 del 10/01/2019, D'Ottavio, Rv. 276703, relativa a fattispecie in tema di omessa valutazione del rischio di esplosione verificatasi per l'omessa adozione di procedimento da seguire durante l'operazione, svolta quotidianamente e sempre con le medesime modalità, di pulitura di una pressa ad iniezione, necessitata, nel caso di specie, dalla formazione di un grumo di materiale plastico all'interno che aveva occluso sia un ugello, sia il foro di ingresso del materiale, evenienza, quest'ultima, rara, ma non straordinaria in quanto verificatasi, altrove, sul medesimo macchinario, almeno altre due volte negli ultimi trent'anni).

La Corte territoriale si è allineata a tali superiori principi, sottolineando la carenza del DUVRI e l'esigenza che questo contemplasse anche la procedura di sicurezza, occorrendo verificarne effettivamente l'efficacia e dovendo lo stesso considerare anche un rischio remoto di un incidente del tipo di quello verificatosi. L'indicazione della fonte di pericolo costituita dalla possibile emissione del vapore bollente avrebbe consentito di allertare maggiormente i lavoratori e prevenire possibili infortuni derivanti dal mancato uso di DPI. Nella sentenza impugnata si è esclusa ogni valenza significativa del sistema dei controlli esterni operante per l'API (e le relative certificazioni), non potendo essere valutati nella presunta validità della procedura adottata in caso di permessi cumulativi per lavori multipli, poichè la stessa, come si è detto, in realtà era solo, una "prassi" di fatto non previamente pianificata e formalizzata nè la questione connessa al mancato aggiornamento del DUVRI ed alla mancata indicazione in esso dei pericolo di fuoriuscita di vapore ustionante dalle valvole, giacchè si trattava di un'eventualità sostanzialmente non riportata (o, comunque, non dovutamente evidenziata nei citato documento), essendo stato concepito il DUVRI operante e sottoposto all'attenzione dei preposti all'attività di verifica, come se i lavori in oggetto dovessero essere effettuati a linea di vapore disattivata.

2.3. Quanto al tema delle elevate dimensioni e della complessità dell'impresa, la Corte territoriale ha sottolineato che anche l'amministratore delegato non poteva essere esonerato da responsabilità, in quanto il sistema di sicurezza rappresentato dal DUVRI, dal PSC e dal PDL prevedeva l'esecuzione dei lavori periodici in oggetto ad impianto di vapore spento (ovvero senza rischi possibili di fuoriuscita di vapore). La decisione di procedere, invece, ad impianto ausiliario funzionante aveva costituito una scelta gestionale adottata a livello apicale o, comunque, quanto meno previa interlocuzione e benestare anche dei vari livelli dirigenziali dell'azienda, ivi compreso l'amministratore delegato, a capo di tutte le procedure anche sotto il profilo antinfortunistico.

Secondo la sentenza impugnata, anche in considerazione del carattere periodico dei lavori, l'imputato era consapevole di tale scelta e dei rischi derivanti, ma, nonostante ciò, non aveva aggiornato il DUVRI e, per impulso, i documenti che da esso promanavano; inoltre, la prassi dei permessi multipli era diffusa all'interno della raffineria (come confermato anche dal teste A.C. nel corso della sua deposizione), per cui l'amministratore delegato non poteva ignorarla e avrebbe dovuto adottare adeguate iniziative propulsive.

Si trattava, quindi, di una prassi ripetuta nel tempo e generalizzata che avrebbe imposto l'adozione delle misure necessarie ad evitare infortuni del genere di quello verificatosi ai danni del Q.Q.. La Corte territoriale, con motivazione logica ed esauriente, ha chiarito che in ragione della diffusione della prassi da lungo tempo e del particolare rilievo di tale modalità operativa all'interno della raffineria, la mancata partecipazione del A.A. alla redazione del DUVRI e l'esistenza di altri soggetti suoi sottoposti o delegati non gli consentivano di sottrarsi alle responsabilità derivanti dalla sua posizione di garanzia.

2.4. La questione in ordine alla non conoscenza della prassi dei permessi multipli da parte del A.A. è stata ritenuta logicamente priva di rilievo, in quanto, in relazione alla posizione del A.A., il problema prioritario era costituito dall'incertezza della procedura posta in essere nel caso specifico.

3. Col settimo motivo di ricorso, il A.A. si duole della declaratoria di prescrizione relativamente alla contravvenzione di cui al capo C) riguardante l'omessa individuazione di una procedura di sicurezza sufficientemente esaustiva, che tenesse conto della gestione di permessi di lavoro relativi ad interventi multipli o cumulati.

Si sottolinea che la dizione di mancata individuazione procedura "sufficientemente esaustiva" contenuta nel suddetto capo di imputazione lascerebbe presupporre l'esistenza di una disciplina - seppur incompleta - per cui non risulterebbero integrati i presupposti della contravvenzione in questione, di cui al D.Lgs. n. 81 del 2008, art. 28, comma 2, lett. d), e art. 55, comma 3.

In realtà, l'espressione procedura "sufficientemente esaustiva" è riferibile ai permessi di lavoro in generale. Dalla lettura completa del capo di imputazione si evince che la contestazione riguarda chiaramente la totale mancanza di previsioni quanto alla materia della "gestione" dei permessi di lavoro relativi ad interventi multipli cumulati.

Per le ragioni esposte nei paragrafi precedenti deve rilevarsi che, nella fattispecie in esame, l'assoluta carenza di una procedura di sicurezza in materia di gestione di permessi di lavoro è effettivamente riscontrabile. Ne consegue la correttezza della pronunzia emessa dalla Corte di merito di non doversi procedere relativamente alla contravvenzione di cui al capo C).

4. Col primo motivo del ricorso, l'B.B. deduce che la procedura SGS.P.014 "Rilascio del Permesso di Lavoro" era conforme alle norme tecniche e agli standard Europei di riferimento, per cui non gli poteva essere contestata la sottoscrizione della medesima in qualità di dirigente del settore operazioni.

Col secondo motivo del ricorso dell'B.B. si sostiene che la procedura in questione contemplava necessariamente l'impiego di distinti soggetti per il completamento della medesima, per cui non sussistevano rischi di coincidenza tra il controllore ed il controllato.

Va premesso che, in tema di infortuni sul lavoro, l'obbligo del datore di lavoro di vigilare sull'esatta osservanza, da parte dei lavoratori, delle prescrizioni volte alla tutela della loro sicurezza, può ritenersi assolto soltanto in caso di predisposizione e attuazione di un sistema di controllo effettivo, adeguato al caso concreto, che tenga conto delle prassi elusive seguite dai lavoratori di cui il datore di lavoro sia a conoscenza (Sez. 4, n. 35858 del 14/09/2021, Tamellini, Rv. 281855 fattispecie in cui, in applicazione del principio, la Corte ha ritenuto immune da censure la sentenza impugnata che aveva riconosciuto la responsabilità del datore di lavoro per il reato di cui all'art. 589 c.p., comma 2, in relazione all'infortunio occorso al conducente di un trattore, deceduto per non aver fatto uso della cintura di sicurezza, ravvisando la colpa del datore di lavoro nell'omessa nomina di un preposto, nonostante la sua conoscenza della prassi instauratasi in relazione all'inosservanza dell'obbligo di allacciare le cinture di sicurezza, a fronte della quale egli si era limitato a ricorrere a richiami verbali del lavoratori).

Quanto alla fattispecie in esame, l'esecuzione delle attività di manutenzione affidate in appalto a imprese esecutrici esterne di regola doveva essere autorizzata tramite il previo rilascio di apposito Permesso di Lavoro (PdL) previsto e disciplinato dalla procedura API denominata SGS.P.014.

Il Tribunale aveva rilevato che, anche volendo ritenere il rilascio di un unico permesso cumulativo un metodo effettivamente razionale, quando devono essere effettuate lavorazioni ripetitive, che tale possibilità avrebbe però dovuto essere, prevista, tipizzata e disciplinata ad hoc nella procedura SGS.P.014.

La responsabilità dell'B.B., che aveva approvato, apponendo la propria firma, la procedura SGS.P.014 per il rilascio del permesso di lavoro, ritenuta inadeguata, era stata riconosciuta in ragione della sua qualità di dirigente del settore responsabile della messa in sicurezza per operazioni di quel tipo e di dirigente del settore operazioni, direttamente coinvolto nei lavori in oggetto. Essendo emerso che anche in passato erano stati effettuati lavori manutentivi su gruppi di valvole, l'B.B., visto il ruolo di garanzia ricoperto, era tenuto ad avvedersi della diffusione nella raffineria di una prassi distorta nell'ipotesi di rilascio di permessi cumulativi.

Il datore di lavoro, infatti, ha l'obbligo di prevedere e prevenire le prassi distorte, anche nel caso in cui le stesse si siano instaurate con il consenso del preposto. In tali situazioni, in caso di infortunio del dipendente, la condotta del datore di lavoro che sia venuto meno al dovere di formazione e informazione del lavoratore e che abbia omesso l'opportuna sorveglianza integra il reato di omicidio colposo aggravato dalla violazione delle norme antinfortunistiche.

Se si esamina la citata procedura SGS.P.014 relativa al rilascio del permesso di lavoro, si legge quanto segue con riferimento alle responsabilità e ai compiti dell'emittente (che nel caso di specie, lo si rammenta, era il dipendente Api P.P.): "definire e porre in atto, con l'ausilio del personale operativo di turno, gli interventi sulla apparecchiatura coinvolta nel lavoro richiesto, necessari per eseguire il lavoro in sicurezza "(paragrafo 5.3.1.).

Dunque, a differenza di quanto sostenuto dalle difese, lo P.P. non era tenuto a porre in essere tali interventi preventivi, ma poteva farlo anche con l'ausilio del (ovvero delegandone la concreta esecuzione al) personale operativo di turno (nel caso di specie l'operatore N.N.).

Lo P.P., quindi, non mentiva quando aveva affermato di aver incaricato il N.N. di intervenire sulle valvole di intercetto, che avrebbero dovuto evitare la fuoriuscita di vapore dalle valvole di sicurezza che il giorno dell'infortunio avrebbero dovuto essere asportate dai dipendenti FERPLAST, ma evidentemente una simile procedura poteva comportare il rischio che il soggetto concretamente incaricato di adottare le "precauzioni di processo ed operative" determinanti sotto il profilo antinfortunistico fosse lo stesso che, compilando subito dopo il riquadro D) del permesso di lavoro, attestava di avere verificato l'attuazione delle prescrizioni/precauzioni antinfortunistiche ed autorizzava l'esecuzione dei lavori. Quindi, senza strappi rispetto alla procedura pianificata relativa al permesso di lavoro, vi poteva essere una completa identificazione tra chi attuava le precauzioni e chi controllava che fossero attuate e, pertanto, di fatto, l'assenza di controlli, anche perchè, in ogni caso, il controllo ed il via ai lavori sarebbero stati affidati a quella che era "l'ultima ruota del carro", vale a dire il N.N., pacificamente privo della qualifica di preposto.

Da qui gli evidenti limiti e l'incongruità della procedura che era stata approvata, tra gli altri, e che rientrava nelle specifiche competenze dell'B.B., trattandosi di figura istituzionalmente deputata alla vigilanza dell'osservanza delle misure di prevenzione.

La Corte distrettuale, pertanto, ha compiutamente descritto le circostanze obiettive che confermavano la pericolosità della prassi adottata e dell'incertezza operativa che la stessa, neppure adeguatamente formalizzata, determinava tra gli operatori.

Quanto al tema del rischio di impiego del medesimo soggetto in posizione di controllore e controllato, in assenza di plausibili spiegazioni alternative la motivazione dei giudici appare del tutto lineare e coerente con le emergenze in atti. La difesa in realtà prospetta una non consentita diversa interpretazione dei fatti, non suscettibile di essere delibata in questa sede al cospetto di una motivazione sorretta da logiche argomentazioni.

5. Col quinto motivo del ricorso dell'B.B. si sostiene che la responsabilità per l'evento mortale doveva essere attribuita interamente al preposto P.P..

Va rammentato che, alla luce della normativa prevenzionistica vigente, sul datore di lavoro grava l'obbligo di valutare tutti i rischi connessi alle attività lavorative e attraverso tale adempimento pervenire all'individuazione delle misure cautelari necessarie e quindi alla loro adozione, non mancando di assicurarsi l'osservanza di tali misure da parte dei lavoratori.

Nella maggioranza dei casi, tuttavia, la complessità dei processi aziendali richiede la presenza di dirigenti e di preposti che in diverso modo coadiuvano il datore di lavoro. I primi attuano le direttive del datore di lavoro, organizzando l'attività lavorativa e vigilando su di essa (D.Lgs. n. 81 del 2008, art. 2, comma 1, lett. d)); i secondi sovrintendono alla attività lavorativa e garantiscono l'attuazione delle direttive ricevute, controllandone la corretta esecuzione da parte dei lavoratori ed esercitando un funzionale potere di iniziativa (D.Lgs. n. 81 del 2008, art. 2, comma 1, lett. e)).

Pertanto, già nel tessuto normativo è prevista la vigilanza del datore di lavoro attuata attraverso figure dell'organigramma aziendale che - perchè investiti dei relativi poteri e doveri - risultano garanti della prevenzione a titolo originario. Il datore di lavoro può assolvere all'obbligo di vigilare sull'osservanza delle misure di prevenzione adottate attraverso la preposizione di soggetti a ciò deputati e la previsione di procedure che assicurino la conoscenza da parte sua delle attività lavorative effettivamente compiute e delle loro concrete modalità esecutive, in modo da garantire la persistente efficacia delle misure di prevenzione scelte a seguito della valutazione dei rischi (Sez. 4, n. 14915 del 19/02/2019, Arrigoni, Rv. 275577).

Prendendo atto di tali previsioni, questa Corte ha già affermato il principio secondo il quale, in tema di prevenzione infortuni sul lavoro, ai fini dell'individuazione del garante nelle strutture aziendali complesse, occorre fare riferimento al soggetto espressamente deputato alla gestione del rischio essendo, comunque, generalmente riconducibile alla sfera di responsabilità del preposto l'infortunio occasionato dalla concreta esecuzione della prestazione lavorativa, a quella del dirigente il sinistro riconducibile al dettaglio dell'organizzazione dell'attività lavorativa e a quella del datore di lavoro, invece, l'incidente derivante da scelte gestionali di fondo (Sez. 4, n. 22606 del 04/04/2017, Minguzzi, Rv. 269972).

Pertanto, anche in relazione all'obbligo di vigilanza, le modalità di assolvimento vanno rapportate al ruolo che viene in considerazione; il datore di lavoro deve controllare che il preposto, nell'esercizio dei compiti di vigilanza affidatigli, si attenga alle disposizioni di legge e a quelle, eventualmente in aggiunta, impartitegli.

Ne consegue che, qualora nell'esercizio dell'attività lavorativa si instauri, con il consenso del preposto, una prassi contra legem, foriera di pericoli per gli addetti, in caso di infortunio del dipendente, la condotta del datore di lavoro che sia venuto meno ai doveri di formazione e informazione del lavoratore e che abbia omesso ogni forma di sorveglianza circa la pericolosa prassi operativa instauratasi, integra il reato di omicidio colposo o di lesioni colpose aggravato dalla violazione delle norme antinfortunistiche (Sez. 4, n. 26294 del 14/03/2018, Fassero Gamba, Rv. 272960, in un caso di omicidio colposo; in conformità, in un'ipotesi di lesioni colpose, Sez. 4, n. 18638 del 16/01/2004, Policarpo, Rv. 228344; principio risalente a Sez. 4, n. 17941 del 16/11/1989, Raho, Rv. 182857).

Ciò posto sui principi operanti in materia di preposti e di prassi lavorative, la Corte di merito ha configurato un addebito di colpa anche all'B.B., quale dirigente del settore Operazioni, sia in quanto aveva firmato sotto la dicitura "approvato" la procedura SGS.P.014, inadeguata in quanto carente nei termini sopra specificati quanto alla disciplina dei PdL "cumulativi", sia in quanto dirigente del settore responsabile della messa in sicurezza per operazioni di quel tipo (v. pag. 24 deposizione del C.T. Y.Y. verbale stenotipico del 26 ottobre 2017, e deposizione X.X. verbale stenotipico del 17 maggio 2018).

Si è osservato che non si trattava della prima volta di esecuzione di lavori di quel tipo su gruppi di valvole, per cui egli avrebbe dovuto avvedersi (in quanto in condizioni di farlo) della prassi distorta e della totale confusione degli operativi in ordine alla procedura da seguire nei casi, come quello di specie, di PdL "cumulativi".

Il datore di lavoro, invero, ha l'obbligo di prevedere e prevenire anche le prassi di lavoro distorte, foriere di pericoli, come di fatto verificatosi nel caso di specie.

La Corte territoriale, quindi, ha riconosciuto mediante idoneo apparato argomentativo l'esistenza di una prassi contra legem, seguita ripetutamente e, pertanto, conoscibile da parte dei vertici aziendali.

Si è quindi dimostrato che il preposto, nell'esercizio dei compiti di vigilanza affidatigli, pur errando nel non verificare la messa in sicurezza di tutte le valvole, non aveva violato una procedura esistente, in quanto quella in essere era totalmente carente e lacunosa e non stabiliva indefettibilmente ed esplicitamente la necessità di un'operazione preventiva di intercetto di tutti i meccanismi. La prassi di effettuare la messa in sicurezza delle valvole volta per volta era particolarmente pericolosa per gli addetti e sostanzialmente tollerata dalle società, le quali non predisponevano le opportune precauzioni per scongiurarne l'utilizzo e non sorvegliavano adeguatamente l'operato dei dipendenti.

La prassi distorta consentiva una decisione estemporanea: la possibilità per il lavoratore di decidere come gestire la propria attività e di scegliere nell'ambito di una lavorazione da svolgere in più giorni quali valvole mettere in sicurezza. Si tratta di fattori di notevole criticità adeguatamente rappresentato dalla Corte anconetana.

6. Col nono motivo del ricorso del A.A., col sesto motivo del ricorso dell'B.B. e col secondo motivo di ricorso dell'API si censura la mancata formulazione di un giudizio di prevalenza delle circostanze attenuanti generiche sulla contestata circostanza aggravante.

Va premesso che le statuizioni relative al giudizio di comparazione tra opposte circostanze, implicando una valutazione discrezionale tipica del giudizio di merito, sfuggono al sindacato di legittimità qualora non siano frutto di mero arbitrio o di ragionamento illogico e siano sorrette da sufficiente motivazione (Sez. 2, n. 31543 dell'08/06/2017, Pennelli, Rv. 270450).

In tema di concorso di circostanze, peraltro, il giudizio di comparazione risulta sufficientemente motivato, quando il giudice, nell'esercizio del potere discrezionale previsto dall'art. 69 c.p. scelga la soluzione dell'equivalenza, anzichè della prevalenza delle attenuanti, ritenendola quella più idonea a realizzare l'adeguatezza della pena irrogata in concreto (Sez. 2, n. 31531 del 16/05/2017, Pistilli, Rv. 270481).

Ciò posto, nella fattispecie, la Corte di appello ha logicamente ritenuto di formulare un giudizio di equivalenza, alla luce dei seguenti fattori considerati particolarmente significativi: la pluralità, la gravità e l'esclusiva rilevanza causale delle accertate violazioni di regole antinfortunistiche caratterizzanti la vicenda criminosa. Ha valutato altresì che i risarcimenti non erano stati effettuati direttamente dagli imputati, ma dalle compagnie assicurative della responsabile civile, con solo marginale coinvolgimento dei primi e l'aspettativa di vita della vittima (uomo sano di soli 53 anni).

La motivazione, pertanto, è ben più ampia ed articolata rispetto a quanto indicato nel ricorso.

I ricorrenti si limitano a valutare diversamente i medesimi elementi ritenuti significativi nella sentenza impugnata e ad enunciare fattori a loro favorevoli, ai quali è stato legittimamente attribuito minor rilievo dalla Corte di merito. Inoltre, le difese circoscrivono le proprie censure alle argomentazioni in tema di modalità del risarcimento e di età della vittima illustrate dalla Corte di merito, la quale, al contrario, ha assegnato rilievo decisivo soprattutto ai fattori inerenti alla gravità oggettiva della vicenda criminosa.

7. Con l'ottavo motivo del ricorso del A.A., col settimo motivo del ricorso dell'B.B. e col terzo motivo del ricorso dell'Api, si censurano le determinazioni della Corte anconetana attinenti alle statuizioni civili.

Va ricordato che la condanna generica al risarcimento dei danni contenuta nella sentenza penale, pur presupponendo che il giudice abbia riconosciuto il relativo diritto alla costituita parte civile, non comporta alcuna indagine in ordine alla concreta esistenza di un danno risarcibile, postulando soltanto l'accertamento della potenziale capacità lesiva del fatto dannoso e dell'esistenza - desumibile anche presuntivamente, con criterio di semplice probabilità - di un nesso di causalità tra questo ed il pregiudizio lamentato, restando perciò impregiudicato l'accertamento riservato al giudice civile sulla liquidazione e l'entità del danno, ivi compresa la possibilità di escludere l'esistenza stessa di un danno eziologicamente collegato all'evento illecito (Sez. 3, n. 36350 del 23/03/2015, Bertini, Rv. 265637; vedi anche Sez. 4, n. 12175 del 03/11/2016, dep. 2017, Bordogna, non massimata sul punto; Sez. 5, n. 45118 del 23/4/2013, Di Fatta, Rv. 257551; Sez. 4, n. 20231 del 3/4/2012, Piazze, Rv. 252683).

Il diritto al risarcimento dei danni morali in caso di morte prescinde dalla valutazione dei rapporti di convivenza fondandosi sulla definitiva perdita di un legame di affectio familiaris da cui deriva l'incisione dell'interesse all'integrità morale, ricollegabile all'art. 2 Cost. ed al diritto all'intangibilità della sfera degli affetti, sicchè non rileva la frequenza dei tempi nei quali si coltivi la relazione familiare affettiva, ma unicamente la perdita di tale relazione, intesa come "punto di contatto emotivo e sentimentale", senza che essa debba essere stata supportata da frequentazioni o da condivisione, anche sporadica, di momenti di vita (Sez. 5, n. 18048 del 01/02/2018, S., Rv. 273746, relativa a fattispecie di scarsa o assente frequentazione dei familiari con la vittima ed a conflittualità caratteriale e dissapori con essa, che la Corte ha ritenuto irrilevante in astratto ai fini della configurabilità del diritto al risarcimento.

E' legittima, peraltro, la costituzione di parte civile nel processo penale di un soggetto non legato da rapporti di stretta parentela e non convivente con la vittima del reato (nella specie figlio della moglie di quest'ultimo), al fine di ottenere il risarcimento dei danni morali, considerato che la definitiva perdita di un rapporto di affectio familiaris può comportare l'incisione dell'interesse all'integrità morale, ricollegabile all'art. 2 Cost., sub specie di intangibilità della sfera degli affetti, la cui lesione comporta la riparazione ex art. 2059 c.c., mentre è, in tal caso, escluso il risarcimento dei danni patrimoniali. (Sez. 4, n. 20231 del 03/04/2012, Piazze, Rv. 252683, relativa a fattispecie in cui, in applicazione del principio di cui in massima la S.C. ha ritenuto immune da censure la decisione con cui il giudice di merito ha ammesso la costituzione di parte civile del figlio non convivente della moglie della vittima di un incidente stradale).

La Corte territoriale ha fatto buon governo dei principi giurisprudenziali qui sopra riportati, riconoscendo il diritto al risarcimento in via generica ai soggetti legati alla vittima da un rapporto non stretto di parentela, restando comunque salva la possibilità per il giudice civile di valutare l'eventuale inesistenza in concreto di un danno risarcibile.

Rigetta i ricorsi e condanna gli imputati al pagamento delle spese processuali nonchè tutti in solido, compreso il responsabile civile, alla rifusione delle spese di rappresentanza e difesa sostenute nel presente giudizio dalle seguenti parti civili: - G.G. e H.H., difesi dall'avvocato Frassanito Roberto, nella qualità di titolari della responsabilità genitoriale nei confronti del minore P.G., che liquida in complessivi Euro tremila, oltre accessori di legge; C.C., E.E., D.D., difesi dall'avvocato Zecca Massimo che liquida in complessivi Euro quattromilaottocento oltre accessori di legge. Condanna, inoltre, i predetti ricorrenti alla rifusione delle spese di rappresentanza e difesa sostenute nel presente giudizio dalla parte civile F.F., difeso dall'avvocato Zecca Massimo M. ammessa al patrocinio a spese dello Stato, nella misura che sarà liquidata dalla Corte di appello di Ancona con separato decreto di pagamento ai sensi del D.P.R. n. 115 del 2002, artt. 82 e 83, disponendo il pagamento in favore dello Stato.

Così deciso in Roma, il 5 luglio 2023.

Depositato in Cancelleria il 2 ottobre 2023