Redigere la relazione forense

La relazione forense è la prova dell'esperto. In molti procedimenti viene letta molto prima che qualcuno testimoni e, in alcuni, è l'unica forma che la prova assume. Una relazione che mescola osservazioni e opinioni, nasconde i materiali o usa termini di probabilità non definiti invita a contestazioni che una relazione ben strutturata avrebbe prevenuto.

La redazione analitica è trattata nelle lezioni IDFE-BA Redigere la relazione analitica e Confidenza, incertezza e linguaggio: prima la conclusione, risultati formulati come affermazione, prova, ragionamento e confidenza, una scala di probabilità dichiarata, appendici sulle transazioni generate tramite query. Questa lezione aggiunge il livello che serve al tribunale.

Cosa cambia quando la relazione è una prova

Una struttura riconosciuta dai tribunali

Gli standard di redazione forense convergono sugli stessi elementi fondamentali. Il documento SWGDE Requisiti per la redazione di relazioni nell'analisi forense digitale e multimediale (documento 18-Q-002, versione 1.0, 2018) stabilisce requisiti minimi, come la richiesta e la relativa autorità, gli elementi esaminati con identificativi come i valori hash, risultati comprensibili anche a un non esperto, opinioni con la relativa base e la disposizione degli elementi. ISO 21043-5:2025 aggiunge che le relazioni devono essere idonee all'uso previsto, mentre la clausola 7.8 di ISO/IEC 17025:2017 disciplina le relazioni emesse da laboratori accreditati. Una struttura che soddisfa tutti e tre:

1. Istruzioni: chi ha incaricato l'esperto, quando, in base a quale autorità (mandato, ordinanza del tribunale, contratto) e quali sono le domande, citate esattamente.
2. Qualifiche: formazione, esperienza, accreditamento e testimonianze pregresse pertinenti, limitati a ciò che riguarda queste domande; un CV completo va in appendice.
3. Materiali: ogni elemento ricevuto o raccolto (esportazioni, immagini, registri, risultati degli strumenti), ciascuno con identificativo, data di ricezione, fonte e hash SHA-256, oltre a qualsiasi elemento richiesto ma non fornito.
4. Metodi: fonti dei dati e versioni dei nodi o dei dataset, strumenti e versioni, metodo di tracciamento e criteri di arresto, euristiche, fonti delle etichette e date, scala di confidenza utilizzata e qualsiasi deroga alle procedure dell'unità.
5. Risultati: ciò che è stato osservato, risultato per risultato, con riferimenti alle righe dell'appendice.
6. Limitazioni: ciò che non è stato possibile vedere o verificare e ciò che potrebbe modificare le conclusioni.
7. Conclusioni: risposta diretta a ciascuna domanda, nello stesso ordine delle istruzioni.
8. Dichiarazione: dichiarazione dei doveri dell'esperto, firmata e datata.

Rispondere alle domande nell'ordine in cui sono state poste è più importante di quanto possa sembrare: un giudice che legge le conclusioni dovrebbe trovare la risposta alla domanda 3 sotto «Domanda 3», non disseminata in tre risultati.

Separare i fatti dalle opinioni

La clausola 7.8.7 di ISO/IEC 17025:2017 richiede che opinioni e interpretazioni nelle relazioni siano chiaramente identificate come tali e che la loro base sia documentata. La Linea guida per la valutazione delle relazioni in ambito di scienze forensi ENFSI (2015) distingue tre tipi di risultati che si applicano bene al lavoro sulle criptovalute:

• La relazione tecnica descrive i risultati senza valutarli: la transazione, il blocco, l'importo.
• La relazione investigativa propone spiegazioni dei risultati quando non è ancora possibile formulare una coppia di proposizioni concorrenti, in genere nelle prime fasi di un caso: «il modello è compatibile con un indirizzo di deposito presso un servizio di custodia».
• La relazione valutativa valuta i risultati rispetto ad almeno una coppia di proposizioni concorrenti, di solito una per ciascuna delle ricostruzioni delle parti, ed è ciò di cui normalmente ha bisogno il tribunale durante il processo.

Una semplice convenzione rende la distinzione visibile a ogni lettore: iniziare i paragrafi con «Osservazione» o «Opinione», oppure inserirli in sottosezioni separate per ogni risultato. Un'osservazione include una citazione e non contiene termini di probabilità. Un'opinione indica il metodo e specifica l'alternativa rispetto alla quale è stata valutata.

Linguaggio della confidenza per il tribunale

Le scale di probabilità insegnate in IDFE-BA, come «molto probabile (80–95%)», valutano quanto sia probabile una proposizione. Sono adatte al lavoro di intelligence e di conformità. In tribunale si presenta un problema: la probabilità di una proposizione, come «questo wallet appartiene all'imputato», dipende da tutte le prove del caso, molte delle quali l'esperto non ha esaminato. La risposta forense consiste nel riferire la forza del supporto che i risultati dell'esperto forniscono a una proposizione rispetto a un'altra.

La linea guida ENFSI stabilisce quattro requisiti per le opinioni valutative: equilibrio (almeno due proposizioni), logica (considerare la probabilità dei risultati data ciascuna proposizione, non la probabilità delle proposizioni dati i risultati), solidità (un ragionamento che resista all'esame e si basi su dati adeguati) e trasparenza (un processo dimostrabile, registrato nel fascicolo del caso e nella relazione). La scala verbale illustrativa si basa sul rapporto di verosimiglianza, ovvero quante volte i risultati sono più probabili secondo una proposizione rispetto all'altra:

Poche euristiche di tracciamento sono accompagnate da rapporti di verosimiglianza numerici, quindi la maggior parte delle relazioni sulle criptovalute usa verbalmente questi termini, indicandone le ragioni. Ciò che conta è la logica. Supponiamo che una corrispondenza di importo e orario individui un possibile rilascio in una finestra temporale in cui, per caso, ci si aspetterebbe una corrispondenza simile circa una volta ogni 100 finestre comparabili. La formulazione corretta è «se il rilascio non fosse correlato al deposito, ci si aspetterebbe una corrispondenza così stretta circa una volta ogni 100 finestre». Se un rilascio realmente correlato produrrebbe quasi sempre una corrispondenza simile, il rapporto di verosimiglianza è circa 100, al confine tra supporto moderato e moderatamente forte. Scrivere «c'è solo l'1% di probabilità che il rilascio non sia correlato» è la condizionale invertita, spesso chiamata fallacia dell'accusa: converte implicitamente una probabilità dei risultati in una probabilità della proposizione. Dichiarare una sola scala nella sezione sui metodi e non mescolare mai, nella stessa relazione, termini di intelligence e termini di supporto.

Appendici e riproducibilità

Le appendici rendono verificabile la relazione: tabelle complete delle transazioni con gli hash dei blocchi (vedi la lezione IDFE-BA Redigere la relazione analitica), diagrammi di flusso e linee temporali (vedi la lezione Prove visive per i tribunali), l'elenco dei materiali con gli hash e il pacchetto di prove che consente a un altro esaminatore di ripetere il lavoro (vedi Conservare le prove on-chain). Molte unità conservano ciascun risultato come record strutturato, dal quale vengono generati sia il testo della relazione sia le appendici:

{
  "finding_id": "F3",
  "question": 2,
  "type": "opinion",
  "statement": "bc1q…k8p0 è un indirizzo di deposito di Exchange K",
  "propositions": ["indirizzo di deposito di Exchange K", "indirizzo non correlato a Exchange K"],
  "basis": ["appendix_A_rows_14_16", "appendix_B_row_21", "exchange_k_published_reserve_list_2026-03-20"],
  "method": "modello di sweep ed euristica degli input comuni, con esclusione di CoinJoin e PayJoin",
  "support": "supporto forte per la prima proposizione",
  "limitations": ["il percorso si basa sul rilevamento del resto su 4 hop"],
  "tools": [{"name": "strumento di grafo dell'esaminatore", "version": "4.2.1"}],
  "data_cutoff": {"bitcoin_block": 941350}
}

Il record collega il risultato alla domanda a cui risponde, lo identifica come opinione, nomina entrambe le proposizioni, ne elenca la base mediante righe delle appendici e fonti datate e registra il metodo, la versione dello strumento e il limite temporale dei dati. Un revisore può verificare ogni elemento; un generatore di relazioni non può omettere la limitazione senza che ciò risulti evidente.

Dichiarazione, firma e modifiche

La dichiarazione è la parte in cui l'esperto attesta i doveri trattati nella lezione Il ruolo e i doveri dell'esperto. La formulazione varia a seconda del sistema, ma in genere dichiara che l'esperto comprende il proprio dovere nei confronti del tribunale e lo ha rispettato, che le opinioni sono personali e rientrano nella sua competenza, che ha menzionato tutte le questioni che considera pertinenti, comprese quelle che sminuiscono le sue opinioni, che ha dichiarato eventuali conflitti di interesse e che informerà il tribunale se la sua opinione cambia.

Una volta emessa, una relazione non viene mai modificata in modo tacito. La clausola 7.8.8 di ISO/IEC 17025:2017 richiede che le modifiche a una relazione emessa siano chiaramente identificate, con la motivazione quando opportuno, e che una relazione sostitutiva sia identificata in modo univoco e faccia riferimento all'originale che sostituisce. Nei casi riguardanti le criptovalute, le modifiche sono comuni perché i registri degli exchange arrivano in ritardo o i fondi si spostano di nuovo dopo il limite temporale dei dati. Ogni modifica dovrebbe indicare cosa è cambiato, perché e quali conclusioni ne sono interessate, affinché il tribunale possa vedere che l'esperto ha aggiornato l'opinione sulla base di prove, non di pressioni.

Focus sull'esame: differenze tra una relazione forense e una relazione analitica (esperto nominato e firmatario, domande citate alla lettera, materiali con hash, opinioni identificate, modifiche formali, dichiarazione); la struttura in otto parti e le risposte alle domande nell'ordine; requisiti minimi SWGDE per il contenuto della relazione e requisito ISO/IEC 17025 di identificare opinioni e interpretazioni e documentarne la base; relazioni tecniche, investigative e valutative; equilibrio, logica, solidità e trasparenza secondo ENFSI; rapporto di verosimiglianza e relativa scala verbale; riconoscimento della condizionale invertita (fallacia dell'accusa); record strutturati dei risultati; contenuto della dichiarazione e modifiche che identificano ogni cambiamento, ne indicano la motivazione e fanno riferimento alla relazione originale.