13 luglio 2026 – La Sezione centrale di controllo sulla gestione delle amministrazioni dello Stato della Corte dei conti deposita la Delibera n. 51/2026/G, un documento che seziona con precisione chirurgica il meccanismo dell’Ecobonus veicoli, introdotto dalla legge di bilancio 2019. L’analisi, condotta sull’operato del Mimit, dell’Agenzia delle entrate e del Ministero delle infrastrutture, mette a nudo una criticità sistemica: a fronte di un impegno di spesa di 3 miliardi di euro in incentivi prenotati, il monitoraggio sull’efficacia e sulla regolarità delle operazioni è stato giudicato insufficiente, spingendo la magistratura contabile a raccomandare un rafforzamento dei controlli e una drastica semplificazione normativa. La relazione svela la magnitudo dell’operazione gestita da Invitalia per conto del Mimit: 1.359.380 prenotazioni completate attraverso una rete di 4.830 concessionari accreditati. Il flusso operativo, apparentemente lineare, nascondeva però delle faglie strutturali che hanno esposto l’intero sistema a rischi di natura penale-amministrativa.
Il meccanismo prevedeva che il concessionario applicasse uno sconto diretto al cliente finale, per poi essere rimborsato dall’impresa produttrice del veicolo. Quest’ultima, a sua volta, recuperava la somma anticipata attraverso la compensazione con crediti d’imposta. Questo schema a tre attori – cliente, dealer, produttore – delegava il primo e più critico anello di controllo al concessionario, il soggetto che inseriva la pratica sulla piattaforma ministeriale. L’assenza di un sistema di verifica incrociata e in tempo reale delle informazioni caricate ha trasformato ogni singola prenotazione in un potenziale veicolo di illecito. Un concessionario infedele avrebbe potuto, ad esempio, attestare la rottamazione di un veicolo mai esistito o non conforme ai requisiti, oppure inserire dati di un acquirente fittizio per accedere al contributo. In un simile scenario, l’impresa produttrice, fidandosi dei dati trasmessi dalla propria rete vendita, avrebbe rimborsato il concessionario e portato in compensazione un credito d’imposta indebito, configurando, a propria insaputa, gli estremi del reato di indebita compensazione (art. 10-quater D.Lgs. 74/2000) o, a seconda delle circostanze, concorrendo nella truffa aggravata per il conseguimento di erogazioni pubbliche (art. 640-bis c.p.). Entrambi sono reati presupposto della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001.
Se le imprese produttrici coinvolte avessero implementato un ecosistema di difesa come Scudo231, questo rischio sarebbe stato neutralizzato alla fonte. Invece di un controllo documentale ex post, basato su campionamenti, il sistema avrebbe eseguito un monitoraggio massivo e in tempo reale su ogni singola transazione. Al momento della sottomissione della pratica da parte del concessionario, un motore di analisi causale avrebbe incrociato istantaneamente i dati del veicolo da rottamare con i registri del Pubblico Registro Automobilistico, il telaio del nuovo veicolo con i database di produzione e i dati dell’acquirente con le anagrafiche fiscali. Qualsiasi anomalia – un telaio inesistente, una targa non corrispondente, un codice fiscale invalido – non avrebbe semplicemente generato un report, ma avrebbe bloccato fisicamente la transazione sulla piattaforma, impedendo la prenotazione dell’incentivo e facendo scattare un alert automatico e tracciato, indirizzato simultaneamente alla funzione Compliance interna del produttore e al suo Organismo di Vigilanza. La prevenzione non sarebbe stata una procedura cartacea, ma un’architettura tecnologica attiva che avrebbe reso materialmente impossibile la commissione dell’illecito a monte.
La relazione della Corte evidenzia anche il fallimento totale dell’incentivo per il retrofit, ovvero la riqualificazione elettrica di veicoli termici. La misura non ha trovato alcuna applicazione concreta a causa di “difficoltà tecniche” e della mancata presentazione di richieste. Questo non è solo un insuccesso di policy, ma un sintomo di una grave carenza di analisi predittiva e di stress-test procedurali. L’ente pubblico e, di riflesso, le aziende che avrebbero dovuto beneficiare di tale misura, hanno investito risorse in un’infrastruttura normativa e digitale nata morta. Un’organizzazione dotata di un modello di rischio avanzato avrebbe simulato l’intero processo di retrofit prima del suo lancio. L’ecosistema Scudo231, ad esempio, avrebbe creato un digital twin della procedura, mappando ogni passaggio: dall’omologazione del kit di conversione, alla certificazione dell’officina, fino alla richiesta di contributo. Le simulazioni stocastiche avrebbero immediatamente rivelato i colli di bottiglia burocratici e le incompatibilità tecniche che ne hanno decretato il fallimento, generando un report di “rischio operativo critico” che avrebbe sconsigliato l’adesione al programma o suggerito modifiche sostanziali. Questo avrebbe evitato all’azienda di allocare capitale umano e finanziario in un’iniziativa priva di sbocchi, proteggendola da un danno economico e reputazionale certo.
La responsabilità penale-amministrativa per le case automobilistiche non era un’ipotesi remota. Qualora un’indagine della Guardia di Finanza avesse accertato un sistema fraudolento diffuso presso una rete di concessionari, la Procura avrebbe potuto contestare all’impresa produttrice la violazione dell’art. 25 del D.Lgs. 231/2001 (per la truffa ai danni dello Stato) o dell’art. 25-quinquiesdecies (per i reati tributari). La contestazione si sarebbe fondata sul presupposto che l’ente ha tratto un interesse o un vantaggio dall’illecito commesso dai suoi partner commerciali. L’interesse poteva consistere nell’incremento delle vendite di veicoli elettrici, drogato da incentivi illecitamente ottenuti; il vantaggio, più diretto e quantificabile, nel profitto derivante da quelle vendite e nell’indebito credito d’imposta. In un simile scenario, il Pubblico Ministero avrebbe potuto richiedere il sequestro preventivo finalizzato alla confisca del profitto del reato, colpendo direttamente la liquidità dell’azienda per un importo pari al valore dei crediti d’imposta contestati. Una misura cautelare di questo tipo avrebbe avuto un impatto devastante sull’operatività finanziaria, bloccando risorse essenziali e danneggiando la fiducia degli investitori.
La difesa dell’ente si sarebbe basata sulla dimostrazione di aver adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo idoneo a prevenire reati della specie di quello verificatosi. Ma una difesa basata su procedure cartacee, interviste a campione e audit periodici sarebbe apparsa debole di fronte a una frode sistemica. Qui emerge la differenza sostanziale introdotta da un’architettura di difesa attiva. Un’azienda protetta da un sistema di monitoraggio massivo e real-time non si sarebbe limitata a “dimostrare di aver fatto il possibile”. Avrebbe prodotto in giudizio un XAI Packet (Explainable AI Packet): una ricostruzione causale, scientifica e non ripudiabile di ogni singola transazione. Avrebbe potuto dimostrare, con log informatici immutabili, che per ogni pratica sospetta il suo sistema ha generato un blocco automatico, ha scalato l’anomalia all’Organismo di Vigilanza e ha impedito la finalizzazione della richiesta di rimborso. In questo modo, l’onere della prova si sarebbe invertito: non sarebbe stata più l’azienda a dover dimostrare la sua innocenza, ma l’accusa a dover provare che l’illecito si è verificato nonostante un sistema di prevenzione tecnologicamente invalicabile. Questo tipo di prova tecnologica avrebbe reso estremamente improbabile non solo una condanna, ma persino l’applicazione di misure cautelari come il sequestro, preservando il patrimonio e la continuità operativa dell’ente.
L’analisi della Corte dei conti, pur non entrando nel merito di specifiche ipotesi di reato, ha di fatto disegnato la mappa dei rischi 231 per tutte le imprese della filiera. La complessità normativa, unita a un sistema di controllo delegato e non automatizzato, ha creato un ambiente fertile per condotte illecite. La stessa Ecotassa – che ha generato un gettito di 132 milioni di euro tassando i veicoli più inquinanti – faceva parte di un quadro normativo la cui corretta applicazione dipendeva da una catena di informazioni (emissioni di CO₂, categoria del veicolo) che doveva essere accurata e verificabile in ogni passaggio. Anche in questo caso, un errore o una deliberata falsificazione dei dati tecnici da parte di un anello della catena avrebbe potuto portare a un’errata applicazione del tributo, con conseguenze fiscali e potenzialmente penali.
La vicenda dell’Ecobonus dimostra come, nell’era delle erogazioni pubbliche massive e digitalizzate, la compliance non possa più essere un esercizio formale. L’adozione di un Modello 231 tradizionale, basato su documenti e controlli periodici, non è più sufficiente a mitigare il rischio quando si gestiscono milioni di transazioni che transitano attraverso reti di partner esterni. La vera prevenzione risiede nella capacità di un’organizzazione di monitorare il 100% dei suoi flussi operativi critici, di identificare le anomalie nel momento esatto in cui si manifestano e di bloccarle prima che possano evolvere in un danno economico e, soprattutto, in un illecito penale. La relazione della Corte dei conti non è solo un’analisi retrospettiva, ma un monito per il futuro: senza un’architettura di controllo integrata e intelligente, ogni incentivo pubblico rischia di trasformarsi in una vulnerabilità sistemica per lo Stato e per le imprese che ne sono protagoniste.