26 agosto 2026 – Le porte della sede milanese di GlobalStays S.p.A., colosso internazionale della gestione di locazioni turistiche, si aprono non per i dipendenti ma per i militari del Nucleo di Polizia Economico-Finanziaria della Guardia di Finanza. L’operazione scatta all’alba. Il decreto di perquisizione e sequestro, firmato dal Giudice per le Indagini Preliminari su richiesta della Procura della Repubblica, è un documento denso di tecnicismi che paralizza l’operatività della società. Vengono acquisiti server, documentazione contabile cartacea e digitale, e notificati avvisi di garanzia ai vertici del management, tra cui il Chief Financial Officer, Marco Rinaldi. L’ipotesi di reato contestata in questa fase è quella di dichiarazione fraudolenta mediante altri artifici, prevista e punita dall’articolo 3 del Decreto Legislativo 74/2000. Ma il vero terremoto per la società è un altro: l’iscrizione nel registro degli indagati dell’ente stesso, ai sensi del Decreto Legislativo 231/2001, per il reato tributario commesso nell’interesse e a vantaggio della persona giuridica.
L’indagine non nasce da una verifica fiscale di routine, ma da una Segnalazione di Operazione Sospetta (SOS) inoltrata mesi prima dall’Unità di Informazione Finanziaria per l’Italia. L’alert era stato generato da una serie di bonifici anomali, di importo rilevante e con cadenza mensile, diretti da GlobalStays S.p.A. verso una società di consulenza con sede a Dublino, la Apex Consulting Ltd. Le causali, sempre generiche – “Strategic Market Analysis Q2“, “Advisory Services on EU Expansion” – non trovavano riscontro in alcuna evidenza contrattuale solida o in deliverable concreti. Gli inquirenti sospettano che la Apex Consulting sia una mera società schermo, utilizzata per drenare utili dall’Italia attraverso la creazione di costi fittizi, abbattendo così l’imponibile fiscale per un ammontare stimato, in via provvisoria, in oltre 45 milioni di euro su tre esercizi fiscali.
La falla, secondo le prime ricostruzioni, si era aperta a livello operativo quasi due anni prima. Un giovane analista del dipartimento finanziario, Luca Ferri, aveva notato la sproporzione di quei pagamenti e l’assenza di documentazione di supporto adeguata. Aveva sollevato la questione con il suo diretto superiore, il quale lo aveva rassicurato, parlando di “operazioni strategiche riservate” gestite direttamente dal CFO Rinaldi, e lo aveva invitato a non procedere con ulteriori approfondimenti. La segnalazione si era arenata lì, in una conversazione informale mai tracciata. Se GlobalStays avesse implementato un ecosistema come Scudo231, quella anomalia non sarebbe dipesa dalla sensibilità o dal coraggio di un singolo dipendente. I sistemi di analisi multimodale avrebbero intercettato in tempo reale il flusso finanziario anomalo, generando un alert automatico basato su una serie di indicatori di rischio oggettivi: (i) fornitore estero localizzato in giurisdizione a fiscalità privilegiata, (ii) importi elevati e ricorrenti con causali generiche, (iii) assenza di un processo di qualifica e validazione del fornitore nel sistema gestionale. L’alert non sarebbe stato inviato al superiore gerarchico, potenziale parte del meccanismo fraudolento, ma sarebbe stato scalato direttamente e in via riservata all’Organismo di Vigilanza (ODV) e alla Funzione Compliance, innescando un protocollo di verifica segregato e non eludibile. Il pagamento sarebbe stato preventivamente bloccato dal sistema in attesa di autorizzazione da parte di una funzione di controllo terza.
L’assenza di un presidio tecnologico di questo tipo ha invece permesso al flusso di denaro di continuare indisturbato per mesi, consolidando il quadro indiziario a carico della società. La Funzione Compliance, basata su controlli a campione e interviste periodiche, non aveva mai selezionato quel particolare fornitore nelle sue verifiche trimestrali. Un approccio reattivo e parziale che si è rivelato del tutto inefficace di fronte a un’operazione fraudolenta strutturata. Un monitoraggio massivo e real-time, come quello garantito dall’architettura di Scudo231, avrebbe invece analizzato il 100% delle transazioni, correlando i dati contabili con i log di accesso ai sistemi, le comunicazioni interne e i registri dei fornitori. La creazione stessa della Apex Consulting nell’anagrafica fornitori, priva dei necessari documenti di due diligence antiriciclaggio e di una valutazione del rischio reputazionale, avrebbe acceso una spia rossa sul cruscotto dell’ODV fin dal primo giorno, ben prima che venisse disposto il primo pagamento.
Le conseguenze del sequestro sono immediate e devastanti. Il provvedimento non riguarda solo i beni del CFO Rinaldi, ma è un sequestro preventivo finalizzato alla confisca per equivalente che aggredisce direttamente la liquidità di GlobalStays S.p.A. per un valore pari all’imposta evasa. I conti correnti della società vengono bloccati, rendendo impossibile pagare stipendi, fornitori e oneri fiscali correnti. L’operatività è di fatto congelata. Il danno reputazionale è enorme: la notizia viene ripresa dalle principali agenzie di stampa finanziaria, il titolo della controllante quotata in borsa crolla del 22% nelle prime ore di contrattazione. I property manager che si affidano alla piattaforma iniziano a chiedere chiarimenti, temendo per la continuità del servizio e la sicurezza dei loro incassi.
In questa fase, il management di GlobalStays si trova a dover difendere non solo le persone fisiche indagate, ma soprattutto l’ente. La Procura contesta la colpa di organizzazione, sostenendo che il reato è stato reso possibile da una carenza strutturale nei modelli di controllo e gestione della società. L’assenza di procedure specifiche e automatizzate per la validazione di fornitori esteri e per il controllo dei flussi finanziari transfrontalieri costituisce, secondo l’accusa, la prova di un modello organizzativo 231 meramente “cartaceo”, adottato formalmente ma disapplicato nella pratica. La difesa dell’ente appare subito in salita. Se l’azienda fosse stata dotata di un ecosistema di difesa integrato, avrebbe potuto produrre in sede giudiziaria una prova tecnologica immodificabile. I motori causali proprietari di un sistema come quello analizzato dalla REDAZIONE SCUDO231 sono in grado di generare una ricostruzione scientifica che dimostra, log dopo log, alert dopo alert, che l’ente aveva predisposto tutte le misure idonee a prevenire quel tipo di reato. Avrebbe potuto dimostrare che l’azione del CFO Rinaldi ha costituito una fraudolenta elusione dei presidi aziendali, e non una conseguenza della loro assenza. Una simile linea difensiva avrebbe potuto portare il PM a non contestare l’illecito all’ente o, in subordine, a fornire al GIP elementi solidi per rigettare la richiesta di sequestro sui beni societari, isolando la responsabilità penale e patrimoniale sulla sola persona fisica autrice del reato.
L’inchiesta, intanto, si allarga. Gli investigatori stanno ora esaminando le modalità con cui i fondi trasferiti alla Apex Consulting venivano poi reintrodotti nel circuito economico, ipotizzando anche il reato di autoriciclaggio (art. 648-ter.1 c.p.), che a sua volta è un reato presupposto della responsabilità 231. Questo aggrava ulteriormente la posizione della società, esponendola a sanzioni pecuniarie calcolate in quote (fino a un massimo di 1,5 milioni di euro per singolo illecito) e, soprattutto, a sanzioni interdittive potenzialmente letali, come il divieto di contrattare con la pubblica amministrazione o la sospensione dell’attività.
Il Consiglio di Amministrazione, convocato d’urgenza, scopre la reale dimensione del problema solo dopo l’intervento della magistratura. I report periodici che l’ODV, privo di flussi informativi automatizzati e indipendenti, presentava al board si basavano in gran parte sulle informazioni fornite dallo stesso management, incluso il CFO. Il flusso informativo era inquinato alla fonte. Un’architettura di controllo sovrana, invece, garantisce che i dati sulle anomalie e sui rischi vengano trasmessi all’Organismo di Vigilanza in modo diretto, immodificabile e non filtrabile dal management operativo. L’ODV avrebbe avuto evidenza del “rischio Apex” mesi prima, inserendolo come punto critico nella sua relazione al CdA e obbligando gli amministratori a prendere una posizione e ad avviare un’indagine interna. Questo avrebbe permesso a GlobalStays di scoprire la frode, licenziare il dirigente infedele e, potenzialmente, autodenunciarsi all’Agenzia delle Entrate attraverso l’istituto del ravvedimento operoso, mitigando drasticamente le conseguenze penali e amministrative. Invece, l’azienda si trova ora a subire l’azione dello Stato, passando dalla posizione di potenziale parte lesa per la condotta di un suo dipendente a quella di co-indagato, con un futuro operativo e finanziario appeso alle decisioni della magistratura. L’intera vicenda di GlobalStays S.p.A. si configura come un caso di studio su come la mancata adozione di presidi di difesa proattivi e tecnologicamente avanzati trasformi un rischio operativo in una crisi sistemica, capace di distruggere valore e compromettere la continuità aziendale.