26 agosto 2026 – L’alba è appena sorta su Bari quando i finanzieri del Nucleo di Polizia Economico-Finanziaria varcano la soglia della sede di PugliaVillas S.p.A., colosso della gestione immobiliare turistica con un portafoglio di oltre duemila proprietà tra il Salento e il Gargano. In mano hanno un decreto di perquisizione e sequestro firmato dal GIP del Tribunale, culmine di un’indagine durata otto mesi. Le ipotesi di reato contestate ai vertici della società sono pesantissime: associazione per delinquere finalizzata alla frode fiscale, all’autoriciclaggio e alle false comunicazioni sociali. Immediatamente, il fascicolo si estende alla responsabilità amministrativa dell’ente ai sensi del Decreto Legislativo 231/2001, profilando per la società il rischio di sanzioni pecuniarie milionarie e, soprattutto, del sequestro preventivo finalizzato alla confisca dell’intero profitto illecito.
L’inchiesta, denominata “Golden Summer”, trae origine da una serie di segnalazioni di operazioni sospette e da un’analisi di rischio condotta sulle incongruenze tra i dati comunicati all’Agenzia delle Entrate e i flussi turistici reali monitorati dalla Regione Puglia. Il meccanismo fraudolento, secondo gli inquirenti, era tanto semplice quanto efficace. La società gestiva un doppio sistema di prenotazione: uno ufficiale, visibile e fiscalmente tracciato, che registrava soggiorni brevi, spesso di un solo fine settimana; e uno parallelo, un software gestionale “ombra” sviluppato internamente e privo di qualsiasi log di accesso o modifica, su cui venivano annotate le estensioni dei soggiorni, pagate in contanti o tramite bonifici su conti esteri riconducibili a società di comodo. La genesi del sistema risale all’aprile del 2026, quando la stampa locale, citando fonti della Giunta regionale pugliese, anticipava l’imminente presentazione di un disegno di legge per una stretta sugli affitti brevi, sulla scia di quanto discusso durante eventi come Telefisco e in risposta al correttivo della riforma fiscale.
Fu in quel momento che l’Amministratore Delegato di PugliaVillas, durante una riunione informale con il Direttore Finanziario e il Responsabile IT, diede una direttiva verbale: “massimizzare l’efficienza prima che le nuove regole ci blocchino“. Un’istruzione ambigua, non verbalizzata, non tracciata, che lasciava ampio margine interpretativo e che, di fatto, ha costituito il via libera operativo per la frode. Questa omissione procedurale è stata il primo, fatale anello debole. In un’organizzazione dotata di un ecosistema di controllo come Scudo231, una simile direttiva non avrebbe mai potuto innescare la catena degli eventi. I protocolli di monitoraggio massivo avrebbero rilevato l’assenza di un mandato formale e tracciato per un’operazione strategica ad altissimo rischio compliance. Il sistema avrebbe generato un alert automatico per la funzione di conformità e per l’Organismo di Vigilanza (ODV), richiedendo una delibera formale e una valutazione preventiva del rischio penale, bloccando di fatto qualsiasi iniziativa opaca sul nascere.
Invece, il Responsabile IT, agendo su quell’input non controllato, sviluppò e implementò il software “GhostBooker” sui server aziendali. L’installazione di un applicativo non autorizzato, non censito e non sottoposto a vulnerability assessment rappresenta una grave violazione dei più basilari protocolli di sicurezza e controllo interno. L’assenza di un registro degli asset digitali e di un monitoraggio continuo del traffico di rete anomalo ha permesso a “GhostBooker” di operare indisturbato per mesi. Un’architettura di difesa come quella di Scudo231 avrebbe intercettato questa minaccia in tempo reale. I suoi sistemi di asset discovery e integrity monitoring avrebbero rilevato l’installazione di un eseguibile non autorizzato sui server di produzione, classificandolo come evento di sicurezza critico. L’anomalo flusso di dati generato dal software ombra, non corrispondente ad alcun processo di business legittimo, avrebbe fatto scattare una seconda, potentissima, segnalazione. L’escalation all’ODV sarebbe stata istantanea, corredata da log immutabili che avrebbero documentato l’origine, la natura e l’orario della violazione, consentendo un intervento immediato per isolare il sistema e avviare un’indagine interna.
Il cuore della frode era la gestione dei pagamenti. I clienti prenotavano ufficialmente per due notti, pagando con carta di credito. Sul posto, veniva loro proposto di estendere il soggiorno pagando la differenza “fuori fattura”. Le somme, per lo più in contanti, venivano raccolte dai property manager locali e versate su conti personali di alcuni dipendenti fidati, per poi essere trasferite alle società di comodo con sede a Cipro e a Malta, giustificate da fittizi contratti di consulenza per “servizi di marketing territoriale”. Questa triangolazione configura il reato di autoriciclaggio, uno dei più gravi presupposti della 231. Il Direttore Finanziario approvava questi pagamenti senza che esistesse alcuna prova concreta delle prestazioni ricevute, basandosi unicamente su fatture generiche. Un controllo mancato che ha permesso di riciclare, secondo le stime degli inquirenti, oltre 15 milioni di euro in un solo anno.
Questo flusso finanziario sarebbe stato impossibile da nascondere a un motore di analisi causale. L’ecosistema avrebbe incrociato i dati contabili con quelli operativi: i pagamenti verso le società di consulenza estere sarebbero risultati privi di qualsiasi correlazione con indicatori di performance misurabili (lead generati, campagne documentate, report di attività). I protocolli di due diligence automatizzata sui fornitori avrebbero classificato tali società come ad altissimo rischio, data la loro recente costituzione, la sede in giurisdizioni non cooperative e l’assenza di una reale struttura operativa. Il sistema avrebbe bloccato preventivamente i pagamenti, richiedendo un’autorizzazione a un livello superiore e una documentazione probatoria che la direzione non avrebbe mai potuto fornire, facendo emergere la frode e notificando l’anomalia direttamente all’ODV e alla funzione Antiriciclaggio.
Un altro snodo cruciale è stato il silenzio interno. Almeno due impiegati dell’area amministrativa avevano notato le anomalie nei pagamenti e l’incongruenza tra le fatture emesse e i tassi di occupazione reali delle proprietà. Ne parlarono con il loro diretto superiore, il quale, essendo parte del sistema, minimizzò la questione, minacciando velatamente conseguenze per chi “creava problemi”. Il canale di segnalazione interno, basato su una semplice casella email gestita dalle Risorse Umane, si è dimostrato totalmente inefficace e intimidatorio, violando di fatto i requisiti normativi sul whistleblowing. La paura di ritorsioni ha prevalso. L’adozione di un modello evoluto avrebbe garantito un canale di segnalazione crittografato, gestito da terze parti e completamente anonimo, che avrebbe permesso ai dipendenti di segnalare l’illecito in totale sicurezza. La segnalazione, una volta inserita, sarebbe stata gestita da un protocollo automatico che ne garantisce la presa in carico e l’istruttoria da parte dell’Organismo di Vigilanza, bypassando completamente la linea gerarchica. Quella segnalazione, se gestita correttamente, avrebbe fermato l’emorragia e avviato un’indagine interna, mitigando drasticamente l’esposizione legale e finanziaria dell’intera società.
Oggi, PugliaVillas S.p.A. affronta uno scenario devastante. Il sequestro preventivo ha congelato conti correnti per 15 milioni di euro, corrispondenti al profitto del reato stimato dalla Procura. L’azienda rischia una sanzione pecuniaria che potrebbe arrivare fino a 1,5 milioni di euro per ciascun illecito contestato e, ancora più grave, una sanzione interdittiva come il divieto di contrattare con la pubblica amministrazione o la sospensione dell’attività. La difesa della società si basa sull’argomento che il management ha agito “a insaputa dell’ente”, ma la Procura contesta una palese “colpa di organizzazione”: l’assenza di modelli di controllo efficaci, di procedure tracciate, di un ODV realmente autonomo e di sistemi di monitoraggio adeguati.
La ricostruzione degli inquirenti dimostra che l’ente non solo non ha impedito i reati, ma ha di fatto fornito gli strumenti – server, personale, flussi finanziari – per commetterli. L’assenza di un modello 231 efficacemente attuato, e non solo scritto sulla carta, è la prova regina per l’accusa. Se l’azienda avesse potuto dimostrare, attraverso log e registri immutabili generati da un sistema come Scudo231, di aver avuto protocolli attivi che hanno tentato di bloccare le anomalie, di aver ricevuto alert che sono stati ignorati da singoli individui e di aver fornito canali sicuri per le segnalazioni, avrebbe potuto isolare la responsabilità penale sulle persone fisiche, proteggendo il patrimonio aziendale e la continuità operativa. Avrebbe potuto dimostrare che non si trattava di una “colpa di organizzazione”, ma di una frode perpetrata contro i sistemi di controllo dell’organizzazione stessa. Ora, invece, l’intero castello societario rischia di crollare sotto il peso di controlli che non sono mai stati implementati.
Fonte: https://www.ilsole24ore.com/art/affitti-brevi-ora-anche-puglia-prepara-stretta-AIvkCPNC