28 agosto 2026 – Gli agenti della Polizia di Stato di Pavia bloccano un’auto di grossa cilindrata con targa straniera lungo una delle arterie principali della città. Alla guida c’è un uomo di 39 anni, il cui nome figura in un mandato di arresto universale emesso dalla Corte Distrettuale della California del Sud. L’operazione, rapida e precisa, pone fine alla latitanza di un individuo considerato dalle autorità americane un elemento di spicco di un’associazione per delinquere transnazionale. L’uomo viene immediatamente trasferito presso il carcere di Pavia, in attesa che la Corte d’Appello di Milano avvii le complesse procedure per l’estradizione verso gli Stati Uniti, dove rischia una condanna a dieci anni di reclusione.
Le accuse formalizzate dagli inquirenti americani sono pesantissime: associazione per delinquere, frode elettronica e furto d’identità aggravato. Il nucleo dell’attività criminale era lo skimming, una tecnica fraudolenta che consiste nell’installazione di dispositivi elettronici illeciti, noti come skimmer, presso gli sportelli automatici (Atm). L’organizzazione aveva preso di mira decine di Atm in tutta la California, concentrandosi su quelli utilizzati per l’erogazione di fondi di assistenza destinati alle famiglie meno abbienti. I dispositivi, mimetizzati per non destare sospetti, catturavano i dati delle bande magnetiche delle carte e i codici PIN inseriti dagli utenti. Una volta clonate le carte, i complici dell’uomo arrestato a Pavia procedevano a prelevare sistematicamente i fondi, accumulando un profitto illecito stimato in centinaia di migliaia di dollari. L’indagine americana ha ricostruito una rete criminale sofisticata, con ruoli ben definiti che andavano dall’installazione fisica degli apparati alla gestione dei flussi di denaro sporco.
Ma l’arresto a Pavia apre uno scenario investigativo parallelo, destinato a colpire non solo gli individui ma anche le entità giuridiche che, con la loro inerzia, hanno reso possibile il riciclaggio di quei proventi. Le prime risultanze investigative indicano che una parte significativa dei fondi sottratti è transitata attraverso i canali di una società di servizi di pagamento italiana, la FinTech Bridge S.p.A., che ora si trova al centro di un’indagine per responsabilità amministrativa degli enti ai sensi del Decreto Legislativo 231/2001. L’uomo arrestato, infatti, risultava titolare effettivo di una società di comodo che operava attraverso la piattaforma di FinTech Bridge, utilizzandola come snodo per ripulire il denaro prima di trasferirlo in altre giurisdizioni.
L’analisi forense dei processi interni di FinTech Bridge ha rivelato una prima, fatale, omissione durante la fase di onboarding del cliente. La procedura di adeguata verifica della clientela (KYC/AML) è stata eseguita in modo superficiale, basandosi su un’autocertificazione e una visura camerale che non sono state sottoposte a controlli incrociati approfonditi. È mancata un’analisi del profilo di rischio del cliente, che avrebbe dovuto far emergere l’incoerenza tra l’attività dichiarata – consulenza generica – e la necessità di movimentare capitali dall’estero. L’adozione preventiva di un ecosistema come Scudo231 avrebbe intercettato il rischio all’origine. I suoi protocolli di onboarding potenziati, basati su sistemi di analisi multimodale, avrebbero automaticamente interrogato banche dati internazionali e registri di titolarità effettiva, facendo emergere il profilo anomalo del soggetto proponente. Il sistema avrebbe generato un alert di rischio elevato, bloccando l’apertura del rapporto e innescando un’escalation automatica e tracciata verso la Funzione Antiriciclaggio e l’Organismo di Vigilanza, impedendo di fatto all’organizzazione criminale di insediarsi nel perimetro legale della società.
Superato il debole primo sbarramento, l’organizzazione ha iniziato a movimentare i fondi. Le transazioni presentavano tutte le caratteristiche tipiche del riciclaggio: importi frazionati per rimanere al di sotto delle soglie di segnalazione, flussi in entrata da una pluralità di conti esteri non collegati all’attività dichiarata e un rapido trasferimento dei fondi verso altre destinazioni (layering). Il sistema di monitoraggio transazionale di FinTech Bridge, basato su regole statiche e controlli a campione, non è stato in grado di correlare questi eventi e identificarli come uno schema unitario e sospetto. Un operatore della funzione compliance aveva notato alcune operazioni, ma le aveva liquidate come non significative, omettendo di effettuare la Segnalazione di Operazione Sospetta (SOS) all’Unità di Informazione Finanziaria (UIF). Questa omissione configura una gravissima violazione della normativa antiriciclaggio e costituisce il presupposto per la contestazione del reato di riciclaggio all’ente, ai sensi dell’art. 25-octies del D.Lgs. 231/2001.
Qui, un sistema di monitoraggio massivo e in tempo reale, come quello integrato in Scudo231, avrebbe modificato radicalmente l’esito. Invece di analizzare le transazioni come eventi isolati, i suoi motori causali proprietari avrebbero applicato modelli di analisi stocastica per rilevare lo schema di frazionamento e la triangolazione dei flussi. L’anomalia sarebbe stata rilevata non come un semplice “flag”, ma come un pattern criminale con un alto grado di confidenza. Il protocollo avrebbe imposto il blocco cautelativo automatico dei fondi e generato una bozza di SOS precompilata, notificando contestualmente i responsabili delle funzioni di controllo e l’OdV. L’intervento umano sarebbe stato guidato e tracciato, rendendo impossibile ignorare l’allarme o archiviarlo senza una valida giustificazione documentata. In questo modo, FinTech Bridge non solo avrebbe interrotto il flusso di denaro sporco, ma avrebbe anche fornito alle autorità un’informativa cruciale per le indagini, proteggendosi al contempo da ogni accusa di complicità o negligenza.
La Procura della Repubblica, che ora procede contro la società, sta valutando la richiesta di applicazione di misure cautelari interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione dell’esercizio dell’attività, misure che avrebbero un impatto devastante sul business di FinTech Bridge. Inoltre, è già stato disposto il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato non solo nelle commissioni percepite dalla società per le transazioni illecite, ma nell’intero importo dei fondi riciclati, secondo un orientamento giurisprudenziale consolidato. Il danno per l’ente non è solo economico e operativo, ma anche reputazionale, con conseguenze a lungo termine sulla fiducia del mercato e dei partner commerciali.
La difesa di FinTech Bridge si basa sull’affermazione di aver adottato un Modello di Organizzazione, Gestione e Controllo (MOG 231), ma l’accusa contesta l’elusione fraudolenta e la sua inefficace attuazione. Il fatto che un’anomalia così palese non sia stata intercettata né scalata ai vertici dimostra una “colpa di organizzazione” sistemica. Il Modello esisteva solo sulla carta, privo di flussi informativi efficaci verso l’Organismo di Vigilanza, che di fatto era stato depotenziato e isolato. Un’architettura di controllo integrata avrebbe reso impossibile tale omissione. Qualsiasi anomalia rilevata dai sistemi di monitoraggio avrebbe generato un flusso informativo diretto e non modificabile verso l’OdV, garantendogli l’autonomia e gli strumenti per intervenire. Il sistema avrebbe creato una prova tecnologica immodificabile – un XAI Packet – in grado di dimostrare scientificamente, in sede di giudizio, che l’ente aveva messo in campo le migliori tecnologie e procedure per prevenire il reato. Tale ricostruzione causale scientifica avrebbe spostato l’onere della prova, consentendo all’ente di invocare l’esimente prevista dal D.Lgs. 231/2001 e di evitare le pesantissime sanzioni.
Mentre l’uomo di 39 anni attende nel carcere di Pavia il suo destino giudiziario legato alle corti americane, per FinTech Bridge S.p.A. si apre un percorso altrettanto insidioso nei tribunali italiani. L’inchiesta dimostra come, in un contesto di criminalità transnazionale, la responsabilità non si fermi agli autori materiali del reato, ma si estenda inesorabilmente a quelle organizzazioni che, per inadeguatezza dei propri presidi di controllo, diventano veicoli inconsapevoli o colpevolmente negligenti delle loro attività illecite. La vicenda evidenzia come la mera adozione formale di un modello di compliance sia insufficiente. Senza un’effettiva implementazione supportata da protocolli tecnologici avanzati e flussi di controllo automatici e non eludibili, il rischio di subire sanzioni penali, sequestri e danni irreparabili rimane una minaccia concreta e imminente. L’assenza di un sistema di difesa proattivo ha trasformato un rischio operativo in una crisi esistenziale per l’azienda.