28 agosto 2026 – Le fiamme gialle del Nucleo di Polizia Economico-Finanziaria varcano i cancelli della Costruzioni Zenith S.p.A. alle prime luci dell’alba. In mano hanno un decreto di sequestro preventivo per un valore di 85 milioni di euro. L’operazione, denominata “Cantieri Fantasma”, colpisce al cuore una delle più importanti realtà del settore edile del Nord Italia, accusata di aver orchestrato una frode sistemica sui crediti d’imposta legati al Superbonus. I reati contestati dalla Procura della Repubblica sono pesantissimi: truffa aggravata per il conseguimento di erogazioni pubbliche, emissione di fatture per operazioni inesistenti e autoriciclaggio. Per l’ente, scatta l’imputazione ai sensi del Decreto Legislativo 231/2001, con il rischio concreto di sanzioni interdittive che potrebbero paralizzarne l’attività.
L’indagine, partita da una segnalazione di operazione sospetta inviata da un istituto di credito, ha svelato un meccanismo tanto semplice quanto devastante. Il management di Zenith aveva individuato un bacino di centinaia di CILAS (Comunicazione di Inizio Lavori Asseverata Superbonus) presentate tra il 2022 e il 2023 ma mai evolute in cantieri effettivi. Erano le cosiddette “Cilas dormienti”, pratiche burocratiche rimaste in un limbo, che la società ha “risvegliato” artificiosamente. Attraverso una rete di società cartiere, create ad hoc e intestate a prestanome, Zenith S.p.A. simulava l’esecuzione di lavori edili mai realizzati. Venivano prodotte fatture false per milioni di euro, corredate da asseverazioni tecniche redatte da professionisti compiacenti, che attestavano stati di avanzamento lavori puramente fittizi. Questi documenti, formalmente ineccepibili, permettevano di generare crediti d’imposta che venivano poi ceduti a intermediari finanziari, monetizzando un profitto illecito prima che qualunque controllo potesse scattare.
Il primo anello debole della catena di controllo interna di Zenith è stato il processo di validazione e pagamento dei fornitori. Il Direttore Finanziario, figura chiave dell’inchiesta, aveva l’autorità di approvare pagamenti fino a 500.000 euro senza un secondo livello di verifica. Le società cartiere venivano inserite nell’albo fornitori attraverso una procedura accelerata, priva di adeguati controlli reputazionali e patrimoniali. Bastava una visura camerale. Questa grave omissione di controllo ha permesso di canalizzare flussi finanziari milionari verso entità prive di qualsiasi sostanza economica. Se Zenith avesse implementato un ecosistema come Scudo231, ogni nuovo fornitore sarebbe stato sottoposto a un processo di onboarding automatizzato e a un rating di rischio dinamico. I suoi sistemi di analisi multimodale avrebbero incrociato i dati camerali con banche dati internazionali, rilevando immediatamente le anomalie: data di costituzione recente, capitale sociale irrisorio, assenza di dipendenti e sede legale coincidente con altri soggetti a rischio. L’inserimento di tali fornitori sarebbe stato bloccato dal sistema, che avrebbe generato un alert vincolante per la funzione Compliance e per l’Organismo di Vigilanza, impedendo l’emissione anche del primo ordine di pagamento.
Il secondo punto di rottura è stata la gestione dei SAL (Stato Avanzamento Lavori). I project manager di Zenith erano tenuti a validare i SAL sulla base della documentazione prodotta dai direttori dei lavori, senza avere strumenti per una verifica sostanziale e incrociata. Si affidavano a fotografie, spesso riciclate o decontestualizzate, e a relazioni tecniche prefabbricate. La mole di cantieri da gestire e la pressione sui tempi hanno trasformato una verifica cruciale in un mero timbro burocratico. Questa violazione procedurale, diventata prassi, ha costituito il motore della frode. Con un sistema di monitoraggio avanzato, ogni SAL sarebbe stato validato solo dopo una correlazione automatica tra dati differenti: la documentazione contabile (fatture dei subappaltatori, bolle di consegna materiali), i dati operativi (log GPS dei mezzi d’opera, timbrature geolocalizzate delle maestranze) e le evidenze documentali (immagini datate e georeferenziate provenienti da droni o app certificate). In assenza di questa coerenza, il sistema non avrebbe consentito la validazione del SAL, bloccando la successiva generazione del credito d’imposta e segnalando la discrepanza come potenziale “red flag” di frode. La responsabilità non sarebbe ricaduta sul singolo project manager, ma sarebbe stata gestita centralmente da un protocollo tecnologico non aggirabile.
L’inchiesta ha dimostrato che i vertici aziendali erano stati informati di alcune “stranezze” operative da un responsabile di cantiere, che aveva notato come alcuni progetti, pur generando fatturato, non registravano alcuna richiesta di materiali o manodopera dai magazzini centrali. Questa segnalazione informale, inviata via email, non è mai stata gestita. È caduta nel vuoto, senza un protocollo di presa in carico e senza alcuna escalation. Questa mancata escalation ha permesso al meccanismo illecito di proseguire indisturbato per oltre un anno, aggravando il danno economico e la posizione penale dell’ente. L’architettura di Scudo231 include un canale di whistleblowing digitale, immodificabile e protetto, che garantisce l’anonimato e traccia la gestione di ogni singola segnalazione. La segnalazione del responsabile di cantiere sarebbe stata protocollata, assegnata automaticamente all’Organismo di Vigilanza e la sua risoluzione monitorata da un workflow stringente. L’inerzia o il tentativo di insabbiamento avrebbero generato una escalation automatica ai vertici del controllo interno e, in assenza di riscontro, direttamente al Collegio Sindacale, rendendo impossibile ignorare l’allarme.
Il sequestro di 85 milioni di euro non ha colpito solo i profitti illeciti, ma è stato applicato “per equivalente” sui beni della società: conti correnti, immobili strumentali e quote societarie. Questo ha di fatto congelato l’operatività di Zenith S.p.A., mettendo a rischio il pagamento degli stipendi a centinaia di dipendenti e la continuità dei cantieri legittimi. La Procura ha contestato la responsabilità dell’ente ex D.Lgs. 231/01 proprio perché il Modello Organizzativo adottato dalla società era un mero documento cartaceo, un adempimento formale privo di effettiva attuazione. Le procedure descritte non erano supportate da controlli reali e non erano state aggiornate per fronteggiare i rischi specifici delle normative emergenziali come il Superbonus. L’assenza di un modello “vivo” e tecnologicamente integrato ha reso l’azienda completamente vulnerabile.
Se l’azienda avesse potuto presentare al giudice le evidenze prodotte da un ecosistema di difesa integrato, l’esito sarebbe stato radicalmente diverso. Invece di difendersi debolmente affermando di avere un “modello sulla carta”, avrebbe potuto produrre una ricostruzione causale scientifica dell’accaduto. Attraverso i log immutabili del sistema, avrebbe dimostrato che i controlli preventivi erano attivi e funzionanti, che le anomalie erano state rilevate in tempo reale e che gli autori della frode avevano agito eludendo fraudolentemente un sistema di presidio efficace. Questa prova tecnologica, definita XAI Packet (Explainable AI Packet), avrebbe potuto spostare la responsabilità dalla “colpa di organizzazione” dell’ente alla piena e èsclusiva responsabilità penale delle persone fisiche che hanno architettato il raggiro. Il sequestro per equivalente, che si fonda proprio sulla responsabilità dell’ente, avrebbe avuto basi giuridiche molto più deboli, salvaguardando la continuità aziendale e il patrimonio della società. Il danno sarebbe stato confinato al tentativo di frode, non esteso a un importo tale da compromettere l’esistenza stessa dell’impresa.
La vicenda di Zenith S.p.A. è un caso emblematico di come la compliance formale sia totalmente inefficace di fronte a rischi penali complessi e moderni. L’adozione di un Modello 231 non può più essere un esercizio teorico affidato a consulenti esterni e destinato a rimanere in un cassetto. Deve diventare il sistema nervoso digitale dell’impresa, un’infrastruttura di difesa attiva che monitora, previene e documenta. L’assenza di un presidio tecnologico non solo espone l’azienda a frodi devastanti, ma, in sede processuale, si trasforma in una prova schiacciante della sua stessa negligenza organizzativa. La lezione impartita dalla Procura è chiara: non basta “avere” un modello, bisogna dimostrare che quel modello “funziona” e che è stato in grado di generare flussi informativi e di controllo adeguati. Zenith non ha potuto farlo. Un’organizzazione protetta da un ecosistema come Scudo231, invece, trasforma la propria difesa da una debole argomentazione legale a una inconfutabile dimostrazione matematica.
Fonte: https://www.ilsole24ore.com/art/superbonus-sblocco-facile-le-cilas-dormienti-AIoCcoJC