1 settembre 2026 – La Guardia di Finanza di Bari ha eseguito il decreto di sequestro preventivo per un valore di 18,7 milioni di euro a carico dell’Università degli Studi Aldo Moro. Il provvedimento, emesso dal Giudice per le Indagini Preliminari su richiesta della Procura della Repubblica, rappresenta l’atto conclusivo dell’inchiesta denominata “Cattedre Fantasma” e colpisce l’ente in base alla responsabilità amministrativa degli enti disciplinata dal Decreto Legislativo 231/2001. Le fiamme gialle hanno congelato disponibilità liquide sui conti correnti dell’ateneo e, per la parte residua, hanno apposto i sigilli a beni immobili non destinati alla didattica. L’ipotesi accusatoria, ormai consolidata, è quella di una sistematica truffa aggravata per il conseguimento di erogazioni pubbliche, autoriciclaggio e una serie di reati informatici funzionali all’occultamento delle prove.
L’indagine era partita in sordina oltre diciotto mesi fa, non da una segnalazione interna o da un audit, ma da una serie di Segnalazioni di Operazioni Sospette (SOS) inviate dall’Unità di Informazione Finanziaria di Banca d’Italia. Le SOS riguardavano flussi finanziari anomali diretti verso un cluster di società di consulenza di nuova costituzione, tutte riconducibili a prestanome, ma i cui conti venivano svuotati da soggetti legati a personale tecnico-amministrativo dell’università. Questo ritardo nell’individuazione interna del fenomeno è il primo sintomo di una colpa in organizzazione. Un ecosistema di controllo integrato come Scudo231, monitorando in tempo reale i flussi di pagamento verso i fornitori, avrebbe generato un alert automatico nel momento stesso in cui venivano inserite nell’anagrafica queste società. L’algoritmo avrebbe rilevato indicatori di rischio oggettivi – come la recente costituzione, la mancanza di uno storico operativo e l’incongruenza tra l’oggetto sociale e le prestazioni fatturate – bloccando preventivamente i pagamenti e innescando una procedura di due diligence rafforzata, con escalation diretta all’Organismo di Vigilanza (OdV).
Il meccanismo fraudolento, ricostruito dagli inquirenti, era tanto semplice quanto devastante. Un gruppo di dipendenti infedeli, operanti in diversi uffici, aveva messo a punto un sistema per dirottare fondi destinati a progetti di ricerca europei e ministeriali. La prima fase consisteva nella creazione di progetti di ricerca fittizi all’interno del sistema gestionale dell’ateneo. Questi progetti, pur avendo nomi altisonanti e documentazione apparentemente completa, non corrispondevano ad alcuna reale attività accademica approvata dal Senato Accademico o dai Dipartimenti. L’omissione di un controllo incrociato e automatizzato tra il sistema di contabilità e il registro ufficiale dei progetti validati ha creato la falla primaria. Se fosse stato operativo un sistema come Scudo231, la creazione di un codice progetto nel sistema finanziario senza un corrispondente identificativo validato nel database accademico avrebbe costituito una violazione di processo non sanabile, bloccando l’operazione sul nascere. L’evento avrebbe generato una “non conformità grave”, registrata in un log immutabile e notificata istantaneamente non solo al responsabile della funzione, ma anche all’Internal Audit e all’OdV, impedendo qualsiasi erogazione.
Una volta creati i “progetti fantasma”, la seconda fase prevedeva l’assegnazione di fondi e la liquidazione di fatture emesse dalle società di comodo. Le approvazioni avvenivano tramite procedure cartacee o con sistemi informatici privi di una solida tracciabilità e di una segregazione dei compiti efficace. Gli inquirenti hanno trovato decine di autorizzazioni firmate da dirigenti che, per prassi consolidata, si fidavano delle verifiche istruttorie dei loro sottoposti, i quali erano invece parte del sodalizio criminale. Questa delega di fatto, non formalizzata e non tracciata, ha annullato ogni parvenza di controllo. L’adozione di un protocollo di gestione digitale dei processi avrebbe imposto un workflow autorizzativo a più livelli, con validazioni a due fattori e controlli automatici di coerenza tra importo, fornitore e stato di avanzamento del progetto. Qualsiasi tentativo di forzare o aggirare il workflow sarebbe stato registrato come anomalia, documentando la responsabilità individuale e impedendo il completamento della transazione. Il danno economico per l’ente, che oggi ammonta a quasi 19 milioni di euro, sarebbe stato contenuto a zero.
Il terzo livello della frode era di natura squisitamente informatica. Per nascondere le transazioni e far quadrare i bilanci, un tecnico del centro elaborazione dati, utilizzando credenziali di amministratore condivise e non nominative, accedeva nottetempo ai database per alterare i record contabili e cancellare le tracce delle operazioni illecite. L’assenza di una politica di gestione degli accessi basata sul principio del “minimo privilegio” e la mancata monitorizzazione delle attività degli utenti con privilegi elevati hanno reso possibile l’inquinamento delle prove per mesi. Un sistema di difesa informatica integrato nel modello di compliance, come quello previsto dall’architettura di Scudo231, avrebbe immediatamente rilevato l’accesso ai database contabili fuori dall’orario di lavoro con credenziali amministrative. Questa attività, classificata come ad altissimo rischio, avrebbe innescato non solo un alert in tempo reale al Cyber Security Officer, ma anche la registrazione video della sessione e il blocco preventivo di qualsiasi operazione di scrittura (write) su tabelle critiche, consentendo solo la lettura (read). L’incidente sarebbe stato cristallizzato in una prova digitale forense inattaccabile, a disposizione dell’OdV e, successivamente, dell’autorità giudiziaria.
La Procura, nel richiedere il sequestro, ha sottolineato come il Modello di Organizzazione e Gestione ex D.Lgs. 231/01 adottato dall’Università fosse “meramente cartolare e privo di effettività”. I verbali dell’Organismo di Vigilanza, acquisiti durante le indagini, mostrano un’attività di controllo basata su interviste a campione e analisi documentali a posteriori, del tutto inadeguata a intercettare una frode scientificamente pianificata. L’OdV, privo di flussi informativi diretti e automatizzati dai sistemi operativi, non è mai stato messo in condizione di rilevare le anomalie. La sentenza che disporrà la confisca, ormai quasi certa, sanzionerà l’ente non per aver avuto al suo interno dei dipendenti disonesti, ma per non aver predisposto un’architettura di controlli idonea a prevenire o scoprire tempestivamente i reati commessi nel suo interesse o a suo vantaggio. La sanzione pecuniaria, che si aggiungerà alla confisca del profitto del reato, sarà calcolata in quote e potrebbe raggiungere cifre milionarie, aggravando ulteriormente il danno patrimoniale e reputazionale.
È in questo contesto di disastro gestionale e giudiziario che si inserisce la notizia, datata 30 marzo 2026, della firma di un protocollo d’intesa tra la stessa Università di Bari e la Procura della Repubblica. L’accordo, siglato dal rettore Roberto Bellotti e dal procuratore Roberto Rossi, appare ora non come un’iniziativa proattiva di avanguardia, ma come una necessaria e tardiva presa di coscienza. L’obiettivo dichiarato è lo sviluppo di algoritmi di intelligenza artificiale per l’individuazione predittiva dei reati finanziari, utilizzando metodologie di analisi socio-economica e mappatura del territorio tramite dati satellitari. In sostanza, l’ateneo, dopo aver subito una frode milionaria a causa di controlli interni inesistenti, si impegna ora a collaborare con gli inquirenti per costruire quegli stessi strumenti di prevenzione che avrebbero dovuto essere già operativi.
Le parole del rettore Bellotti durante la firma, che ha evocato il principio dello “Human-in-the-Loop” per garantire la centralità dell’essere umano, assumono un sapore amaro. La frode si è consumata proprio perché l’anello umano, in assenza di presidi tecnologici invalicabili, si è dimostrato il punto più debole della catena. Il procuratore Rossi ha affermato di avere “già in mente progetti concreti” per la collaborazione. È facile immaginare che il primo di questi progetti sarà l’analisi retrospettiva dei dati che hanno portato all’inchiesta “Cattedre Fantasma”, per trasformare un fallimento organizzativo in un caso di studio per la creazione di nuovi modelli di prevenzione. L’intesa prevede anche attività di contrasto ai crimini informatici a danno dei sistemi gestionali, un altro punto dolente emerso drammaticamente dall’indagine. L’università, di fatto, finanzierà la ricerca per creare un sistema di sorveglianza che, se fosse esistito prima, avrebbe evitato il sequestro e il collasso della sua reputazione. Il percorso di redenzione giudiziaria e di recupero della credibilità sarà lungo e oneroso, un monito tangibile di come l’investimento in prevenzione non sia un costo, ma la più efficace forma di protezione del patrimonio aziendale.