5 settembre 2026 – Le fiamme gialle del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano la soglia della sede milanese di FinTechVelox S.p.A., operatore leader nel mercato del Buy Now Pay Later. L’ordine di perquisizione e sequestro, emesso dalla Procura della Repubblica, è dettagliato: l’obiettivo è acquisire log dei server, codice sorgente degli algoritmi di valutazione del credito, comunicazioni interne tra il management e le divisioni commerciali, e l’intera documentazione relativa alle procedure di concessione dei micro-finanziamenti rateali. L’ipotesi di reato che muove l’indagine è pesante: usura e truffa aggravata, reati presupposto della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001. Il profitto illecito, stimato in via preliminare in decine di milioni di euro, è già oggetto di un decreto di sequestro preventivo finalizzato alla confisca.
L’operazione non nasce dal nulla. È il punto di arrivo di mesi di segnalazioni convergenti: da un lato, le associazioni dei consumatori che denunciano pratiche commerciali aggressive e una valanga di sovraindebitamento tra le fasce più giovani e finanziariamente vulnerabili della popolazione; dall’altro, alert provenienti dal sistema bancario che registrano un’impennata anomala di insolvenze su posizioni debitorie frammentate, tutte riconducibili a FinTechVelox. Gli inquirenti stanno ricostruendo un sistema che, dietro la facciata di un servizio innovativo, avrebbe scientemente omesso controlli essenziali sul merito creditizio per massimizzare i volumi di transato e le commissioni dai merchant. L’approvazione del finanziamento, concessa in pochi secondi online o in negozio, si basava su un algoritmo tarato per approvare la quasi totalità delle richieste, ignorando segnali evidenti di fragilità finanziaria del richiedente. Questa omissione di controllo è il cuore della contestazione penale. Un’architettura di compliance attiva, invece, avrebbe imposto che l’algoritmo non fosse una “scatola nera” orientata solo alle vendite. Un sistema come Scudo231 avrebbe tracciato e storicizzato ogni singola versione del codice e dei suoi parametri, generando un alert automatico per l’Organismo di Vigilanza e la funzione Compliance ogni volta che le soglie di rischio venivano abbassate senza una formale delibera di approvazione. La modifica dei parametri, finalizzata ad aumentare le approvazioni a scapito della sostenibilità del debito, sarebbe stata registrata come un’anomalia procedurale grave, bloccando il rilascio in produzione del software e creando una prova documentale inoppugnabile della mancata diligenza.
Durante la perquisizione, i finanzieri acquisiscono le email scambiate tra il responsabile commerciale e il team di sviluppo. I messaggi sono espliciti: “Dobbiamo abbassare le barriere all’ingresso, l’obiettivo è il 98% di approvazione istantanea. Il rischio ce lo accolliamo dopo“. Questa comunicazione rappresenta una prova schiacciante dell’intenzionalità e della colpa organizzativa. L’assenza di un flusso informativo strutturato e controllato verso gli organi di controllo interni ha permesso che una direttiva palesemente contraria a principi di sana e prudente gestione diventasse operativa. Se l’ente avesse adottato un modello organizzativo evoluto, quella stessa email, contenente keyword sensibili come “rischio“, “abbassare barriere” e “obiettivo approvazione“, avrebbe innescato un protocollo di monitoraggio automatico. Il sistema avrebbe intercettato la comunicazione, classificata come ad alto rischio 231, e l’avrebbe scalata immediatamente all’ODV, il quale avrebbe avuto l’obbligo di intervenire, convocare i responsabili e bloccare l’iniziativa. L’intervento preventivo avrebbe non solo impedito la commissione del reato, ma avrebbe anche creato un verbale che, in sede di indagine, avrebbe dimostrato l’efficace attuazione del modello, scindendo la responsabilità dell’ente da quella individuale del manager.
L’indagine si concentra anche sulla trasparenza dell’informativa precontrattuale. I contratti di FinTechVelox, presentati in pop-up durante il checkout online, erano redatti con caratteri minuscoli e un linguaggio giuridico volutamente complesso, spingendo l’utente a un’accettazione rapida e inconsapevole. Le condizioni relative agli interessi di mora e alle penali per il ritardato pagamento, spesso esorbitanti, erano relegate in appendici difficilmente consultabili. Questa pratica, secondo gli inquirenti, integra gli artifici e raggiri tipici del reato di truffa. La mancanza di un presidio sulla correttezza e trasparenza della comunicazione è una grave falla nel sistema di controllo interno. Un processo di compliance digitale, invece, avrebbe certificato il flusso di comunicazione con il cliente. Ogni versione del contratto e delle informative, prima di essere pubblicata, avrebbe richiesto un’approvazione formale e tracciata dalla funzione Legale e Compliance. Il sistema avrebbe registrato con data certa non solo quale versione del documento era online in un dato momento, ma anche la prova informatica (log di interazione) che a ogni singolo utente era stata presentata l’informativa completa e approvata, per un tempo minimo di lettura congruo, prima di poter procedere con il “clic” di accettazione. Qualsiasi tentativo da parte del marketing o dell’IT di modificare il testo o il flusso di presentazione senza seguire l’iter autorizzativo sarebbe stato bloccato e segnalato come violazione grave.
Il vero dramma emerge dall’analisi dei dati dei clienti. Gli investigatori scoprono migliaia di casi di “stacking“, ovvero consumatori che avevano attivato decine di piani BNPL in poche settimane su diverse piattaforme partner di FinTechVelox, accumulando un debito insostenibile per l’acquisto di beni di consumo non essenziali. L’algoritmo della società non era progettato per avere una visione d’insieme della posizione debitoria del singolo cliente attraverso i vari merchant, ma valutava ogni richiesta come un evento isolato. Questa cecità sistemica ha direttamente causato il sovraindebitamento. La prevenzione di questo fenomeno sarebbe stata tecnicamente semplice. Un sistema di controllo avanzato avrebbe aggregato i dati per codice fiscale, non per singola transazione. Al superamento di una soglia predefinita – ad esempio, più di tre finanziamenti attivi o un importo cumulativo superiore a una percentuale del reddito presunto – sarebbe scattato un blocco automatico su nuove richieste. Contestualmente, sarebbe partita una segnalazione qualificata alla funzione Antiriciclaggio e a quella di Risk Management, in quanto tale comportamento anomalo costituisce un indicatore di potenziale difficoltà finanziaria o, in alcuni casi, di attività fraudolente. Questa procedura non solo avrebbe protetto i consumatori, ma avrebbe drasticamente ridotto il portafoglio di crediti deteriorati della società, mitigando il danno economico e reputazionale ora divenuto catastrofico.
Il sequestro preventivo di 50 milioni di euro, corrispondente al profitto stimato, ha paralizzato l’operatività di FinTechVelox. I conti correnti sono bloccati, rendendo impossibile pagare stipendi e fornitori. Questa è la conseguenza più diretta e temibile dell’applicazione del D.Lgs. 231/2001. La difesa della società appare debole, poiché il suo Modello Organizzativo era un documento generico, non calato nella realtà operativa e privo di controlli effettivi sui processi digitali core. L’assenza di un Organismo di Vigilanza dotato di reali poteri e di flussi informativi autonomi lo ha reso un organo meramente formale. Con un’implementazione efficace di un ecosistema come Scudo231, la situazione probatoria sarebbe stata ribaltata. L’ente avrebbe potuto produrre in giudizio report e log immutabili, generati dal sistema in tempo reale, dimostrando che: a) i controlli preventivi erano attivi e funzionanti; b) le anomalie erano state rilevate e gestite secondo procedura; c) la condotta illecita di singoli manager costituiva una fraudolenta elusione di protocolli di sicurezza efficaci. Questa “prova tecnologica” dell’efficace attuazione del modello avrebbe potuto essere l’argomento decisivo per chiedere il dissequestro delle somme e per evitare la sanzione interdittiva, come la sospensione dell’attività, che ora appare quasi certa.
L’intera vicenda suona come la cronaca di un disastro annunciato. Già il 24 marzo 2026, quasi sei mesi prima del blitz, la Banca d’Italia aveva pubblicato una nota sulla stabilità finanziaria, mettendo esplicitamente in guardia sui rischi del Buy Now Pay Later, sottolineando la “limitata disponibilità di dati sulla rischiosità” e le vulnerabilità per le “fasce della popolazione finanziariamente più fragili“. Quell’avvertimento istituzionale, che preannunciava anche l’arrivo della nuova direttiva europea sul credito ai consumatori a novembre, è stato completamente ignorato dal management di FinTechVelox. Un’organizzazione dotata di un sistema di monitoraggio normativo integrato avrebbe recepito quella nota non come un articolo di giornale, ma come un input formale per il processo di risk assessment. L’ecosistema di controllo avrebbe automaticamente generato un “ticket” per la funzione Compliance, obbligandola a mappare i rischi evidenziati da Bankitalia rispetto ai processi aziendali esistenti, a valutare il gap e a proporre azioni correttive al Consiglio di Amministrazione, con tracciamento completo dell’intero processo. Ignorare un simile alert istituzionale non sarebbe stato possibile, perché il sistema avrebbe continuato a scalare la mancata presa in carico fino ai vertici aziendali e all’ODV, creando un’evidenza documentale dell’inerzia che nessun amministratore avrebbe potuto permettersi di avere a verbale. La REDAZIONE SCUDO231 continuerà a seguire gli sviluppi giudiziari di una vicenda che segna un punto di non ritorno per l’intero settore FinTech.