9 settembre 2026 – Le fiamme blu della Guardia di Finanza varcano i cancelli della sede milanese di EuroInfratech S.p.A., colosso europeo delle costruzioni strategiche. L’operazione, coordinata dalla Procura della Repubblica, è la diretta conseguenza delle nuove, stringenti normative europee sugli appalti pubblici, entrate in vigore con il regolamento unico che ha soppiantato le tre direttive precedenti. Gli investigatori acquisiscono server, documentazione contabile e fascicoli relativi alla commessa “Digital Fortress One”, un appalto da 1,2 miliardi di euro per la realizzazione di un hub di data center ad alta sicurezza, finanziato con fondi dell’Unione Europea e considerato di vitale importanza per la sovranità digitale del continente. L’ipotesi di reato è pesante: truffa aggravata ai danni dello Stato e dell’UE, frode in pubbliche forniture e false comunicazioni sociali. Al centro dell’indagine vi è il sospetto che EuroInfratech abbia deliberatamente aggirato la clausola di preferenza europea, un pilastro del nuovo quadro normativo pensato da Bruxelles per proteggere le catene di approvvigionamento strategiche e la sicurezza economica del blocco.
L’inchiesta prende le mosse da una segnalazione anonima, ma trova immediato riscontro nell’analisi dei flussi doganali. Componenti critici per i sistemi di raffreddamento e per la gestione energetica dei data center, dichiarati come prodotti da una consociata tedesca, risulterebbero in realtà fabbricati da un’entità con sede in un Paese terzo, noto per le sue politiche industriali aggressive e per la totale assenza di accordi di reciprocità con l’Ue. Un fornitore, la TechFlow Components Ltd, formalmente escluso dalla gara per effetto delle nuove norme. L’omissione nel controllo della catena di fornitura è il primo anello debole che ha permesso alla condotta illecita di materializzarsi. La qualifica del fornitore si è basata su un’autocertificazione e su una verifica documentale superficiale, eseguita dall’ufficio acquisti sotto la pressione di rispettare tempistiche stringenti. Nessuno ha verificato l’effettiva origine della produzione. Se EuroInfratech avesse implementato un’architettura di difesa come Scudo231, il processo di accreditamento di quel fornitore avrebbe seguito un percorso radicalmente diverso. L’ecosistema, attraverso i suoi sistemi di analisi multimodale, avrebbe automaticamente incrociato i dati camerali della consociata tedesca con i registri di spedizione internazionali e i database di intelligence sulla supply chain, rilevando l’anomalia: una discrepanza tra la capacità produttiva dichiarata e i volumi di componentistica movimentati dalla TechFlow Components Ltd. Questo segnale debole avrebbe generato un alert di rischio elevato, bloccando l’inserimento del fornitore nel sistema gestionale e innescando un protocollo di enhanced due diligence, con notifica obbligatoria all’Organismo di Vigilanza e alla funzione Compliance. L’illecito sarebbe stato stroncato sul nascere.
Invece, il meccanismo fraudolento si è consolidato. Il direttore di commessa, un manager con una lunga carriera in azienda, ha firmato gli stati di avanzamento lavori (SAL) attestando la conformità di tutti i materiali ai requisiti del bando europeo, inclusa la clausola di origine. Una firma apposta su documenti che, secondo gli inquirenti, erano scientemente falsi. Questa condotta individuale, motivata dal raggiungimento di bonus di produzione legati al rispetto dei tempi e dei costi, espone ora l’intera società alla responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001. La Procura contesta infatti che il reato è stato commesso nell’interesse e a vantaggio dell’ente, che ha ottenuto un significativo risparmio sui costi di approvvigionamento – stimato in oltre 80 milioni di euro – a discapito della sicurezza e delle norme comunitarie. Questo vantaggio economico costituisce il profitto del reato, oggetto di una probabile richiesta di sequestro preventivo, anche per equivalente, che potrebbe congelare beni e liquidità della società per un importo corrispondente, paralizzandone l’operatività.
Anche in questa fase, un modello di controllo evoluto avrebbe eretto una barriera invalicabile. La validazione di ogni stato di avanzamento lavori, all’interno dell’ecosistema Scudo231, non è un mero atto formale, ma il punto terminale di un flusso informativo tracciato e non ripudiabile. Il sistema avrebbe automaticamente verificato la coerenza tra i componenti elencati nel SAL e i dati di tracciabilità logistica provenienti dai sensori installati nei magazzini e sui mezzi di trasporto. Al momento della firma digitale da parte del direttore di commessa, il sistema avrebbe rilevato il mismatch tra l’origine dichiarata (UE) e quella effettiva (Paese terzo), registrata all’ingresso delle merci. L’operazione di firma sarebbe stata inibita e sarebbe partita una segnalazione qualificata all’OdV, documentando il tentativo di attestare il falso. Tale registrazione, immodificabile e dotata di data certa, non solo avrebbe impedito il compimento del reato, ma avrebbe fornito all’azienda una prova tecnologica decisiva per dimostrare, in qualsiasi sede, di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati di quella specie, isolando la responsabilità penale sulla sola persona fisica.
L’indagine si allarga, seguendo il flusso di denaro. I pagamenti alla consociata tedesca, formalmente corretti, venivano poi dirottati, attraverso una complessa triangolazione che coinvolgeva una società di comodo a Cipro, verso la TechFlow Components Ltd. Questo schema non solo serviva a mascherare il vero fornitore, ma apre anche un fronte di indagine per reati fiscali e di riciclaggio. La mancata segnalazione di operazione sospetta da parte delle funzioni interne di EuroInfratech è un’altra grave falla del sistema di controllo interno, che espone l’azienda a sanzioni AML e a un danno reputazionale devastante sui mercati finanziari. Il ritardo con cui il management è venuto a conoscenza della situazione reale è emblematico: l’allarme non è scattato internamente, ma è arrivato dall’esterno, con la notifica dell’avviso di garanzia. Questa assenza di una catena di escalation interna dimostra l’inadeguatezza del modello organizzativo esistente, basato su procedure cartacee e controlli a campione, facilmente aggirabili.
Un’organizzazione protetta da un’infrastruttura di controllo integrata avrebbe intercettato anche questi flussi finanziari anomali. I motori di intelligenza predittiva, analizzando costantemente le transazioni, avrebbero classificato lo schema di pagamento come atipico rispetto allo storico delle operazioni con i fornitori europei. La triangolazione su una giurisdizione a rischio come Cipro e la discrepanza tra il beneficiario formale (la consociata tedesca) e il flusso finale dei fondi avrebbero superato la soglia di rischio preimpostata, congelando preventivamente la disposizione di pagamento e generando un report dettagliato per il responsabile antiriciclaggio e per i vertici aziendali. L’escalation sarebbe stata immediata e documentata, consentendo all’azienda di autodenunciare l’anomalia e collaborare con le autorità, mitigando drasticamente l’impatto sanzionatorio e preservando la propria reputazione. La REDAZIONE SCUDO231 ha analizzato casi simili in cui la tempestiva reazione interna ha portato a una netta riduzione delle sanzioni interdittive, come l’esclusione dalle gare pubbliche, che per EuroInfratech rappresenterebbe un colpo mortale.
Le conseguenze per EuroInfratech sono ora gravissime. Oltre al sequestro del profitto, la Procura potrebbe chiedere l’applicazione di sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione per un periodo fino a due anni. Per un’azienda il cui fatturato dipende per il 70% da appalti pubblici, si tratterebbe di una condanna a morte. Il nuovo regolamento europeo, nato per semplificare e rendere più sicuro un mercato da 15% del Pil Ue, si è trasformato in un boomerang per chi ha creduto di poterne aggirare le maglie. La piattaforma digitale europea, uno degli strumenti cardine della riforma, aumenterà la trasparenza e la tracciabilità, rendendo ancora più difficili frodi di questo tipo, ma per EuroInfratech è troppo tardi. Il danno reputazionale, amplificato dalla risonanza mediatica del primo grande scandalo sotto il nuovo regime di appalti, è già incalcolabile. Il titolo in borsa ha perso il 30% nelle prime ore di contrattazione.
L’intera vicenda dimostra come, in un contesto normativo sempre più complesso e interconnesso, un approccio reattivo alla compliance sia destinato al fallimento. La colpa di organizzazione, secondo l’impianto del D.Lgs. 231/2001, non risiede solo nell’assenza di un modello, ma nella sua inefficace attuazione. Le procedure rimaste sulla carta, i controlli formali e la mancanza di flussi informativi integrati e a prova di manomissione hanno creato la voragine in cui l’azienda è precipitata. La ricostruzione causale scientifica degli eventi, che ora la magistratura sta faticosamente compiendo ex post, avrebbe potuto essere un processo di monitoraggio preventivo e costante. Un ecosistema sovrano come quello proposto da Scudo231 non si limita a “suggerire” la conformità, ma la ingegnerizza nei processi aziendali, rendendo la condotta non conforme tecnicamente più difficile, costosa e soprattutto tracciabile. Per EuroInfratech, la differenza tra aver subito un’indagine e averla prevenuta risiede proprio in questo snodo: passare da una compliance subita a una difesa attiva, dove ogni operazione critica lascia una traccia digitale immodificabile, che funge da deterrente per i malintenzionati interni e da scudo, appunto, contro le contestazioni esterne.