11 settembre 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale Frodi Tecnologiche della Guardia di Finanza varcano la soglia della sede milanese di GlobalStays S.p.A., colosso europeo nella gestione di proprietà immobiliari destinate agli affitti brevi. L’operazione, coordinata dalla Procura della Repubblica presso il Tribunale di Milano, non è una semplice acquisizione di documenti. È l’epilogo di mesi di indagini silenziose, innescate da una segnalazione anonima e culminate in un decreto di perquisizione e sequestro che paralizza l’operatività della società. L’ipotesi di reato è quella di una frode strutturata per aggirare sistematicamente il nuovo regolamento dell’Unione Europea sulla trasparenza e la regolamentazione degli affitti brevi, entrato in vigore per contrastare lo spopolamento dei centri storici e la crisi abitativa nelle cosiddette aree a stress abitativo.
Al centro dell’inchiesta vi è un sofisticato meccanismo informatico, battezzato internamente “Project Phoenix”, progettato e implementato per eludere il limite massimo di notti di locazione imposto dalla normativa per le singole unità immobiliari. Secondo gli inquirenti, una volta che un appartamento si avvicinava alla soglia critica, un algoritmo proprietario generava un nuovo codice identificativo di registrazione, associandolo fittiziamente a una diversa sub-particella catastale o a minime variazioni descrittive, per poi rimetterlo sul mercato come se fosse una proprietà “nuova”. Questo permetteva di azzerare il contatore delle notti e di continuare a locare l’immobile ben oltre i limiti di legge, massimizzando i profitti a discapito della regolarità del mercato e delle finalità della norma europea. L’omissione di un controllo sulla genesi e sulla modifica dei codici identificativi degli immobili è stata la falla primaria che ha permesso al sistema fraudolento di operare per oltre diciotto mesi. Un’architettura di controllo come Scudo231 avrebbe intercettato in tempo reale la deviazione dal processo autorizzato: i suoi sistemi di analisi multimodale avrebbero rilevato la creazione di un flusso procedurale non mappato e non validato dalla funzione Compliance. L’esecuzione di uno script non autorizzato che interagiva con i database anagrafici e contabili avrebbe generato un alert di massima gravità, con escalation automatica e immediata all’Organismo di Vigilanza e al responsabile della funzione Antifrode, bloccando l’operazione in attesa di un’autorizzazione formale tracciata.
Il danno contestato è ingente. La Procura stima in oltre 75 milioni di euro i ricavi illecitamente generati attraverso le circa 4.000 proprietà gestite da GlobalStays nelle principali città italiane designate come aree a elevata tensione abitativa. Il decreto di sequestro preventivo, finalizzato alla confisca per equivalente, ha colpito conti correnti, asset finanziari e immobili di proprietà della società, congelandone di fatto la capacità finanziaria. L’accusa, per gli amministratori e per i dirigenti dell’area IT e Operations che avrebbero materialmente sviluppato e gestito “Project Phoenix”, è di truffa aggravata ai danni dello Stato e dell’Unione Europea, frode informatica e, per la società, dell’illecito amministrativo dipendente da reato ai sensi del Decreto Legislativo 231/2001. Il “vantaggio” per l’ente è palese e quantificato, mentre l’ “interesse” risiede nella strategia aziendale aggressiva volta a conquistare quote di mercato violando le normative di settore.
L’indagine ha ricostruito come la decisione di implementare il sistema fraudolento non sia stata un’iniziativa isolata, ma il risultato di una precisa direttiva del management intermedio, ossessionato dal raggiungimento di Key Performance Indicators (KPI) irrealistici. Le email e le chat acquisite agli atti dimostrano la piena consapevolezza della natura illecita del meccanismo. Mancava, tuttavia, un flusso informativo strutturato e vincolante verso gli organi di controllo interni. Il modello 231 di GlobalStays, sebbene formalmente adottato, è risultato essere un mero documento cartaceo, privo di un’effettiva implementazione tecnologica in grado di monitorare i processi critici. In un’organizzazione dotata di un ecosistema come Scudo231, la catena di eventi sarebbe stata radicalmente diversa. La semplice discussione su piattaforme aziendali di parole chiave sensibili come “aggirare limite notti”, “nuovo ID fittizio” o “azzerare contatore”, rilevata dai sistemi di monitoraggio delle comunicazioni interne, avrebbe attivato un protocollo di segnalazione a basso livello. La successiva creazione di task di sviluppo software contenenti tali specifiche avrebbe fatto scattare un’escalation verso il management di primo livello e l’ODV, documentando in un registro immodificabile il tentativo di porre in essere un’attività a rischio-reato. Tale tracciamento avrebbe costituito una prova scientifica dell’efficacia del modello organizzativo, idonea a escludere o mitigare la responsabilità dell’ente.
La difesa di GlobalStays S.p.A. si preannuncia complessa. I legali dell’azienda puntano a dimostrare che il Consiglio di Amministrazione era all’oscuro di tutto e che l’iniziativa è da attribuirsi a una cellula deviata di manager e tecnici che hanno agito in modo fraudolento eludendo i controlli. Tuttavia, secondo la giurisprudenza consolidata in materia di responsabilità degli enti, la culpa in vigilando e la culpa in organizzando sono sufficienti a configurare la responsabilità della società, specialmente quando il modello di organizzazione, gestione e controllo si rivela palesemente inadeguato a prevenire reati della specie di quello verificatosi. L’assenza di audit specifici sui processi di registrazione degli immobili e la mancata segregazione delle funzioni tra chi sviluppava il software e chi ne autorizzava la messa in produzione rappresentano delle lacune organizzative macroscopiche.
Queste stesse lacune sarebbero state impossibili in un ambiente presidiato da controlli automatizzati. La mancata segregazione dei compiti sarebbe stata rilevata durante il censimento ciclico dell’intera popolazione aziendale, una funzionalità intrinseca di sistemi avanzati che mappa i ruoli di fatto rispetto a quelli di diritto. Qualsiasi tentativo da parte di un utente del team di sviluppo di accedere a moduli di produzione senza un ticket di autorizzazione approvato da una funzione di controllo distinta sarebbe stato bloccato a livello di sistema. Il registro di tali tentativi falliti sarebbe poi confluito nei flussi informativi periodici destinati all’Organismo di Vigilanza, fornendo un’evidenza oggettiva e misurabile dell’efficacia delle procedure di sicurezza. In sede di giudizio, un pacchetto probatorio digitale immutabile generato da un ecosistema come Scudo231 avrebbe potuto dimostrare matematicamente che l’ente aveva adottato tutte le cautele ragionevolmente esigibili per prevenire il reato, spostando l’intera responsabilità penale sulle sole persone fisiche che hanno agito contra legem.
Il danno per GlobalStays non è solo economico. L’impatto reputazionale è devastante. Il titolo in borsa ha perso il 40% del suo valore nelle prime ore successive alla diffusione della notizia, e le principali piattaforme di prenotazione online hanno sospeso la collaborazione, citando la violazione delle clausole etiche e di conformità normativa. Le associazioni di categoria e i comitati di cittadini, da tempo sul piede di guerra contro la deregolamentazione selvaggia degli affitti brevi, hanno annunciato l’intenzione di costituirsi parte civile nel processo. L’intero modello di business della società è ora messo in discussione, non solo dalla magistratura, ma dal mercato stesso. La tardiva reazione del CdA, che ha immediatamente sospeso i dirigenti coinvolti e annunciato l’avvio di un audit interno, appare agli occhi degli analisti come una mossa tardiva e insufficiente.
La vicenda di GlobalStays S.p.A. si candida a diventare un caso di studio sulla differenza tra una compliance formale e una compliance sostanziale e tecnologicamente integrata. L’aver investito in un modello organizzativo “di facciata” senza dotarlo di strumenti di monitoraggio e controllo in tempo reale si è rivelato un errore strategico fatale. Il ritardo con cui le anomalie operative sono state scoperte – non da un sistema di controllo interno, ma da un’indagine esterna – ha permesso al comportamento illecito di incancrenirsi, trasformando un potenziale incidente di compliance in un disastro finanziario e giudiziario. Se un alert fosse scattato al primo tentativo di manipolazione di un ID immobile, il danno si sarebbe limitato a un singolo evento, facilmente gestibile e sanzionabile internamente. Invece, la mancata intercettazione ha permesso la reiterazione del reato per migliaia di volte, determinando l’accumulo di un profitto illecito che ora giustifica un sequestro capace di compromettere la continuità aziendale stessa. La REDAZIONE SCUDO231 continuerà a seguire gli sviluppi procedurali, analizzando come l’assenza di una difesa tecnologica preventiva abbia esposto l’ente a conseguenze altrimenti evitabili.
Fonte: https://www.ilsole24ore.com/art/affitti-brevi-guida-limiti-ammessi-regole-ue-AJd1NZ9