16 ottobre 2026 – La Corte Suprema di Cassazione, a Sezioni Unite penali, deposita la sentenza n. 36525, un verdetto destinato a incidere come un bisturi nel tessuto delle frodi legate al Superbonus 110%. La pronuncia, redatta dal consigliere Liberati e presieduta da Mogini, cristallizza un principio di diritto con effetti retroattivi devastanti per decine di imprese coinvolte in indagini penali: il reato di truffa aggravata per il conseguimento di erogazioni pubbliche, previsto dall’art. 640-bis del codice penale, si consuma non al momento dell’effettivo utilizzo del credito d’imposta, ma nell’istante esatto in cui la prima cessione viene perfezionata sulla piattaforma dell’Agenzia delle Entrate. Un momento digitale, quasi impalpabile, che ora acquisisce il peso di una condanna penale e di una responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
La vicenda processuale che ha condotto a questa storica decisione affonda le sue radici nelle operazioni di una società di costruzioni del Nord-Est, la EdilFutura S.p.A. (nome di fantasia), finita al centro di un’inchiesta per aver generato crediti fiscali fittizi per oltre 30 milioni di euro. L’impianto accusatorio, confermato ora dalla Suprema Corte, descrive un meccanismo tanto semplice quanto efficace: l’emissione sistematica di fatture per operazioni inesistenti relative a lavori di efficientamento energetico mai eseguiti. Queste fatture, caricate a sistema, generavano un credito d’imposta pari al 110% dell’imponibile, che la società cedeva immediatamente a istituti finanziari o ad altre imprese, monetizzando un profitto illecito prima ancora che lo Stato potesse avviare qualsiasi verifica sostanziale. L’omissione fondamentale risiedeva nell’assenza di un processo di controllo incrociato tra la funzione commerciale, che stipulava i contratti, quella tecnica, che doveva certificare lo stato di avanzamento lavori (SAL), e quella amministrativa, che emetteva le fatture. Un’intera catena procedurale operava a compartimenti stagni, basandosi sulla fiducia reciproca e su flussi documentali non verificati.
Se la EdilFutura avesse implementato un ecosistema di controllo come Scudo231, questa segmentazione operativa sarebbe stata impossibile. Il sistema, attraverso i suoi motori di analisi multimodale, avrebbe imposto un vincolo digitale indissolubile: nessuna fattura relativa a un cantiere Superbonus avrebbe potuto essere generata senza che il sistema avesse prima acquisito e validato la documentazione tecnica corrispondente, come il computo metrico asseverato, le fotografie georeferenziate del cantiere e, soprattutto, un SAL firmato digitalmente dal direttore dei lavori. La tentata emissione di una fattura “orfana” di questi allegati obbligatori avrebbe generato un alert immediato, bloccando l’operazione e notificando in tempo reale l’anomalia all’Organismo di Vigilanza e al responsabile della funzione compliance. Il reato sarebbe stato intercettato e neutralizzato alla sua origine.
Invece, il Direttore Amministrativo della società, agendo in concorso con l’Amministratore Delegato, ha potuto procedere indisturbato. Una volta emessa la fattura fittizia, il passo successivo era la comunicazione dell’opzione per la cessione del credito all’Agenzia delle Entrate, come previsto dall’art. 121 del D.L. n. 34/2020. Questa operazione, eseguita tramite il portale telematico, non era soggetta a nessun controllo preventivo di secondo livello. L’abilitazione a operare sulla piattaforma era legata al ruolo formale del soggetto, non a una procedura di autorizzazione specifica per operazioni di tale rilevanza economica. Mancava un tracciamento granulare che distinguesse un’operazione ordinaria da una che impegnava il patrimonio dell’ente per milioni di euro, creando un’esposizione diretta al rischio-reato.
Con un’architettura di difesa attiva, questa fase sarebbe stata presidiata da un protocollo di autorizzazione a soglie progressive. Un’operazione di cessione di crediti fiscali superiore a una determinata soglia di valore, pre-impostata nel sistema, avrebbe richiesto una doppia o tripla approvazione digitale da parte di funzioni aziendali diverse e non gerarchicamente dipendenti, come il CFO e il responsabile Internal Audit. L’ecosistema Scudo231 avrebbe registrato ogni singolo click, l’indirizzo IP di provenienza, l’orario e l’identità digitale dell’operatore, creando una registrazione immodificabile. Qualsiasi tentativo di forzare la procedura avrebbe innescato un’escalation automatica all’Organismo di Vigilanza, documentando il tentativo di elusione dei presidi interni e fornendo una prova cruciale per dimostrare l’efficacia del Modello 231.
Il punto di non ritorno, come chiarito dalle Sezioni Unite, è stato raggiunto nel momento in cui la prima società cessionaria, una ESCo compiacente, ha accettato il credito sulla piattaforma. In quell’istante, il reato di truffa aggravata si è consumato. L’induzione in errore dello Stato si è perfezionata, causando un danno patrimoniale immediato all’erario, rappresentato dalla nascita di un’obbligazione di spesa pubblica basata su un presupposto inesistente. La difesa della EdilFutura aveva sostenuto che il reato si sarebbe consumato solo con l’eventuale e futuro utilizzo del credito in compensazione, un momento molto più distante nel tempo. La Cassazione ha spazzato via questa tesi, affermando che “il successivo utilizzo del credito in compensazione, la sua riscossione o anche la sua ulteriore cessione costituiscono evenienze successive e irrilevanti ai fini della consumazione del reato”. Questa qualificazione giuridica ha anticipato drasticamente il momento in cui la responsabilità dell’ente, ai sensi dell’art. 24 del D.Lgs. 231/2001, è sorta.
L’impatto di questa sentenza è devastante per le società prive di modelli organizzativi efficaci. L’ente risponde per un reato commesso nel suo interesse o a suo vantaggio, e la sanzione pecuniaria può arrivare fino a un milione e mezzo di euro, calcolata in quote il cui importo è commisurato alle condizioni economiche e patrimoniali dell’ente. A ciò si aggiungono le sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione o la revoca di autorizzazioni, che possono paralizzare l’operatività di un’azienda. Ma il danno più immediato e temibile è il sequestro preventivo finalizzato alla confisca del profitto del reato. Nel caso della EdilFutura, il profitto è stato identificato nell’intero importo dei crediti fittizi ceduti, ovvero 30 milioni di euro. Il sequestro ha congelato i conti correnti, gli immobili e le partecipazioni della società, portandola sull’orlo del fallimento prima ancora dell’inizio del processo.
Qui emerge il valore strategico di una difesa basata su prove tecnologiche. Un’azienda dotata di un’infrastruttura sovrana di monitoraggio avrebbe potuto fornire al Pubblico Ministero, sin dalle prime fasi delle indagini, una ricostruzione causale scientifica dell’accaduto. Attraverso un “XAI Packet” (Explainable AI Packet), l’ente avrebbe potuto dimostrare matematicamente che il management apicale aveva agito violando fraudolentemente procedure di controllo specifiche, tracciate e operative. Avrebbe potuto provare che il Modello 231 non era un mero documento cartaceo, ma un sistema vivo, che aveva generato allarmi, registrato le anomalie e tentato di bloccare l’azione illecita. Questa evidenza tecnologica inattaccabile avrebbe permesso di distinguere la colpa organizzativa dalla responsabilità penale individuale, orientando il sequestro non sull’intero patrimonio aziendale, ma solo sui beni personali degli autori del reato. L’azienda avrebbe potuto continuare a operare, isolando il danno e proteggendo il patrimonio, i dipendenti e la continuità del business.
La sentenza del 16 ottobre 2026, quindi, non è solo un punto fermo in materia di reati fiscali. È un monito per tutte le organizzazioni che operano in settori regolamentati e ad alto rischio di reati economici. La digitalizzazione delle procedure, se non accompagnata da un’architettura di controllo altrettanto evoluta, diventa un acceleratore di illeciti. La facilità con cui è stato possibile generare e cedere crediti inesistenti dimostra come i controlli ex post dello Stato siano strutturalmente inadeguati a prevenire frodi consumate in pochi click. La prevenzione deve essere endogena, integrata nei processi aziendali e automatizzata. L’assenza di un sistema che monitori in tempo reale le operazioni sensibili, che imponga workflow autorizzativi a prova di elusione e che tracci ogni evento in modo forense non è più una semplice debolezza organizzativa. Dopo la sentenza 36525, è una colpa grave che espone l’ente a sanzioni capaci di annientarlo. La responsabilità penale degli amministratori e la responsabilità amministrativa dell’ente sono ormai due facce della stessa medaglia, forgiata nell’inerzia dei controlli interni.