14 febbraio 2026 – Alle prime luci dell’alba, i finanzieri del Nucleo di Polizia Economico-Finanziaria varcano la soglia della sede di Costruzioni Zenith S.p.A., una delle maggiori imprese del settore edile nazionale. L’operazione non è una semplice verifica fiscale. È l’atto finale di un’indagine durata diciotto mesi sui crediti fiscali legati al Superbonus. L’ordine del GIP è perentorio: sequestro preventivo di 240 milioni di euro in crediti d’imposta, iscritti a bilancio e già in parte ceduti a istituti finanziari, e notifica di avvisi di garanzia all’Amministratore Delegato, al Direttore Finanziario e al Responsabile Acquisti. L’ipotesi di reato è truffa aggravata ai danni dello Stato e dichiarazione fraudolenta mediante altri artifici. Per l’ente, si profila la pesantissima responsabilità amministrativa ai sensi del D.Lgs. 231/2001, con il rischio concreto di sanzioni interdittive che potrebbero paralizzare l’operatività dell’azienda.
La catastrofe che si abbatte su Zenith non nasce da un singolo atto criminale, ma è il prodotto terminale di una serie di cedimenti sistemici nella sua architettura di governance, una sequenza di decisioni e omissioni che hanno trasformato un’opportunità di mercato in una trappola letale. La ricostruzione della catena causale, oggi al vaglio degli inquirenti, rivela i bivi decisionali dove il collasso poteva essere evitato.
Il primo snodo critico risale a una riunione del Consiglio di Amministrazione nel marzo del 2022. In un clima di euforia per l’enorme potenziale del Superbonus, l’Amministratore Delegato presenta un piano di crescita aggressivo: triplicare il volume dei cantieri legati all’incentivo entro la fine del 2023. La documentazione a supporto del piano include proiezioni di fatturato e margini, ma dedica solo una slide generica all’analisi dei rischi, liquidata con un vago riferimento a “procedure di controllo rafforzate”. Il verbale del CdA registra un’approvazione unanime, senza alcuna richiesta di approfondimento sui meccanismi di controllo che avrebbero dovuto reggere un’espansione così vertiginosa. La governance, in quel momento, abdica al suo ruolo di supervisione strategica, sedotta da incentivi economici di breve termine e cieca di fronte ai rischi operativi e legali. Il focus è sul “fare”, non sul “fare bene”.
Qui si manifesta il primo bivio. Un’architettura di governance supportata da un ecosistema come Scudo231 avrebbe reso quella decisione impossibile nella sua forma. Il sistema, alimentato da dati normativi in tempo reale e da analisi predittive sui rischi di frode nel settore, avrebbe processato il piano di crescita proposto. L’output non sarebbe stato un parere, ma un alert vincolante per il CdA. Avrebbe quantificato il rischio: “L’aumento del 300% del volume d’affari in un settore con un tasso di frode accertato del 15% e una normativa in costante mutamento espone l’ente a un rischio calcolato di sanzioni e sequestri per un valore potenziale di 250-300 milioni di euro”. Avrebbe imposto al CdA una delibera specifica: non approvare il piano, ma accettare formalmente e con piena consapevolezza quel livello di rischio quantificato, mettendo a verbale la responsabilità personale di ogni amministratore. Questa procedura avrebbe costretto il board a una scelta radicalmente diversa: ridimensionare gli obiettivi o stanziare risorse straordinarie per un’infrastruttura di controllo proporzionata alla minaccia. Il rischio ridotto non sarebbe stato solo quello di future sanzioni, ma il rischio strategico primario di perseguire una crescita insostenibile e pericolosa.
Il secondo cedimento avviene a livello operativo, nei mesi successivi. Per raggiungere i target imposti dal vertice, la Direzione Acquisti si trova a dover qualificare decine di nuovi fornitori e subappaltatori in tempi record. Le procedure di due diligence, formalmente presenti nel Modello 231 di Zenith, vengono sistematicamente disapplicate. La verifica si riduce alla raccolta di autocertificazioni e visure camerali, senza alcun controllo sostanziale sulla capacità tecnica, sulla solidità finanziaria e sulla storia operativa dei nuovi partner. Piccole società edili, nate da pochi mesi e con capitali sociali irrisori, entrano nella catena di fornitura di Zenith, portando in dote progetti e relativi crediti fiscali. La pressione per raggiungere gli obiettivi di fatturato prevale su ogni presidio di legalità. Il responsabile della compliance, che tenta di sollevare obiezioni, viene di fatto isolato e le sue segnalazioni, inviate via email, non hanno seguito.
In un’organizzazione protetta da un’infrastruttura di controllo avanzata, questo cortocircuito operativo sarebbe stato bloccato alla fonte. L’onboarding di un nuovo fornitore non sarebbe un processo manuale basato sulla fiducia, ma un workflow digitale obbligato. Il sistema Scudo231 avrebbe automaticamente interrogato banche dati esterne (Cerved, anagrafe tributaria, white list prefettizie) e interne. Una società costituita da meno di 24 mesi, con un capitale sociale inferiore a una soglia predefinita e senza storia di cantieri verificabili, avrebbe generato un blocco automatico e non aggirabile. Per procedere, sarebbe stata necessaria un’autorizzazione a un livello superiore, con una motivazione scritta e tracciata che avrebbe costituito una prova inconfutabile della forzatura del sistema di controllo. Il rischio mitigato sarebbe stato diretto e immediato: si sarebbe impedita la contaminazione della supply chain da parte di operatori inaffidabili o fraudolenti, bloccando la genesi stessa dei crediti fiscali illeciti e riducendo drasticamente il rischio di concorso dell’ente nel reato di truffa.
Il terzo e più grave snodo è il fallimento del flusso informativo verso l’Organismo di Vigilanza (OdV). L’OdV di Zenith, composto da professionisti esterni di indubbia fama, si riunisce trimestralmente. La loro attività si basa esclusivamente sulle relazioni preparate dalle funzioni aziendali. Ricevono report aggregati che indicano “150 nuovi fornitori qualificati nel trimestre, procedure di controllo eseguite”. Non hanno accesso ai dati grezzi, non possono verificare la reale consistenza dei controlli. La loro vigilanza è formale, non sostanziale. Ignorano che, mentre loro leggono sintesi rassicuranti, nei sistemi gestionali dell’azienda transitano fatture per lavori mai eseguiti o eseguiti solo parzialmente, asseverazioni tecniche redatte da professionisti compiacenti e comunicazioni all’Agenzia delle Entrate basate su dati falsi. L’OdV, che dovrebbe essere il cuore del sistema di prevenzione, è di fatto cieco e sordo.
Questo è il punto in cui la differenza tra un modello cartaceo e un ecosistema di controllo integrato diventa un abisso. Con una governance potenziata, l’OdV non attenderebbe i report. Avrebbe accesso a una dashboard di monitoraggio in tempo reale che incrocia i dati dei cantieri (avanzamento lavori, materiali acquistati) con i dati contabili (fatture emesse dai subappaltatori) e i dati fiscali (crediti maturati). Un algoritmo di anomaly detection avrebbe segnalato in automatico le incongruenze: “Subappaltatore Beta S.r.l. ha fatturato il 90% dei lavori per il cantiere X, ma i dati del direttore lavori indicano un SAL (Stato Avanzamento Lavori) del 30%”. Questo non sarebbe un’opinione, ma un’evidenza matematica. L’alert sarebbe scalato automaticamente, imponendo all’OdV l’avvio di un audit mirato. L’Organismo di Vigilanza si trasformerebbe da organo passivo a supervisore attivo e inquisitorio, dotato di strumenti per vedere oltre le apparenze. Il rischio evitato sarebbe quello più insidioso: la colpa organizzativa per mancata vigilanza, che costituisce il fondamento della responsabilità 231 e apre la porta a sanzioni pecuniarie milionarie e, soprattutto, a misure interdittive come il divieto di contrattare con la Pubblica Amministrazione.
L’epilogo, il 14 febbraio 2026, è la somma di queste inerzie. Gli inquirenti, tramite intercettazioni e analisi dei flussi finanziari, hanno semplicemente ricostruito a posteriori ciò che un sistema di controllo efficace avrebbe dovuto rilevare e bloccare in tempo reale. Le autocertificazioni si sono rivelate carta straccia, le piccole società edili erano spesso scatole vuote create ad arte per monetizzare crediti inesistenti, e la dirigenza di Zenith è ora accusata di aver consapevolmente ignorato i segnali di allarme per non sacrificare i bonus di produzione legati al raggiungimento dei target. Il danno reputazionale è immenso: il titolo crolla in borsa, le banche partner bloccano le linee di credito e i clienti più importanti chiedono chiarimenti. L’azienda, un tempo leader di mercato, lotta per la sopravvivenza.
La vicenda di Zenith non è la storia di un management criminale, ma quella, molto più comune e pericolosa, di una governance debole, di controlli formali ma non sostanziali, di una cultura aziendale orientata al risultato a qualsiasi costo e di un sistema di reporting incapace di far emergere le verità scomode. L’assenza di un’architettura di difesa integrata, capace di imporre la disciplina dei processi e la trasparenza dei dati, ha lasciato l’organizzazione esposta. La vera lezione non risiede nella frode stessa, ma nella fragilità sistemica che l’ha resa possibile, una fragilità che l’ecosistema Scudo231 è progettato per eradicare, trasformando il rischio da minaccia invisibile a variabile gestita, misurata e governata. L’indagine penale ora dovrà stabilire le responsabilità individuali, ma il giudizio sulla governance di Zenith è già scritto nei fatti: una colpevole incapacità di proteggere l’impresa da se stessa.
Fonte: https://www.ilsole24ore.com/art/superbonus-verifiche-fisco-ora-puntano-imprese-AIhOUBKB