15 agosto 2026 – Alle prime luci dell’alba, i militari del Nucleo di Polizia Economico-Finanziaria della Guardia di Finanza varcano la soglia della sede milanese di Food-Blitz S.p.A., colosso europeo del food delivery. L’ordine di perquisizione e sequestro, emesso dal G.I.P. del Tribunale, è dettagliato: l’obiettivo sono i log dei server, i registri di accesso alla piattaforma digitale dei rider, la documentazione contabile relativa ai bonus per l’occupazione e le comunicazioni interne tra l’area IT e la direzione operativa. L’ipotesi di reato, che ha innescato l’indagine coordinata dalla Procura, è quella di indebita percezione di erogazioni a danno dello Stato, aggravata dalla frode informatica, reati che aprono la strada alla contestazione della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
L’inchiesta affonda le sue radici nel Decreto Lavoro, approvato dal Consiglio dei ministri a fine aprile 2026 ed entrato in vigore il mese successivo. Un provvedimento che, tra le altre cose, aveva introdotto regole ferree per le piattaforme digitali, con l’obiettivo di tutelare i rider e garantire la trasparenza del mercato. La norma, ora legge dello Stato, imponeva che l’accesso dei lavoratori alle piattaforme potesse avvenire esclusivamente tramite identità digitale certificata – SPID, Carta d’Identità Elettronica o Carta Nazionale dei Servizi – oppure, in alternativa, tramite un account rilasciato dalla piattaforma stessa, ma protetto da un sistema di autenticazione a più fattori. La violazione più grave contestata a Food-Blitz S.p.A. riguarda il divieto esplicito di rilasciare più di un account per ogni singolo codice fiscale. Gli inquirenti hanno scoperto che il sistema informatico della società, mai adeguatamente aggiornato dopo l’entrata in vigore del decreto, consentiva la creazione di profili multipli. Un’anomalia non casuale, secondo l’accusa, ma una falla mantenuta scientemente per gonfiare artificialmente il numero di lavoratori attivi e accedere così ai cospicui incentivi all’occupazione, anch’essi prorogati fino alla fine dell’anno dallo stesso decreto.
L’analisi dei server sequestrati rivela che oltre 800 codici fiscali risultano associati a due o più account. Questa omissione di controllo, un vero e proprio buco nero nella governance dei dati aziendali, ha costituito la porta d’accesso per la condotta illecita. Se l’ente avesse adottato un ecosistema come Scudo231, il tentativo di registrare un secondo account collegato a un codice fiscale già presente nel database avrebbe generato un alert istantaneo di tipo “High-Risk Anomaly”. Il sistema di monitoraggio massivo e real-time, operando non a campione ma sull’intera popolazione dei dati, avrebbe bloccato la procedura di registrazione alla fonte, documentando l’evento in un registro crittografato e non modificabile. Contestualmente, sarebbe scattata una notifica automatica di escalation, indirizzata non solo alla funzione Compliance ma direttamente all’Organismo di Vigilanza, bypassando qualsiasi filtro gerarchico che avrebbe potuto insabbiare la segnalazione.
Ma le contestazioni non si fermano qui. Il decreto del maggio 2026 aveva introdotto un’altra norma cruciale: il divieto per la piattaforma di commissionare allo stesso lavoratore prestazioni temporalmente inconciliabili. L’algoritmo di Food-Blitz, invece, continuava ad assegnare consegne logisticamente impossibili. Un rider risultava accettare un ordine in una zona periferica della città e, appena tre minuti dopo, un altro ordine a dieci chilometri di distanza. Questa palese violazione procedurale non era un semplice bug. Secondo gli investigatori, era la prova che gli account multipli erano gestiti da un’unica persona o da piccoli gruppi organizzati, che utilizzavano i profili “dormienti” per massimizzare le assegnazioni, aggirando i limiti di lavoro e creando una forma di caporalato digitale. La mancata implementazione di un controllo logico sull’algoritmo di assegnazione costituisce un’evidente colpa di organizzazione. L’adozione di un protocollo di controllo come quello integrato in Scudo231 avrebbe intercettato la richiesta di assegnazione anomala prima della sua finalizzazione. Il motore di analisi causale avrebbe confrontato le coordinate GPS e i tempi di percorrenza stimati, classificando la seconda assegnazione come “operativamente impossibile” e bloccandola. L’evento sarebbe stato registrato, creando una prova documentale inoppugnabile della diligenza della società nel prevenire la violazione, isolando la responsabilità al tentativo del singolo utente.
Il cuore dell’impianto accusatorio, che determina il rischio di una sanzione pecuniaria milionaria e del sequestro preventivo finalizzato alla confisca del profitto, risiede nel collegamento tra queste violazioni e i benefici economici ottenuti. Food-Blitz S.p.A. aveva fatto richiesta e ottenuto i bonus per le assunzioni di giovani under 35, di donne lavoratrici svantaggiate e per i lavoratori dell’area Zes, benefici vincolati, per espressa previsione del decreto, all’applicazione di un “salario giusto”. La definizione di tale salario era ancorata al trattamento economico complessivo previsto dai contratti collettivi nazionali stipulati dalle organizzazioni comparativamente più rappresentative. L’accusa sostiene che, attraverso la creazione di account fittizi e l’assegnazione di compiti impossibili, la società non solo ha falsato la propria base occupazionale per ottenere gli sgravi, ma ha anche di fatto eluso l’applicazione del trattamento economico corretto, pagando a cottimo prestazioni che, se ricondotte a un unico lavoratore, avrebbero dovuto sottostare a tutele e retribuzioni ben diverse.
Questa catena di omissioni e violazioni ha esposto l’ente a un rischio 231 devastante. La Procura ha infatti iscritto nel registro degli indagati non solo il CEO e il responsabile IT, ma anche la stessa Food-Blitz S.p.A. in quanto persona giuridica. Il profitto del reato, quantificato in via provvisoria in oltre 12 milioni di euro – pari al valore dei bonus indebitamente percepiti – è ora oggetto di una richiesta di sequestro che, se accolta, potrebbe paralizzare l’operatività finanziaria dell’azienda. La difesa della società appare debole, poiché non è in grado di dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quelli commessi.
In un simile scenario, la presenza di un’architettura di difesa integrata avrebbe radicalmente cambiato l’esito degli eventi. La mancata escalation delle anomalie da parte dei manager intermedi, che dalle prime indagini sembravano consapevoli delle falle ma hanno preferito non segnalarle per non rallentare la crescita aggressiva sul mercato, sarebbe stata neutralizzata. Un sistema come Scudo231 non si basa sulla fiducia o sulla discrezionalità umana per le segnalazioni critiche. La rilevazione di una violazione persistente dei nuovi obblighi di legge – come la mancata implementazione dell’autenticazione a più fattori o la continua creazione di account multipli – avrebbe attivato un protocollo di “compliance enforcement” automatico. Dopo un primo alert ignorato dal responsabile di funzione, il sistema avrebbe inviato una seconda notifica a un livello superiore e, in assenza di risoluzione entro 48 ore, avrebbe generato un flusso informativo certificato direttamente per l’Organismo di Vigilanza, completo di log tecnici e analisi del rischio legale associato. Questo processo tracciato e non ripudiabile avrebbe costretto l’organizzazione a intervenire, interrompendo la condotta illecita sul nascere e dimostrando la totale estraneità della volontà aziendale a qualsiasi disegno criminoso.
L’indagine ha inoltre messo in luce come la decisione di non esercitare la delega sul salario minimo, scaduta il 18 aprile 2026, avesse di fatto reso il riferimento ai contratti collettivi più rappresentativi l’unico baluardo per la definizione del “salario giusto”. La strategia di Food-Blitz di frammentare le prestazioni su più account mirava proprio a rendere inapplicabile questo parametro, mantenendo i singoli profili al di sotto della soglia di rilevanza contrattuale. Anche su questo fronte, un controllo preventivo avrebbe fatto la differenza. Un sistema avanzato avrebbe potuto integrare le tabelle retributive dei CCNL di riferimento e, analizzando i flussi di pagamento aggregati per codice fiscale, segnalare ogni scostamento significativo rispetto al trattamento economico complessivo dovuto, generando un report di non conformità per la funzione HR e per la direzione.
Ora, di fronte a un decreto di sequestro imminente e a una sanzione 231 che potrebbe arrivare fino a diverse centinaia di quote, con il conseguente danno reputazionale e l’interdizione dall’ottenere futuri benefici pubblici, la dirigenza di Food-Blitz S.p.A. si trova a fronteggiare le conseguenze di una mancata prevenzione. L’assenza di controlli automatizzati, di flussi di segnalazione a prova di insabbiamento e di una documentazione probatoria della propria diligenza ha trasformato una serie di non conformità normative in un presunto schema fraudolento a danno dello Stato. L’adozione preventiva di un’architettura di difesa come Scudo231 non avrebbe rappresentato un mero costo di compliance, ma l’investimento strategico che avrebbe protetto il patrimonio aziendale, la continuità operativa e la reputazione sul mercato, fornendo la prova tecnologica immodificabile – la cosiddetta ricostruzione causale scientifica – della propria estraneità ai fatti, confinando la responsabilità ai singoli individui che avessero agito in frode ai protocolli e salvaguardando l’ente dalla più grave delle accuse: la colpa di organizzazione.