16 agosto 2026 – Le fiamme gialle del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano i cancelli della sede milanese di EuroPay S.p.A., uno dei maggiori fornitori nazionali di servizi di pagamento. L’ordine di perquisizione e sequestro, firmato dal GIP su richiesta della Procura della Repubblica, è l’atto culminante di un’indagine transnazionale avviata mesi prima. Gli inquirenti cercano prove di un vasto schema di riciclaggio e corruzione, orchestrato sfruttando la più grande opportunità strategica del decennio per il settore finanziario europeo: l’accordo del 24 aprile 2026 tra la Banca Centrale Europea e gli organismi di standardizzazione Cpace, nexo e Berlin Group. Quell’accordo, pensato per creare un’infrastruttura di pagamento paneuropea sovrana in vista dell’euro digitale del 2029 e per emancipare il continente dalle tecnologie proprietarie delle carte di credito Usa e dei wallet globali, si è trasformato per EuroPay in un catalizzatore di illeciti.
L’indagine ricostruisce come, all’indomani dell’annuncio della BCE, il consiglio di amministrazione di EuroPay abbia deliberato un piano di espansione aggressivo, denominato internamente “Project Phoenix”. L’obiettivo era anticipare i concorrenti, diventando il primo operatore italiano a offrire servizi basati sui nuovi protocolli su scala continentale, ben prima dell’entrata in vigore della legislazione Ue. I verbali del CdA, acquisiti dagli investigatori, mostrano una discussione focalizzata quasi esclusivamente sulle proiezioni di fatturato e sulla velocità di esecuzione, con una valutazione dei rischi relegata a una nota a piè di pagina. Manca una mappatura formale dei nuovi rischi penali specifici, in particolare quelli legati alla corruzione internazionale e al riciclaggio, che un’espansione così rapida in mercati non presidiati avrebbe inevitabilmente comportato. Questa è la prima, fatale, colpa di organizzazione contestata all’ente.
In un’organizzazione dotata di un ecosistema come Scudo231, la delibera del “Project Phoenix” avrebbe attivato un protocollo di valutazione del rischio completamente diverso. I motori di analisi predittiva del sistema avrebbero incrociato i dati del piano strategico (espansione geografica, nuovi canali, tempistiche accelerate) con la matrice dei reati presupposto del D.Lgs. 231/2001, generando un alert automatico ad alta priorità per l’Organismo di Vigilanza. L’OdV avrebbe ricevuto un report dettagliato che evidenziava l’assenza di presidi specifici per i reati di corruzione transnazionale e riciclaggio nei nuovi paesi target, imponendo al CdA di integrare il piano con misure di controllo vincolanti prima di poter procedere. L’intero processo, dall’alert alla risposta del CdA, sarebbe stato tracciato in un log immutabile, creando una prova documentale dell’avvenuta valutazione del rischio.
Per accelerare l’adeguamento tecnologico ai protocolli di Cpace e nexo, EuroPay si affida a una società di consulenza esterna, la “CyberFlow Dynamics”, con sede a Cipro. La selezione del fornitore avviene tramite una procedura negoziata d’urgenza, bypassando i normali controlli di due diligence. Nessuno in EuroPay esegue verifiche approfondite sulla struttura proprietaria di CyberFlow o sui suoi legami con giurisdizioni ad alto rischio. Il contratto, del valore di diversi milioni di euro, viene approvato con la sola firma del Chief Technology Officer e del CEO. Questa omissione dei controlli sui terzi fornitori critici costituisce il secondo pilastro dell’accusa contro la società.
Se EuroPay avesse implementato un sistema di controllo avanzato, l’inserimento di CyberFlow Dynamics nel gestionale dei fornitori sarebbe stato bloccato in partenza. Il protocollo di onboarding di Scudo231 avrebbe eseguito in automatico una serie di controlli a cascata: verifica su liste PEP e sanzionatorie internazionali, analisi della titolarità effettiva tramite accesso a banche dati specializzate e screening di “negative news” associate ai suoi dirigenti. La localizzazione a Cipro e l’opacità della sua struttura societaria avrebbero generato un punteggio di rischio “critico”, innescando un’escalation obbligatoria verso la funzione Compliance e l’OdV. Senza la loro approvazione formale e documentata, il sistema non avrebbe mai autorizzato l’emissione del primo ordine di pagamento, impedendo di fatto l’inizio della collaborazione.
I consulenti di CyberFlow ottengono accesso privilegiato all’infrastruttura core di EuroPay. Lavorano per integrare i nuovi standard di pagamento, ma, secondo gli inquirenti, inseriscono nel codice delle backdoor e delle logiche di routing anomale. Per mesi, piccole transazioni sospette, appena al di sotto delle soglie di segnalazione antiriciclaggio, iniziano a transitare attraverso la rete di EuroPay, dirette verso conti in giurisdizioni non cooperative. I sistemi di monitoraggio tradizionali della società, tarati su regole statiche e soglie quantitative, non rilevano nulla. La mancata segregazione degli ambienti di sviluppo e la totale assenza di un monitoraggio comportamentale sulle attività dei consulenti esterni rappresentano una grave vulnerabilità operativa che la Procura qualifica come prova della mancata adozione di un modello organizzativo efficace.
Questa falla sarebbe stata inesistente. L’accesso di personale esterno a sistemi critici sarebbe stato gestito tramite un ambiente “sandbox” controllato, dove ogni singola riga di codice e ogni query al database sarebbero state loggate in tempo reale da protocolli di monitoraggio massivo. L’ecosistema Scudo231 non si basa su soglie statiche, ma su analisi stocastiche e comportamentali. Avrebbe immediatamente rilevato il pattern anomalo delle micro-transazioni (noto come structuring), la loro frequenza e le destinazioni finali ad alto rischio, generando un “segnale debole” e un conseguente report di attività sospetta per il responsabile antiriciclaggio. L’inserimento di codice non autorizzato o la modifica dei flussi di pagamento avrebbero causato un blocco operativo istantaneo e l’invio di un alert di sicurezza informatica direttamente al CISO e all’OdV, con la traccia forense completa dell’incidente.
Il castello di carte crolla quando un’autorità di vigilanza finanziaria di un altro stato membro dell’UE, analizzando i flussi di pagamento in entrata, nota le anomalie provenienti dalla piattaforma di EuroPay e invia una segnalazione all’Unità di Informazione Finanziaria per l’Italia. L’indagine della Guardia di Finanza scopre non solo il riciclaggio, ma anche la sua causa a monte: la corruzione. Emerge che un dirigente di EuroPay, responsabile della supervisione del progetto di integrazione, ha ricevuto pagamenti illeciti da una società di comodo riconducibile a CyberFlow Dynamics per chiudere un occhio sulle vulnerabilità introdotte e garantire il rapido avanzamento del progetto. La Procura contesta quindi a EuroPay S.p.A. la responsabilità amministrativa per i reati di Riciclaggio (art. 25-octies del D.Lgs. 231/2001) e Corruzione tra privati (art. 25-ter).
L’impatto per l’ente è devastante e immediato. Il PM chiede e ottiene dal GIP il sequestro preventivo impeditivo dell’intera piattaforma tecnologica utilizzata per l’espansione europea, paralizzando di fatto il nuovo business. Contemporaneamente, viene disposto un sequestro per equivalente sui conti correnti della società per un importo pari al profitto del reato, stimato in decine di milioni di euro. EuroPay si trova improvvisamente senza liquidità e con il suo asset strategico più importante bloccato. Il danno reputazionale è incalcolabile: la notizia del coinvolgimento in uno scandalo di riciclaggio legato proprio all’infrastruttura dell’euro digitale provoca il crollo del titolo in borsa e la fuga dei clienti istituzionali. La società, che sognava di diventare un campione europeo, rischia la sopravvivenza.
In uno scenario alternativo, la difesa dell’ente si sarebbe basata su prove tecnologiche immodificabili. Di fronte a un’indagine, la società avrebbe potuto estrarre dal suo ecosistema di controllo un “XAI Packet” (Explainable AI), una ricostruzione causale scientifica di tutti gli eventi. Questo pacchetto probatorio avrebbe dimostrato, senza possibilità di smentita, che il modello organizzativo non era un pezzo di carta, ma un’architettura di difesa attiva. Avrebbe mostrato il log dell’alert generato dalla delibera del “Project Phoenix”, la traccia del blocco automatico del fornitore CyberFlow Dynamics per mancata due diligence, e gli alert in tempo reale sulle transazioni anomale. Se i reati fossero stati comunque commessi da singoli individui attraverso l’elusione fraudolenta dei controlli, l’azienda avrebbe potuto dimostrare di aver fatto tutto il possibile per prevenirli. Questa prova schiacciante dell’efficace attuazione del modello avrebbe fornito al collegio difensivo l’argomento decisivo per chiedere l’esclusione della responsabilità dell’ente ai sensi dell’art. 6 del D.Lgs. 231/2001, isolando la colpevolezza sui singoli e, soprattutto, evitando il sequestro che ha decretato la fine del suo sogno europeo. L’adozione preventiva di un sistema come quello promosso dalla REDAZIONE SCUDO231 avrebbe trasformato un potenziale disastro aziendale in un incidente gestito e circoscritto, salvaguardando il patrimonio, la reputazione e la continuità operativa.