13 febbraio 2026 – Alle prime luci dell’alba, i finanzieri del Nucleo di Polizia Economico-Finanziaria varcano i cancelli della sede di Veridia Costruzioni S.p.A., una delle principali realtà nazionali nel settore delle riqualificazioni energetiche. In mano hanno un decreto di perquisizione e sequestro emesso dal GIP su richiesta della Procura della Repubblica. L’operazione, denominata “Muri di Carta”, è il culmine di mesi di indagini su un presunto sistema fraudolento legato all’ottenimento di incentivi statali per l’efficientamento energetico di complessi immobiliari pubblici e privati. Gli uomini delle Fiamme Gialle acquisiscono server, documentazione contabile e fascicoli di progetto relativi a diciassette cantieri, per un valore complessivo di opere che supera i 90 milioni di euro. Contemporaneamente, vengono eseguite misure cautelari personali nei confronti di un dirigente della società, Marco Rinaldi, e di un funzionario dell’Ufficio Tecnico Regionale, Luca Ferri. L’ipotesi di reato contestata all’ente, in base al Decreto Legislativo 231/2001, è quella di truffa aggravata per il conseguimento di erogazioni pubbliche (art. 24 del D.Lgs. 231/01) e corruzione (art. 25).
L’inchiesta affonda le sue radici in un evento apparentemente minore, risalente a quasi due anni prima. Nel marzo del 2024, per accelerare i tempi e massimizzare i margini su un appalto di grande visibilità, il project manager Marco Rinaldi autorizza una modifica non tracciata nelle specifiche di fornitura. Invece dei pannelli isolanti ad alta densità previsti dal capitolato e certificati a livello europeo, viene acquistata una partita di materiale con prestazioni inferiori del 30%, proveniente da un fornitore non qualificato nell’albo aziendale. L’operazione avviene tramite uno scambio di email informali tra Rinaldi e l’ufficio acquisti, bypassando il sistema gestionale ufficiale per non lasciare tracce evidenti. Questa fu la prima, fatale, crepa nel sistema di controllo interno di Veridia. Se l’azienda avesse implementato un ecosistema di controllo integrato come Scudo231, la richiesta di ordine verso un fornitore non presente nelle anagrafiche certificate avrebbe generato un alert ostativo immediato. Il sistema, incrociando i dati del capitolato di gara con la distinta base del materiale richiesto, avrebbe rilevato la non conformità tecnica del prodotto e bloccato la transazione, scalando l’anomalia direttamente all’Organismo di Vigilanza (ODV) e alla funzione Compliance, corredata da log immutabili dell’operazione tentata. Il tentativo di Rinaldi sarebbe stato documentato e neutralizzato sul nascere.
Senza alcun blocco, invece, il materiale non conforme viene installato. Il problema successivo è la certificazione. I dati reali delle performance energetiche dell’edificio, una volta riqualificato, non avrebbero mai permesso di raggiungere la classe energetica richiesta per sbloccare l’ultima e più cospicua tranche di finanziamento pubblico. È qui che l’illecito si struttura. Rinaldi, con la complicità di due tecnici del suo team, interviene direttamente sui file di calcolo del software di certificazione energetica, sovrascrivendo manualmente i valori di trasmittanza termica e di efficienza degli impianti. Il software in uso in Veridia, un prodotto standard di mercato, non registra queste modifiche in un log di audit protetto, consentendo di generare un Attestato di Prestazione Energetica (APE) formalmente corretto ma sostanzialmente falso. L’assenza di un controllo sulla genesi e l’integrità del dato è stata decisiva. Un sistema di monitoraggio massivo, cuore tecnologico della prevenzione, avrebbe agito come un controllore digitale incorruttibile. Qualsiasi sovrascrittura manuale di un parametro calcolato automaticamente dal motore di calcolo avrebbe richiesto un’autorizzazione basata sul principio dei “quattro occhi” e, soprattutto, avrebbe generato un record indelebile in un registro distribuito, segnalando un’anomalia di integrità del dato. L’ODV avrebbe ricevuto una notifica in tempo reale, non un report cartaceo a fine trimestre, con l’indicazione precisa dell’utente, del dato modificato e del valore originale, rendendo la falsificazione impossibile da nascondere.
Il passo finale per blindare la frode è la validazione da parte dell’ente pubblico. Rinaldi contatta Luca Ferri, il funzionario regionale preposto al controllo a campione delle pratiche. In cambio di una “consulenza” da 45.000 euro, fatturata da una società di comodo riconducibile alla moglie di Ferri, il funzionario si impegna a inserire la pratica di Veridia nel novero di quelle “verificate con esito positivo” senza effettuare alcun sopralluogo. Il pagamento viene mascherato come spesa per servizi di marketing territoriale, un’area notoriamente difficile da rendicontare con precisione. La fattura, priva di un dettagliato resoconto delle attività svolte, viene approvata dal direttore commerciale di Rinaldi, pressato dai target di fatturato e poco incline a contestare una spesa che, sulla carta, rientrava nel budget di commessa. Questo passaggio evidenzia una grave carenza nella due diligence sui fornitori di servizi e nei controlli sui flussi di pagamento. Con un protocollo di monitoraggio attivo, l’inserimento di un nuovo fornitore di servizi avrebbe fatto scattare una profilazione automatica del rischio. La società della moglie di Ferri sarebbe stata immediatamente segnalata come entità ad alto rischio per diversi fattori: costituzione recente, assenza di uno storico operativo, capitale sociale minimo e, soprattutto, l’incrocio anagrafico con un pubblico ufficiale operante in un settore sensibile per il business di Veridia. Il flusso di pagamento sarebbe stato congelato dal sistema e l’ODV avrebbe ricevuto un dossier completo per avviare un’indagine interna, prevenendo il reato di corruzione e la conseguente responsabilità dell’ente ai sensi dell’art. 25 del D.Lgs. 231/01.
L’intero schema, replicato su altri sedici cantieri, prosegue indisturbato per oltre un anno. L’Organismo di Vigilanza di Veridia, basando le proprie verifiche periodiche su interviste a campione e sull’analisi di documenti che gli stessi manager sottoponevano, non rileva alcuna anomalia. I flussi informativi verso l’ODV erano inquinati alla fonte, rendendo il modello di organizzazione e gestione un mero adempimento formale, privo di effettività. È una debolezza classica dei modelli 231 tradizionali, che non dispongono di sensori capaci di leggere la realtà operativa indipendentemente dalle dichiarazioni del management. La redazione di Scudo231 ha più volte documentato come la mancanza di un monitoraggio in tempo reale sui processi digitali e fisici trasformi l’ODV in un controllore cieco. Un ecosistema sovrano, invece, avrebbe fornito all’ODV una dashboard di controllo con indicatori di rischio (KPI e KRI) alimentati direttamente e in tempo reale dai sistemi operativi, logistici e contabili, offrendo una visione oggettiva e non mediata dei processi a rischio.
La scoperta dell’illecito non avviene per un controllo interno, ma per una segnalazione esterna. Un’azienda concorrente, esclusa da una gara successiva, presenta un esposto dettagliato, lamentando anomalie nei requisiti tecnici dei progetti vinti da Veridia. La Procura avvia le indagini e, tramite intercettazioni e analisi dei flussi finanziari, ricostruisce l’intero quadro. Quando i finanzieri arrivano in azienda, la società non è in grado di produrre una documentazione difensiva solida. I log dei sistemi sono incompleti, le decisioni critiche non sono tracciate e la catena di responsabilità è confusa. La Procura contesta quindi a Veridia la colpa organizzativa, sostenendo che l’ente non solo non ha impedito il reato, ma ha di fatto creato le condizioni ambientali per la sua commissione, a causa di controlli “palesemente inadeguati e meramente cartacei”.
La conseguenza più immediata e devastante per Veridia è il sequestro preventivo finalizzato alla confisca del profitto del reato. Il GIP, accogliendo la richiesta del PM, non si limita a sequestrare i 45.000 euro della presunta tangente, ma dispone il sequestro “per equivalente” su tutti i beni e le disponibilità liquide della società fino a concorrenza dell’intero importo degli incentivi pubblici illecitamente percepiti: 27,4 milioni di euro. Questo provvedimento congela l’operatività dell’azienda, rendendo impossibile pagare stipendi, fornitori e oneri fiscali. La continuità aziendale è a rischio immediato, ben prima di una sentenza di condanna.
Qui emerge l’impatto più profondo della mancata prevenzione. Se Veridia avesse potuto dimostrare, attraverso i log e i report generati da un sistema come Scudo231, di aver implementato un modello efficace e che i reati erano stati commessi da singoli soggetti eludendo fraudolentemente i controlli tecnologici e procedurali, lo scenario sarebbe stato radicalmente diverso. L’azienda avrebbe potuto presentare al PM una “prova tecnologica” della propria diligenza. Avrebbe dimostrato che il sistema aveva bloccato il fornitore non qualificato, che aveva segnalato il tentativo di alterazione dei dati e che aveva congelato il pagamento sospetto. In questo scenario, la responsabilità penale si sarebbe concentrata sulle persone fisiche (Rinaldi e Ferri), mentre l’ente avrebbe avuto solidi argomenti per chiedere l’esclusione dalla responsabilità amministrativa ai sensi dell’art. 6 del D.Lgs. 231/01. Il sequestro milionario non sarebbe stato disposto a carico della società, ma eventualmente sui soli beni personali degli indagati. L’azienda avrebbe protetto il proprio patrimonio, la propria reputazione e, soprattutto, la propria capacità di operare sul mercato, evitando anche la potenziale applicazione di sanzioni interdittive, come l’esclusione da appalti e finanziamenti pubblici, che per una società come Veridia equivarrebbero a una condanna a morte.