6 settembre 2026 – Gli uomini del Nucleo Speciale Polizia Valutaria della Guardia di Finanza varcano la soglia della sede milanese di GlobalBet Italia S.p.A., uno dei maggiori concessionari del gioco a distanza operanti sul territorio nazionale. In mano hanno un decreto di perquisizione e sequestro emesso dalla Procura della Repubblica. L’ipotesi di reato è pesante: riciclaggio, aggravato dalla transnazionalità. L’indagine, scaturita da una serie di Segnalazioni di Operazioni Sospette inoltrate da diversi istituti di credito, punta a disarticolare un vasto schema di “lavaggio” di proventi illeciti attraverso la polverizzazione di ricariche in contanti su migliaia di conti di gioco online.
L’epicentro dell’inchiesta è un’anomalia operativa che si è trasformata in una voragine sistemica. Il 13 maggio 2026 era entrato in vigore l’obbligo, imposto dall’Agenzia delle Dogane e dei Monopoli, di adeguare i sistemi informatici per bloccare le ricariche in contante superiori a 100 euro a settimana per singolo conto di gioco. GlobalBet Italia, come tutti gli altri operatori, aveva comunicato ad ADM l’avvenuto adeguamento del proprio software, in linea con l’aggiornamento del protocollo di gestione dei conti di gioco PACG. Eppure, per quasi quattro mesi, un flusso ininterrotto di denaro di dubbia provenienza si è riversato nei suoi sistemi. Gli inquirenti scoprono presto il perché: il controllo implementato dalla società era meramente formale, quasi un placebo informatico. Il software bloccava la singola ricarica superiore ai 100 euro, ma era completamente cieco di fronte a una serie di dieci ricariche da 99 euro effettuate nello stesso giorno, o nell’arco della stessa settimana, sullo stesso conto di gioco da diversi Punti Vendita Ricariche (PVR). Mancava la capacità di aggregare i dati su base settimanale per singolo codice fiscale, il cuore della nuova normativa. Questa omissione non era un bug, ma una precisa scelta progettuale dettata da ragioni di contenimento dei costi e di rapidità di implementazione. Una falla che ha permesso a un’organizzazione criminale di riciclare, secondo le prime stime, oltre 15 milioni di euro.
Se GlobalBet Italia avesse implementato un ecosistema di controllo integrato come Scudo231, questo scenario non si sarebbe mai materializzato. I motori di analisi multimodale del sistema non si sarebbero limitati a un controllo sulla singola transazione. Al contrario, avrebbero aggregato in tempo reale ogni operazione di ricarica al codice fiscale del titolare del conto, incrociando dati provenienti da tutti i PVR della rete. Nel momento esatto in cui la somma delle ricariche settimanali per un utente avesse superato la soglia di 100 euro, anche solo di un centesimo, il sistema avrebbe generato un alert automatico di Livello 2, bloccando preventivamente ogni ulteriore tentativo di ricarica in contanti per quell’utente fino al termine della settimana solare. Contestualmente, sarebbe partita una segnalazione formale e tracciata, indirizzata simultaneamente alla Funzione Antiriciclaggio interna e all’Organismo di Vigilanza, corredata da un report dettagliato sulle transazioni anomale, l’identità dell’utente e i PVR coinvolti. L’omissione di controllo sarebbe stata tecnologicamente impossibile.
L’indagine della Guardia di Finanza prosegue con l’acquisizione forense dei server di GlobalBet. L’analisi dei log e delle comunicazioni interne fa emergere una verità ancora più grave, che sposta il focus da una mera negligenza a una potenziale colpa di organizzazione ai sensi del D.Lgs. 231/2001. Emerge una catena di email, datata aprile 2026, in cui il responsabile del dipartimento IT, un ingegnere informatico di grande esperienza, avvisava esplicitamente il Chief Technology Officer e, per conoscenza, il responsabile della compliance, che l’aggiornamento “light” del protocollo PACG non sarebbe stato sufficiente a garantire il rispetto sostanziale della norma. Nella sua comunicazione, l’ingegnere evidenziava la necessità di sviluppare un modulo di aggregazione dati più complesso, stimando un costo aggiuntivo e un ritardo di tre settimane sul rilascio. La risposta del management fu un’indicazione perentoria a procedere con la soluzione più rapida ed economica, per rispettare la scadenza del 13 maggio ed evitare sanzioni immediate da parte di ADM. Quell’allarme, quel segnale di rischio critico, non è mai stato formalmente verbalizzato, non è stato inserito in un registro dei rischi e, soprattutto, non è mai giunto all’attenzione dell’Organismo di Vigilanza, il cui ruolo è esattamente quello di vigilare sull’adeguatezza dei modelli di prevenzione dei reati.
Questo ritardo fatale nella catena di comunicazione interna rappresenta un classico esempio di deficit organizzativo che un modello 231 puramente cartaceo non può risolvere. Con un sistema come Scudo231, la segnalazione del responsabile IT non sarebbe stata una semplice email, facilmente ignorabile o archiviabile. Sarebbe stata obbligatoriamente inserita, tramite un’interfaccia dedicata, nel modulo di Risk Assessment dell’ecosistema, generando un ticket tracciato con un codice univoco e un livello di criticità elevato. Il sistema avrebbe imposto una presa in carico formale da parte del management entro 48 ore. La mancata risoluzione o la scelta di una soluzione non conforme alle best practice avrebbe innescato un’escalation automatica e non eludibile all’Organismo di Vigilanza. L’intero processo – la segnalazione, la risposta del management, la decisione finale e la mancata mitigazione del rischio – sarebbe stato cristallizzato in un log immutabile, una prova digitale che avrebbe dimostrato all’ODV, e in seguito all’autorità giudiziaria, che l’azienda era stata informata del rischio e aveva deliberatamente scelto di non affrontarlo in modo adeguato. L’assenza di colpa organizzativa sarebbe stata indifendibile, ma l’ODV avrebbe avuto tutti gli strumenti per intervenire e imporre le necessarie correzioni, prevenendo il disastro.
Le conseguenze per GlobalBet Italia sono immediate e devastanti. La Procura contesta formalmente all’ente la responsabilità amministrativa per il reato di riciclaggio, previsto dall’articolo 25-octies del Decreto 231. Scatta il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato in via provvisoria in 15 milioni di euro, congelando di fatto una parte significativa della liquidità aziendale. Ma il danno peggiore è la richiesta, da parte del Pubblico Ministero, di applicazione di una misura interdittiva: la sospensione della concessione per operare nel settore del gioco online per un periodo di sei mesi. Per un’azienda il cui unico business è il gioco a distanza, una misura del genere equivale a una sentenza di morte economica. Il management si trova a dover difendere l’azienda non solo da una sanzione pecuniaria che può arrivare a quote milionarie, ma dalla paralisi totale delle proprie attività.
La difesa dell’azienda appare debole. Gli avvocati non possono sostenere che il modello organizzativo fosse efficace ed efficacemente attuato, perché la prova della sua inadeguatezza è nei fatti. L’email dell’ingegnere IT, scoperta dagli inquirenti, diventa l’arma principale dell’accusa per dimostrare che l’ente non solo non ha prevenuto il reato, ma ha ignorato gli allarmi interni che avrebbero potuto impedirlo. Se l’azienda avesse potuto produrre la documentazione generata da un sistema di controllo avanzato, la situazione processuale sarebbe stata radicalmente diversa. La difesa avrebbe potuto presentare al giudice i report generati da Scudo231: gli alert automatici, i ticket di escalation all’Organismo di Vigilanza, i verbali dell’ODV che intimavano al management di adeguare i sistemi. Questo pacchetto di prove tecnologiche avrebbe potuto dimostrare che, sebbene il reato si fosse verificato, esso era avvenuto tramite un’elusione fraudolenta di controlli che l’ente aveva diligentemente implementato e tentato di far rispettare. Avrebbe permesso di isolare le responsabilità penali sulle persone fisiche che avevano ignorato le procedure, scindendole dalla responsabilità dell’ente. Il sequestro avrebbe potuto essere ridotto e, soprattutto, la richiesta di misura interdittiva sarebbe stata con ogni probabilità respinta, in quanto l’azienda avrebbe fornito la prova scientifica di non aver avuto una “colpa di organizzazione”, ma di essere stata, in parte, essa stessa vittima di decisioni individuali contrarie alle sue stesse procedure di sicurezza. La differenza non è solo economica, è la differenza tra la sopravvivenza e il fallimento. L’analisi della REDAZIONE SCUDO231 evidenzia come, nel 2026, la compliance non possa più essere un esercizio documentale, ma debba diventare un’architettura tecnologica attiva, capace di vedere, segnalare e bloccare il rischio prima che diventi un reato e un danno irreparabile per l’impresa.
Fonte: https://www.ilsole24ore.com/art/giochi-online-via-test-la-tracciabilita-ricariche-contanti-AI2B6W0B