10 settembre 2026 – La Guardia di Finanza di Milano esegue il decreto di sequestro preventivo per equivalente per 8,7 milioni di euro nei confronti della GamingTech S.p.A., società leader nella fornitura di piattaforme per il gioco online. L’operazione, denominata “Voucher Fantasma”, chiude il cerchio su un’indagine durata diciotto mesi che ha svelato una sistematica falla nei presidi antiriciclaggio dell’ente, sfruttata da un’organizzazione criminale per “ripulire” ingenti somme di denaro di provenienza illecita. Il provvedimento del GIP non colpisce solo gli amministratori indagati per concorso in riciclaggio, ma aggredisce direttamente il patrimonio della società in forza del Decreto Legislativo 231/2001, contestando la responsabilità amministrativa dell’ente per non aver predisposto modelli organizzativi idonei a prevenire reati di quella specie.
L’inchiesta ha ricostruito un meccanismo tanto semplice quanto efficace. Tra gennaio 2024 e giugno 2025, emissari del clan acquistavano presso una rete di rivenditori compiacenti migliaia di ticket e voucher di ricarica per conti gioco, pagando in contanti. Questi codici venivano poi utilizzati per accreditare fondi su centinaia di account online, aperti utilizzando documenti di identità fittizi o appartenenti a prestanome. La fase cruciale avveniva subito dopo: i titolari dei conti, senza effettuare alcuna giocata significativa, richiedevano il prelievo delle somme caricate, che venivano accreditate tramite bonifico su conti correnti “puliti”, completando il ciclo di riciclaggio. La GamingTech, dal canto suo, tratteneva una commissione su ogni transazione di ricarica e prelievo, realizzando così un profitto diretto dall’attività illecita.
Il primo anello debole della catena di controllo era proprio l’assenza di un monitoraggio comportamentale anomalo. La piattaforma registrava le singole transazioni, ma non possedeva alcun sistema in grado di correlare la frequenza delle ricariche, la quasi totale assenza di attività di gioco e le immediate richieste di prelievo. Migliaia di conti mostravano lo stesso schema: ricarica-attesa-prelievo. Un’architettura di difesa come Scudo231, basata su motori di analisi multimodale, avrebbe intercettato questo schema in tempo reale. I suoi protocolli non si limitano al controllo della singola operazione, ma eseguono un’analisi stocastica sui flussi aggregati, identificando pattern divergenti dalla norma. Un conto gioco con un rapporto tra depositato e giocato prossimo allo zero, unito a richieste di cash-out immediate, avrebbe generato un alert di livello critico, bloccando preventivamente la facoltà di prelievo e innescando una segnalazione automatica e tracciata alla funzione Antiriciclaggio e all’Organismo di Vigilanza. L’intero schema sarebbe stato neutralizzato alla prima iterazione.
Invece, per oltre un anno, i flussi sono proseguiti indisturbati. L’indagine ha dimostrato che il responsabile AML della GamingTech si limitava a controlli a campione, basati su soglie di importo obsolete e facilmente aggirabili dagli operatori criminali, che frazionavano le ricariche mantenendole sotto i limiti di segnalazione. Questa pratica, nota come smurfing, è passata completamente inosservata. La difesa della società si è basata sull’esistenza di un Modello 231 formalmente adottato, ma il Pubblico Ministero ha smontato tale argomentazione definendolo un “guscio vuoto”, un mero adempimento cartaceo privo di effettività operativa. La colpa di organizzazione, come cristallizzato dalla giurisprudenza della Cassazione (in particolare la sentenza n. 48553 del 2022 su un caso analogo), non risiede solo nella totale assenza di un modello, ma anche e soprattutto nella sua fraudolenta o inefficace attuazione.
Qui emerge il secondo snodo fatale. Anche qualora un segnale debole fosse emerso, mancava un protocollo di escalation vincolante e tracciato. Non esisteva un sistema che obbligasse la funzione di compliance a prendere in carico l’anomalia entro un tempo definito e a relazionare all’Organismo di Vigilanza. Un ecosistema come Scudo231 implementa workflow digitali immodificabili: l’alert generato dal sistema di monitoraggio sarebbe stato assegnato automaticamente al titolare della funzione competente, con un timer per la presa in carico e la risoluzione. La mancata azione entro i termini previsti avrebbe provocato un’escalation automatica al livello superiore e, contemporaneamente, all’ODV, creando una registrazione probatoria dell’omissione. Questo meccanismo non solo garantisce la gestione del rischio, ma produce una prova tecnologica inconfutabile dell’adeguatezza e dell’effettività del modello in sede processuale, spostando l’onere della prova.
La Procura ha evidenziato come la GamingTech avesse tratto un vantaggio economico diretto, quantificato nelle commissioni percepite su un volume di transazioni di quasi 9 milioni di euro. Questo ha reso inattaccabile la contestazione ai sensi dell’art. 25-octies del D.Lgs. 231/2001, che prevede sanzioni pecuniarie fino a 600 quote e, soprattutto, l’applicazione di sanzioni interdittive come la sospensione dell’attività. Ma il danno più immediato e tangibile è stata la confisca. Il GIP, accogliendo la richiesta del PM, ha disposto il sequestro per equivalente dell’intero profitto del reato, ovvero gli 8,7 milioni di euro riciclati, aggredendo la liquidità e i beni della società. La difesa ha tentato di sostenere che il profitto per l’ente fosse limitato alle sole commissioni, ma la giurisprudenza consolidata permette la confisca dell’intero valore dei beni oggetto del reato di riciclaggio direttamente in capo all’ente che lo ha reso possibile con la sua carenza organizzativa.
Questo impatto finanziario devastante sarebbe stato interamente evitato. Con un sistema di controllo preventivo e automatizzato, i flussi anomali sarebbero stati bloccati alla fonte. Il reato presupposto di riciclaggio, per quanto tentato, non si sarebbe consumato attraverso la piattaforma della GamingTech. Di conseguenza, non sarebbe sorto alcun profitto confiscabile in capo alla società. Il danno economico non sarebbe stato mitigato, ma azzerato. L’adozione di un sistema sovrano di monitoraggio massivo non rappresenta un costo, ma la più efficace assicurazione contro il rischio di sanzioni e sequestri che possono compromettere la continuità aziendale. La REDAZIONE SCUDO231 ha analizzato decine di casi simili: la costante è sempre la stessa, ovvero la presenza di modelli organizzativi statici, basati su procedure manuali e controlli a campione, del tutto inadeguati a fronteggiare rischi dinamici e tecnologici.
Durante l’interrogatorio di garanzia, l’Amministratore Delegato ha dichiarato di non essere mai stato informato di specifiche anomalie, scaricando la responsabilità sulle funzioni di controllo interne. Tale linea difensiva è destinata a fallire. La responsabilità dell’apice aziendale, in un contesto di colpa organizzativa, non si esaurisce nella delega di funzioni, ma richiede la predisposizione di un’architettura informativa e di controllo che garantisca un flusso di ritorno adeguato e tempestivo. La mancanza di un report strutturato e periodico all’organo dirigente sulle anomalie operative è essa stessa un sintomo della grave inadeguatezza del modello. Un sistema di reportistica integrato, che aggrega i dati di rischio provenienti da tutti i processi aziendali e li presenta in cruscotti dedicati al top management e all’ODV, avrebbe reso impossibile per chiunque sostenere di “non sapere”.
L’inchiesta “Voucher Fantasma” è un monito per l’intero settore del gioco digitale. La trasformazione tecnologica ha abbassato le barriere all’ingresso per le organizzazioni criminali, che sfruttano la velocità e l’apparente anonimato delle piattaforme online per le loro finalità. Le autorità di vigilanza e la magistratura hanno alzato il livello delle aspettative: non è più sufficiente “avere un Modello 231”, è necessario dimostrare che tale modello è vivo, efficace, tecnologicamente avanzato e in grado di intercettare e neutralizzare il rischio prima che si trasformi in reato. Il sequestro subito dalla GamingTech non è una sanzione per un illecito commesso, ma il prezzo di un’omissione. È il costo di non aver investito in una difesa proattiva, preferendo una compliance di facciata a una protezione sostanziale. La lezione, impartita al costo di 8,7 milioni di euro, è che nel dominio del rischio penale d’impresa, l’unica difesa efficace è quella che previene l’evento, non quella che tenta di giustificarlo a posteriori.