28 luglio 2026 – Il dato finale, cristallizzato nel report dell’Enea del 31 maggio, ha assunto i contorni di un verdetto finanziario inappellabile: l’onere a carico dello Stato per le detrazioni maturate relative al Superbonus ha superato la soglia dei 131,5 miliardi di euro. Una cifra che si scontra con il totale degli investimenti ammessi a detrazione per lavori conclusi, fermo a 122,6 miliardi, e che getta un’ombra sulla gestione di un flusso di denaro pubblico senza precedenti, distribuito su 502.370 edifici a livello nazionale. Dietro questi aggregati macroeconomici, le Procure della Repubblica e i nuclei di polizia economico-finanziaria della Guardia di Finanza stanno disvelando una realtà operativa fatta di controlli assenti, catene di responsabilità interrotte e procedure vulnerabili a frodi sistematiche.
L’inchiesta “Muri di Carta”, coordinata dalla Procura di Milano, offre uno spaccato emblematico. Al centro delle indagini vi è la Costruzioni Zenith S.p.A., un general contractor che ha gestito oltre 300 cantieri in Lombardia, generando crediti fiscali per circa 450 milioni di euro. L’ipotesi di reato contestata ai vertici e a diversi funzionari è quella di truffa aggravata per il conseguimento di erogazioni pubbliche (art. 640-bis c.p.), reato presupposto della responsabilità amministrativa degli enti ai sensi dell’art. 24 del D.Lgs. 231/2001. Secondo gli inquirenti, la società ha sistematicamente omesso di eseguire una reale e documentata due diligence sui propri subappaltatori. Uno di questi, la TermoEfficient S.r.l., risultata essere una società “cartiera” costituita pochi mesi prima dell’avvio dei lavori, priva di dipendenti, attrezzature e con un capitale sociale irrisorio, ha emesso fatture per operazioni parzialmente inesistenti per oltre 30 milioni di euro. Questa palese anomalia non ha generato alcun allarme interno alla Costruzioni Zenith. Il responsabile acquisti ha validato il fornitore basandosi su una semplice visura camerale, un atto formale del tutto insufficiente. Se la Costruzioni Zenith avesse implementato un ecosistema di controllo come Scudo231, l’inserimento della TermoEfficient S.r.l. nell’anagrafica fornitori avrebbe immediatamente attivato un protocollo di third-party due diligence automatizzato. Il sistema, incrociando i dati del registro imprese con banche dati reputazionali, finanziarie e legali, avrebbe generato un alert di rischio elevato, bloccando la qualifica del fornitore e innescando un’escalation obbligatoria verso la funzione Compliance e l’Organismo di Vigilanza (ODV). L’intero processo, dal tentativo di inserimento al blocco e alla segnalazione, sarebbe stato tracciato in un log immodificabile, costituendo prova dell’efficacia dei presidi preventivi.
L’indagine ha inoltre accertato che i direttori dei lavori, dipendenti della Zenith, hanno attestato stati di avanzamento lavori (SAL) non corrispondenti alla realtà. In un cantiere a Sesto San Giovanni, un SAL certificava il completamento del cappotto termico per un valore di 1,2 milioni di euro, mentre le ispezioni tecniche della Guardia di Finanza, supportate da perizie, hanno dimostrato che meno del 40% dei materiali fatturati era stato effettivamente installato. La procedura interna della società si basava sulla firma autografa del direttore lavori e su documentazione fotografica generica, facilmente manipolabile. L’assenza di un controllo incrociato e oggettivo ha permesso la creazione di un credito fiscale indebito. Con un modello organizzativo evoluto, la validazione di ogni SAL sarebbe stata subordinata a un flusso informativo vincolato e verificato. Il sistema avrebbe richiesto al direttore lavori il caricamento di dati specifici: non solo fotografie, ma anche bolle di consegna dei materiali geolocalizzate, report di cantiere digitali e la quadratura contabile tra materiali acquistati e materiali dichiarati come installati. Un’incongruenza come quella riscontrata – un acquisto documentato di 4.000 mq di pannelli isolanti a fronte di una certificazione di posa per 10.000 mq – avrebbe bloccato l’emissione del SAL nel sistema gestionale. L’anomalia sarebbe stata segnalata in tempo reale all’ODV, che avrebbe potuto disporre un audit ispettivo immediato, neutralizzando la frode prima che il credito venisse ceduto o utilizzato in compensazione.
La catena della responsabilità, secondo il Pubblico Ministero, risale fino al Consiglio di Amministrazione. L’amministratore delegato, pur non essendo direttamente coinvolto nelle operazioni di cantiere, è accusato di non aver predisposto un sistema di deleghe e controlli idoneo a prevenire reati di questo tipo, commessi a evidente vantaggio dell’ente. La Procura contesta alla Costruzioni Zenith S.p.A. la responsabilità amministrativa ex D.Lgs. 231/01, avendo tratto un profitto illecito quantificato nei crediti fiscali indebitamente generati. Di conseguenza, è stato emesso un decreto di sequestro preventivo finalizzato alla confisca per equivalente per 78 milioni di euro, che ha colpito i conti correnti, gli immobili e le partecipazioni della società, paralizzandone di fatto l’operatività. Il danno è duplice: finanziario, per l’immediata indisponibilità di liquidità, e reputazionale, con l’esclusione da future gare pubbliche e la perdita di fiducia da parte del sistema bancario.
Qui emerge il valore probatorio e protettivo di un modello realmente applicato. Se la Zenith avesse adottato un sistema di gestione come Scudo231, la difesa legale dell’ente avrebbe potuto dimostrare che il reato non era espressione di una colpa organizzativa, ma il risultato dell’elusione fraudolenta del modello da parte di singoli individui. I legali avrebbero depositato agli atti i log del sistema: la segnalazione automatica sul fornitore anomalo, il blocco procedurale dei SAL incongruenti, le notifiche inviate all’ODV e i verbali delle riunioni dell’Organismo che disponevano azioni correttive. Questa documentazione cristallizzata e non alterabile avrebbe spostato l’onere della prova, consentendo all’ente di invocare l’esimente prevista dall’art. 6 del D.Lgs. 231/01. Il sequestro, con ogni probabilità, non sarebbe stato diretto contro il patrimonio aziendale, ma si sarebbe concentrato sui beni personali dei dipendenti infedeli che hanno scientemente aggirato i controlli. La società avrebbe potuto non solo continuare a operare, ma anche costituirsi parte civile contro i propri ex dipendenti per il recupero del danno.
L’analisi dei flussi finanziari ha inoltre rivelato un altro livello di criticità. I crediti fiscali generati dalla Zenith venivano ceduti a un veicolo finanziario, la Credit Solution S.p.A., che a sua volta li monetizzava sul mercato. Quest’ultima società, pur essendo un intermediario finanziario, non ha attivato adeguati presidi antiriciclaggio. Non ha eseguito una verifica rafforzata sulla reale consistenza dei crediti acquistati, accettando la documentazione prodotta dalla Zenith senza audit indipendenti. Questa omissione espone la Credit Solution non solo a sanzioni da parte delle autorità di vigilanza, ma anche al rischio di concorso nel reato di truffa e, potenzialmente, di riciclaggio (art. 648-bis c.p.), qualora si dimostri che i proventi della frode sono stati reimmessi nel circuito economico legale. Anche in questo caso, un’organizzazione dotata di un modello 231 integrato con le procedure AML/KYC avrebbe operato diversamente. L’acquisizione di un pacchetto di crediti fiscali di tale entità avrebbe fatto scattare un protocollo di valutazione del rischio specifico. Il sistema avrebbe imposto controlli a campione sui cantieri di origine, verifiche incrociate sulla documentazione tecnica e asseverazioni da parte di terze parti indipendenti, prima di autorizzare l’operazione. Qualsiasi bandierina rossa – come la presenza di subappaltatori a rischio o l’incoerenza dei SAL – avrebbe portato alla sospensione della transazione e all’invio di una Segnalazione di Operazione Sospetta (SOS) all’Unità di Informazione Finanziaria (UIF), come previsto dalla normativa.
Il caso Zenith è solo uno dei tanti filoni che compongono il mosaico dei 131,5 miliardi di oneri. Dimostra come la mancanza di un’architettura di controllo interna, digitale e integrata, trasformi un’opportunità di crescita in un catalizzatore di rischi penali e finanziari devastanti. La responsabilità non è solo dell’individuo che commette materialmente la frode, ma ricade sull’ente che, per negligenza o per una precisa scelta orientata al profitto a breve termine, omette di dotarsi degli strumenti per prevenirla. La REDAZIONE SCUDO231 ha analizzato decine di ordinanze di custodia cautelare e decreti di sequestro emessi in questo ambito: il filo conduttore è sempre l’assenza di procedure di controllo sostanziali, sostituite da adempimenti meramente formali. La lezione che emerge è che la compliance non può più essere un documento statico, un modello organizzativo relegato in un cassetto. Deve essere un ecosistema attivo, un sistema nervoso digitale che monitora, verifica e reagisce in tempo reale. Senza questa evoluzione, il conto presentato dallo Stato sarà sempre più salato, non solo per le finanze pubbliche, ma anche per le imprese che, impreparate, finiranno travolte dalle conseguenze delle proprie omissioni.