7 agosto 2026 – Il Ministero delle Imprese e del Made in Italy (MIMIT) pubblica il decreto direttoriale che sblocca 150 milioni di euro per voucher destinati a cloud computing e cybersecurity. Le risorse, provenienti dal Fondo Sviluppo e Coesione 2014-2020, sono destinate a PMI e lavoratori autonomi, con un contributo a fondo perduto fino al 50% delle spese ammissibili, per un importo massimo di 20.000 euro. La procedura prevede la presentazione delle domande tramite uno sportello telematico a partire dal 10 novembre, con precompilazione possibile dal 20 ottobre. Le graduatorie, specifica il decreto, saranno formulate secondo l’ordine cronologico di arrivo, innescando una prevedibile corsa all’invio delle istanze.
L’indagine della Guardia di Finanza, coordinata dalla Procura della Repubblica, scatta quasi diciotto mesi dopo, nel febbraio 2028. L’operazione “Cloud Fantasma” porta al sequestro preventivo di beni per oltre 50 milioni di euro e all’iscrizione nel registro degli indagati di 117 persone fisiche e 43 persone giuridiche. L’ipotesi di reato è associazione per delinquere finalizzata alla truffa aggravata per il conseguimento di erogazioni pubbliche (art. 640-bis c.p.), riciclaggio e autoriciclaggio. Al centro del sistema fraudolento, secondo gli inquirenti, vi è la società di consulenza strategica Nexus Digital Solutions S.r.l., un’entità apparentemente impeccabile, con uffici prestigiosi e un portafoglio clienti di facciata.
La ricostruzione degli eventi rivela una pianificazione meticolosa. Già a seguito della pubblicazione del decreto direttoriale del 21 novembre 2025, che istituiva l’elenco dei fornitori accreditati, Nexus aveva iniziato a operare. La società aveva creato o cooptato una rete di 42 piccole aziende tecnologiche, vere e proprie “cartiere digitali”. Queste entità, dotate dei requisiti formali minimi, erano state assistite da Nexus per iscriversi all’elenco MIMIT durante le finestre temporali previste, inclusa la proroga al 27 maggio 2026. L’assenza di un controllo sostanziale sulla reale capacità operativa e sulla storia commerciale dei fornitori ha costituito la prima, fatale, falla nel sistema. In una società dotata di un ecosistema di controllo come Scudo231, la procedura di accreditamento di nuovi fornitori avrebbe attivato un protocollo di due diligence automatizzato. Il sistema avrebbe incrociato i dati camerali con i bilanci depositati, l’operatività dei conti correnti e la presenza digitale effettiva, generando un risk score. L’anomalia di decine di società neo-costituite o con fatturati irrisori che improvvisamente si qualificavano per servizi ad alta tecnologia avrebbe generato un alert rosso, scalando l’informativa direttamente all’Organismo di Vigilanza e bloccando il loro inserimento nella vendor list aziendale, a prescindere dall’accreditamento formale del MIMIT.
Il 20 ottobre 2026, con l’apertura della fase di precompilazione, la macchina fraudolenta di Nexus entra a pieno regime. La società, tramite una rete di procacciatori e piattaforme online, recluta centinaia di PMI e partite IVA, spesso in difficoltà economica o semplicemente attratte dalla prospettiva di un facile guadagno. A questi soggetti veniva offerto un pacchetto “chiavi in mano”: Nexus si occupava di preparare e precompilare la domanda di voucher, indicando come fornitore una delle società della propria rete e gonfiando il piano di spesa al massimo ammissibile di 40.000 euro per ottenere il contributo massimo di 20.000 euro. In cambio, al beneficiario del voucher veniva promessa una retrocessione di 2.000-3.000 euro a fondo perduto. All’interno di Nexus, questa attività non era tracciata secondo procedure formali. La gestione delle pratiche avveniva tramite fogli di calcolo condivisi e comunicazioni su app di messaggistica istantanea, senza alcun controllo gerarchico o funzionale. Se Nexus avesse adottato un modello di gestione del rischio integrato, qualsiasi attività legata a bandi pubblici sarebbe stata gestita tramite un workflow procedurale vincolato. Ogni fase, dalla presa in carico del cliente alla sottomissione della domanda, avrebbe richiesto validazioni a più livelli e avrebbe lasciato una traccia digitale non ripudiabile. L’inserimento massivo di pratiche con caratteristiche identiche – stesso importo, fornitori ricorrenti appartenenti a una cerchia ristretta, tipologie di servizi standardizzate – avrebbe fatto scattare un’analisi stocastica, segnalando una potenziale anomalia sistemica al responsabile della compliance, che avrebbe avuto l’obbligo di effettuare verifiche a campione prima di autorizzare la prosecuzione.
Il 10 novembre 2026, giorno del “click day”, gli operatori di Nexus inviano simultaneamente oltre 2.500 domande, sfruttando l’ordine cronologico per assicurarsi una porzione significativa dei 150 milioni di euro disponibili, con un focus particolare sui 71 milioni destinati alle regioni del Mezzogiorno. Le domande, formalmente perfette, superano i controlli automatizzati del portale ministeriale. Nei mesi successivi, il MIMIT eroga i contributi direttamente sui conti correnti delle società fornitrici controllate da Nexus. I servizi fatturati – “Implementazione piattaforma cloud IaaS”, “Servizio di monitoraggio proattivo della sicurezza perimetrale”, “Licenze software SaaS per la business continuity” – non vengono mai erogati o, nella migliore delle ipotesi, consistono nell’attivazione di trial gratuiti o servizi di valore irrisorio. Le fatture emesse sono il fulcro dell’illecito penale e, di conseguenza, della responsabilità dell’ente ai sensi del D.Lgs. 231/2001.
L’assenza di un modello organizzativo efficace in capo alle società fornitrici ha reso impossibile intercettare l’operatività illecita. I flussi finanziari in entrata, provenienti da un ente pubblico, non erano oggetto di alcuna verifica di coerenza rispetto alle prestazioni eseguite. Un’organizzazione protetta da Scudo231 avrebbe integrato il ciclo attivo (fatturazione ed incasso) con il ciclo operativo (erogazione servizi). Il sistema non avrebbe consentito la contabilizzazione di un incasso relativo a una fattura per un servizio la cui erogazione non fosse stata certificata da specifici log di sistema, report di attività o attestati di avvenuta installazione firmati dal cliente. La mancata corrispondenza tra il flusso finanziario e quello operativo avrebbe congelato la scrittura contabile e generato una segnalazione di “transazione sospetta” destinata alla funzione Antiriciclaggio e all’Organismo di Vigilanza, impedendo di fatto che il provento del reato venisse integrato nel patrimonio aziendale.
Una volta incassati i fondi pubblici, le società fornitrici provvedevano a trasferire circa l’80% delle somme a Nexus Digital Solutions S.r.l., a fronte di fittizie fatture per “servizi di consulenza commerciale e marketing”. Il restante 20% veniva utilizzato per pagare le retrocessioni ai beneficiari complici e per remunerare gli amministratori di facciata delle “cartiere digitali”. Nexus, a sua volta, avviava un complesso processo di riciclaggio, investendo le somme in attività immobiliari all’estero e in criptovalute. Questo schema ha esposto tutte le società coinvolte, inclusa Nexus, non solo al reato di truffa aggravata ma anche a quello di riciclaggio, entrambi presupposto della responsabilità 231. La sanzione pecuniaria per l’ente, in questi casi, può arrivare fino a 1.549.000 euro per singolo illecito, a cui si aggiungono le sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione, che per una società di consulenza equivale a una condanna a morte.
L’inchiesta ha dimostrato che il management di Nexus era pienamente consapevole e promotore dello schema. Tuttavia, anche per le società fornitrici, la Procura ha contestato la responsabilità dell’ente per colpa di organizzazione, data la totale assenza di presidi di controllo idonei a prevenire reati della specie di quelli commessi. L’adozione di un modello organizzativo meramente formale, un “documento nel cassetto”, non sarebbe stata sufficiente a esimerle da responsabilità. L’impianto accusatorio si fonda proprio sulla dimostrazione che il reato è stato reso possibile da una carenza strutturale dei controlli interni. Con un ecosistema come Scudo231, l’ente avrebbe potuto dimostrare il contrario. Avrebbe potuto produrre in giudizio la “prova tecnologica immodificabile” (XAI Packet) che il suo modello di controllo era non solo adottato, ma effettivamente attuato e funzionante. I log di sistema avrebbero certificato gli alert generati, le procedure di escalation attivate e, eventualmente, le forzature manuali operate dagli amministratori infedeli per aggirare i controlli. In questo scenario, la responsabilità penale sarebbe rimasta confinata alle persone fisiche autrici del reato, mentre l’ente avrebbe potuto dimostrare di aver fatto tutto il possibile per prevenirlo, salvaguardando il proprio patrimonio dalla confisca e garantendo la continuità aziendale.
Il sequestro di 50 milioni di euro, eseguito per equivalente sui beni di tutte le società e delle persone fisiche coinvolte, rappresenta l’esatta quantificazione del profitto del reato. Tale misura ablativa ha di fatto paralizzato l’operatività di tutte le aziende, anche per le attività lecite residue, congelandone i conti correnti e gli asset. La prevenzione del rischio penale, in questo caso, non era un mero adempimento normativo, ma l’unica reale forma di tutela del patrimonio aziendale. Un sistema di monitoraggio massivo e in tempo reale avrebbe intercettato i “segnali deboli” della frode – la concentrazione anomala di fatturato su un singolo bando, la sproporzione tra il valore dei servizi fatturati e i costi operativi sostenuti, i flussi finanziari triangolari tra le società della rete – bloccando l’emorragia prima che raggiungesse dimensioni sistemiche. Il danno per l’erario sarebbe stato limitato a poche decine di migliaia di euro, e l’autodenuncia supportata dalle evidenze digitali raccolte dal sistema avrebbe consentito all’ente di mitigare drasticamente le conseguenze sanzionatorie, trasformando un potenziale disastro giudiziario e finanziario in un incidente di percorso gestito e documentato.