AGENZIA delle ENTRATE – Risposta n. 149 del 24 gennaio 2023

Principio di inerenza – Indeducibilità dei costi sostenuti per il pagamento in Bitcoin di un riscatto dati – Articolo 109, comma 5, del TUIR

Con l’istanza di interpello specificata in oggetto, è stato esposto il seguente

Quesito

La Alfa S.p.A. (di seguito, anche la ”società istante”), società capogruppo con azioni quotate sul Mercato telematico azionario (Mta) della Borsa di Milano (indice FTSE IT All share, FTSE IT Star, segmento Star), ha effettuato, in data … … 2020, il pagamento di una somma a favore di un soggetto presumibilmente fiscalmente non residente nella Comunità Europea a titolo di riscatto dati, anche riservati, afferenti l’attività d’impresa, che sono stati sottratti nel mese di … 2020 in conseguenza di un cyberattack (c.d. ransomware).

Più precisamente, nel … 2020, la società istante è stata oggetto di un attacco informatico di tipo ”ransomware” (un malware che cripta i sistemi e li rende inutilizzabili fino al pagamento di un riscatto) che ha interessato circa … su … personal computer aziendali ­ contenenti, oltre ai documenti di lavoro dei singoli, l’archivio della posta elettronica aziendale di ciascuno ­ e … server contenenti: (i) cartelle, personali e condivise, contenenti documenti di lavoro degli utenti del dominio (tra cui amministratori e dirigenti della Alfa S.p.A. e di sue controllate); (ii) sistemi operativi di diversi applicativi, tra cui gli applicativi per la gestione del ciclo attivo, supporto della rete commerciale e adempimenti amministrativo­ contabili, anche di talune controllate della Alfa S.p.A..

I dati contenuti nei personal computer e nei server oggetto di attacco sono stati criptati, rendendoli pertanto inaccessibili per gli utenti e la società istante. Quest’ultima, inoltre, ha avuto evidenza che l’hacker aveva esfiltrato (cioè scaricato dalla rete) dati tratti dai computer e server colpiti.

L’attacco informatico ha determinato un significativo pregiudizio sull’attività operativa della Alfa S.p.A..

Nel dettaglio, i principali effetti negativi sono stati i seguenti:

(i) l’indisponibilità dei file criptati ha causato la perdita di documenti e informazioni importanti con conseguente difficoltà di proseguire in modo ordinario la gestione dei rapporti commerciali in corso con i clienti. Il pregiudizio alla continuità operativa emerge in modo evidente dalla circostanza che l’attacco ha avuto ad oggetto anche utenze di soggetti apicali all’interno del gruppo i quali, in ragione del ruolo ricoperto, detenevano documenti e informazioni commerciali sensibili e riservate;

(ii) poiché la Alfa S.p.A. opera come concessionaria di pubblicità, la diffusione dei dati e delle informazioni storiche e prospettiche su clienti e prezzi avrebbe potuto determinare un danno rilevante pregiudicando i rapporti con i clienti inserzionisti e avvantaggiando la concorrenza.

La società istante è stata contattata dagli aggressori, i quali hanno richiesto il pagamento di una somma in Bitcoin a fronte inizialmente di due distinte prestazioni: (a) la consegna della chiave di decrittazione, (b) la cancellazione e non pubblicazione dei file sottratti.

La Alfa S.p.A. si è immediatamente attivata sia per limitare i danni alla continuità operativa, sia per informare le autorità competenti denunciando il reato di cui era vittima e avviare le necessarie indagini a propria tutela.

Poiché non sono state individuate modalità tecniche per decrittare i dati oggetto dell’attacco e impedirne la pubblicazione, la società istante ha deciso di proseguire l’interlocuzione con gli estorsori per ridurre l’importo richiesto, dandone informativa alle autorità competenti.

Ad esito delle interlocuzioni avviate, la Alfa S.p.A., in data … … 2020, ha effettuato il pagamento della somma in Bitcoin, previo acquisto della provvista necessaria presso uno dei principali exchange a livello mondiale (…), ottenendo dagli hacker (a) la consegna della chiave di decrittazione, (b) la cancellazione e non pubblicazione dei file sottratti.

In sede di documentazione integrativa, la Alfa S.p.A. ha chiarito che il costo sostenuto per soddisfare le richieste degli hacker è stato pari a Euro … e ha prodotto copia del verbale del Consiglio di Amministrazione del … … 2020 concernente l’attacco informatico subito dalla società istante nonché il pagamento del riscatto richiesto dagli hacker.

Tanto premesso, la società istante chiede di conoscere il trattamento fiscale ai fini IRES, IRAP e IVA della fattispecie sopra rappresentata.

Più precisamente, chiede di conoscere se:

1. il costo sostenuto per il pagamento delle prestazioni effettuate dagli hacker sia deducibile ai fini IRES e, in particolare se:

a) la disciplina dei costi da reato di cui all’articolo 14, comma 4­bis, della legge n. 537 del 24 dicembre 1993 sia applicabile al caso di specie;

b) in caso di inapplicabilità della disciplina di cui alla precedente lettera a), sussista il requisito di inerenza in relazione al citato costo;

2. il costo sostenuto sia deducibile ai fini IRAP;

3. l’operazione mediante la quale la Alfa S.p.A. corrisponde al soggetto estorsore la somma a fronte della restituzione dei dati sia un’operazione rilevante ai fini IVA.

Soluzione interpretativa prospettata dal contribuente

Quesito n. 1

La società istante ritiene che il costo sia deducibile ai fini IRES per le ragioni di seguito esposte:

­ la disciplina dei costi da reato di cui all’articolo 14, comma 4­bis, della legge n. 537 del 1993 non risulta applicabile al caso di specie;

­ tale costo è inerente all’attività d’impresa, dal momento che (i) è sostenuto per il recupero di beni necessari allo svolgimento dell’attività d’impresa da parte della Alfa S.p.A.; (ii) eventuali profili di invalidità del contratto stipulato tra Alfa S.p.A. e il soggetto estorsore (i.e., annullabilità o nullità del contratto) non comportano la perdita del requisito di inerenza del costo.

In via preliminare, la società istante fa presente che l’articolo 14, comma 4, della legge n. 537 del 1993 ha inizialmente sancito la rilevanza, ai fini delle imposte sui redditi, dei proventi derivanti da illeciti civili, penali o amministrativi.

Successivamente, l’articolo 2, comma 8, della legge n. 289 del 2002 ha aggiunto al citato articolo 14 un ulteriore comma (4­bis), prevedendo l’indeducibilità, ai fini delle imposte sui redditi, dei c.d. ”costi da reato”.

Tale disposizione è stata radicalmente modificata dall’articolo 8 del decreto legge n. 16 del 2 marzo 2012 che ne ha fortemente ristretto l’ambito di operatività. In particolare:

-­ il regime di indeducibilità è stato limitato ai soli costi e spese ”direttamente utilizzati per il compimento di atti o attività qualificabili come delitto non colposo” (e non riguarda più genericamente i costi ”riconducibili a fatti, atti o attività qualificabili come reato”);

-­ sono stati esclusi dal divieto di deducibilità i costi relativi ai delitti colposi, in ragione della non intenzionalità della condotta, restringendo così l’ambito di applicazione della disposizione ai soli costi relativi a delitti dolosi;

-­ il presupposto impositivo scatta solo nell’ipotesi in cui il pubblico ministero abbia esercitato l’azione penale o il giudice abbia emesso il decreto di rinvio a giudizio o sentenza di non luogo a procedere per intervenuta prescrizione;

­ l’assoluzione o il proscioglimento in sede penale determinano ex post un diritto del contribuente alla restituzione delle imposte pagate (e degli interessi) connessi all’indeducibilità dei predetti costi.

Sotto il profilo soggettivo, come emerge dall’interpretazione letterale del comma 4­bis e dai chiarimenti contenuti nella circolare n. 32/E del 2012, l’indeducibilità dei ”costi da reato” si rende applicabile ai soli soggetti che commettono il reato (e, tuttalpiù, a quelli nel cui interesse viene commesso il reato).

Sotto il profilo oggettivo, l’indeducibilità è circoscritta ai soli costi relativi all’acquisto di beni e servizi ”direttamente utilizzati per il compimento di atti o attività qualificabili come delitto non colposo”.

La norma postula, in sostanza, un collegamento teleologico tra il costo e la commissione del reato.

Conseguentemente, laddove non sia dato individuare un impiego diretto del fattore produttivo per il compimento del reato, permane la deducibilità dei costi sostenuti per l’acquisto di beni e servizi che vengano comunque utilizzati per lo svolgimento dell’attività d’impresa (e, quindi, si pongano come componenti negativi inerenti alla stessa).

Sul piano procedurale, l’applicabilità della disciplina dei costi da reato è subordinata al preventivo esercizio dell’azione penale da parte del pubblico ministero.

In questo modo, l’attività di controllo fiscale ha luogo sulla base di presupposti qualificati dal vaglio preventivo degli organi giudiziari (cfr. circolare n. 32/E del 2012) Tanto premesso, la società istante ritiene che la disciplina dei costi da reato non possa trovare applicazione nel caso di specie in quanto, innanzitutto, manca il presupposto di natura procedimentale: non avendo la stessa posto in essere una condotta penalmente rilevante, non è stata avviata alcuna azione penale da parte del pubblico ministero nei suoi confronti.

In ogni caso, anche da un punto di vista sostanziale la disciplina dei costi da reato non può trovare applicazione nel caso di specie, in quanto non risultano integrati né il requisito soggettivo né il requisito oggettivo. Infatti:

­- sotto il profilo soggettivo, come emerge dal parere pro veritate prodotto, la condotta della società istante, vittima del reato di estorsione di cui all’articolo 629 del codice penale, non configura un illecito penalmente rilevante, essendo un comportamento privo di antigiuridicità;

-­ sotto il profilo oggettivo, la somma corrisposta dalla società istante per il recupero dei dati non è un costo direttamente funzionale al successivo compimento, da parte della Alfa S.p.A., di un reato, bensì al proseguimento della sua attività d’impresa.

Esclusa l’applicabilità della disciplina dei costi da reato al caso di specie, per la società istante, la deducibilità del costo dalla stessa sostenuto deve essere valutata alla luce dell’ordinaria disciplina del reddito d’impresa, verificando la sua inerenza all’attività d’impresa.

L’importo pagato dalla Alfa S.p.A. ha avuto un collegamento sinallagmatico con due distinte prestazioni effettuate dagli hacker: (a) la consegna della chiave di decrittazione, (b) la cancellazione e non pubblicazione dei file sottratti.

Tali prestazioni (a prescindere da valutazioni di natura penalistica della condotta dell’hacker) hanno un indiscutibile valore economico per la Alfa S.p.A. e rappresentano uno strumento indispensabile per garantire la prosecuzione ordinaria dell’attività d’impresa nonché evitare un grave pregiudizio ai rapporti con i clienti inserzionisti. Infatti, l’avvenuto pagamento ha consentito alla società istante, non solo di rientrare in possesso di dati la cui ricostruzione sarebbe stata estremamente difficile ed avrebbe comportato un inevitabile rallentamento della ordinaria attività d’impresa ma, inoltre, ha consentito di preservare i rapporti in essere con i clienti inserzionisti evitando che dalla pubblicazione di informazioni commerciali riservate potesse derivare un danno economico grave a questi ultimi.

D’altronde, come evidenziato dalla società istante, qualora la Alfa S.p.A. non avesse pagato la somma per ottenere la restituzione dei dati, sarebbe stata in ogni caso costretta a sostenere costi (interni e/o esterni) per riprodurre i dati che le erano stati sottratti. E non vi è dubbio che tali costi sarebbero stati considerati inerenti all’attività d’impresa svolta dalla Alfa S.p.A.

Conseguentemente, nel caso di specie, è evidente che il costo sostenuto dalla società istante non è legato a finalità extra imprenditoriali ma mantiene un vincolo di stretta correlazione con l’attività d’impresa poiché ne garantisce la continuità e, al contempo, evita il manifestarsi di un pregiudizio economico che ne avrebbe compresso la posizione all’interno del mercato.

A ciò va aggiunto che la Alfa S.p.A. è una società quotata e, pertanto, era di primario interesse per la stessa rientrare nel possesso dei dati sottratti, al fine di evitare che un uso distorto di questi ultimi potesse arrecare ulteriore nocumento alla propria attività d’impresa.

Sotto il profilo del diritto civile, il pagamento effettuato dalla società istante a titolo di riscatto nei confronti del soggetto estorsore, potrebbe qualificarsi come atto di disposizione affetto da nullità per illiceità della causa in concreto, ai sensi del combinato disposto degli articoli 1343 e 1418, comma 2, del codice civile.

Tuttavia, deve tenersi in considerazione che, secondo un diverso orientamento, il pagamento effettuato dalla società istante a titolo di riscatto nei confronti del soggetto estorsore darebbe luogo a un ”contratto” (non già nullo, bensì) annullabile per violenza, ai sensi degli articoli 1427 e seguenti del codice civile.

In proposito la società istante evidenzia che la più autorevole dottrina civilistica assimila la ”violenza” quale causa di annullamento del contratto di cui all’articolo 1427 del codice civile alla ”minaccia” di cui all’articolo 629 del codice penale che prevede il reato di estorsione.

Ciò stante, manca una specifica norma nel corpo del TUIR che subordini la deducibilità di un costo alla circostanza che lo stesso origini da un contratto valido sotto il profilo civilistico.

Da un punto di vista strettamente normativo, l’inerenza di un costo è dunque ”slegata” dalle vicende civilistiche del negozio sottostante: sulla base del dato letterale delle norme, se ne dedurrebbe dunque che, laddove il costo sia inerente all’attività d’impresa, non possa esserne negata la deducibilità per il fatto che il negozio giuridico sottostante sia affetto da un vizio genetico che possa comportare l’invalidità assoluta (nullità) o relativa (annullabilità) dello stesso.

Il tema dell’invalidità giuridica di un contratto (e dei relativi effetti sotto il profilo fiscale) è stato affrontato a livello giurisprudenziale in relazione a fattispecie di dividend washing e dividend stripping (cfr. Corte di Cassazione, sentenze n. 20398/2005, n. 22932/2005 e 20816/2006).

Nelle citate sentenze, la Suprema Corte aveva ammesso che l’Amministrazione finanziaria potesse disconoscere gli effetti fiscali prodotti da una pluralità di contratti stipulati al mero scopo di arrecare un vantaggio fiscale ai contraenti, dichiarandone la nullità sotto il profilo civilistico.

Tuttavia, tale orientamento giurisprudenziale ­ ampiamento criticato in dottrina e non sempre confermato dalle successive pronunce ­ non ha più motivo di esistere alla luce della nuova disciplina sull’abuso del diritto recata dall’articolo 10­bis della legge n. 212 del 2000.

Sempre in ambito dottrinale, è stato evidenziato che un ulteriore elemento a sostegno del fatto che la nullità di un contratto per causa illecita non possa di per sé comportare l’indeducibilità di un costo è rinvenibile proprio nella disciplina dei costi da reato precedentemente descritta.

Il comma 4­bis dell’articolo 14 della legge n. 537 del 1993 considera, infatti, indeducibili solo i costi sostenuti in relazione a reati dolosi e non anche quelli connessi a reati colposi o a illeciti civili o amministrativi. La disciplina dei costi da reato ammette, dunque, implicitamente che possano assumere rilevanza fiscale anche taluni costi che non trovano la loro fonte in un valido titolo giuridico.

Un’ulteriore conferma a sostegno di quanto sopra affermato si evince dall’indirizzo giurisprudenziale che ha talvolta negato la deducibilità dei costi sostenuti in relazione a contratti di appalto conclusi in violazione del divieto di intermediazione di manodopera previsto dall’abrogata legge n. 1369 del 1960.

In particolare, nella sentenza n. 22020 del 2014, i giudici della Suprema Corte ­ nel negare la deducibilità dei costi sostenuti dall’appaltante nei confronti dell’appaltatore ­ hanno infatti ammesso la deducibilità delle componenti di costo riferibili in concreto alla sola forza lavoro, con onere della prova a carico della società ricorrente. Poiché la società non aveva fornito adeguata documentazione atta a consentire la deducibilità di tali componenti di costo, è stata esclusa la deducibilità degli stessi.

In tal caso, dunque, la deducibilità dei costi sostenuti per l’utilizzo della manodopera non è stata negata in virtù della nullità del contratto sottostante, ma per il fatto che tali costi non erano stati adeguatamente documentati dalla società (difettando, quindi, nel caso di specie, i requisiti di certezza e determinabilità espressamente richiesti dall’articolo 109, comma 1, del TUIR).

Nella successiva sentenza n. 9340 del 2015, invece, l’accertamento dell’Ufficio che ha originato la controversia era stato già ab origine effettuato sulla differenza tra il costo totale sostenuto dall’appaltante e il costo attribuibile alle sole prestazioni degli operai (quest’ultimo ammesso in deduzione dall’Ufficio).

Conseguentemente, l’indeducibilità del costo sostenuto in relazione al contratto di appalto dichiarato nullo è stata circoscritta alla sola eccedenza di quanto pagato dall’appaltante rispetto al costo della manodopera.

Ciò risulta condivisibile, a parere della società istante, alla luce del fatto che ­ concretizzandosi il contratto di appalto in una mera somministrazione di manodopera ­ le uniche prestazioni che sono state effettivamente rese all’appaltante sono quelle relative alla forza­lavoro.

Coerentemente, la deducibilità dei costi connessi ai lavoratori è stata salvaguardata, mentre il surplus di costi pagati dall’appaltante non è stato ammesso in deduzione, in quanto relativo a prestazioni di fatto non rese dall’appaltatore e, dunque, ad operazioni oggettivamente inesistenti.

Sulla scorta delle argomentazioni sin qui sviluppate, la società istante ritiene che l’eventuale nullità del contratto stipulato con l’estorsore non possa inficiare l’inerenza del costo pagato dalla Alfa S.p.A. per il riscatto dei dati.

Tale conclusione risulterebbe ancora più fondata laddove, secondo quanto emerso dall’inquadramento civilistico della fattispecie, il contratto, anziché nullo per causa illecita, fosse da considerare annullabile per violenza.

Infatti, l’annullabilità di un contratto è una forma di invalidità ”relativa” dello stesso, in quanto può essere fatta valere solo dalla parte contraente interessata, e non da soggetti terzi (cfr. articolo 1441, comma 1, del codice civile); peraltro, sino all’esito positivo di un’eventuale azione di annullamento, il contratto produce tutti gli effetti di un contratto valido.

Di conseguenza, in mancanza di un azione di annullamento da parte della società istante, il contratto stipulato con l’estorsore resterebbe valido, senza che soggetti terzi (come, ad esempio, l’Amministrazione finanziaria) possano promuovere un’azione di annullamento del contratto.

Quesito n. 2

La società istante ritiene che il costo sostenuto per il pagamento delle prestazioni effettuate dagli hacker sia deducibile ai fini IRAP, in virtù del principio di stretta derivazione della base imponibile IRAP dalle risultanze di bilancio. Più precisamente, non trovando applicazione nemmeno ai fini del tributo regionale la disciplina dei costi da reato, la rilevanza del componente negativo di conto economico iscritto in bilancio a fronte del pagamento del riscatto deve essere valutata alla luce dell’ordinaria disciplina dell’IRAP contenuta nel decreto legislativo n. 446 del 1997.

Secondo quanto chiarito dall’Agenzia delle Entrate nella circolare n. 39/E del 2009 in tema di inerenza, un componente negativo iscritto in una delle voci di conto economico rilevanti ai fini del calcolo del valore della produzione netta, assume automaticamente rilevanza ai fini IRAP (fatto salvo il caso in cui il costo, seppur iscritto a conto economico, riguardi, in realtà una spesa personale del socio o dell’amministratore).

Alla luce di quanto sopra, la spesa sostenuta dalla Alfa S.p.A. per il riscatto è pertanto deducibile ai fini IRAP, essendo contabilizzata in una delle voci del conto economico rilevanti ai fini del calcolo del valore della produzione netta.

Quesito n. 3

A parere della società istante, l’operazione mediante la quale la Alfa S.p.A. corrisponde al soggetto estorsore la somma a fronte della restituzione dei dati non è un’operazione rilevante ai fini IVA.

In via preliminare, la società istante fa notare che i Bitcoin sono considerati una valuta, seppure virtuale, e come tali sono disciplinati con le regole IVA sul tema.

Il fatto che si tratti di rappresentazione digitale di valore, non emessa da una banca centrale o da un’autorità pubblica, non comporta di per sé delle peculiarità quanto alla rilevanza dell’operazione di cambio ai fini IVA, interessata dall’esenzione di cui all’articolo 10, comma 1, n. 3), del D.P.R. n. 633 del 1972.

Con la sentenza C­264/14, la Corte di Giustizia ha chiarito che ai fini della qualificazione dell’operazione come prestazione di servizi a titolo oneroso è irrilevante che si tratti di una valuta legale.

Dunque, appurato che i Bitcoin sono ”moneta”, nel senso di mezzo di pagamento accettato volontariamente dalle parti, il passaggio successivo consiste nel fatto che la cessione di unità della valuta virtuale versus la valuta tradizionale, che determina un margine di guadagno tra prezzo di vendita e di acquisto, non solo è una prestazione di servizio a titolo oneroso ma, rientrando tra quelle ”relative a divise, banconote e monete con valore liberatorio” di cui all’articolo 135, paragrafo 1, lettera e), della Direttiva 2006/112/CE, è anche esente sul piano IVA.

La questione affrontata a livello unionale è stata poi ripresa in ambito domestico dalla risoluzione n. 72/E del 2016, allineata sotto ogni aspetto alle conclusioni della Corte.

Per quanto concerne, invece, il trattamento ai fini IVA delle somme pagate dalla Alfa S.p.A. nei confronti del soggetto estorsore per la restituzione dei dati sottratti, la società istante ritiene che le stesse siano escluse dal campo di applicazione del tributo per carenza del requisito soggettivo considerato che il soggetto estorsore non può qualificarsi come soggetto passivo IVA per l’attività di estorsione posta in essere nei confronti della Alfa S.p.A.

Del resto, la società istante, nella veste di ”committente” del servizio reso dall’estorsore extra­UE, non può far altro che assumere che l’estorsore operi quale soggetto ”privato”, essendo la stessa impossibilitata ad effettuare accertamenti di qualsiasi tipo in merito allo status di tale soggetto ai fini IVA (non conoscendone nemmeno l’identità).

Sul punto, si potrebbero applicare a specchio le disposizioni del Regolamento 282/2011 in materia di individuazione dello status del destinatario di una prestazione di servizi stabilito in un Paese extra­UE. Nel caso di committente extra­UE, non essendo possibile una verifica della partita IVA del committente extra­UE, l’articolo 18 del Regolamento UE 282/2011 prevede due ”opzioni” per la verifica dello status di operatore economico. In particolare, è possibile:

-­ richiedere al committente un certificato ­ rilasciato dalle autorità fiscali del Paese in cui quest’ultimo è residente ­ che attesti che il soggetto svolge un’attività economica che gli conferisce il diritto ad ottenere il rimborso dell’IVA, a norma della Direttiva 85/560/CEE del 17 novembre 1986, oppure;

-­ in mancanza del suddetto certificato, il committente può dimostrare il proprio status di soggetto economico se dispone di un numero di partita IVA (o di un numero analogo) idoneo ad identificare le imprese nel Paese di stabilimento del destinatario. In ogni caso, è possibile comunque fornire qualsiasi altra prova idonea a verificare lo status di soggetto passivo del committente purché, come affermato dall’Agenzia delle Entrate nella circolare n. 37/E del 2011, sia svolta una ”verifica di ampiezza ragionevole dell’esattezza delle informazioni fornite dal destinatario applicando le normali procedure di sicurezza commerciali, quali quelle relative ai controlli di identità o di pagamento”.

Applicando ”a specchio” tali disposizioni in capo al committente italiano ai fini dell’eventuale obbligo di applicazione dell’IVA in via autonoma risulta evidente che si debba assumere che l’estorsore si qualifichi come un soggetto non passivo IVA stante l’impossibilità di definirne lo status.

Del resto, il carattere illecito dell’operazione in oggetto dovrebbe di per sé giustificare la non applicazione del tributo. Infatti, laddove non è possibile un mercato legale di quel bene o servizio, allora non vi può essere concorrenza e quindi non si pone neppure un problema di neutralità del tributo. Si tratta di operazioni fuori campo IVA.

Parere dell’agenzia delle entrate

Quesito n. 1

Ai sensi dell’articolo 14, comma 4­bis, della legge 24 dicembre 1993, n. 537, così come modificato dall’articolo 8, comma 1, del decreto legge 2 marzo 2012, n. 16, convertito, con modificazioni, dalla legge 26 aprile 2012, n. 44, ”nella determinazione dei redditi di cui all’articolo 6, comma 1, del testo unico delle imposte sui redditi, di cui al decreto del Presidente della Repubblica 22 dicembre 1986, n. 917, non sono ammessi in deduzione i costi e le spese dei beni o delle prestazioni di servizio direttamente utilizzati per il compimento di atti o attività qualificabili come delitto non colposo per il quale il pubblico ministero abbia esercitato l’azione penale o, comunque, qualora il giudice abbia emesso il decreto che dispone il giudizio ai sensi dell’articolo 424 del codice di procedura penale ovvero sentenza di non luogo a procedere ai sensi dell’articolo 425 dello stesso codice fondata sulla sussistenza della causa di estinzione del reato prevista dall’articolo 157 del codice penale (…)”.

Come chiarito nella circolare n. 32/E del 3 agosto 2012, con tale norma, il legislatore ha inibito in modo inequivoco la deducibilità dei componenti negativi di reddito direttamente connessi al compimento delle fattispecie di reato più gravi (delitti non colposi) che abbiano subito un primo vaglio da parte dell’autorità giudiziaria. In particolare, le ipotesi di indeducibilità vengono circoscritte, ai fini delle imposte sui redditi, ai soli costi e spese relativi a beni o prestazioni di servizi direttamente utilizzati per il compimento di atti o attività qualificabili come delitto non colposo per i quali il pubblico ministero abbia esercitato l’azione penale, ovvero il giudice dell’udienza preliminare abbia emesso il decreto che dispone il giudizio o, ancora, sentenza di non luogo a procedere per intervenuta prescrizione del reato.

Con riferimento ai requisiti sostanziali di applicazione della norma, al fine di limitare l’effetto dell’indeducibilità alle fattispecie di reato più gravi, il legislatore ha stabilito, in primo luogo, che siano indeducibili i costi e le spese direttamente utilizzati per la commissione di delitti, con la conseguenza di escludere che l’indeducibilità colpisca, come avveniva sotto il vigore della previgente disciplina, anche i costi direttamente utilizzati per la commissione di reati contravvenzionali.

In relazione all’elemento soggettivo del reato, il comma 4­bis dell’articolo 14 della legge n. 537 del 1993 prevede che, ai fini dell’indeducibilità dei relativi costi, rilevino i soli delitti non colposi, mentre fa salva la deducibilità degli oneri correlati al compimento dei delitti colposi e ciò in ragione della non intenzionalità, in tali ipotesi, della condotta e quindi del difetto di finalizzazione dei costi sostenuti al compimento dei delitti.

L’indeducibilità colpisce i costi di beni e servizi direttamente utilizzati per il compimento della fattispecie criminosa, non essendo all’uopo sufficiente, ai fini del recupero fiscale, che i predetti componenti negativi, in carenza del prescritto requisito del ”diretto utilizzo”, siano semplicemente e genericamente relativi alla fattispecie penalmente rilevante.

Ne consegue che, in attuazione del regime normativo in esame, nei riguardi di un contribuente che eserciti un’attività d’impresa o di lavoro autonomo, sarà necessario, ai fini del giudizio di indeducibilità, aver riguardo ai soli elementi passivi sostenuti dal medesimo in relazione alla fattispecie penalmente rilevante allo stesso imputata, e non già all’intero ammontare degli elementi passivi sostenuti nell’esercizio dell’attività d’impresa o di lavoro autonomo.

L’indeducibilità va più precisamente riferita ai costi di tutti i fattori produttivi che si pongano in un rapporto diretto con il delitto, mentre i costi per l’acquisto di beni o servizi sostenuti nell’esercizio dell’ordinaria attività d’impresa devono considerarsi deducibili se non direttamente utilizzati nell’esercizio dell’attività delittuosa.

Se dunque l’indeducibilità del costo presuppone la ricorrenza di un rapporto diretto tra il bene o servizio acquisito ed il reato, potrà considerarsi indeducibile, ove sussista la predetta relazione, sia il costo direttamente collegato all’attività illecita, in quanto ab origine destinato a porre in essere il reato stesso, sia il costo inizialmente sostenuto per l’acquisizione di fattori produttivi (beni e prestazioni di servizi) funzionali allo svolgimento di un’attività lecita che vengano in un secondo momento impiegati per il compimento di un reato ovvero, ancora, il costo sostenuto per l’acquisizione di beni e servizi diretti al compimento sia di attività lecite che di delitti non colposi.

Quel che rileva, infatti, ai fini della contestazione di indeducibilità del relativo costo, è che il fattore produttivo acquisito sia utilizzato direttamente, ancorché non esclusivamente, per il compimento del reato.

Ciò chiarito, l’indeducibilità, oltre a colpire i costi e le spese relativi ai beni o alle prestazioni di servizi utilizzati direttamente per il compimento del delitto, potrà essere contestata, altresì, con riguardo alla quota dei componenti negativi afferenti all’ordinaria attività d’impresa che abbiano avuto un rapporto di strumentalità con la commissione del reato, seppur sostenuti non esclusivamente per il compimento dello stesso.

Allo stesso modo, sempre se correlati al compimento del delitto, saranno suscettibili di valutazione ai fini del recupero altri componenti negativi quali quelli relativi, ad esempio, a interessi passivi, accantonamenti, sopravvenienze passive, ammortamenti, minusvalenze e così via.

Sotto il profilo procedurale, l’indeducibilità del costo o della spesa può essere contestata se, in relazione al connesso delitto non colposo, il pubblico ministero, valutati gli elementi raccolti durante le indagini preliminari idonei a sostenere l’accusa in giudizio e non ritenendo, per converso, sussistenti i presupposti per una richiesta di archiviazione, abbia esercitato l’azione penale ex articolo 50 del codice di procedura penale, formulando la conseguente ipotesi accusatoria con la richiesta di rinvio a giudizio dell’indagato, che da tale momento assume la qualità di imputato.

Lo stesso effetto, in punto di indeducibilità del costo o della spesa, si verifica, come chiarito nella richiamata circolare n. 32/E del 2012, nei procedimenti speciali previsti dal Libro VI del codice di procedura penale: si tratta delle ipotesi in cui il pubblico ministero formuli richiesta di giudizio immediato (articolo 453 c.p.p.), di decreto penale di condanna (articolo 459 c.p.p.), di applicazione della pena ai sensi dell’articolo 447, comma 1, del codice di procedura penale, di decreto di citazione diretta a giudizio e di giudizio direttissimo (articolo 449 c.p.p.).

In tal modo, il legislatore ha inteso quindi subordinare la possibilità per l’Amministrazione finanziaria di contestare l’indeducibilità di costi e spese al preventivo esercizio dell’azione penale, al fine di garantire che l’attività di controllo fiscale abbia luogo sulla base di presupposti qualificati dal vaglio preventivo degli organi giudiziari.

Oltre che nell’ipotesi in cui il pubblico ministero abbia esercitato l’azione penale, non sono ammessi in deduzione i costi e le spese afferenti al delitto in relazione al quale il giudice abbia comunque emesso il decreto che dispone il giudizio ai sensi dell’articolo 424 del codice di procedura penale ovvero sentenza di non luogo a procedere ai sensi dell’articolo 425 dello stesso codice fondata sulla sussistenza della causa di estinzione del reato prevista dall’articolo 157 del codice penale (prescrizione del reato).

Con riferimento al caso di specie, la società istante fa presente di aver proceduto, in data … … 2020, a seguito di un attacco informatico di tipo ”ransomware”, al pagamento ­ in Bitcoin ­ della somma richiesta dagli hacker, ottenendo la consegna della chiave di decrittazione e la cancellazione e non pubblicazione dei file sottratti.

Più precisamente, come chiarito in sede di documentazione integrativa, la Alfa S.p.A. ha registrato contabilmente un accantonamento a conto economico a fronte del rischio collegato al furto dei dati societari e alla conseguente richiesta di riscatto. Tuttavia, tale accantonamento a fondo rischi diversi è stato motivato in bilancio come ”relativo ad oneri connessi ad un incidente informatico occorso nell’esercizio 2020.

Si tratta di oneri non ricorrenti”. Successivamente, a seguito del pagamento del riscatto in Bitcoin a favore degli hacker, la società istante ha utilizzato il fondo rischi precedentemente stanziato.

Dal parere pro veritate prodotto dalla Alfa S.p.A. emerge che il comportamento tenuto dagli hacker integra gli estremi del reato di estorsione previsto dall’articolo 629 del codice penale secondo cui ”chiunque, mediante violenza o minaccia, costringendo taluno a fare o ad omettere qualche cosa, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da cinque a dieci anni e con la multa da euro 1.000 a euro 4.000”.

Secondo quanto riferito nel predetto parere pro­veritate, il pagamento effettuato dal soggetto passivo del reato (i.e., la società istante), pur costituendo un elemento costitutivo dello stesso, in nessun caso può integrare un fatto punibile per la vittima: si verte, infatti, in un caso di reato a concorso necessario improprio, per cui anche se il comportamento del soggetto passivo è necessario perché si realizzi il fatto descritto nella norma incriminatrice la condotta della vittima non è penalmente rilevante in quanto la stessa è priva di antigiuridicità. La condotta della società istante, sarebbe, pertanto, priva di disvalore penale in quanto determinata dallo stato di soggezione derivante dalla minaccia degli hacker.

La somma di denaro corrisposta dalla vittima all’estorsore rappresenta ­ sul versante penale ­ il provento o profitto del reato, in quanto costituisce il risultato dell’attività criminosa e, come tale, se recuperata, dovrà essere restituita alla vittima. Essa va tenuta distinta dal prezzo del reato (che designa il compenso che viene corrisposto a taluno per la commissione del reato), dal prodotto del reato (che comprende quanto deriva direttamente dall’attività criminosa) e, infine, dai mezzi che furono destinati alla commissione del reato medesimo (fra i quali vengono compresi anche i costi per la realizzazione dello stesso o di attività strumentali).

Tanto premesso, può escludersi, con riferimento alla fattispecie oggetto di interpello, l’applicazione della disciplina dei costi da reato contenuta nell’articolo 14, comma 4­bis, della legge n. 537 del 1993, non risultando integrati i requisiti sostanziali di applicazione della predetta disciplina. Infatti, secondo quanto riferito, la società istante non sembra porre in essere un illecito penalmente rilevante (rectius, un delitto non colposo) e il pagamento del riscatto non può considerarsi direttamente funzionale alla commissione di un reato da parte della Alfa S.p.A..

Inoltre, dalla documentazione prodotta dalla società, non si evince, sotto il profilo procedurale, l’esercizio da parte del pubblico ministero di un’azione penale nei confronti della società istante.

Per quanto concerne l’inerenza del costo sostenuto per il pagamento del riscatto, si osserva che il principio di inerenza dei costi è legato all’attività esercitata dall’impresa, nel senso che si rendono deducibili i costi che si riferiscono ad attività ed operazioni che concorrono a formare il reddito, compresi gli oneri sostenuti in proiezione futura, se connessi ad attività dalle quali possono derivare ricavi in tempi successivi (cfr. circolare ministeriale n. 30/E del 7 luglio 1983, risoluzioni n. 158/E del 28 ottobre 1998 e n. 196/ E del 16 maggio 2008).

Lo stesso principio è stato affermato dalla Corte di Cassazione secondo cui l’inerenza va intesa come ”accostamento concettuale tra due entità (la spesa, o costo, e l’impresa), che determina un’imprescindibile ed indissolubile correlazione fra le entità medesime” e il componente negativo di reddito ”assume rilevanza, ai fini della qualificazione della base imponibile, non tanto per la sua esplicita e diretta correlazione a questa o quella specifica componente del reddito, bensì in virtù della sua correlazione con una attività potenzialmente idonea a produrre utili per l’impresa” (Corte di Cassazione, sentenze n. 1465/2009, n. 24930/2011 e n. 4041/2015).

La giurisprudenza di legittimità ha avuto più volte modo di affermare che ”spetta al contribuente l’onere della prova dell’esistenza, dell’inerenza e, ove contestata dall’Amministrazione finanziaria, della coerenza economica dei costi deducibili. A tal fine non è sufficiente che la spesa sia stata contabilizzata dall’imprenditore, occorrendo anche che esista una documentazione di supporto da cui ricavare, oltre che l’importo, la ragione e la coerenza economica della stessa, risultando legittima, in difetto, la negazione della deducibilità di un costo sproporzionato ai ricavi o all’oggetto dell’impresa” (cfr. Corte di Cassazione, sentenza n. 21184/2014, ordinanza n. 13300/2017, ordinanza n. 17701/2019).

In particolare, la prova dell’inerenza deve investire i fatti costitutivi del costo, ”sicché è onere del contribuente dimostrare (e documentare) l’imponibile maturato e, dunque, l’esistenza e la natura del costo, i relativi fatti giustificativi e la sua concreta destinazione alla produzione, ovvero che esso è in realtà un atto d’impresa perché in correlazione con l’attività imprenditoriale” (cfr. Corte di Cassazione, ordinanza n. 18391/2019, sentenza n. 1290/2020).

Ebbene, nel caso di specie, nonostante le richieste della scrivente, la società istante non ha prodotto un supporto documentale idoneo a dimostrare che l’uscita di denaro relativa all’acquisto dei bitcoin e il successivo trasferimento degli stessi sia strettamente correlato alla remunerazione di un fattore della produzione (le prestazioni che gli hacker si sarebbero impegnati ad eseguire).

Non appare dirimente, in senso contrario, la circostanza che la spesa sia stata contabilizzata dalla società istante sotto forma di fondo rischi diversi, sulla cui correttezza, peraltro, la scrivente non esprime alcuna valutazione in quanto la questione esula dalle prerogative esercitabili in sede di interpello.

In conclusione, si ritiene che il costo sostenuto dalla società istante deve ritenersi indeducibile ai fini IRES.

Quesito n. 2

L’articolo 8, comma 3, ultimo periodo, del decreto legge n. 16 del 2012 prevede che ”resta ferma l’applicabilità delle previsioni di cui al periodo precedente ed ai commi 1 e 2 anche per la determinazione del valore della produzione netta ai fini dell’imposta regionale sulle attività produttive”.

Per quanto qui di interesse, in base alla citata disposizione, resta ferma l’indeducibilità, anche dalla base imponibile dell’IRAP, dei costi e delle spese dei beni o delle prestazioni di servizi direttamente utilizzati per il compimento di atti o attività qualificabili come delitto non colposo per il quale il pubblico ministero abbia esercitato l’azione penale o, comunque, il giudice abbia emesso il decreto che dispone il giudizio ovvero sentenza di non luogo a procedere fondata sulla sussistenza della prescrizione del reato.

Tuttavia, per le ragioni indicate in risposta al quesito n. 1, la disciplina dei costi da reato deve ritenersi inapplicabile al caso di specie.

Fatta questa premessa, si rammenta che, ai sensi dell’articolo 5 del decreto legislativo 15 dicembre 1997, n. 446, ”la base imponibile è determinata dalla differenza tra il valore e i costi della produzione di cui alle lettere A) e B) dell’articolo 2425 del codice civile, con esclusione delle voci di cui ai numeri 9), 10), lettere c) e d), 12) e 13), nonché dei componenti positivi e negativi di natura straordinaria derivanti da trasferimenti di azienda o di rami di azienda, così come risultanti dal conto economico dell’esercizio”.

Considerato che la società istante adotta i principi contabili internazionali, si evidenzia che, in base al successivo comma 2, ”per i soggetti che redigono il bilancio in base ai princìpi contabili internazionali, la base imponibile è determinata assumendo le voci del valore e dei costi della produzione corrispondenti a quelle indicate nel comma 1”.

Ai fini della determinazione della base imponibile IRAP, dunque non è possibile prescindere dalla corretta applicazione dei principi contabili nazionali ed internazionali.

In tema di inerenza dei costi ai fini IRAP, l’Agenzia delle Entrate ha avuto modo di chiarire con la circolare n. 36/E del 16 luglio 2009 che:

­ in linea generale la rilevanza IRAP dei componenti positivi e negativi segue il principio di derivazione dalle voci rilevanti del conto economico, così che la ricorrenza del requisito di inerenza rileva ­ già ai fini civilistici ­ come condizione per imputare a conto economico un determinato componente negativo di reddito;

-­ i componenti negativi correttamente imputati a conto economico in applicazione dei principi civilistici, in altri termini, sono normalmente connotati dal generale requisito di inerenza al valore della produzione IRAP.

Dalle predette affermazioni si ricava che il principio di inerenza che deve essere seguito ai fini dell’applicazione dell’IRAP è quello civilistico, desumibile dalla corretta applicazione dei principi contabili.

Alla stregua di questi principi un costo che non attenga all’attività d’impresa ma alla sfera personale degli amministratori o dei soci non può essere dedotto solo perché civilisticamente è stato imputato al conto economico. In questi casi, evidentemente, l’Amministrazione finanziaria ha il potere di contestare al contribuente l’assenza di inerenza del costo in questione ai fini della determinazione del valore della produzione rilevante ai fini IRAP (circolare n. 39/E del 22 luglio 2009).

Tanto premesso, per le ragioni esposte nella risposta al quesito n. 1, deve ritenersi che l’onere in questione non possa essere dedotto ai fini IRAP, non essendo stata la società istante in grado di dimostrare l’effettivo sostenimento di un costo inerente nell’accezione sopra riportata.

Quesito n. 3

Con riferimento agli aspetti concernenti l’imposta sul valore aggiunto, si osserva quanto segue.

Prescindendo dalle considerazioni di cui al quesito sub n. 1) in ordine alla prova del sostenimento di un onere connesso ad un costo inerente all’attività di impresa, alla luce delle peculiarità del caso descritto assume rilievo, ai fini della qualificazione dell’operazione descritta, la circostanza che l’istante non è in grado di individuare lo status di soggetto passivo dell’estorsore (asserito prestatore di servizio), atteso (secondo quanto rappresentato) che non ne conosce né l’identità (e quindi la soggettività passiva ai fini dell’IVA), né la localizzazione (nazionale, comunitaria o extra­UE), non potendo svolgere alcun tipo di accertamento al riguardo.

Applicando ”a specchio” le disposizioni del Regolamento n. 282 del 2011 (Regolamento di esecuzione della Direttiva n. 2006/112/CE), in materia di individuazione dello status del destinatario di una prestazione di servizi stabilito in un Paese extra­UE, emerge che le procedure di verifica ivi previste riportate dalla parte non sono attuabili in alcun modo nella specifica situazione della Società né, sempre in considerazione della eccezionalità del caso e proseguendo la lettura speculare delle disposizioni in esame, è possibile ritenere che sia esperibile qualsiasi altra ”prova idonea” a verificare lo status di soggetto passivo del prestatore, secondo quanto chiarito, in riferimento alla figura del committente, dalla circolare n. 37 del 2011.

Per tutto quanto precede, l’operazione descritta dall’istante deve ritenersi esclusa dal campo di applicazione dell’IVA per difetto del requisito soggettivo.