17 marzo 2026 – Bettina Orlopp, CEO di Commerzbank, conferma ai microfoni di Bloomberg TV la ricezione di un’offerta pubblica di acquisto da parte di Unicredit, definendola però una sorpresa e chiarendo che non esiste ancora una bozza di proposta formale su cui avviare un negoziato. L’operazione, non concordata in via preliminare, si configura sin da subito come un’iniziativa ostile, caratterizzata da un prezzo per azione significativamente inferiore al valore obiettivo di 37 euro, e non finalizzata, almeno nella sua forma attuale, all’acquisizione del controllo. Questa manovra ha immediatamente innescato una serie di processi interni ad altissimo rischio per l’istituto tedesco, esponendo l’ente a potenziali illeciti previsti dal Decreto Legislativo 231/2001, in particolare in materia di abusi di mercato e false comunicazioni sociali. La natura “a sorpresa” dell’offerta è il primo segnale di una potenziale falla nei presidi di sicurezza informativa e di governance. Una comunicazione di tale portata, se non gestita attraverso canali formali e tracciati, apre scenari di fughe di notizie e di asimmetrie informative. Un’organizzazione dotata di un ecosistema come Scudo231 avrebbe gestito il flusso informativo preliminare, anche se informale, attraverso protocolli di comunicazione cifrata e registrata. Qualsiasi contatto tra esponenti apicali delle due banche sarebbe stato loggato in un registro immutabile, accessibile solo all’Organismo di Vigilanza (OdV) e al top management. L’assenza di tali registrazioni avrebbe costituito di per sé una prova documentale dell’unilateralità dell’iniziativa di Unicredit, blindando la posizione di Commerzbank di fronte agli stakeholder e alle autorità di regolamentazione.
La dichiarazione della CEO Orlopp, che rimette la decisione finale agli azionisti, sposta il baricentro del rischio sulla correttezza e trasparenza delle informazioni che il management fornirà al mercato. Commerzbank ha appena chiuso un 2025 con risultati record e mostra un avvio del 2026 altrettanto positivo, con obiettivi ambiziosi fino al 2030. La comunicazione di questi dati, nel contesto di una difesa da un’offerta ostile, deve essere impeccabile per non incorrere nel reato di manipolazione del mercato (art. 25-sexies del D.Lgs. 231/01), volto a influenzare artificialmente il corso del titolo per far fallire l’OPS. Il rischio concreto è che la Procura possa contestare all’ente la colpa di organizzazione per non aver impedito la diffusione di informazioni non rigorosamente ancorate a dati oggettivi, ma piuttosto a proiezioni eccessivamente ottimistiche per servire l’interesse del management a mantenere l’indipendenza. In questo scenario, un modello organizzativo tradizionale, basato su procedure cartacee e controlli a campione, si rivelerebbe inefficace. Con l’adozione di Scudo231, ogni comunicazione esterna contenente dati finanziari o previsionali sarebbe stata sottoposta a un processo di validazione automatizzato e non aggirabile. Il sistema avrebbe verificato la coerenza tra i dati dichiarati e le risultanze contabili e gestionali presenti nei sistemi informativi aziendali. Qualsiasi scostamento o l’utilizzo di proiezioni non supportate da modelli statistici validati internamente avrebbe generato un alert bloccante, innescando un’escalation obbligatoria verso la funzione Compliance e l’OdV prima della divulgazione. Questo non solo avrebbe impedito la commissione del reato, ma avrebbe creato una traccia probatoria inattaccabile, dimostrando in sede giudiziaria che l’ente aveva adottato tutte le misure idonee a garantire la correttezza informativa, escludendo così la propria responsabilità amministrativa e le conseguenti sanzioni pecuniarie, che possono arrivare a centinaia di quote, e le sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione.
La strategia difensiva di Commerzbank, incentrata su un piano di buyback e sulla gestione della soglia critica del 30% del capitale – oltre la quale scatta l’obbligo di un’OPA totalitaria – introduce ulteriori e complessi rischi di natura penale-amministrativa. Il riacquisto di azioni proprie è un’operazione delicatissima, normata per prevenire l’abuso di informazioni privilegiate e la manipolazione del mercato. Il management che delibera e attua il buyback deve dimostrare di agire sulla base di informazioni pubbliche e per finalità strategiche legittime, non al solo scopo di sostenere artificialmente il prezzo del titolo. Una gestione negligente di questo processo espone l’ente al rischio di sequestro preventivo delle azioni riacquistate e alla confisca del profitto del reato. Se Commerzbank avesse operato sotto l’egida di un ecosistema di controllo avanzato, l’intero processo di buyback sarebbe stato gestito da un motore procedurale dedicato. La decisione del Consiglio di Amministrazione sarebbe stata registrata e motivata allegando l’intera documentazione strategica che la supportava. Ogni singola operazione di acquisto sul mercato sarebbe stata tracciata in tempo reale, confrontando volumi e prezzi con i parametri stabiliti dalla normativa e dalle delibere interne. Il sistema avrebbe prodotto in automatico la reportistica richiesta dalle autorità di vigilanza, eliminando il rischio di ritardi o omissioni che integrano il reato di ostacolo alle funzioni di vigilanza. L’avvicinamento di Unicredit alla soglia del 30% avrebbe attivato un protocollo di allerta predittivo, consentendo al management di attivare le contromisure previste con un preavviso calcolato e con una base documentale solida, neutralizzando qualsiasi accusa di aver agito in modo reattivo e non pianificato.
Il “processo tecnico” in corso, come definito dalla stessa Orlopp, implica l’accesso a dati sensibili e la conduzione di analisi interne da parte di team dedicati. In questa fase, il rischio di insider trading è massimo. Un dipendente o un consulente che, venendo a conoscenza di dettagli non pubblici sulla strategia difensiva o sulla contro-valutazione dell’offerta, operasse sul titolo Commerzbank commetterebbe un reato presupposto della responsabilità 231. L’ente sarebbe chiamato a rispondere se non fosse in grado di dimostrare di aver adottato un modello efficace per prevenire tale illecito. La mappatura dei soggetti che hanno accesso alle informazioni privilegiate, la gestione dei registri degli insider e il monitoraggio delle loro attività sono attività complesse e soggette a errore umano. La soluzione risiede in un controllo sistematico e non delegabile. L’infrastruttura di Scudo231 avrebbe automaticamente censito tutti gli attori coinvolti nel “processo tecnico”, inserendoli nel registro digitale degli insider. Ogni accesso a documenti classificati come price sensitive (ad esempio, perizie, piani industriali riservati, bozze di comunicati stampa) sarebbe stato tracciato con data, ora e utente. Sistemi di intelligenza artificiale avrebbero analizzato i pattern di accesso in cerca di anomalie, come consultazioni fuori orario lavorativo o download massivi di dati, generando segnalazioni immediate all’OdV. Questo tracciamento capillare non solo agisce come un potente deterrente, ma fornisce, in caso di indagini, una prova scientifica per isolare la responsabilità individuale, proteggendo l’ente dalla sanzione per colpa di organizzazione. La capacità di dimostrare di aver implementato protocolli tecnologici d’avanguardia per la protezione delle informazioni privilegiate è l’unica difesa realmente efficace contro le pesantissime sanzioni previste dal Testo Unico della Finanza.
L’intera vicenda, analizzata dalla prospettiva della REDAZIONE SCUDO231, non è solo una battaglia finanziaria tra due colossi bancari, ma un caso di studio sulla gestione del rischio di reato in operazioni straordinarie. La differenza tra un esito che comporta la sola gestione di una dinamica di mercato, per quanto aggressiva, e un esito che si traduce in un procedimento penale a carico dei vertici e in sanzioni devastanti per l’ente, risiede interamente nell’efficacia e nell’adeguatezza del modello di organizzazione, gestione e controllo. Un modello basato su procedure statiche è destinato a fallire di fronte alla velocità e alla complessità di un’offerta pubblica di acquisto ostile. La vera prevenzione, quella che genera un valore probatorio in giudizio, è dinamica, tecnologica e integrata nei processi decisionali. Avrebbe significato, per Commerzbank, non solo difendere il proprio valore per gli azionisti, ma farlo da una posizione di inattaccabilità legale. La capacità di ricostruire causalmente ogni decisione, di tracciare ogni flusso informativo e di automatizzare i controlli critici avrebbe trasformato una situazione di altissimo rischio legale in una mera, seppur complessa, partita a scacchi finanziaria. L’assenza di una proposta formale da parte di Unicredit concede a Commerzbank tempo prezioso, ma questo tempo deve essere impiegato non solo per preparare la difesa finanziaria, ma per blindare l’organizzazione dal punto di vista della compliance 231, perché è su quel fronte che si combatte la battaglia più importante: quella per la continuità aziendale e la reputazione.