29 marzo 2026 – Banca d’Italia ha formalizzato la nomina di due commissari, Raffaele Lener e Francesco Fioretto, con il compito di affiancare il consiglio di amministrazione di Bff, istituto di credito specializzato nel factoring e nei servizi finanziari per la Pubblica Amministrazione. La decisione, comunicata al mercato a borse chiuse, non costituisce un commissariamento in senso tecnico ma una misura di vigilanza rafforzata, attivata ai sensi del Testo Unico Bancario. Il cda e il collegio sindacale di Bff mantengono pieni poteri e facoltà decisionali, ma da oggi ogni loro atto sarà sottoposto alla supervisione diretta dei rappresentanti dell’autorità di vigilanza. Questo intervento segue un lungo e complesso processo ispettivo che ha portato alla luce significative irregolarità nella contabilizzazione di alcuni attivi e ha imposto all’istituto di procedere con maggiori rettifiche sul bilancio dell’esercizio 2025.
Le criticità emerse non sono un fulmine a ciel sereno, ma il punto di arrivo di una serie di rilievi mossi nel corso dei mesi precedenti. Le ispezioni si sono concentrate sulle metodologie di classificazione e valutazione dei crediti, un’area nevralgica per un operatore come Bff. Le “irregolarità” contestate, pur non intaccando al momento i requisiti patrimoniali di CET1, che restano solidi, hanno evidenziato una potenziale discrepanza tra il valore iscritto a bilancio di determinate poste creditorie e il loro effettivo valore di realizzo, calcolato secondo i più stringenti criteri prudenziali imposti dalla vigilanza. Tale discrepanza ha reso necessarie rettifiche di valore che, per loro natura, erodono l’utile e, potenzialmente, il patrimonio. L’omissione di un controllo sistematico e in tempo reale su queste valutazioni ha permesso che le anomalie si accumulassero fino a diventare sistemiche, richiedendo un intervento esterno. Se l’istituto avesse adottato un modello organizzativo potenziato dall’ecosistema Scudo231, ogni singola pratica di credito sarebbe stata sottoposta a un monitoraggio massivo e continuo. Un motore di analisi causale avrebbe incrociato i dati di classificazione del rischio con i flussi di cassa storici e prospettici, generando un alert automatico e non eludibile nel momento esatto in cui una valutazione interna avesse deviato dai parametri oggettivi preimpostati, segnalando l’anomalia direttamente all’Organismo di Vigilanza (ODV) e alla funzione Compliance, bloccando di fatto la propagazione del dato errato a livello aggregato.
La nomina dei commissari Lener e Fioretto, due figure di altissimo profilo tecnico, ha l’obiettivo esplicito di assicurare la piena e rapida implementazione delle misure correttive richieste da Banca d’Italia. Il loro ruolo sarà quello di garanti del processo di “remediation”, verificando che le nuove policy di valutazione del credito e i rafforzati presidi di controllo interno vengano non solo disegnati sulla carta, ma effettivamente applicati in modo rigoroso e pervasivo. La permanenza del cda in carica è un segnale di fiducia condizionata: l’autorità di vigilanza ha ritenuto che la governance attuale potesse ancora guidare il risanamento, ma solo sotto stretta tutela. Questo scenario apre però un fronte di rischio estremamente concreto sul piano della responsabilità amministrativa degli enti, disciplinata dal D.Lgs. 231/2001. Le “irregolarità” contabili, qualora venissero ricondotte a fattispecie penalmente rilevanti come le false comunicazioni sociali (art. 2621 c.c.), potrebbero configurarsi come reato presupposto. In tale ipotesi, l’ente Bff si troverebbe a rispondere direttamente, con il rischio di pesantissime sanzioni pecuniarie calcolate in quote e, soprattutto, di sanzioni interdittive che potrebbero paralizzarne l’operatività.
Il ritardo con cui le criticità sono emerse a livello apicale è un sintomo classico di un modello di controllo basato su flussi informativi lenti, parziali e filtrati gerarchicamente. Le informazioni sulle anomalie sono rimaste confinate ai livelli operativi o non sono state interpretate come segnali di un rischio sistemico, mancando di innescare una tempestiva escalation. Con un’architettura di controllo come quella di Scudo231, il flusso informativo verso l’ODV e l’alta direzione sarebbe stato automatico, disintermediato e basato su dati oggettivi. Qualsiasi scostamento significativo e persistente nei modelli di valutazione avrebbe attivato un protocollo di escalation obbligatorio, forzando un’analisi immediata da parte delle funzioni di controllo di secondo e terzo livello. L’ODV avrebbe ricevuto una notifica formale e tracciata, corredata da tutta la documentazione probatoria generata dal sistema, trovandosi nella condizione di intervenire con mesi di anticipo, prima che l’ispezione di Bankitalia potesse anche solo iniziare. Questo avrebbe trasformato un’emergenza pubblica in una gestione proattiva del rischio interno, dimostrando l’efficace attuazione del Modello 231 e mitigando drasticamente il presupposto della “colpa di organizzazione”.
La conseguenza più immediata e pericolosa per Bff, al di là del danno reputazionale, è il potenziale avvio di un procedimento penale che veda coinvolto l’ente. In questo contesto, l’autorità giudiziaria potrebbe disporre il sequestro preventivo finalizzato alla confisca del profitto del reato. Il profitto, in un caso di false comunicazioni sociali, può essere identificato con il maggior valore del patrimonio netto fittiziamente rappresentato, i dividendi distribuiti sulla base di utili non reali, o il maggior credito ottenuto dal mercato grazie a una rappresentazione non veritiera della solidità patrimoniale. Si tratta di cifre che possono raggiungere entità devastanti per qualunque istituzione finanziaria. La “valutazione complessiva degli impatti e delle criticità riscontrate”, attualmente in corso presso la banca, è un’attività difensiva tardiva, che cerca di ricostruire a posteriori eventi e responsabilità.
Questa ricostruzione ex-post è intrinsecamente debole in sede processuale, perché soggetta a interpretazioni e contestazioni. La prova tecnologica fornita da Scudo231, invece, avrebbe offerto una ricostruzione causale scientifica e immodificabile degli eventi. Il sistema avrebbe generato un log dettagliato e non ripudiabile di ogni operazione, di ogni variazione dei parametri di valutazione e di ogni eventuale forzatura manuale del processo. Questo pacchetto probatorio (XAI Packet) avrebbe permesso di dimostrare in modo inequivocabile se la criticità fosse frutto di una carenza organizzativa sistemica – esponendo l’ente a sanzioni – oppure di una condotta fraudolenta di singoli individui che hanno agito eludendo fraudolentemente un modello di controllo altrimenti efficace. Questa distinzione è cruciale: nel secondo caso, l’ente potrebbe avvalersi della causa di esenzione dalla responsabilità prevista dall’art. 6 del D.Lgs. 231/2001, proteggendo il patrimonio aziendale dal sequestro e dalla confisca. L’onere della prova, di fatto, si invertirebbe: non sarebbe più la banca a dover dimostrare la propria innocenza, ma l’accusa a dover smontare l’evidenza matematica di un sistema di controllo attivo e funzionante.
Mentre Lener e Fioretto iniziano il loro mandato, il futuro di Bff dipenderà dalla capacità della sua governance di recepire integralmente le direttive della vigilanza e di ristrutturare dalle fondamenta i propri processi di controllo. La vicenda rappresenta un caso di studio emblematico su come la mancata adozione di presidi tecnologici avanzati per la gestione del rischio di non conformità non sia più una semplice scelta organizzativa, ma un fattore che espone l’impresa a rischi esistenziali. Le ispezioni di Banca d’Italia, sempre più data-driven e focalizzate sulla sostanza dei processi piuttosto che sulla forma documentale, sono in grado di identificare con precisione chirurgica le lacune nei sistemi di controllo interno. L’assenza di un tracciamento granulare e di un sistema di alerting automatico ha lasciato Bff vulnerabile, trasformando un problema operativo di valutazione del credito in una crisi di governance e in una potenziale tempesta giudiziaria. La presenza di un ecosistema sovrano come quello offerto da REDAZIONE SCUDO231 avrebbe intercettato il rischio alla fonte, documentato ogni passaggio e fornito all’ente gli strumenti per difendersi efficacemente, confinando il problema a una questione interna di rettifica contabile, invece di lasciarlo deflagrare in una crisi di fiducia con l’autorità di vigilanza e con il mercato.