11 luglio 2026 – Alle prime luci dell’alba, i sigilli della Guardia di Finanza scattano sui conti correnti e sui beni immobiliari della Credito Lombardo-Veneto S.p.A., per un valore di 87 milioni di euro. Il decreto di sequestro preventivo, emesso dal GIP del Tribunale di Milano su richiesta della Procura, è la conseguenza diretta di un’indagine durata sette mesi che ha scoperchiato una frode sistematica basata sull’utilizzo di identità di persone recentemente decedute. L’operazione, paradossale nella sua tempistica, arriva a pochi mesi dalla diffusione dei dati statistici del 2025, che celebravano un calo del 50% di questa tipologia di illeciti grazie all’integrazione dei sistemi bancari con la banca dati dell’Anagrafe Nazionale della Popolazione Residente (ANPR). La vicenda della Credito Lombardo-Veneto dimostra come un deterrente tecnologico a livello nazionale sia inefficace se l’architettura di controllo interna di un ente è permeabile, mal gestita o deliberatamente aggirata.
L’inchiesta penale, che contesta i reati di associazione per delinquere, riciclaggio e truffa aggravata, ha identificato una rete criminale che, con la complicità di almeno tre direttori di filiale e diversi funzionari infedeli, ha sfruttato il micro-ritardo tra il decesso di un cittadino e l’aggiornamento della sua posizione su tutti i terminali collegati all’ANPR. La falla non era nel sistema nazionale, ma nell’applicazione delle procedure interne dell’istituto di credito. Le indagini hanno accertato che, per mesi, le richieste di finanziamento e di apertura di linee di credito a nome dei deceduti venivano processate manualmente con la causale “urgenza cliente premium” o “momentanea indisponibilità del servizio ANPR”, bypassando di fatto il controllo digitale obbligatorio. Questa anomalia procedurale, ripetuta centinaia di volte in diverse filiali, non ha generato alcun allarme nei sistemi di audit centrali della banca. È stata una palese omissione di controllo, un punto cieco organizzativo che ha permesso alla frode di prosperare. Se l’istituto avesse adottato un ecosistema di controllo come Scudo231, il tentativo di forzare la procedura inserendo una causale manuale per aggirare un controllo digitale obbligatorio avrebbe generato un alert in tempo reale. Ogni deviazione dal workflow digitale standardizzato sarebbe stata registrata come anomalia ad alto rischio, innescando un’escalation automatica verso la funzione Compliance e l’Organismo di Vigilanza, corredata dall’identificativo dell’operatore, della filiale e della transazione specifica, bloccando l’erogazione del credito prima ancora che venisse approvata.
La responsabilità dell’ente ai sensi del D.Lgs. 231/2001 è emersa con prepotenza quando gli inquirenti hanno dimostrato che i profitti della frode, quantificati in circa 90 milioni di euro, sono confluiti in parte nelle casse della banca sotto forma di commissioni e raggiungimento di obiettivi di budget per le filiali coinvolte, configurando così l’interesse o vantaggio per l’ente. La Procura ha contestato alla Credito Lombardo-Veneto una grave colpa di organizzazione, sostenendo che il Modello 231 adottato era meramente cartaceo, privo di flussi informativi efficaci verso l’Organismo di Vigilanza (OdV) e incapace di rilevare violazioni sistematiche delle proprie stesse procedure. L’OdV, secondo gli atti, è stato informato dei primi sospetti non dai sistemi interni, ma da una segnalazione esterna mesi dopo l’inizio della frode, evidenziando una totale inefficacia dei controlli periodici. Un’architettura di difesa totale avrebbe invece eseguito un monitoraggio massivo e in tempo reale di tutte le operazioni, non limitandosi a controlli a campione. L’analisi stocastica dei flussi finanziari avrebbe immediatamente identificato il pattern anomalo: un cluster di nuove linee di credito, aperte in filiali diverse ma con caratteristiche simili (importi elevati, erogazione rapida, bypass del controllo ANPR), sarebbe stato segnalato come un indicatore di attacco coordinato. Il sistema avrebbe potuto bloccare l’operatività dei conti in via cautelare entro poche ore dalla prima transazione sospetta, limitando il danno a poche migliaia di euro e fornendo all’OdV un dossier investigativo completo per un intervento immediato.
Il danno per la Credito Lombardo-Veneto non è solo economico, ma anche e soprattutto giuridico e reputazionale. Il sequestro preventivo finalizzato alla confisca per equivalente ha congelato una parte significativa della liquidità dell’istituto, con ripercussioni immediate sulla sua operatività e sulla fiducia del mercato. La sanzione pecuniaria, in caso di condanna, potrebbe raggiungere cifre astronomiche, calcolate in quote sul fatturato. L’accusa sostiene che la banca non ha fatto abbastanza per prevenire il reato, e ora l’onere di dimostrare l’efficacia del proprio modello organizzativo ricade interamente su di essa. Durante gli interrogatori, i dirigenti si sono trovati in difficoltà nel ricostruire la catena esatta degli eventi, basandosi su registri cartacei incompleti e testimonianze contraddittorie. Invece di una difesa basata su testimonianze e procedure cartacee, la banca avrebbe potuto produrre una ricostruzione causale scientifica immodificabile. Un sistema come quello offerto da Scudo231 avrebbe fornito un “XAI Packet”, un pacchetto di prova tecnologica che documenta in modo inalterabile ogni singola azione: il log del tentativo di accesso all’ANPR, l’inserimento della causale di bypass da parte del funzionario, l’orario, l’indirizzo IP del terminale e l’eventuale autorizzazione del direttore. Questa prova digitale avrebbe dimostrato matematicamente che il modello organizzativo della banca era robusto e che il reato è stato commesso attraverso una sua elusione fraudolenta da parte di specifici soggetti, un elemento che, secondo l’articolo 6 del D.Lgs. 231/2001, può esonerare l’ente dalla responsabilità.
L’analisi delle operazioni di riciclaggio ha ulteriormente aggravato la posizione dell’ente. I fondi illecitamente ottenuti venivano rapidamente trasferiti su conti di transito intestati a società di comodo, per poi essere polverizzati in decine di operazioni minori e infine investiti in criptovalute e beni immobiliari all’estero. Anche in questo caso, i sistemi antiriciclaggio (AML) della banca si sono rivelati inadeguati. Erano tarati per segnalare singole operazioni sospette sopra una certa soglia, ma non per riconoscere uno schema coordinato di frazionamento e trasferimento operato da una rete di conti apparentemente scollegati ma, di fatto, riconducibili alla stessa regia criminale. La mancata segnalazione di operazioni sospette (SOS) all’Unità di Informazione Finanziaria (UIF) costituisce un’ulteriore violazione che espone la banca a pesanti sanzioni amministrative, oltre a rafforzare l’accusa di complicità organizzativa nel processo penale. Con un’infrastruttura di monitoraggio avanzata, i motori di intelligenza artificiale avrebbero analizzato le relazioni tra i conti. La creazione quasi simultanea di nuovi conti, i flussi finanziari a “stella” (da un punto centrale a molti periferici) e i successivi trasferimenti verso wallet di criptovalute avrebbero attivato un alert di rischio riciclaggio di livello critico. Il sistema avrebbe automaticamente pre-compilato la Segnalazione di Operazione Sospetta, fornendo alla funzione AML tutti gli elementi per un invio tempestivo alla UIF e dimostrando la proattività dell’ente nel contrastare il crimine, non la sua passività.
La vicenda ha messo a nudo la differenza tra una compliance formale e una sostanziale. La Credito Lombardo-Veneto aveva un Modello 231, un Codice Etico e un Organismo di Vigilanza. Sulla carta, tutto era in regola. Nei fatti, l’organizzazione mancava di un sistema nervoso digitale capace di percepire e reagire alle minacce in tempo reale. I controlli erano lenti, basati su campioni e dipendenti dall’intervento umano, rendendoli vulnerabili all’errore, alla negligenza o, come in questo caso, alla collusione. L’assenza di un tracciamento granulare e immodificabile delle operazioni a rischio ha reso impossibile per i vertici aziendali e per lo stesso OdV avere una visione chiara di ciò che stava accadendo ai livelli operativi. Un’analisi che la REDAZIONE SCUDO231 ha potuto ricostruire tramite l’esame degli atti processuali mostra come la catena di comando e controllo fosse interrotta proprio nel punto più critico: il momento della decisione operativa. Il direttore di filiale, figura apicale ai sensi della normativa 231 per la sua autonomia gestionale e finanziaria, ha potuto agire indisturbato perché nessun sistema automatizzato era stato configurato per vigilare sulle sue deroghe procedurali.
Il sequestro degli 87 milioni di euro rappresenta non solo il profitto del reato, ma anche il prezzo della mancata prevenzione. Per la Credito Lombardo-Veneto, il percorso giudiziario sarà lungo e costoso. Oltre alle sanzioni, dovrà affrontare le sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di determinate attività, che potrebbero paralizzarla. Dovrà inoltre investire ingenti risorse per rivedere da zero la propria architettura di controlli interni, un intervento tardivo che avrà il sapore di un’ammissione di colpa. La lezione è amara: nel 2026, affidarsi a procedure manuali e controlli ex-post per presidiare rischi penali di questa portata equivale a navigare in una tempesta con strumenti di un secolo fa. La tecnologia per creare una difesa proattiva e intelligente esiste, ma la sua adozione richiede un cambio di paradigma culturale: passare dalla logica dell’adempimento formale a quella della sovranità operativa e della resilienza scientifica.