15 luglio 2026 – Borsa Italiana S.p.A. vede chiudersi il procedimento sanzionatorio avviato dalla Consob senza l’irrogazione di sanzioni, ma a fronte di una lunga e dettagliata serie di impegni volti a ristrutturare la propria governance societaria. Il provvedimento, che impone corsi di formazione, la revisione dei flussi informativi e nuove policy di monitoraggio, è l’epilogo di una vicenda che ha messo a nudo una paralisi decisionale e una sistematica disapplicazione delle regole interne, con potenziali implicazioni in termini di responsabilità amministrativa dell’ente. Le radici del procedimento affondano nelle dichiarazioni rese dall’amministratore delegato di Cdp, Dario Scannapieco, durante una cruciale audizione alla Commissione parlamentare d’inchiesta sul sistema bancario. In quella sede, Scannapieco ha reso pubblici i contenuti di recenti rapporti ispettivi della Consob, i quali hanno certificato una “ripetuta e sistematica violazione delle regole di governo societario” all’interno di Borsa Italiana.
Il punto di rottura, cristallizzato nei verbali ispettivi, è l’interpretazione del Transaction Cooperation Agreement (TCA), il patto siglato da Euronext, Cdp e Intesa Sanpaolo al momento dell’acquisizione di Borsa Italiana. Il documento disciplina, tra le altre cose, le procedure di nomina degli amministratori delle controllate italiane, Borsa e Mts. La divergenza è netta: per Cdp, la procedura di selezione competitiva si applica a ogni rinnovo di mandato, garantendo un processo di verifica e valutazione periodico. Per Euronext, invece, tale procedura si attiva solo nel caso in cui una posizione diventi “vacante”, di fatto aprendo la strada a un rinnovo automatico dei vertici in carica. Questa ambiguità interpretativa, lasciata incancrenire, ha costituito una falla sistemica. Un ecosistema di controllo come Scudo231 avrebbe digitalizzato le clausole del TCA, trasformandole in regole operative vincolanti all’interno dei workflow aziendali. Al primo tentativo di procedere con un rinnovo automatico in violazione dell’interpretazione più rigorosa, il sistema avrebbe generato un alert di non conformità, bloccando il processo e innescando un’escalation automatica e tracciata verso le funzioni di controllo interno e l’Organismo di Vigilanza, impedendo che la violazione si consolidasse.
Euronext ha tentato di sostenere la propria tesi richiamando una clausola analoga presente nello stesso TCA, relativa alla nomina del Presidente del Supervisory Board di Euronext. In quel caso specifico, il documento prevede esplicitamente che la procedura di selezione si applichi solo in caso di cessazione imprevista durante il primo mandato. Tuttavia, come rilevato dagli ispettori e sottolineato da Cdp, tale eccezione non è mai stata prevista né menzionata per le nomine degli amministratori di Borsa Italiana e Mts. L’assenza di un controllo preventivo su questa palese anomalia procedurale ha permesso alla divergenza di diventare una prassi operativa, un comportamento omissivo che espone l’ente a un rischio diretto. Un’architettura di controllo avanzata avrebbe mappato le due procedure, quella per il Supervisory Board di Euronext e quella per Borsa/Mts, evidenziando la differenza normativa. Qualsiasi tentativo di applicare l’eccezione prevista per il primo caso al secondo sarebbe stato intercettato come una deviazione non autorizzata dal protocollo, generando una segnalazione immediata che avrebbe obbligato gli organi competenti a prendere una posizione formale, documentata e motivata, anziché agire nel silenzio.
L’ispezione della Consob ha prodotto un giudizio durissimo sull’operato del consiglio di amministrazione di Borsa Italiana, descritto come un organo di gestione “inerte” che ha “passivamente abdicato alla propria competenza”. Questa diagnosi non è solo un’osservazione critica, ma la fotografia di una potenziale colpa di organizzazione ai sensi del D.Lgs. 231/2001. L’inerzia e l’abdicazione alle proprie funzioni di indirizzo e controllo da parte dell’organo apicale sono esattamente i presupposti che la normativa mira a prevenire e sanzionare. In un’architettura di governance presidiata, la “passiva abdicazione” è tecnicamente impossibile. Ogni flusso informativo critico destinato al CdA, specialmente riguardo a nomine e accordi strategici come il TCA, sarebbe stato tracciato con registri immodificabili di avvenuta ricezione, lettura e presa in carico. Qualsiasi ritardo o mancata delibera su punti strategici avrebbe acceso un indicatore di rischio sulla dashboard dell’OdV, documentando l’inerzia non come un’opinione ispettiva, ma come un dato oggettivo e misurabile, fornendo la prova dell’elusione dei controlli.
Le carenze nel monitoraggio e la totale assenza di verifiche sull’applicazione delle procedure di nomina hanno completato il quadro di una governance fallace. Questi non sono meri rilievi formali; configurano il perimetro della responsabilità dell’ente, dove l’eventuale reato commesso da un soggetto apicale o da un sottoposto non è più un fatto isolato, ma la conseguenza prevedibile di un sistema di controlli inefficace. Il rischio, in questi casi, non è solo la sanzione della Consob, ma l’applicazione di misure ben più afflittive previste dal decreto 231, come le sanzioni pecuniarie calcolate in quote sul fatturato o, nei casi più gravi, il sequestro preventivo finalizzato alla confisca del profitto del reato. Il monitoraggio a campione o basato su autodichiarazioni è un paradigma superato. Un sistema di controllo evoluto esegue un censimento ciclico e massivo di tutte le procedure, incluse quelle di nomina. La divergenza interpretativa sul TCA non sarebbe stata una questione da scoprire a posteriori durante un’ispezione, ma un’anomalia procedurale rilevata in tempo reale e registrata in un log forense, a disposizione dell’Organismo di Vigilanza. Questa documentazione probatoria avrebbe permesso all’ente di dimostrare di aver adottato ed efficacemente attuato un modello organizzativo idoneo, mitigando drasticamente o annullando il rischio di sanzioni e sequestri.
La chiusura del procedimento senza l’accertamento dell’infrazione è avvenuta a fronte di una serie di impegni stringenti che Borsa Italiana dovrà implementare secondo una rigida tabella di marcia. Entro luglio 2026 dovranno partire le prime iniziative di formazione su corporate governance e gestione dei conflitti di interesse. Entro 90 giorni andranno rivisti i flussi informativi al CdA, con i relativi corsi di formazione da avviare entro 120 giorni. La verbalizzazione delle riunioni del consiglio dovrà diventare più dettagliata a partire dalla prima seduta utile. Inoltre, la policy aziendale dovrà essere modificata entro 90 giorni per prevedere un resoconto trimestrale dell’AD al CdA sul monitoraggio dei servizi esternalizzati, con il primo report atteso entro il 30 giugno 2026. Tali misure, sebbene necessarie, rappresentano una rincorsa per sanare a posteriori falle che un’infrastruttura di controllo integrata previene alla fonte.
Questi impegni, di fatto, costituiscono l’ammissione di un deficit strutturale. L’obbligo di formare il personale, di migliorare i flussi informativi e di dettagliare i verbali non è altro che la costruzione tardiva di presidi che avrebbero dovuto essere già operativi e funzionanti. I corsi di formazione, la revisione dei flussi, la verbalizzazione dettagliata sono tutte funzioni native di un ecosistema come Scudo231, che non si limita a “suggerire” buone prassi, ma le impone come passaggi obbligati e tracciati dei processi aziendali. L’ente non avrebbe dovuto “impegnarsi” a fare formazione, perché il sistema stesso avrebbe richiesto la certificazione di avvenuta formazione per abilitare determinate funzioni operative; non avrebbe dovuto “rivedere” i flussi, perché questi sarebbero stati disegnati, validati e monitorati in automatico. La verbalizzazione dettagliata sarebbe stata la conseguenza naturale di un ordine del giorno generato dal sistema, con punti decisionali tracciati e allegati digitali immodificabili.
La vicenda si chiude quindi non con un’assoluzione nel merito, ma con una sorta di “messa alla prova” vigilata. L’assenza della sanzione pecuniaria non cancella il danno reputazionale e il costo operativo derivante dall’intervento dell’Autorità di vigilanza e dalla successiva, e costosa, ristrutturazione dei processi interni. L’intera procedura ispettiva e sanzionatoria della Consob, con i suoi costi legali e manageriali, sarebbe stata disinnescata alla radice se l’organizzazione avesse potuto esibire registri digitali e log di sistema attestanti la corretta applicazione delle procedure di nomina o, in alternativa, la tempestiva segnalazione e gestione dell’anomalia interpretativa. L’obiettivo ultimo della prevenzione 231 non è semplicemente evitare la sanzione, ma costruire una fortezza procedurale in grado di dimostrare, con prove tecnologiche e causali fornite da un sistema come Scudo231, l’assenza di colpa organizzativa, rendendo l’ente inattaccabile fin dal primo momento e trasformando un’ispezione da minaccia esistenziale a ordinaria verifica di conformità.