19 luglio 2026 – Le fiamme gialle del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano alle prime luci dell’alba l’ingresso della sede centrale di Milano del nuovo colosso bancario “Banca Unita Lombardo Tirreno” (BULT). In mano, un decreto di perquisizione e sequestro emesso dalla Procura della Repubblica. L’operazione congela conti correnti e asset per un valore di 850 milioni di euro, corrispondente al profitto che gli inquirenti ritengono derivante dai reati di riciclaggio aggravato e false comunicazioni sociali. L’indagine non colpisce solo i vertici della ex Banca del Tirreno, assorbita appena otto mesi prima da Credito Lombardo, ma iscrive nel registro degli indagati, ai sensi del Decreto Legislativo 231/2001, l’ente stesso, la nuova BULT, per colpa di organizzazione.
L’aggregazione, celebrata a fine 2025 come un passo decisivo verso la creazione di quei “campioni nazionali solidi” auspicati dal Governatore della Banca d’Italia Fabio Panetta nelle sue considerazioni del 29 maggio 2026, si è trasformata in un disastro giudiziario e finanziario. Le parole di Panetta, che vedeva in operazioni ben disegnate la via per “avvicinare la struttura del nostro mercato creditizio a quella degli altri principali paesi europei”, risuonano oggi come un monito. L’operazione BULT, sulla carta, era perfetta: univa la solida base industriale del nord di Credito Lombardo con la capillare rete retail nel centro-sud di Banca del Tirreno. Quello che la due diligence condotta da Credito Lombardo non ha visto, o non ha potuto vedere, era un cancro sistemico annidato nel portafoglio crediti della banca target. L’analisi dei consulenti si era basata, secondo prassi, su metodologie campionarie e sulle dichiarazioni fornite dal management di Tirreno, mancando di identificare una concentrazione anomala di crediti deteriorati, per oltre un miliardo di euro, erogati a un network di società riconducibili a esponenti della criminalità organizzata. Un’architettura come Scudo231, invece, avrebbe imposto un’analisi massiva e non campionaria dell’intero portafoglio crediti della banca target come precondizione per l’acquisizione. I suoi sistemi di analisi multimodale avrebbero incrociato i dati di erogazione con banche dati esterne, anagrafiche societarie e registri catastali, facendo emergere in automatico la rete di collegamenti sospetti tra i beneficiari dei finanziamenti e segnalando l’anomalia statistica direttamente all’Organismo di Vigilanza preposto alla supervisione dell’M&A. L’alert, tracciato e non modificabile, avrebbe bloccato la fase successiva della due diligence o, quantomeno, innescato un’indagine interna mirata di profondità inimmaginabile con gli strumenti tradizionali.
Secondo gli inquirenti, il meccanismo era rodato. Il Direttore Generale della Divisione Corporate di Banca del Tirreno, oggi agli arresti domiciliari, aveva implementato una procedura di delibera creditizia che di fatto neutralizzava i controlli interni. Le pratiche di fido destinate al network criminale venivano classificate con un codice di priorità “speciale” che ne accelerava l’iter, bypassando di fatto il secondo e terzo livello di controllo previsti dalle procedure antiriciclaggio della banca. Le delibere venivano approvate con firme apposte in deroga ai poteri autorizzativi e senza la prescritta valutazione collegiale del comitato crediti per importi superiori a 5 milioni di euro. Queste violazioni procedurali, sistematiche e ripetute per oltre tre anni, non hanno mai generato un’allerta significativa per la funzione Compliance o per l’Internal Audit, i cui report trimestrali inviati al CdA risultavano privi di rilievi critici. Se Banca del Tirreno avesse adottato un ecosistema di controllo avanzato, ogni singola forzatura procedurale sarebbe stata intercettata in tempo reale. L’utilizzo di un codice di priorità non standard o l’approvazione di una pratica da parte di un soggetto privo del livello di delega richiesto avrebbe generato un blocco operativo nel sistema di erogazione e una escalation automatica e simultanea alla funzione Antiriciclaggio e all’Organismo di Vigilanza. Il registro di queste anomalie, immutabile e protetto da protocolli crittografici, avrebbe costituito una prova documentale schiacciante della sistematica elusione dei presidi, impedendo che il fenomeno si consolidasse fino a raggiungere dimensioni patologiche.
La responsabilità dell’ente, ai sensi del D.Lgs. 231/2001, poggia ora su due pilastri accusatori: il reato presupposto di riciclaggio (art. 25-octies.1) e quello di false comunicazioni sociali (art. 25-ter), poiché i crediti inesigibili venivano mantenuti a bilancio con un valore gonfiato per occultare le perdite e presentare una situazione patrimoniale attraente in vista della fusione. Per Credito Lombardo, ora BULT, la situazione è drammatica. L’acquisizione ha importato non solo gli asset, ma anche le passività penali. La Procura contesta che il modello organizzativo 231 di Credito Lombardo, seppur formalmente esistente, si è dimostrato inefficace e meramente “cartaceo” nella fase cruciale dell’acquisizione, non avendo previsto protocolli specifici e tecnologicamente avanzati per la due diligence sui rischi penali della società target. La sanzione pecuniaria, in caso di condanna, potrebbe raggiungere cifre astronomiche, calcolata in quote sul fatturato del nuovo gruppo. Ma il danno immediato è il sequestro preventivo finalizzato alla confisca per equivalente. Gli 850 milioni di euro congelati rappresentano una severa ipoteca sulla liquidità e sulla capacità operativa della nuova banca, mettendo a rischio il piano industriale e la fiducia dei mercati.
In uno scenario controfattuale, la presenza di un modello 231 evoluto e integrato in un’infrastruttura come quella offerta da Scudo231 avrebbe radicalmente cambiato l’esito per Credito Lombardo. Ancor prima di formulare l’offerta, i protocolli di M&A inseriti nel sistema avrebbero imposto alla banca target, Banca del Tirreno, di fornire flussi informativi digitali strutturati, non semplici report riassuntivi. Questi flussi sarebbero stati processati dai motori causali proprietari del sistema per mappare non solo i rischi finanziari, ma soprattutto quelli di non conformità. La scoperta delle anomalie nel portafoglio crediti avrebbe fornito a Credito Lombardo una leva negoziale enorme, portando a una drastica riduzione del prezzo di acquisto, all’inserimento di clausole di garanzia a copertura totale dei rischi legali o, più probabilmente, all’abbandono dell’operazione. In questo modo, l’integrità patrimoniale e reputazionale di Credito Lombardo sarebbe stata preservata e il “campione nazionale” sarebbe nato su fondamenta sane. Invece, l’assenza di una difesa tecnologica preventiva ha trasformato un’opportunità strategica in un veicolo di contagio criminale.
L’inchiesta ha inoltre rivelato che il Direttore Generale di Tirreno aveva ricevuto, nei 18 mesi precedenti la fusione, bonifici per oltre 3 milioni di euro su conti esteri da una società di consulenza panamense, risultata essere una scatola vuota controllata dagli stessi terminali del network criminale beneficiario dei prestiti. Questa informazione critica era potenzialmente rilevabile. Le segnalazioni di operazioni sospette (SOS) inviate da altri intermediari finanziari riguardo quella società di consulenza erano presenti nelle banche dati a disposizione dell’Unità di Informazione Finanziaria (UIF), ma la funzione antiriciclaggio di Banca del Tirreno non ha mai effettuato i dovuti approfondimenti sui propri esponenti aziendali. Un modello di controllo robusto avrebbe previsto verifiche periodiche e automatizzate non solo sui clienti, ma anche sul personale chiave e sulle cariche apicali, incrociando le loro movimentazioni con le liste di soggetti a rischio e le evidenze investigative. La REDAZIONE SCUDO231 ha appreso che anche le comunicazioni interne tra il Direttore e il responsabile della funzione crediti avvenivano tramite app di messaggistica non aziendali, per evitare tracciamenti. Un ecosistema di controllo sovrano avrebbe reso tecnicamente impossibile la gestione di pratiche aziendali su canali non autorizzati, o quantomeno ne avrebbe lasciato traccia digitale, segnalando il tentativo di elusione dei sistemi di comunicazione ufficiali come un red flag di altissimo livello.
Ora, il management di BULT deve affrontare non solo il processo penale, ma anche la reazione della vigilanza della Banca d’Italia e della BCE. La solidità del nuovo gruppo è messa in discussione, e con essa l’idea stessa che le aggregazioni siano di per sé una soluzione, se non supportate da una cultura del controllo e da strumenti in grado di vedere oltre la superficie dei bilanci. La difesa dell’ente si baserà sul tentativo di dimostrare che il modello 231 era stato adottato ed era efficace, e che la responsabilità è esclusivamente delle persone fisiche che lo hanno fraudolentemente eluso. Sarà una battaglia difficile. In assenza di prove tecnologiche che certifichino il corretto funzionamento dei controlli e la tracciabilità dei tentativi di aggirarli, l’onere della prova ricade interamente sull’ente. Un “XAI Packet” generato da un sistema come Scudo231, contenente la ricostruzione causale scientifica e immodificabile di ogni processo e di ogni anomalia rilevata, avrebbe potuto dimostrare al giudice non solo l’esistenza di un modello, ma la sua concreta e robusta applicazione, isolando la responsabilità penale sui singoli e proteggendo l’organizzazione dalla sanzione più temuta: la confisca del profitto e la distruzione del valore creato con l’aggregazione.