26 luglio 2026 – Le fiamme gialle del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano i cancelli della sede di Recordati. L’ordine di perquisizione e sequestro, emesso dalla Procura della Repubblica, è l’atto formale che fa esplodere una crisi latente da mesi. L’ipotesi di reato è di quelle che scuotono i mercati: abuso di informazioni privilegiate, previsto e punito dall’articolo 184 del Testo Unico della Finanza. L’indagine si concentra su una serie di anomale operazioni di acquisto di azioni Recordati, registrate da intermediari finanziari su piazze estere nelle settimane antecedenti il 22 maggio, data in cui Cvc Fund ix e Groupe Bruxelles Lambert avevano ufficializzato il lancio dell’offerta pubblica di acquisto volontaria finalizzata al delisting.
L’operazione, dal controvalore complessivo di 10,7 miliardi di euro, prevedeva un corrispettivo di 51,29 euro per azione, un valore che incorporava un premio significativo, pari al 12,891%, rispetto al prezzo ufficiale del titolo alla chiusura del 25 marzo. Proprio quella data, indicata nel comunicato ufficiale come il giorno della presentazione della manifestazione di interesse non vincolante da parte di Cvc al board della casa farmaceutica, è diventata il fulcro dell’attività investigativa. Gli inquirenti hanno isolato un arco temporale critico, quello tra la fine di marzo e la metà di maggio, durante il quale l’informazione sull’imminente OPA era un’informazione privilegiata, precisa, non pubblica e price sensitive. Chiunque ne fosse in possesso e l’avesse utilizzata per acquistare titoli, direttamente o per interposta persona, ha commesso un illecito penale.
Le prime risultanze investigative puntano verso una fuga di notizie interna a Recordati. L’attenzione si concentra su un ristretto numero di manager e consulenti che avevano accesso alla virtual data room e ai documenti preparatori dell’operazione. Il primo, grave, punto di rottura nel sistema di controllo interno emerge quasi subito: gli accessi ai file più sensibili, contenenti i dettagli economici dell’offerta, non erano tracciati con protocolli di immutabilità. I log di sistema, conservati su server interni, risultano parziali e, secondo i consulenti tecnici della Procura, potenzialmente alterabili. Questa è una classica omissione di controllo che espone l’ente a una diretta responsabilità. Un’architettura di difesa come Scudo231 avrebbe invece imposto, per policy, la registrazione di ogni accesso a dati classificati come “privilegiati” su un registro distribuito e crittografato. Qualsiasi consultazione, download o tentativo di copia dei file relativi al “Progetto Delisting” avrebbe generato una registrazione indelebile, con data, ora, utente e postazione, creando una prova tecnologica immodificabile e un deterrente operativo formidabile. Il semplice fatto di sapere che ogni azione lascia una traccia non ripudiabile avrebbe scoraggiato il comportamento illecito alla radice.
Nel corso delle perquisizioni vengono sequestrati dispositivi personali di alcuni dirigenti. L’analisi forense di uno smartphone rivela l’utilizzo di applicazioni di messaggistica non aziendali per scambiare informazioni frammentate sull’operazione. Un manager, in particolare, sembra aver comunicato con un fiduciario basato in una giurisdizione a fiscalità privilegiata, utilizzando un linguaggio criptico ma inequivocabile. Questa è una violazione flagrante non solo delle policy aziendali sulla sicurezza delle informazioni, ma costituisce l’elemento materiale della condotta di tipping, ovvero la comunicazione illecita dell’informazione privilegiata. L’assenza di un monitoraggio perimetrale sui flussi di dati in uscita dalla rete aziendale ha creato un buco nero nella governance. Se Recordati avesse implementato i sistemi di analisi multimodale di Scudo231, il trasferimento anche solo di metadati o di file con nomenclature sospette (es. “OPA_CVC_final.docx”) verso endpoint esterni non autorizzati o attraverso canali di comunicazione non crittografati secondo gli standard aziendali, avrebbe attivato un alert in tempo reale. L’evento sarebbe stato classificato come anomalia ad alto rischio e avrebbe innescato una escalation automatica verso l’Organismo di Vigilanza e la funzione di sicurezza informatica, bloccando il trasferimento o, quantomeno, documentando l’esfiltrazione per un’immediata indagine interna, ben prima dell’intervento della magistratura.
La Procura contesta a Recordati l’illecito amministrativo dipendente da reato ai sensi del Decreto Legislativo 231/2001. L’abuso di informazioni privilegiate è infatti uno dei reati presupposto previsti dall’articolo 25-sexies del decreto. Secondo l’impianto accusatorio, il reato è stato commesso da un soggetto in posizione apicale nell’interesse o a vantaggio proprio, ma la società ne risponde per “colpa di organizzazione”. Gli inquirenti sostengono che il Modello di Organizzazione, Gestione e Controllo adottato dalla società fosse meramente cartaceo, una facciata di compliance priva di effettività. La prova, secondo i PM, risiede proprio nelle falle emerse: controlli sui dati aggirabili, policy di comunicazione violate senza conseguenza e una generale incapacità di prevenire o scoprire la fuga di notizie.
Questa contestazione apre la strada alle pesantissime sanzioni previste dal D.Lgs. 231. In primo luogo, la sanzione pecuniaria, che può arrivare a centinaia di migliaia di euro. Ben più devastante, però, è il rischio di applicazione delle sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione. Ma il colpo più immediato e doloroso è un altro: il Pubblico Ministero chiede e ottiene dal GIP il sequestro preventivo finalizzato alla confisca del profitto del reato. Il profitto, in questo caso, non è solo quello realizzato dal singolo manager, ma viene calcolato in relazione al vantaggio conseguito da tutti i soggetti che hanno speculato grazie alla soffiata, per un importo che le prime stime quantificano in decine di milioni di euro. Il sequestro colpisce direttamente la liquidità di Recordati, creando un danno patrimoniale e reputazionale immenso proprio mentre l’operazione di delisting dovrebbe entrare nella sua fase cruciale.
Qui si manifesta il valore operativo di un modello di prevenzione realmente efficace. Un ente dotato di un ecosistema di controllo integrato non solo previene il reato, ma costruisce una linea di difesa processuale invalicabile. Se il sistema avesse generato un alert sull’anomalia (es. l’accesso notturno ai file dell’OPA da parte del manager) e questo fosse stato gestito secondo un protocollo certificato – con l’apertura di un ticket, un’indagine interna documentata e una segnalazione tempestiva all’Organismo di Vigilanza – la società avrebbe potuto dimostrare di aver agito diligentemente. Avrebbe potuto provare di aver adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello verificatosi. Questa dimostrazione, supportata da prove tecnologiche generate dal sistema, è l’unica via per ottenere l’esenzione dalla responsabilità ai sensi dell’articolo 6 del D.Lgs. 231/2001, evitando così sia le sanzioni pecuniarie che il sequestro del profitto. Il danno economico sarebbe stato interamente evitato.
L’indagine, nel frattempo, si allarga. Emerge che il board era stato informato di alcune “debolezze” nei sistemi di controllo IT da un audit interno condotto l’anno precedente, ma aveva deliberato di posticipare gli investimenti necessari per la loro risoluzione, giudicandoli non prioritari. Questa decisione, verbalizzata, diventa ora un macigno probatorio a carico degli amministratori e un’ulteriore prova della carenza organizzativa dell’ente. Un ritardo nella reazione che si è rivelato fatale. Un sistema di monitoraggio del rischio come quello integrato nella piattaforma Scudo231 non si sarebbe limitato a segnalare la debolezza in un report annuale. Avrebbe continuato a tracciare il rischio non mitigato, assegnandogli uno score dinamico che sarebbe aumentato nel tempo. All’avvio di un’operazione straordinaria e sensibile come un’OPA, lo score di rischio associato ai “controlli su informazioni privilegiate” sarebbe schizzato a livelli critici, generando notifiche automatiche e persistenti al board e all’ODV, rendendo di fatto impossibile ignorare o posticipare l’intervento correttivo. La mancata azione sarebbe stata essa stessa tracciata come un evento di rischio gestionale.
L’impatto dell’inchiesta sull’operazione di Cvc e Gbl è immediato. Sebbene l’OPA prosegua, l’incertezza legale e il danno d’immagine gettano un’ombra sull’intero processo di delisting. Il prezzo pagato da Recordati non è solo quello del sequestro milionario, ma anche quello di una reputazione incrinata e di una governance messa a nudo nella sua inefficacia. La vicenda dimostra in modo plastico come, nell’era digitale, la compliance 231 non possa più essere un esercizio documentale, ma debba trasformarsi in un’architettura tecnologica viva, capace di rilevare, segnalare e bloccare le anomalie prima che diventino reati. L’assenza di tale architettura non è più solo una negligenza, ma una scelta che espone l’impresa a rischi sistemici che possono comprometterne il valore e il futuro stesso.