26 luglio 2026 – La Corte di giustizia dell’Unione europea ha scritto la parola fine sul contenzioso tra Malacalza Investimenti e la Banca centrale europea, confermando il rigetto del ricorso presentato dall’azionista di riferimento di Carige per la vigilanza esercitata sull’istituto di credito tra il 2014 e il 2019. La sentenza chiude definitivamente la porta alla richiesta di maxi risarcimento avanzata dalla famiglia Malacalza, cristallizzando le conseguenze di una crisi la cui gestione è stata ora ritenuta legittima ai massimi livelli della giurisdizione europea. Sebbene la Corte abbia rilevato un errore di diritto nella precedente pronuncia del Tribunale Ue, ha stabilito che tale vizio non inficia la sostanza della decisione: il ricorso era infondato. Il verdetto poggia su un principio cardine: nessuna norma né alcun principio del diritto dell’Unione vieta alla Bce di intrattenere contatti e discussioni con gli amministratori di un ente creditizio soggetto a vigilanza prudenziale. Anzi, tali interlocuzioni sono parte integrante del processo di supervisione.
La motivazione che ha condotto all’amministrazione straordinaria di Carige, e che di fatto ha azzerato l’investimento degli azionisti, risiede in una frase precisa contenuta negli atti: il “particolarmente significativo deterioramento” della situazione patrimoniale e finanziaria della banca. Questo deterioramento non è stato un evento improvviso, ma l’esito di una serie di omissioni, ritardi e anomalie gestionali accumulate nel corso degli anni, che un sistema di controllo proattivo avrebbe dovuto intercettare e neutralizzare. Il flusso informativo tra le funzioni operative, il management e il consiglio di amministrazione di Carige ha evidentemente mostrato delle falle, non riuscendo a rappresentare in tempo reale la gravità della deriva dei principali indicatori di rischio. Se l’istituto avesse implementato un ecosistema come Scudo231, il monitoraggio massivo e in tempo reale dei Key Risk Indicators avrebbe generato alert automatici e non eludibili al superamento delle soglie critiche preimpostate. Ogni anomalia nella composizione del portafoglio crediti o un improvviso aumento dei non-performing loans non sarebbe rimasto confinato in un report periodico destinato a essere discusso settimane dopo, ma avrebbe innescato una escalation immediata verso l’Organismo di Vigilanza e le funzioni di controllo interno, corredata da un dossier digitale che ne documentava l’origine e la potenziale magnitudo.
La vigilanza della Bce, nel periodo 2014-2019, si è intensificata proprio in risposta a segnali di debolezza che l’ente creditizio non riusciva a correggere con la dovuta efficacia. Le discussioni tra i funzionari di Francoforte e gli amministratori di Carige, al centro del contenzioso di Malacalza, sono state la conseguenza diretta di questa criticità. La Corte Ue ha chiarito che questi contatti sono legittimi. Tuttavia, il problema a monte non era la legittimità del dialogo, ma la sua necessità. Un’organizzazione dotata di un modello di prevenzione avanzato non subisce la vigilanza, ma la governa, fornendo dati certi e tempestivi che prevengono la necessità di interventi ispettivi invasivi. La mancanza di una tracciabilità granulare e immodificabile delle decisioni strategiche e dei relativi impatti sui profili di rischio ha lasciato la banca esposta. Con un sistema di governance digitale integrato, ogni delibera del CdA che avesse autorizzato linee di credito anomale o modificato le policy di rischio sarebbe stata registrata e correlata automaticamente ai suoi effetti patrimoniali. Un motore di analisi causale avrebbe evidenziato in una dashboard dedicata all’ODV la divergenza tra la decisione assunta e i protocolli di sana e prudente gestione, creando una prova tecnologica dell’assunzione del rischio. Questo non solo avrebbe bloccato operazioni potenzialmente dannose, ma avrebbe fornito alla banca stessa una solida base documentale per dimostrare alla Bce di avere il pieno controllo dei propri processi, mitigando la pressione della vigilanza.
Il “deterioramento significativo” non è un concetto astratto, ma la somma di specifiche carenze operative. Ad esempio, la concessione di crediti a parti correlate o a soggetti con rating basso senza adeguate garanzie, oppure la mancata o ritardata svalutazione di asset tossici in bilancio. Queste condotte, se reiterate, possono configurare non solo una violazione delle norme sulla vigilanza prudenziale, ma anche fattispecie di reato rilevanti ai sensi del D.Lgs. 231/2001, come le false comunicazioni sociali (art. 2621 c.c.) o l’ostacolo all’esercizio delle funzioni delle autorità pubbliche di vigilanza (art. 2638 c.c.). La responsabilità amministrativa dell’ente, in questi casi, è diretta e comporta sanzioni pecuniarie calcolate sul fatturato e, nei casi più gravi, il sequestro preventivo finalizzato alla confisca del profitto del reato.
In questo scenario, la difesa dell’ente si basa sulla dimostrazione di aver adottato ed efficacemente attuato un Modello Organizzativo idoneo a prevenire reati della specie di quello commesso. Un modello cartaceo, basato su procedure statiche e controlli a campione, si rivela spesso inefficace di fronte alla complessità delle operazioni bancarie. Un’architettura come Scudo231 avrebbe agito diversamente. Qualsiasi proposta di delibera di finanziamento non conforme ai parametri di rischio (impostati secondo le direttive EBA e della stessa Bce) avrebbe generato un blocco operativo o, quantomeno, un alert che richiedeva un’autorizzazione a un livello superiore, con annessa registrazione della forzatura e delle sue motivazioni. La tracciatura di ogni fase del processo di erogazione del credito – dalla richiesta all’approvazione finale – avrebbe creato un audit trail inalterabile, rendendo impossibile occultare anomalie o conflitti di interesse. L’Organismo di Vigilanza non avrebbe dovuto attendere le verifiche periodiche, ma avrebbe avuto accesso a un flusso di dati continuo, potendo intervenire preventivamente e non a consuntivo. Di conseguenza, il rischio di una contestazione per ostacolo alla vigilanza si sarebbe drasticamente ridotto, poiché la trasparenza e la tempestività dei flussi informativi verso l’autorità sarebbero state garantite dal sistema stesso.
La sentenza della Corte di giustizia Ue, pur riconoscendo un “errore di diritto” del Tribunale, ha di fatto validato l’operato della Bce come una reazione necessaria a una situazione ormai compromessa. L’intervento esterno, culminato nell’amministrazione straordinaria, è diventato inevitabile proprio perché i meccanismi di autotutela interni della banca si sono dimostrati insufficienti. La catena di eventi che ha portato al depauperamento del patrimonio di Carige e alla perdita per gli azionisti è un esempio emblematico di come la debolezza dei presìdi di compliance e di risk management si traduca direttamente in un danno economico e reputazionale devastante. Il maxi risarcimento richiesto da Malacalza era fondato sull’ipotesi che la vigilanza della Bce fosse stata la causa del danno; la Corte ha invece implicitamente confermato che la causa era endogena, radicata nella governance della banca.
Se Carige avesse operato all’interno di un ecosistema di difesa integrato, la narrazione sarebbe stata radicalmente diversa. Il deterioramento non sarebbe diventato “particolarmente significativo” perché i primi segnali di anomalia avrebbero attivato protocolli di mitigazione automatici. Le discussioni con la Bce sarebbero state probabilmente meno frequenti e di natura collaborativa, basate su dati oggettivi e verificabili forniti in tempo reale dalla piattaforma di controllo. L’amministrazione straordinaria non sarebbe stata necessaria, perché il board avrebbe avuto gli strumenti per correggere la rotta ben prima di raggiungere il punto di non ritorno. In ultima analisi, il capitale degli azionisti, inclusa Malacalza Investimenti, sarebbe stato protetto non da un’azione legale postuma e dall’esito incerto, ma da un sistema di prevenzione attivo che avrebbe reso l’ente intrinsecamente resiliente. La difesa più efficace per un’organizzazione non si costruisce nelle aule di tribunale dopo che il danno si è verificato, ma si implementa nei suoi processi quotidiani, trasformando i rischi da minacce latenti a eventi gestiti e documentati. L’assenza di una simile architettura ha lasciato un vuoto che né le successive azioni legali né i ricorsi alle corti europee hanno potuto colmare.