8 agosto 2026 – Le fiamme gialle del Nucleo di Polizia Economico-Finanziaria di Milano varcano alle prime ore del mattino i cancelli della sede centrale di Mps. L’operazione, disposta con decreto di perquisizione e sequestro dalla Procura della Repubblica, non è un fulmine a ciel sereno. È la conseguenza diretta, seppur tardiva, di un allarme rimasto inascoltato tre mesi prima, il 7 maggio 2026, quando l’amministratore indipendente Fabrizio Palermo rassegnò le dimissioni con effetto immediato dal consiglio di amministrazione dell’istituto senese. Una decisione motivata ufficialmente da un insanabile “disaccordo con le recenti determinazioni in materia di governance”, una formula diplomatica che oggi assume i contorni di una precisa e documentata premonizione. Gli investigatori stanno acquisendo verbali del cda, delibere, allegati tecnici e la corrispondenza elettronica interna relativa a un arco temporale che va da gennaio a maggio di quest’anno, concentrando la loro attenzione su una specifica operazione di finanziamento di alto profilo.
La crepa si era aperta proprio nel punto più delicato dell’architettura di controllo societario: il comitato per le operazioni con le parti correlate, di cui Palermo era componente. È da lì che è partito il dissenso, un’opposizione ferma a un processo decisionale che, secondo le prime ipotesi investigative, presentava anomalie procedurali e sostanziali tali da esporre la banca a rischi non adeguatamente ponderati. Il disaccordo di Palermo, formalizzato in una lettera ma discusso in riunioni ad alta tensione, non ha prodotto l’effetto sperato: un riesame o un blocco dell’operazione. Ha invece portato al suo isolamento e, infine, alle sue dimissioni. Se l’ente avesse adottato un ecosistema di controllo integrato, il dissenso motivato di un amministratore indipendente su un’operazione a rischio non sarebbe rimasto confinato a un verbale o a uno scambio di email. Un sistema come Scudo231 avrebbe trasformato quel dissenso in un alert formale e non modificabile, instradato automaticamente e simultaneamente all’Organismo di Vigilanza 231, alla funzione di Compliance e all’Internal Audit, con obbligo di tracciamento della presa in carico e della risoluzione. L’escalation sarebbe stata automatica, documentata e sottratta a qualsiasi discrezionalità o filtro gerarchico, costringendo le funzioni di controllo a produrre un parere vincolante prima che il Consiglio potesse procedere con la delibera finale.
Al centro dell’indagine vi è una linea di credito da 150 milioni di euro concessa a una holding industriale, la “Sirius International S.A.”, con sede in una giurisdizione estera nota per la sua opacità societaria. L’operazione, approvata a maggioranza dal cda nella seduta del 5 maggio, due giorni prima delle dimissioni di Palermo, è ora al vaglio per profili di potenziale conflitto di interessi e violazione delle normative antiriciclaggio. L’istruttoria interna, secondo quanto trapela, sarebbe stata condotta con una celerità anomala, bypassando alcuni passaggi standard di due diligence rafforzata che la natura della controparte avrebbe imposto. La catena dei titolari effettivi della Sirius International appariva complessa e schermata da trust e fiduciarie, un segnale di allarme che avrebbe dovuto innescare controlli di secondo e terzo livello. Questo è un classico esempio di cedimento dei presidi di controllo interni, un’omissione che espone l’ente alla responsabilità diretta ai sensi del D.Lgs. 231/2001.
In un’organizzazione dotata di sistemi di analisi multimodale, la richiesta di finanziamento della Sirius International non avrebbe mai superato la fase preliminare di valutazione. La piattaforma avrebbe incrociato in tempo reale i dati camerali con banche dati internazionali sui beneficial owners, registri PEP (Persone Esposte Politicamente) e database OSINT (Open Source Intelligence), rilevando immediatamente le anomalie nella struttura proprietaria e i collegamenti indiretti – emersi solo ora grazie alle indagini – con figure legate a esponenti di vertice di un’altra società cliente della banca, creando un potenziale schema di interessi incrociati. L’alert generato non sarebbe stato un semplice “semaforo giallo”, ma un blocco operativo della pratica, con un rapporto dettagliato inviato direttamente all’OdV e al responsabile antiriciclaggio. L’intero processo decisionale sarebbe stato congelato in attesa di chiarimenti documentali inoppugnabili, prevenendo alla radice la commissione del potenziale reato presupposto.
L’ipotesi di reato su cui lavora la Procura è quella di infedeltà patrimoniale (art. 2634 c.c.), aggravata dal potenziale danno di rilevante gravità per la banca. Ma gli inquirenti non si fermano ai singoli amministratori che votarono a favore. Nel decreto di perquisizione si fa esplicito riferimento alla Legge 231, contestando all’istituto di credito l’illecito amministrativo dipendente da reato. L’accusa è di non aver adottato ed efficacemente attuato un modello di organizzazione, gestione e controllo idoneo a prevenire reati della specie di quello commesso. La “colpa di organizzazione” diventa così il fulcro del procedimento contro l’ente, con conseguenze potenzialmente devastanti. Il Pubblico Ministero ha già avanzato al GIP la richiesta di un sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato, in questa fase, nell’intero importo del finanziamento erogato, ovvero 150 milioni di euro. Un colpo durissimo per la stabilità patrimoniale e la reputazione dell’istituto.
Il modello 231 della banca, sebbene formalmente esistente, si è dimostrato un guscio vuoto, un documento incapace di incidere sui processi reali. La sua inefficacia è la prova migliore per l’accusa. Con un’architettura di controllo attivo come quella garantita da Scudo231, la situazione probatoria sarebbe stata ribaltata. L’ecosistema avrebbe fornito una registrazione immutabile e cronologica di ogni fase del processo istruttorio, documentando i controlli automatici eseguiti, gli alert generati e, soprattutto, l’eventuale forzatura manuale o l’override del sistema da parte di soggetti specifici. In sede giudiziaria, la banca avrebbe potuto produrre un “XAI Packet” – un pacchetto di prova tecnologica spiegabile – dimostrando che il modello organizzativo non solo esisteva, ma era attivo, funzionante e che il reato è stato il risultato di un’elusione fraudolenta del modello stesso da parte di individui identificabili. Questa prova scientifica avrebbe potuto isolare la responsabilità penale sui singoli, salvaguardando l’ente dalle sanzioni più gravi, inclusa la confisca e le misure interdittive.
Le ripercussioni dell’indagine sono immediate. Il titolo Mps in borsa ha aperto in forte calo, la Banca d’Italia e la BCE hanno richiesto chiarimenti urgenti e l’intero top management è sotto pressione. Il danno non è solo finanziario, ma sistemico. La fiducia degli investitori e dei clienti è minata alla base, proprio a causa di una falla nella governance che un amministratore aveva tentato di segnalare, scegliendo la via più estrema – le dimissioni – per non diventare complice di una decisione opaca. La sua scelta, tuttavia, ha protetto solo la sua posizione individuale, non l’organizzazione che era chiamato a sorvegliare.
Il punto non è solo prevenire il reato, ma creare un ambiente in cui il reato non sia nemmeno concepibile. L’analisi della REDAZIONE SCUDO231 evidenzia come la debolezza non risiedesse nella mancanza di regole, ma nell’assenza di strumenti capaci di garantirne l’applicazione cogente e tracciata. Un flusso informativo certificato e non manipolabile, a disposizione costante dell’Organismo di Vigilanza e degli amministratori indipendenti, avrebbe fornito a Palermo non solo il motivo per dissentire, ma i dati oggettivi e incontrovertibili per bloccare l’operazione sul nascere. Non sarebbe stato costretto a dimettersi per protesta; avrebbe avuto gli strumenti per far prevalere la legalità e la sana e prudente gestione all’interno del consiglio, agendo nell’interesse ultimo della società e di tutti i suoi stakeholder. La governance non è una questione di intenzioni, ma di architetture di controllo efficaci. L’assenza di queste ultime ha lasciato la porta aperta a decisioni rischiose, le cui conseguenze legali ed economiche si stanno ora manifestando in tutta la loro gravità.