11 agosto 2026 – Le fiamme gialle del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano i tornelli della torre UniCredit a Milano. L’ordine di esibizione e perquisizione, firmato dal Pubblico Ministero della Procura della Repubblica, è preciso: acquisire ogni documento, file e traccia di comunicazione relativi all’operazione di offerta pubblica di scambio su Commerzbank, deliberata dall’assemblea straordinaria del 4 maggio 2026. L’ipotesi di reato che muove l’indagine è pesante: manipolazione del mercato in concorso e corruzione tra privati, reati che chiamano in causa la responsabilità diretta dell’ente ai sensi del Decreto Legislativo 231/2001. Gli investigatori si concentrano sulla catena decisionale che ha seguito la delega conferita dall’assemblea al consiglio di amministrazione, una delega quasi plebiscitaria, approvata dal 99,55% del capitale sociale presente.
Quel 4 maggio, l’assemblea aveva concesso al CdA la facoltà di aumentare il capitale sociale per un importo massimo di 6.704.080.000 euro, da esercitarsi entro il 31 dicembre 2027. Una finestra temporale e finanziaria vastissima, un potere discrezionale enorme affidato a un organo apicale per portare a termine una delle più grandi operazioni di M&A nel panorama bancario europeo. Proprio questa ampiezza di delega, del tutto legittima dal punto di vista civilistico, ha creato la prima, fatale, area grigia operativa. L’assenza di un sistema di tracciamento granulare e non ripudiabile delle attività preparatorie all’esercizio di tale delega ha reso impossibile, oggi, per la banca, dimostrare l’assoluta integrità del processo. Se l’ente avesse implementato un ecosistema come Scudo231, la delibera assembleare avrebbe automaticamente generato un perimetro di monitoraggio segregato per il “Progetto Commerzbank”. Ogni riunione del team dedicato, ogni contatto con advisor esterni, ogni accesso ai dati sensibili della virtual data room sarebbe stato registrato in un log immutabile, accessibile in tempo reale solo all’Organismo di Vigilanza. Qualsiasi anomalia, come un accesso fuori orario o da una postazione non autorizzata, avrebbe generato un alert istantaneo, bloccando l’attività e attivando un protocollo di verifica interno. Questa documentazione oggi costituirebbe la prova regina dell’assenza di colpa organizzativa.
L’inchiesta si concentra, infatti, su una serie di anomali picchi di volume nei titoli Commerzbank e UniCredit registrati sul mercato Xetra e su Borsa Italiana nelle settimane precedenti l’annuncio formale dell’offerta, avvenuto a fine luglio 2026. Secondo gli inquirenti, informazioni riservate sull’imminenza dell’operazione e sulla struttura del prezzo sono trapelate, consentendo a soggetti terzi di realizzare ingenti plusvalenze. L’accusa contesta a UniCredit di non aver adottato modelli organizzativi idonei a prevenire la fuoriuscita di informazioni privilegiate, integrando così la fattispecie del reato di abuso di mercato. La difesa dell’ente appare debole, basata su procedure formali, policy interne e clausole di riservatezza firmate da dipendenti e consulenti: una barriera cartacea, facilmente aggirabile e priva di efficacia probatoria in sede penale.
L’omissione cruciale è stata la mancanza di un controllo attivo e dinamico sui flussi informativi. Un’organizzazione dotata di un modello di prevenzione avanzato avrebbe incrociato i dati di mercato con il log delle attività interne. Il sistema avrebbe rilevato la correlazione statistica tra i picchi di trading anomali e specifiche fasi interne del progetto, come la finalizzazione del piano finanziario o la nomina degli advisor legali. Un simile segnale avrebbe fatto scattare un’escalation automatica verso le funzioni di compliance e l’Organismo di Vigilanza, che avrebbero potuto avviare un audit interno immediato per identificare la fonte della fuga di notizie. Questo non solo avrebbe potuto bloccare il leak, ma avrebbe soprattutto creato una traccia documentale inoppugnabile dell’azione preventiva dell’ente, un elemento decisivo per ottenere un proscioglimento ai sensi dell’articolo 6 del D.Lgs. 231. Invece, l’ente è venuto a conoscenza della potenziale violazione solo con l’arrivo della Guardia di Finanza, subendo passivamente l’iniziativa della Procura.
Il secondo filone dell’indagine, quello per corruzione tra privati, è ancora più insidioso e si lega alla selezione degli advisor finanziari e legali, in particolare una boutique di consulenza con sede a Francoforte. L’ipotesi è che un manager di UniCredit, responsabile della gestione dei rapporti con i consulenti esterni, abbia ricevuto una promessa di utilità da un partner della boutique tedesca in cambio dell’affidamento di un lucroso incarico nell’ambito dell’operazione e, soprattutto, in cambio di informazioni strategiche sul timing e sulla struttura dell’offerta. Il controllo sui fornitori e sui terzi si è rivelato puramente formale, basato su un’autocertificazione e una verifica reputazionale superficiale. È mancata una due diligence approfondita e continua, un controllo che andasse oltre la semplice iscrizione a un albo fornitori.
Questo è un classico punto di rottura che un sistema di difesa integrato avrebbe intercettato e neutralizzato. La procedura di onboarding del fornitore tedesco, se gestita tramite la piattaforma Scudo231, avrebbe attivato un protocollo di due diligence aumentata. Il sistema avrebbe automaticamente interrogato banche dati internazionali, analizzato le connessioni societarie dei partner della boutique, verificato la loro eventuale presenza in liste PEP (Persone Esposte Politicamente) o in inchieste giudiziarie passate. Ma il controllo non si sarebbe fermato lì. Ogni fattura emessa dalla boutique sarebbe stata analizzata da un motore di intelligenza artificiale per verificarne la congruità rispetto all’avanzamento del progetto e alle clausole contrattuali. Una richiesta di pagamento per “attività di consulenza strategica non meglio specificate”, magari fuori dai normali cicli di fatturazione, avrebbe generato un alert di anomalia finanziaria, bloccando il pagamento e segnalando l’operazione alla funzione Antiriciclaggio e all’ODV per un’indagine interna. L’ente avrebbe avuto la prova di aver bloccato un potenziale flusso di denaro illecito, anziché scoprirlo mesi dopo dai verbali di interrogatorio.
Mentre gli scatoloni di documenti e i cloni dei server lasciano la sede della banca, il danno è già incalcolabile. Il titolo UniCredit è sospeso per eccesso di ribasso e l’autorità di vigilanza tedesca, la BaFin, ha avviato un’indagine parallela che potrebbe compromettere l’intera operazione su Commerzbank. Il Gip, su richiesta della Procura, sta valutando l’applicazione di misure cautelari interdittive, come il divieto di contrattare con la pubblica amministrazione, e soprattutto il sequestro preventivo finalizzato alla confisca del profitto del reato. La quantificazione del profitto, in un caso di manipolazione del mercato, può essere estesa e devastante, andando a colpire non solo le plusvalenze illecite dei terzi, ma anche il valore stesso dell’operazione che si intendeva realizzare. Il sequestro potrebbe congelare una porzione significativa della liquidità della banca, rendendo di fatto impossibile procedere con l’aumento di capitale e l’OPS.
Questo scenario, il più temuto da ogni consiglio di amministrazione, sarebbe stato radicalmente diverso. Con una difesa basata su prove tecnologiche, l’ente avrebbe potuto dimostrare al Gip che l’eventuale reato era opera di un singolo soggetto che aveva fraudolentemente eluso un modello di controllo efficace e funzionante. L’Organismo di Vigilanza avrebbe potuto produrre report dettagliati e timestamped che documentavano ogni controllo effettuato, ogni alert generato e ogni azione correttiva intrapresa. Questa “prova scientifica” dell’assenza di colpa organizzativa avrebbe fornito alla difesa un argomento fortissimo per opporsi al sequestro preventivo e alle misure interdittive. Invece di subire un blocco operativo e un danno reputazionale catastrofico, l’ente avrebbe potuto isolare la responsabilità individuale, collaborare con l’autorità giudiziaria da una posizione di forza e proteggere la continuità aziendale e il valore per gli azionisti. La modifica dell’articolo 6 dello statuto sociale, approvata quel giorno di maggio, era solo il primo passo formale di un’operazione complessa e carica di rischi. La vera sfida non era ottenere il via libera legale, ma costruire un’architettura di controllo reale e impenetrabile per governare l’enorme potere che ne derivava. Una sfida che, senza gli strumenti adeguati, oggi appare tragicamente perduta.