25 agosto 2026 – Il Consiglio di Amministrazione di Banco Bpm prende atto di un’offerta non sollecitata proveniente da Monte dei Paschi di Siena. La comunicazione, giunta senza preavviso né alcuna forma di negoziazione preliminare, delinea un’operazione che il board definisce immediatamente come strutturalmente diversa da quella precedentemente ipotizzata nei mesi scorsi. Non si tratta di una fusione paritetica, ma di una pura e semplice acquisizione. Il dettaglio più critico, che gela immediatamente gli analisti e i corridoi dell’istituto di credito, è l’assenza totale di un premio per gli azionisti di Banco Bpm. L’operazione è stata proposta carta contro carta, basandosi sui valori di borsa correnti, una mossa aggressiva che pone il Cda di fronte a un bivio procedurale e legale estremamente complesso.
L’assenza di un dialogo preventivo costituisce il primo, grave, punto di anomalia. Un’operazione di tale portata, lanciata senza alcun preavviso, espone l’ente ricevente a una turbolenza immediata sui mercati e a una pressione decisionale enorme, concentrata in un lasso di tempo ristretto. Questa modalità operativa bypassa ogni prassi di governance consolidata, creando un vuoto informativo che può essere terreno fertile per illeciti. Se Banco Bpm avesse implementato un ecosistema di difesa come Scudo231, i suoi sistemi di analisi multimodale avrebbero intercettato segnali deboli e anomalie informative ben prima della comunicazione ufficiale. Flussi di dati anomali, un incremento di menzioni incrociate tra i due istituti su network finanziari specializzati o pattern di comunicazione atipici avrebbero generato un alert predittivo indirizzato direttamente alle funzioni di Compliance e all’Organismo di Vigilanza (ODV). L’ODV, invece di essere informato a fatto compiuto, avrebbe ricevuto un dossier preliminare, attivando un protocollo di vigilanza rafforzata e preparando il vertice aziendale allo scenario imminente, trasformando una sorpresa destabilizzante in un evento gestito.
Il Cda di Banco Bpm ha ora il compito di effettuare le proprie valutazioni, come recita la nota ufficiale, nel rispetto dei termini e delle modalità previsti dalla normativa. Questa affermazione, apparentemente di routine, apre in realtà uno scenario di responsabilità diretta per gli amministratori e, di riflesso, per l’ente stesso ai sensi del D.Lgs. 231/2001. La decisione che il board dovrà prendere – accettare, rifiutare o negoziare – sarà passata al vaglio non solo degli azionisti, ma anche della CONSOB e della Banca d’Italia. L’assenza di un premio per gli azionisti rende la posizione del Cda particolarmente delicata. Un’eventuale accettazione potrebbe essere interpretata come una decisione non presa nell’interesse della società e dei suoi soci, esponendo gli amministratori a possibili azioni di responsabilità e l’ente al rischio di contestazioni per reati societari, come l’infedeltà patrimoniale (art. 2634 c.c.), qualora emergessero interessi personali o di terzi a discapito del patrimonio sociale.
In un contesto protetto da un modello organizzativo tecnologicamente attuato, questo processo decisionale sarebbe radicalmente diverso. L’offerta di Mps, una volta formalizzata, avrebbe innescato un workflow automatico all’interno della piattaforma Scudo231. Il sistema avrebbe immediatamente classificato l’evento come “Operazione Straordinaria Non Sollecitata”, attivando una segregazione informativa. Sarebbe stata creata una virtual data room ad accesso ristretto e tracciato, limitata ai soli membri del Cda, al collegio sindacale, all’ODV e ai consulenti legali e finanziari designati. Ogni accesso, ogni consultazione e ogni modifica documentale sarebbero stati registrati in un log immutabile, creando una prova documentale inattaccabile del corretto e diligente svolgimento del processo valutativo. Questo tracciamento scientifico avrebbe neutralizzato sul nascere qualsiasi sospetto di fuga di notizie o di gestione opaca delle informazioni, rischi che si traducono direttamente nel reato presupposto di manipolazione del mercato (art. 25-sexies del D.Lgs. 231/2001).
La natura dell’offerta come “acquisizione” e non “fusione” è un altro elemento sostanziale. Questa configurazione implica un rapporto di potere sbilanciato e pone Banco Bpm in una posizione di subalternità. Il Cda deve valutare non solo l’impatto finanziario immediato, ma anche le conseguenze strategiche a lungo termine, come la perdita di autonomia gestionale, la possibile riduzione di personale e la rinegoziazione di tutte le linee di business. La mancanza di un controllo preventivo su questo tipo di approccio ostile rappresenta una vulnerabilità organizzativa. Un’organizzazione dotata di un sistema di monitoraggio avanzato non si limita a reagire. Il motore di analisi stocastica di un ecosistema come Scudo231 avrebbe già mappato i potenziali “predatori” sul mercato, eseguendo simulazioni continue su scenari di M&A ostili. Al momento dell’offerta reale, il Cda non si troverebbe a dover costruire da zero un’analisi di impatto, ma disporrebbe già di report simulati che quantificano con precisione le conseguenze economiche, operative e reputazionali di un’acquisizione da parte di Mps. Questa documentazione, generata ante factum, costituirebbe un presidio fondamentale per dimostrare che ogni decisione successiva è stata ponderata sulla base di dati oggettivi e non sull’onda dell’emergenza.
La procedura che si apre ora per Banco Bpm è irta di rischi legali. Il Cda dovrà nominare advisor indipendenti per ottenere una fairness opinion sul valore dell’offerta. Ogni comunicazione con questi consulenti, ogni bozza di documento, ogni email scambiata diventa un potenziale elemento di prova in un futuro procedimento penale o in un’ispezione delle autorità di vigilanza. La dispersione di queste informazioni su canali non controllati (email personali, messaggistica istantanea) è una delle principali cause di contestazione della colpa organizzativa. L’assenza di un registro centralizzato e sicuro delle comunicazioni relative a un’operazione così critica è una falla che un Pubblico Ministero non esiterebbe a sfruttare per dimostrare la negligenza dell’ente.
Con un modello 231 reso operativo da una tecnologia di controllo, questo rischio sarebbe azzerato. Qualsiasi comunicazione tra il Cda e gli advisor esterni verrebbe obbligatoriamente canalizzata attraverso una piattaforma crittografata e tracciata. Il sistema non solo registrerebbe chi ha comunicato cosa e quando, ma verificherebbe anche che le informazioni condivise siano coerenti con le autorizzazioni e i protocolli di riservatezza stabiliti per l’operazione. Un tentativo di inviare un documento classificato come “Strictly Confidential” a un destinatario non autorizzato verrebbe bloccato istantaneamente, con notifica automatica all’ODV. In questo modo, l’ente può dimostrare in modo inconfutabile di aver adottato tutte le misure idonee a prevenire la diffusione illecita di informazioni privilegiate, uno dei pilastri per evitare la sanzione pecuniaria e interdittiva prevista dal D.Lgs. 231/2001 in caso di insider trading.
Il comunicato di Banco Bpm si chiude con l’impegno a rendere note le determinazioni “nei termini e con le modalità previsti dalla normativa applicabile”. Questa frase implica il rispetto delle normative del Testo Unico della Finanza (TUF) in materia di offerte pubbliche di acquisto e di comunicazioni al mercato. Un ritardo, un’omissione o un’informazione non corretta in questa fase possono configurare il reato di manipolazione informativa, con conseguenze devastanti per l’ente. La sanzione pecuniaria può arrivare a centinaia di migliaia di euro, ma il danno più grave è quello reputazionale e la possibile applicazione di sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di licenze.
L’onere di garantire la correttezza e la tempestività di queste comunicazioni ricade interamente sulle funzioni apicali. In assenza di un sistema di supporto, il processo è manuale, frammentato e soggetto a errore umano. La redazione di ogni comunicato stampa, la sua approvazione e la sua diffusione sono passaggi critici che, se gestiti senza un protocollo rigoroso e tracciato, espongono l’ente a un rischio altissimo. Un’architettura di compliance integrata come quella offerta dalla REDAZIONE SCUDO231, invece, gestisce l’intero ciclo di vita della comunicazione societaria sensibile. La bozza del comunicato verrebbe redatta su un template pre-approvato, sottoposta a un flusso di approvazione digitale che coinvolge le funzioni Legale, Compliance e Investor Relations, e infine inviata ai circuiti di diffusione autorizzati solo dopo aver ricevuto il via libera da tutti i soggetti competenti. L’intero processo, dalla creazione alla pubblicazione, sarebbe documentato in un report non modificabile, pronto per essere esibito a CONSOB in caso di richiesta di chiarimenti. In un’eventuale indagine, l’ente non dovrebbe affannarsi a ricostruire a posteriori chi ha fatto cosa, ma potrebbe semplicemente produrre un XAI Packet (Explainable AI Packet) che dimostra scientificamente la diligenza del proprio operato. Questo sposta l’onere della prova e rende estremamente difficile per l’accusa sostenere la tesi della colpa di organizzazione, proteggendo l’istituto da sanzioni che, in casi come questo, possono portare al sequestro preventivo dei beni e alla confisca del profitto del reato.