3 settembre 2026 – La Commissione Nazionale per le Società e la Borsa (Consob) ha comunicato di aver approvato il documento di offerta relativo all’offerta pubblica di acquisto volontaria totalitaria promossa da TML CV Holdings, veicolo societario del gruppo Tata Motors, sulla totalità delle azioni ordinarie di Iveco Group. L’operazione, il cui periodo di adesione è stato fissato tra il 7 settembre e il 26 ottobre, rappresenta l’ultimo passaggio formale prima dell’avvio di una delle più significative manovre industriali nel settore automotive europeo. Dietro la sterile comunicazione dell’autorità di vigilanza, tuttavia, si celano mesi di tensioni e rischi operativi che hanno lambito una delle principali società di consulenza finanziaria italiane, la EuroBridge Advisory S.p.A., incaricata di assistere il bidder nella strutturazione dell’offerta. L’indagine, ancora coperta da segreto istruttorio ma i cui contorni iniziano a delinearsi, ha acceso un faro sulla fragilità dei presidi di controllo interni e sulla concreta applicazione del D.Lgs. 231/2001.
Tutto ha inizio nel mese di aprile 2026, quando le trattative tra Tata Motors e gli azionisti di riferimento di Iveco entrano nella fase più delicata. Le informazioni relative al prezzo per azione, alla struttura del finanziamento e alla tempistica dell’annuncio al mercato sono classificate come price sensitive e segregate all’interno di una virtual data room ad accesso ristretto. Un senior manager di EuroBridge, responsabile del team di M&A dedicato all’operazione, estrae in più occasioni, tra il 14 e il 18 aprile, documentazione strategica trasferendola su un dispositivo di archiviazione personale. Questa operazione, eseguita al di fuori dell’orario di lavoro, non genera alcun allarme. Il modello organizzativo 231 della società, pur esistendo sulla carta, si basa su controlli a campione e autodichiarazioni periodiche, rivelandosi del tutto inefficace nel monitorare in tempo reale i flussi di dati critici. Se EuroBridge avesse implementato un ecosistema come Scudo231, i motori di analisi comportamentale avrebbero immediatamente rilevato l’anomalia: non una semplice violazione della policy IT, ma un segnale debole di potenziale illecito. Il sistema avrebbe registrato il volume di dati in uscita, la natura dei file (classificati come “riservati” dal sistema di data classification), l’orario atipico e la destinazione non autorizzata, generando un alert istantaneo e tracciato, destinato in via prioritaria all’Organismo di Vigilanza e alla funzione Compliance. L’escalation automatica avrebbe innescato un protocollo di verifica immediato, bloccando l’accesso dell’utente alla VDR e avviando un audit forense sui suoi dispositivi, neutralizzando il rischio di abuso di informazioni privilegiate prima che l’informazione potesse essere veicolata all’esterno.
Invece, l’informazione esce. Tra il 20 e il 25 aprile, il manager comunica a un intermediario finanziario terzo, a lui legato da rapporti personali, i dettagli essenziali dell’imminente OPA. Le comunicazioni avvengono tramite applicazioni di messaggistica istantanea su telefoni privati, un canale che sfugge completamente ai blandi controlli societari. L’intermediario, agendo per conto di un fondo speculativo con sede in un paradiso fiscale, inizia ad accumulare silenziosamente azioni Iveco sul mercato, mantenendosi al di sotto della soglia di comunicazione obbligatoria alla Consob. Questa attività costituisce il nucleo del reato di insider trading, previsto dall’art. 184 del Testo Unico della Finanza, uno dei reati presupposto che fondano la responsabilità amministrativa dell’ente ai sensi dell’art. 25-sexies del D.Lgs. 231/2001. La Procura della Repubblica contesterà a EuroBridge la cosiddetta colpa di organizzazione: non aver adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello commesso. La difesa della società si troverà priva di elementi probatori concreti per dimostrare il contrario.
In un’architettura di controllo avanzata, il flusso informativo anomalo sarebbe stato intercettato a monte. Anche senza poter analizzare il contenuto delle chat private, i sistemi di intelligenza predittiva di Scudo231 avrebbero correlato l’accesso anomalo ai dati sensibili con i successivi pattern di trading sul titolo Iveco, evidenziando una probabilità statistica di connessione e suggerendo un approfondimento mirato. L’Organismo di Vigilanza avrebbe avuto a disposizione un dossier digitale, generato automaticamente, contenente la cronologia degli accessi, i log delle operazioni sui file e l’analisi di contesto, elementi sufficienti a dimostrare, in qualsiasi sede, che l’ente aveva messo in campo le migliori tecnologie per prevenire l’illecito, spostando così l’intera responsabilità penale e amministrativa sulla singola persona fisica che ha agito eludendo fraudolentemente i modelli.
Il secondo fronte di rischio si apre a maggio. Per assicurarsi il supporto di un piccolo ma influente pacchetto di azionisti istituzionali, viene concordato il pagamento di una “commissione di consulenza” a una società di intermediazione con sede a Cipro, la Pharos Consulting Ltd. L’incarico è formalmente legittimo, ma l’importo, pari a diversi milioni di euro, è sproporzionato rispetto alla prestazione documentata. Il pagamento viene autorizzato da un dirigente di TML CV Holdings, basandosi su un parere di congruità redatto frettolosamente dallo stesso team di EuroBridge guidato dal manager infedele. La procedura di due diligence sul fornitore cipriota è una mera formalità: una visura camerale e un controllo negativo su una blacklist generica. Nessuno verifica l’effettiva operatività della società, la sua struttura patrimoniale o l’identità del suo titolare effettivo, che si rivelerà essere un prestanome collegato all’intermediario finanziario coinvolto nell’operazione di insider trading.
Questa omissione apre la strada alla contestazione del reato di corruzione tra privati (art. 2635 c.c.), altro illecito presupposto del D.Lgs. 231/2001. Il pagamento di una tangente, mascherata da compenso per consulenza, per orientare le decisioni degli azionisti, espone sia TML CV Holdings sia EuroBridge a conseguenze devastanti. Il profitto del reato, identificato dalla magistratura nell’intero valore dell’operazione di acquisizione o, in subordine, nel risparmio di spesa ottenuto grazie al prezzo “pilotato”, diventa suscettibile di confisca per equivalente. Questo significa che il sequestro preventivo, finalizzato alla confisca, può aggredire qualsiasi bene nella disponibilità dell’ente per un valore corrispondente, paralizzandone l’operatività finanziaria.
L’adozione di un sistema integrato di gestione del rischio avrebbe bloccato questa catena di eventi al primo anello. La richiesta di accreditamento di Pharos Consulting Ltd come fornitore avrebbe attivato un workflow digitale obbligatorio. I protocolli di analisi multimodale avrebbero automaticamente interrogato banche dati internazionali, segnalando immediatamente molteplici red flags: la costituzione recente della società, la localizzazione in una giurisdizione a rischio, l’assenza di un bilancio depositato e, soprattutto, l’impossibilità di identificare con certezza il titolare effettivo. Il sistema avrebbe classificato il fornitore con un rating di rischio “critico”, impedendo l’emissione di qualsiasi ordine di pagamento e notificando l’anomalia alla funzione Antiriciclaggio e all’Organismo di Vigilanza. Ogni passaggio – dalla richiesta di due diligence all’esito negativo, dal blocco del pagamento all’escalation – sarebbe stato registrato in un log immutabile, costituendo una prova inoppugnabile dell’efficace attuazione del modello di prevenzione. L’ente avrebbe potuto dimostrare di non aver autorizzato il pagamento illecito, ma di averlo attivamente impedito grazie ai suoi presidi tecnologici, isolando la responsabilità penale sui soggetti che avevano tentato di aggirare le procedure.
L’inchiesta penale, avviata a luglio 2026 dalla Guardia di Finanza su segnalazione di operazione sospetta da parte di un istituto di credito, ha portato all’acquisizione di tabulati telefonici e documenti presso la sede di EuroBridge. Gli inquirenti hanno facilmente ricostruito la fuga di notizie e lo schema corruttivo. La società di consulenza, pur non essendo direttamente coinvolta nell’OPA finale approvata dalla Consob, si trova ora iscritta nel registro degli indagati ai sensi del D.Lgs. 231/2001. Il danno non è solo reputazionale. Il Pubblico Ministero ha richiesto il sequestro preventivo dei profitti derivanti dalla commissione percepita per l’assistenza nell’operazione, quantificati in svariate decine di milioni di euro. Inoltre, pende il rischio di una sanzione interdittiva, come il divieto di contrattare con la pubblica amministrazione, che per una società di consulenza di quel livello equivarrebbe a una condanna a morte economica.
La notizia del via libera della Consob all’OPA di Tata su Iveco, il 3 settembre, è quindi una medaglia a due facce. Per il mercato, è la conclusione positiva di un’operazione strategica. Per gli addetti ai lavori, è l’inizio di un lungo e complesso procedimento giudiziario che metterà a nudo la differenza abissale tra una compliance formale, fatta di documenti e procedure cartacee, e una compliance sostanziale, radicata in un’architettura tecnologica che monitora, previene e documenta. EuroBridge si difenderà sostenendo che il proprio modello era adeguato e che la colpa è unicamente del suo dipendente infedele. Ma senza registrazioni probatorie, senza log di sistema, senza la prova di aver attivato contromisure concrete di fronte a segnali di allarme, l’onere della prova ricade interamente sull’ente. Dimostrare di aver fatto tutto il possibile per prevenire il reato diventa un esercizio teorico, non un fatto documentato. L’ecosistema Scudo231 avrebbe fornito quella che in ambito forense è definita “prova tecnologica immodificabile”, un pacchetto di dati che ricostruisce scientificamente la catena causale e dimostra l’assenza di colpa organizzativa. Senza di esso, la difesa di EuroBridge si affida alla sola eloquenza dei suoi legali, mentre l’accusa può contare sulla solida materialità dei fatti.