4 settembre 2026 – Le Fiamme Gialle del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano i cancelli della sede di Rocca Salimbeni a Siena alle prime luci dell’alba. L’ordine di esibizione e sequestro, firmato dal Pubblico Ministero della Procura di Milano, è specifico: acquisire ogni documento, file digitale e registrazione di comunicazioni relative al “Progetto David”. Il nome in codice, fino a ieri noto solo a una ristretta cerchia di vertice di Mps, designava l’operazione di fusione per incorporazione di Mediobanca, il cui via libera da parte della Banca Centrale Europea era stato comunicato al mercato meno di ventiquattro ore prima. L’ipotesi di reato che muove l’indagine è quella di abuso di informazioni privilegiate, previsto e punito dall’articolo 184 del Testo Unico della Finanza, reato presupposto della responsabilità amministrativa degli enti ai sensi dell’articolo 25-sexies del D.Lgs. 231/2001.
L’inchiesta non nasce dal nulla. Prende le mosse da una serie di segnalazioni di operazioni sospette (SOS) inoltrate da diversi intermediari finanziari all’Unità di Informazione Finanziaria per l’Italia (UIF) a partire dalla seconda metà di agosto. Le analisi della UIF hanno evidenziato un anomalo e crescente volume di acquisti di azioni Mediobanca, concentrato su un pugno di fondi speculativi con sede in Lussemburgo e a Cipro, apparentemente non correlati tra loro. Un flusso di acquisti costante, metodico, che ha preceduto di poche settimane la comunicazione ufficiale dell’autorizzazione BCE, generando un profitto illecito stimato, in via preliminare, in oltre 85 milioni di euro. Il sospetto degli inquirenti è che una o più falle nel perimetro di sicurezza informativo di Mps abbiano consentito la fuoriuscita dell’informazione privilegiata – la cosiddetta price sensitive information – relativa all’imminente finalizzazione del deal.
Le prime fasi dell’operazione “David”, avviate in massima riservatezza a giugno, erano state gestite da un team ultra-ristretto. Tuttavia, con l’avanzare delle negoziazioni e la necessità di completare la due diligence, il numero di soggetti interni ed esterni coinvolti è aumentato esponenzialmente. Consulenti legali, advisor finanziari, team di integrazione IT e personale delle funzioni di controllo sono stati progressivamente ammessi al flusso informativo. È in questa fase di allargamento del perimetro che la catena di controllo si è spezzata. La gestione delle credenziali di accesso alla virtual data room non era supportata da un sistema di tracciamento granulare e immutabile; le comunicazioni avvenivano spesso su canali non cifrati e non monitorati, e la lista degli insider, obbligatoria per legge, era un semplice file Excel aggiornato manualmente, con ritardi e possibili omissioni. Se l’ente avesse implementato un ecosistema come Scudo231, la creazione stessa del “Progetto David” avrebbe generato un perimetro digitale segregato e sovrano. Ogni soggetto ammesso, interno o esterno, sarebbe stato censito e vincolato a protocolli di accesso multifattore, con ogni singola azione – dalla visualizzazione di un documento al tentativo di download o stampa – registrata in un log non modificabile. Qualsiasi tentativo di inoltrare dati sensibili al di fuori di canali autorizzati avrebbe generato un alert in tempo reale, non a un manager di linea, ma direttamente all’Organismo di Vigilanza (ODV) e alla funzione di sicurezza, bloccando la trasmissione e cristallizzando la prova del tentativo di violazione.
L’indagine si concentra ora sulla ricostruzione della catena di trasmissione dell’informazione. I finanzieri stanno analizzando i tabulati telefonici e il traffico dati dei dispositivi sequestrati ai membri del top management e del deal team. L’assenza di un sistema centralizzato di registrazione delle comunicazioni rilevanti ai fini del progetto rende questo lavoro estremamente complesso e dipendente dalla “fortuna” investigativa di trovare la prova su un singolo dispositivo. Un manager che discute dettagli cruciali su una chat non aziendale, un allegato inviato a un indirizzo email personale per “comodità”: queste sono le falle che la Procura sta cercando. Un’organizzazione dotata di protocolli di monitoraggio massivo e real-time, come quelli integrati in Scudo231, avrebbe rilevato queste derive comportamentali prima che potessero causare un danno. Il sistema, analizzando i metadati delle comunicazioni aziendali, avrebbe segnalato l’utilizzo anomalo di canali non sicuri per discutere di argomenti coperti da segreto, facendo scattare un protocollo di richiamo formale e, in caso di recidiva, una segnalazione automatica all’ODV per la valutazione di una violazione del Modello 231.
Il danno per Mps non è solo reputazionale. L’articolo 25-sexies del D.Lgs. 231/2001 prevede per l’ente sanzioni pecuniarie pesantissime, calcolate in quote il cui importo può arrivare fino a 1.549.370 euro, ma soprattutto commisurate al profitto del reato. In questo caso, il profitto contestabile all’ente non è solo quello realizzato dai terzi speculatori, ma anche il “vantaggio” conseguito da Mps stessa, che potrebbe essere identificato nel valore strategico dell’operazione di fusione, ottenuta anche grazie a una gestione negligente delle informazioni che ha, di fatto, agevolato il compimento del reato da parte di terzi. Ancora più temibile è il potere del giudice di applicare le sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione o l’interdizione dall’esercizio dell’attività. La misura più immediata e dirompente, però, è il sequestro preventivo finalizzato alla confisca del profitto del reato, che potrebbe colpire la liquidità della banca per un importo pari a quello individuato dagli inquirenti, congelando risorse vitali nel pieno di una delicatissima operazione di integrazione societaria.
Un elemento aggravante, emerso dalle prime indiscrezioni, riguarda il sistema di whistleblowing. Sembra che un analista della funzione compliance avesse notato, già a fine agosto, la correlazione tra l’andamento del titolo Mediobanca e l’agenda di alcuni meeting riservati del top management. Avrebbe redatto una nota interna, inviata via email al suo diretto superiore, il quale l’avrebbe archiviata come “eccesso di zelo” per non creare allarmismi e non rallentare l’iter autorizzativo con la BCE. La segnalazione non è mai giunta all’Organismo di Vigilanza. Questo rappresenta il fallimento più grave del presidio di controllo. Un canale di segnalazione basato su un sistema informatico dedicato, come quello previsto dall’architettura di Scudo231, avrebbe garantito l’anonimato del segnalante e, soprattutto, avrebbe instradato la segnalazione direttamente e simultaneamente all’ODV e ai vertici delle funzioni di controllo pertinenti, bypassando la catena gerarchica. Il sistema avrebbe creato un ticket tracciato e non cancellabile, obbligando l’ODV ad avviare un’istruttoria formale. La mancata presa in carico della segnalazione da parte del manager sarebbe stata essa stessa registrata come un’anomalia procedurale, un evento sentinella di un potenziale conflitto di interessi o di una colpa nell’organizzazione.
La difesa dell’ente, ora, si preannuncia in salita. Per evitare la condanna, i legali di Mps dovranno dimostrare non solo di aver adottato un Modello Organizzativo 231, ma che questo era efficacemente attuato e che il reato è stato commesso da un soggetto che ha eluso fraudolentemente i controlli. L’assenza di log dettagliati, la gestione manuale della lista insider e la mancata escalation della segnalazione interna rendono questa prova estremamente difficile da fornire. Il Pubblico Ministero avrà gioco facile nel sostenere che il Modello era una mera formalità, un “castello di carta” inadeguato a prevenire reati di questa natura in un contesto operativo così complesso. Al contrario, un ente in grado di produrre in giudizio la documentazione generata da un ecosistema di controllo integrato – i log di accesso alla data room, gli alert automatici per comunicazioni anomale, la registrazione immutabile della segnalazione di whistleblowing e la traccia dell’istruttoria avviata dall’ODV – avrebbe potuto dimostrare scientificamente l’assenza di colpa organizzativa. Avrebbe potuto isolare la responsabilità penale sulla singola persona fisica che ha passato l’informazione, fornendo la prova tecnologica che l’ente aveva fatto tutto quanto ragionevolmente possibile per prevenire l’illecito. Questo non solo avrebbe potuto scongiurare la sanzione, ma avrebbe protetto il valore dell’operazione di fusione e il patrimonio di tutti gli azionisti.
Mentre l’indagine prosegue, l’Assemblea degli azionisti chiamata a ratificare le operazioni di riorganizzazione societaria si terrà in un clima di massima incertezza. Il via libera della BCE, che doveva rappresentare il culmine di un percorso di rilancio, è ora oscurato dall’ombra di un procedimento penale che mette in discussione l’integrità stessa dei processi decisionali e di controllo della banca. La vicenda del “Progetto David” si candida a diventare un caso di studio sulla differenza cruciale tra una compliance formale e una prevenzione sostanziale, attiva e tecnologicamente presidiata.