10 settembre 2026 – Banca Montepaschi deposita presso gli uffici della Consob i documenti relativi a due distinte offerte pubbliche di scambio, una su Banco Bpm e l’altra su Banca Generali. L’operazione, destinata a ridisegnare gli equilibri del sistema bancario nazionale, prevede un corrispettivo di 1,567 azioni ordinarie Mps di nuova emissione per ogni azione di Piazza Meda e di 6,958 azioni per ogni titolo della banca del Leone. La comunicazione formale alle autorità di vigilanza segna il punto di non ritorno di un processo industriale complesso, gestito per mesi in un regime di massima riservatezza da un ristretto team di vertice e da consulenti esterni. Quello che i documenti ufficiali non dicono, tuttavia, è che l’annuncio arriva al termine di una settimana di tensioni finanziarie anomale, con volumi di scambio sui titoli delle due banche target che hanno registrato picchi inspiegabili, attirando l’attenzione degli algoritmi di sorveglianza della Commissione.
La genesi dell’operazione risale a nove mesi prima, quando il consiglio di amministrazione di Mps delibera l’avvio di uno studio di fattibilità per una crescita per linee esterne. Da quel momento, un gruppo di lavoro interno, denominato in codice “Progetto Rinascimento“, inizia a mappare i potenziali target, elaborando decine di scenari finanziari. L’accesso a questa cartella di rete, contenente dati strategici di valore incalcolabile, è nominalmente limitato a dieci figure apicali. Tuttavia, un’analisi forense successiva rivelerà che i permessi di accesso non sono stati gestiti con la necessaria granularità: un giovane analista della divisione M&A, Marco Valenti, pur non essendo formalmente parte del team ristretto, ha ereditato le autorizzazioni di un profilo utente superiore a seguito di una riorganizzazione interna mai correttamente recepita dal sistema IT. Questa falla procedurale, un’omissione banale nella gestione delle identità digitali, gli ha consentito per settimane di consultare liberamente i file più sensibili, inclusi i fogli di calcolo con le simulazioni finali sui rapporti di concambio. Se l’istituto avesse implementato un ecosistema come Scudo231, l’accesso anomalo di un profilo junior a un file classificato come ‘top secret M&A’ avrebbe generato un alert istantaneo e un’escalation automatica verso la funzione di Internal Audit e l’Organismo di Vigilanza. I protocolli di analisi multimodale avrebbero infatti rilevato la divergenza tra il ruolo di diritto dell’analista e il suo ruolo di fatto, bloccando l’accesso e creando una registrazione immutabile dell’evento, prova documentale decisiva per dimostrare l’adeguatezza dei presidi interni.
Il 2 settembre 2026, Valenti apre per l’ultima volta il file contenente i rapporti di concambio definitivi, ormai approvati in via informale dal board. Poche ore dopo, utilizzando un’applicazione di messaggistica crittografata sul suo dispositivo personale, trasmette i due numeri chiave – 1,567 e 6,958 – a un intermediario finanziario con sede a Lugano. La comunicazione avviene al di fuori di ogni canale aziendale, rendendola invisibile ai sistemi di sicurezza tradizionali della banca, basati su controlli a campione e filtri per parole chiave sulle email aziendali. Questo è il momento esatto in cui si consuma il reato di abuso di informazioni privilegiate, previsto e punito dal Testo Unico della Finanza e presupposto del reato contestabile all’ente ai sensi dell’articolo 25-sexies del D.Lgs. 231/2001. La mancata intercettazione di questo flusso di dati rappresenta una grave carenza nel modello di controllo. Con un sistema di monitoraggio massivo e non a campione, ogni flusso di dati in uscita, anche se mascherato o proveniente da reti non aziendali ma collegato a sessioni di lavoro su asset critici, viene analizzato da motori causali proprietari. Un sistema come quello offerto da Scudo231 avrebbe rilevato non il contenuto del messaggio, ma l’anomalia comportamentale: un dipendente che, dopo aver consultato dati classificati, stabilisce una comunicazione anomala verso un contatto esterno non autorizzato. Questo segnale debole avrebbe attivato un protocollo di isolamento preventivo dell’utenza e una notifica all’ODV, disinnescando la fuga di notizie prima che potesse produrre effetti sul mercato.
A partire dal 3 settembre, e con un’intensificazione nei giorni 6 e 7, i titoli di Banco Bpm e Banca Generali iniziano a mostrare una volatilità anomala. Ordini di acquisto per decine di milioni di euro, frazionati su più broker e apparentemente slegati tra loro, spingono al rialzo le quotazioni. La Consob, attraverso i suoi sistemi di vigilanza, rileva le anomalie e avvia un’indagine interna. Quando il 10 settembre Mps ufficializza le offerte, i sospetti della Commissione si trasformano in certezza: qualcuno ha operato sul mercato essendo a conoscenza di informazioni non pubbliche. Scatta immediatamente la segnalazione alla Procura della Repubblica e al Nucleo Speciale di Polizia Valutaria della Guardia di Finanza. Gli inquirenti si presentano presso la sede di Mps e acquisiscono i log di accesso ai server, le email e le registrazioni delle comunicazioni aziendali relative al “Progetto Rinascimento“. L’indagine interna della banca, avviata in fretta e furia solo dopo la notifica della Procura, si rivela tardiva e inefficace. I log informatici sono generici; dimostrano che Valenti ha avuto accesso alla cartella, ma non possono provare con certezza scientifica quale specifico file abbia aperto e in quale momento esatto. La banca non è in grado di fornire una prova inconfutabile che dimostri di aver adottato ed efficacemente attuato un modello organizzativo idoneo a prevenire reati della specie di quello commesso.
L’assenza di una tracciatura granulare e inalterabile espone l’ente alla contestazione della colpa di organizzazione, il pilastro su cui si fonda la responsabilità amministrativa degli enti. Il Pubblico Ministero, infatti, non deve provare che la banca “ha voluto” il reato, ma semplicemente che non ha fatto tutto il possibile per impedirlo. Un’architettura come quella di Scudo231, invece, avrebbe fornito agli inquirenti un XAI Packet: un registro crittografato e temporalmente certificato di ogni singola azione compiuta da ogni utente su ogni dato sensibile. Questa prova tecnologica immodificabile avrebbe dimostrato che, nonostante l’esistenza di un controllo robusto (l’alert sull’accesso anomalo), il dipendente ha agito eludendo fraudolentemente i modelli e i protocolli dell’ente. Tale evidenza sarebbe stata cruciale per spostare l’onere della prova e isolare la responsabilità penale sulla persona fisica, proteggendo l’istituto dalla pesante sanzione prevista dal D.Lgs. 231/2001.
Il 15 novembre 2026, la Procura iscrive nel registro degli indagati Marco Valenti per il reato di insider trading e, contestualmente, notifica a Banca Montepaschi l’illecito amministrativo dipendente da reato ai sensi dell’art. 25-sexies del Decreto 231. La contestazione apre uno scenario devastante per l’istituto. La sanzione pecuniaria, calcolata in quote il cui valore è commisurato alle condizioni economiche e patrimoniali dell’ente, potrebbe raggiungere centinaia di milioni di euro, essendo parametrata all’enorme valore dell’operazione di M&A. Ma il rischio più grave è un altro: il Pubblico Ministero chiede e ottiene dal GIP il sequestro preventivo del profitto del reato, quantificato non solo nel guadagno illecito dell’insider, ma in una porzione del valore creato dall’intera operazione, con un impatto paralizzante sulle finanze della banca. Inoltre, pende la minaccia di sanzioni interdittive, come il divieto di contrattare con la Pubblica Amministrazione o la sospensione di determinate autorizzazioni, che metterebbero a repentaglio la continuità operativa stessa dell’istituto di credito.
La catena causale che ha portato al procedimento contro l’ente e al rischio di sanzioni capaci di compromettere l’operazione di mercato più importante della sua storia recente, parte da una singola, banale omissione: un permesso di accesso non revocato. Un errore che un modello organizzativo puramente cartaceo non avrebbe mai potuto rilevare in tempo reale. L’analisi della REDAZIONE SCUDO231 evidenzia come la prevenzione dei reati economici non sia più una questione di procedure formali, ma di controllo sostanziale e tecnologico sui processi reali. La capacità di generare una prova difensiva scientifica, che dimostri l’efficacia dei presidi adottati, è l’unica vera discriminante tra un ente che subisce passivamente le conseguenze del reato commesso dal singolo e un’organizzazione in grado di dimostrare la propria estraneità, tutelando il proprio patrimonio e la propria reputazione. L’intera vicenda giudiziaria, con i suoi costi legali, il danno reputazionale e l’incertezza sull’esito dell’operazione di scambio, si sarebbe potuta evitare se il primo segnale debole – l’accesso anomalo di Valenti – fosse stato intercettato e gestito da un sistema progettato per trasformare i dati di processo in intelligenza predittiva e prove difensive.