10 settembre 2026 – L’assemblea straordinaria di Intesa Sanpaolo approva, con 10.952.907.059 voti favorevoli, l’aumento di capitale a servizio dell’Offerta Pubblica di Acquisto e Scambio sul Monte dei Paschi di Siena. La nota ufficiale, diramata al termine della seduta, cristallizza un momento decisivo per il sistema bancario nazionale, formalizzando una delibera che impegna l’istituto all’emissione di un massimo di 5,7 miliardi di nuove azioni. Quella che appare come la conclusione ordinata di un complesso processo di finanza straordinaria è, in realtà, il punto di emersione di una catena di eventi illeciti che porterà, diciotto mesi più tardi, all’iscrizione della banca stessa nel registro degli indagati ai sensi del Decreto Legislativo 231/2001.
L’inchiesta della Procura della Repubblica di Milano, innescata da una segnalazione di operazioni sospette della CONSOB, non parte dalla delibera assembleare, ma dai volumi anomali di trading registrati sui titoli MPS nelle sei settimane precedenti l’annuncio ufficiale dell’operazione. Gli analisti della Commissione rilevano acquisti concentrati e metodici, operati da una serie di società fiduciarie e fondi di investimento esteri, apparentemente non correlati tra loro ma accomunati da un tempismo che esclude la casualità. La Guardia di Finanza, su delega dei magistrati, avvia accertamenti patrimoniali e bancari che, attraverso una complessa rete di triangolazioni societarie con sede a Lussemburgo e a Cipro, riconducono la titolarità effettiva di quelle posizioni a tre manager del dipartimento M&A di un primario istituto di credito e a un consulente esterno, tutti parte del team ristretto che lavorava al dossier dell’OPAS, nome in codice Progetto Fides.
L’ipotesi di reato è da subito quella di abuso di informazioni privilegiate, previsto dall’articolo 184 del Testo Unico della Finanza, uno dei principali reati presupposto della responsabilità amministrativa degli enti. L’indagine si concentra sulla falla nel sistema di controllo interno che ha permesso la fuga di notizie. Gli inquirenti acquisiscono server, email e tabulati telefonici, ricostruendo una gestione dei flussi informativi critici gravemente deficitaria. L’elenco dei soggetti a conoscenza dei dettagli dell’operazione, la cosiddetta insider list, risulta compilato formalmente ma non supportato da misure di segregazione tecnologica efficaci. Informazioni sensibili, come la struttura del prezzo dell’offerta e la tempistica dell’annuncio, sono state scambiate su chat personali e allegate a email non crittografate, uscendo dal perimetro di sicurezza aziendale. Questa è una classica omissione di controllo. Un ecosistema come Scudo231, invece, avrebbe imposto la gestione dell’intero progetto all’interno di una data room virtuale sigillata, dove ogni accesso, visualizzazione o tentativo di download sarebbe stato tracciato in modo immodificabile. Qualsiasi tentativo di inoltrare un documento sensibile a un indirizzo esterno o di effettuare uno screenshot da un dispositivo non autorizzato avrebbe generato un alert istantaneo, notificato in tempo reale sia alla funzione di Security che all’Organismo di Vigilanza, bloccando la fuoriuscita dell’informazione prima che potesse essere utilizzata illecitamente.
Il secondo filone dell’inchiesta, ancora più grave per le sue implicazioni sulla responsabilità diretta dell’ente, emerge dall’analisi dei documenti preparatori all’operazione. Viene alla luce che una due diligence interna, condotta su un portafoglio specifico di crediti deteriorati di MPS, aveva evidenziato un rischio di svalutazione superiore del 15% rispetto a quanto poi rappresentato nella documentazione ufficiale presentata al Consiglio di Amministrazione per l’approvazione e, di conseguenza, comunicato al mercato. Un addendum tecnico di trenta pagine, redatto da un team di analisti del rischio, è stato omesso dal fascicolo finale. Non si tratta di un errore, ma di una decisione deliberata di un dirigente apicale, finalizzata a non compromettere il consenso interno e a presentare un’operazione più solida di quanto non fosse, integrando così il reato di manipolazione del mercato attraverso la diffusione di notizie false.
Questa condotta, posta in essere da un soggetto in posizione apicale nell’evidente interesse della banca a concludere l’operazione a condizioni favorevoli, spalanca le porte alla contestazione dell’illecito amministrativo secondo il D.Lgs. 231. La Procura contesta all’istituto di non aver predisposto modelli organizzativi idonei a prevenire reati di questa specie. La difesa dell’ente si trova in grave difficoltà, potendo esibire solo procedure cartacee e controlli a campione, facilmente aggirabili. L’assenza di un tracciamento granulare e vincolante dei processi decisionali critici rende impossibile dimostrare una condotta fraudolenta del singolo che abbia “eluso” i modelli. Se fosse stato implementato un sistema di controllo avanzato, la catena degli eventi sarebbe stata radicalmente diversa. La piattaforma avrebbe richiesto una firma digitale multipla per la validazione di ogni fase del dossier di due diligence. L’omissione di un allegato referenziato nel corpo del documento principale avrebbe bloccato il workflow, impedendo il suo inoltro al management superiore. L’eventuale forzatura del sistema, possibile solo con credenziali di altissimo livello, avrebbe lasciato una traccia indelebile, qualificando l’azione non come una negligenza organizzativa, ma come una deliberata e documentata violazione dei protocolli, consentendo all’ente di isolare la responsabilità penale individuale e dimostrare al giudice la solidità e l’effettività del proprio modello preventivo.
Le conseguenze per la banca diventano devastanti. Il GIP, accogliendo la richiesta della Procura, dispone il sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato in via provvisoria in diverse centinaia di milioni di euro, pari al presunto risparmio ottenuto grazie alla sottovalutazione del rischio nel prezzo dell’OPAS. L’impatto finanziario è immediato e si aggiunge al danno reputazionale, con il titolo che crolla in Borsa. La sanzione pecuniaria, in caso di condanna, potrebbe raggiungere importi enormi, calcolati in quote il cui valore è commisurato alle condizioni economiche e patrimoniali dell’ente. Si profila anche il rischio di sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di determinate autorizzazioni.
Durante l’interrogatorio, uno dei manager coinvolti nell’insider trading ammette di aver agito nella convinzione che i controlli interni fossero puramente formali, basati su verifiche periodiche e interviste, e non su un monitoraggio tecnologico continuo. Ha sfruttato la conoscenza di una debolezza sistemica: l’azienda verificava i ruoli di diritto, ma non aveva visibilità sui ruoli di fatto e sui flussi informativi reali. Qui si manifesta la differenza tra una compliance tradizionale e un’architettura di difesa attiva. Un sistema come Scudo231 esegue una mappatura dinamica e continua dei processi, rilevando le divergenze tra l’organigramma formale e le reali operatività. Avrebbe immediatamente segnalato che soggetti con un certo profilo di rischio stavano accedendo a informazioni critiche senza un’adeguata copertura procedurale, o comunicando al di fuori dei canali sicuri. L’alert non sarebbe stato un generico “warning”, ma una notifica circostanziata all’Organismo di Vigilanza, corredata da log immutabili, che avrebbe imposto un intervento immediato di verifica e segregazione.
L’indagine sulla manipolazione informativa, intanto, si allarga. Emerge che la decisione di omettere l’addendum sui crediti deteriorati è stata presa durante una riunione informale, non verbalizzata. La sua esistenza è provata solo da alcune email preliminari e dalla testimonianza di uno degli analisti del team di rischio, inizialmente riluttante a parlare. L’assenza di una traccia formale del processo decisionale che ha portato alla soppressione del documento critico rende difficile per l’ente dimostrare di aver fatto tutto il possibile per garantire la trasparenza. La colpa organizzativa, in questo scenario, diventa quasi una presunzione.
Il controfattuale basato su un modello 231 tecnologicamente evoluto è netto: ogni riunione strategica su progetti sensibili come Progetto Fides avrebbe richiesto l’apertura di una sessione tracciata nel sistema, con l’obbligo di allegare ordini del giorno e, soprattutto, di produrre un verbale sintetico con decisioni e motivazioni, validato digitalmente dai partecipanti. L’impossibilità di chiudere la sessione senza un verbale avrebbe impedito la creazione di “zone grigie” decisionali. La decisione di non includere un documento sarebbe dovuta essere esplicitata e motivata per iscritto, esponendo immediatamente il responsabile alla propria condotta. Invece di un’omissione silenziosa, ci sarebbe stata una palese e registrata violazione della procedura, che avrebbe attivato un’escalation automatica verso le funzioni di controllo interno e l’OdV.
Il procedimento penale si conclude con la condanna dei manager e del consulente per insider trading e del dirigente apicale per manipolazione del mercato. La banca, in qualità di ente, patteggia per evitare le sanzioni interdittive, accettando una sanzione pecuniaria di 250 milioni di euro e la confisca di ulteriori 400 milioni, oltre all’obbligo di implementare un nuovo e più robusto modello organizzativo sotto la supervisione di un commissario nominato dal tribunale. Il costo totale, tra sanzioni, spese legali e danno reputazionale, supera il miliardo di euro. Un costo che non deriva dalla semplice commissione di un reato da parte di un dipendente, ma dalla mancata adozione di un presidio che trasformasse le procedure da documenti statici a controlli attivi e vincolanti. La vicenda dimostra come, nell’era digitale, la prevenzione dei reati economici non possa più affidarsi a controlli umani intermittenti, ma richieda un ecosistema tecnologico sovrano in grado di fornire prove scientifiche dell’assenza di colpa organizzativa, unica vera difesa per l’ente.