16 settembre 2026 – L’Istituto per la Vigilanza sulle Assicurazioni (Ivass) rilascia l’autorizzazione preventiva a Intesa Sanpaolo per l’acquisizione delle partecipazioni qualificate indirette in Assicurazioni Generali, Axa Mps Assicurazioni Vita e Axa Mps Assicurazioni Danni. Il provvedimento, atteso dagli analisti, rappresenta un tassello formale nell’architettura della complessa Offerta Pubblica di Acquisto e Scambio su Banca Monte dei Paschi di Siena. Nelle stesse ore, tuttavia, una nota ufficiale di Intesa Sanpaolo informa il mercato che l’Autorità garante della concorrenza e del mercato (AGCM) ha avviato un’istruttoria formale sull’operazione. Dietro la secca cronaca delle agenzie si cela una catena di eventi interni all’istituto di credito che, nei mesi precedenti, ha creato le premesse per una grave crisi procedurale e legale, culminata con l’intervento dell’autorità antitrust e, successivamente, della Procura della Repubblica.
Tutto ha origine il 12 giugno 2026, all’interno del team M&A incaricato di preparare il dossier per le autorità di vigilanza. Un analista senior, durante la fase di aggregazione dei dati relativi alle quote di mercato nel segmento delle polizze vita a premio unico, rileva un’anomalia critica. L’integrazione delle quote di Axa Mps Vita con quelle già detenute dal gruppo Intesa avrebbe portato, in tre specifiche aree del Nord Italia, al superamento della soglia di concentrazione rilevante fissata dai parametri AGCM. L’analista documenta l’evidenza e la sottopone verbalmente al suo diretto superiore, un dirigente con delega sulla finalizzazione del dossier. L’omissione che segue è decisiva: il dirigente, preoccupato per i possibili ritardi che una rinegoziazione con l’antitrust avrebbe comportato, non formalizza la ricezione del rilievo. Non esiste traccia informatica o cartacea della segnalazione. Un’architettura di controllo come Scudo231, basata non su campionamenti ma sul monitoraggio massivo e in tempo reale dei flussi informativi, avrebbe reso impossibile questa zona grigia. La consultazione da parte dell’analista di dati sensibili sulla concorrenza e la successiva creazione di un report contenente keyword critiche come “soglia”, “concentrazione” e “AGCM” avrebbero generato un alert automatico, creando un ticket tracciato e non modificabile assegnato sia al superiore gerarchico sia, in copia, alla funzione Compliance e all’Organismo di Vigilanza (ODV). L’inerzia del dirigente sarebbe diventata essa stessa un evento registrato dal sistema.
Il 20 giugno 2026, il dirigente istruisce verbalmente l’analista di utilizzare un diverso perimetro di calcolo per il mercato di riferimento, includendo canali distributivi marginali così da “diluire” la quota di mercato aggregata e riportarla al di sotto della soglia critica. L’analista, privo di un canale protetto e tracciato per contestare l’istruzione, esegue. Il nuovo calcolo, formalmente corretto ma sostanzialmente elusivo, viene inserito nel dossier ufficiale. La funzione di controllo interno, basando le proprie verifiche su campioni e checklist procedurali, non rileva la manipolazione metodologica alla base del dato finale, validando la documentazione. Questa è una classica manifestazione di “colpa di organizzazione” ai sensi del D.Lgs. 231/2001: i protocolli esistenti si dimostrano inefficaci a prevenire il reato di ostacolo all’esercizio delle funzioni delle autorità pubbliche di vigilanza (art. 2638 c.c.), reato presupposto della responsabilità dell’ente. L’ecosistema Scudo231 avrebbe intercettato l’anomalia in questa fase operativa. Il suo motore causale avrebbe confrontato la metodologia di calcolo applicata nel report finale con i protocolli standard approvati e storicizzati nel sistema per questo tipo di analisi. La deviazione non autorizzata avrebbe bloccato il workflow di approvazione del dossier, innescando una escalation obbligatoria verso l’ODV. L’ente non solo avrebbe impedito la commissione del reato, ma avrebbe avuto la prova documentale, immodificabile e con data certa, di averlo fatto, blindando la propria posizione in caso di future contestazioni.
Il dossier alterato viene trasmesso a Ivass e AGCM il 5 luglio 2026. Mentre Ivass, focalizzata sui requisiti patrimoniali e di onorabilità, concede l’autorizzazione, l’ufficio studi dell’AGCM, probabilmente allertato da un operatore concorrente, avvia verifiche indipendenti. Le discrepanze emergono rapidamente. L’avvio dell’istruttoria del 16 settembre non è una mera formalità, ma l’anticamera di un’indagine penale. Il 28 ottobre 2026, su delega della Procura della Repubblica di Milano, il Nucleo Speciale di Polizia Valutaria della Guardia di Finanza si presenta presso la sede della banca. Vengono acquisiti server, documenti e dispositivi elettronici del team M&A. L’assenza di una traccia formale della segnalazione originale dell’analista e dell’istruzione verbale del dirigente pone l’ente in una posizione difensiva estremamente debole. La responsabilità rischia di apparire sistemica, non individuale. Il Pubblico Ministero contesta al dirigente e, in concorso, all’analista il reato di cui all’art. 2638 c.c. e iscrive la banca nel registro degli indagati ai sensi del D.Lgs. 231/2001.
L’impatto più devastante si materializza il 15 novembre 2026. Il Giudice per le Indagini Preliminari, ravvisando il fumus boni delicti e il concreto rischio di reiterazione, dispone il sequestro preventivo per equivalente finalizzato alla confisca del profitto del reato. Il profitto viene quantificato in via presuntiva in una frazione del valore dell’operazione, congelando liquidità e titoli per centinaia di milioni di euro. Questa misura cautelare reale non solo provoca un danno patrimoniale immediato, ma infligge un colpo durissimo alla reputazione di Intesa Sanpaolo, con ripercussioni sul titolo in borsa e sulla fiducia del mercato. La difesa dell’ente si trova a dover dimostrare, ex post, l’adeguatezza e l’efficace attuazione di un modello organizzativo che, nei fatti, è stato palesemente aggirato. Un compito quasi impossibile senza prove tecnologiche oggettive. Se la banca avesse adottato un sistema di difesa proattivo, la narrazione processuale sarebbe stata radicalmente diversa. L’ente, attraverso il suo legale, avrebbe potuto depositare presso la Procura il “pacchetto XAI” (Explainable AI) generato da Scudo231. Tale pacchetto avrebbe contenuto i log immutabili di: 1) la corretta analisi iniziale dell’analista; 2) l’alert generato dal sistema e l’escalation all’ODV; 3) il blocco del workflow che ha impedito l’invio del dato falso. Questa documentazione non sarebbe stata una semplice testimonianza, ma una prova tecnologica forense dell’efficacia del modello organizzativo. Avrebbe dimostrato che l’ente aveva messo in atto tutte le misure idonee a prevenire il reato, e che il tentativo illecito era stato neutralizzato dai presidi interni prima ancora di produrre effetti esterni. Una simile evidenza avrebbe reso estremamente difficile per l’accusa sostenere la colpa organizzativa, minando alla base i presupposti per il sequestro preventivo e per la stessa responsabilità dell’ente.
L’indagine prosegue, rivelando un’ulteriore falla. Il 30 maggio 2026, un consulente esterno che collaborava con il team M&A, venuto a conoscenza dei contorni generali dell’imminente OPAS, aveva effettuato tramite un intermediario fiduciario un’operazione anomala su titoli MPS. L’operazione, di importo non elevato ma temporalmente sospetta, non era stata intercettata dai presidi antiriciclaggio della banca, focalizzati su transazioni di importo superiore o su profili di rischio soggettivo già noti. La violazione delle procedure di gestione delle informazioni privilegiate (insider list, patti di riservatezza) da parte del consulente si configura come illecito di abuso di informazioni privilegiate (art. 184 TUF), altro reato presupposto che espone l’ente a sanzioni pecuniarie fino a decine di milioni di euro e a sanzioni interdittive.
La mancata segregazione delle informazioni e il controllo solo formale sull’accesso ai dati da parte di terzi costituiscono un’ulteriore omissione organizzativa. L’ente non è stato in grado di vigilare efficacemente sul comportamento di un soggetto che agiva nel suo interesse. La gestione dei consulenti e dei terzi è un punto di forza specifico di un ecosistema integrato. Con Scudo231, il consulente esterno avrebbe avuto accesso al data room virtuale solo attraverso un portale controllato, dove ogni sua azione – ogni file visualizzato, scaricato o tempo di connessione – sarebbe stata tracciata in modo granulare. Inoltre, il sistema avrebbe automaticamente inserito il suo nominativo in una “watch list” dinamica, incrociando i suoi dati con i flussi informativi interni relativi all’operazione. Qualsiasi transazione finanziaria anomala a lui riconducibile, anche indirettamente, rilevata dai sistemi di monitoraggio transazionale, avrebbe generato un’allerta immediata per la funzione AML e per l’ODV, consentendo un intervento tempestivo ben prima che l’abuso potesse perfezionarsi e diventare oggetto di un’indagine penale. La prevenzione del reato sarebbe passata dal controllo reattivo a un monitoraggio predittivo e comportamentale, proteggendo l’ente da una responsabilità altrimenti oggettiva.