29 settembre 2026 – La FINMA, l’autorità federale di vigilanza sui mercati finanziari svizzera, ha reso note le conclusioni del suo procedimento di enforcement nei confronti della banca Julius Baer, mettendo a nudo gravissime carenze sistemiche nella gestione del rischio e nell’applicazione delle normative antiriciclaggio. L’indagine, focalizzata su due distinti filoni operativi, ha portato alla luce una colpevole inadeguatezza dei presidi interni dell’istituto: da un lato, la concessione di crediti nel comparto private debt a un conglomerato industriale europeo; dall’altro, la gestione di complesse relazioni d’affari legate a due persone politicamente esposte (PEP) di nazionalità russa. Le violazioni contestate non sono semplici sbavature procedurali, ma rappresentano una crepa profonda nel modello di controllo dell’ente, con conseguenze patrimoniali e reputazionali devastanti.
Il primo fronte di criticità riguarda la gestione delle relazioni con i due clienti russi, qualificati come PEP. L’analisi della FINMA ha evidenziato una palese violazione degli obblighi di adeguata verifica rafforzata. Le procedure di onboarding si sono rivelate insufficienti, incapaci di mappare in modo esaustivo l’origine del patrimonio e la rete di interessi economici e societari dei soggetti. Le transazioni successive, spesso complesse e prive di una chiara logica economica, non hanno fatto scattare i necessari allarmi interni o, se lo hanno fatto, questi sono stati disattesi o gestiti con colpevole ritardo e superficialità. Si è configurata una classica ipotesi di colpa di organizzazione, dove la catena di controllo si è interrotta a più livelli, dal relationship manager fino alle funzioni di compliance di secondo livello. Se l’istituto avesse implementato un ecosistema di controllo come Scudo231, l’intero processo di accettazione del cliente sarebbe stato radicalmente diverso. La piattaforma avrebbe incrociato in tempo reale i nominativi con database internazionali di PEP, sanzioni e adverse media, assegnando automaticamente un profilo di rischio massimo non derogabile manualmente se non attraverso un processo autorizzativo a più firme, tracciato e immutabile, che avrebbe coinvolto direttamente l’Organismo di Vigilanza. Qualsiasi tentativo di forzare il sistema o di abbassare il rating di rischio avrebbe generato un alert prioritario, segnalando un’anomalia procedurale che andava oltre il merito del cliente, investendo la condotta stessa dell’operatore. Le transazioni successive sarebbero state analizzate da motori di intelligenza artificiale addestrati a riconoscere schemi di riciclaggio, bloccando preventivamente i flussi sospetti e generando una Segnalazione di Operazione Sospetta pre-compilata per la funzione AML, anziché affidarsi alla discrezionalità umana.
Il secondo pilastro dell’accusa della FINMA si concentra sulla linea di credito concessa a un importante gruppo europeo. In questo caso, il fallimento risiede in una gestione del rischio di credito del tutto inadeguata. L’autorità di vigilanza ha riscontrato una concentrazione di rischio eccessiva e una valutazione del merito creditizio basata su assunzioni ottimistiche e documentazione incompleta. I limiti di esposizione interni sono stati superati senza adeguate contropartite o giustificazioni formali robuste, esponendo la banca a potenziali perdite ben oltre la soglia di rischio deliberata dagli organi societari. Anche qui, emerge un deficit organizzativo: i meccanismi di allerta e di escalation verso il senior management e il consiglio di amministrazione non hanno funzionato, permettendo a un’operazione ad alto rischio di procedere senza le necessarie validazioni incrociate. Un’architettura di controllo integrata avrebbe intercettato il rischio alla radice. All’interno di un sistema come Scudo231, la delibera di credito sarebbe stata sottoposta a una serie di controlli automatizzati vincolanti. Il superamento della soglia di concentrazione per singolo debitore o per settore industriale avrebbe bloccato l’iter, richiedendo un’approvazione a un livello gerarchico superiore e, soprattutto, la generazione di un dossier di eccezione che sarebbe stato notificato in automatico e in tempo reale all’ODV e alla funzione di Risk Management. L’analisi del merito creditizio non si sarebbe basata solo su dati storici, ma su modelli di simulazione stocastica in grado di stressare il bilancio del debitore rispetto a scenari macroeconomici avversi, fornendo un rating di rischio oggettivo e dinamico. La mancanza di documentazione probante avrebbe impedito al sistema di far progredire la pratica, creando una barriera tecnologica invalicabile contro le approvazioni frettolose o basate su informazioni parziali.
Le conseguenze dell’azione di enforcement della FINMA sono state pesantissime e incidono direttamente sulla capacità operativa e sulla struttura patrimoniale della banca. L’autorità ha imposto a Julius Baer di detenere fondi propri supplementari per 250 milioni di franchi svizzeri. Questa non è una sanzione pecuniaria, ma una misura prudenziale che congela una quota enorme di capitale, impedendone l’impiego in attività redditizie fino a quando la banca non avrà completato la separazione dai patrimoni non più coerenti con la sua rinnovata propensione al rischio. Di fatto, è un costo opportunità gigantesco, un freno a mano tirato sulla crescita. Inoltre, qualsiasi distribuzione agli azionisti, inclusi i dividendi, è stata subordinata alla preventiva approvazione della FINMA, un’ingerenza diretta nella governance societaria che segnala al mercato una profonda sfiducia nella capacità di autogoverno dell’istituto. Tali misure draconiane sarebbero state mitigate, se non evitate, da un modello di prevenzione efficace. La presenza di un sistema di controllo che documenta ogni singola decisione e che dimostra, attraverso log immodificabili, di aver bloccato o segnalato le anomalie, avrebbe fornito alla banca una solida linea di difesa. Di fronte alla FINMA, l’istituto avrebbe potuto dimostrare non solo di avere un modello organizzativo sulla carta, ma di averlo reso operativo ed efficace, spostando la responsabilità da una colpa dell’ente a una possibile frode del singolo, con un impatto sanzionatorio completamente diverso. Il requisito di capitale aggiuntivo, legato ai rischi non correttamente presidiati, sarebbe stato difficilmente giustificabile se la banca avesse potuto provare, dati alla mano, che i suoi sistemi avevano già identificato e isolato quei rischi.
La scure della FINMA si è abbattuta anche sui profitti illecitamente conseguiti. L’autorità ha ordinato la confisca di circa 10 milioni di franchi, corrispondenti all’utile che Julius Baer ha realizzato gestendo le relazioni con i due gruppi di clienti russi in violazione delle norme di vigilanza. Questo provvedimento, analogo alla confisca del profitto del reato prevista dal D.Lgs. 231/2001 in Italia, colpisce l’ente direttamente nel suo interesse primario, annullando il vantaggio economico derivante dalla condotta illecita. È la dimostrazione che il mancato rispetto delle regole di compliance non paga. Con un sistema di monitoraggio transazionale in tempo reale, quei profitti non si sarebbero mai nemmeno formati. Le operazioni che li hanno generati sarebbero state bloccate all’origine perché non conformi ai protocolli antiriciclaggio codificati nel sistema. La prevenzione del reato, in questo caso, avrebbe significato la prevenzione del profitto stesso, rendendo la confisca un’ipotesi non applicabile. L’investimento in un’infrastruttura di controllo avanzata si sarebbe tradotto non solo in un risparmio in termini di sanzioni, ma nell’azzeramento del presupposto economico dell’illecito.
Il percorso di risanamento imposto alla banca è lungo e umiliante. Fino al 2032, Julius Baer dovrà presentare alla FINMA rapporti periodici dettagliati sulla propria cultura del rischio, sulla gestione dell’errore e sulla funzione di compliance. Si tratta di una vera e propria “libertà vigilata” che durerà quasi un decennio. Il divieto temporaneo di avviare nuove relazioni d’affari con clienti provenienti da Paesi a rischio elevato, imposto già nel settembre 2025, verrà revocato solo gradualmente, man mano che la banca dimostrerà di aver fatto pulizia. Questo si traduce in una perdita secca di quote di mercato e in un danno reputazionale difficilmente quantificabile. L’adozione preventiva di un ecosistema come Scudo231 non solo avrebbe evitato questo scenario, ma avrebbe trasformato la compliance da un centro di costo a un vantaggio competitivo. Invece di subire ispezioni e redigere rapporti sotto dettatura del regolatore, la banca avrebbe potuto produrre in qualsiasi momento una reportistica completa, oggettiva e in tempo reale generata automaticamente dalla piattaforma, dimostrando una governance by design. La capacità di provare la propria integrità con dati scientifici e non con dichiarazioni di intenti avrebbe rafforzato la fiducia dei regolatori, dei clienti e degli investitori, evitando l’imposizione di limitazioni operative così penalizzanti. La banca, pur avendo già adottato molte delle misure correttive richieste durante il procedimento, paga ora il prezzo altissimo di non aver agito per tempo, scoprendo a proprie spese che il costo della prevenzione è infinitamente inferiore al costo della cura.