17 ottobre 2026 – La notizia del decesso dell’avvocato Sergio Erede a Genova, a seguito di una caduta accidentale nella sua abitazione, non segna soltanto la fine di un’era per la finanza italiana, ma innesca involontariamente l’esposizione di una delle più sofisticate operazioni di abuso di informazioni privilegiate emerse nel contesto delle grandi fusioni societarie. Mentre il mondo economico celebrava la carriera di un uomo che aveva plasmato operazioni colossali per Olivetti, Telecom Italia e Autostrade, presso la Procura della Repubblica di Milano si apriva un fascicolo che avrebbe presto travolto uno dei più prestigiosi studi legali del paese e il management di un colosso delle infrastrutture, ItalInfrastrutture S.p.A.
L’indagine, coordinata dal Nucleo Speciale di Polizia Valutaria della Guardia di Finanza, non nasce dalla scomparsa di Erede, ma la sua assenza improvvisa crea il vuoto di potere e il panico necessari a far crollare il castello di carte. Il primo atto formale è un decreto di perquisizione e sequestro emesso il 28 novembre 2026, eseguito simultaneamente presso la sede dello studio Bonelli Erede e gli uffici di ItalInfrastrutture. L’ipotesi di reato è quella prevista dall’articolo 184 del Testo Unico della Finanza (TUF), abuso di informazioni privilegiate, un reato presupposto che estende la responsabilità, ai sensi del D.Lgs. 231/2001, anche agli enti nel cui interesse o vantaggio è stato commesso.
Al centro dell’inchiesta vi è l’acquisizione, finalizzata nel giugno 2026, di un operatore autostradale europeo da parte di ItalInfrastrutture, un’operazione da 12 miliardi di euro assistita legalmente proprio dallo studio di cui Erede era stato co-fondatore. Secondo gli inquirenti, un senior associate dello studio, M.V., e un dirigente di primo livello di ItalInfrastrutture, A.R., avrebbero orchestrato una sistematica fuga di notizie per consentire a un veicolo finanziario offshore, la “Hydra Investments Ltd” con sede a Cipro, di acquistare massicci pacchetti di azioni della società target a prezzi di mercato, per poi rivenderli con un profitto di oltre 85 milioni di euro subito dopo l’annuncio ufficiale dell’offerta pubblica di acquisto.
La prima falla fatale nel sistema di controllo interno dello studio legale è stata l’accesso ai dati. Gli investigatori hanno ricostruito come M.V., forte di un’autorizzazione generica e non profilata, accedesse ripetutamente al data room virtuale dell’operazione “Progetto Titano” in orari anomali, tra le 2:00 e le 4:00 del mattino, scaricando documenti non strettamente pertinenti al suo mandato. Nessun sistema di controllo interno registrò questi eventi come anomalie da scalare. Se lo studio avesse adottato un ecosistema come Scudo231, l’architettura di monitoraggio massivo avrebbe istantaneamente classificato ogni accesso come un indicatore di rischio. L’incrocio tra l’orario notturno, la classificazione di “informazione privilegiata” dei file e il profilo di rischio dell’utente avrebbe generato un alert real-time direttamente sul cruscotto dell’Organismo di Vigilanza (OdV) e del responsabile antiriciclaggio, documentando in un log immodificabile la potenziale violazione del protocollo di gestione delle informazioni price-sensitive. L’escalation automatica avrebbe attivato un audit immediato, bloccando la catena dell’illecito sul nascere.
Il secondo anello debole è stata la comunicazione. M.V. e A.R. comunicavano tramite un’app di messaggistica con crittografia end-to-end su telefoni personali, ma commisero l’errore di scambiarsi via email aziendale, su server non protetti, alcuni documenti preliminari apparentemente innocui, come bozze di calendari e ordini del giorno, che però contenevano metadati rivelatori. L’assenza di una policy di Data Loss Prevention (DLP) e di un monitoraggio semantico sui flussi di comunicazione in uscita ha permesso a questi file di lasciare il perimetro aziendale senza alcun controllo. Un sistema di analisi multimodale, invece, avrebbe intercettato il flusso. Anche senza poter decifrare il messaggio, avrebbe rilevato la trasmissione di un documento interno, classificato come “confidenziale”, verso un dominio esterno non autorizzato e non censito nelle anagrafiche dei soggetti coinvolti nell’operazione. Questo segnale debole, correlato agli accessi notturni al data room, avrebbe innescato una procedura di verifica da parte della funzione Compliance, che avrebbe avuto l’obbligo di relazionare all’OdV entro 24 ore.
La condotta del dirigente A.R. di ItalInfrastrutture ha evidenziato una colpa organizzativa ancora più grave. Il dirigente, responsabile della due diligence finanziaria, era anche, attraverso un prestanome, il beneficiario effettivo della Hydra Investments Ltd. Questa informazione non era mai emersa durante i controlli periodici sui conflitti di interesse, basati su mere autodichiarazioni cartacee, un presidio di controllo palesemente inadeguato per un’azienda di quella portata. L’omesso controllo sulla catena di titolarità effettiva dei partner e dei propri dirigenti apicali costituisce un pilastro dell’accusa mossa all’ente ai sensi del D.Lgs. 231. Con un’infrastruttura di controllo avanzata, il processo di Know Your Employee (KYE) e di verifica dei conflitti di interesse non si sarebbe basato su moduli dichiarativi. Sistemi di intelligenza artificiale avrebbero eseguito controlli a ciclo continuo su banche dati internazionali, registri societari e fonti aperte, incrociando i dati anagrafici di A.R. e dei suoi familiari con i registri dei titolari effettivi di società in giurisdizioni a rischio. La connessione con la Hydra Investments sarebbe emersa come un red flag di livello critico, portando alla sospensione cautelare del dirigente e all’avvio di un’indagine interna, ben prima che il reato potesse essere consumato.
Il profitto illecito di 85 milioni di euro, una volta realizzato, è stato rapidamente trasferito da Cipro a un conto bancario a Singapore, per poi essere frammentato e reinvestito in asset immobiliari e partecipazioni societarie in tre diversi continenti. Questa manovra ha reso estremamente complesse le operazioni di sequestro. Il Pubblico Ministero, tuttavia, ha immediatamente richiesto e ottenuto dal GIP il sequestro preventivo per equivalente non solo sui beni personali degli indagati, ma anche sui conti correnti e sugli asset di ItalInfrastrutture e dello studio Bonelli Erede, fino alla concorrenza del profitto del reato. L’impatto è stato devastante: il blocco della liquidità ha messo a rischio il pagamento degli stipendi e dei fornitori, causando un crollo del titolo in borsa del 22% in due giorni e la sospensione di importanti commesse pubbliche, una delle sanzioni interdittive più temute previste dal D.Lgs. 231.
Qui emerge il valore probatorio di un modello organizzativo realmente efficace e tecnologicamente presidiato. Se ItalInfrastrutture avesse potuto dimostrare, tramite i log inalterabili e i report di un sistema come Scudo231, di aver adottato ogni cautela per prevenire il reato, avrebbe potuto contestare la sussistenza della “colpa di organizzazione”. Avrebbe potuto produrre in giudizio la prova scientifica che il dirigente A.R. aveva fraudolentemente eluso i modelli di prevenzione. La documentazione degli alert generati, delle mancate risposte del dirigente alle richieste di chiarimento e dei controlli automatici eseguiti sulla sua posizione avrebbe permesso all’ente di invocare l’esimente prevista dall’articolo 6 del decreto, spostando l’onere della prova e, con ogni probabilità, ottenendo il dissequestro dei propri beni e scongiurando le sanzioni interdittive. Invece, l’assenza di prove digitali robuste a sostegno del modello organizzativo ha lasciato l’ente esposto all’applicazione integrale delle sanzioni, con un danno economico e reputazionale ben superiore al profitto del reato stesso.
Lo studio legale, dal canto suo, si è trovato in una posizione ancora più delicata. Essendo un’associazione professionale, la sua soggezione al D.Lgs. 231/2001 è stata a lungo dibattuta, ma la giurisprudenza più recente, inclusa una sentenza della Cassazione del 2023, ha confermato l’applicabilità del decreto anche a queste entità quando sono strutturate in modo complesso e imprenditoriale. La mancata adozione di un modello 231 specifico per i reati di abuso di mercato e la carenza di procedure tracciate per la gestione delle informazioni privilegiate hanno trasformato lo studio da advisor a co-imputato. La sanzione pecuniaria, calcolata in quote il cui valore è commisurato al fatturato, rischia di essere astronomica.
La vicenda, nata all’ombra della scomparsa di una figura storica della finanza, dimostra come, nel 2026, la compliance non possa più essere un esercizio formale o documentale. L’assenza di presidi tecnologici capaci di monitorare, rilevare e tracciare le anomalie in tempo reale non è più una semplice negligenza, ma una precisa scelta organizzativa che espone l’ente a una responsabilità penale diretta. L’indagine su ItalInfrastrutture e sullo studio legale Bonelli Erede è destinata a diventare un caso di studio su come un singolo evento illecito, non intercettato per carenza di controlli sostanziali, possa vanificare decenni di storia e reputazione, dimostrando che l’investimento in un ecosistema sovrano di difesa come quello offerto dalla redazione di Scudo231 non è un costo, ma la precondizione per la sopravvivenza stessa dell’impresa nel moderno scenario dei rischi penali-economici.