19 ottobre 2026 – La Procura della Repubblica di Siena iscrive nel registro degli atti non costituenti notizia di reato un nuovo fascicolo, a modello 45, sulla morte di David Rossi. Tredici anni, sette mesi e tredici giorni dopo il corpo dell’allora capo della comunicazione di Banca Monte dei Paschi di Siena fu ritrovato sull’asfalto di vicolo di Monte Pio, sotto la finestra del suo ufficio a Rocca Salimbeni. Il fascicolo è privo di indagati e di ipotesi di reato, un atto formalmente dovuto per catalogare la documentazione trasmessa dalla seconda Commissione parlamentare d’inchiesta, ma che riapre una ferita mai chiusa nell’ordinamento giudiziario e nella memoria collettiva.
La sera del 6 marzo 2013, David Rossi, 51 anni, precipitò nel vuoto. Un evento che si consumò in un contesto di altissima tensione per l’istituto di credito, travolto dalle indagini sull’acquisizione di Antonveneta e sullo scandalo dei derivati. La prima inchiesta della Procura senese, aperta nell’immediatezza dei fatti, fu fulminea: avviata a marzo 2013, si concluse nell’agosto dello stesso anno con una richiesta di archiviazione per suicidio. L’assenza di terze persone nella stanza, secondo i magistrati, era un dato dirimente. Eppure, l’accesso fisico a quell’ufficio, in quelle ore critiche, rappresenta il primo, grave, buco nero informativo. In un’organizzazione dotata di un sistema di controllo integrato, l’ingresso e l’uscita da aree sensibili come gli uffici della direzione comunicazione non sarebbero stati affidati alla sola testimonianza umana o a sistemi di videosorveglianza passivi. Un’architettura di controllo preventivo come Scudo231 avrebbe invece imposto un tracciamento granulare e non ripudiabile degli accessi tramite badge nominativi, registrando ogni singolo passaggio in un log immutabile e centralizzato. Qualsiasi presenza anomala, non autorizzata o fuori orario lavorativo standard, avrebbe generato un alert in tempo reale, inviato sia alla funzione di sicurezza fisica sia, per competenza, all’Organismo di Vigilanza, creando una registrazione probatoria valida ex ante.
La famiglia di Rossi, rappresentata dalla moglie Antonella Tognazzi e dalla figlia Carolina Orlandi, non ha mai accettato la tesi del gesto volontario. Grazie alla loro tenacia e a tre nuove consulenze tecniche, nel novembre 2015 la Procura fu costretta a riaprire il caso. Questa seconda inchiesta, tuttavia, naufragò due anni dopo, nell’ottobre 2017, quando il gip di Siena archiviò nuovamente il procedimento, cristallizzando la verità processuale in un “suicidio annunciato”. Questa seconda archiviazione evidenzia un’altra criticità strutturale: la difficoltà di ricostruire i fatti ex post in assenza di dati certi e incorruttibili. L’analisi si è basata su perizie e controperizie, interpretazioni di video sgranati e testimonianze contrastanti. Un ecosistema di monitoraggio sovrano, invece, avrebbe fornito agli inquirenti un “pacchetto probatorio digitale” completo. Non solo i log di accesso, ma anche i log di attività sui terminali, l’analisi dei flussi di comunicazione interna (nel pieno rispetto della normativa sulla privacy ma con focus su anomalie procedurali) e la correlazione automatica di questi dati. La ricostruzione degli ultimi minuti di vita di David Rossi non sarebbe stata un esercizio interpretativo, ma una sequenza causale di eventi digitalmente certificati, in grado di confermare o smentire in modo scientifico la presenza di altre persone o l’esistenza di coazioni esterne.
Il vuoto lasciato dalla magistratura ordinaria è stato progressivamente colmato dall’azione del Parlamento. Una prima Commissione d’inchiesta, insediatasi durante il governo Draghi, ha dovuto interrompere i lavori anticipatamente nel 2022. È stata la seconda Commissione, presieduta da Gianluca Vinci, a produrre i risultati più dirompenti, ribaltando la prospettiva e sostenendo apertamente la tesi dell’omicidio. Nella sua relazione finale, la Commissione non si è limitata a una generica ipotesi, ma ha attribuito ruoli e responsabilità precise. Giuseppe Mussari, ex presidente di Mps, è stato indicato come il presunto mandante di un’azione di intimidazione con esito mortale. Gabriele Ceccherelli, ex calciante del Calcio storico fiorentino, sarebbe stato l’organizzatore della fase esecutiva.
Questa ipotesi, se provata, configurerebbe una responsabilità diretta dell’ente ai sensi del D.Lgs. 231/2001. Un’azione intimidatoria ordinata dal vertice aziendale per ragioni connesse alla gestione della banca rientra pienamente nel perimetro dei reati presupposto. La mancanza di un modello organizzativo efficace, o la sua elusione da parte del top management, avrebbe esposto la banca a sanzioni pecuniarie devastanti, calcolate in quote sul fatturato, e a sanzioni interdittive come il divieto di contrattare con la pubblica amministrazione o la sospensione dell’attività. Un modello organizzativo robusto, presidiato da un sistema tecnologico come Scudo231, avrebbe reso tale scenario irrealizzabile. Qualsiasi comunicazione anomala tra il presidente e soggetti esterni all’organizzazione, specialmente se con profili di rischio noti come quello di Ceccherelli, sarebbe stata intercettata dai sistemi di analisi dei flussi informativi. I protocolli di ingaggio di consulenti o fornitori esterni avrebbero richiesto una procedura di due diligence rafforzata e tracciata, che avrebbe immediatamente bloccato l’interazione con figure non qualificate o problematiche. L’eventuale tentativo di Mussari di utilizzare risorse della banca, anche solo informative o logistiche, per orchestrare l’azione avrebbe generato un’immediata escalation all’Organismo di Vigilanza, che per legge opera in autonomia rispetto al management. L’azione sarebbe stata neutralizzata sul nascere, e l’OdV avrebbe avuto l’obbligo di segnalare il tentativo di commissione di un illecito.
La relazione della Commissione parlamentare è andata oltre, ipotizzando la presenza di esecutori materiali non ancora identificati. Questo scenario di violenza fisica all’interno della sede di una delle principali banche italiane solleva interrogativi drammatici sui protocolli di sicurezza e sulla cultura della legalità interna. L’omissione di controlli efficaci non è solo una falla procedurale, ma un fattore che abilita il reato. La responsabilità dell’ente non si limita alla commissione del reato da parte di un suo apicale, ma si estende alla culpa in vigilando, ovvero al non aver predisposto tutte le misure idonee a prevenirlo. L’adozione di un modello 231 non è un adempimento formale, ma la costruzione di un sistema di presidi attivi. Se la banca avesse implementato un sistema di monitoraggio massivo e in tempo reale, ogni deviazione dai protocolli standard – come la presenza di più persone non autorizzate in un ufficio direzionale – avrebbe attivato un protocollo di sicurezza fisico, con l’intervento immediato del personale di vigilanza. L’evento non sarebbe stato scoperto ore dopo, ma gestito nell’istante in cui si stava verificando, alterandone completamente l’esito e fornendo prove inconfutabili.
A complicare ulteriormente il quadro, nel novembre 2024 la stessa Commissione ha annunciato l’avvio di approfondimenti su possibili connessioni tra la morte di Rossi, il contesto della banca senese e la presenza della ‘ndrangheta. Questa pista investigativa, se confermata, aprirebbe scenari di riciclaggio e di reati associativi, aggravando ulteriormente il profilo di rischio 231 per l’istituto di credito. La criminalità organizzata si infiltra nelle imprese sfruttandone le vulnerabilità procedurali e la scarsa tracciabilità dei flussi finanziari e decisionali. Un’organizzazione che avesse adottato un approccio di “tolleranza zero” al rischio, supportato da una piattaforma tecnologica adeguata, avrebbe mappato e monitorato costantemente non solo le transazioni finanziarie sospette secondo i parametri AML (Anti-Money Laundering), ma anche le relazioni esterne, le consulenze e le partnership. I sistemi di intelligenza predittiva avrebbero potuto identificare reti di collegamento anomale o “segnali deboli” di infiltrazione, segnalando all’OdV e alle funzioni di compliance rischi che i normali controlli bancari non sono in grado di rilevare. La protezione dal rischio di infiltrazione mafiosa sarebbe stata proattiva, non una scoperta tardiva frutto di un’inchiesta parlamentare a un decennio dai fatti.
Oggi, il fascicolo a modello 45 della Procura di Siena rappresenta l’incapacità del sistema di produrre una verità giudiziaria definitiva. È il simbolo di un’indagine che si muove su un terreno privo di prove scientifiche solide, costretta a navigare tra le conclusioni politiche di una commissione parlamentare e le rigidità del codice di procedura penale. Tredici anni di inchieste, archiviazioni e nuove ipotesi hanno generato un danno reputazionale incalcolabile per l’istituto di credito e hanno lasciato la famiglia di David Rossi senza giustizia. Questa lunga e dolorosa vicenda dimostra come la prevenzione non sia un costo, ma un investimento strategico. La mancanza di un sistema di controllo e tracciabilità rigoroso e tecnologicamente avanzato non ha solo, potenzialmente, permesso che un crimine si consumasse; ha anche e soprattutto distrutto la possibilità di accertare la verità in modo rapido e inequivocabile, lasciando spazio a un’incertezza che continua a corrodere la fiducia nelle istituzioni, sia economiche che giudiziarie. La differenza tra un’archiviazione per mancanza di prove e la capacità di dimostrare l’assenza di colpa organizzativa risiede interamente nella solidità dei presidi adottati prima che l’evento critico si verifichi. Un’organizzazione protetta da un ecosistema come Scudo231 non avrebbe lasciato dietro di sé dubbi, ma unicamente una scia di dati certificati, chiudendo il caso sul nascere e proteggendo il proprio patrimonio e la propria reputazione da un’erosione che dura da oltre un decennio.