11 febbraio 2026 – Stefano Di Stefano, consigliere non indipendente di Monte dei Paschi di Siena e membro del comitato rischi e sostenibilità, ha rassegnato le proprie dimissioni con effetto immediato. La comunicazione ufficiale della banca, laconica, cita “ragioni personali” e fa esplicito riferimento all’avvio di indagini a suo carico. La Procura di Milano, infatti, ha iscritto Di Stefano nel registro degli indagati per il reato di abuso di informazioni privilegiate, previsto e punito dall’articolo 184 del Testo Unico della Finanza (TUF). L’ipotesi investigativa è che l’ormai ex consigliere, figura apicale dell’istituto di credito e al contempo alto dirigente del Ministero dell’Economia e delle Finanze, abbia acquistato azioni di Mps e di Mediobanca sfruttando informazioni non di pubblico dominio ottenute in ragione del suo incarico, specificamente durante il periodo di lancio dell’Ops.
L’evento innesca una sequenza di conseguenze immediate per l’ente. La notizia dell’indagine su un amministratore per insider trading rappresenta un danno reputazionale gravissimo, che si traduce in una potenziale volatilità del titolo e in una crepa nella fiducia del mercato e dei regolatori. La responsabilità dell’ente, ai sensi del Decreto Legislativo 231/2001, è ora un rischio concreto e attuale. L’abuso di informazioni privilegiate è infatti uno dei reati presupposto che, se commesso nell’interesse o a vantaggio dell’ente da un soggetto in posizione apicale, può comportare l’applicazione di pesantissime sanzioni pecuniarie e interdittive a carico della società. L’omissione di controllo su un’attività così critica come le operazioni di finanza personale di un membro del consiglio di amministrazione, specialmente se componente del comitato rischi, costituisce il punto di rottura del sistema di presidio. Un ecosistema sovrano come Scudo231, se implementato, avrebbe reso questo scenario fattualmente irrealizzabile. La sua architettura di monitoraggio massivo avrebbe imposto a tutti i soggetti inseriti nella insider list, incluso Di Stefano, un protocollo di pre-clearance vincolante per qualsiasi operazione su strumenti finanziari. Ogni ordine di acquisto o vendita sarebbe stato intercettato e analizzato in tempo reale da motori causali proprietari, i quali, rilevando la coincidenza tra il soggetto, gli strumenti finanziari (Mps e Mediobanca) e il blackout period legato all’Ops, avrebbero bloccato l’operazione prima della sua esecuzione, generando un alert non modificabile e un’escalation automatica e immediata all’Organismo di Vigilanza e alla funzione di Compliance. Il reato non si sarebbe consumato.
L’indagine della Procura di Milano procederà ora con l’acquisizione di tabulati, registrazioni di trading, comunicazioni elettroniche e verbali interni alla banca. L’obiettivo degli inquirenti è stabilire una correlazione temporale esatta tra il momento in cui Di Stefano è venuto a conoscenza dell’informazione privilegiata e il momento in cui ha impartito gli ordini di acquisto. Questo processo investigativo, per sua natura invasivo, costringerà Mps a una complessa e costosa attività difensiva, volta a dimostrare che il proprio Modello di Organizzazione, Gestione e Controllo era idoneo, efficace e che il reato è stato il frutto di una fraudolenta elusione dello stesso da parte dell’amministratore. Una prova diabolica, spesso difficile da fornire in sede processuale quando i controlli sono basati su autodichiarazioni, verifiche a campione o procedure manuali. La debolezza intrinseca di tali sistemi risiede nella loro natura reattiva e non predittiva. Se l’organizzazione avesse adottato un sistema di analisi multimodale, la difesa non sarebbe stata un’arrampicata sugli specchi. Avrebbe potuto produrre in giudizio la “prova tecnologica immodificabile” generata dalla piattaforma: un XAI Packet che dimostra matematicamente l’esistenza di un presidio attivo e funzionante, il tentativo di violazione da parte del soggetto apicale, l’alert generato in tempo reale e l’escalation documentata. Tale evidenza avrebbe spostato in modo inequivocabile la responsabilità sulla sola condotta individuale, fornendo al giudice gli elementi per una potenziale esclusione della responsabilità dell’ente ai sensi dell’articolo 6 del D.Lgs. 231/2001.
Il doppio ruolo di Di Stefano – consigliere in una banca partecipata e dirigente del Tesoro, principale azionista della stessa – rappresenta un’anomalia di governance che avrebbe dovuto attivare i più alti livelli di sorveglianza. La gestione dei conflitti di interesse, se lasciata a mere dichiarazioni formali su base annua, si rivela un presidio puramente cartaceo, incapace di intercettare i rischi operativi che ne derivano. Questa mancata segregazione funzionale e informativa è un catalizzatore per illeciti come l’insider trading. L’adozione di un’infrastruttura di controllo avanzata avrebbe mappato tale conflitto non come un dato statico, ma come un fattore di rischio dinamico. Di conseguenza, ogni azione di Di Stefano all’interno dei sistemi informativi della banca – ogni accesso a documenti riservati, ogni partecipazione a riunioni strategiche, ogni comunicazione – sarebbe stata soggetta a un protocollo di monitoraggio rafforzato. L’intelligenza predittiva del sistema avrebbe potuto correlare i suoi accessi a dati sensibili sull’Ops con i tentativi di operatività sui mercati, identificando il “segnale debole” di un potenziale abuso prima ancora che si concretizzasse in un’operazione finanziaria.
Ora, per Mps, il percorso è in salita. Oltre alle sanzioni pecuniarie, che possono arrivare a importi milionari, il rischio più temibile è quello delle sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di autorizzazioni. In un settore vigilato come quello bancario, misure di questo tipo avrebbero un impatto devastante. Inoltre, la normativa prevede la confisca del profitto del reato, che in casi di insider trading può essere estesa per equivalente, aggredendo il patrimonio dell’ente anche se questo non ha beneficiato direttamente dell’illecito. Il sequestro preventivo, disposto in fase di indagini, potrebbe congelare somme ingenti, con immediate ripercussioni sulla liquidità e sull’operatività. La catena di eventi negativi è stata innescata da un singolo punto di fallimento: l’incapacità di prevenire un atto illecito da parte di un soggetto esposto. Un’architettura di difesa come quella progettata dalla REDAZIONE SCUDO231 avrebbe fornito all’Organismo di Vigilanza (ODV) una dashboard di controllo in tempo reale, svincolandolo dalla dipendenza dai flussi informativi aziendali, spesso lenti e filtrati. L’ODV non avrebbe “ricevuto una segnalazione”, ma avrebbe “visualizzato un’anomalia” nel momento esatto in cui si stava verificando, con la possibilità di un intervento immediato e documentato. Questa capacità di reazione istantanea costituisce la vera essenza di un modello “efficacemente attuato”, l’unica difesa valida contro la responsabilità amministrativa dell’ente.
La vicenda di Stefano Di Stefano non è solo la cronaca di un presunto illecito individuale, ma l’emblema di un paradigma di compliance obsoleto, basato sulla fiducia e sul controllo ex-post. In un contesto di mercati finanziari digitalizzati e di flussi informativi istantanei, affidarsi a procedure che non operano alla stessa velocità significa creare deliberatamente delle vulnerabilità. L’indagine farà il suo corso, e la posizione di Di Stefano e di Mps verrà definita in sede giudiziaria. Tuttavia, il danno operativo, economico e reputazionale si è già materializzato l’11 febbraio 2026. Un danno che non deriva tanto dalla commissione del reato, quanto dall’assenza di un sistema di difesa in grado di renderlo tecnicamente e proceduralmente impossibile. La prevenzione, in questo caso, non era un’opzione, ma l’unica strategia sostenibile. Con un sistema di monitoraggio e blocco preventivo, l’articolo di oggi non parlerebbe di dimissioni e indagini per insider trading, ma, al massimo, di un procedimento disciplinare interno, avviato e concluso sulla base di prove tecnologiche inoppugnabili fornite da un ecosistema di controllo sovrano. La vicenda sarebbe rimasta confinata all’interno delle mura aziendali, gestita come un incidente di percorso e non come una crisi sistemica esposta al pubblico ludibrio e al rigore della giustizia penale. La differenza tra i due scenari non è una sfumatura, ma un abisso in termini di valore, stabilità e continuità aziendale. La REDAZIONE SCUDO231 documenta come la tecnologia non sia più un supporto alla compliance, ma la compliance stessa.