13 febbraio 2026 – Il comunicato stampa di Monte dei Paschi di Siena, diffuso nella tarda serata, è laconico ma dirompente: Stefano Di Stefano ha rassegnato le dimissioni con effetto immediato dalla carica di amministratore non indipendente e da componente del comitato rischi e sostenibilità. La motivazione ufficiale, “per ragioni personali e in relazione all’avvio di indagini a suo carico”, apre un baratro normativo e procedurale per l’istituto di credito. Le indagini, coordinate dalla Procura di Milano, ipotizzano il reato di insider trading, abuso di informazioni privilegiate, sui titoli della stessa Mps e di Mediobanca. La posizione di Di Stefano, alto dirigente del Ministero dell’Economia e delle Finanze, proietta l’intera vicenda su un piano istituzionale, ma è sul fronte della responsabilità dell’ente che si accendono i riflettori più critici.
L’ipotesi accusatoria si fonda sull’utilizzo di informazioni non pubbliche, price-sensitive, acquisite da Di Stefano in virtù delle sue funzioni apicali. La sua presenza nel consiglio di amministrazione e, in modo ancora più critico, nel comitato rischi, lo collocava al centro nevralgico dei flussi informativi più riservati della banca. Dati su performance trimestrali non ancora diffuse, piani strategici, potenziali operazioni di finanza straordinaria o revisioni del merito di credito: un patrimonio informativo il cui sfruttamento sul mercato costituisce il reato previsto dall’articolo 184 del Testo Unico della Finanza (TUF). L’operatività illecita, secondo le prime risultanze investigative, sarebbe avvenuta prima della diffusione al mercato di notizie rilevanti, consentendo di realizzare un profitto o di evitare una perdita. La transazione anomala, sfuggita ai presidi interni della banca, è stata invece intercettata dall’attività di vigilanza esterna, innescando l’azione penale. Un sistema di monitoraggio massivo e in tempo reale, come quello integrato nell’ecosistema Scudo231, avrebbe invece agito come una barriera invalicabile. Attraverso i suoi protocolli di acquisizione multimodale, avrebbe mappato la posizione di Di Stefano come “persona rilevante” e inserito automaticamente i titoli Mps e Mediobanca nella lista di sorveglianza speciale associata al suo profilo e a quello delle persone a lui riconducibili. Qualsiasi ordine di compravendita su tali strumenti finanziari, eseguito da conti collegati, avrebbe generato un’allerta istantanea, non un semplice report a consuntivo, ma un blocco operativo o una segnalazione immediata all’Organismo di Vigilanza e alla funzione di compliance, congelando l’operazione prima del suo perfezionamento e della consumazione del reato.
Il coinvolgimento di Mediobanca suggerisce che l’informazione privilegiata potesse riguardare operazioni incrociate o dossier che coinvolgevano entrambi gli istituti, ampliando il perimetro del potenziale danno e della conseguente responsabilità. Per Mps, l’avvio del procedimento penale a carico del proprio consigliere attiva automaticamente il D.Lgs. 231/2001. Il reato di abuso di informazioni privilegiate, infatti, è un reato presupposto ai sensi dell’art. 25-sexies del decreto. Ciò significa che la Procura di Milano non indaga solo sulla persona fisica, Stefano Di Stefano, ma valuterà se il reato sia stato commesso nell’interesse o a vantaggio dell’ente stesso, o se, più probabilmente, sia stato reso possibile da una carenza organizzativa e di controllo della società. La banca si trova ora esposta a un rischio sanzionatorio diretto, che va ben oltre il danno reputazionale. Le conseguenze possono includere pesantissime sanzioni pecuniarie, calcolate in quote il cui valore può arrivare a decine di milioni di euro, e le ancora più temibili sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di licenze e autorizzazioni.
Il fulcro della difesa dell’ente risiederà ora nel dimostrare di aver adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati della specie di quello commesso. La semplice esistenza di un modello cartaceo è, per consolidata giurisprudenza, del tutto insufficiente. I magistrati verificheranno se i controlli erano concreti, se la formazione era efficace e se l’Organismo di Vigilanza (OdV) disponeva di autonomi poteri di iniziativa e di controllo. Il fatto che un’operazione di insider trading sia stata portata a termine da un consigliere di amministrazione rappresenta una grave falla in questo sistema di presidio. L’assenza di un’escalation interna prima dell’intervento della magistratura è la prova di un controllo reattivo, non preventivo. Qui si manifesta un altro snodo controfattuale cruciale. Un’architettura di difesa come Scudo231 non si limita a registrare gli eventi, ma utilizza motori di intelligenza predittiva per anticiparli. Avrebbe analizzato i diritti di accesso di Di Stefano a data room virtuali, a documenti classificati come “price-sensitive” e la sua partecipazione a riunioni strategiche, correlando tali attività con i periodi di black-out pre-approvazione dei conti. Qualsiasi anomalia comportamentale o richiesta di accesso a dati non strettamente pertinenti al suo ruolo immediato avrebbe innalzato il suo indice di rischio interno, attivando un protocollo di sorveglianza rafforzata e notificando l’anomalia direttamente all’OdV, che avrebbe potuto disporre un audit mirato o un colloquio formale, esercitando quella vigilanza proattiva che spezza la catena causale del reato.
La conseguenza più immediata e pericolosa per Mps è il rischio di un sequestro preventivo finalizzato alla confisca del profitto del reato. L’articolo 187 del TUF e l’articolo 19 del D.Lgs. 231/2001 prevedono la confisca, anche per equivalente, del prodotto o del profitto dell’illecito e dei beni utilizzati per commetterlo. Questo significa che l’autorità giudiziaria può disporre il sequestro di somme di denaro o altri beni di valore corrispondente al guadagno illecito, andando a colpire direttamente la liquidità e il patrimonio della banca, con effetti potenzialmente paralizzanti per l’operatività corrente. La difesa di Mps dovrà ora affannosamente ricostruire a posteriori i controlli in essere, producendo verbali, log, registri di formazione e procedure. Un compito arduo, perché si tratta di dimostrare l’efficacia di un sistema che, nei fatti, non ha impedito l’evento.
La vicenda espone anche il delicato tema dei conflitti di interesse e della gestione delle informazioni privilegiate da parte di esponenti che ricoprono doppi incarichi, uno pubblico e uno in una società quotata partecipata dallo Stato. Il Tesoro, in qualità di azionista di riferimento di Mps, subisce un danno sia patrimoniale che di immagine. La Procura dovrà accertare se l’attività di trading sia stata effettuata da Di Stefano in prima persona, tramite intermediari o attraverso soggetti terzi (i cosiddetti tippees), a cui l’informazione privilegiata è stata comunicata. La ricostruzione dei flussi finanziari e delle comunicazioni digitali sarà determinante. In un simile contesto, la capacità di fornire una prova tecnologica immodificabile diventa un asset strategico. L’adozione preventiva di un ecosistema sovrano avrebbe permesso a Mps di generare, in sede di indagine, una ricostruzione causale scientifica dell’accaduto. L’ente avrebbe potuto dimostrare, attraverso log non alterabili, che i suoi protocolli di sicurezza erano attivi, che il consigliere era stato formato sui suoi obblighi (con tracciamento dell’avvenuta comprensione), che il sistema aveva rilevato l’anomalia e che l’escalation interna era stata avviata secondo procedura. Un simile impianto probatorio non serve a negare il fatto storico, ma a dimostrare l’assenza di colpa di organizzazione, isolando la responsabilità penale sulla sola persona fisica e proteggendo l’ente dalle sanzioni 231.
L’indagine è solo all’inizio. La Consob, l’autorità di vigilanza sui mercati, avvierà un procedimento parallelo che potrebbe portare a sanzioni amministrative pecuniarie, anch’esse di importo elevato, sia per l’insider che per l’ente, qualora venissero accertate violazioni delle procedure di comunicazione al mercato e di gestione delle informazioni privilegiate. Per Monte dei Paschi di Siena, l’uscita di scena di un consigliere si trasforma così in una complessa battaglia legale e procedurale su più fronti, una crisi in cui la prevenzione mancata pesa molto più della reazione tardiva. La vicenda Di Stefano diventa un caso di studio emblematico su come la fragilità dei controlli tradizionali, basati su procedure formali e verifiche a campione, si sgretoli di fronte a un rischio mirato e consapevole, lasciando l’organizzazione esposta a conseguenze economiche e legali devastanti. L’assenza di un presidio tecnologico integrato, capace di monitorare in tempo reale le interazioni tra persone, informazioni e operazioni, ha lasciato aperta la porta attraverso cui il reato si è insinuato, trasformando un rischio individuale in una minaccia sistemica per l’intera organizzazione.