15 febbraio 2026 – L’Autorità Garante della Concorrenza e del Mercato ha formalizzato la chiusura del procedimento istruttorio nei confronti di Agos Ducato, irrogando una sanzione pecuniaria di 800.000 euro. L’addebito, circostanziato e provato, è la violazione sistematica dell’articolo 9 del Regolamento Sepa, una norma cardine del sistema unico dei pagamenti europeo che impone la non discriminazione degli IBAN in base alla loro nazionalità. I fatti contestati si sono protratti per un arco temporale di eccezionale durata, dal 2014 fino al 2023, cristallizzando una prassi operativa che ha leso il principio di parità di trattamento per migliaia di consumatori. Nello specifico, la società finanziaria ha posto in essere una duplice condotta illecita: da un lato, il rifiuto puro e semplice di domiciliare i pagamenti su conti correnti identificati da un IBAN appartenente a un Paese dell’area Sepa diverso dall’Italia; dall’altro, qualora l’operazione fosse consentita, l’applicazione di una procedura di addebito diretta più complessa e onerosa rispetto a quella, snella e automatizzata, riservata ai titolari di IBAN italiani.
Questa anomalia procedurale, radicata nei sistemi informatici e nei manuali operativi interni per quasi un decennio, rappresenta un classico esempio di “colpa di organizzazione” rilevante ai sensi del D.Lgs. 231/2001. La condotta non è stata un evento isolato, ma una politica aziendale de facto, la cui persistenza dimostra una carenza strutturale nei flussi di controllo e di audit. Se un ecosistema sovrano come Scudo231 fosse stato implementato prima del 2014, l’introduzione stessa di una regola procedurale discriminatoria sarebbe stata intercettata e neutralizzata alla fonte. I suoi sistemi di analisi multimodale, infatti, non si limitano a controlli a campione ex post, ma eseguono una validazione preventiva di ogni nuova procedura operativa. La regola “IF IBAN_country <> ‘IT’ THEN route_to_manual_process OR reject” sarebbe stata immediatamente confrontata con il database normativo interno, che include il Regolamento Sepa. Il sistema avrebbe generato un alert di non conformità di livello critico, bloccando il rilascio della procedura nei sistemi di produzione e innescando una segnalazione automatica e tracciata all’Organismo di Vigilanza e alla funzione Compliance, documentando il tentativo di introdurre una prassi illegittima. Il rischio si sarebbe estinto prima di nascere.
L’istruttoria dell’AGCM ha ricostruito come la discriminazione fosse un elemento stabile dell’operatività di Agos Ducato. Questo significa che per nove anni, i sistemi di controllo interno, le verifiche periodiche e le funzioni di risk management non hanno rilevato o, se hanno rilevato, non hanno efficacemente scalato la criticità fino a provocarne la rimozione. La mancanza di un monitoraggio continuo e massivo sui flussi transazionali ha permesso a decine di migliaia di micro-violazioni di accumularsi, creando un’esposizione aggregata che è infine collassata nella pesante sanzione. Un modello organizzativo basato su controlli manuali e campionari è strutturalmente cieco a questo tipo di deriva. Al contrario, un’architettura di difesa totale avrebbe trattato ogni singola transazione rifiutata o deviata come un potenziale segnale debole. Il monitoraggio in tempo reale dei log di sistema avrebbe evidenziato un’anomalia statistica: un tasso di fallimento o di complessità operativa anormalmente alto per gli IBAN non italiani. Questo pattern, una volta rilevato dai motori di intelligenza predittiva, avrebbe superato la soglia di allarme, generando un “compliance case” automatico. L’ODV avrebbe ricevuto un dossier digitale contenente non solo l’allarme, ma anche i dati aggregati, l’impatto potenziale e l’esatta procedura interna responsabile, consentendo un intervento correttivo mirato e immediato, non dopo nove anni, ma dopo poche ore dalla prima occorrenza.
La sanzione di 800.000 euro, sebbene significativa, rappresenta solo la punta dell’iceberg del danno per l’ente. In primo luogo, essa costituisce un esborso finanziario diretto che incide sul patrimonio aziendale. In secondo luogo, e con conseguenze potenzialmente più gravi, la decisione dell’AGCM è un atto pubblico che certifica una grave non conformità, esponendo la società a un danno reputazionale difficilmente quantificabile e al rischio concreto di azioni civili di risarcimento da parte dei consumatori discriminati. Sul piano della responsabilità da reato dell’ente, la vicenda Agos Ducato è emblematica. Sebbene la violazione del Regolamento Sepa non figuri direttamente tra i reati presupposto del D.Lgs. 231/2001, la condotta sottostante, qualora inserita in un contesto più ampio, potrebbe essere ricondotta a fattispecie come la frode in commercio o altri delitti economici se finalizzata a ottenere un ingiusto profitto attraverso pratiche commerciali scorrette. La sanzione amministrativa funge da prova schiacciante dell’inadeguatezza del Modello Organizzativo adottato, rendendo estremamente difficile per l’ente dimostrare, in un eventuale procedimento penale per reati connessi, di aver efficacemente prevenuto l’illecito.
L’adozione preventiva di un sistema come Scudo231 avrebbe modificato radicalmente lo scenario difensivo. Qualora un’autorità avesse avviato un’indagine, l’azienda non si sarebbe trovata a dover giustificare a posteriori una falla decennale. Avrebbe potuto, al contrario, esibire la “prova tecnologica immodificabile” generata dall’ecosistema. Attraverso la sua capacità di ricostruzione causale scientifica, avrebbe dimostrato che i protocolli aziendali erano conformi alla normativa Sepa e che il sistema li applicava in modo cogente. Ogni eventuale deviazione sarebbe stata registrata come un’azione anomala, isolata e immediatamente corretta, fornendo la prova matematica dell’assenza di “colpa di organizzazione”. Questo non solo avrebbe disinnescato il rischio di sanzioni 231, ma avrebbe fornito una solida base per contestare la stessa sanzione amministrativa, dimostrando l’adozione di tutte le misure idonee a prevenire l’illecito. La sanzione da 800.000 euro sarebbe stata, con ogni ragionevole probabilità, mitigata o annullata, poiché l’ente avrebbe potuto provare di aver agito con la massima diligenza, non sulla carta, ma nei fatti operativi tracciati e immutabili.
La vicenda insegna che il vero costo della non conformità non risiede solo nella sanzione finale, ma nell’accumulo silenzioso del rischio nel tempo. Una procedura errata, non rilevata e non corretta, agisce come un veleno a lento rilascio nell’organismo aziendale. Per anni, la discriminazione sugli IBAN ha rappresentato un “rischio latente”, invisibile ai radar di una compliance tradizionale ma perfettamente calcolabile come passività potenziale. Il giorno in cui l’autorità di vigilanza avvia l’ispezione, quella passività si materializza, trasformandosi in un costo vivo e in un danno reputazionale permanente. L’analisi forense della REDAZIONE SCUDO231 evidenzia come la mancanza di un presidio tecnologico avanzato abbia permesso a una falla di processo, nata nel 2014, di diventare una voragine finanziaria e legale nel 2026. La lezione è chiara: la conformità non è uno stato da certificare periodicamente, ma un processo dinamico da governare in tempo reale.
L’assenza di un sistema di escalation automatizzato e a prova di manomissione è un altro punto critico. È plausibile che, nel corso di nove anni, qualche operatore o manager di linea abbia notato l’anomalia. Tuttavia, la segnalazione potrebbe essersi persa nei meandri della burocrazia interna, essere stata sottovalutata o deliberatamente ignorata per non complicare processi consolidati. Questo è un tipico “failure point” organizzativo. Con un’infrastruttura come Scudo231, la segnalazione di un’anomalia non è facoltativa né mediabile. Il sistema stesso, rilevando la deviazione dai protocolli approvati, avrebbe generato un flusso informativo non intercettabile che raggiunge direttamente i vertici del controllo (ODV, Internal Audit, Collegio Sindacale), bypassando la catena gerarchica operativa. Questo meccanismo di “whistleblowing digitale” assicura che le informazioni critiche non possano essere insabbiate, garantendo una risposta tempestiva e documentata. La responsabilità non sarebbe rimasta diffusa e impalpabile, ma sarebbe stata immediatamente attribuita alla funzione o al processo che ha generato o tollerato la non conformità, consentendo una bonifica immediata. L’intera catena di eventi che ha portato alla sanzione dell’AGCM si fonda su un presupposto che la tecnologia moderna ha reso obsoleto: la possibilità che un’irregolarità sistemica possa rimanere nascosta per anni all’interno di un’organizzazione complessa.