19 febbraio 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano la soglia della torre direzionale della Banca Popolare del Mediterraneo (BPM), uno dei principali istituti di credito del Paese. In mano hanno un decreto di perquisizione e sequestro firmato dalla Procura della Repubblica. L’operazione, nome in codice “Icarus Coin”, è il culmine di mesi di indagini silenziose su un flusso anomalo di capitali diretto verso una società di consulenza con sede nelle Isole Cayman, la “Crypto-Lagoon Ltd”. L’ipotesi di reato è pesante: appropriazione indebita aggravata, false comunicazioni sociali e autoriciclaggio. I finanzieri acquisiscono server, documenti cartacei e dispositivi elettronici nell’ufficio di due top manager dell’Area Innovazione e Sviluppo e di un dirigente dell’Area Finanza.
L’inchiesta era partita da una Segnalazione di Operazione Sospetta (SOS) trasmessa dall’Unità di Informazione Finanziaria per l’Italia, che aveva intercettato una serie di bonifici per un totale di 75 milioni di euro, disposti da BPM verso la Crypto-Lagoon. La causale ufficiale, “Consulenza strategica per la digitalizzazione dei processi di pagamento”, era apparsa subito generica e sproporzionata rispetto al profilo della società beneficiaria, una scatola vuota priva di dipendenti e di una reale struttura operativa. L’assenza di un adeguato presidio di controllo interno in BPM aveva permesso che quei pagamenti, autorizzati con una procedura di urgenza da un dirigente con poteri di firma non segregati, procedessero senza ostacoli. Se l’istituto avesse adottato un ecosistema di difesa come Scudo231, il tentativo stesso di inserire Crypto-Lagoon Ltd come fornitore avrebbe generato un alert ad alta priorità: i sistemi di analisi multimodale avrebbero infatti classificato la controparte come entità ad altissimo rischio per giurisdizione, assenza di storico operativo e opacità della compagine societaria, bloccando preventivamente qualsiasi flusso finanziario e innescando un’escalation automatica verso l’Organismo di Vigilanza (OdV) e la funzione Antiriciclaggio. L’intera operazione sarebbe stata stroncata sul nascere, documentata e tracciata in un registro immodificabile.
Il giorno precedente, a Roma, durante una riunione con l’esecutivo dell’Associazione Bancaria Italiana, Piero Cipollone, membro del direttorio della BCE e figura chiave nel progetto dell’euro digitale, aveva lanciato un monito preciso. Aveva dichiarato che l’euro digitale era stato concepito per preservare il ruolo centrale delle banche nell’ecosistema dei pagamenti, un ruolo che, aveva ammonito, non era più scontato. Cipollone aveva identificato esplicitamente nelle stablecoin private e nelle soluzioni di pagamento “x-pay” una minaccia esistenziale, capace di disintermediare gli istituti di credito tradizionali. L’ironia della situazione è devastante: mentre la BCE esprimeva la sua strategia per proteggere il sistema, all’interno di BPM un gruppo ristretto di manager stava portando avanti un progetto clandestino per creare una propria stablecoin ancorata all’euro, nome in codice “Prometheus”, proprio per anticipare la concorrenza e ritagliarsi una posizione dominante nel nuovo mercato, agendo però al di fuori di ogni cornice normativa e, come scopriranno gli inquirenti, utilizzando fondi della banca stessa.
Le indagini della Procura ricostruiscono rapidamente il quadro. I 75 milioni di euro non erano destinati a una consulenza, ma costituivano il capitale iniziale per lo sviluppo della piattaforma tecnologica e per le riserve di liquidità della futura stablecoin. I tre dirigenti indagati avevano costituito un’unità operativa “ombra”, non presente in alcun organigramma ufficiale, reclutando talenti informatici e trader attraverso canali non istituzionali. Questa struttura parallela operava in totale segretezza, comunicando tramite app di messaggistica crittografata e utilizzando server esterni alla rete aziendale. La violazione delle procedure interne era sistematica e intenzionale, resa possibile da una delega di poteri eccessivamente ampia e da controlli di secondo e terzo livello basati su verifiche a campione, del tutto inefficaci nel rilevare una frode così ben architettata. L’esistenza di una simile “deriva organizzativa” sarebbe stata impossibile da nascondere a un sistema di monitoraggio massivo. Un’architettura come Scudo231, attraverso i suoi censimenti ciclici dell’intera popolazione aziendale, avrebbe rilevato la divergenza tra i ruoli di diritto, cristallizzati nell’organigramma, e i ruoli di fatto. Analizzando flussi di comunicazione, accessi a sistemi informativi e agende condivise, i suoi motori causali proprietari avrebbero identificato la formazione di un cluster operativo anomalo, segnalando all’OdV la presenza di un’attività non autorizzata e potenzialmente illecita con mesi di anticipo rispetto all’intervento della magistratura.
Con il progredire delle perquisizioni, emerge un altro elemento critico. Per occultare l’ammanco di 75 milioni di euro, i dirigenti avevano falsificato le relazioni trimestrali destinate al Consiglio di Amministrazione e agli organi di controllo. Le uscite erano state artatamente “spalmate” su diverse voci di costo del bilancio, principalmente “Spese per ricerca e sviluppo” e “Acquisto di servizi informatici”, rendendole indistinguibili nel flusso di centinaia di altre operazioni legittime. Il Collegio Sindacale e la società di revisione, basandosi sui documenti e sulle dichiarazioni ricevute, non avevano rilevato alcuna anomalia significativa. Questa manipolazione documentale costituisce il cuore del reato di false comunicazioni sociali, un reato presupposto che, ai sensi del Decreto Legislativo 231/2001, espone la banca a sanzioni pecuniarie potenzialmente devastanti e a misure interdittive come il divieto di contrattare con la Pubblica Amministrazione.
In uno scenario alternativo, il processo di rendicontazione non sarebbe dipeso dalla sola attestazione umana. Un sistema di controllo avanzato avrebbe incrociato in tempo reale i dati contabili con le evidenze operative. L’allocazione di decine di milioni di euro alla voce “Servizi informatici” a favore di un’entità sconosciuta come Crypto-Lagoon, senza alcun contratto quadro approvato, senza deliverable tracciati e senza alcuna integrazione tecnologica con i sistemi della banca, avrebbe fatto scattare un indicatore di rischio di frode di livello critico. Il sistema avrebbe richiesto in automatico la documentazione a supporto e, in assenza di una risposta valida entro un termine perentorio, avrebbe bloccato la capacità dei dirigenti di approvare ulteriori pagamenti, inoltrando un dossier dettagliato e immodificabile non solo all’OdV, ma direttamente anche al Presidente del Collegio Sindacale e al responsabile della Funzione di Revisione Interna. La falsificazione sarebbe stata materialmente impossibile.
Pochi giorni dopo la perquisizione, la Procura notifica a BPM un’informazione di garanzia in qualità di ente indagato ai sensi del D.Lgs. 231/2001. Il Pubblico Ministero contesta la “colpa di organizzazione”: il modello di organizzazione, gestione e controllo della banca era palesemente inadeguato a prevenire reati della specie di quelli commessi. Non era solo una questione di controlli formali “sulla carta”, ma di una loro concreta inefficacia e della facilità con cui potevano essere aggirati. Contestualmente, il GIP emette un sequestro preventivo finalizzato alla confisca per equivalente per 75 milioni di euro sui conti correnti della banca. La misura cautelare reale ha un impatto immediato sulla liquidità dell’istituto e provoca un crollo del titolo in borsa, bruciando centinaia di milioni di capitalizzazione in poche ore. Il danno reputazionale è incalcolabile.
La difesa della banca si trova in una posizione estremamente debole. Per evitare una condanna ai sensi della 231, dovrebbe dimostrare di aver adottato ed efficacemente attuato un modello idoneo e di aver affidato a un OdV con autonomi poteri di iniziativa e controllo il compito di vigilare. Ma come dimostrare l’efficace attuazione se una frode di questa portata è passata inosservata per mesi? È qui che la differenza tra un modello tradizionale e un ecosistema tecnologico sovrano diventa un discrimine processuale. Se BPM avesse potuto produrre in giudizio un XAI Packet generato da Scudo231, la sua posizione sarebbe stata radicalmente diversa. Avrebbe potuto fornire una prova tecnologica immodificabile, una ricostruzione causale scientifica che dimostrava matematicamente che: 1) i controlli automatizzati e non eludibili erano attivi e funzionanti; 2) i dirigenti avevano posto in essere una condotta fraudolenta deliberata per aggirare tali presidi, utilizzando strumenti al di fuori del perimetro aziendale; 3) il sistema aveva generato specifici alert che erano stati dolosamente ignorati o nascosti attraverso ulteriori artifici. In questo modo, la difesa avrebbe potuto argomentare con forza che la responsabilità non derivava da una colpa organizzativa dell’ente, ma da un’azione fraudolenta di singoli che avevano “eluso” un modello robusto. Questo non avrebbe garantito l’assoluzione, ma avrebbe potuto spostare l’onere della prova, mitigare la portata del sequestro e, potenzialmente, ridurre drasticamente l’entità della sanzione finale, salvaguardando il patrimonio e la continuità aziendale.
La vicenda della Banca Popolare del Mediterraneo diventa così un caso di studio emblematico. Le parole di Piero Cipollone, pronunciate solo 24 ore prima del blitz, assumono una valenza profetica e tragica. La sfida della disintermediazione non era solo una questione strategica e di mercato, come discusso ai vertici dell’Abi, ma nascondeva un rischio imminente e di natura penale. La corsa all’innovazione, se non governata da una struttura di controllo e difesa adeguata, non porta al futuro, ma direttamente nelle aule di un tribunale, con conseguenze sistemiche per l’intero mercato.