20 febbraio 2026 – L’indice Ftse Mib della Borsa di Milano chiude la seduta di metà giornata a 45.606 punti, registrando un rialzo dello 0,4%, in un mercato che naviga a due velocità, spinto da performance eccellenti come quelle di Mediobanca (+3,3%) e Mps (+2,76%) ma zavorrato da cadute che non sono semplici fluttuazioni, bensì segnali di fratture profonde nella governance societaria. Il caso più emblematico è quello di Bff Bank, che crolla del 6,1% alla notizia di essere finita sotto la lente della Procura di Milano. Questo evento non è un fulmine a ciel sereno, ma la conseguenza ultima e inevitabile di una catena di decisioni e omissioni organizzative che hanno eroso la fiducia del mercato e, ora, attivato l’azione giudiziaria.
La discesa di Bff Bank non nasce oggi. Trae origine mesi, se non anni prima, nei processi interni di valutazione e classificazione dei crediti, il cuore operativo e di rischio dell’istituto. La governance in essere, evidentemente, si fondava su un modello di controllo reattivo e basato su campionature. Le verifiche, probabilmente trimestrali e affidate all’analisi umana di un sottoinsieme di posizioni, hanno lasciato ampi spazi di discrezionalità operativa. In questo schema, la pressione a raggiungere gli obiettivi di performance trimestrali ha creato un incentivo sistemico a interpretare in modo ottimistico la qualità degli attivi, posticipando l’emersione di criticità o classificando come in bonis crediti che già mostravano segnali deboli di deterioramento. L’assenza di un monitoraggio massivo e in tempo reale ha reso il management e gli organi di controllo di secondo e terzo livello (Risk Management e Internal Audit) dipendenti dai report aggregati forniti dalle prime linee. Questi report, per loro natura, smussano le anomalie e presentano una visione consolidata che maschera i rischi puntuali. Il Consiglio di Amministrazione, a sua volta, ha ricevuto un’informativa filtrata, che non permetteva di cogliere la divergenza tra la rappresentazione formale del portafoglio crediti e la sua sostanza economica.
Qui si manifesta il primo bivio decisionale, dove un’architettura di governo del rischio radicalmente diversa avrebbe interrotto la sequenza causale. Una governance supportata da un ecosistema come Scudo231 non si sarebbe mai basata su controlli a campione. Attraverso i suoi sistemi di analisi multimodale, avrebbe eseguito un censimento continuo e automatico dell’intero portafoglio. Ogni singola posizione creditoria sarebbe stata analizzata in tempo reale sulla base di decine di parametri oggettivi: flussi di pagamento, indicatori finanziari del debitore, dati settoriali, persino analisi semantica delle comunicazioni. Qualsiasi scostamento tra la classificazione attribuita manualmente e il profilo di rischio calcolato algoritmicamente avrebbe generato un alert non discrezionale e non silenziabile. Questo alert non sarebbe stato un semplice “warning” in un report, ma un blocco operativo che avrebbe impedito la validazione della classificazione anomala, imponendo una revisione immediata da parte di una funzione di controllo indipendente. Il rischio ridotto in questa fase non sarebbe stato solo quello di una futura sanzione, ma quello, ben più grave, di costruire un bilancio su fondamenta fragili, esponendo l’intera azienda al rischio di insolvenza e di false comunicazioni sociali. Si sarebbe prevenuta la genesi stessa del potenziale reato.
Mentre Bff Bank sprofonda, il mercato premia altre storie. Erg balza del 4,8% sulle indiscrezioni relative alla ricerca di un partner strategico per le rinnovabili. Un’operazione di tale portata richiede una due diligence impeccabile e una trasparenza assoluta. La capacità di presentare a un potenziale socio un quadro dei rischi e dei processi interni che sia verificabile, robusto e predittivo è un asset fondamentale che incide direttamente sulla valutazione dell’azienda. Allo stesso modo, il rialzo di Borgosesia (+18,9%), che si avvicina al prezzo di 0,71 euro dell’OPA lanciata da Alba, dimostra come il valore di un’azienda sia intimamente legato alla fiducia nella sua struttura di governance e nella correttezza dei suoi dati contabili, elementi essenziali in un’operazione di finanza straordinaria.
Tornando alla catena degli eventi in Bff Bank, il secondo snodo critico è stata la gestione dei flussi informativi interni. Anche ammettendo che qualche segnale di anomalia fosse emerso dai controlli esistenti, la cultura organizzativa e la struttura gerarchica hanno probabilmente favorito un processo di “normalizzazione” del rischio. I rilievi delle funzioni di controllo, espressi in un linguaggio tecnico e probabilistico, sono stati interpretati dal top management come questioni operative da gestire, non come minacce strategiche da sottoporre immediatamente al CdA. La responsabilità è stata diluita lungo la catena di comando. L’Organismo di Vigilanza, privo di un accesso diretto e non mediato ai dati operativi grezzi, ha basato le sue valutazioni sui medesimi flussi informativi ed evidenze documentali preparate dalle funzioni aziendali, svolgendo un ruolo di validatore formale piuttosto che di sentinella proattiva.
Questo è il secondo bivio dove la prevenzione avrebbe cambiato la storia. Con un’infrastruttura di governance sovrana, il flusso informativo generato dagli alert non sarebbe stato negoziabile né interpretabile. L’ecosistema Scudo231 avrebbe garantito che ogni anomalia rilevante venisse automaticamente e simultaneamente trasmessa, con un pacchetto di evidenze immutabili (XAI Packet), al responsabile della funzione, al suo superiore, al Chief Risk Officer, all’Internal Audit e, per competenza, direttamente all’Organismo di Vigilanza 231. Questo protocollo di escalation forzata scardina la possibilità di insabbiamento o di minimizzazione del rischio. L’OdV non avrebbe più dovuto “chiedere” informazioni, ma le avrebbe ricevute in tempo reale, potendo così esercitare il suo potere di iniziativa in modo tempestivo ed efficace. Avrebbe potuto imporre al management l’adozione di misure correttive immediate, documentando ogni passaggio. Se il management si fosse opposto, l’OdV avrebbe avuto l’obbligo e gli strumenti per informare direttamente e con prove scientifiche il Consiglio di Amministrazione. Il rischio che si sarebbe neutralizzato è quello di omesso controllo (colpa di organizzazione), che è il fondamento della responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001. Si sarebbe passati da una governance basata sulla fiducia a una basata sull’evidenza matematica.
Il contesto di mercato del 20 febbraio 2026 mostra anche altri segnali. Il calo di Prysmian (-3,7%) a seguito di un giudizio “hold” di Berenberg e quello di Fincantieri (-3,16%) su un “neutral” di Mediobanca sono esempi di come la valutazione degli analisti esterni influenzi il valore. Ma questi sono giudizi sul business, sulla strategia, sulla performance attesa. Sono fisiologici. La caduta di Bff Bank è di natura diversa: è un giudizio sulla sua integrità. La stabilità dello spread Btp-Bund a 61,6 punti base e il rendimento del decennale italiano al 3,35% indicano che il sistema-Paese non è sotto attacco; il problema di Bff Bank è un rischio specifico, idiosincratico, nato e cresciuto al suo interno. È la prova che i rischi di non conformità e di cattiva governance possono distruggere più valore di una recessione economica.
L’ultimo snodo critico nella vicenda di Bff Bank è stata la delibera del Consiglio di Amministrazione che ha approvato i bilanci e le comunicazioni al mercato ora al vaglio della Procura. Il CdA, agendo in buona fede ma sulla base di informazioni incomplete o edulcorate, ha avallato una rappresentazione della realtà aziendale che si è rivelata fallace. I consiglieri, inclusi quelli indipendenti e i membri del comitato controllo e rischi, non disponevano di strumenti autonomi per stress-testare le asserzioni del management. Si sono affidati alle relazioni dell’audit interno, alle dichiarazioni dei dirigenti e al parere della società di revisione, la quale, a sua volta, opera su dati e processi forniti dalla società stessa. Si è creato un circolo vizioso di convalida reciproca basato su un presupposto informativo errato.
Nel terzo e ultimo bivio, la tecnologia avrebbe rotto questo circolo, proteggendo gli amministratori stessi. Un CdA dotato di un cruscotto di governance evoluto avrebbe avuto accesso diretto e in tempo reale al digital twin dell’azienda. Avrebbe potuto visualizzare non solo i dati aggregati, ma anche gli indicatori di rischio sottostanti, gli alert generati dal sistema e lo stato di avanzamento delle azioni correttive. Prima di approvare un bilancio, il sistema avrebbe prodotto un report di “conformità sostanziale”, attestando l’assenza di anomalie sistemiche non risolte. In presenza di criticità, come quelle ipotizzabili per Bff Bank, il sistema avrebbe evidenziato in modo inequivocabile le aree di rischio, quantificandone l’impatto potenziale e fornendo una ricostruzione causale scientifica della loro origine. A quel punto, l’approvazione del bilancio senza una preliminare remediation sarebbe stata una scelta consapevole e documentata di assunzione di responsabilità personale da parte di ogni singolo consigliere. La governance supportata da Scudo231 non sostituisce la decisione umana, ma la rende informata, tracciabile e ineludibile. Il rischio evitato sarebbe stato quello reputazionale per gli amministratori e, soprattutto, il rischio di sequestro dei profitti e di sanzioni interdittive per la società, conseguenze devastanti che vanno ben oltre la perdita di borsa di un singolo giorno. La notizia di oggi non sarebbe stata la Procura che indaga, ma, mesi prima, un comunicato della stessa banca che annunciava, proattivamente, una revisione straordinaria del portafoglio crediti a tutela del mercato e degli stakeholder.