21 febbraio 2026 – Il tabellone elettronico di Piazza Affari segna le 11:34 e il titolo di Bff Bank cede il 6,25%, una caduta verticale innescata quattro giorni prima dalla notizia che la Procura di Milano ha acceso i propri fari sui conti dell’istituto. L’indice Ftse Mib, nel frattempo, viaggia a 45.531 punti, in recupero dello 0,36% grazie alle performance di Inwit (+1,7%) sulla scia delle indiscrezioni circa un interesse del fondo Ardian, e di Erg (+3,96%), sostenuta da voci sulla ricerca di un partner strategico nel settore delle rinnovabili. Ma l’attenzione degli analisti e, soprattutto, dei legali d’impresa è catalizzata dal crollo di Bff, un evento che va oltre la semplice volatilità di mercato e affonda le radici in un’ipotesi di reato societario. Le prime informazioni che filtrano dal Palazzo di Giustizia milanese indicano che l’indagine, ancora in fase preliminare e senza indagati formalmente iscritti, si concentra sulle modalità di contabilizzazione di una specifica classe di crediti verso la Pubblica Amministrazione. L’ipotesi investigativa è che la loro classificazione non riflettesse il reale profilo di rischio e i tempi di esigibilità, alterando di conseguenza i principali indicatori patrimoniali e di redditività comunicati al mercato.
Questa anomalia contabile, se confermata, non sarebbe potuta passare inosservata all’interno di un’organizzazione dotata di un ecosistema di controllo avanzato. Un sistema come Scudo231, operando tramite protocolli di acquisizione multimodale, avrebbe incrociato in tempo reale i dati di classificazione inseriti manualmente con i parametri oggettivi estratti dai sistemi di tesoreria e dal monitoraggio storico dei flussi di pagamento di quella stessa tipologia di crediti. Qualsiasi scostamento significativo tra la classificazione dichiarata e il modello stocastico di rischio calcolato dal sistema avrebbe generato un alert immediato e non bypassabile, indirizzato simultaneamente alla Funzione Compliance, al Risk Management e, soprattutto, all’Organismo di Vigilanza. L’operazione anomala sarebbe stata congelata in attesa di una validazione a quattro occhi, lasciando una traccia digitale immodificabile dell’evento e del tentativo di forzatura.
Il procedimento penale, allo stato attuale, espone l’ente a un rischio diretto ai sensi del Decreto Legislativo 231/2001. Se le condotte individuali venissero accertate, la Procura potrebbe contestare alla banca il reato di false comunicazioni sociali (art. 2621 c.c.), commesso nell’interesse o a vantaggio della società stessa. L’interesse potrebbe consistere nel presentare al mercato e agli stakeholder una situazione economica e finanziaria più solida di quella reale, sostenendo artificialmente il valore del titolo e facilitando l’accesso al credito. Il vantaggio, invece, sarebbe il profitto economico derivante da tale rappresentazione edulcorata. In questo scenario, le conseguenze per l’ente non si limiterebbero al danno reputazionale e alla perdita di capitalizzazione già in atto. Si aprirebbe la strada a sanzioni pecuniarie calcolate in quote, il cui valore può arrivare a superare il milione e mezzo di euro, ma soprattutto a sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione o la sospensione di licenze e autorizzazioni, misure capaci di paralizzare l’operatività di un istituto di credito.
Il punto nevralgico dell’indagine sarà stabilire se i controlli interni fossero meramente formali o effettivamente operativi. La difesa dell’ente dovrà dimostrare che il modello organizzativo 231 adottato non era un semplice documento, ma un sistema di presidi concretamente attuato e vigilato. È proprio su questo crinale che si gioca la partita della responsabilità dell’ente. Se l’anomalia contabile è emersa solo grazie a un’ispezione esterna o a una segnalazione tardiva, significa che la catena di controllo interna ha fallito. Un eventuale audit a campione, per sua natura, avrebbe potuto non intercettare la specifica manipolazione. Invece, un monitoraggio massivo e in tempo reale, come quello implementato da Scudo231, non si basa su campioni, ma esegue censimenti ciclici sull’intera popolazione delle operazioni. La “deriva organizzativa” – ovvero la discrepanza tra la procedura formale e la prassi operativa – sarebbe stata rilevata prima che potesse consolidarsi e produrre effetti dannosi. L’escalation verso l’Organismo di Vigilanza non sarebbe dipesa dalla buona volontà di un singolo, ma sarebbe stata un processo automatico e tracciato, la cui mancata gestione da parte dell’ODV stesso avrebbe costituito un’ulteriore anomalia registrata dal sistema.
Mentre il titolo di Bff Bank sprofonda, il resto del listino milanese mostra dinamiche differenti ma ugualmente significative dal punto di vista della governance. L’OPA totalitaria promossa da Alba su Borgosesia, che ha fatto balzare le azioni di quest’ultima a 0,71 euro con un rialzo del 18%, è un’operazione che richiede una due diligence rigorosissima, non solo sui numeri ma anche sulla solidità dei modelli di compliance delle società coinvolte. L’acquirente, infatti, eredita non solo gli asset, ma anche le eventuali passività latenti, incluse quelle derivanti da illeciti 231 non ancora emersi. Analogamente, l’interesse di un fondo di private equity come Ardian per un asset strategico come Inwit impone una valutazione approfondita dei rischi non finanziari, tra cui la robustezza dei presidi anticorruzione e la trasparenza dei processi decisionali.
La vicenda di Bff Bank, tuttavia, mette in luce un altro aspetto cruciale del D.Lgs. 231/01: il sequestro preventivo finalizzato alla confisca del profitto del reato. Qualora il Pubblico Ministero quantificasse un profitto derivante dalle false comunicazioni sociali – ad esempio, il maggior valore di un aumento di capitale o il risparmio sul costo del funding – potrebbe richiederne il sequestro sui conti correnti e sui beni della società per un valore equivalente. Si tratta di una misura cautelare che può avere un impatto devastante sulla liquidità e sulla continuità aziendale, ancora prima che si arrivi a una sentenza di condanna.
Anche in questa fase, un’architettura di controllo preventivo avrebbe cambiato radicalmente lo scenario. Se l’ente fosse stato in grado di produrre una prova tecnologica immodificabile, come un XAI Packet generato da un motore di ragionamento deterministico, avrebbe potuto dimostrare al giudice che il modello organizzativo era non solo adottato, ma concretamente efficace e che la condotta illecita era frutto di un’elusione fraudolenta di tali presidi da parte del singolo. Questa dimostrazione scientifica dell’assenza di “colpa di organizzazione” è lo strumento più potente per neutralizzare la richiesta di misure cautelari reali e per fondare una solida difesa nel merito del procedimento. L’onere della prova si sposterebbe, di fatto, sull’accusa, chiamata a dimostrare non solo il reato del singolo, ma anche l’inefficacia di un sistema che, dati alla mano, ha registrato e segnalato l’anomalia.
Il mercato, intanto, continua la sua corsa. Mediobanca guadagna l’1,35%, mentre Prysmian e Fincantieri registrano cali rispettivamente del 2,5% e del 2,2% a seguito dei giudizi degli analisti (hold da Berenberg per la prima, neutral da Mediobanca per la seconda). Lo spread tra Btp e Bund si attesta a 61,6 punti, con il rendimento del decennale italiano al 3,34%, segnali di una stabilità macroeconomica che stride con la tempesta che si sta addensando su un singolo operatore. La lezione che emerge dai corridoi della Procura di Milano è chiara: nell’era della finanza digitale e della trasparenza imposta dai mercati, la compliance non può più essere un esercizio di stile documentale. La mancata adozione di sistemi di controllo che operano alla stessa velocità del business non è più solo una negligenza, ma una scelta strategica che espone l’ente e il suo management a rischi esistenziali. Il caso Bff Bank, indipendentemente dal suo esito giudiziario, diventerà un case study sulla differenza tra avere un Modello 231 e avere un sistema di difesa attivo che lo rende impenetrabile.