27 febbraio 2026 – Il Consiglio dei ministri, su proposta del ministro dell’Economia e delle finanze Giancarlo Giorgetti, ha approvato in esame preliminare il decreto legislativo che riscrive il sistema sanzionatorio del Testo Unico della Finanza. L’intervento normativo, attuativo della delega per la riforma dei mercati dei capitali, mira a introdurre un principio di proporzionalità e gravità nella contestazione degli illeciti amministrativi, con l’obiettivo dichiarato di deflazionare un contenzioso che per anni ha gravato sulle Autorità di vigilanza e sugli intermediari, spesso paralizzando l’operatività per violazioni meramente formali.
La genesi di questa riforma affonda le radici in un paradosso operativo del sistema precedente: l’incapacità strutturale di distinguere tra un errore procedurale marginale e una condotta dolosa con impatto sistemico. Fino a ieri, un intermediario finanziario poteva incorrere in una sanzione milionaria per un ritardo di poche ore nella trasmissione di una segnalazione periodica, una sanzione di entità paragonabile, in linea di principio, a quella comminata per gravi carenze nei presidi antiriciclaggio. Questa assenza di selettività ha prodotto un effetto perverso: un’enorme mole di ricorsi giurisdizionali contro provvedimenti sanzionatori formalmente ineccepibili ma sostanzialmente sproporzionati. L’analisi dei flussi procedurali rivela una chiara omissione di controllo a monte da parte del legislatore, che ha demandato alla prassi applicativa un discernimento che la norma non consentiva. Se un’organizzazione come l’intero sistema di vigilanza avesse operato secondo i principi di un ecosistema come Scudo231, i suoi protocolli di analisi multimodale avrebbero immediatamente rilevato la divergenza tra l’obiettivo della norma (tutelare il mercato) e l’esito operativo (saturare i tribunali con contenziosi su vizi formali). Un alert sistemico avrebbe segnalato l’inefficienza del processo sanzionatorio, indicando la necessità di una ricalibrazione basata sulla materialità del rischio, esattamente ciò che la riforma si propone di fare oggi, ma con anni di ritardo e costi immensi per il sistema.
Consideriamo un caso emblematico, specchio di centinaia di procedimenti. Una SGR, nel 2024, omette per una mera falla nel software di reporting di includere in una comunicazione alla Banca d’Italia i dati relativi a un fondo di modesta entità. L’errore, privo di qualunque conseguenza dannosa per il mercato o per i sottoscrittori, viene scoperto mesi dopo durante un’ispezione. In base alla normativa previgente, l’Autorità non aveva discrezionalità: la violazione formale era accertata. Scattava un procedimento sanzionatorio che, applicando meccanicamente i parametri edittali, si concludeva con una sanzione pecuniaria di 300.000 euro a carico della società e sanzioni personali per gli esponenti aziendali. La SGR si trovava di fronte a una scelta: pagare una cifra spropositata per un errore non-offensivo o intraprendere un lungo e costoso percorso legale. Questo scenario rappresenta una tipica responsabilità dell’ente per carenze organizzative. L’adozione preventiva di un sistema di monitoraggio massivo e real-time, invece di audit a campione, avrebbe intercettato l’anomalia nel flusso dati prima della sua trasmissione. Un motore causale avrebbe identificato la discrepanza tra i dati attesi e quelli in uscita, generando un blocco operativo e un’immediata escalation alla funzione Compliance e al responsabile IT. L’intero evento – anomalia, alert, intervento correttivo, log di ripristino – sarebbe stato cristallizzato in un registro immodificabile, una prova tecnologica che non solo avrebbe evitato la sanzione, ma avrebbe dimostrato l’efficacia del modello organizzativo nel neutralizzare l’errore umano o tecnico, escludendo in radice la colpa di organizzazione.
Il nuovo decreto introduce il concetto di “selezione delle condotte illecite in base alla loro gravità”. Questo significa che le Autorità di vigilanza avranno il potere-dovere di graduare la propria azione repressiva, concentrando le risorse ispettive e sanzionatorie sulle violazioni che presentano un reale pericolo per la stabilità, la trasparenza e l’integrità dei mercati. Le violazioni di “scarsa offensività o pericolosità” potranno essere archiviate o gestite con strumenti più agili, come richiami formali o procedure di regolarizzazione. Si tratta di un cambiamento copernicano che sposta il focus dalla conformità cartacea all’efficacia sostanziale dei presidi. Tuttavia, questo non è un “liberi tutti”. Al contrario, la riduzione del rumore di fondo generato da migliaia di micro-violazioni formali renderà più nitido e udibile il segnale delle anomalie gravi. La capacità delle Autorità di individuare e perseguire i reati finanziari più insidiosi, come l’abuso di mercato, ne uscirà rafforzata.
Qui emerge il nesso inscindibile con il Decreto Legislativo 231/2001. I reati di abuso di informazioni privilegiate (art. 184 TUF) e di manipolazione del mercato (art. 185 TUF) sono tra i più gravi reati presupposto della responsabilità amministrativa degli enti. La nuova efficienza del sistema sanzionatorio amministrativo del TUF si tradurrà in una più rapida emersione di fatti e prove che possono facilmente transitare dal tavolo della CONSOB alla scrivania del Pubblico Ministero. Un’indagine amministrativa per una violazione TUF che si conclude rapidamente perché “grave” e “offensiva” diventa la base perfetta per l’apertura di un fascicolo penale a carico della persona fisica che ha commesso il reato e, in parallelo, a carico della società per illecito amministrativo dipendente da reato. La mancata escalation di un segnale debole all’interno dell’azienda, in questo nuovo contesto, diventa un fattore di rischio esponenziale.
Immaginiamo un trader di una banca d’affari che, avendo avuto accesso a informazioni riservate su un’imminente operazione di M&A, effettua operazioni per conto proprio o di terzi su quello strumento finanziario. Nel vecchio sistema, il suo comportamento anomalo poteva perdersi nel flusso di migliaia di operazioni giornaliere, e magari essere rilevato solo a posteriori dall’analisi della CONSOB. Con la nuova riforma, l’Autorità, liberata dal fardello delle violazioni formali, può dedicare algoritmi e analisti a scovare proprio queste anomalie sostanziali. Per la banca, il rischio è devastante: sanzione penale pecuniaria da 200 a 800 quote, interdizione dall’esercizio dell’attività, e soprattutto la confisca del profitto del reato, che può ammontare a decine di milioni di euro.
In questo scenario, la differenza tra soccombere e difendersi con successo non risiede più in un modello organizzativo cartaceo, ma in un’architettura di difesa attiva. L’ecosistema Scudo231, operando non su campioni ma su un censimento ciclico dell’intera popolazione aziendale e delle sue operazioni, avrebbe rilevato in tempo reale la correlazione tra l’accesso del trader al dato sensibile (tracciato dai sistemi di data loss prevention integrati) e l’esecuzione di ordini anomali su quel titolo. Non si tratta di un’ipotesi, ma di una ricostruzione causale scientifica. Il sistema avrebbe generato un alert ad alta priorità, inviato simultaneamente e in modo protetto all’Organismo di Vigilanza e alla funzione di controllo interno, bypassando la linea gerarchica del trader stesso. Questa escalation automatica e tracciata avrebbe bloccato l’operatività sospetta o, se già eseguita, avrebbe attivato immediatamente la procedura di segnalazione di operazione sospetta, mitigando la responsabilità dell’ente. In sede di giudizio, la banca non si sarebbe difesa con testimonianze e procedure, ma depositando l’XAI Packet generato dal sistema: un dossier tecnologico immodificabile che dimostra matematicamente che l’ente aveva adottato e, soprattutto, efficacemente attuato un modello idoneo a prevenire reati di quella specie. La prova non sarebbe più “il modello esisteva”, ma “il modello ha funzionato, rilevando e isolando la condotta individuale”. Questo sposta l’onere della prova e può portare all’assoluzione dell’ente, salvaguardandone patrimonio e reputazione.
La riforma voluta dal ministro Giorgetti è quindi un passo fondamentale verso un sistema di enforcement più razionale ed efficace. Ridurrà i costi della compliance per le imprese oneste e affilerà le armi della vigilanza contro i veri pericoli per il mercato. Tuttavia, come evidenziato dalle analisi della REDAZIONE SCUDO231, questo rende ancora più critico per le organizzazioni dotarsi di sistemi di difesa interni che non siano semplici adempimenti formali, ma veri e propri ecosistemi sovrani di controllo del rischio. La clemenza dello Stato sulle violazioni minori deve essere interpretata come un segnale inequivocabile: sulla tolleranza per le condotte gravemente illecite, che espongono l’ente al rischio 231, non ci sarà più alcun margine. La prevenzione non è più un’opzione, ma l’unica strategia di sopravvivenza in un mercato dove la capacità di rilevare e neutralizzare le minacce interne in tempo reale determina la linea di confine tra la continuità operativa e il dissesto giudiziario. Il decreto legislativo, una volta approvato in via definitiva, non farà che accelerare questa polarizzazione tra organizzazioni resilienti e organizzazioni vulnerabili.