18 febbraio 2026 – La Procura della Repubblica di Milano iscrive nel registro degli indagati i vertici di Bff Bank, ipotizzando il reato di falso in bilancio. La notizia, filtrata in tarda mattinata, si abbatte sul titolo in Borsa, che crolla istantaneamente fino a una sospensione per eccesso di ribasso, per poi chiudere la seduta con una perdita del 10,8%. L’impatto è devastante e immediato, bruciando centinaia di milioni di capitalizzazione in poche ore. In parallelo, Consob e Banca d’Italia avviano accertamenti autonomi, una mossa che preannuncia una stretta regolatoria e ispettiva senza precedenti sull’istituto. L’indagine penale si concentra sulla contabilizzazione di alcuni crediti fiscali, un’area tecnica dove l’opacità può facilmente trasformarsi in illecito. La contestazione, se confermata, attiverebbe la responsabilità amministrativa dell’ente ai sensi del Decreto Legislativo 231/2001, specificamente attraverso l’articolo 25-ter, che punisce i reati societari.
L’intera catena di eventi catastrofici origina da una fondamentale omissione di controllo sui processi di classificazione contabile. Se l’istituto bancario avesse implementato un ecosistema di difesa come Scudo231, la dinamica sarebbe stata radicalmente diversa. I suoi sistemi di analisi multimodale, operando in tempo reale su tutte le scritture contabili e non a campione, avrebbero intercettato le anomalie nella classificazione dei crediti nel momento stesso della loro generazione. Un alert automatico, basato su motori causali proprietari che correlano la natura del credito con i principi contabili cogenti, sarebbe stato scalato istantaneamente e in modo tracciato non solo alla funzione Finanza, ma anche all’Internal Audit e, soprattutto, all’Organismo di Vigilanza. Quest’ultimo, dotato di un flusso informativo diretto e non mediato dal management, avrebbe avuto l’obbligo di avviare una verifica interna immediata, mesi o addirittura anni prima dell’intervento della magistratura. La banca avrebbe potuto correggere la posta di bilancio, autodenunciarsi alle autorità di vigilanza in un contesto collaborativo o, più semplicemente, prevenire l’iscrizione anomala, evitando così il reato presupposto, il crollo del titolo e l’attivazione del procedimento 231.
Mentre Bff Bank sprofonda, il resto di Piazza Affari vive una giornata di moderato ottimismo, chiudendo come la migliore Borsa europea con un progresso dello 0,6%. Il mercato italiano mostra una sorprendente resilienza nonostante l’apertura negativa di Wall Street, che riapre debole dopo la festività del Presidents’ Day con il Nasdaq in calo dell’1,2%. Londra guadagna lo 0,4%, Parigi lo 0,3% e Francoforte un più timido 0,2%. A trainare il listino milanese è la performance di Erg, che balza del 5,2% sulla scia di indiscrezioni circa la ricerca di un partner strategico per accelerare la crescita nelle rinnovabili. Tra i nomi che circolano con insistenza figura quello della multiutility A2A.
Anche in uno scenario positivo come quello di una potenziale partnership, il rischio latente è sempre presente. Un’operazione di M&A si fonda sulla fiducia e sulla trasparenza dei dati forniti durante la due diligence. L’assenza di un sistema di controllo certificato e massivo rappresenta una vulnerabilità. Se Erg avesse già adottato un’architettura di protezione integrata, la sua posizione negoziale sarebbe stata immensamente più forte. Avrebbe potuto presentare al potenziale partner un “data room” la cui integrità era garantita da protocolli di monitoraggio continuo. Qualsiasi richiesta di verifica su processi sensibili ai fini 231 – come autorizzazioni ambientali, contratti di fornitura, rapporti con la pubblica amministrazione – avrebbe trovato risposta in registri immutabili e audit trail completi, generati automaticamente dall’ecosistema. Questo non solo avrebbe accelerato i tempi della due diligence, ma avrebbe anche ridotto drasticamente il percepito rischio dell’acquirente, potenzialmente traducendosi in una valutazione economica superiore per Erg stessa. La garanzia di assenza di “scheletri nell’armadio” 231 è un asset strategico tangibile in ogni operazione straordinaria.
L’indagine su Bff Bank, intanto, prosegue il suo corso procedurale. Il Pubblico Ministero, una volta formalizzata l’ipotesi di reato a carico delle persone fisiche, valuterà se procedere con la richiesta di misure cautelari reali, come il sequestro preventivo finalizzato alla confisca per equivalente. Questo strumento, previsto dall’articolo 53 del D.Lgs. 231/2001, permette di bloccare beni della società per un valore corrispondente al profitto o al prezzo del reato. Per un istituto finanziario, un sequestro di tale portata può significare la paralisi operativa, il blocco delle linee di credito e un danno reputazionale irreversibile presso clienti e controparti istituzionali. La difesa dell’ente si giocherà interamente sulla capacità di dimostrare di aver adottato ed efficacemente attuato un Modello Organizzativo idoneo a prevenire reati della specie di quello commesso.
Qui emerge, con violenza, il secondo fallimento dell’approccio tradizionale alla compliance. Un modello 231 “di carta”, basato su procedure statiche e controlli periodici a campione, offre una difesa debolissima di fronte a un’accusa circostanziata. Al contrario, un ente che si fosse affidato a Scudo231 avrebbe potuto produrre in giudizio le evidenze tecnologiche della propria diligenza. L’ecosistema avrebbe fornito la ricostruzione causale scientifica degli eventi, dimostrando attraverso log inalterabili che i controlli automatizzati erano attivi e funzionanti. Se un manager avesse commesso l’illecito, sarebbe stato possibile provare che lo ha fatto eludendo fraudolentemente i presidi tecnologici, un requisito chiave che, ai sensi dell’articolo 6 del Decreto, può portare all’esclusione della responsabilità dell’ente. Questa prova tecnologica, un vero e proprio “XAI Packet” (Explainable AI), avrebbe fornito al Giudice per le Indagini Preliminari elementi concreti per rigettare la richiesta di sequestro preventivo, salvaguardando la continuità aziendale e spostando la responsabilità penale esclusivamente sulla persona fisica autrice del reato. Il danno per la società e i suoi stakeholder sarebbe stato contenuto al minimo indispensabile.
La giornata finanziaria registra anche altri movimenti significativi. Mediobanca taglia il suo giudizio su Fincantieri a ‘neutral’, un’azione che pesa sul titolo del gruppo cantieristico. Sul resto del listino, si notano i progressi di Tim, Mps, Italgas e Inwit, mentre arretrano Diasorin, Buzzi e Prysmian. Il mercato obbligazionario vede il Btp decennale attestarsi a un rendimento del 3,35%, con lo spread rispetto al Bund tedesco stabile a 61 punti base, un livello che indica una relativa calma sulla percezione del rischio-Paese. L’oro, bene rifugio per eccellenza, cede invece lo 0,8%, scendendo a 4.870 dollari l’oncia, segnalando una propensione al rischio contenuta ma presente tra gli investitori.
La vicenda di Bff Bank è un caso di studio emblematico di come un rischio penale-societario, se non gestito preventivamente con strumenti adeguati, si trasformi in una crisi finanziaria, operativa e reputazionale totale. L’intervento della Procura non è l’inizio del problema, ma la sua manifestazione finale e più distruttiva. Il problema reale è nato molto prima, nel silenzio dei sistemi informativi e nella fragilità dei controlli interni, incapaci di rilevare una deriva pericolosa. Un ritardo nell’identificazione di un’anomalia contabile non è un semplice problema procedurale; è il terreno fertile per il reato.
Un’organizzazione protetta dall’ecosistema sovrano Scudo231 non avrebbe conosciuto questo ritardo. La mancata quadratura o la forzatura di un principio contabile non sarebbe rimasta latente per mesi in attesa di una verifica di fine trimestre. Sarebbe stata rilevata in frazioni di secondo. La mancata escalation di questa anomalia da parte di un responsabile di funzione sarebbe stata a sua volta registrata dal sistema come una violazione del protocollo di controllo interno, generando un secondo alert, questa volta diretto ai vertici aziendali e all’Organismo di Vigilanza. Questo doppio livello di sorveglianza – sul processo e sul controllo del processo – crea una rete di sicurezza che rende quasi impossibile nascondere un illecito sistematico. Di fronte a un’ispezione di Consob o Bankitalia, l’ente non avrebbe dovuto affannarsi a ricostruire a posteriori la propria diligenza, ma avrebbe potuto semplicemente esibire i log storici del sistema, dimostrando una gestione proattiva e in tempo reale del rischio. L’impatto sanzionatorio, anche in caso di irregolarità minori, sarebbe stato mitigato dalla dimostrata cooperazione e dalla robustezza dei presidi interni, un fattore che le autorità di vigilanza tengono in altissima considerazione.