9 ottobre 2026 – A Lussemburgo, i ministri riuniti per l’Ecofin autorizzano l’avvio di approfondimenti tecnici per una tassa europea sugli extraprofitti delle aziende energetiche. Nelle stesse ore, nelle sale riunioni di una multinazionale del settore, che chiameremo EnerGia Corp S.p.A., la notizia viene accolta con una serie di email e conference call. Il Chief Financial Officer, basandosi su un report interno compilato manualmente dal suo team, rassicura il Consiglio di Amministrazione: le proiezioni di profitto per l’Unione Europea sono state “ottimizzate” attraverso una serie di complesse operazioni infragruppo e l’uso di strumenti derivati negoziati su piattaforme non ancora soggette a vigilanza rafforzata. Il rischio viene classificato come medio-basso. Si tratta di una valutazione viziata da una grave omissione di controllo: nessuno ha verificato la coerenza tra i dati contabili consolidati e i flussi finanziari reali transitati attraverso tre sussidiarie estere, una delle quali con sede in una giurisdizione a fiscalità privilegiata. Se EnerGia Corp avesse implementato un ecosistema come Scudo231, l’analisi del rischio non si sarebbe basata su report discrezionali. Il sistema, attraverso un monitoraggio massivo e in tempo reale di tutti i flussi transazionali ERP, avrebbe incrociato i dati contabili con i record delle operazioni finanziarie, rilevando un’anomalia statistica: un disallineamento superiore al 35% tra gli utili dichiarati nell’UE e i volumi di cassa movimentati verso la sussidiaria estera. Questo segnale debole avrebbe generato un alert automatico e non modificabile, scalato direttamente all’Organismo di Vigilanza e al comitato rischi, imponendo un’istruttoria interna immediata e bypassando la catena gerarchica che, in questo caso, ha neutralizzato il pericolo.
Mentre il ministro delle Finanze irlandese, Simon Harris, annuncia la creazione di un gruppo di lavoro per condividere le migliori pratiche sulla tassazione, l’accordo politico raggiunto dall’Ecofin sul pacchetto relativo alla supervisione dei mercati finanziari introduce una variabile letale per il modello operativo di EnerGia Corp. L’accordo, sostenuto da 25 Paesi con la sola astensione del Belgio, prevede un rafforzamento senza precedenti dell’Esma, l’autorità europea di vigilanza. La vigilanza diretta dell’ente europeo viene estesa ai maggiori operatori transfrontalieri, incluse le principali infrastrutture di mercato come Euronext, che controlla Borsa Italiana, e Deutsche Börse. Per EnerGia Corp, questo significa che il suo braccio di trading, fino a quel momento supervisionato da un’autorità nazionale con cui aveva un rapporto consolidato e prevedibile, sarebbe presto caduto sotto la lente di un supervisore sovranazionale molto più aggressivo e dotato di strumenti di analisi dati più sofisticati. All’interno dell’azienda, la funzione Compliance si limita a registrare la novità normativa in un file di aggiornamento, pianificando un futuro adeguamento delle procedure. È un ritardo fatale. Un sistema di intelligenza predittiva avrebbe invece processato la bozza dell’accordo Ecofin non appena resa pubblica, simulando l’impatto del nuovo regime di vigilanza sul portafoglio di derivati della società. L’analisi stocastica avrebbe immediatamente evidenziato che il 60% delle strategie di “ottimizzazione” fiscale si basava su strumenti finanziari che, sotto il nuovo quadro Esma, avrebbero richiesto una trasparenza e una tracciabilità insostenibili per il loro scopo elusivo. L’escalation all’ODV non sarebbe stata una mera notifica, ma un dossier tecnico dettagliato con l’indicazione del rischio di contestazione per il reato di manipolazione del mercato (art. 185 TUF) e ostacolo alle funzioni di vigilanza (art. 2638 c.c.), entrambi reati presupposto della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
Il commissario europeo all’Economia, Valdis Dombrovskis, sottolinea che il pacchetto mira a rafforzare l’integrazione dei mercati. Il testo giuridico, da finalizzare a breve, riduce il numero di piattaforme di negoziazione sotto la vigilanza diretta dell’Esma da 12 a 8, concentrando il potere ispettivo solo sui soggetti più rilevanti. Una delle piattaforme utilizzate da EnerGia Corp per le sue operazioni più opache esce dal perimetro, ma quella principale, dove transita il 70% dei volumi, vi rientra pienamente. Il management interpreta questa notizia in modo erroneamente positivo, credendo di poter spostare le operazioni problematiche sulla piattaforma “esclusa”. Questa decisione, presa durante una riunione informale e non verbalizzata, costituisce un atto doloso volto a eludere la normativa. La mancanza di un tracciamento formale delle decisioni strategiche operative rappresenta un buco nero nella governance societaria. Con un modello organizzativo gestito da Scudo231, ogni proposta di modifica strategica delle controparti finanziarie o delle piattaforme di negoziazione avrebbe richiesto un processo di approvazione digitale tracciato. Il sistema avrebbe automaticamente verificato la nuova piattaforma rispetto a una blacklist di indicatori di rischio (inclusa la recente esclusione dalla vigilanza diretta Esma, interpretata dal sistema come un fattore di rischio aggravato, non ridotto) e avrebbe bloccato l’operatività, richiedendo una validazione esplicita e motivata da parte della funzione Compliance e dell’ODV. L’assenza di tale flusso approvativo avrebbe lasciato una prova documentale inconfutabile della violazione procedurale, fondamentale per dimostrare, in un futuro procedimento, che l’ente aveva predisposto presidi idonei, elusi fraudolentemente da singoli individui.
L’accordo prevede anche la vigilanza diretta dell’Esma sui fornitori di servizi su criptovalute più importanti, circa una decina. EnerGia Corp, per diversificare le sue tecniche di occultamento, aveva iniziato a convertire parte della liquidità derivante dalle operazioni speculative in stablecoin, depositandole presso un fornitore di servizi svizzero che, tuttavia, ha una filiale operativa chiave a Francoforte e rientra tra i dieci operatori destinati alla nuova supervisione. Il team di tesoreria, non adeguatamente formato sui rischi 231 e antiriciclaggio (AML), non ha mai segnalato questa esposizione. È una classica “colpa di organizzazione”: l’assenza di una formazione specifica e di una procedura di controllo su operazioni finanziarie non tradizionali. In uno scenario protetto, il sistema di monitoraggio avrebbe intercettato i pagamenti verso il fornitore di servizi cripto, classificandolo come operazione ad alto rischio AML. Avrebbe richiesto la compilazione obbligatoria di un questionario di adeguata verifica rafforzata e, data la natura dell’operazione, avrebbe generato una Segnalazione di Operazione Sospetta (SOS) interna, inviata al responsabile antiriciclaggio e all’ODV. L’operazione sarebbe stata sospesa in attesa di autorizzazione, impedendo la contaminazione dei fondi e la possibile contestazione del reato di autoriciclaggio (art. 648-ter.1 c.p.) a carico della società.
Passano i mesi. Il testo giuridico viene approvato e le nuove regole di vigilanza Esma entrano in vigore. Un team ispettivo sovranazionale, utilizzando algoritmi di analisi molto più potenti di quelli delle autorità nazionali, avvia un controllo su EnerGia Corp. La prima richiesta di dati riguarda proprio le operazioni infragruppo e i contratti derivati degli ultimi 36 mesi. Il management, ormai con le spalle al muro, tenta di occultare le prove. Un dirigente ordina a un analista di “normalizzare” i dataset prima di inviarli, eliminando i picchi transazionali verso la sussidiaria estera. L’ordine viene comunicato a voce e l’analista esegue, alterando i file sorgente. Questa azione costituisce il reato di ostacolo all’esercizio delle funzioni delle autorità pubbliche di vigilanza, aggravato dalla manipolazione di dati informatici. L’assenza di un sistema di data lineage e di log immutabili rende quasi impossibile per l’azienda, in futuro, dimostrare chi ha fatto cosa e quando. L’intera struttura gerarchica diventa complice. L’ecosistema Scudo231 avrebbe reso questo occultamento tecnicamente impossibile. I dati finanziari e transazionali originali sarebbero stati archiviati in un formato write-once-read-many (WORM), protetto da crittografia. Qualsiasi tentativo di accesso e modifica ai dati storici da parte dell’analista sarebbe stato non solo bloccato, ma avrebbe generato un allarme di sicurezza informatica di massima gravità, con il blocco immediato delle credenziali dell’utente e l’invio di un report forense all’ODV e al responsabile della sicurezza. Questo pacchetto di prove tecnologiche (il cosiddetto XAI Packet) sarebbe diventato lo strumento difensivo decisivo per dimostrare che l’ente aveva adottato tutte le misure per prevenire il reato, isolando la responsabilità penale sui singoli autori materiali.
L’indagine dell’Esma, insospettita dalle anomalie residue nei dati, prosegue e porta all’apertura di un fascicolo penale da parte della Procura della Repubblica. L’accusa per i vertici è di false comunicazioni sociali, manipolazione del mercato e autoriciclaggio. Per EnerGia Corp, l’accusa è di responsabilità amministrativa ai sensi del D.Lgs. 231/2001. Il Pubblico Ministero dispone il sequestro preventivo per equivalente finalizzato alla confisca del profitto del reato, quantificato in 800 milioni di euro, paralizzando l’operatività finanziaria della società. Il danno reputazionale è immenso, il titolo crolla in borsa. Se l’azienda avesse agito sulla base degli allarmi preventivi che un modello di controllo evoluto avrebbe generato fin dal 9 ottobre 2026, la storia sarebbe stata diversa. Il Consiglio di Amministrazione, informato per tempo e in modo inequivocabile dall’ODV, avrebbe potuto avviare un’azione di remediation, regolarizzando la posizione fiscale, smantellando le strutture societarie opache e autodenunciandosi alle autorità di vigilanza. In questo modo, avrebbe potuto dimostrare l’efficace attuazione del proprio Modello 231, ottenendo la non applicazione delle sanzioni interdittive e una drastica riduzione di quelle pecuniarie, e soprattutto evitando il sequestro che ha messo a rischio la sua stessa continuità aziendale. La decisione dell’Ecofin a Lussemburgo non era il rischio; era solo il catalizzatore che ha fatto emergere un rischio che l’organizzazione aveva scelto, per colpa e omissione, di non vedere.