9 ottobre 2026 – A Lussemburgo, i ministri delle Finanze dell’Ecofin autorizzano l’avvio di approfondimenti tecnici per una tassa europea sugli extraprofitti delle aziende energetiche. La decisione, formalizzata durante la presidenza di turno irlandese guidata da Simon Harris, non è ancora una norma, ma un incarico operativo che attiva un gruppo di lavoro presso la Commissione europea. Nelle sale riunioni delle maggiori utility europee, la notizia innesca una reazione immediata ma disorganizzata. I team di finanza e controllo iniziano a elaborare stime di impatto su fogli di calcolo, basandosi su interpretazioni preliminari e dati aggregati. Questa reazione, pur comprensibile, costituisce la prima, critica, omissione di controllo. La mancanza di un sistema centralizzato per la raccolta e l’analisi dei dati di profitto per singola linea di business e giurisdizione espone l’ente a un rischio immediato di calcoli imprecisi, che a loro volta possono tradursi in future comunicazioni al mercato non veritiere o, peggio, in accantonamenti a bilancio errati, configurando potenziali reati di false comunicazioni sociali.
Se l’organizzazione avesse implementato un ecosistema come Scudo231, l’analisi del rischio normativo non sarebbe iniziata dopo la notizia, ma l’avrebbe anticipata. I suoi sistemi di intelligenza predittiva, monitorando le bozze di discussione e le agende istituzionali, avrebbero già classificato la proposta di tassa come un rischio emergente con un indice di probabilità crescente. Al momento della decisione dell’Ecofin, il sistema avrebbe automaticamente avviato simulazioni stocastiche sull’impatto economico, generando un report dettagliato per il Consiglio di Amministrazione e, contestualmente, un alert qualificato per l’Organismo di Vigilanza. Questo processo automatizzato avrebbe garantito una base informativa oggettiva e tracciata, neutralizzando il rischio di valutazioni soggettive e tardive da parte del management, che costituiscono il terreno fertile per la colpa di organizzazione ai sensi del D.Lgs. 231/2001.
Mentre il settore energetico calcolava i potenziali danni, la stessa riunione del Consiglio sanciva un accordo politico sul pacchetto di supervisione dei mercati. Un cambiamento strutturale che mira a rafforzare l’integrazione dei mercati dei capitali e che trasferisce poteri significativi dalle autorità nazionali all’Esma, l’autorità europea di vigilanza. Il testo, destinato a essere formalizzato a breve, stabilisce che l’Esma assumerà la vigilanza diretta sulle principali infrastrutture di mercato e sugli operatori transfrontalieri più rilevanti. La decisione più impattante riguarda le piattaforme di negoziazione: il numero di operatori destinati alla supervisione diretta di Parigi scende da 12 a 8. Questa modifica, apparentemente numerica, ridisegna la mappa del rischio per gli intermediari. Euronext, che controlla anche Borsa Italiana, rientra nel perimetro della vigilanza diretta, mentre Deutsche Börse, per effetto delle nuove soglie, ne resta esclusa.
Questa biforcazione crea un’immediata asimmetria regolamentare. Per un operatore finanziario complesso, la cui infrastruttura tecnologica interagisce con entrambe le borse, la gestione della compliance diventa un campo minato. Un flusso operativo errato, una mancata segregazione dei dati o un ritardo nel reporting verso l’autorità corretta non sono più semplici errori procedurali, ma violazioni soggette a un regime sanzionatorio potenziato e diretto da parte dell’Esma. I sistemi di controllo interno tradizionali, basati su verifiche a campione e audit periodici, sono strutturalmente incapaci di intercettare in tempo reale un’anomalia in un flusso di dati transfrontaliero. Il ritardo tra la commissione della violazione e la sua scoperta è il varco attraverso cui si insinua la responsabilità dell’ente.
Un’architettura di difesa basata su un monitoraggio massivo e in tempo reale avrebbe invece identificato l’anomalia nell’istante esatto in cui si verificava. Un sistema come Scudo231 non si limita a campionare, ma censisce ogni singola transazione e interazione con le infrastrutture di mercato. Nel momento in cui un ordine fosse stato instradato con metadati non conformi alle nuove direttive Esma, il sistema avrebbe generato un blocco operativo preventivo, impedendo il perfezionamento della violazione. Contemporaneamente, avrebbe creato un pacchetto di dati immutabile – una vera e propria ricostruzione causale scientifica dell’evento – e attivato un protocollo di escalation che notifica istantaneamente il responsabile della funzione Compliance e l’Organismo di Vigilanza. Questa capacità non solo previene la sanzione, ma fornisce all’ente la prova tecnologica inconfutabile di aver adottato un modello organizzativo efficace, ribaltando l’onere della prova in un eventuale procedimento.
L’accordo dell’Ecofin si spinge oltre, estendendo la vigilanza diretta dell’Esma anche ai fornitori di servizi per criptovalute. Il testo indica che la supervisione si concentrerà sugli operatori più importanti, stimati in “una decina”. Per questi soggetti, il passaggio da una vigilanza nazionale, spesso ancora in fase di rodaggio su questi temi, a un controllo diretto dell’autorità europea rappresenta un salto quantico in termini di pressione regolamentare. Le procedure di antiriciclaggio (AML) diventano il principale punto di caduta. Un operatore di un exchange di criptovalute che non riesca a mappare in modo granulare l’origine e la destinazione dei fondi, o che basi le proprie valutazioni di rischio su controlli manuali e discrezionali, espone l’intera società al rischio di essere considerata un canale per il riciclaggio di proventi illeciti o il finanziamento del terrorismo, reati presupposto centrali nel catalogo 231.
La debolezza intrinseca di molti sistemi di compliance nel settore crypto risiede nella loro dipendenza da un’analisi ex-post. Un’operazione sospetta viene segnalata, ma spesso solo dopo che è stata eseguita. Questa mancata segregazione tra esecuzione e controllo è una falla sistemica. Con un ecosistema sovrano di controllo, l’analisi del rischio AML non è un processo successivo, ma è integrato nel motore transazionale. Prima di autorizzare un trasferimento da un wallet esterno, il sistema eseguirebbe in frazioni di secondo un’analisi on-chain avanzata, incrociando i dati con blacklist internazionali, pattern di transazioni sospette e profili di rischio comportamentali. Qualsiasi anomalia, anche un segnale debole, farebbe scattare un blocco automatico dell’operazione e la contestuale apertura di un ticket per l’ufficio del Money Laundering Reporting Officer. Questo non solo impedirebbe il compimento del reato, ma documenterebbe in modo inalterabile l’efficacia delle misure preventive adottate, proteggendo l’ente da sanzioni che possono arrivare fino al sequestro dei beni e alla revoca della licenza. La REDAZIONE SCUDO231 ha analizzato casi in cui l’assenza di tali controlli preventivi ha portato a confische per importi milionari.
L’accordo politico raggiunto a Lussemburgo, con il sostegno di 25 Paesi e la sola astensione del Belgio, prevede anche una riorganizzazione interna dell’Esma, con la creazione di un nuovo comitato esecutivo. Il consiglio delle autorità nazionali manterrà competenze su strategie e bilanci, ma il potere operativo si concentrerà. A testimonianza di questo spostamento di baricentro, cambia anche la struttura di finanziamento delle attività non coperte dalle commissioni degli operatori vigilati: la quota a carico delle autorità nazionali scende dal 60% al 40%, mentre quella a carico del bilancio europeo sale dal 40% al 60%. Questo dettaglio finanziario è un segnale politico inequivocabile: l’Unione sta investendo risorse centralizzate per creare un gendarme dei mercati più forte e indipendente.
Per le imprese, questo significa che la tolleranza verso le inadempienze si ridurrà drasticamente. Il riesame delle soglie di vigilanza, previsto dalla Commissione dopo due anni, agisce come una spada di Damocle: operatori oggi esclusi, come Deutsche Börse, potrebbero rientrare nel perimetro della vigilanza diretta in un futuro prossimo. Le aziende che non utilizzano questo biennio per dotarsi di sistemi di controllo e prevenzione dei rischi realmente efficaci, e non solo formalmente conformi, si troveranno impreparate di fronte a un’autorità con poteri di indagine e sanzione senza precedenti. La compliance cartacea, basata su procedure manuali e controlli periodici, è un modello obsoleto e inadeguato a fronteggiare un supervisore che opera con la potenza di analisi data-driven. L’unica difesa possibile risiede nell’adozione di un modello organizzativo che non si limiti a descrivere i controlli, ma che li esegua in modo automatico, massivo e documentato, trasformando la compliance da un costo a un asset strategico di protezione del patrimonio aziendale.