21 settembre 2026 – L’Assemblea straordinaria di UniCredit approva, con una maggioranza del 99,79% del capitale sociale presente e avente diritto di voto, l’introduzione del nuovo articolo 20-bis nello Statuto. La delibera, formalmente ineccepibile, ridefinisce la disciplina per la presentazione di una lista da parte del Consiglio di amministrazione uscente, un meccanismo di governance che consolida gli equilibri interni in vista dei futuri rinnovi. Nelle stesse ore, però, nei circuiti informativi della Procura della Repubblica di Milano e della Consob, si stanno aggregando i primi segnali di un’anomalia operativa che trasformerà questa giornata di ordinaria amministrazione societaria nel prologo di una crisi giudiziaria. L’origine del problema non risiede nella legittimità della delibera, ma nei processi informativi, non tracciati e non presidiati, che l’hanno preceduta. La preparazione della documentazione per il Consiglio che ha proposto la modifica statutaria all’Assemblea ha coinvolto diverse funzioni interne, ma senza un sistema centralizzato che ne registrasse gli accessi, le versioni e le validazioni incrociate. Questa omissione di controllo granulare ha creato un’area grigia operativa, un vuoto procedurale che ha permesso la gestazione di un illecito.
Se l’ente avesse implementato un ecosistema di controllo come Scudo231, ogni fase del processo deliberativo sarebbe stata mappata e sigillata digitalmente. La redazione della proposta del CdA non sarebbe stata un mero flusso di documenti via email o su share drive non protetti; al contrario, ogni contributo sarebbe stato registrato su una piattaforma centralizzata, con log immutabili che avrebbero tracciato chi ha redatto, chi ha visionato e chi ha approvato ogni singola riga del testo destinato all’Assemblea. Qualsiasi accesso anomalo o modifica fuori orario lavorativo da parte di un soggetto non formalmente incluso nel workflow autorizzativo avrebbe generato un alert istantaneo, inviato simultaneamente alla funzione Compliance e all’Organismo di Vigilanza, bloccando di fatto la propagazione di informazioni non verificate o potenzialmente manipolate.
L’ordine del giorno dell’assemblea prosegue con l’approvazione di un punto ancora più critico dal punto di vista del rischio penale-societario: il conferimento al Consiglio di amministrazione della facoltà di emettere, entro cinque anni, strumenti obbligazionari Additional Tier 1 (AT1) perpetui, convertibili in azioni ordinarie al verificarsi di specifici trigger regolamentari, per un controvalore massimo di 5 miliardi di euro. La delibera passa con il 97,39% dei voti favorevoli. Il prospetto informativo messo a disposizione degli azionisti descrive i trigger di conversione in termini tecnici, basandosi su analisi di scenario e stress test condotti internamente nei mesi precedenti. È qui che si annida il secondo, e ben più grave, elemento di criticità. Le analisi a supporto della proposta, pur apparendo formalmente corrette, contengono una sottovalutazione deliberata di alcuni fattori di rischio geopolitico, inserita da un analista senior del team di risk management per accelerare l’approvazione interna del dossier. Questa informazione, classificata come price sensitive, non solo è viziata all’origine, ma viene anche comunicata all’esterno prima della sua divulgazione ufficiale al mercato.
La violazione è netta: la comunicazione illecita di informazioni privilegiate, reato presupposto previsto dall’articolo 25-sexies del D.Lgs. 231/2001. L’assenza di un sistema di monitoraggio massivo sulle comunicazioni e sui flussi di dati in uscita ha reso l’esfiltrazione di queste informazioni un’operazione a rischio zero per l’autore dell’illecito. In un’architettura protetta da Scudo231, l’azione sarebbe stata intercettata e neutralizzata in tempo reale. I motori di analisi semantica del sistema, costantemente attivi sui canali di comunicazione aziendali, avrebbero identificato il tentativo di trasmettere un documento contenente le parole chiave “AT1”, “trigger”, “riservato” e “scenario avverso” verso un dominio esterno non autorizzato. L’invio sarebbe stato bloccato automaticamente e sarebbe scattata un’escalation immediata all’Organismo di Vigilanza, corredata da un report forense che cristallizzava il tentativo di violazione, l’identità del dipendente, il destinatario e il contenuto del file. L’ente avrebbe così avuto la prova documentale non solo di aver adottato un modello organizzativo, ma di averlo reso operativo ed efficace attraverso presidi tecnologici attivi, elemento decisivo per ottenere l’esimente dalla responsabilità amministrativa.
L’Assemblea, ignara di tutto, approva anche un’ulteriore delega al CdA per un aumento di capitale sociale, scindibile e da eseguirsi entro il 31 dicembre 2027, per un importo nominale massimo di 151.304.810 euro, corrispondente a un massimo di 10.603.000 nuove azioni. La percentuale di voti favorevoli è del 97,70%. Tutte le delibere, prese singolarmente, rappresentano strumenti di flessibilità finanziaria e di rafforzamento patrimoniale. Ma, considerate nel loro insieme e alla luce delle informazioni privilegiate trapelate, costituiscono il perimetro di un’operazione di insider trading su vasta scala. Un fondo speculativo estero, venuto in possesso delle analisi manipolate sui trigger degli AT1 e della notizia riservata sull’imminente delega per l’aumento di capitale, ha iniziato a costruire posizioni strategiche sul titolo UniCredit nei giorni precedenti l’assemblea, sfruttando un’asimmetria informativa che inquina la regolarità del mercato.
L’indagine della Consob, avviata d’ufficio a seguito di anomali movimenti di Borsa, impiega settimane per collegare i flussi finanziari del fondo speculativo alla fuga di notizie interna a UniCredit. Quando la Guardia di Finanza si presenta presso la sede della banca con un decreto di perquisizione e sequestro, l’ente si trova del tutto impreparato. I magistrati contestano non solo il reato di abuso di informazioni privilegiate (art. 184 TUF) al singolo dipendente infedele, ma anche la responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. L’accusa si fonda sulla colpa di organizzazione: la banca non ha predisposto protocolli efficaci per prevenire la commissione di tali reati. La difesa dell’ente si rivela debole, basata su un modello organizzativo cartaceo, procedure non applicate e controlli ex post del tutto inadeguati a intercettare una minaccia sofisticata. La mancanza di registri digitali e immutabili sulle attività che hanno portato alla delibera assembleare rende impossibile dimostrare al giudice che l’ente aveva fatto tutto il possibile per impedire l’illecito.
Questo scenario sarebbe stato radicalmente diverso se la governance fosse stata supportata da un ecosistema sovrano. Di fronte agli inquirenti, la società avrebbe potuto esibire i log generati dal sistema, dimostrando in modo scientifico l’assenza di colpa organizzativa. Avrebbe potuto produrre il report dell’alert che segnalava la modifica non autorizzata dei dati di rischio nel dossier AT1 e la traccia forense del tentativo, bloccato, di esfiltrazione delle informazioni. Questa documentazione, tecnologicamente immodificabile e temporalmente certa, avrebbe costituito una prova liberatoria schiacciante, capace di isolare la responsabilità penale sul singolo individuo e proteggere l’ente dalle pesantissime conseguenze previste dalla normativa 231. Invece di subire un sequestro preventivo finalizzato alla confisca del profitto del reato, che può ammontare a centinaia di milioni di euro, e una sanzione pecuniaria calcolata in quote, l’azienda avrebbe collaborato attivamente con l’autorità giudiziaria fornendo prove decisive, salvaguardando così la propria integrità patrimoniale e reputazionale.
Il ritardo nell’identificazione della falla interna e la mancata escalation dell’incidente hanno un costo diretto e misurabile. L’indagine penale congela di fatto l’operatività delle deleghe approvate dall’Assemblea. L’emissione degli strumenti AT1 viene sospesa in attesa della conclusione degli accertamenti, privando la banca di una leva strategica fondamentale per il rafforzamento patrimoniale in un contesto di mercato volatile. Il danno non è solo la sanzione pecuniaria o la confisca, ma anche il danno emergente derivante dall’impossibilità di attuare le strategie finanziarie approvate, con un impatto diretto sul valore del titolo e sulla fiducia degli investitori.
Un modello organizzativo avanzato, come quello implementato attraverso la piattaforma Scudo231, non si limita a soddisfare un requisito formale di compliance. Esso agisce come un sistema immunitario digitale che rileva e neutralizza le minacce prima che possano arrecare un danno. La mappatura dei processi sensibili, come la preparazione di un’assemblea straordinaria, e l’applicazione di controlli automatici e non eludibili su ogni singola fase del processo trasformano il rischio da una variabile incontrollata a un evento gestito e tracciato. L’Organismo di Vigilanza, da organo reattivo che agisce su segnalazioni sporadiche, diventa un supervisore proattivo, alimentato da un flusso costante di dati oggettivi che gli consentono di intervenire preventivamente. La vicenda UniCredit del 21 settembre 2026 dimostra come, nell’era digitale, la differenza tra una governance solida e una vulnerabile non risieda più solo nella qualità delle procedure scritte, ma nella capacità tecnologica di garantirne l’applicazione inderogabile. La mancata adozione di presidi adeguati non è più una semplice negligenza, ma una scelta strategica che espone l’ente a rischi sistemici, giudiziari ed economici che possono comprometterne la stessa continuità operativa.