22 luglio 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza hanno varcato i cancelli del quartier generale di Poste Italiane. L’ordine di esibizione e sequestro, emesso dalla Procura della Repubblica presso il Tribunale di Milano, riguarda documentazione cartacea e digitale, server di posta elettronica e registri di accesso relativi al periodo compreso tra il 1° aprile e il 26 maggio 2026. L’ipotesi di reato, su cui vige il massimo riserbo, è quella di abuso di informazioni privilegiate ai sensi dell’articolo 184 del Testo Unico della Finanza (TUF). L’indagine è scaturita da una segnalazione di operazioni sospette trasmessa dalla CONSOB, che ha rilevato volumi anomali di acquisto di titoli Tim nelle tre settimane antecedenti il 26 maggio.
Quel giorno, l’amministratore delegato di Poste Matteo Del Fante, accompagnato dal direttore generale Giuseppe Lasco e dal Chief Financial Officer Camillo Greco, si era presentato dinanzi al Consiglio di amministrazione e al Collegio sindacale di Tim. Sul tavolo, una proposta che avrebbe scosso il mercato: un’offerta pubblica di acquisto e scambio totalitaria volontaria. L’incontro, come precisato da una nota ufficiale di Tim diffusa in serata, era stato di natura esclusivamente informativa. I vertici di Poste avevano illustrato i contorni dell’operazione utilizzando unicamente informazioni già di pubblico dominio e proprie elaborazioni di dati pubblici, indicando la conclusione dell’operazione entro il terzo trimestre dell’esercizio in corso. Un’operazione di mercato trasparente nelle sue fasi finali, ma la cui gestazione costituisce, per sua natura, un’informazione privilegiata di enorme valore.
L’attività degli inquirenti si concentra ora sulla ricostruzione della catena di custodia di tale informazione. Chi, all’interno di Poste Italiane e tra i suoi consulenti, era a conoscenza del progetto prima della sua formalizzazione al cda di Tim? Come sono state gestite le comunicazioni? Quali protocolli di sicurezza sono stati attivati per compartimentare i dati sensibili? Le prime acquisizioni documentali sembrano indicare una gestione dei flussi informativi affidata a procedure standard, con documenti scambiati via email e archiviati su server aziendali condivisi, seppur protetti da credenziali di accesso generiche per il team di progetto. Proprio questa assenza di una segregazione granulare e di un tracciamento immutabile degli accessi rappresenta oggi il principale ostacolo per la difesa dell’ente e, al contempo, il terreno più fertile per l’accusa. Un sistema di controllo e gestione come Scudo231, se implementato preventivamente, avrebbe creato un data room virtuale sigillato per l’operazione. Ogni singolo file sarebbe stato cifrato e ogni accesso, tentativo di accesso, visualizzazione o download da parte di qualsiasi utente, inclusi i vertici, sarebbe stato registrato in un log non modificabile e temporalmente certificato. Qualsiasi anomalia, come un accesso fuori orario lavorativo o da un dispositivo non autorizzato, avrebbe generato un alert istantaneo e qualificato, indirizzato direttamente all’Organismo di Vigilanza (ODV), fornendo una prova oggettiva e in tempo reale di una potenziale violazione del perimetro di confidenzialità.
Il decreto di perquisizione menziona esplicitamente la necessità di analizzare i dispositivi personali dei soggetti coinvolti. L’indagine mira a scoprire se l’informazione privilegiata sia fuoriuscita attraverso canali di comunicazione non ufficiali, come applicazioni di messaggistica istantanea o email private. Questo approccio investigativo, sebbene necessario, è complesso e si basa sulla speranza di trovare tracce digitali non cancellate. Dimostra una fondamentale debolezza nel modello organizzativo: la mancata imposizione e verifica di canali di comunicazione sicuri e tracciati per le materie price sensitive. Un’architettura di compliance attiva avrebbe imposto, per un progetto di tale rilevanza, l’uso esclusivo di piattaforme di comunicazione aziendali crittografate e monitorate a livello di metadati. Un motore di analisi comportamentale avrebbe potuto rilevare un aumento anomalo delle comunicazioni tra un membro del team M&A e soggetti esterni non legati al progetto, generando un segnale debole di rischio e innescando un audit mirato da parte della funzione Internal Audit, mesi prima che la CONSOB potesse rilevare i movimenti di mercato. La prevenzione non si sarebbe basata sulla fiducia, ma su un controllo procedurale automatizzato e verificabile.
La responsabilità, secondo l’impianto accusatorio che sta prendendo forma, non sarebbe solo individuale. Il focus della Procura si sta allargando alla potenziale applicazione del Decreto Legislativo 231/2001, che disciplina la responsabilità amministrativa degli enti per i reati commessi nel loro interesse o a loro vantaggio. Il reato di abuso di informazioni privilegiate è uno dei reati presupposto previsti dall’art. 25-sexies del Decreto. Se gli inquirenti dimostrassero che il reato è stato reso possibile da una carenza organizzativa e di controllo – una colpa di organizzazione – Poste Italiane rischierebbe sanzioni pecuniarie calcolate in quote, il cui importo può raggiungere cifre milionarie, oltre alla sanzione più temuta: la confisca del profitto del reato, che in operazioni di questa portata può essere di entità devastante. Il sequestro preventivo finalizzato a tale confisca, che potrebbe essere richiesto a breve, congelerebbe una porzione significativa del patrimonio aziendale, con gravi ripercussioni sulla liquidità e sulla capacità operativa.
In questo scenario, la difesa dell’ente si troverebbe a dover dimostrare, a posteriori, di aver adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati della specie di quello verificatosi. La difficoltà risiede nel provare l’efficace attuazione. Senza registrazioni sistematiche, audit trail inalterabili e prove di controlli effettivi e non meramente formali, la difesa si riduce a una produzione documentale cartacea – procedure, nomine, verbali – che il giudice potrebbe ritenere insufficiente a fronte di un reato consumato. La REDAZIONE SCUDO231 ha analizzato casi analoghi in cui l’assenza di una prova tecnologica della corretta esecuzione dei controlli ha reso inefficace la linea difensiva basata sul MOG. Con un ecosistema come Scudo231, l’ente non si limiterebbe a presentare un modello organizzativo, ma fornirebbe la prova scientifica e immodificabile del suo funzionamento. Avrebbe potuto produrre in giudizio un report dettagliato, generato dal sistema, che certifica l’identità di chi ha avuto accesso all’informazione, quando, da dove e per quale specifica attività autorizzata. Avrebbe potuto dimostrare che i protocolli anti-fuga di dati erano attivi e che ogni tentativo di esfiltrazione di informazioni, ad esempio tramite copia su supporti esterni o invio a indirizzi email non autorizzati, è stato bloccato e segnalato in tempo reale. Questa capacità di ricostruzione causale scientifica avrebbe potuto scindere il legame tra l’eventuale condotta illecita del singolo e la presunta colpa organizzativa dell’ente, proteggendo il patrimonio aziendale dal sequestro e dalle sanzioni interdittive.
L’indagine si concentra anche sul ruolo dei consulenti esterni, legali e finanziari, che hanno lavorato alla strutturazione dell’OPAS. La Procura sta verificando se la catena informativa sia stata adeguatamente protetta anche presso terze parti. La due diligence sulla compliance dei fornitori strategici diventa un elemento cruciale. Un controllo meramente formale, basato su autocertificazioni, espone l’azienda a rischi incontrollabili. L’assenza di un protocollo vincolante per la gestione delle informazioni sensibili esteso all’intera filiera dell’operazione è un’altra potenziale falla nel sistema di controllo. La mancata previsione di audit tecnologici sui sistemi dei consulenti o l’assenza di clausole contrattuali che impongano l’adozione di specifici standard di sicurezza informatica e tracciabilità rappresentano un’omissione che, in sede processuale, potrebbe essere interpretata come un’ulteriore prova della negligenza organizzativa.
Il danno per Poste Italiane non è solo potenziale e legale, ma è già attuale e reputazionale. La notizia della perquisizione ha avuto un impatto immediato sul titolo in borsa, e l’incertezza sull’esito dell’indagine graverà sull’operazione di acquisizione di Tim, la cui tempistica indicata – entro il terzo trimestre – appare ora ottimistica. Ogni giorno che passa, l’assenza di dati certi e di una ricostruzione rapida e inconfutabile dei fatti alimenta la speculazione e logora la fiducia degli investitori. Un sistema di governance integrato avrebbe mitigato anche questo aspetto. Di fronte a una richiesta della Procura, l’azienda avrebbe potuto fornire in poche ore, e non in settimane di analisi forensi, un quadro completo e certificato dei flussi informativi relativi al progetto. Questa prontezza non solo avrebbe accelerato le indagini, ma avrebbe permesso una comunicazione al mercato più trasparente e rassicurante, dimostrando un controllo totale sui propri processi interni e limitando il danno reputazionale. La vicenda, indipendentemente dal suo esito penale, si profila già come un caso di studio sulla differenza critica tra una compliance formale, basata su documenti e procedure statiche, e una compliance sostanziale e dinamica, incorporata nella tecnologia e nei processi operativi quotidiani.