7 luglio 2026 – I militari del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano l’ingresso della sede legale di Intesa Sanpaolo a Milano. L’ordine di esibizione, firmato dal Pubblico Ministero, è specifico: acquisire l’intera documentazione, digitale e cartacea, relativa all’offerta pubblica di acquisto e scambio su Banca Monte dei Paschi di Siena, annunciata al mercato esattamente un mese prima, il 9 giugno 2026. L’ipotesi di reato che muove l’indagine è quella di abuso di informazioni privilegiate, previsto dall’articolo 184 del Testo Unico della Finanza, e di ostacolo alle funzioni delle autorità pubbliche di vigilanza, ai sensi dell’articolo 2638 del codice civile. Entrambi i reati rientrano nel catalogo dei presupposti per la responsabilità amministrativa degli enti, disciplinata dal Decreto Legislativo 231/2001.
L’operazione, che all’epoca era stata salutata dal mercato con un’ondata di ottimismo – Mps aveva chiuso a +2,6% a 10,37 euro e la stessa Intesa a +0,9% a 5,65 euro – ora proietta un’ombra densa sull’intero istituto. Al centro dell’attenzione degli inquirenti vi sono i volumi anomali di scambi registrati sui titoli Mps e, in misura minore, Mediobanca, nelle 72 ore precedenti la diffusione della nota ufficiale con cui Intesa Sanpaolo formalizzava la sua Opas totalitaria da 30,6 miliardi di euro. L’analisi forense della CONSOB, trasmessa alla Procura, ha isolato una serie di transazioni speculative, eseguite tramite intermediari esteri e veicoli societari schermati, che hanno generato plusvalenze per decine di milioni di euro. L’indagine non cerca solo i singoli responsabili, ma mira a stabilire se l’ente abbia omesso di adottare ed efficacemente attuare un modello organizzativo idoneo a prevenire reati della specie di quelli verificatisi.
Il primo punto di rottura individuato dagli investigatori è il perimetro di accesso alle informazioni sensibili. Il progetto di acquisizione, studiato per mesi da un team ristretto, era classificato come highly confidential. Tuttavia, l’analisi dei log di accesso ai sistemi interni rivela una falla procedurale: decine di dipendenti, non formalmente parte del “deal team”, hanno avuto accesso, anche solo per pochi istanti, a cartelle di rete e a documenti preparatori contenenti dettagli sull’operazione. Si tratta di accessi non autorizzati ma resi possibili da una gestione delle permission IT non sufficientemente granulare. Questa è una classica omissione colposa nell’organizzazione. Se l’istituto avesse implementato un ecosistema come Scudo231, ogni file e dato relativo all’operazione sarebbe stato “taggato” digitalmente come informazione privilegiata. Qualsiasi tentativo di accesso da parte di un utente non inserito in una whitelist pre-approvata e tracciata avrebbe generato un alert in tempo reale, non un semplice log da analizzare a posteriori. L’accesso sarebbe stato bloccato istantaneamente e una notifica di anomalia sarebbe stata inoltrata in automatico alla Funzione Compliance e all’Organismo di Vigilanza 231, creando una prova documentale inoppugnabile della tentata violazione e della sua neutralizzazione.
L’inchiesta prosegue ricostruendo la catena di comunicazione interna che ha preceduto l’annuncio ufficiale. Emerge che una bozza del comunicato stampa, completa di dettagli cruciali come il corrispettivo di 1,6 azioni Intesa più 1 euro in contanti per ogni azione Mps e il premio del 12,5%, è stata inviata via email a una mailing list di distribuzione interna per una revisione finale. La lista includeva, per un errore materiale, anche alcuni manager di divisioni non direttamente coinvolte. Nessun sistema ha rilevato l’anomalia di questa comunicazione. La violazione del principio di segregation of duties e del “need to know” è palese e costituisce un punto debole che la Procura sfrutterà per contestare l’inidoneità del modello 231 adottato dalla banca. Con un sistema di monitoraggio massivo, la composizione della mailing list sarebbe stata confrontata in automatico con la matrice delle responsabilità e delle autorizzazioni del progetto Mps. La presenza di destinatari incongrui avrebbe fatto scattare un blocco preventivo dell’invio, segnalando l’incidente come un potenziale data leak e attivando un protocollo di escalation che avrebbe richiesto un’autorizzazione esplicita da parte del responsabile del trattamento dei dati privilegiati. L’errore umano sarebbe stato intercettato e corretto dalla macchina, prima che potesse produrre effetti.
Il danno per Intesa Sanpaolo non è solo reputazionale. Il Pubblico Ministero, sulla base di questi elementi, ha richiesto al GIP il sequestro preventivo per equivalente del profitto del reato, quantificato in via provvisoria in una somma che potrebbe superare i 200 milioni di euro, pari all’arricchimento ottenuto dai terzi che hanno sfruttato la fuga di notizie. Un provvedimento del genere, se concesso, congelerebbe una parte significativa della liquidità dell’istituto, con impatti operativi e di rating immediati. La difesa della banca si basa sull’affermazione di aver adottato un modello 231 e di aver nominato un Organismo di Vigilanza. Tuttavia, senza la capacità di dimostrare con dati certi e immodificabili che i controlli erano effettivi, operativi e in tempo reale, questa difesa rischia di essere percepita come puramente formale. La giurisprudenza della Cassazione è costante nel richiedere la prova di un’attuazione “concreta ed efficace”, non di una mera esistenza “cartacea” del modello.
Qui emerge il valore di una ricostruzione causale scientifica. Un ecosistema come Scudo231 non si limita a prevenire, ma genera un XAI Packet (Explainable AI Packet) per ogni evento critico. In sede giudiziale, la banca avrebbe potuto produrre una prova tecnologica forense, crittograficamente sigillata, che dimostrava matematicamente l’assenza di colpa organizzativa. Avrebbe potuto esibire i log degli accessi bloccati, delle email respinte, delle escalation automatiche all’ODV, provando che l’ente aveva messo in campo le migliori tecnologie disponibili per sigillare l’informazione. Questo avrebbe permesso di isolare la responsabilità penale sulle sole persone fisiche che avessero agito eludendo fraudolentemente i controlli, scindendo il loro destino da quello dell’ente e proteggendo quest’ultimo dalla sanzione pecuniaria e dal sequestro.
L’indagine si allarga poi al secondo capo d’imputazione: l’ostacolo alla vigilanza. Dai verbali emerge che la Funzione Internal Audit aveva rilevato le prime anomalie sui volumi di borsa già 48 ore prima dell’annuncio. Il report, tuttavia, ha seguito un percorso di escalation interna lento e farraginoso. È rimasto fermo per oltre 24 ore sulla scrivania di un dirigente intermedio prima di raggiungere il top management e, da lì, essere inoltrato alla CONSOB. Questo ritardo nella comunicazione obbligatoria è un fatto oggettivo e grave. Costituisce una violazione diretta dell’obbligo di collaborare con le autorità, esponendo l’ente a sanzioni penali e amministrative. La scelta di “gestire internamente” il problema prima di comunicarlo all’esterno è una prassi diffusa, ma letale dal punto di vista della compliance 231.
In uno scenario alternativo, l’alert generato dal sistema di monitoraggio dei mercati sarebbe confluito direttamente in una dashboard centralizzata, visibile simultaneamente alla Compliance, all’Internal Audit e all’Organismo di Vigilanza. I protocolli di Scudo231 avrebbero imposto un timer di escalation non derogabile: se l’evento non fosse stato preso in carico e qualificato entro 60 minuti, il sistema avrebbe automaticamente scalato l’informativa al livello gerarchico superiore, fino ad arrivare al CEO e al Presidente dell’ODV. La procedura di segnalazione all’autorità di vigilanza sarebbe stata pre-impostata e avrebbe richiesto solo l’attivazione, non una decisione discrezionale soggetta a ritardi. Il registro immutabile di queste azioni avrebbe fornito la prova che l’ente ha agito con la massima tempestività e trasparenza, annullando nei fatti i presupposti per il reato di ostacolo alla vigilanza.
Mentre l’inchiesta giudiziaria prosegue, l’impatto sull’operazione di mercato è devastante. L’offerta su Mps, che puntava a creare una “wealth bank” con 2.000 miliardi di euro di attività finanziarie, è ora sospesa in attesa degli sviluppi. La fiducia degli investitori è incrinata e il titolo Intesa Sanpaolo ha perso oltre il 15% del suo valore dal giorno dell’inizio delle perquisizioni. Il danno economico diretto, sommato al potenziale impatto delle sanzioni e del sequestro, supera di gran lunga il costo che sarebbe stato necessario per implementare un perimetro di difesa e compliance realmente efficace. L’intera strategia di consolidamento del sistema bancario italiano, che vedeva nell’asse Intesa-Mps un pilastro, è messa a rischio non da un errore strategico, ma da una serie di omissioni operative e procedurali che un sistema di controllo integrato e automatizzato avrebbe potuto intercettare e neutralizzare sul nascere. La vicenda diventa un caso di studio su come, in operazioni di tale magnitudine, l’investimento in un’architettura di compliance sovrana non sia un costo, ma la principale forma di assicurazione sul valore stesso dell’operazione.