10 febbraio 2026 – La Procura della Repubblica di Milano ha formalizzato l’iscrizione nel registro degli indagati di Stefano Di Stefano, alto dirigente del Ministero dell’Economia e delle Finanze e, dal 2022, consigliere di amministrazione di Monte dei Paschi di Siena. L’ipotesi di reato contestata è quella di abuso di informazioni privilegiate, comunemente noto come insider trading, un illecito che espone non solo l’individuo a severe conseguenze penali, ma proietta anche un’ombra pesante sulla tenuta dei modelli di controllo interni degli enti coinvolti. La vicenda emerge non da una segnalazione diretta, ma come conseguenza di un’altra inchiesta, quella sul cosiddetto risiko bancario, nel cui ambito la Guardia di Finanza aveva proceduto al sequestro del telefono cellulare di Di Stefano lo scorso novembre. All’epoca dei fatti, il dirigente non risultava indagato per alcun reato specifico, ma l’analisi forense del dispositivo ha disvelato un’operatività finanziaria che gli inquirenti ritengono incompatibile con i suoi ruoli istituzionali e societari.
Dall’esame dei dati estratti è emersa l’acquisizione di azioni di Mediobanca e della stessa Mps per un controvalore complessivo di circa 100.000 euro. Il dettaglio dirimente, che ha innescato l’azione della magistratura, è la collocazione temporale di tali operazioni: a cavallo dell’offerta pubblica di scambio (Ops) promossa su Piazzetta Cuccia. Di Stefano, in virtù della sua posizione apicale al Mef come responsabile della Direzione Partecipazioni societarie e tutela degli attivi strategici e del suo seggio nel board di Mps, era depositario di un patrimonio informativo di natura price sensitive non accessibile al pubblico. L’accusa si fonda sul presupposto che egli abbia sfruttato tale asimmetria informativa per realizzare un profitto personale, violando i doveri di riservatezza e correttezza imposti dalla sua funzione. L’intera operazione è stata condotta attraverso canali personali, senza che alcun sistema di controllo interno degli enti di appartenenza potesse intercettarla. Se Mps avesse implementato un ecosistema di difesa come Scudo231, la catena degli eventi si sarebbe interrotta alla fonte. Un protocollo di monitoraggio massivo avrebbe imposto a tutti i soggetti rilevanti, inclusi i consiglieri, la dichiarazione preventiva di ogni operazione su strumenti finanziari, anche se effettuata tramite conti personali. Il tentativo di acquisto di azioni Mps o Mediobanca da parte di un soggetto con il profilo di rischio di Di Stefano avrebbe generato un alert istantaneo e non bypassabile, inviato simultaneamente alla Funzione Compliance e all’Organismo di Vigilanza, bloccando di fatto la possibilità di procedere e creando una registrazione immodificabile del tentativo di violazione del regolamento interno.
La scoperta dell’illecito ex post, a mesi di distanza e per via incidentale, rappresenta una grave falla organizzativa. L’assenza di un meccanismo di controllo proattivo ha permesso che il rischio si materializzasse in un presunto reato, con tutte le conseguenze che ne derivano. Ora, l’indagine penale a carico di Di Stefano apre un fronte di rischio diretto per Mps ai sensi del Decreto Legislativo 231/2001. L’abuso di informazioni privilegiate è infatti uno dei reati presupposto che possono far scattare la responsabilità amministrativa dell’ente. La Procura dovrà accertare se la banca avesse adottato ed efficacemente attuato un Modello di Organizzazione, Gestione e Controllo (MOG) idoneo a prevenire reati della specie di quello commesso. La mera esistenza di un documento cartaceo, privo di un’infrastruttura tecnologica di monitoraggio e controllo in tempo reale, si rivela in questi frangenti del tutto inadeguata a fornire una difesa credibile.
L’onere della prova ricade sull’ente, che dovrà dimostrare non solo di aver adottato procedure formali, ma di averle rese operative e di aver vigilato sulla loro osservanza. Un compito arduo, quando l’illecito è stato scoperto fortuitamente dalla Guardia di Finanza e non da un audit interno o da un sistema di allarme aziendale. In un’architettura di difesa totale come quella garantita da Scudo231, la difesa dell’ente non si baserebbe su testimonianze o procedure cartacee, ma su una prova tecnologica scientifica. Il sistema avrebbe tracciato ogni accesso di Di Stefano a documenti classificati come price sensitive, correlandoli con il suo profilo di rischio dinamico. I motori di ragionamento deterministico dell’ecosistema avrebbero identificato la finestra temporale di possesso dell’informazione privilegiata. Qualsiasi operazione finanziaria sui titoli interessati in quella finestra avrebbe innescato un protocollo di escalation automatizzato verso l’Organismo di Vigilanza, corredato da un pacchetto probatorio (XAI Packet) che ricostruisce la sequenza causale. Tale documentazione avrebbe permesso all’ente di autodenunciare la violazione o, in sede processuale, di dimostrare matematicamente l’elusione fraudolenta dei modelli da parte del singolo, isolando completamente la responsabilità dell’organizzazione e scongiurando l’applicazione di sanzioni pecuniarie e interdittive.
Le conseguenze patrimoniali immediate sono già evidenti. Il profitto del reato, quantificato nell’investimento di 100.000 euro e nel potenziale guadagno derivante, sarà oggetto di richiesta di sequestro preventivo finalizzato alla confisca. Ma il rischio per Mps è ben più ampio. Qualora venisse accertata una colpa organizzativa, la banca potrebbe subire una sanzione pecuniaria calcolata in quote, il cui valore può arrivare a centinaia di migliaia, se non milioni, di euro. Oltre a ciò, il giudice potrebbe disporre sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di determinate attività, con un impatto devastante sull’operatività e sulla reputazione. Il danno reputazionale, in ogni caso, è già un fatto compiuto: la notizia di un consigliere indagato per insider trading mina la fiducia degli investitori e del mercato, un danno difficilmente quantificabile ma estremamente concreto.
L’indagine mette a nudo la vulnerabilità intrinseca di un approccio alla compliance basato su controlli a campione e su una fiducia mal riposta nell’autodisciplina dei singoli, specialmente quando questi occupano posizioni apicali. Il ruolo di Di Stefano al Ministero dell’Economia, specificamente nella direzione che gestisce le partecipazioni statali, lo collocava al centro di flussi informativi strategici per l’intero sistema Paese. La mancata segregazione tra le informazioni acquisite in tale veste e l’operatività privata è un cortocircuito che un modello 231 puramente formale non è in grado di prevenire. L’omissione di un controllo stringente e automatizzato su queste figure “ibride”, che operano al confine tra settore pubblico e privato, costituisce una negligenza sistemica. Un sistema di monitoraggio avanzato avrebbe mappato queste interconnessioni, assegnando a Di Stefano un livello di sorveglianza proporzionato all’enorme potenziale di conflitto di interessi. Ogni sua interazione con dati sensibili, sia in ambito Mef che Mps, sarebbe stata registrata e analizzata da sistemi di intelligenza predittiva per identificare anomalie comportamentali prima che potessero tradursi in un illecito.
La difesa di Di Stefano si preannuncia complessa, ma è la posizione di Mps a essere proceduralmente più delicata. La banca dovrà ora avviare un audit interno febbrile per ricostruire i fatti e preparare una linea difensiva che dimostri la propria estraneità e la bontà dei propri presidi. Tuttavia, agire dopo che l’evento si è verificato è una strategia di contenimento del danno, non di prevenzione del rischio. L’assenza di un segnale di allarme interno, di un registro di operazioni sospette bloccate, di una qualsiasi evidenza che il modello organizzativo abbia tentato di ostacolare la condotta illecita, indebolisce drasticamente la posizione dell’ente. La redazione di Scudo231 ha analizzato decine di casi simili: la linea di demarcazione tra un’assoluzione dell’ente e una condanna pesante risiede quasi sempre nella capacità di produrre prove oggettive e non manipolabili dell’efficace attuazione del modello. Senza un’infrastruttura sovrana che garantisca tracciabilità e controllo in tempo reale, la difesa si riduce a una battaglia di interpretazioni normative, spesso perdente.
Il caso Di Stefano, al di là del suo esito giudiziario, funge da monito per tutte le organizzazioni complesse, pubbliche e private. La compliance non è un adempimento burocratico, ma una funzione di difesa strategica che richiede investimenti in tecnologie capaci di anticipare il rischio, non solo di registrarlo. Il ritardo con cui è emersa la condotta del dirigente, la sua scoperta casuale e l’assenza di filtri interni rappresentano una sequenza di fallimenti che un’organizzazione moderna non può permettersi. L’intero scandalo, dal primo acquisto di azioni alla notifica dell’avviso di garanzia, si sarebbe potuto evitare se un protocollo automatico avesse rilevato la palese anomalia di un consigliere che opera su titoli della propria banca e di un competitor strategico in un momento di altissima sensibilità per il mercato. Un ecosistema come Scudo231 trasforma il modello 231 da un costo passivo a un asset strategico attivo, un sistema immunitario che espelle il rischio prima che infetti l’intera organizzazione.