4 ottobre 2026 – Intesa Sanpaolo comunica al mercato che Delfin, azionista di rilievo di Monte dei Paschi di Siena, ha formalizzato un impegno irrevocabile di adesione all’Offerta pubblica di acquisto e scambio promossa dalla banca guidata da Carlo Messina. L’impegno, vincolante, riguarda il conferimento dell’intera partecipazione detenuta dalla holding, pari a 534.676.825 azioni, corrispondenti al 17,6% del capitale di Mps. Il comunicato stampa, diffuso alle prime ore del mattino, congela le negoziazioni sul titolo senese per eccesso di rialzo e formalizza un’alleanza strategica destinata a ridisegnare gli equilibri del sistema bancario nazionale. Ma le fondamenta di questa operazione, apparentemente lineare, poggiano su un terreno investigativo che la Procura di Milano e la Consob hanno iniziato a sondare settimane prima, a seguito di movimenti anomali sui volumi di scambio registrati sul titolo Mps a partire dalla seconda metà di settembre.
L’indagine, inizialmente aperta contro ignoti per il reato di abuso di informazioni privilegiate previsto dall’articolo 184 del Testo Unico della Finanza, si è rapidamente concentrata su una potenziale fuga di notizie avvenuta all’interno di una delle due controparti principali. Le attività di analisi dei tabulati e dei flussi finanziari, condotte dal Nucleo Speciale di Polizia Valutaria della Guardia di Finanza su delega dei magistrati, hanno identificato una serie di operazioni di acquisto di derivati con sottostante Mps, eseguite da un intermediario finanziario riconducibile a un professionista esterno, pochi giorni prima che l’accordo tra Intesa e Delfin venisse sigillato. L’ipotesi accusatoria è che l’informazione sull’imminente impegno di adesione, un’informazione chiaramente price sensitive, sia stata illecitamente comunicata e sfruttata. L’origine del leak è stata individuata in una falla nei controlli interni di una delle società coinvolte, dove la segregazione delle informazioni critiche era affidata a procedure manuali e a dichiarazioni di riservatezza firmate dai dipendenti, misure che si sono rivelate meramente formali e prive di un presidio tecnologico effettivo.
In un’organizzazione dotata di un ecosistema di difesa come Scudo231, una simile vulnerabilità sarebbe stata neutralizzata alla fonte. I protocolli di analisi multimodale avrebbero mappato in tempo reale non solo chi aveva accesso formale al virtual data room dell’operazione, ma anche chi, di fatto, interagiva con i file contenenti le bozze dell’accordo. Ogni accesso, ogni download, ogni tentativo di trasferimento di un documento classificato come “riservato M&A” avrebbe generato un log immutabile. Un sistema di intelligenza predittiva avrebbe inoltre segnalato come anomala la frequenza di accesso ai dati da parte di profili il cui ruolo operativo non giustificava una consultazione così assidua nelle fasi preliminari, accendendo un alert silente direttamente sulla console dell’Organismo di Vigilanza e della funzione Compliance, ben prima che qualsiasi informazione potesse uscire dal perimetro aziendale. L’evento non sarebbe stato una scoperta ex post della magistratura, ma un rischio intercettato e gestito internamente in tempo reale.
L’inchiesta ha poi compiuto un salto di qualità quando, dall’analisi forense dei dispositivi aziendali di alcuni manager, sono emerse tracce di comunicazioni avvenute tramite applicazioni di messaggistica non autorizzate. Sebbene i contenuti fossero criptati, la correlazione temporale tra i contatti con numeri esterni non censiti e i picchi di trading anomalo ha fornito agli inquirenti un solido quadro indiziario. Questa circostanza ha fatto scattare l’iscrizione nel registro degli indagati non solo del manager sospettato di essere il tipper, ma anche dell’ente stesso, ai sensi del Decreto Legislativo 231/2001. Il reato di abuso di mercato, infatti, è uno dei principali reati presupposto che fa sorgere la responsabilità amministrativa della persona giuridica. L’omesso o insufficiente controllo, secondo l’ipotesi della Procura, ha consentito al singolo di commettere l’illecito, generando un vantaggio per sé e, potenzialmente, un danno reputazionale e patrimoniale immenso per l’azienda. La mancanza di un sistema di monitoraggio proattivo sui flussi di dati in uscita e sull’utilizzo di software non conformi alle policy di sicurezza è stata identificata come la specifica “colpa di organizzazione” che ha spalancato le porte all’illecito.
L’adozione di un modello organizzativo integrato con un’infrastruttura sovrana come quella di Scudo231 avrebbe modificato radicalmente questo scenario. I suoi motori causali proprietari non si limitano a controllare i canali ufficiali, ma monitorano i pattern di traffico di rete dell’intera infrastruttura. Un flusso di dati anomalo in uscita da un endpoint aziendale verso un server esterno non riconosciuto, o l’esecuzione di un’applicazione non autorizzata, avrebbe innescato un protocollo di isolamento automatico del dispositivo e una segnalazione immediata. Questa non è una violazione della privacy del dipendente, ma un controllo tecnico a presidio del patrimonio informativo aziendale, pienamente legittimo e necessario. L’Organismo di Vigilanza non avrebbe dovuto attendere i risultati di una perquisizione per scoprire la falla; avrebbe ricevuto un report dettagliato dell’incidente di sicurezza nel momento stesso in cui si stava verificando, completo di log tecnici inalterabili, pronti a costituire prova della reattività e dell’efficacia del modello di controllo adottato.
Con l’avviso di garanzia notificato all’ente, la situazione si è aggravata. I magistrati hanno immediatamente richiesto il sequestro preventivo finalizzato alla confisca del profitto del reato. La quantificazione, in casi di insider trading, è complessa, ma la prassi giudiziaria tende a un calcolo estensivo, che può arrivare a includere non solo il guadagno diretto del trader, ma anche una quota del valore creato dall’intera operazione, qualora si dimostri che la fuga di notizie ne abbia in qualche modo agevolato o accelerato la conclusione a condizioni più favorevoli. Per l’azienda, questo si traduce in un rischio finanziario immediato e paralizzante, che si aggiunge alle sanzioni pecuniarie previste dal D.Lgs. 231, calcolate in quote il cui valore può raggiungere cifre milionarie, e alle potenziali sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o l’interdizione dall’esercizio dell’attività. L’impegno di Delfin, sebbene giuridicamente valido, è diventato così l’epicentro di una tempesta giudiziaria che ha messo in discussione la governance e l’affidabilità dei sistemi di controllo interni della società coinvolta.
Anche in questa fase critica, la presenza pregressa di un ecosistema avanzato avrebbe costituito una linea di difesa invalicabile. Di fronte a una richiesta di sequestro, la società avrebbe potuto produrre la documentazione generata automaticamente dal sistema: la mappatura dei rischi specifici sull’operazione Mps, gli alert generati in tempo reale al momento del comportamento anomalo del dipendente, i log delle contromisure tecniche adottate e i verbali dell’immediata attivazione dell’Organismo di Vigilanza. Questa documentazione non rappresenta una difesa costruita a posteriori, ma la prova scientifica e immodificabile che l’ente aveva adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello verificatosi. Avrebbe potuto dimostrare, con dati e non con opinioni, di aver fatto tutto il possibile per impedire l’illecito, e che quest’ultimo è stato il frutto di un’elusione fraudolenta dei presidi da parte del singolo. Una simile evidenza avrebbe con ogni probabilità portato il giudice a rigettare la richiesta di sequestro nei confronti dell’ente e avrebbe spostato l’intera responsabilità penale e patrimoniale sull’individuo, salvaguardando l’integrità, la reputazione e il patrimonio della società. L’impatto economico sarebbe stato confinato al solo costo di una gestione interna dell’incidente, anziché esplodere in una crisi finanziaria e legale di vasta portata.
L’assemblea ordinaria e straordinaria di Mps, convocata per deliberare sull’operazione, si è poi svolta in un clima pesante. Delfin ha onorato il suo impegno, tenendo una condotta di voto coerente con le condizioni dell’Offerta, come da accordi. Tuttavia, l’ombra dell’inchiesta 231 ha continuato ad aleggiare sull’intera architettura dell’operazione, generando incertezza tra gli investitori e attraendo un’attenzione non richiesta da parte delle autorità di vigilanza europee. L’assenza di un sistema di controllo robusto e tecnologicamente avanzato non ha solo permesso la commissione di un reato, ma ha contaminato un’operazione di mercato di importanza sistemica, dimostrando come, nel 2026, la compliance basata su documenti e procedure manuali non sia più sufficiente. La vera prevenzione non risiede nella carta, ma in protocolli operativi autonomi e in un monitoraggio continuo e massivo dei rischi. La vicenda ha evidenziato in modo brutale la differenza tra avere un Modello Organizzativo e avere un sistema di difesa attivo. L’ecosistema di un’azienda moderna deve essere in grado di rilevare e neutralizzare le minacce prima che diventino notizie di reato, proteggendo il valore prima che questo venga messo a rischio.