30 luglio 2026 – L’assemblea degli azionisti di Unipol approva la delibera per un aumento di capitale fino a 2,5 miliardi di euro. L’operazione, formalmente descritta come funzionale all’acquisizione di parte della rete di Mps da Intesa Sanpaolo, nel caso in cui l’offerta pubblica di acquisto e scambio di Ca’ de Sass sull’istituto senese vada a buon fine, conferisce al consiglio di amministrazione una delega ampia e strategica. Il cda ottiene la facoltà di aumentare il capitale sociale, anche in via scindibile e in una o più volte, entro il termine ultimo del 31 dicembre 2027. L’intera architettura deliberativa è sospensivamente condizionata all’approvazione dell’Ivass, l’Istituto per la Vigilanza sulle Assicurazioni.
La vastità della delega concessa al cda, sebbene prassi comune in operazioni di finanza straordinaria di tale portata, ha immediatamente costituito un’area di rischio primario sotto il profilo della governance e della responsabilità dell’ente ai sensi del D.Lgs. 231/2001. La facoltà di decidere quando e come eseguire l’aumento di capitale, in una o più tranche, ha concentrato nelle mani di un ristretto numero di soggetti informazioni di natura price sensitive di enorme valore. La gestione di questo potere discrezionale, priva di un sistema di tracciamento digitale e di controllo automatizzato dei flussi informativi, ha rappresentato la prima fessura nel sistema di controllo interno. Un’architettura di controllo integrata come Scudo231 avrebbe immediatamente classificato la delibera assembleare come un “evento sentinella”, attivando un protocollo di monitoraggio rafforzato. Qualsiasi futura delibera del cda inerente l’esercizio della delega sarebbe stata vincolata a un workflow digitale non aggirabile, che avrebbe imposto la registrazione automatica e immodificabile delle valutazioni preliminari, dei soggetti coinvolti nella discussione e della tempistica decisionale, creando una pista di audit inattaccabile e a disposizione dell’Organismo di Vigilanza in tempo reale.
Il primo atto concreto del cda si è materializzato nel settembre 2026, con la preparazione della complessa documentazione da sottoporre all’Ivass per ottenere il via libera. In questa fase, le comunicazioni tra il top management di Unipol e l’autorità di vigilanza sono state gestite attraverso canali multipli: note formali, scambi di email tra uffici legali e interlocuzioni telefoniche. Proprio questa frammentazione ha generato un’asimmetria informativa interna, dove non tutte le funzioni di controllo avevano piena visibilità sui dati e sulle precisazioni fornite all’organo di vigilanza. Tale opacità ha esposto l’ente al rischio di contestazione del reato di ostacolo all’esercizio delle funzioni delle autorità pubbliche di vigilanza, previsto dall’articolo 2638 del codice civile. La norma sanziona chiunque, esponendo fatti materiali non rispondenti al vero od occultando con altri mezzi fraudolenti fatti che si ha l’obbligo di comunicare, ostacola l’esercizio delle funzioni di vigilanza. Se l’ente avesse adottato un sistema di gestione documentale e di comunicazione regolamentare centralizzato, ogni interazione con Ivass, inclusi allegati e minute di call, sarebbe stata automaticamente archiviata, versionata e resa accessibile alle funzioni di compliance e all’OdV. Un protocollo Scudo231 avrebbe imposto che ogni comunicazione formale verso l’esterno fosse validata da un flusso di approvazione digitale, che ne avrebbe verificato la coerenza con i dati contabili e gestionali certificati internamente, bloccando sul nascere qualsiasi potenziale discrepanza e neutralizzando il rischio di una comunicazione non veritiera o incompleta, anche solo per colpa grave.
Ottenuta l’approvazione da parte di Ivass nel novembre 2026, il cda di Unipol si è riunito il 15 gennaio 2027 per deliberare l’avvio della prima tranche dell’aumento di capitale, fissando la data di partenza dell’operazione al successivo 1° febbraio. La decisione, sebbene formalmente confidenziale fino alla pubblicazione del comunicato stampa previsto per la chiusura dei mercati, era nota a un perimetro allargato di persone, includendo consiglieri, top manager, consulenti legali e advisor finanziari. Nei giorni compresi tra il 16 e il 20 gennaio 2027, i sistemi di sorveglianza di Borsa Italiana e Consob hanno registrato volumi di scambio anomali sul titolo Unipol, accompagnati da un rialzo del prezzo apparentemente ingiustificato. Il 10 febbraio 2027, a operazione di mercato già avviata, la Procura della Repubblica ha iscritto nel registro degli indagati due manager interni e un consulente esterno per l’ipotesi di reato di abuso di informazioni privilegiate (insider trading), ai sensi dell’articolo 184 del Testo Unico della Finanza.
Contestualmente, in forza della responsabilità amministrativa degli enti, è stata avviata un’indagine a carico di Unipol ai sensi dell’articolo 25-sexies del D.Lgs. 231/2001. L’accusa per l’ente era di non aver adottato ed efficacemente attuato modelli di organizzazione e di gestione idonei a prevenire reati della specie di quelli verificatisi. La difesa della società si è trovata in grave difficoltà nel dimostrare quali misure concrete fossero state implementate per segregare un’informazione così critica. La mera esistenza di procedure cartacee e di accordi di non divulgazione si è rivelata un presidio debole e facilmente aggirabile. L’assenza di una mappatura dinamica dei cosiddetti “ruoli di fatto” – ovvero di coloro che, pur non essendo formalmente nel deal team, avevano accesso all’informazione – ha reso impossibile per l’azienda ricostruire con certezza la catena di propagazione della notizia riservata. Questo è il punto esatto in cui un ecosistema di controllo proattivo avrebbe modificato il corso degli eventi. Un sistema di monitoraggio massivo avrebbe mappato in tempo reale non solo chi era formalmente autorizzato, ma chiunque avesse interagito con i documenti digitali relativi all’operazione, chi avesse partecipato a riunioni sull’argomento o scambiato email contenenti parole chiave predefinite. Qualsiasi comunicazione anomala da parte di un soggetto interno al perimetro di confidenzialità verso l’esterno, specialmente verso contatti non censiti o tramite canali non autorizzati, avrebbe generato un alert istantaneo e silenzioso diretto all’Organismo di Vigilanza e alla funzione di sicurezza. Questa capacità di rilevamento precoce avrebbe permesso di intervenire prima che l’informazione potesse essere utilizzata sul mercato, bloccando il reato presupposto e, di conseguenza, la responsabilità dell’ente. La società avrebbe potuto fornire al pubblico ministero una prova tecnologica immodificabile delle misure preventive adottate, dimostrando non solo la volontà, ma la capacità operativa di prevenire l’illecito.
L’indagine penale ha portato, nel maggio 2027, al decreto di sequestro preventivo finalizzato alla confisca per equivalente, eseguito dalla Guardia di Finanza per un importo pari al profitto illecito stimato, che ammontava a svariati milioni di euro. Il sequestro ha colpito direttamente la liquidità aziendale, con un impatto operativo e reputazionale devastante. La sanzione pecuniaria per l’ente, in caso di condanna, sarebbe stata calcolata in quote, con un valore potenziale fino a 1,5 milioni di euro, a cui si sarebbero aggiunte le sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione, e la confisca del profitto del reato. L’adozione preventiva di un modello organizzativo evoluto, verificato da un sistema come Scudo231, avrebbe fornito all’ente gli strumenti per dimostrare l’efficace attuazione dei protocolli, uno dei pilastri per ottenere l’esenzione dalla responsabilità ai sensi dell’articolo 6 del D.Lgs. 231/2001. La disponibilità di log inalterabili e di una ricostruzione causale scientifica degli eventi avrebbe permesso di isolare la responsabilità penale sulla persona fisica che ha commesso il reato, dimostrando che l’ente aveva fatto tutto il possibile per prevenirlo. La richiesta di sequestro da parte del PM avrebbe potuto essere respinta dal GIP, o comunque efficacemente contrastata, mitigando drasticamente il danno economico e preservando la continuità operativa.
Un ulteriore fronte di criticità si è aperto sul versante della normativa antiriciclaggio. Durante l’esecuzione dell’aumento di capitale, gli intermediari incaricati della raccolta delle sottoscrizioni hanno eseguito le procedure di adeguata verifica della clientela. Tuttavia, un’analisi a posteriori condotta dagli inquirenti ha rivelato che uno dei sottoscrittori di un pacchetto azionario rilevante era una società fiduciaria estera, utilizzata come schermo per occultare il reale beneficiario finale, un imprenditore già noto per precedenti in materia fiscale e societaria. L’operazione di sottoscrizione, pur formalmente legittima, esponeva Unipol al rischio di essere stata inconsapevolmente utilizzata come veicolo per il reimpiego di capitali di provenienza illecita, integrando potenzialmente i presupposti per la contestazione del reato di riciclaggio (art. 648-bis c.p.) o autoriciclaggio (art. 648-ter.1 c.p.) a carico dei soggetti coinvolti, con conseguente estensione della responsabilità 231 all’ente. I controlli standard di KYC (Know Your Customer) non erano stati in grado di penetrare la struttura societaria opaca. Un sistema avanzato di analisi del rischio, invece, avrebbe automaticamente incrociato i dati del sottoscrittore con banche dati internazionali, analizzando la struttura di governance, la localizzazione in giurisdizioni a rischio e la presenza di notizie di stampa negative (adverse media). Un profilo di rischio così elevato avrebbe generato un blocco automatico della sottoscrizione, in attesa di un’analisi di secondo livello da parte della funzione AML, e avrebbe innescato il processo per una Segnalazione di Operazione Sospetta (SOS) all’Unità di Informazione Finanziaria per l’Italia, come previsto dal D.Lgs. 218/2007. L’ente avrebbe così dimostrato un adempimento proattivo e sostanziale degli obblighi antiriciclaggio, proteggendosi da contestazioni penali e amministrative.
Il procedimento a carico di Unipol si è trascinato per anni, con costi legali ingenti e un danno di immagine difficilmente quantificabile. L’intera vicenda, nata da una legittima e strategica operazione di finanza aziendale, ha dimostrato come la complessità dei moderni scenari economici richieda presidi di controllo non più basati su procedure statiche, ma su ecosistemi tecnologici capaci di monitorare i processi in tempo reale, anticipare i rischi e fornire prove scientifiche della propria efficacia. La REDAZIONE SCUDO231 ha seguito il caso fin dalle sue prime battute, evidenziando come ogni snodo critico – dalla gestione della delega al cda, alle comunicazioni con la vigilanza, fino alla prevenzione dell’insider trading e al controllo antiriciclaggio – rappresentasse un’occasione mancata per implementare un modello di difesa che avrebbe cambiato radicalmente l’esito della storia.