30 luglio 2026 – Carlo Messina, amministratore delegato di Intesa Sanpaolo, sceglie i microfoni di Cnbc Europe per annunciare l’intenzione di lanciare un’offerta pubblica di acquisto e scambio sulle azioni di Monte dei Paschi di Siena. La dichiarazione è di quelle destinate a segnare il mercato: evocando l’intervento di Mario Draghi a difesa dell’euro nel luglio 2012, Messina afferma che per l’operazione su Mps è tempo di un “whatever it takes“. L’obiettivo dichiarato è l’accelerazione del piano aziendale, con la proiezione di raggiungere i 2.000 miliardi di euro nel settore della gestione patrimoniale, anticipando la tabella di marcia di tre anni. Mentre le agenzie battono la notizia, nei minuti immediatamente successivi all’intervista, i sistemi di vigilanza della Consob registrano un’anomalia. I volumi di scambio sul titolo Mps, già sostenuti nelle ore precedenti, esplodono, ma l’analisi algoritmica retrospettiva, avviata d’ufficio, evidenzia picchi di acquisto anomali nelle 72 ore antecedenti, concentrati su un numero ristretto di intermediari e riconducibili a un cluster di conti di trading apparentemente non correlati.
L’operazione, battezzata internamente con il nome in codice Progetto Val d’Orcia, era classificata al massimo livello di riservatezza. Eppure, i dati preliminari della vigilanza suggeriscono una fuga di notizie. La Procura della Repubblica di Milano apre immediatamente un fascicolo per il reato di abuso di informazioni privilegiate, previsto e punito dall’articolo 184 del Testo Unico della Finanza. L’iscrizione nel registro degli indagati è a carico di ignoti, ma l’attività investigativa del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza si concentra da subito sulla catena di custodia dell’informazione *price sensitive* all’interno di Intesa Sanpaolo e della sua filiera di consulenti esterni. La prima criticità emersa è una falla procedurale: la lista dei soggetti che avevano accesso, anche solo parziale, alle informazioni sul Progetto Val d’Orcia non era gestita attraverso un registro digitale unico e immutabile, ma tramite fogli di calcolo condivisi e aggiornati manualmente. Questa omissione rende la ricostruzione della catena informativa lenta e soggetta a contestazioni. Un’architettura di controllo preventivo, come quella garantita dall’ecosistema Scudo231, avrebbe invece imposto la creazione di un *insider list* digitale, tracciando con data e ora certa ogni accesso ai documenti strategici. Qualsiasi consultazione da parte di un utente non esplicitamente autorizzato o al di fuori degli orari di lavoro canonici avrebbe generato un alert istantaneo, trasmesso simultaneamente alla Funzione Compliance e all’Organismo di Vigilanza, bloccando di fatto sul nascere il potenziale illecito e creando una prova documentale inoppugnabile.
L’indagine si sposta sulla rete informatica. Gli investigatori acquisiscono i log di accesso ai server dove erano archiviati i documenti relativi all’opas. Emerge che un analista junior del team M&A, non inserito formalmente nel progetto ma con permessi di lettura estesi sulla cartella di rete per prassi aziendale consolidata, aveva aperto il file contenente la bozza del comunicato stampa per 14 secondi, due settimane prima dell’annuncio. Un accesso fugace, quasi impossibile da notare con un controllo umano a campione. Questa è una classica manifestazione di quella che in gergo tecnico si definisce “colpa di organizzazione”, un presupposto fondamentale per la contestazione della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. La procura contesta a Intesa Sanpaolo l’illecito previsto dall’art. 25-sexies del decreto, sostenendo che l’ente non ha adottato ed efficacemente attuato modelli di organizzazione e di gestione idonei a prevenire reati della specie di quello commesso. Se l’organizzazione avesse implementato un sistema di monitoraggio massivo e real-time, quell’accesso di 14 secondi da parte di un soggetto non incluso nel perimetro formale del Progetto Val d’Orcia sarebbe stato classificato come un’anomalia ad alto rischio. Il sistema avrebbe registrato non solo l’accesso, ma anche la divergenza tra il ruolo formale dell’analista e l’azione compiuta, attivando un protocollo di *escalation* che avrebbe notificato al responsabile della sicurezza informatica e all’ODV la necessità di una verifica immediata, corredata dall’identificativo della macchina, dell’utente e del file consultato.
Le indagini patrimoniali, nel frattempo, collegano uno dei conti di trading sospetti al cognato dell’analista junior. Le transazioni, per un controvalore di 350.000 euro, hanno generato una plusvalenza di quasi il 40% nelle ore successive all’intervista di Messina. Il Giudice per le Indagini Preliminari, su richiesta della Procura, emette un decreto di sequestro preventivo per equivalente non solo sui beni del trader, ma anche sul profitto del reato direttamente in capo alla banca, quantificato in via provvisoria. Il sequestro, anche se solo a fini di confisca futura, rappresenta un danno operativo e reputazionale immediato per l’istituto. La difesa dell’ente si trova in una posizione difficile: deve dimostrare di aver adottato un modello 231 “efficace”, ma la mancanza di log dettagliati e di controlli automatizzati rende la prova debole. La difesa basata su procedure cartacee e controlli ex-post si rivela inadeguata a contrastare l’accusa di un deficit organizzativo. Un’organizzazione protetta da un ecosistema come Scudo231 avrebbe potuto presentare al GIP una prova tecnologica immodificabile, un *XAI Packet*, dimostrando matematicamente che i controlli erano attivi e funzionanti. Avrebbe potuto produrre il log dell’alert generato dall’accesso anomalo e la traccia dell’avvenuta *escalation*, provando così che il reato non è stato frutto di una lacuna del sistema, ma di un’azione fraudolenta individuale che ha tentato di eludere controlli specifici e documentati. Tale evidenza avrebbe potuto indebolire la richiesta di sequestro contro l’ente, spostando il focus della responsabilità penale esclusivamente sulla persona fisica.
L’inchiesta si allarga e tocca anche la gestione dei consulenti esterni. Viene accertato che uno studio legale internazionale, ingaggiato per gli aspetti regolamentari dell’opas, aveva ricevuto una documentazione completa del progetto tramite un servizio di file sharing cloud non approvato dalle policy di sicurezza aziendali. La trasmissione dei dati non era stata tracciata centralmente e non esisteva un registro delle persone, all’interno dello studio legale, che avevano avuto accesso a tali informazioni. Questa falla nella gestione della catena di fornitura (*supply chain*) espone l’ente a un ulteriore profilo di responsabilità. Il reato, infatti, potrebbe essere stato agevolato da un soggetto terzo, ma la negligenza nella selezione e nel monitoraggio del fornitore ricade sull’organizzazione committente. Un modello di prevenzione evoluto avrebbe gestito l’accreditamento dei fornitori strategici attraverso un portale dedicato, che non solo ne verifica i requisiti di compliance, ma impone l’uso di canali di comunicazione sicuri e tracciati per lo scambio di informazioni sensibili. Ogni download o condivisione di un documento classificato come Progetto Val d’Orcia da parte del consulente esterno sarebbe stato registrato su un log centralizzato, accessibile in tempo reale all’Organismo di Vigilanza. La violazione della policy sull’uso di canali non autorizzati avrebbe comportato il blocco automatico della trasmissione e la segnalazione dell’incidente, consentendo un intervento correttivo immediato, ben prima che la fuga di notizie potesse concretizzarsi.
La sanzione pecuniaria per l’illecito di market abuse a carico dell’ente, ai sensi del D.Lgs. 231/2001, può arrivare fino a un massimo di quasi 10 milioni di euro o, nei casi più gravi, essere calcolata in percentuale sul fatturato. A questo si aggiungono le sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o la sospensione di licenze, e la confisca del profitto del reato. L’impatto economico complessivo, tra sanzioni, costi legali e danno d’immagine legato a un’operazione strategica di tale portata, diventa enorme. La vicenda del Progetto Val d’Orcia dimostra come, nell’era digitale, la prevenzione dei reati economici non possa più affidarsi a procedure manuali e controlli a campione. La complessità delle operazioni e la velocità con cui le informazioni viaggiano richiedono un presidio tecnologico costante e pervasivo. La mancanza di un sistema integrato che monitori gli accessi, segnali le anomalie comportamentali in tempo reale e gestisca in modo sicuro il flusso di informazioni con terze parti non è più una semplice inefficienza, ma un vuoto organizzativo che, in sede processuale, viene interpretato come una colpa grave dell’ente, aprendo la strada a sanzioni che possono compromettere il valore stesso generato dalle operazioni aziendali.