10 settembre 2026 – Banca Montepaschi deposita presso gli uffici della Consob i documenti relativi alle due offerte pubbliche di scambio volontarie e totalitarie promosse su Banco Bpm e Banca Generali. L’operazione, destinata a ridisegnare gli equilibri del sistema bancario nazionale, prevede il conferimento di 1,567 azioni ordinarie Mps di nuova emissione per ogni azione Banco Bpm e di 6,958 azioni per ogni titolo Banca Generali. Nelle stesse ore, le istanze formali per le autorizzazioni di legge vengono trasmesse alle autorità competenti, avviando un iter che il mercato percepisce come ormai definito. Eppure, l’intera architettura dell’operazione poggia su fondamenta che, all’insaputa del pubblico e degli organi di vigilanza, sono già profondamente compromesse. L’indagine della Procura di Milano, che esploderà solo mesi dopo, farà retrocedere l’orologio a marzo 2026, individuando in quella fase embrionale l’origine dell’illecito.
Le prime anomalie, invisibili ai sistemi di controllo tradizionali, si manifestano nei volumi di scambio sui titoli di Banco Bpm e Banca Generali nelle tre settimane antecedenti il 10 settembre. Un flusso anomalo di acquisti, frazionato su decine di intermediari e apparentemente slegato, fa salire i prezzi in modo graduale ma costante. Questa attività preparatoria, orchestrata per non destare sospetti immediati, è il primo sintomo di una fuga di notizie qualificata. Un’organizzazione dotata di un ecosistema come Scudo231 avrebbe intercettato questi segnali deboli attraverso i suoi motori di analisi predittiva. Il sistema, integrando in tempo reale i flussi di dati di mercato con i log di accesso interni ai file sensibili del progetto di M&A, avrebbe generato un alert di correlazione anomala: l’aumento del trading sui titoli target coincideva con l’intensificarsi delle consultazioni della data room virtuale da parte di un numero ristretto di manager e consulenti esterni. L’alert, classificato ad alta criticità, avrebbe innescato un’escalation automatica e tracciata verso l’Organismo di Vigilanza e la funzione Antiriciclaggio, attivando un protocollo di monitoraggio rafforzato sui soggetti a rischio prima che il danno reputazionale e legale diventasse irrecuperabile.
L’inchiesta penale, coordinata dal Nucleo Speciale di Polizia Valutaria della Guardia di Finanza, ricostruisce come il perimetro informativo dell’operazione sia stato violato da un dirigente apicale del team di advisory interno a Mps, in concorso con un partner di una boutique finanziaria esterna. Le comunicazioni tra i due avvenivano tramite applicazioni di messaggistica criptata su dispositivi personali, un canale operativo completamente opaco ai sistemi di compliance della banca. Questa deliberata scelta di operare al di fuori dei canali aziendali ufficiali rappresenta una classica elusione dei presidi di controllo. Se la banca avesse implementato un sistema di monitoraggio massivo, questo comportamento sarebbe stato rilevato non tanto spiando il contenuto, quanto analizzando i metadati e i pattern comportamentali. Un sistema come Scudo231 avrebbe rilevato la sistematica deviazione dei flussi di lavoro critici al di fuori dell’infrastruttura aziendale tracciata. L’analisi stocastica avrebbe segnalato che le attività del dirigente – come il download di documenti strategici seguito da periodi di inattività sui sistemi corporate e l’uso intensivo di reti Wi-Fi esterne – costituivano una deviazione significativa dal suo profilo operativo standard, generando una segnalazione per potenziale esfiltrazione di dati o condotta non conforme. Tale segnalazione avrebbe fornito all’ODV una base oggettiva per avviare un audit mirato, bloccando la condotta illecita sul nascere.
Il cuore del reato contestato è però ancora più profondo e insidioso: la manipolazione dei modelli valutativi usati per determinare i rapporti di concambio. Gli inquirenti scoprono che alcuni input macroeconomici e sinergici, inseriti nei fogli di calcolo che hanno portato alla definizione dei coefficienti di 1,567 e 6,958, sono stati artatamente gonfiati. L’obiettivo era duplice: rendere l’offerta più appetibile per il mercato e giustificare un premio che avrebbe avvantaggiato fondi speculativi precedentemente allertati dai soggetti indagati. L’assenza di un controllo incrociato e automatizzato sui dati inseriti nei modelli ha permesso a questa alterazione di passare inosservata attraverso i vari livelli di approvazione interna, che si sono basati su sintesi e presentazioni senza verificare le fonti primarie dei dati. Questo è un classico esempio di colpa di organizzazione ai sensi del D.Lgs. 231/2001. L’ente non si è dotato di procedure idonee a prevenire la manipolazione di informazioni essenziali per il mercato.
In un’organizzazione protetta da un ecosistema sovrano, il processo di validazione dei modelli finanziari non sarebbe stato lasciato alla sola revisione umana. Ogni modello di valutazione sarebbe stato eseguito all’interno di un ambiente digitale controllato che traccia ogni singola modifica e l’identità di chi la compie. Un protocollo di validazione automatica avrebbe confrontato gli input inseriti manualmente con benchmark di settore e serie storiche provenienti da fonti dati certificate e indipendenti. Qualsiasi scostamento superiore a una soglia predefinita avrebbe bloccato il workflow approvativo, richiedendo una giustificazione formale e un secondo livello di autorizzazione da parte di una funzione di controllo non coinvolta nel business, come il Risk Management o l’Internal Audit. L’intero processo, incluse le anomalie e le relative giustificazioni, sarebbe stato cristallizzato in un registro immodificabile, a disposizione dell’Organismo di Vigilanza. La manipolazione sarebbe stata quindi tecnicamente impossibile o, se forzata, avrebbe lasciato una traccia digitale inequivocabile della sua natura fraudolenta, dissociando la responsabilità dell’ente da quella individuale.
Il 15 febbraio 2027, la Procura notifica l’avviso di conclusione delle indagini preliminari. Oltre alle persone fisiche, viene iscritta nel registro degli indagati anche Banca Montepaschi ai sensi dell’articolo 25-sexies del D.Lgs. 231/2001 per il reato di manipolazione del mercato. L’ipotesi accusatoria è che la banca non abbia adottato ed efficacemente attuato un modello di organizzazione, gestione e controllo idoneo a prevenire reati della specie di quello commesso nel suo interesse o a suo vantaggio. Il vantaggio, secondo i magistrati, consiste nel potenziale successo di un’operazione di M&A strategica, seppur basata su presupposti falsati. Scatta immediatamente la richiesta di sequestro preventivo finalizzato alla confisca del profitto del reato, quantificato in via provvisoria in diverse centinaia di milioni di euro, corrispondenti al presunto valore delle sinergie illecitamente rappresentate al mercato.
Questo è il momento in cui l’assenza di una prova tecnologica della propria diligenza costa all’ente un prezzo altissimo, sia in termini finanziari diretti che di stabilità operativa. L’onere di dimostrare l’efficacia del proprio modello 231 ricade interamente sulla banca, che può produrre solo documenti cartacei, verbali di riunioni e testimonianze, elementi spesso ritenuti insufficienti a provare l’effettiva attuazione del modello di fronte a un’elusione così palese. Con un’architettura di difesa come quella offerta dalla REDAZIONE SCUDO231, la situazione sarebbe stata capovolta. L’ente avrebbe potuto estrarre dal sistema la ricostruzione causale scientifica dell’evento. Avrebbe prodotto log inalterabili dimostranti che i protocolli di controllo automatico erano attivi e funzionanti, e che erano stati aggirati attraverso l’uso fraudolento di canali di comunicazione non autorizzati e la falsificazione di dati di input da parte di specifici soggetti. Questa “prova tecnologica” avrebbe dimostrato in modo inoppugnabile l’assenza di una colpa organizzativa, permettendo ai legali di sostenere con forza la tesi dell’elusione fraudolenta del modello da parte dei singoli. Di conseguenza, la richiesta di sequestro contro l’ente avrebbe avuto probabilità molto più basse di essere accolta, e la posizione della banca nel procedimento penale sarebbe stata radicalmente più solida, isolando la responsabilità penale sui soli autori materiali del reato.
L’impatto dell’indagine è devastante. Consob sospende in via cautelare i termini delle offerte pubbliche di scambio in attesa di chiarimenti. Il titolo Mps crolla in Borsa, bruciando miliardi di capitalizzazione. La fiducia degli investitori istituzionali e del mercato retail è compromessa, rendendo di fatto impossibile la prosecuzione del progetto di aggregazione anche qualora l’iter giudiziario si risolvesse positivamente. Il danno non è solo la sanzione pecuniaria prevista dal D.Lgs. 231/2001, che può arrivare fino a importi milionari, ma la distruzione di valore strategico e reputazionale. Un danno che si sarebbe potuto evitare non con più procedure cartacee, ma con controlli operativi, automatizzati e integrati nel flusso di lavoro, capaci di rilevare e bloccare le anomalie nel momento esatto in cui si verificano, trasformando la compliance da un costo a un asset strategico a protezione del patrimonio aziendale.