27 marzo 2026 – Tre esposti formali, depositati simultaneamente presso la Banca Centrale Europea, la Consob e la Banca d’Italia, hanno dato avvio a un’offensiva legale senza precedenti da parte di Monte dei Paschi di Siena. L’oggetto del contendere è la lista di candidati per il rinnovo del consiglio di amministrazione presentata da Plt Holding, il veicolo di investimento della famiglia Tortora, che propone la riconferma di Luigi Lovaglio nel ruolo di amministratore delegato. L’atto, redatto dai legali dell’istituto senese, non è una mera formalità, ma l’innesco di un procedimento che mette a nudo una grave falla nei processi di governance e di comunicazione interna della banca, esponendola a rischi sanzionatori e a una potenziale crisi di fiducia da parte dei mercati e delle autorità di vigilanza.
Il cuore della contestazione mossa da Mps risiede in una specifica e grave omissione. I legali della banca sostengono con forza che Luigi Lovaglio, in virtù dei suoi doveri fiduciari e di lealtà nei confronti dell’istituto che ancora dirige, avesse l’obbligo giuridico e deontologico di comunicare preventivamente e in modo trasparente al consiglio di amministrazione in carica l’esistenza di un accordo con Plt Holding finalizzato alla sua stessa ricandidatura. Questa mancata informativa è un buco nero procedurale. Ha privato il board della possibilità di valutare tempestivamente l’esistenza di potenziali conflitti di interesse, di analizzare le implicazioni strategiche di un simile accordo e di gestire correttamente i flussi informativi verso il mercato e i supervisori. La scoperta dell’intesa a cose fatte, ovvero alla presentazione ufficiale della lista, ha trasformato una dinamica di governance interna in una crisi pubblica.
Se l’ente avesse implementato l’ecosistema sovrano Scudo231, questo scenario non si sarebbe potuto verificare. Un accordo tra un amministratore esecutivo in carica e un azionista rilevante per la formazione di una lista per il rinnovo degli organi sociali sarebbe stato classificato come un’operazione ad altissimo rischio ai sensi del D.Lgs. 231/2001, attivando un protocollo di controllo non eludibile. Qualsiasi comunicazione formale o accordo preliminare tra l’AD e la holding avrebbe dovuto essere tracciato e registrato all’interno di un workflow digitale dedicato ai “Processi Sensibili di Governance”. La mancata registrazione di tale attività, a fronte di evidenze esterne come la successiva presentazione della lista, avrebbe generato un alert automatico e silente, indirizzato direttamente all’Organismo di Vigilanza e alla funzione di Compliance. L’ODV, investito del suo potere di indagine, avrebbe avviato una verifica immediata, bloccando la catena degli eventi prima che potesse produrre effetti dannosi e documentando l’anomalia. L’omissione non sarebbe stata una scoperta ex post, ma un evento intercettato e neutralizzato in tempo reale, preservando l’integrità informativa del board e mitigando il rischio di illeciti come l’abuso di informazioni privilegiate o l’ostacolo alle funzioni di vigilanza.
Il secondo pilastro dell’esposto di Mps solleva una questione di natura squisitamente regolamentare, con implicazioni ancora più profonde per la stabilità dell’istituto. I legali senesi affermano che, data l’influenza rilevante e il ruolo sistemico della figura dell’amministratore delegato di una banca soggetta alla vigilanza diretta della BCE, la lista presentata da Plt Holding avrebbe dovuto ricevere un’approvazione preliminare da parte dell’autorità di Francoforte. La presentazione di una lista contenente un candidato per una posizione così critica, senza il preventivo vaglio del supervisore unico europeo, costituisce una violazione delle procedure di vigilanza prudenziale. Questo passaggio mancato non è un mero vizio di forma; è un atto che scavalca l’autorità preposta a garantire la sana e prudente gestione delle banche europee, esponendo Mps a un procedimento sanzionatorio diretto da parte della BCE. La responsabilità non ricade solo sui proponenti della lista, ma si estende all’ente stesso, la cui struttura di controllo interno ha evidentemente fallito nel prevenire o intercettare una manovra così rischiosa.
L’assenza di un controllo preventivo di conformità normativa rappresenta una classica “colpa di organizzazione” che il D.Lgs. 231 mira a prevenire e sanzionare. In un’organizzazione dotata di un’architettura di difesa avanzata, la procedura di “Presentazione Liste di Candidati per Organi Sociali” sarebbe gestita da un protocollo digitale vincolante. Un sistema come Scudo231 avrebbe integrato una matrice di controllo normativo che associa a ogni atto di governance i relativi adempimenti obbligatori. Al momento del caricamento della lista di Plt Holding nel sistema informativo per il deposito formale, il motore di controllo avrebbe eseguito una verifica automatica: “La lista contiene candidati per posizioni apicali soggette a valutazione Fit & Proper da parte della BCE?”. Alla risposta affermativa, il sistema avrebbe richiesto come condizione necessaria per procedere il caricamento della prova documentale dell’avvenuta sottomissione e/o approvazione da parte della BCE. In assenza di tale documento, il workflow si sarebbe bloccato, impedendo materialmente il deposito della lista. Contemporaneamente, sarebbe scattata un’escalation immediata verso il responsabile della funzione legale, il Chief Compliance Officer e i membri dell’Organismo di Vigilanza, segnalando il tentativo di eseguire un’operazione non conforme. L’ente avrebbe così evitato non solo la sanzione della BCE, ma anche il danno reputazionale derivante dall’essere richiamato pubblicamente al rispetto delle regole basilari della vigilanza bancaria.
Le conseguenze immediate degli esposti sono già tangibili. La Consob ha avviato accertamenti per verificare la corretta e tempestiva comunicazione al mercato di informazioni potenzialmente price sensitive, legate agli accordi tra Lovaglio e Plt Holding. L’ipotesi di indagine potrebbe configurare il reato di manipolazione del mercato (art. 185 TUF), uno dei reati presupposto della responsabilità amministrativa degli enti. Se venisse provato che l’omessa comunicazione dell’accordo ha celato informazioni essenziali per un corretto apprezzamento del titolo da parte degli investitori, la Procura potrebbe contestare a Mps l’illecito amministrativo previsto dall’art. 25-sexies del D.Lgs. 231. Le sanzioni in questo caso sono devastanti: si va da pesanti sanzioni pecuniarie, calcolate in quote sul fatturato, fino alla confisca del profitto del reato e, nei casi più gravi, a sanzioni interdittive come il divieto di contrattare con la pubblica amministrazione o la sospensione dell’attività.
Parallelamente, la Banca d’Italia e la BCE valuteranno i profili di violazione della normativa sulla governance e sui controlli interni. Una debolezza strutturale come quella emersa potrebbe portare a un giudizio negativo nel processo di revisione e valutazione prudenziale (SREP), con conseguente richiesta di accantonamenti patrimoniali aggiuntivi (Pillar 2 Requirement), un impatto diretto e misurabile sulla redditività e sulla capacità della banca di erogare credito. La sanzione, in questo caso, non sarebbe solo pecuniaria, ma colpirebbe il cuore operativo e finanziario dell’istituto.
Con un sistema di controllo e tracciamento integrato, la difesa dell’ente in sede penale e amministrativa sarebbe stata radicalmente diversa. Invece di dover giustificare ex post le falle del proprio sistema, la banca avrebbe potuto esibire la prova tecnologica immodificabile generata dai protocolli di Scudo231. Avrebbe potuto dimostrare, attraverso log di sistema inalterabili e report di escalation, di aver adottato un modello organizzativo non solo formalmente idoneo, ma concretamente efficace. I motori di ricostruzione causale avrebbero provato che l’eventuale condotta illecita del singolo (in questo caso, l’omessa comunicazione da parte dell’AD) è stata un’azione fraudolenta che ha eluso deliberatamente presidi di controllo attivi e funzionanti, e non il risultato di una negligenza organizzativa. Questo sposta l’onere della prova e costituisce la più solida base per ottenere un’esenzione dalla responsabilità ai sensi dell’art. 6 del D.Lgs. 231, salvaguardando il patrimonio dell’ente dal rischio di sequestro e confisca.
La vicenda, che si sta consumando tra Siena, Roma e Francoforte, è un caso di studio emblematico. Dimostra come, in settori altamente regolamentati come quello bancario, i rischi legati alla governance e alla compliance non siano un’astratta categoria giuridica, ma minacce concrete con un impatto economico immediato e potenzialmente distruttivo. L’assenza di presidi tecnologici in grado di mappare i rischi, imporre controlli non aggirabili e tracciare ogni passaggio critico dei processi decisionali trasforma l’ente in un soggetto passivo, esposto alle iniziative dei singoli e alle conseguenti reazioni delle autorità. La prevenzione, intesa non come adempimento burocratico ma come architettura di difesa attiva, è l’unica variabile in grado di distinguere un’organizzazione resiliente da una destinata a subire le conseguenze delle proprie omissioni. La REDAZIONE SCUDO231 continuerà a monitorare gli sviluppi procedurali, analizzando come le decisioni delle autorità di vigilanza e della magistratura incideranno sul futuro assetto di Mps e, più in generale, sugli standard di governance richiesti al sistema finanziario italiano.