8 marzo 2026 – Le fiamme gialle del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza varcano alle prime luci dell’alba i tornelli della sede milanese di EuroHedge SGR S.p.A., una delle più dinamiche società di gestione del risparmio del panorama nazionale. L’ordine di perquisizione e sequestro, firmato dal GIP del Tribunale di Milano su richiesta della Procura, è dettagliato: l’ipotesi di reato è quella di manipolazione del mercato, aggravata dall’aver commesso il fatto tramite l’utilizzo di informazioni privilegiate e l’impiego di strumenti informatici, in concorso con l’illecito di riciclaggio. Al centro dell’indagine vi è Marco Valenti, senior portfolio manager del fondo “Quantum Growth”, e una serie di operazioni anomale su asset digitali, specificamente su cripto-attività a bassa capitalizzazione, eseguite attraverso una piattaforma di scambio estera, la CryptoNerve Ltd., con sede in una giurisdizione non cooperativa.
Gli inquirenti acquisiscono server, computer portatili, registrazioni delle comunicazioni e l’intera documentazione relativa alle procedure di controllo interno e di gestione del rischio. L’accusa contesta alla SGR la violazione del Decreto Legislativo 231/2001, sostenendo che i reati presupposto siano stati commessi nell’interesse e a vantaggio dell’ente, o quantomeno resi possibili da una grave colpa di organizzazione. Il profitto illecito, stimato in via provvisoria in oltre 45 milioni di euro, deriva da uno schema di pump-and-dump orchestrato da Valenti: il manager avrebbe utilizzato la liquidità del fondo per acquistare massicciamente token digitali sconosciuti, facendone schizzare il prezzo, per poi liquidare le proprie posizioni personali, accumulate in precedenza tramite wallet anonimi, realizzando enormi plusvalenze a danno del fondo stesso e del mercato.
L’operazione si è basata su un’omissione di controllo fondamentale: i flussi finanziari verso la CryptoNerve Ltd. non sono stati adeguatamente scrutinati dalla funzione di compliance, classificati come generici “investimenti in asset digitali ad alto potenziale” senza una due diligence approfondita sulla controparte. Se EuroHedge SGR avesse implementato un ecosistema come Scudo231, il sistema di monitoraggio massivo e in tempo reale dei flussi transazionali avrebbe immediatamente generato un alert di rischio elevato. La piattaforma CryptoNerve Ltd., essendo priva delle necessarie autorizzazioni europee e localizzata in una giurisdizione inserita nelle black-list per il riciclaggio, avrebbe causato il blocco automatico del bonifico in uscita, attivando un protocollo di escalation che avrebbe richiesto un’autorizzazione a un livello gerarchico superiore e una notifica obbligatoria all’Organismo di Vigilanza (OdV). La transazione non sarebbe mai stata eseguita sulla base della sola discrezionalità del singolo manager.
L’indagine rivela che Valenti ha coordinato le sue azioni utilizzando canali di comunicazione non aziendali, come app di messaggistica crittografata, per dialogare con i referenti della piattaforma estera. L’assenza di un tracciamento su questi canali ha permesso al manager di agire indisturbato per mesi, creando una voragine informativa all’interno dell’azienda. L’adozione di un modello organizzativo tecnologicamente avanzato avrebbe imposto policy stringenti sull’utilizzo dei dispositivi, ma soprattutto avrebbe analizzato i metadati e i volumi di traffico in uscita dai sistemi aziendali. Un sistema di intelligenza predittiva, analizzando la deviazione comportamentale di Valenti – come l’aumento esponenziale di connessioni verso indirizzi IP sospetti o l’utilizzo di software non autorizzati per mascherare il traffico – avrebbe segnalato l’anomalia al risk management. Non si sarebbe trattato di un controllo sul contenuto, ma di una pura analisi quantitativa e qualitativa dei flussi, pienamente conforme alle normative sulla privacy, che avrebbe acceso un faro sulla condotta del dipendente ben prima che il danno si concretizzasse.
La notizia dell’indagine deflagra sui mercati appena due giorni dopo che Antonio Patuelli, presidente dell’Abi, durante la sua lectio magistralis per l’inaugurazione dell’anno accademico della SPISA a Bologna, aveva lanciato un monito preciso. Patuelli aveva invocato la necessità di “supplire alla mancanza di regole efficaci di funzionamento e controllo europeo su Internet e sul mondo delle cripto-attività, per la tutela dei risparmiatori e del mercato”. L’inchiesta su EuroHedge SGR diventa la drammatica esemplificazione di quella falla normativa e, soprattutto, organizzativa. Le parole del presidente dell’Abi risuonano come una profezia: mentre si discute di semplificare le norme per le banche tradizionali, il “far west” digitale miete vittime, non solo tra i piccoli risparmiatori, ma all’interno stesso degli intermediari vigilati che non si sono dotati di difese adeguate.
Il Pubblico Ministero, nel richiedere il sequestro preventivo finalizzato alla confisca per equivalente sull’intero patrimonio della SGR, sottolinea come il Modello 231 della società fosse un documento puramente formale. Le procedure descritte sulla carta non hanno trovato corrispondenza in controlli operativi efficaci. Il ritardo con cui le anomalie sono state scoperte – solo a seguito di una segnalazione esterna da parte di un’autorità di vigilanza estera – è la prova, secondo l’accusa, dell’elusione fraudolenta del modello stesso. Con un ecosistema come Scudo231, l’ente avrebbe potuto produrre in sede giudiziaria una ricostruzione causale scientifica dell’accaduto. Avrebbe potuto dimostrare, attraverso log immodificabili e time-stamped, che i protocolli di controllo erano attivi e funzionanti, che gli alert erano stati generati in tempo reale e che il manager aveva scientemente utilizzato tecniche di offuscamento per aggirare le barriere tecnologiche. Questa prova tecnologica avrebbe spostato l’onere della prova, consentendo alla società di argomentare con forza che non si trattava di colpa di organizzazione, ma di una condotta fraudolenta di un singolo che aveva deliberatamente violato un sistema di prevenzione robusto e all’avanguardia. L’impatto del sequestro, che di fatto paralizza l’operatività di EuroHedge SGR, sarebbe stato con ogni probabilità mitigato o addirittura evitato.
L’inchiesta si allarga e coinvolge anche la funzione di Internal Audit, accusata di non aver svolto verifiche sufficientemente approfondite sulle aree di rischio emergenti, come appunto gli investimenti in cripto-attività non regolamentate. Gli audit si erano basati su check-list tradizionali e interviste a campione, senza eseguire test di penetrazione o analisi forensi sui sistemi. Questa metodologia di controllo, obsoleta di fronte a rischi digitali complessi, ha lasciato aperta la porta alla condotta illecita. Un modello 231 evoluto, invece, prevede audit ciclici e automatizzati. I sistemi di analisi multimodale avrebbero scansionato l’intera popolazione aziendale e le relative operazioni, identificando immediatamente la concentrazione di rischio sul fondo “Quantum Growth” e la sua esposizione verso una controparte non qualificata. L’alert non sarebbe stato un semplice report qualitativo, ma un dato quantitativo inappellabile che avrebbe imposto un’immediata azione correttiva e una segnalazione all’OdV, il quale avrebbe avuto tutti gli strumenti per intervenire.
Il danno per EuroHedge SGR è devastante. Oltre al sequestro e alla prospettiva di una sanzione pecuniaria che potrebbe arrivare a diverse centinaia di quote, aggravate ai sensi dell’art. 12 del D.Lgs. 231/2001, la società rischia la sanzione interdittiva del divieto di esercitare l’attività. La fiducia dei clienti è crollata, con richieste di riscatto che stanno prosciugando la liquidità dei fondi. Il danno reputazionale è forse ancora più grave di quello economico. Patuelli, nel suo intervento, aveva parlato della necessità di semplificazioni normative in Europa “senza indebolire la resilienza e la stabilità delle banche”. La vicenda di EuroHedge dimostra che la resilienza non dipende solo dalla densità delle norme, ma dalla capacità di un’organizzazione di implementare presidi di controllo sostanziali, capaci di intercettare il rischio dove si annida oggi: nell’intersezione tra finanza tradizionale e tecnologia deregolamentata.
La Procura contesta all’amministratore delegato e ai membri del consiglio di amministrazione di non aver adeguatamente vigilato, configurando una loro potenziale responsabilità diretta. La difesa dell’ente si trova ora in enorme difficoltà, non potendo dimostrare di aver adottato ed efficacemente attuato un modello idoneo a prevenire reati della specie di quello commesso. Se l’azienda avesse potuto esibire i report generati da un sistema di monitoraggio predittivo, le registrazioni degli alert ignorati o bypassati dal manager infedele e i log delle procedure di escalation automatiche, la sua posizione sarebbe stata radicalmente diversa. Avrebbe potuto dimostrare di aver fatto tutto il possibile per prevenire l’illecito. L’adozione di un ecosistema sovrano come quello proposto dalla filosofia di Scudo231 non rappresenta solo un adempimento normativo, ma una barriera strategica che protegge la continuità aziendale, il patrimonio e la reputazione, trasformando la compliance da un costo a un asset fondamentale per la sopravvivenza nel complesso mercato finanziario del ventunesimo secolo.