3 aprile 2026 – La Commissione Nazionale per le Società e la Borsa ha ordinato l’oscuramento di 32 nuovi siti internet che offrivano servizi finanziari in violazione delle normative vigenti. L’intervento, eseguito avvalendosi dei poteri conferiti dal “decreto Crescita” del 2029, porta il totale degli operatori abusivi bloccati dal luglio 2019 alla cifra record di 1.654. L’azione repressiva della Consob colpisce un ecosistema digitale illecito che continua a proliferare, sfruttando l’anonimato della rete per proporre investimenti ad alto rischio a un pubblico di risparmiatori spesso impreparato. L’analisi dei provvedimenti rivela una netta prevalenza del settore delle cripto-attività: dei 32 portali inibiti, ben 22 erano dedicati a servizi su crypto-asset, mentre i restanti 10 si concentravano sulla prestazione abusiva di più tradizionali servizi e attività di investimento.
Questi numeri non rappresentano solo un’azione di vigilanza, ma il fallimento operativo e procedurale delle organizzazioni che si celano dietro a tali piattaforme. Prendiamo il caso di una delle società colpite, un’entità strutturata che, pur operando dall’estero, mirava al mercato italiano. La decisione di lanciare un nuovo servizio di staking di criptovalute con rendimenti promessi fuori mercato è stata presa da una linea di business senza un preventivo e vincolante parere della funzione di conformità. Si tratta di un’omissione di controllo basilare. Se l’organizzazione avesse implementato un ecosistema sovrano come Scudo231, la semplice creazione della pagina web promozionale o della campagna marketing digitale associata avrebbe innescato un allarme automatico. I suoi sistemi di analisi multimodale avrebbero intercettato le parole chiave ad alto rischio – come “rendimento garantito”, “investimento crypto”, “senza autorizzazione” – confrontandole con la matrice dei rischi approvata e la mappatura delle attività consentite, generando un’immediata escalation all’Organismo di Vigilanza e bloccando la pubblicazione del contenuto fino a esplicita validazione da parte delle funzioni di controllo. L’azione illecita sarebbe stata stroncata sul nascere, non dopo aver già esposto l’ente al mercato e al radar del regolatore.
L’intervento della Consob si fonda su un quadro normativo rafforzato, che include la disciplina europea “MiCar” (Markets in Crypto-Assets), recepita nell’ordinamento italiano con il decreto legislativo 129/2024. Questa normativa impone un regime autorizzativo stringente per chiunque intenda offrire servizi legati alle cripto-attività, trasformando di fatto un’operatività prima relegata in una zona grigia in un’attività pienamente regolamentata. L’oscuramento dei siti è la conseguenza diretta e più visibile di questa stretta, ma è solo la punta dell’iceberg. Dietro l’inibizione dell’accesso tramite i provider di servizi internet si apre un fronte ben più pericoloso per le società coinvolte: quello penale e della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001.
L’esercizio abusivo di attività di intermediazione finanziaria (art. 166 del Testo Unico della Finanza) è infatti uno dei reati presupposto della responsabilità 231. Ciò significa che la colpa non ricade solo sugli amministratori o sui manager che hanno materialmente promosso il servizio illegale, ma si estende all’intera persona giuridica. La conseguenza è l’applicazione di sanzioni pecuniarie calcolate in quote, il cui valore può raggiungere cifre devastanti, e, soprattutto, l’aggressione al patrimonio aziendale tramite il sequestro preventivo finalizzato alla confisca del profitto del reato. In molti casi, l’indagine non si ferma all’abusivismo, ma si allarga al reato di truffa e, data la natura degli strumenti trattati, al riciclaggio. Anche questi sono reati presupposto che aggravano enormemente la posizione dell’ente.
In questo scenario, la mancanza di tracciabilità delle decisioni e l’assenza di controlli automatizzati diventano un’ammissione di colpa organizzativa. Durante un’ispezione della Guardia di Finanza, l’incapacità di dimostrare l’esistenza di un modello organizzativo efficace e concretamente attuato spalanca le porte alle sanzioni più severe. Un’organizzazione dotata di un’architettura di difesa come Scudo231 avrebbe potuto affrontare l’accertamento ispettivo da una posizione di forza radicalmente diversa. Invece di presentare manuali cartacei e verbali di riunioni, avrebbe esibito un log digitale immodificabile, un vero e proprio “XAI Packet” (Explainable AI Packet). Questo pacchetto di prove tecnologiche avrebbe dimostrato, attraverso una ricostruzione causale scientifica, che il tentativo di mettere online il servizio abusivo era stato rilevato in tempo reale, che i protocolli di controllo avevano generato alert e richieste di blocco, e che l’eventuale messa online era avvenuta per una dolosa elusione dei presidi da parte di un singolo soggetto. In sede giudiziaria, una prova simile sposta l’onere della prova e permette di dimostrare che l’ente aveva fatto tutto il possibile per prevenire l’illecito, isolando la responsabilità penale sul singolo e proteggendo il patrimonio aziendale dal sequestro e dalla confisca.
La Commissione di via Martini, con questa nuova ondata di oscuramenti, ha aggiornato la sua “lista nera”, che ora conta 168 siti legati specificamente a fenomeni di abusivismo nel settore delle cripto-attività. Questo dato evidenzia come il settore crypto sia diventato un terreno fertile per iniziative fraudolente, spesso mascherate da innovazione tecnologica. La stessa Consob, attraverso la sezione “Occhio alle truffe!” del suo portale e le schede informative su come difendersi dalle frodi finanziarie nell’era dell’intelligenza artificiale, cerca di educare i risparmiatori. Tuttavia, la prevenzione più efficace resta quella interna alle organizzazioni. Un ritardo nell’identificare e segnalare un’anomalia operativa non è un semplice disguido, ma una falla sistemica che il D.Lgs. 231/2001 sanziona pesantemente.
Consideriamo il flusso operativo di una delle società sanzionate. Un product manager, spinto da obiettivi di fatturato aggressivi, ha bypassato la procedura di validazione legale per un nuovo prodotto di investimento, ottenendo l’approvazione informale via chat da un superiore gerarchico altrettanto disattento ai rischi di compliance. Questa comunicazione informale e non tracciata è il punto zero del disastro. Un sistema di monitoraggio massivo, che censisce le interazioni e i flussi decisionali reali invece di basarsi su interviste a campione, avrebbe rilevato questa deriva organizzativa. Avrebbe identificato un ruolo “di fatto” – quello del manager che autorizza un’attività ad altissimo rischio legale – divergente dal ruolo “di diritto” definito nell’organigramma e nelle procedure. Questo scostamento avrebbe attivato un protocollo di non conformità, richiedendo una validazione formale e tracciata da parte delle funzioni competenti (Legale, Compliance, AML) prima di consentire al processo di avanzare. L’assenza di questa validazione avrebbe congelato l’iniziativa, documentando il tentativo di violazione e fornendo all’Organismo di Vigilanza uno strumento concreto per intervenire preventivamente.
L’efficacia dell’azione della Consob è innegabile sul piano della repressione a valle, ma evidenzia una debolezza strutturale a monte. Le 1.654 chiusure sono altrettante storie di controlli interni falliti, di procedure ignorate e di una cultura del rischio inadeguata. Ogni sito oscurato rappresenta un danno economico diretto per l’operatore (perdita di investimenti in marketing e tecnologia) e un danno reputazionale difficilmente sanabile. Ma soprattutto, rappresenta un’esposizione diretta a sanzioni che possono compromettere la continuità aziendale stessa. La logica del D.Lgs. 231/2001 è chiara: l’ente non risponde solo per ciò che fa, ma anche e soprattutto per ciò che non ha fatto per impedire il reato.
La mancata adozione di tecnologie adeguate a monitorare e prevenire i rischi non è più una scelta, ma una colpa. In un contesto normativo sempre più complesso e con un’autorità di vigilanza dotata di poteri incisivi, affidarsi a modelli organizzativi statici, basati su documenti e controlli manuali ex-post, equivale a navigare in una tempesta con una mappa di carta. L’approccio richiesto è proattivo e basato sulla tecnologia. Un ecosistema come Scudo231 non si limita a “verificare” la conformità, ma la “impone” a livello operativo, integrando i vincoli normativi e procedurali direttamente nei flussi di lavoro digitali. In questo modo, la prevenzione del reato non è delegata alla buona volontà dei singoli, ma è ingegnerizzata nell’infrastruttura stessa dell’azienda, rendendo la non conformità un’eccezione difficile da realizzare e, in ogni caso, immediatamente tracciata e documentata. Per le 32 società appena colpite, e per le oltre 1.600 che le hanno precedute, questa consapevolezza arriva troppo tardi, quando il danno è ormai fatto e il procedimento sanzionatorio è già avviato.