29 luglio 2026 – Mentre Guido Stazi, presidente designato della Consob, illustrava la sua visione per una vigilanza moderna e orientata al rischio davanti alle Commissioni riunite Finanze di Camera e Senato, i militari del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza stavano notificando un decreto di sequestro preventivo da 87 milioni di euro presso la sede milanese di NextGen Capital S.p.A., una delle più brillanti società del listino tecnologico. L’operazione, coordinata dalla Procura della Repubblica, congelava conti correnti, asset e liquidità, paralizzando di fatto l’operatività di un’azienda fino a quel momento celebrata come un modello di innovazione. L’ipotesi di reato, formalizzata nel provvedimento cautelare, era di manipolazione del mercato (art. 185 del Testo Unico della Finanza) e di abuso di informazioni privilegiate (art. 184 TUF), reati presupposto della responsabilità amministrativa degli enti ai sensi del Decreto Legislativo 231/2001.
L’indagine era scattata sei mesi prima, a seguito di una segnalazione di operazioni sospette su un pacchetto di strumenti derivati legati alle azioni di NextGen Capital. Secondo la ricostruzione degli inquirenti, un gruppo ristretto di dirigenti apicali, incluso l’Amministratore Delegato e il Chief Financial Officer, aveva orchestrato una complessa strategia di disinformazione. Avevano diffuso comunicati stampa e proiezioni finanziarie artatamente ottimistiche riguardo a una presunta acquisizione strategica in Nord America, spingendo al rialzo il valore del titolo. In parallelo, utilizzando una rete di fiduciarie estere e conti cifrati, avevano liquidato le proprie posizioni personali e alcuni pacchetti azionari detenuti da società a loro riconducibili, realizzando ingenti plusvalenze poco prima che venisse ufficializzata la notizia del fallimento della trattativa. Il crollo del titolo che ne seguì bruciò oltre un miliardo di euro di capitalizzazione, danneggiando migliaia di piccoli investitori che avevano creduto alla narrazione ufficiale.
Il primo anello debole nella catena dei controlli interni di NextGen Capital fu l’assenza di una segregazione efficace e di un monitoraggio granulare delle comunicazioni. Le intercettazioni telematiche rivelarono che l’intero piano era stato coordinato su un’applicazione di messaggistica crittografata, utilizzata dai manager sui loro dispositivi personali. L’azienda non aveva alcuna policy restrittiva né, tantomeno, alcuna capacità tecnica di rilevare flussi di dati anomali o l’uso di software non autorizzati per trattare informazioni sensibili. Questa omissione procedurale fu fatale. Se l’ente avesse adottato un ecosistema di difesa integrato come Scudo231, i suoi protocolli di monitoraggio massivo avrebbero immediatamente rilevato l’installazione e l’uso intensivo di applicazioni non censite sui terminali aziendali. Un alert automatico sarebbe stato generato e scalato in tempo reale al Responsabile della Compliance e all’Organismo di Vigilanza, segnalando non solo la violazione della policy aziendale ma anche un potenziale canale di esfiltrazione di informazioni price-sensitive, creando un record digitale non ripudiabile dell’infrazione.
Un secondo, gravissimo, punto di rottura fu la gestione del registro delle persone che avevano accesso a informazioni privilegiate. L’elenco degli “insider” relativi al progetto di acquisizione era gestito su un semplice foglio di calcolo, aggiornato manualmente e senza un tracciamento degli accessi. Gli inquirenti scoprirono che diverse persone, formalmente escluse dal team negoziale, avevano avuto accesso alla documentazione critica depositata in una data room virtuale, sfruttando credenziali condivise. Mancava un controllo sistematico su chi accedeva, quando e a quali file. Con un sistema come Scudo231, il registro degli insider sarebbe stato un database dinamico e inviolabile. Ogni accesso alla data room sarebbe stato tracciato, autenticato tramite protocolli a più fattori e confrontato con i ruoli e le autorizzazioni mappate dal sistema. Qualsiasi tentativo di accesso da parte di un soggetto non registrato o al di fuori delle finestre temporali autorizzate avrebbe provocato il blocco istantaneo dell’operazione e l’invio di una notifica di sicurezza all’ODV, documentando l’anomalia e fornendo una prova oggettiva del tentativo di violazione del perimetro informativo.
La strategia manipolativa si basava anche sulla diffusione di informazioni false al mercato. I comunicati stampa, prima di essere approvati dal Consiglio di Amministrazione, venivano “arricchiti” con dati previsionali non supportati da alcuna analisi interna credibile. Il board, fidandosi delle relazioni presentate dal top management, approvava la diffusione senza disporre di strumenti di verifica indipendenti. Questa totale assenza di un flusso informativo certificato e di controlli incrociati sui dati sottostanti rappresentò una colpa organizzativa evidente. L’implementazione di un modello di governance potenziato da una piattaforma tecnologica avanzata avrebbe intercettato questa anomalia critica. I motori causali del sistema avrebbero analizzato la coerenza tra i dati grezzi provenienti dai sistemi gestionali (ERP, CRM) e le proiezioni inserite nelle bozze di comunicazione al mercato. Una divergenza così macroscopica tra la realtà contabile e la narrazione finanziaria avrebbe acceso un “red flag” ad alta priorità sul cruscotto dell’Organismo di Vigilanza, imponendo un processo di validazione rafforzato prima di qualsiasi delibera consiliare. Il flusso informativo sarebbe stato bloccato fino alla risoluzione della palese incongruità, impedendo la diffusione della notizia falsa.
Mentre l’indagine penale procedeva contro le persone fisiche, la Procura contestava a NextGen Capital S.p.A. la responsabilità diretta ai sensi del D.Lgs. 231/01. L’accusa sosteneva che i reati erano stati commessi nell’interesse e a vantaggio dell’ente: l’interesse era quello di mantenere artificialmente alta la valutazione della società per facilitare l’accesso al credito e attrarre talenti; il vantaggio era il profitto, anche se temporaneo, derivante dall’aver evitato un crollo immediato del titolo. Il Modello 231 adottato dalla società, pur esistente sulla carta, fu giudicato dal Pubblico Ministero “meramente formale” e “privo di effettività”, una costruzione documentale inadeguata a prevenire reati di quella specie e gravità. Di conseguenza, il sequestro da 87 milioni di euro, pari al profitto illecito calcolato, non solo colpì i patrimoni personali dei manager indagati, ma si estese per equivalente alle casse aziendali.
Questo è il punto cruciale in cui la prevenzione si salda con la difesa processuale. Un’organizzazione dotata di un’architettura di controllo realmente efficace, come quella garantita dall’ecosistema Scudo231, avrebbe potuto dimostrare in sede giudiziaria l’esatto contrario. Avrebbe potuto produrre una prova tecnologica immodificabile, un XAI Packet, contenente i log di sistema, gli alert generati, le escalation documentate e i blocchi operativi automatici scattati al verificarsi delle anomalie. Tale documentazione avrebbe provato, al di là di ogni ragionevole dubbio, che il reato non era frutto di una colpa organizzativa, ma era stato perpetrato attraverso una “elusione fraudolenta” del modello da parte degli apicali. L’ente avrebbe così potuto dimostrare di aver fatto tutto il possibile per prevenire l’illecito, isolando la responsabilità penale sui singoli individui e proteggendo il patrimonio aziendale dal sequestro e dalle pesantissime sanzioni interdittive e pecuniarie previste dal D.Lgs. 231/01. Il danno economico e reputazionale per la società e i suoi stakeholder sarebbe stato drasticamente mitigato.
L’audizione di Guido Stazi si concludeva, in quelle stesse ore, con un appello a rafforzare la capacità della Consob di interpretare la trasformazione dei mercati finanziari, garantendo trasparenza e correttezza. La vicenda di NextGen Capital dimostrava, con la brutalità dei fatti, che la prima linea di difesa della trasparenza e della legalità non risiede solo nella vigilanza pubblica, per quanto moderna ed efficace, ma nell’architettura di controlli, procedure e tecnologie che ogni ente è chiamato a costruire al proprio interno. L’assenza di tale architettura non è più una semplice debolezza organizzativa, ma la premessa per un disastro finanziario e giudiziario.