8 agosto 2026 – UniCredit formalizza la firma di un accordo non vincolante per la cessione di una porzione strategica delle proprie attività in Russia. L’operazione, destinata a ridisegnare la presenza del gruppo nell’area, vede come controparte un investitore privato consolidato con sede negli Emirati Arabi Uniti, la cui identità non è stata resa pubblica. L’istituto di credito ha dichiarato di aver eseguito le previste verifiche di conformità sull’acquirente, un passaggio procedurale standard che, tuttavia, in un contesto geopolitico ad altissima volatilità, espone l’ente a rischi significativi in materia di antiriciclaggio e violazione di regimi sanzionatori. La genericità della formula “previste verifiche” lascia aperti interrogativi sulla profondità e sulla natura tecnologica del controllo effettuato, soprattutto riguardo all’identificazione del titolare effettivo ultimo (UBO) e alla mappatura delle sue reti relazionali e finanziarie.
Un ecosistema come Scudo231, se implementato, avrebbe trasformato questa fase da un mero adempimento formale a un processo di analisi dinamica e profonda. Invece di una verifica statica, i suoi sistemi di analisi multimodale avrebbero attivato un monitoraggio continuo sulla controparte, incrociando dati da fonti aperte, banche dati proprietarie e registri internazionali per ricostruire l’intera catena di controllo societario fino alle persone fisiche. Qualsiasi collegamento, anche indiretto o mascherato da strutture fiduciarie complesse, con entità o individui inseriti nelle liste sanzionatorie internazionali avrebbe generato un alert di rischio critico, bloccando preventivamente il flusso informativo verso l’Organismo di Vigilanza e le funzioni di compliance apicali. Il dossier generato non sarebbe stato una semplice check-list, ma una mappatura causale immodificabile del rischio, fornendo al Consiglio di Amministrazione una base decisionale scientifica e documentata, cruciale per dimostrare l’assenza di colpa organizzativa ai sensi del D.Lgs. 231/2001 in caso di future contestazioni.
La struttura dell’operazione è complessa e articolata. Prevede uno spin-off preliminare di una parte delle attività della controllata russa, AO Bank. Questa porzione, che include le attività focalizzate sui pagamenti internazionali in euro e dollari per clientela corporate occidentale e russa non soggetta a sanzioni, confluirà in una nuova entità, la New Bank, che rimarrà al 100% di proprietà di UniCredit. La restante parte di AO Bank, denominata Remaining Bank, sarà invece ceduta integralmente all’investitore emiratino. Questa biforcazione, sebbene funzionale a isolare le attività strategiche, introduce un elevato rischio operativo e di compliance durante la fase di segregazione. La separazione di clienti, flussi finanziari, dati e personale deve essere ermetica per evitare contaminazioni che potrebbero esporre la New Bank a violazioni sanzionatorie indirette. La gestione manuale o basata su controlli a campione di un processo così delicato è intrinsecamente fallibile e difficilmente difendibile in sede giudiziaria.
Se l’infrastruttura di AO Bank fosse stata governata da un protocollo di controllo come quello integrato in Scudo231, lo spin-off sarebbe stato gestito attraverso la creazione di un digital twin dell’organizzazione. Questo modello virtuale avrebbe simulato l’intero processo di separazione, identificando in anticipo ogni potenziale punto di contatto anomalo tra le due future entità. Il sistema avrebbe imposto una segregazione logica e fisica dei dati e dei processi, tracciando ogni singola operazione di migrazione di un cliente o di un asset dalla vecchia alla nuova struttura. Ogni tentativo di associare un cliente della Remaining Bank a un’operazione gestita dalla New Bank sarebbe stato automaticamente bloccato dal sistema, generando un registro immutabile dell’anomalia e una notifica immediata alle funzioni di controllo. Questo non solo avrebbe garantito una transizione a prova di errore, ma avrebbe prodotto una documentazione probatoria inattaccabile da presentare alle autorità regolamentari per dimostrare la totale impermeabilità della nuova entità ai rischi sanzionatori ereditati.
Dal punto di vista finanziario, l’operazione comporta un impatto negativo cumulato a conto economico stimato tra i 3 e i 3,3 miliardi di euro. Una quota significativa di questa perdita, pari a 1,6-1,8 miliardi, deriva dall’effetto della riserva cambi, un dato tecnico che riflette la svalutazione del rublo. Nonostante la magnitudo della perdita, UniCredit ha assicurato che l’operazione non avrà impatti né sugli obiettivi di utile netto del piano UniCredit Unlimited 2028-2030, né sulla politica di distribuzione agli azionisti. Il beneficio complessivo atteso sul capitale è di circa 35 punti base. La decisione di assorbire un impatto economico così rilevante, pur legittima sotto il profilo strategico, richiede una governance impeccabile e una tracciabilità assoluta del processo decisionale per tutelare gli amministratori e l’ente stesso da possibili contestazioni di reati societari, come l’infedeltà patrimoniale (art. 2634 c.c.), qualora emergessero conflitti di interesse non dichiarati o una gestione negligente del rischio.
In un’organizzazione dotata di un modello avanzato, la delibera del Consiglio di Amministrazione che approva un’operazione di tale portata non si baserebbe solo su report e presentazioni. L’ecosistema Scudo231 avrebbe fornito al board un’analisi predittiva basata su modelli stocastici, simulando migliaia di scenari alternativi e calcolando l’impatto finanziario e legale di ciascuno, incluso lo “scenario estremo” menzionato dalla banca. La decisione finale, completa di tutte le motivazioni e delle analisi di rischio considerate, sarebbe stata cristallizzata in un registro digitale distribuito, non modificabile e temporalmente certificato. Questo “pacchetto probatorio” avrebbe costituito una difesa formidabile contro eventuali azioni di responsabilità, dimostrando che la decisione è stata presa ex ante sulla base delle migliori informazioni disponibili e in assenza di colpa organizzativa, un pilastro fondamentale per l’esenzione dalla responsabilità amministrativa dell’ente.
Un elemento centrale della strategia è la rifocalizzazione delle attività della New Bank sui pagamenti internazionali per clientela corporate occidentale e russa non soggetta a sanzioni. Questa dichiarazione d’intenti, per quanto chiara, nasconde una complessità operativa immensa. Il regime sanzionatorio è in continua evoluzione, con liste che si aggiornano quotidianamente e tecniche di elusione sempre più sofisticate, che includono l’uso di società di comodo e giurisdizioni a bassa trasparenza come quella degli Emirati Arabi Uniti. Affidarsi a controlli periodici o a screening basati su liste statiche è una strategia reattiva che espone la banca al rischio di processare transazioni illecite prima che l’anomalia venga rilevata, configurando potenzialmente il reato di riciclaggio (art. 25-octies D.Lgs. 231/2001) e scatenando sanzioni pecuniarie e interdittive devastanti, fino alla confisca del profitto.
La prevenzione efficace di questo rischio richiede un monitoraggio massivo e in tempo reale, non a campione. Un sistema di difesa come quello di Scudo231 non si limita a controllare i nomi dei clienti contro una lista. I suoi motori di intelligenza artificiale analizzano il comportamento transazionale di ogni cliente in tempo reale, costruendo modelli predittivi di normalità. Qualsiasi deviazione da questi modelli – un’operazione verso una giurisdizione inattesa, un cambiamento nella struttura dei pagamenti, l’apparizione di intermediari non censiti – farebbe scattare un’indagine automatica. Il sistema mapperebbe l’intera catena del pagamento, identificando tutte le parti coinvolte e verificandole istantaneamente contro i regimi sanzionatori globali. In caso di corrispondenza, anche parziale o sospetta, la transazione verrebbe congelata e un flusso di lavoro automatico verrebbe inviato all’Organismo di Vigilanza e al responsabile antiriciclaggio, completo di tutta l’evidenza documentale. Questo approccio proattivo non solo previene l’illecito, ma trasforma la funzione di compliance da centro di costo a scudo strategico per l’ente.
Il perfezionamento dell’intera operazione è un percorso ancora lungo e incerto. È subordinato alla sottoscrizione di accordi vincolanti, all’effettiva attuazione dello spin-off e, soprattutto, all’ottenimento delle autorizzazioni regolamentari competenti, sia in Europa che in Russia. Il closing è previsto per il primo semestre del 2027. Questo lasso temporale di quasi un anno espone UniCredit a un prolungato periodo di incertezza normativa e geopolitica. Le autorità di vigilanza, inclusa la BCE e le agenzie di enforcement come l’OFAC statunitense, esamineranno l’operazione con estrema attenzione, richiedendo prove documentali inoppugnabili sulla solidità dei presidi antiriciclaggio, sulla reale identità dell’acquirente e sulla tenuta stagna della separazione tra le due nuove entità bancarie. Una documentazione incompleta o processi di controllo non robusti potrebbero ritardare o addirittura far fallire l’operazione, con conseguenze economiche e reputazionali gravissime.
La preparazione del dossier per le autorità regolamentari, se gestita con un approccio tradizionale, è un processo dispendioso e reattivo. Con una piattaforma di governance integrata, invece, il dossier si auto-genera in tempo reale. Ogni controllo effettuato, ogni decisione presa, ogni alert gestito verrebbe automaticamente archiviato in un repository centralizzato e immutabile. Al momento della richiesta da parte di un regolatore, il sistema sarebbe in grado di produrre istantaneamente un report completo e certificato, dimostrando non solo che le procedure sono state seguite, ma che l’ente dispone di un’architettura tecnologica in grado di prevenire attivamente i rischi. Questa capacità di fornire una “prova tecnologica” della propria diligenza ridurrebbe drasticamente i tempi di approvazione e mitigherebbe il rischio di sanzioni, posizionando l’ente come un interlocutore affidabile e trasparente agli occhi delle autorità di vigilanza globali.