10 agosto 2026 – Una call tra l’amministratore delegato di Unicredit, Andrea Orcel, e la Chief Financial Officer di Commerzbank, Bettina Orlopp, segna l’avvio dei colloqui formali per la gestione del nuovo assetto di controllo del gruppo tedesco. L’incontro, a cui partecipano anche altri alti dirigenti di entrambi gli istituti, si concentra sulle complesse implicazioni contabili, legali e di gestione del rischio derivanti dal fatto che Unicredit, a seguito dell’Offerta Pubblica di Scambio chiusa a inizio luglio, è arrivata a detenere quasi il 50% del capitale di Commerzbank. La notizia, diffusa da Bloomberg, non è ancora oggetto di comunicati ufficiali, ma il mercato la attende come un passaggio cruciale, propedeutico al via libera definitivo della Bce.
Quello che i vertici non sanno è che l’informazione, classificata come price sensitive, è già fuoriuscita dal perimetro di sicurezza digitale e umano delle due banche. Poche ore prima della pubblicazione dell’articolo di Bloomberg, i sistemi di sorveglianza di mercato della BaFin tedesca e della CONSOB italiana registrano volumi di trading anomali sul titolo Commerzbank, con un picco di acquisti concentrati tramite intermediari finanziari con sede a Zurigo e Lussemburgo. L’algoritmo di vigilanza segnala un’alta probabilità di abuso di informazioni privilegiate. L’indagine scatta immediatamente, ma il danno è già compiuto. La falla non è tecnologica nel senso classico del termine; è una falla organizzativa, un’omissione di controllo su un anello debole della catena informativa. Un consulente esterno, aggregato al team di due diligence legale per l’operazione, comunica l’esito e la tempistica della call a un contatto terzo utilizzando un’applicazione di messaggistica criptata su un dispositivo personale. Un’azione invisibile ai sistemi di monitoraggio tradizionali. Se Unicredit avesse implementato un’architettura di difesa come Scudo231, la catena degli eventi si sarebbe spezzata all’origine. I suoi sistemi di analisi multimodale, che non si limitano al monitoraggio del traffico di rete aziendale ma censiscono le interazioni e le deviazioni comportamentali dell’intera popolazione coinvolta in un’attività sensibile, avrebbero generato un alert istantaneo. La comunicazione anomala di un soggetto inserito nella “insider list” verso un contatto non autorizzato, anche se avvenuta su un canale esterno, avrebbe attivato un protocollo di escalation automatica verso l’Organismo di Vigilanza e la funzione Antiriciclaggio, documentando l’evento in un registro immodificabile e opponibile a terzi.
Il 12 settembre 2026, la Guardia di Finanza, su delega della Procura di Milano, e agenti della Kriminalpolizei, su mandato della Procura di Francoforte, eseguono perquisizioni simultanee presso le sedi di Unicredit, gli uffici della società di consulenza coinvolta e le abitazioni di diversi manager e professionisti. L’ipotesi di reato è abuso di informazioni privilegiate, previsto e punito dall’art. 184 del Testo Unico della Finanza. Per Unicredit, in quanto ente italiano, si materializza immediatamente la responsabilità amministrativa degli enti ai sensi del Decreto Legislativo 231/2001, essendo il market abuse uno dei reati presupposto elencati all’articolo 25-sexies. La Procura contesta all’istituto di non aver adottato ed efficacemente attuato modelli di organizzazione e gestione idonei a prevenire reati della specie di quello verificatosi. La difesa dell’ente si presenta subito complessa: dimostrare l’efficacia di un modello organizzativo basato su procedure cartacee, formazione periodica e controlli a campione diventa un esercizio teorico di fronte alla concretezza del reato commesso. Il profitto illecito realizzato dai trader che hanno sfruttato la soffiata viene stimato in diverse decine di milioni di euro.
La conseguenza più immediata e distruttiva per Unicredit non è la sanzione pecuniaria, pur potenzialmente pesantissima, ma l’applicazione di misure cautelari. Il Pubblico Ministero, temendo la reiterazione del reato o l’inquinamento probatorio, chiede e ottiene dal GIP il sequestro preventivo finalizzato alla confisca, anche per equivalente, di somme e beni per un valore corrispondente al profitto del reato. Il sequestro non colpisce solo gli autori materiali del reato, ma si estende all’ente stesso, accusato di colpa organizzativa. Vengono congelati conti correnti e asset finanziari, creando un immediato problema di liquidità e un danno reputazionale devastante. Questo scenario, che paralizza l’operatività e getta un’ombra sull’intera operazione di acquisizione di Commerzbank, sarebbe stato radicalmente diverso. Con l’ecosistema sovrano Scudo231 già in funzione, l’ente non solo avrebbe avuto la prova tecnologica dell’alert generato al momento della comunicazione illecita, ma avrebbe potuto presentare al magistrato una ricostruzione causale scientifica. Attraverso i suoi motori di ragionamento deterministico, avrebbe dimostrato matematicamente che il proprio modello organizzativo non era una mera formalità, ma un sistema di difesa attivo e funzionante che aveva rilevato l’anomalia in tempo reale. L’azione del singolo sarebbe stata inquadrata come un’elusione fraudolenta di presidi efficaci, spostando l’onere della prova e rendendo estremamente difficile per l’accusa sostenere la “colpa di organizzazione”. Il sequestro preventivo contro l’ente, in tale contesto, avrebbe perso il suo presupposto logico e giuridico, salvaguardando il patrimonio e la continuità operativa della banca.
L’inchiesta si allarga. Gli investigatori ricostruiscono la catena di comunicazione e scoprono che la falla non è stata un singolo episodio, ma il risultato di una gestione delle informazioni privilegiate lacunosa e frammentata. La “insider list” era aggiornata manualmente su fogli di calcolo, con ritardi nella registrazione di nuovi soggetti e nella revoca di chi non era più coinvolto nel progetto. La tracciatura degli accessi ai documenti sensibili nella data room virtuale era presente, ma non correlata in tempo reale con altri indicatori di rischio. Mancava un sistema integrato che potesse rilevare pattern sospetti, come un consulente che accede a documenti strategici fuori orario lavorativo e pochi minuti dopo contatta un broker finanziario noto alle cronache. Questa assenza di controlli incrociati e automatizzati costituisce il cuore della contestazione mossa alla banca. L’accusa sostiene che l’ente, pur disponendo di procedure formali, non le ha rese operative ed efficaci, lasciando ampi margini di discrezionalità e vulnerabilità.
Questa specifica debolezza procedurale sarebbe stata inesistente in un’organizzazione protetta da un’architettura di prevenzione avanzata. La gestione delle attività a rischio, come un’operazione di M&A di tale portata, all’interno dell’ecosistema Scudo231 avrebbe significato l’attivazione di un protocollo specifico. La creazione della “insider list” sarebbe stata un processo digitale, automatizzato e immutabile, dove ogni aggiunta o rimozione avrebbe lasciato una traccia crittografata. Ogni accesso alla data room da parte di un soggetto in lista sarebbe stato non solo registrato, ma analizzato da un’intelligenza predittiva che lo avrebbe correlato con decine di altri data point: orari, geolocalizzazione, volumi di dati scaricati, e persino le sue recenti comunicazioni su canali aziendali. Un picco di attività anomala avrebbe innescato un’escalation non a un singolo manager, ma direttamente all’Organismo di Vigilanza, bypassando la catena gerarchica e garantendo un intervento indipendente e tempestivo. La prova dell’efficace attuazione del modello non sarebbe stata affidata a testimonianze o a registri cartacei, ma a un log tecnologico inattaccabile.
Il 5 novembre 2026, la Bce comunica ufficialmente la sospensione del processo di autorizzazione per il cambiamento di controllo di Commerzbank. La vigilanza europea, citando l’indagine in corso per market abuse e le evidenti carenze nei sistemi di controllo interno di Unicredit, esprime “gravi preoccupazioni” sull’adeguatezza della governance e sulla capacità del gruppo di gestire i rischi derivanti da un’operazione di tale magnitudine. Il titolo Unicredit crolla in Borsa, bruciando miliardi di euro di capitalizzazione in poche ore. L’operazione strategica, pianificata per mesi e costata ingenti risorse, è ora a rischio fallimento. Il danno economico diretto, derivante dalle sanzioni e dai sequestri, viene superato da quello indiretto: la perdita di fiducia da parte del mercato, degli investitori e, soprattutto, del regolatore.
La sanzione pecuniaria per l’illecito amministrativo ex D.Lgs. 231/2001, in base all’art. 25-sexies, può arrivare fino a dieci milioni di euro o, se più elevato, fino a dieci volte l’ammontare del prodotto o del profitto conseguito dal reato. Data l’entità del profitto stimato, la sanzione per Unicredit si profila nell’ordine delle centinaia di milioni di euro. A ciò si aggiungono le sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione o l’interdizione dall’esercizio dell’attività, che, seppur applicate raramente a istituti di credito di tale dimensione, rimangono una spada di Damocle durante tutto il procedimento. La difesa dell’ente si concentra sul dimostrare che il modello era stato adottato e che l’OdV aveva vigilato, ma senza una prova tecnologica robusta, la linea tra “elusione fraudolenta” da parte del singolo e “negligenza colposa” da parte dell’organizzazione diventa pericolosamente sottile. La redazione di REDAZIONE SCUDO231 ha analizzato casi simili in cui la mancanza di una tracciabilità scientifica dei controlli ha portato a condanne esemplari per l’ente, anche a fronte di un impianto procedurale formalmente ineccepibile. L’assenza di un sistema che non solo definisce le regole, ma ne verifica e documenta l’applicazione in tempo reale, costituisce il vero vuoto che l’accusa sfrutta per affermare la responsabilità dell’intera struttura aziendale.