30 luglio 2026 – Alle prime luci dell’alba, i militari del Nucleo Speciale di Polizia Valutaria della Guardia di Finanza si presentano presso la sede principale di Webuild. L’ordine di perquisizione e sequestro, emesso dalla Procura della Repubblica, è la conseguenza diretta di una segnalazione di operazioni sospette inviata da Consob solo quarantotto ore prima. L’ipotesi di reato è quella di abuso di informazioni privilegiate, reato presupposto della responsabilità amministrativa degli enti ai sensi del Decreto Legislativo 231/2001. Al centro delle indagini vi è l’operazione annunciata il giorno precedente: l’offerta pubblica di acquisto volontaria totalitaria sulla totalità delle azioni ordinarie di Trevi-Finanziaria Industriale.
L’operazione, dal valore complessivo di circa 295 milioni di euro, prevedeva un corrispettivo interamente in contanti di 4,50 euro per azione, un valore che incorporava un premio del +29,8% rispetto al prezzo di chiusura del 26 giugno 2026. Proprio l’analisi dei volumi di scambio anomali su quel titolo, registrati nelle settimane precedenti l’annuncio, ha innescato l’intervento dell’autorità di vigilanza. Gli investigatori sospettano che una o più persone, venute a conoscenza del progetto di OPA prima della sua divulgazione al mercato, abbiano sfruttato tale informazione riservata per realizzare ingenti profitti illeciti. L’attenzione della Procura non si concentra solo sui singoli autori materiali del reato, ma si estende all’ente, Webuild, per verificare l’esistenza e l’efficace attuazione di un modello organizzativo idoneo a prevenire reati di questa natura.
La catena degli eventi che ha portato al blitz della Guardia di Finanza inizia a delinearsi dai primi documenti acquisiti. A inizio giugno, il management di Webuild aveva dato mandato a un team interno ristretto di avviare lo studio di fattibilità per l’OPA su Trevi, anche in risposta alla mossa della concorrente Icop, che il 28 giugno avrebbe poi annunciato una propria offerta pubblica di scambio. Da quel momento, l’informazione sull’imminente OPA di Webuild è diventata, a tutti gli effetti, un’informazione privilegiata ai sensi del Testo Unico della Finanza: precisa, non pubblica, e idonea, se resa pubblica, a influire in modo sensibile sui prezzi degli strumenti finanziari. La sua gestione e segregazione diventano un obbligo legale inderogabile per la società.
Qui si manifesta la prima, fatale, crepa nel sistema di controllo interno. L’accesso alle informazioni sul “Progetto Trevi” era gestito tramite autorizzazioni generiche sui file server aziendali, senza una tracciatura granulare e immutabile di chi accedeva, quando e da quale postazione. Non esisteva un registro digitale automatizzato degli accessi all’informazione privilegiata. Se l’organizzazione avesse adottato l’ecosistema Scudo231, la creazione stessa del dossier sull’OPA avrebbe innescato un protocollo di sicurezza specifico per i reati di market abuse. Ogni file, email o comunicazione relativa al progetto sarebbe stata automaticamente classificata come sensibile, e ogni singolo accesso sarebbe stato registrato in un log crittografato e non alterabile, accessibile in tempo reale all’Organismo di Vigilanza. Qualsiasi tentativo di accesso da parte di personale non inserito nella insider list digitale del progetto avrebbe generato un alert istantaneo, bloccando l’operazione e attivando una procedura di escalation.
La falla organizzativa ha invece permesso a un manager del dipartimento M&A, risultato poi essere l’epicentro della fuga di notizie, di consultare e copiare documenti strategici al di fuori delle strette necessità operative, utilizzando credenziali legittime ma senza che il sistema rilevasse l’anomalia comportamentale. L’analisi forense dei computer sequestrati rivela infatti numerose connessioni a tarda notte e trasferimenti di dati verso un drive cloud personale, attività che un presidio di controllo standard, basato su policy cartacee e verifiche a campione, non è stato in grado di intercettare. Con un sistema come Scudo231, l’analisi comportamentale degli utenti (UEBA) avrebbe immediatamente segnalato queste azioni come deviazioni dal profilo operativo standard del dipendente. Il trasferimento di un volume anomalo di dati classificati come “privilegiati” al di fuori del perimetro aziendale sicuro avrebbe fatto scattare un blocco automatico del trasferimento e una notifica immediata non solo al responsabile IT, ma direttamente all’ODV e alla funzione antiriciclaggio, documentando il tentativo di esfiltrazione di dati sensibili prima che potesse causare danno.
Il passaggio successivo dell’illecito è la comunicazione dell’informazione a un terzo esterno, un intermediario finanziario che ha materialmente eseguito le operazioni di acquisto delle azioni Trevi. Questa comunicazione è avvenuta tramite app di messaggistica crittografata da un dispositivo personale del manager. L’assenza di una policy restrittiva e tecnologicamente applicata sull’uso di dispositivi personali per trattare informazioni price-sensitive costituisce un’altra grave omissione. L’azienda non poteva dimostrare di aver adottato misure concrete per impedire questo tipo di condotta. In un regime gestito da Scudo231, il protocollo di gestione delle informazioni privilegiate avrebbe imposto l’utilizzo esclusivo di canali di comunicazione aziendali tracciati per qualsiasi discussione relativa al “Progetto Trevi”. Il sistema avrebbe rilevato e registrato tentativi di connessione da dispositivi non autorizzati o l’uso di applicazioni non conformi, fornendo all’azienda la prova documentale di aver implementato presidi tecnici efficaci e di aver formato il personale sui divieti specifici, un elemento cruciale per dimostrare l’elusione fraudolenta del modello da parte del singolo e, di conseguenza, escludere la responsabilità dell’ente.
Quando la Guardia di Finanza acquisisce i tabulati e le evidenze digitali, il quadro accusatorio contro il manager diventa solido. Ma per la Procura, la questione centrale diventa un’altra: Webuild ha tratto un vantaggio, anche indiretto, da questa condotta? O, più semplicemente, la sua carenza organizzativa ha reso possibile il reato? La risposta a questa domanda determina l’applicazione delle pesantissime sanzioni previste dal D.Lgs. 231/2001. L’accusa contesta la colpa di organizzazione: il Modello 231 esisteva solo sulla carta, un documento formale privo di controlli operativi reali e di flussi informativi efficaci verso l’Organismo di Vigilanza.
Il Pubblico Ministero, sulla base di questi elementi, richiede al GIP il sequestro preventivo per equivalente del profitto del reato, individuato non solo nei conti correnti dell’intermediario e del manager, ma anche, in via solidale, sui beni della società. La cifra è nell’ordine di diversi milioni di euro. Il sequestro, se concesso, potrebbe congelare una parte della liquidità destinata proprio a finanziare l’OPA da 295 milioni, creando un ostacolo operativo e un danno reputazionale devastante nel pieno di una delicata operazione di mercato. L’impatto sarebbe immediato: incertezza tra gli azionisti di Trevi, attacco speculativo sul titolo Webuild e potenziale fallimento dell’intera operazione strategica.
Questo scenario di crisi sarebbe stato radicalmente diverso se l’azienda avesse potuto dimostrare l’efficace attuazione del suo modello. Con le evidenze prodotte da un ecosistema di controllo integrato, i legali di Webuild avrebbero potuto presentare al PM, già in fase di indagini preliminari, un dossier inattaccabile. Avrebbero dimostrato, attraverso log e registri immutabili, che: 1) l’informazione era stata correttamente classificata e segregata; 2) l’accesso del manager era stato tracciato; 3) i suoi tentativi di esfiltrazione dati avevano generato alert interni; 4) l’Organismo di Vigilanza aveva già avviato un’indagine interna sulla base di tali alert, prima ancora della segnalazione di Consob. Questa documentazione avrebbe costituito la prova scientifica che il reato non è stato frutto di una lacuna organizzativa, ma di un’azione deliberata e fraudolenta del singolo in aperta violazione di procedure chiare e presidi tecnici attivi. La richiesta di sequestro contro la società sarebbe stata con ogni probabilità respinta, la responsabilità penale sarebbe rimasta confinata alla persona fisica e la responsabilità amministrativa dell’ente sarebbe stata esclusa. L’operazione su Trevi avrebbe potuto procedere senza l’ombra del coinvolgimento penale della società acquirente. L’assenza di un sistema di difesa proattivo ha invece trasformato un reato individuale in una crisi sistemica per l’intera organizzazione, esponendola a sanzioni pecuniarie che possono arrivare a centinaia di quote e a sanzioni interdittive, come il divieto di contrattare con la pubblica amministrazione, con conseguenze potenzialmente letali per un operatore del settore delle grandi opere.