Con una mossa attesa ma nient’affatto scontata, dopo anni di “disattenzione” gestionale, Confindustria ha deciso di chiedere i danni della passata gestione del Sole 24 Ore agli ex vertici. Ieri l’assemblea degli azionisti della società quotata che pubblica il principale quotidiano economico e finanziario italiano, controllata dall’associazione degli industriali, ha approvato con il voto determinante a favore di Confindustria l’azione sociale di responsabilità nei confronti dell’ex presidente Benito Benedini, dell’ex ad Donatella Treu e dell’ex direttore Roberto Napoletano con il 99,3% dei voti a favore e solo lo 0,7% di astenuti, nessun contrario.

La proposta all’ordine del giorno era stata avanzata dal consiglio di amministrazione della società editrice che l’aveva approvata all’unanimità nella riunione del 12 marzo. L’azione di responsabilità, che segue la richiesta di rinvio a giudizio avanzata dalla Procura di Milano per false comunicazioni sociali e aggiotaggio informativo (l’udienza preliminare è fissata al 12 settembre) e la proposta di pesanti sanzioni da parte della Consob, è stata formulata dal consiglio di amministrazione del Sole 24 Ore dopo un’istruttoria svolta dalle strutture interne della società e da verifiche legali e finanziarie condotte da un pool di consulenti. Secondo gli amministratori attuali, i danni sono stati causati al Sole da Benedini, Treu e Napoletano per le “pratiche commerciali e di reporting dirette a incrementare artificiosamente i dati relativi alla diffusione del quotidiano” e per “l’operazione mediante la quale Il Sole 24 Ore ha ceduto il ramo d’azienda Business Media a una società neocostituita denominata New Business Media Srl al prezzo simbolico di 1 euro e con il riconoscimento di una ‘dote finanziaria’ di circa 10,9 milioni, conclusa tra il dicembre 2013 e il gennaio 2014” oltre che per un’operazione di factoring su una rotativa di Bologna. L’azione di responsabilità nei confronti di Benedini è solo per l’operazione Business Media, per la quale a lui e all’ex amministratrice delegata Donatella Treu sono richiesti danni quantificati in almeno 4,3 milioni, mentre nei confronti di Roberto Napoletano e a Treu sono chiesti danni per 4,6 milioni in relazione ai dati diffusionali del quotidiano.

Il presidente del Sole 24 Ore, Edoardo Garrone, nella discussione sull’azione di responsabilità ha specificato che la richiesta di danni è stata avanzata solo nei confronti di Benedini, Treu e Napoletano, in quanto “non sono emerse circostanze per cui si possano considerare responsabili altri amministratori oltre le tre persone oggetto della proposta”. Rispondendo a una domanda degli azionisti, Garrone ha specificato che sono state “fatte verifiche anche sulla situazione patrimoniale delle tre persone oggetto dell’azione” per verificarne la solvibilità e che tale situazione “verrà monitorata per quanto possibile”. Garrone ha aggiunto che “è emersa anche la formazione di un trust con sede a Nola da parte dell’ex direttore Roberto Napoletano: la società ne è a conoscenza e si riserva ogni azione a riguardo anche a fini conservativi”. Napoletano è stato inserito nell’azione di responsabilità, secondo il presidente Garrone, non solo perché nell’inchiesta penale è emerso il ruolo di “amministratore di fatto” del gruppo, ma anche perché dalle verifiche realizzate si è evinto che “Napoletano ha ingerito in maniera costante nella strategia di diffusione del quotidiano, contribuendo alle condotte illecite contestate a Donatella Treu”, ex amministratore delegato. Soddisfazione per la decisione è stata espressa da numerosi azionisti presenti, compresi i rappresentanti sindacali dei comitati di redazione del quotidiano, che hanno votato a favore come pure i colleghi del CdR dell’agenzia di stampa Radiocor.

L’assemblea del Sole 24 Ore ha approvato anche il bilancio 2018 del gruppo editoriale. Nel 2018, il gruppo editoriale ha registrato ricavi consolidati per 211,3 milioni, in calo di 10,7 milioni (-4,8%) rispetto ai 222,1 del 2017. Il margine operativo lordo è migliorato su base annua di 18,2 milioni (da -8,6 a +9,5), il margine operativo è cresciuto di 22,5 milioni (da -21,9 a +0,5 milioni), soprattutto per il taglio dei costi e in particolare di quello del lavoro.

L’Asti-Cuneo è un’autostrada regionale che ha assunto una rilevanza nazionale, perché rappresenta il grimaldello con il quale il gruppo Gavio mira, da anni, a ottenere nuove proroghe. L’esito di questa vicenda rischia di affossare le residue speranze di chi vorrebbe porre termine alle rendite dei concessionari, man mano che scadranno le concessioni, per restituire le autostrade allo Stato, come previsto da tutte le concessioni e mai avvenuto sinora. Per questo merita ritornare sul problema della Asti-Cuneo.

Per completare gli ultimi 10 chilometri dell’Asti-Cuneo occorrono 350 milioni di euro che il gruppo Gavio aveva concordato di finanziare con l’ex ministro dei Trasporti Graziano Delrio attraverso proventi dei pedaggi di un’altra autostrada del gruppo, la Satap (Torino-Milano), in cambio della proroga di 4 anni della concessione di quel ricco tronco. Il ministro dei Trasporti Danilo Toninelli ha confermato l’accordo per il finanziamento incrociato tra società del gruppo Gavio ma, invece della proroga della concessione, ha previsto di riconoscere alla Satap un indennizzo di subentro che salirebbe a circa 800 milioni nel 2026, dovutole da un eventuale subentrante al termine della concessione.

Se lo Stato non ha oggi i fondi per completare l’ Asti-Cuneo è assai improbabile che potrà o vorrà sborsare 800 milioni nel 2026 per riprendersi l’autostrada e gestirla in house. Lo Stato sarà costretto allora a rimettere a gara una nuova concessione e ben difficilmente si presenterà un concorrente disposto a versare 800 milioni di euro per subentrare al gruppo Gavio che si assicura così la possibilità di perpetuare la “sua” concessione per la ricca Torino-Milano. La proroga non c’è nella forma ma nella sostanza.

L’accordo per il completamento della Asti-Cuneo appare però anomalo e assai squilibrato a favore del concessionario. Si pongono cinque domande.

1) Visto che i soci della Asti-Cuneo (35% Anas e 65% gruppo Gavio) hanno sottoscritto un capitale di 200 milioni di euro ma ad oggi ne hanno versati solo 50, perché lo Stato non impone che per finanziare i lavori residui vengano richiamati già da subito i 150 milioni di euro sottoscritti e non ancora versati dai soci? Già così si coprirebbe metà di quanto occorre per completare l’opera.

2) Visto che lo Stato ha già investito in questa autostrada circa 700 milioni con contributo a fondo perduto e investimenti effettuati dall’Anas, mentre il gruppo Gavio a oggi ha versato come capitale solo 33 milioni (oltre a dei prestiti ben remunerati), perché mai il concessionario privato dovrebbe mantenere una quota di controllo ed incassare il 65% degli utili per i 25 anni della concessione?

3) Chi paga i 350 milioni del cross financing, cioé la possibilità di collegare la realizzazione di una infrastruttura al flusso di cassa derivante dalla gestione di una tratta diversa? Il ministro Toninelli, in una lettera al Fatto, ha sottolineato che il completamento dell’opera avverrebbe senza oneri per le casse pubbliche, ma questo è solo apparentemente vero. A pagare saranno, infatti, gli ignari utenti (i “pedaggiati”) della Torino-Milano che dovranno continuare a versare salati pedaggi per molti anni ancora dopo il completo ammortamento di quella autostrada. In sostanza è come se lo Stato introducesse un’imposta futura a carico dei pedaggiati della Torino Milano, imposta che verrà riscossa dal concessionario e il cui gettito viene anticipato dal gruppo Gavio, facendoci anche un cospicuo lucro finanziario. I 350 milioni che arriverebbero dalla Satap sono, quindi, nella sostanza soldi pubblici, anche se non vengono registrati come uscite dal bilancio dello Stato. Questi fondi, sommati a quanto già speso dallo Stato, portano l’onere complessivo pagato dalla collettività per questa autostrada a oltre un miliardo: eppure il 65% appartiene a un concessionario che ha investito sinora 33 milioni. Si rinnova il solito miracolo: le autostrade si costruiscono con soldi pubblici, ma controllo e profitti vanno a privati che investono solo briciole.

4) Perché il costo del completamento della Asti Cuneo dovrebbe essere interamente pagato dai “pedaggiati” della Torino-Milano e non distribuito su tutta la rete nazionale? Sembra un affare trattato in famiglia dal gruppo Gavio. Ma il fatto che le due autostrade appartengano allo stesso gruppo non è certo una buona giustificazione per addossare l’onere ai soli “pedaggiati” della Torino-Milano.

5) Perché per finanziare i 350 milioni che occorrono non si segue la soluzione più lineare e logica: quella di richiamare i 150 milioni già sottoscritti ma non ancora versati dai soci e poi deliberare un aumento di capitale per quanto occorre? Mantenendo un prudente rapporto tra debiti e capitale potrebbe bastare un aumento di capitale di circa 100 milioni. È ben vero che una delibera di aumento di capitale non può farsi senza l’accordo dell’azionista di controllo, ma questo aveva presentato all’origine un progetto rivelatosi poi inattuabile per costi maggiori e traffico inferiore alle previsioni: non sarebbe ben giustificato allora revocare la concessione, se il socio privato continuasse a rinviare il versamento del capitale già sottoscritto e si rifiutasse di deliberare l’aumento necessario al completamento dell’opera?

Se il gruppo Gavio volesse mantenere il controllo (65%) dovrebbe sborsare circa la metà di quanto occorre per completare l’opera; se invece non sottoscrivesse l’aumento di capitale questo potrebbe essere coperto dall’Anas. Un versamento di 100 milioni non parrebbe un onere eccessivo per uno Stato che dalle autostrade incassa ogni anno 1.500 milioni di Iva e 650 milioni di canoni di concessione, oltre alle imposte sugli utili dei concessionari.

Versando 100 milioni oggi si eviterebbe di porre sulle spalle dei “pedaggiati” della Torino-Milano un onere quattro volte maggiore e, soprattutto, si lascerebbe aperta la possibilità che, alla scadenza della concessione della Torino-Milano, lo Stato possa riprendersi la gestione di questa autostrada, inserendola nella rete nazionale e riducendo se non abolendo del tutto il pedaggio.

Per anni, dopo la crisi del 2011, i complottisti finanziari hanno costruito il mito delle agenzie di rating capaci di decidere il destino di interi Stati, ribaltando governi e condannando alla recessione o, peggio, al default. Bene: questi allarmisti possono rifiatare, le agenzie di rating non contano più nulla, almeno per l’Italia. Guardate lo spread, ieri era a 255 punti, circa dove lo avevamo lasciato prima della decisione (relativamente positiva) di Standard & Poor’s di confermare il suo rating BBB per l’Italia, arrivato venerdì. Ormai i giudizi delle agenzie non spostano più nulla, in positivo come in negativo. E questo non soltanto per l’evidente tendenza dei valutatori a certificare situazioni di fatto già scontate dai mercati (è comodo affermare quello che già tutti pensano). Sta succedendo qualcos’altro. L’Italia paga un debito molto più alto di quello che il suo rating lascerebbe pensare: i nostri titoli di Stato costano oltre l’1,5 per cento in più che quelli di Spagna e Portogallo, che pure sono in classi di rischio analoghe. Come è possibile? L’Italia ha un debito pubblico più alto, vero. Ma, dice Lorenzo Codogno di LC Macro Advisors, anche il peso del debito sul Pil non spiega tutto: sulla base del suo rapporto debito/Pil al 44,2 per cento, molto basso, la Slovacchia dovrebbe avere un rating AAA, invece è soltanto A+. La Francia, che ha un debito al 97,2 per cento del Pil, dovrebbe invece avere un BB+ invece che un AA. Una possibile spiegazione, suggerisce Codogno, è che i mercati distinguano soprattutto tra centro e periferia: alcuni Paesi sono giudicati meno rischiosi, a parità di debito, perché sono economie più fragili e possono andare in crisi anche con bassi livelli di indebitamento. Oppure, semplicemente, la Francia è la Francia e quindi la si guarda con più indulgenza per il peso politico che ha. Qualunque sia la spiegazione, è ormai chiaro che guardare al rating di uno Stato non è più sufficiente per stabilire quanto le sue finanze sono a rischio. Chi denunciava lo strapotere delle agenzie di valutazione, ora potrà capire com’è muoversi nel mare dei mercati senza bussola.

Una intrusione informatica per la quale Unicredit potrebbe pagare da un minimo di 200mila euro a un milione in caso fossero applicate tutte le aggravanti, per la violazione dei dati dei suoi clienti. Si deciderà nei prossimi 60 giorni, ma i numeri descritti nell’istruttoria del Garante della Privacy sono impressionanti: circa 760mila clienti coinvolti, assenza dei sistemi di sicurezza e, dopo poco, un tentativo di accesso (con tanto di identificazione di circa 7mila password) ai conti online. Una bella grana, insomma, dopo la notizia (di qualche settimana fa) del dipendente di Unicredit in Cina che avrebbe sottratto circa 15 milioni di dollari ai clienti usando password condivise e sfruttando le lacune della sicurezza.

La prima comunicazione del problema è del 25 luglio 2017: Unicredit lo denuncia sia al Garante della Privacy che alla Procura di Milano (che a maggio 2018 chiede la proroga delle indagini preliminari). Qualcuno ha avuto accesso ai dati personali dei clienti. Un data breach che all’inizio sembra riguardare circa 400mila utenti. In seguito si scopre che sono almeno 762mila. L’accesso però non arriva dalla banca bensì dalle credenziali di alcuni dipendenti di un partner commerciale esterno, la Penta Finanziamenti Italia srl., attraverso un’applicazione che si chiama “Speedy Arena” utilizzata per la gestione delle richieste di finanziamento. Gli accessi abusivi, secondo la ricostruzione, ci sarebbero stati in due momenti tra il 28 aprile 2016 e il 13 luglio 2017.

Nessuna password sottratta ma dati anagrafici e di contatto, professione, livello di studio, estremi dei documenti di identità, datore di lavoro, salario, importo del prestito, stato del pagamento, “approssimazione della classificazione creditizia del cliente” e identificativo Iban. Durante i primi rilievi, la Penta Finanziamenti dichiara che poteva accedere solo alle informazioni sulle pratiche che le erano affidate, quelle sulla cessione del quinto dello stipendio (servizio per cui Unicredit l’aveva ‘assoldata’). Ci si accorge, però, che c’è una discrepanza tra le violazioni dichiarate da Unicredit e l’attività della Penta che, sollecitata, ammette di aver aperto poco più di 300 pratiche. Il garante chiede quindi ulteriori chiarimenti a Unicredit. Si scopre che il numero complessivo riguarda 761.150 unità tra aziende e persone fisiche e che, attraverso l’applicativo Arena, Penta Finanziamenti poteva accedere anche a pratiche che non la riguardavano. Con il semplice identificativo della pratica (non criptato) si poteva accedere alle informazioni del database sottostante che non verificava se la richiesta di accesso ai dati di una pratica fosse generata da un utente autorizzato. Inoltre, riferisce Unicredit, la società esterna non era dotata “dei più elementari dispositivi informatici necessari a garantire la riservatezza dei dati gestiti (per esempio non c’era separazione tra la rete wi-fi utilizzata dal personale interno e quella messa a disposizione degli ospiti)”. Una vulnerabilità. “Così – si legge nel dispositivo – sfruttando alcune ‘debolezze della sicurezza’ dell’applicativo, soggetti ignoti, attraverso le credenziali assegnate al personale Penta, hanno avuto accesso ai dati personali presenti in pratiche di finanziamento (sia di “cessione del quinto dello stipendio” che di “prestito a consumo”) che non rientravano nell’ambito del mandato di Penta”.

Non ci sono state, per il garante, sufficienti misure di sicurezza né di tracciabilità di eventuali abusi: carenze nel sistema di log, malfunzionamenti, la non conservazione dei dati e delle “tracce” nei database per i 24 mesi previsti e quindi l’impossibilità di ricostruire nel dettaglio quanto accaduto. Non c’era poi nessun alert in grado di rilevare e segnalare eventuali anomalie o accessi sospetti, né alcun audit esterno: “Nel corso dell’accertamento ispettivo la società ha dichiarato che, generalmente, non vengono effettuate attività di audit specifiche per verificare il corretto tracciamento delle operazioni di inquiry sugli applicativi ” e che tuttavia “periodicamente vengono effettuati audit volti a valutare il processo e il sistema di gestione dei log” precisando “che, nel caso in esame, sarebbe stato comunque difficile rilevare il non corretto funzionamento della componente di tracciamento dell’applicativo in quanto lo stesso produceva comunque i log di tracciamento delle operazioni svolte dagli utenti interni”. Ovviamente ora tutto sembra essere stato sistemato. “Le verifiche condotte dall’Autorità (analisi della documentazione trasmessa e attività in loco) hanno consentito di accertare come la società, a seguito del data breach in questione, abbia adottato le necessarie misure tecniche e organizzative atte a evitare il ripetersi di accadimenti similari”. Una scelta obbligatoria, per evitare ulteriori sanzioni.

Anche perché questa misura va letta in parallelo a un’altra: il primo ottobre, Unicredit aveva subito un tentativo di data breach per forzare il sistema di online banking, In quel caso le informazioni riguardavano il codice identificativo per l’accesso ai servizi della banca multicanale di 731.519 dei suoi correntisti. Unicredit parlò di un tentativo “sventato” mentre però bloccava 6.859 conti per i quali era stata individuata la password. Tanto che fu consigliato di cambiare la password e i codici “poiché spesso i dati anagrafici vengono utilizzati per costruire codici facilmente memorizzabili” si leggeva nelle missive inviate ai clienti.