AML / KYC
Adeguata verifica della clientela: dal KYC al rischio reale
Identificare un cliente non significa conoscerlo. Il nuovo quadro antiriciclaggio europeo sta trasformando l'adeguata verifica della clientela da un processo documentale a un esercizio strutturato di comprensione del rischio, della titolarità effettiva e del contesto operativo.
Per molti anni l'adeguata verifica della clientela è stata trattata, nella pratica, come una procedura di onboarding: acquisire un documento, verificare un'identità, raccogliere alcune informazioni e archiviare il fascicolo.
Questo approccio è sempre meno sostenibile.
Il cliente può essere una persona fisica, una società con una catena partecipativa semplice oppure un'entità inserita in una struttura societaria transnazionale. Può operare in un settore regolamentato o in un mercato ad alta esposizione al rischio. Può avere una reputazione apparentemente neutra e, allo stesso tempo, essere collegato a soggetti, giurisdizioni o dinamiche che modificano radicalmente il profilo di rischio.
Il problema non è più soltanto sapere chi è il cliente. È comprendere chi controlla realmente il rapporto, perché il rapporto esiste, quale rischio presenta e se le informazioni disponibili continuano a essere coerenti nel tempo.
La distinzione fondamentale. KYC identifica il cliente. L'adeguata verifica della clientela deve consentire al soggetto obbligato di comprendere il cliente, il titolare effettivo, la natura del rapporto e il relativo rischio AML/CFT.
Il quadro normativo: l'Italia oggi e l'Europa di domani
In Italia, il riferimento centrale è il Decreto Legislativo 21 novembre 2007, n. 231, che disciplina il sistema di prevenzione dell'utilizzo del sistema economico e finanziario a fini di riciclaggio e finanziamento del terrorismo.
Gli obblighi di adeguata verifica sono disciplinati, in particolare, dagli articoli 17 e seguenti del decreto.
Per gli intermediari vigilati, il quadro è completato dalle disposizioni attuative della Banca d'Italia in materia di adeguata verifica della clientela e di controlli antiriciclaggio.
Il sistema italiano si fonda già su un principio essenziale: l'approccio basato sul rischio.
Ma il quadro europeo è già entrato nella fase di transizione verso un modello AML più armonizzato e maggiormente orientato alla valutazione documentata del rischio.
Il nuovo pacchetto AML dell'Unione Europea introduce un regolamento direttamente applicabile al settore privato, il Regolamento (UE) 2024/1624, noto come Anti-Money Laundering Regulation (AMLR).
Il regolamento si applicherà, in via generale, dal 10 luglio 2027. Nel frattempo, l'Autorità europea AMLA sta già sviluppando e consultando gli strumenti attuativi destinati a definire più concretamente la valutazione del rischio e il controllo costante dei rapporti.
Il punto strategico è la transizione. Le organizzazioni non dovrebbero aspettare il 10 luglio 2027 per iniziare a ripensare i propri processi. La nuova disciplina rende evidente una direzione già in atto: meno compliance documentale e maggiore capacità di comprendere il rischio reale.
D.Lgs. 231/2007
Il quadro nazionale di riferimento per la prevenzione del riciclaggio e del finanziamento del terrorismo.
Banca d'Italia
Disposizioni attuative e presidi di adeguata verifica per i soggetti sottoposti alla vigilanza di competenza.
AMLR
Il Regolamento (UE) 2024/1624 introduce requisiti armonizzati direttamente applicabili a livello europeo dal 10 luglio 2027.
AMLA
La nuova Autorità europea per la lotta al riciclaggio e al finanziamento del terrorismo rafforzerà il coordinamento e la convergenza della supervisione AML.
Cosa significa davvero adeguata verifica della clientela
L'adeguata verifica non è un singolo controllo.
È un insieme coordinato di attività che, nel quadro normativo attuale e nella disciplina europea futura, ruota attorno a una domanda: il soggetto obbligato conosce realmente il proprio cliente e il rischio associato al rapporto?
Identificare il cliente
Il cliente deve essere identificato secondo le modalità previste dalla normativa applicabile. Quando il cliente agisce tramite un'altra persona, occorre identificare anche il soggetto che opera in suo nome o per suo conto.
Verificare l'identità
Identificare non significa semplicemente trascrivere un nome. L'identità deve essere verificata attraverso documenti, dati o informazioni affidabili e indipendenti, secondo il livello di rischio applicabile.
Individuare il titolare effettivo
Il soggetto obbligato deve comprendere chi possiede o controlla effettivamente il cliente e, nei casi previsti, adottare misure ragionevoli per verificarne l'identità.
Comprendere lo scopo del rapporto
Occorre valutare e, quando necessario, acquisire informazioni sullo scopo e sulla natura prevista del rapporto d'affari o dell'operazione.
Valutare il rischio
Il profilo di rischio deve essere costruito considerando il cliente, il titolare effettivo, il prodotto o servizio, il canale di distribuzione e la dimensione geografica dell'attività.
Controllare il rapporto nel tempo
Il rapporto deve essere sottoposto a controllo costante secondo un'intensità coerente con il rischio. Le informazioni devono rimanere aggiornate e le operazioni devono essere coerenti con la conoscenza del cliente e con il suo profilo.
Il punto che viene spesso perso. L'adeguata verifica è un processo di conoscenza. La raccolta di documenti è solo una delle sue componenti.
Il vero centro: il titolare effettivo
Nelle strutture societarie, la domanda più importante non è necessariamente “chi è l'amministratore?”
La domanda è: chi è la persona fisica che, in ultima istanza, possiede o controlla realmente il cliente?
Il concetto di titolare effettivo è uno dei punti centrali dell'adeguata verifica.
Una società può essere formalmente trasparente e, allo stesso tempo, presentare una struttura di controllo difficile da comprendere.
Partecipazioni indirette, catene societarie, veicoli intermedi, controllo esercitato attraverso diritti o accordi e strutture articolate possono rendere insufficiente una lettura puramente formale del registro societario.
Il Registro dei titolari effettivi è uno strumento di supporto, non una fonte primaria sufficiente per la verifica. La consultazione del registro deve essere confrontata con le informazioni acquisite attraverso il processo di adeguata verifica e con le altre fonti affidabili pertinenti al rischio.
Il nuovo quadro europeo rafforza questa logica.
La disciplina europea richiede che il soggetto obbligato non si limiti a “consultare un database”, ma comprenda la struttura proprietaria e di controllo e sia ragionevolmente certo di sapere chi sia il titolare effettivo.
Il nuovo AMLR richiede al soggetto obbligato di adottare misure ragionevoli per identificare e verificare il titolare effettivo. La consultazione dei registri centrali non sostituisce, di per sé, il processo di verifica.
La titolarità effettiva è quindi un problema di comprensione della struttura, non di semplice ricerca di un nome.
Il rischio decide l'intensità della verifica
L'approccio basato sul rischio è il principio che tiene insieme l'intero sistema.
Non tutti i clienti presentano lo stesso rischio. Non tutti i rapporti hanno la stessa complessità. Non tutte le operazioni richiedono lo stesso livello di approfondimento.
Il rischio deve essere valutato attraverso una combinazione di fattori.
Cliente
Natura del cliente, attività professionale o imprenditoriale, reputazione, comportamento, struttura proprietaria e giurisdizioni collegate.
Prodotto e servizio
Finalità, durata, valore, complessità, trasparenza e caratteristiche del rapporto o dell'operazione.
Canale
Modalità di instaurazione e gestione del rapporto, inclusa la natura non-face-to-face e l'eventuale presenza di intermediari o introducer.
Geografia
Paesi di residenza, sede, attività, collegamenti personali e altre esposizioni geografiche rilevanti.
Il nuovo quadro europeo rende esplicito un punto che spesso viene frainteso: l'approccio basato sul rischio non è una facoltà di ridurre i controlli in modo arbitrario.
È un metodo di decisione basato su evidenze.
Il soggetto obbligato deve essere in grado di spiegare perché ha applicato un certo livello di verifica e perché quel livello è proporzionato al rischio individuato.
Risk-based approach. Non significa “controllare meno”. Significa concentrare l'intensità dei controlli dove il rischio è maggiore e poterlo dimostrare.
Adeguata verifica semplificata e rafforzata
Il sistema non prevede un unico livello di verifica.
La logica è proporzionale: a un rischio più basso possono corrispondere misure semplificate; a un rischio più elevato devono corrispondere misure rafforzate.
Quando il rischio è più basso
Le misure semplificate possono essere applicate quando la valutazione del rischio evidenzia un livello basso e le condizioni che giustificano tale valutazione continuano a sussistere.
La semplificazione non è automatica e non è permanente.
Il soggetto obbligato deve verificare periodicamente che il basso rischio sia ancora presente.
Quando il rischio è più elevato
In presenza di fattori di rischio elevato, devono essere applicate misure rafforzate proporzionate al rischio individuato.
Il nuovo quadro europeo individua, tra le possibili misure, l'acquisizione di informazioni supplementari sul cliente e sui titolari effettivi, sullo scopo del rapporto e, nei casi rilevanti, sull'origine dei fondi e del patrimonio.
La verifica rafforzata non è una “ricerca infinita”. È un insieme di misure proporzionate a uno specifico rischio e deve produrre informazioni utili a comprendere e mitigare quel rischio.
Il punto operativo è semplice: non si può applicare una checklist identica a ogni cliente e chiamarla risk-based approach.
Il rapporto non finisce all'onboarding
Una delle distinzioni più importanti è quella tra customer onboarding e ongoing monitoring.
Il primo momento consente di costruire la conoscenza iniziale del cliente.
Il controllo nel tempo verifica se quella conoscenza rimane coerente.
Il cliente può cambiare proprietà. Può modificare la propria attività. Può entrare in nuovi mercati. Può essere collegato a nuove persone o entità. Può iniziare a operare in modo diverso rispetto al profilo atteso.
Per questo il nuovo quadro europeo collega il controllo costante alla verifica della coerenza delle operazioni con la conoscenza del cliente, della sua attività e del relativo profilo di rischio.
Il problema dell'informazione obsoleta. Un cliente correttamente verificato nel 2024 può presentare un profilo significativamente diverso nel 2026. La data dell'ultima verifica non è, da sola, una misura del rischio.
Il problema non è quindi semplicemente “aggiornare il fascicolo”.
Il problema è capire quando una nuova informazione cambia il profilo di rischio e richiede una rivalutazione.
In altre parole, il controllo costante non dovrebbe essere concepito come una semplice ripetizione periodica della verifica iniziale. È la capacità di intercettare informazioni rilevanti, collegarle al profilo esistente e determinare se richiedono una nuova decisione.
Il nuovo quadro AML europeo cambia il modello
La novità più importante non è una singola nuova checklist.
È la progressiva costruzione di un sistema europeo più armonizzato.
Il Regolamento (UE) 2024/1624 stabilisce requisiti direttamente applicabili e disciplina in modo più uniforme gli obblighi di adeguata verifica.
Il regolamento prevede, tra l'altro, l'identificazione e verifica del cliente e del titolare effettivo, la comprensione dello scopo e della natura del rapporto, la valutazione dell'attività del cliente, il controllo costante e specifici presidi relativi alle persone politicamente esposte.
Ma il cambiamento più rilevante, dal punto di vista organizzativo, è la richiesta implicita di una maggiore capacità di documentare il ragionamento sul rischio.
L'organizzazione deve poter rispondere a domande come:
- perché questo cliente è stato classificato in questo modo?
- quali informazioni hanno determinato la valutazione?
- come è stato individuato il titolare effettivo?
- quali elementi sono stati verificati?
- quando una nuova informazione deve modificare il profilo di rischio?
- come è stata documentata la decisione?
La compliance AML sta diventando sempre più una disciplina di evidenza. Non è sufficiente aver eseguito un controllo. Occorre poter ricostruire informazioni, fonti, decisioni e motivazioni alla base del controllo.
Dal KYC all'intelligence: il problema del contesto
È qui che il tema dell'adeguata verifica incontra la moderna intelligence informativa.
Un documento identifica una persona.
Un registro societario può mostrare una partecipazione.
Una fonte pubblica può evidenziare un evento reputazionale.
Una lista sanzionatoria può produrre un match.
Nessuno di questi elementi, isolatamente, è necessariamente il rischio.
Il rischio emerge spesso dalla relazione tra elementi diversi.
Una struttura societaria complessa. Un cambiamento improvviso nella proprietà. Una giurisdizione ad alta esposizione. Una relazione con una persona politicamente esposta. Un'attività incoerente con il profilo dichiarato. Un segnale reputazionale corroborato da più fonti indipendenti.
Il problema operativo è quindi costruire contesto.
La differenza tra dato e intelligence. Il dato dice che qualcosa esiste. L'intelligence aiuta a comprendere che cosa significa, quanto è rilevante e come modifica la valutazione del rischio.
Per questo un sistema moderno di due diligence dovrebbe poter conservare non solo l'output finale, ma anche la provenienza delle informazioni, il momento dell'osservazione e la logica con cui elementi diversi sono stati correlati.
La compliance senza contesto produce fascicoli. La compliance supportata dall'intelligence produce decisioni più difendibili.
Un test operativo in 8 domande
Un'organizzazione dovrebbe essere in grado di rispondere a queste otto domande prima di considerare maturo il proprio processo di adeguata verifica.
Sappiamo chi è realmente il cliente?
L'identità è stata verificata attraverso fonti e modalità coerenti con il rischio?
Sappiamo chi controlla realmente il cliente?
Il titolare effettivo è stato individuato attraverso una comprensione effettiva della struttura proprietaria e di controllo?
Comprendiamo perché esiste il rapporto?
Lo scopo e la natura prevista del rapporto sono coerenti con le informazioni acquisite?
Il profilo di rischio è basato su evidenze?
È possibile spiegare quali elementi hanno determinato la classificazione?
La verifica è proporzionata al rischio?
Le misure applicate sono coerenti con il profilo individuato o sono il risultato di una checklist standardizzata?
Sappiamo quando il profilo è cambiato?
Il processo identifica nuove informazioni che possono modificare il rischio associato al cliente?
Possiamo ricostruire la provenienza delle informazioni?
È possibile comprendere da dove proviene ogni elemento rilevante e quando è stato osservato?
Possiamo spiegare la decisione?
Un revisore, un'autorità o un responsabile compliance potrebbe comprendere il ragionamento che ha portato alla valutazione finale?
Dal KYC alla defensible intelligence
L'adeguata verifica non è più una gara a raccogliere documenti. È la capacità di costruire una conoscenza verificabile, proporzionata al rischio e difendibile nel tempo.
Avvia un'analisi → Approfondisci la due diligence ↗
OMEY — intelligence per un mondo in cui i dati sono abbondanti, ma il contesto è scarso.
Fonti e riferimenti
D.Lgs. 231/2007
Decreto legislativo 21 novembre 2007, n. 231, con particolare riferimento agli obblighi di adeguata verifica della clientela e alla titolarità effettiva.
Banca d'Italia
Disposizioni in materia di adeguata verifica della clientela per il contrasto del riciclaggio e del finanziamento del terrorismo.
Regolamento (UE) 2024/1624
Il nuovo Anti-Money Laundering Regulation europeo, direttamente applicabile dal 10 luglio 2027.
AMLA
La nuova Autorità europea per la lotta al riciclaggio e al finanziamento del terrorismo e il processo di armonizzazione del quadro AML europeo.
Questo articolo ha finalità informativa e metodologica e non costituisce parere legale o consulenza in materia antiriciclaggio. Gli obblighi applicabili dipendono dalla qualifica del soggetto obbligato, dal settore di attività, dal rapporto instaurato e dal quadro normativo vigente e applicabile al caso concreto.
← Torna alle risorse