Scadenza AML · Antiriciclaggio e conoscenza del cliente (KYC)

Il dispositivo di lotta al riciclaggio di capitali e al finanziamento del terrorismo si basa su una catena di obblighi precisi: un approccio basato sul rischio documentato, una classificazione del rischio aggiornata, misure di adeguata verifica all’avvio del rapporto e per tutta la sua durata, l’identificazione dei titolari effettivi, il filtraggio delle sanzioni e delle persone politicamente esposte, il monitoraggio delle operazioni, la segnalazione di operazioni sospette all’unità di informazione finanziaria, la conservazione della documentazione e la formazione dei collaboratori. Il pacchetto europeo del 2024 ne fa una base direttamente applicabile, con un regolamento unico e un’autorità di supervisione europea.

In pratica, questo dispositivo è difficile da presidiare. Gli obblighi sono ripartiti tra compliance, business, operations e informatica, e nessuno dispone di una visione consolidata del livello di controllo. La classificazione del rischio viene realmente utilizzata per modulare l’adeguata verifica, o resta un documento annuale? I fascicoli clienti più datati vengono aggiornati secondo una frequenza rispettata, o solo in occasione di un alert? Gli alert generati dal monitoraggio delle operazioni vengono trattati entro un termine controllato, con tracciabilità della decisione? Quando sono coinvolte più entità e più paesi, l’eterogeneità diventa la regola.

Il regolamento (UE) 2024/1624 armonizza aspetti finora lasciati alle trasposizioni nazionali: soglie, misure di adeguata verifica rafforzata, perimetro dei soggetti obbligati, accesso ai registri dei titolari effettivi. L’AMLA, con sede a Francoforte, eserciterà una supervisione diretta su alcuni operatori e una supervisione indiretta sugli altri. Vale la pena chiarire un equivoco frequente: il KYC non è il dispositivo AML. La conoscenza del cliente ne costituisce la base documentale, ma il monitoraggio delle operazioni, il filtraggio, la segnalazione di operazioni sospette e la governance ne formano l’altra metà, spesso la meno strutturata.

L’audit di conformità si conclude con uno scostamento o una conformità: la procedura esiste, è documentata, è applicata. La diagnosi di maturità pone una domanda diversa: a quale livello di controllo si colloca ciascuna pratica, e quale azione precisa fa passare al livello successivo. Un controllo interno che verifica l’esistenza di una classificazione del rischio non dice se essa guida effettivamente l’intensità dell’adeguata verifica. La diagnosi lo dice, e quantifica lo sforzo necessario per arrivarci.

In Datamensio, il quadro di riferimento è pronto all’uso e adattabile. L’IA adatta gli ambiti, le domande e i livelli al vostro settore (banca, assicurazione, pagamenti, asset digitali, soggetti non finanziari obbligati), oppure costruisce una declinazione a partire dalle vostre procedure e dalla vostra classificazione del rischio esistente.