Conformità: AML, KYC e sanzioni

La compliance ai reati finanziari è l’area in cui la maggior parte delle nuove banche incontra i primi gravi riscontri di vigilanza ed è anche l’area che le banche corrispondenti esaminano più da vicino prima di aprire conti. Una banca con un solido piano patrimoniale ma controlli deboli contro il riciclaggio di denaro avrà difficoltà ad ottenere una licenza e, una volta ottenuta la licenza, a collegarsi al sistema di pagamenti internazionale.

Lo standard globale: FATF

Il Gruppo di Azione Finanziaria stabilisce lo standard internazionale nelle sue 40 raccomandazioni. Testo corrente, adottata nel 2012, è stata aggiornata per l’ultima volta nell’ottobre del 2025. FATF L'UE e i suoi organismi regionali valutano ciascun paese attraverso valutazioni reciproche.

Le Raccomandazioni più rilevanti per le banche sono elencate di seguito.

Raccomandazione	Oggetto
R.1	Valutazione dei rischi e applicazione di un approccio basato sul rischio
R.6 e R.7	Sanzioni finanziarie mirate contro il terrorismo e la proliferazione
R.10	Due diligence del cliente
R.11	Tenuta dei registri
R.12	Persone politicamente esposte
R.13	Il corrispondente bancario
R.15	Nuove tecnologie, comprese le risorse virtuali
R.16	Trasparenza dei pagamenti, precedentemente bonifici bancari
Da R.17 a R.19	Affidamento a terzi, controlli interni, paesi ad alto rischio
R.20 e R.21	Segnalazione e segnalazione di transazioni sospette
R.24 e R.25	Beneficiario effettivo di persone giuridiche e istituti giuridici

Il fondamento è l'approccio basato sul rischio in R.1. Le misure dovrebbero essere proporzionate ai rischi individuati, il che significa un maggiore controllo per i clienti e i prodotti ad alto rischio e misure semplificate laddove il rischio sia dimostrabilmente inferiore.

Conosci il tuo cliente e la sua due diligence

Raccomandazione 10 richiede la CDD all’atto dell’instaurazione di un rapporto d’affari, per transazioni occasionali superiori a 15.000 USD/EUR, in caso di sospetto di riciclaggio o finanziamento del terrorismo e quando l’istituto dubita dei dati identificativi precedentemente ottenuti;

Le misure CDD sono:

1. Identificazione del cliente e verifica dell'identità mediante documenti, dati o informazioni di fonte affidabile e indipendente.
2. Identificazione del titolare effettivo e adozione di misure ragionevoli per verificare l'identità, compresa la comprensione della proprietà e della struttura di controllo delle persone giuridiche e degli istituti.
3. Comprendere e, se del caso, ottenere informazioni sullo scopo e sulla natura prevista della relazione.
4. Effettuare una continua due diligence e un controllo delle operazioni per garantire che siano coerenti con la conoscenza del cliente da parte dell'istituto, compresa, se necessario, l'origine dei fondi.

Se un istituto non è in grado di completare la CDD, non dovrebbe aprire il conto o dovrebbe porre fine al rapporto e dovrebbe prendere in considerazione la possibilità di presentare una segnalazione di transazione sospetta. R.11, le registrazioni delle transazioni e dei CDD devono essere conservate per almeno cinque anni.

Due diligence migliorata

Le due diligence rafforzate (EDD) si applicano nei casi in cui il rischio è maggiore, come nel caso di strutture proprietarie complesse, attività ad alta intensità di liquidità, clienti collegati a paesi a rischio più elevato, private banking e relazioni non faccia a faccia senza una verifica rigorosa. Le misure EDD includono maggiori prove sulla fonte dei fondi e della ricchezza, l’approvazione del senior management e revisioni più frequenti.

Proprietario effettivo

Il titolare effettivo è la persona fisica che possiede o controlla in ultima istanza un cliente. R.24 richiede ai paesi di garantire che le informazioni adeguate, accurate e aggiornate sulla titolarità effettiva siano a disposizione delle autorità, attraverso un registro o un meccanismo alternativo.

L'UE stabilisce una soglia comune. Regolamento antiriciclaggioPer partecipazione di proprietà si intende la proprietà diretta o indiretta del 25% o più delle azioni, dei diritti di voto o di altri interessi di proprietà in un'entità societaria.Il controllo attraverso altri mezzi può anche rendere una persona un beneficiario effettivo e una soglia del 25% non elimina la necessità di comprendere l'intera struttura.

Persone politicamente esposte

Un PEP è una persona a cui è stata affidata una funzione pubblica di rilievo, come un capo di stato, un politico di alto livello, un giudice di alto livello o un funzionario di alto livello di un'impresa di proprietà dello Stato.

Per i PEP esteri, R.12 impone agli enti di:

1. Avere sistemi di gestione del rischio per determinare se un cliente o il titolare effettivo è un PEP.
2. Ottenere l'approvazione del senior management per stabilire o continuare la relazione.
3. Prendere misure ragionevoli per stabilire la fonte di ricchezza e la fonte dei fondi.
4. Condurre un monitoraggio continuo migliorato.

Per i PEP nazionali e le persone con funzioni di rilievo presso organizzazioni internazionali, queste misure si applicano laddove il rapporto è a rischio più elevato.

Screening delle sanzioni

Le sanzioni sono divieti legali, non giudizi di rischio. R.6, i paesi devono congelare “senza indugio” i fondi delle persone designate dal Consiglio di Sicurezza dell’ONU per il terrorismo, e la R.7 applica la stessa logica al finanziamento della proliferazione.

Le banche applicano anche le sanzioni autonome delle giurisdizioni in cui operano, nell’UE si tratta di regolamenti del Consiglio. Le banche che effettuano pagamenti in altre valute devono tener conto anche dei regimi sanzionatori applicati dalle loro banche corrispondenti, perché un pagamento che viola tali regimi verrà bloccato nella catena.

Un programma di sanzioni copre:

1. Screening di clienti, beneficiari effettivi e parti collegate all'onboarding e ogni volta che le liste cambiano.
2. Controllo dei pagamenti, inclusi nomi di parti, banche, navi e località, in tempo reale prima dell'esecuzione.
3. Gestire gli avvisi con decisioni documentate, evitando sia il falso comfort che l’eccessivo blocco.
4. Congelamento e segnalazione delle partite all’autorità competente.
5. Controlli contro l'evasione, come la rimozione o l'alterazione delle informazioni di pagamento.

Monitoraggio delle transazioni e segnalazione di attività sospette

Il monitoraggio delle transazioni confronta l’attività del cliente con il profilo atteso e con le tipologie note, solitamente in modo automatizzato, con scenari e soglie sintonizzati sulla base clienti della banca stessa e revisionati da analisti qualificati.

Sotto R.20, un’istituzione che “sospetta o ha ragionevoli motivi di sospettare” che i fondi siano proventi di reato o legati al finanziamento del terrorismo deve segnalare tempestivamente all’unità di intelligence finanziaria (Financial Intelligence Unit, FIU) tali segnalazioni chiamate segnalazioni di transazioni sospette o segnalazioni di attività sospette a seconda della giurisdizione.

La R.21 tutela il personale che segnala in buona fede e proibisce la tipping-off, ovvero la divulgazione al cliente o ad altri del fatto che una segnalazione è stata effettuata: una banca deve quindi gestire con cura il rapporto con il cliente dopo la presentazione della segnalazione, senza rivelare la stessa.

Il pacchetto UE AML e AMLA

L’UE ha adottato un pacchetto nel 2024 che sposta la maggior parte delle regole dalle direttive a un regolamento direttamente applicabile e crea un’autorità dell’UE.

Strumento	Cosa fa	Data chiave
Regolamento (UE) 2024/1624 (AMLR)	Codice unico per i soggetti obbligati: CDD, beneficiario effettivo, PEP, reporting, un limite a livello UE di 10.000 euro sui pagamenti in contanti da parte dei commercianti di beni e servizi	Si applica dal 10 luglio 2027, con una data successiva per determinate entità
Directive (EU) 2024/1640 (AMLD6)	Autorità nazionali di vigilanza, FIU, registri dei beneficiari effettivi, registri dei conti bancari	Trasposizione generale entro il 10 luglio 2027, con date anticipate per alcuni articoli
Regolamento (UE) 2024/1620 (AMLA)	Istituisce l'Autorità per la lotta al riciclaggio di denaro, con sede a Francoforte sul Meno	Si applica dal 1° luglio 2025, con alcuni articoli prima

AMLA Il regolamento prevede che il primo processo di selezione inizi entro il 1° luglio 2027 e stabilisce che la vigilanza diretta degli enti selezionati dovrebbe iniziare nel 2028. Se più di 40 enti si qualificano nella prima fase, l’Autorità europea per la sicurezza delle reti e dell’informazione (ENISA) sarà responsabile della supervisione diretta di un numero limitato di enti creditizi e finanziari ad alto rischio operanti in almeno sei Stati membri. AMLA vigila sulle 40 banche che operano nel maggior numero di Stati membri.

Per gli altri istituti, le autorità di vigilanza nazionali rimangono responsabili, con AMLA il coordinamento e la definizione degli standard tecnici.

La regola di viaggio

La regola di viaggio richiede che le informazioni sul pagamento relative all'ordinante e al beneficiario accompagnino un trasferimento attraverso la catena di pagamento.Deriva da FATF R.16.

In the EU, Regulation (EU) 2023/1113 applies from 30 December 2024 to transfers of funds and of crypto-assets. Per i trasferimenti di fondi, le informazioni complete sul pagatore e sul beneficiario sono richieste per importi superiori a EUR 1,000, con requisiti più leggeri per i trasferimenti minori che non sono collegati. Per i crypto-asset, il regolamento applica gli stessi requisiti “indipendentemente dal loro importo e dal fatto che si tratti di trasferimenti nazionali o transfrontalieri”.

Il FATF Nel giugno 2025 la Commissione ha rivisto l’R.16 e la sua nota interpretativa, ribattezzandola trasparenza dei pagamenti. CSSF’s sommario, le modifiche standardizzano le informazioni richieste nei messaggi di pagamento, chiariscono le responsabilità lungo la catena dei pagamenti, aggiungono misure contro frodi, deviazioni ed errori come la verifica del beneficiario e dovrebbero entrare in vigore entro la fine del 2030.

Rischio di paese ed elenchi pubblici

Il FATF Nella sua sessione plenaria di giugno 2026, come riassunto da FIAU di Malta, la Repubblica democratica popolare di Corea, l’Iran e il Myanmar sono rimasti giurisdizioni ad alto rischio soggette a un invito all’azione; Bosnia-Erzegovina e Iraq sono stati aggiunti alla lista delle giurisdizioni sottoposte a monitoraggio rafforzato, mentre Algeria e Namibia sono state rimosse.

L’UE mantiene un proprio elenco di paesi terzi ad alto rischio. Commissione europea - Comunicato stampa Nel dicembre 2025 l’UE ha adottato modifiche che hanno aggiunto la Russia, la Bolivia e le Isole Vergini britanniche con effetto dal 29 gennaio 2026.I soggetti obbligati dell’UE devono applicare una dovuta diligenza rafforzata alle relazioni e alle transazioni che coinvolgono i paesi elencati.

Cosa si aspettano i regolatori da una nuova banca

1. Valutazione del rischio a livello aziendale copre clienti, prodotti, canali e paesi, approvati dal consiglio.
2. Un agente di segnalazione del riciclaggio di denaro Con autorità, risorse e accesso diretto al consiglio.
3. Politiche e procedure scritte che corrispondono ai sistemi di onboarding e monitoraggio effettivi.
4. I sistemi testati per la verifica dell'identità, lo screening e il monitoraggio, con messa a punto documentata.
5. Formazione Per tutto il personale, con formazione specialistica per front office e compliance.
6. Test indipendenti da parte di un audit interno o di un revisore esterno.
7. Coerenza con il piano aziendale. Le autorità di regolamentazione confrontano la struttura AML con i clienti e i paesi target nell'applicazione e sfidano le lacune.

Il prossimo articolo esamina il corrispondente bancario, in cui questi controlli sono testati da altre banche e dalle autorità di vigilanza.