Mantieni vivo il tuo sistema AML/CFT con un’adeguata verifica continua efficace: monitoraggio dei clienti, aggiornamento periodico del KYC, controllo delle operazioni, rilevazione degli alert e documentazione delle evidenze per rispettare la Legge 10/2010 ed essere pronto di fronte al SEPBLAC.
«Rivediamo e aggiorniamo le informazioni sui clienti in base al loro livello di rischio: documentazione, titolare effettivo, PEP, sanzioni e origine dei fondi. Sempre aggiornato, sempre dimostrabile.»
«Progettiamo regole di monitoraggio proporzionate al rischio: soglie, pattern insoliti, alert automatici, indagine e chiusura documentata di ogni caso.»
«Monitoraggio permanente rispetto alle liste di sanzioni internazionali, alle PEP e agli adverse media. Se cambia la situazione di un cliente, lo rileviamo e interveniamo.»
«Ogni revisione, ogni alert, ogni decisione viene documentata con data, responsabile e criterio. Evidenze pronte per l’audit, l’esperto esterno e il SEPBLAC.»
Revisione programmata delle informazioni sui clienti in base al livello di rischio: documenti di identità, titolare effettivo, attività, origine dei fondi e profilo operativo.
Definizione delle regole di monitoraggio: soglie, pattern insoliti, frequenza, importi, paesi di origine/destinazione e coerenza con il profilo dichiarato dal cliente.
Monitoraggio permanente rispetto alle liste di sanzioni internazionali, alle persone politicamente esposte e agli adverse media, con alert automatici in caso di variazioni.
Protocollo di indagine interna: ricezione degli alert, analisi, escalation, decisione (archiviazione, EDD, segnalazione) e chiusura documentata con evidenze.
Applicazione di misure rafforzate quando il rischio lo richiede: indagine approfondita, origine dei fondi e del patrimonio, approvazione della direzione e monitoraggio intensificato.
Registro di ogni attività di adeguata verifica continua: revisioni, alert, decisioni, escalation ed esiti, con data, responsabile e criterio applicato.
Obbligo di legge: la Legge 10/2010 e il RD 304/2014 impongono ai soggetti obbligati di applicare misure di controllo costante durante tutta la relazione d’affari, non solo all’inizio.
Cambio del profilo di rischio: un cliente che era a basso rischio può diventare ad alto rischio se cambiano la sua attività, i suoi titolari effettivi, la sua operatività o la sua esposizione a giurisdizioni sensibili.
Rilievo frequente nelle ispezioni: la mancanza di adeguata verifica continua è una delle inadempienze più contestate dal SEPBLAC nelle sue ispezioni e nelle relazioni dell’esperto esterno.
Sanzioni gravi: l’inosservanza degli obblighi di controllo costante può comportare sanzioni gravi o molto gravi ai sensi della Legge 10/2010 (artt. 51–56).
Rischio reputazionale e operativo: non individuare operazioni sospette per mancanza di monitoraggio espone l’impresa a conseguenze penali, blocchi bancari e perdita di fiducia.
L’adeguata verifica continua (detta anche controllo costante od ongoing due diligence) è l’obbligo dei soggetti obbligati di mantenere aggiornate le informazioni sui propri clienti e di monitorarne le operazioni per tutta la durata della relazione d’affari, non solo al momento dell’onboarding.
Si fonda sul principio che il profilo di rischio di un cliente non è statico: può cambiare per modifiche dell’attività, della struttura societaria, dei titolari effettivi, dell’operatività o dell’esposizione a giurisdizioni, sanzioni o notizie negative.
L’adeguata verifica continua non è un extra: è un obbligo centrale della Legge 10/2010 (art. 6) e la sua violazione è uno dei rilievi più frequenti nelle ispezioni del SEPBLAC.
Tutti i soggetti obbligati dalla Legge 10/2010: enti finanziari, istituti di pagamento, imprese di investimento, imprese di assicurazione, operatori immobiliari, professionisti del diritto e della contabilità, casinò, gioiellerie, commercianti di beni di alto valore, prestatori di servizi per le cripto-attività (VASP/CASP) e altre attività rientranti nell’ambito di applicazione.
L’obbligo si estende a tutte le relazioni d’affari in essere, non solo ai nuovi clienti. Vi rientrano i clienti storici, le cui informazioni possono non essere aggiornate.
Se la tua società è un soggetto obbligato e ha clienti attivi, l’adeguata verifica continua si applica a tutti, con un’intensità proporzionale al loro livello di rischio.
L’adeguata verifica continua comprende tre componenti principali: l’aggiornamento delle informazioni sul cliente (KYC periodico), il monitoraggio delle operazioni (verifica della coerenza tra l’operatività reale e il profilo dichiarato) e lo screening continuo (verifica permanente rispetto alle liste di sanzioni, alle PEP e agli adverse media).
Comprende inoltre la gestione degli alert (indagine, escalation e chiusura documentata), l’applicazione di misure rafforzate (EDD) quando si rileva un aumento del rischio e la documentazione di tutte le attività con data, responsabile, criterio ed esito.
Ciò che distingue un sistema di adeguata verifica continua efficace da uno solo formale è l’esecuzione: le revisioni vengono fatte, gli alert vengono indagati e tutto è supportato da evidenze.
La frequenza di aggiornamento del KYC deve essere proporzionata al livello di rischio del cliente, secondo l’approccio basato sul rischio (RBA) richiesto dalla normativa AML/CFT.
L’aspetto chiave non è solo stabilire la periodicità, ma eseguire le revisioni e documentarne i risultati. Un calendario KYC non eseguito è un’inadempienza.
Il monitoraggio delle operazioni consiste nel verificare in modo continuo che l’operatività reale del cliente sia coerente con il suo profilo dichiarato: tipo di operazioni, importi, frequenza, controparti, paesi di origine/destinazione e mezzi di pagamento.
Un alert che non viene indagato è peggio di non avere alert: dimostra che il sistema ha rilevato qualcosa e l’impresa non ha agito.
Quando l’adeguata verifica continua rileva un aumento del livello di rischio di un cliente (nuovi alert, cambio dei titolari effettivi, legami con PEP, operatività incoerente con il profilo), scattano le misure di adeguata verifica rafforzata (EDD).
L’EDD può comprendere la richiesta di informazioni aggiuntive sull’origine dei fondi e del patrimonio, l’approvazione del rapporto da parte della direzione, l’intensificazione del monitoraggio operativo e, nei casi estremi, la decisione di porre fine alla relazione d’affari.
L’EDD non è discrezionale quando emergono segnali di rischio: è un obbligo di legge e la sua violazione è considerata una mancanza di adeguata verifica.
L’inosservanza degli obblighi di controllo costante può comportare sanzioni gravi o molto gravi ai sensi della Legge 10/2010 (artt. 51–56): multe fino al 10% del fatturato, ammonimento pubblico, sospensione dell’attività o revoca delle autorizzazioni.
Oltre alle sanzioni, la mancanza di adeguata verifica continua espone l’impresa a responsabilità penale per riciclaggio per imprudenza (art. 301.3 del Codice penale spagnolo), blocchi dei conti bancari, perdita dei rapporti con le banche corrispondenti e danni reputazionali irreversibili.
L’adeguata verifica continua non è un costo: è la tutela che evita conseguenze molto più gravi del costo della sua implementazione.
L’adeguata verifica continua fa parte di un sistema AML/CFT completo. Scopri i servizi che completano il monitoraggio e il controllo dei tuoi clienti.
Documento obbligatorio che definisce le procedure di adeguata verifica continua, i ruoli, i flussi e i criteri di intervento.
Catalogo completo: valutazione dei rischi, manuale, formazione, audit, relazione dell’esperto esterno e monitoraggio continuo.
Analisi e documentazione del percorso dei fondi e delle operazioni a supporto delle indagini di adeguata verifica continua.
Attestazione della provenienza lecita dei fondi per le operazioni rilevanti: documentazione e tracciabilità verificabile.
Adeguata verifica continua applicata ai prestatori di servizi cripto: KYC/KYB, KYT, Travel Rule e monitoraggio on-chain.
Revisione del sistema AML di exchange e piattaforme: efficacia del monitoraggio, alert, KYC e piano di rimedio.
Rispetto della Travel Rule: dati obbligatori nei trasferimenti, validazioni e tracciabilità come parte del controllo costante.
Dichiarazione informativa sulle criptovalute detenute all’estero: obblighi di reporting collegati al monitoraggio AML/CFT.
Spunta le situazioni che si applicano alla tua società. Più ne restano senza spunta, maggiore è la lacuna nella tua adeguata verifica continua.
0 su 10 controlli
Spunta i controlli che hai già implementato.
Tutto quello che devi sapere sull’adeguata verifica continua in ambito AML/CFT: quadro normativo, componenti, frequenza, rapporto con l’approccio basato sul rischio, settori specifici ed errori da evitare.
L’adeguata verifica continua è l’insieme delle misure che i soggetti obbligati devono applicare per mantenere aggiornate le informazioni sui clienti e monitorarne le operazioni per tutta la durata della relazione d’affari. È disciplinata dall’articolo 6 della Legge 10/2010 e sviluppata dagli articoli 26 e seguenti del RD 304/2014.
Non è un controllo isolato né un’attività da svolgere una sola volta: è un processo continuo che combina la revisione periodica delle informazioni sul cliente (KYC), il monitoraggio delle sue operazioni (transaction monitoring), lo screening permanente rispetto alle liste di sanzioni e PEP e la gestione documentata di alert e incidenti. L’obiettivo è rilevare i cambiamenti nel profilo di rischio del cliente e agire di conseguenza prima che si concretizzi un’inadempienza.
La Legge 10/2010 stabilisce all’articolo 6 che i soggetti obbligati devono applicare misure di controllo costante alla relazione d’affari, compreso l’esame delle operazioni effettuate e l’aggiornamento dei documenti, dei dati e delle informazioni ottenuti in applicazione delle misure di adeguata verifica.
Il RD 304/2014 (artt. 26–28) sviluppa questi obblighi: le informazioni devono essere aggiornate con una periodicità proporzionata al rischio, le operazioni devono essere monitorate per rilevare incoerenze con il profilo del cliente e il soggetto obbligato deve poter dimostrare che il controllo viene effettivamente eseguito. Le linee guida del SEPBLAC e le raccomandazioni del GAFI rafforzano il principio che l’adeguata verifica continua deve essere proporzionata, basata sul rischio e documentata.
Il primo componente è l’aggiornamento periodico del KYC: rivedere e aggiornare la documentazione di identità, il titolare effettivo, l’attività economica, l’origine dei fondi e il profilo operativo del cliente con una frequenza proporzionata al suo livello di rischio.
Il secondo componente è il monitoraggio delle operazioni: stabilire regole, soglie e pattern che permettano di rilevare operazioni insolite o incoerenti con il profilo dichiarato dal cliente. Il terzo componente è lo screening continuo: verifica permanente rispetto alle liste di sanzioni, alle PEP e agli adverse media.
Il quarto componente è la gestione degli alert: protocollo di indagine interna (ricezione, analisi, decisione, escalation, chiusura) con documentazione di ogni passaggio. Il quinto è l’applicazione di misure rafforzate (EDD) quando il rischio lo richiede: origine dei fondi e del patrimonio, approvazione della direzione, monitoraggio intensificato o cessazione del rapporto.
L’adeguata verifica continua deve essere applicata con un’intensità proporzionata al rischio. Non tutti i clienti richiedono la stessa frequenza di revisione né lo stesso livello di monitoraggio. L’approccio basato sul rischio (RBA) permette di allocare le risorse in modo efficiente: più intensità per i clienti a maggior rischio, revisioni meno frequenti per quelli a minor rischio.
I fattori che determinano il livello di rischio comprendono il tipo di cliente (persona fisica, persona giuridica, struttura complessa), il prodotto o servizio contrattato, il canale di distribuzione, la giurisdizione (del cliente e delle sue controparti), l’attività economica e lo storico operativo. Questi fattori vanno valutati congiuntamente e documentati nella classificazione del rischio del cliente.
Un sistema di adeguata verifica continua che tratta tutti i clienti allo stesso modo non rispetta l’RBA: o spreca risorse su clienti a basso rischio o, molto peggio, non dedica sufficiente attenzione a quelli ad alto rischio.
Nel settore finanziario, l’adeguata verifica continua comprende il monitoraggio transazionale automatizzato, lo screening in tempo reale e la gestione degli alert KYT (Know Your Transaction) con regole calibrate per tipo di prodotto e canale.
Nel settore cripto si aggiungono il monitoraggio on-chain (KYT/blockchain analytics), la verifica delle controparti nei trasferimenti (Travel Rule) e lo screening di indirizzi/wallet rispetto a database di rischio. Nel settore immobiliare, l’adeguata verifica continua si concentra sull’aggiornamento del profilo di acquirenti e investitori, sulla verifica dell’origine dei fondi nelle operazioni successive e sul monitoraggio degli affittuari rilevanti.
In tutti i settori la chiave è la stessa: un sistema che viene eseguito, che viene documentato e che permette di dimostrare ai supervisori che il soggetto obbligato ha mantenuto l’adeguata verifica per tutta la durata della relazione d’affari.
L’errore più comune è fare l’adeguata verifica solo all’avvio del rapporto e non proseguirla: molti soggetti obbligati investono in un KYC solido all’onboarding ma per anni non rivedono le informazioni sul cliente. Di fronte al SEPBLAC, questo equivale a non avere alcuna adeguata verifica continua.
Un altro errore frequente è avere regole di monitoraggio generiche che non si adattano al tipo di cliente, prodotto o canale. Un sistema con soglie e pattern identici per tutti i clienti non rispetta l’approccio basato sul rischio e genera un eccesso di falsi positivi (che saturano il team) o di falsi negativi (che lasciano passare operazioni sospette).
È inoltre critico non documentare le decisioni sugli alert: archiviare un alert senza registrare chi lo ha analizzato, quali informazioni ha esaminato, quale criterio ha applicato e perché ha deciso di chiuderlo. In un’ispezione, l’assenza di documentazione trasforma una decisione ragionevole in un rilievo di inadempienza. L’adeguata verifica continua non è solo monitorare: è poter dimostrare che si è monitorato, analizzato e agito con criterio.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .