Scoprirlo tardi è la norma: il sistema antiriciclaggio non si costruisce dopo la licenza, si presenta dentro la domanda e deve tornare con il tuo programma di attività, con il tuo business plan e con l’organico che dichiari di avere.
Ti hanno chiesto il manuale antiriciclaggio per l’autorizzazione?
Raccontaci quale licenza stai richiedendo e presso quale supervisore. Ti diciamo quale pacchetto antiriciclaggio deve far parte della tua domanda.
In materia antiriciclaggio la domanda non viene approvata perché contiene dei documenti: viene approvata perché i documenti descrivono un sistema che quello specifico progetto è in grado di sostenere fin dal primo giorno.
Niente modelli standard. Redigiamo il manuale sui tuoi prodotti reali, sui tuoi canali di acquisizione, sul tuo tipo di cliente e sulle giurisdizioni con cui lavorerai, con alle spalle l’autovalutazione del rischio e le procedure di adeguata verifica che il tuo team potrà davvero eseguire.
La domanda non chiede solo che cosa farai, ma chi lo farà. Progettiamo la governance – organo di controllo interno, rappresentante presso il SEPBLAC, ripartizione delle funzioni – e possiamo assumere il ruolo di rappresentante esterno mentre la tua struttura cresce.
L’articolo 2 della Legge 10/2010 definisce l’elenco. Il tuo inquadramento al suo interno determina la portata del sistema che devi presentare.
Composizione, funzioni, periodicità e verbali. È l’elemento che più spesso risulta «designato» ma non viene mai costituito.
Il tuo manuale antiriciclaggio e il tuo programma di attività vengono letti insieme. Se non dicono la stessa cosa, la richiesta di informazioni arriva subito.
Procedure, strumenti, formazione, verifica esterna e controllo continuo: tutto ciò che deve essere attivo fin dal primo cliente.
Quattro conversazioni che abbiamo ogni mese, sempre con lo stesso attacco: «pensavamo che l’antiriciclaggio venisse dopo la licenza».
«Avevamo risolto il programma di attività e i requisiti di onorabilità e professionalità, e ora ci chiedono il manuale antiriciclaggio, l’autovalutazione del rischio e un rappresentante presso il SEPBLAC. Non abbiamo scritto nemmeno una riga.»
«Il nostro onboarding è interamente digitale e a distanza. Il manuale che ci hanno consegnato descrive una filiale in cui i clienti vengono a firmare, e non ha nulla a che vedere con ciò che faremo.»
«Venivamo dal registro precedente e pensavamo bastasse. Ora ci chiedono un sistema di prevenzione completo, con monitoraggio e profili di rischio, prima di autorizzare qualsiasi cosa.»
«Siamo in quattro e avremo investitori internazionali. Mi serve un sistema proporzionato, ma che regga alla prima domanda sulla titolarità effettiva di un veicolo estero.»
La parte antiriciclaggio di una domanda di autorizzazione raramente viene respinta per mancanza di documenti. Si blocca perché i documenti non sono credibili.
Il manuale scaricato dal web: si riconosce all’istante. Cita prodotti che non offrirai, descrive filiali che non esistono, richiama la normativa di un altro settore o mantiene riferimenti che non reggono più. Un revisore esperto lo individua in due pagine e da quel momento legge il resto della domanda con diffidenza.
Il manuale che non torna con il resto: il tuo programma di attività parla di acquisizione digitale e il manuale descrive un’identificazione di persona; il tuo business plan prevede clienti non residenti e l’autovalutazione del rischio non li considera. L’incoerenza interna è il rilievo più facile da trovare e il più costoso da correggere tardi.
Gli incarichi di facciata: designare come rappresentante presso il SEPBLAC o come membro dell’organo di controllo interno una persona senza competenze, senza tempo da dedicare e senza mezzi. Il supervisore chiede profilo, funzioni e tempo assegnato, ed è lì che finisce la scorciatoia.
| Documento della domanda | Che cosa guarda il supervisore | Con che cosa deve tornare |
|---|---|---|
| Manuale e procedure antiriciclaggio | Che descrivano la tua operatività concreta: prodotti, canali di acquisizione, tipi di cliente e giurisdizioni con cui lavorerai. | Il programma di attività e la relazione illustrativa del progetto: stessi servizi, stessi clienti, stessi canali. |
| Autovalutazione del rischio | Che l’ente abbia analizzato il proprio rischio prima di operare, e non ereditato una matrice generica di un altro settore. | Il business plan: volumi previsti, mercati di riferimento e profilo di cliente atteso. |
| Organo di controllo interno e rappresentante | Persone concrete, con competenze e impegno reali, e un organo con funzioni e funzionamento definiti. | L’organigramma e i mezzi dichiarati: se non c’è un organico a sostenere la funzione, la sezione crolla da sola. |
Scriviamo il pacchetto antiriciclaggio sul tuo progetto reale e lo allineiamo al programma di attività, al business plan e all’organigramma che hai già presentato. E se la tua struttura è ancora piccola, assumiamo il ruolo di rappresentante presso il SEPBLAC mentre cresce.
Perché l’autorizzazione viene concessa a un ente che deve essere in grado di rispettare le regole fin dal primo giorno di attività, non quando gli fa comodo. Il sistema di prevenzione fa parte dell’organizzazione e dei mezzi che il supervisore valuta prima di decidere, al pari del capitale o dei requisiti di onorabilità e professionalità degli esponenti.
Vista così, ha una sua logica: se la prima operazione può arrivare il giorno dopo l’iscrizione, non può esistere una finestra in cui l’ente operi senza procedure, senza un responsabile designato e senza criteri di accettazione dei clienti.
No, non basta, e lo si scopre in fretta. Gli indizi sono sempre gli stessi: capitoli su prodotti che la tua licenza non consente, riferimenti a canali o filiali che non hai, un’autovalutazione del rischio che non menziona il tuo mercato di riferimento, procedure pensate per un organico molto più grande del tuo e rinvii a una normativa che non si adatta al tuo settore.
Il problema non è solo che ti chiedano di correggerlo: un manuale chiaramente estraneo al progetto contamina la lettura del resto della domanda e moltiplica i quesiti su tutto il resto.
In linea generale, la sezione comprende: il manuale AML/CFT con le politiche e le procedure scritte; l’autovalutazione del rischio dell’ente; le procedure di adeguata verifica – semplificata, ordinaria e rafforzata – e di identificazione del titolare effettivo; il trattamento delle persone politicamente esposte (PEP); la politica di conservazione della documentazione; la procedura di segnalazione di operazioni sospette e di astensione; la costituzione dell’organo di controllo interno e la designazione del rappresentante presso il SEPBLAC; il piano di formazione del personale; e la previsione della verifica annuale da parte di un esperto esterno.
La portata concreta dipende dalla tua tipologia di ente e dal tuo profilo di rischio, ma questo è lo scheletro che ci si aspetta di vedere.
È una soluzione frequente nei progetti piccoli e, in pratica, funziona bene quando la persona designata ha competenze sufficienti, un impegno reale e un accesso effettivo alle informazioni dell’ente. Quello che non funziona è un nome messo solo per riempire una casella.
Tieni presente che la responsabilità del soggetto obbligato non si esternalizza: anche se la funzione si appoggia a risorse esterne, il sistema resta tuo e il tuo organo di amministrazione continua a risponderne. Ne parliamo nella pagina sul rappresentante presso il SEPBLAC esterno.
Cambia parecchio, ed è uno dei punti che generano più richieste di informazioni. L’identificazione a distanza tramite video è disciplinata dalla Orden ETD/465/2021 del 6 maggio, che prevede le modalità di video in differita e di video in diretta, con conservazione delle evidenze e autorizzazione preventiva della procedura nei termini fissati dalla norma stessa.
Nella domanda bisogna descrivere il flusso completo: che cosa si acquisisce, come lo si verifica, che cosa si conserva, chi rivede i casi dubbi e quale fornitore interviene. Un manuale che parla di firma di persona mentre il tuo prodotto è un’app è la contraddizione più evidente che puoi presentare.
Lo scheletro è comune – manuale, autovalutazione, adeguata verifica, governance, formazione, verifica esterna – ma l’accento cambia molto. Per un istituto di pagamento contano l’analisi dell’operatività e il monitoraggio delle transazioni; per un progetto di cripto-attività, la tracciabilità e il rischio di controparte; per un’impresa di investimento, l’origine dei fondi e la titolarità effettiva delle strutture.
Per questo non riutilizziamo i manuali tra clienti: l’indice può somigliare, ma il contenuto che conta è proprio quello che non si può copiare.
Prima di presentare, non dopo la prima richiesta di informazioni. Quando la sezione antiriciclaggio arriva tardi o arriva debole, l’effetto non è solo un ritardo: costringe a rifare documenti già presentati, perché qualsiasi modifica al manuale si ripercuote sul programma di attività, sull’organigramma e sui mezzi dichiarati.
La nostra raccomandazione pratica è costruirlo in parallelo al resto della domanda e non come appendice finale. Il documento viene meglio, arriva prima e ti evita il giro di quesiti più scomodo dell’intero iter.
Il pacchetto dell’Unione – il Regolamento (UE) 2024/1624 (AMLR), la Direttiva (UE) 2024/1640 (AMLD6) e il Regolamento (UE) 2024/1620, che istituisce l’autorità europea AMLA con sede a Francoforte – si applica in modo scaglionato ed è in fase di attuazione.
Per la tua domanda questo significa due cose: oggi si presenta ai sensi della Legge 10/2010 e del suo regolamento di attuazione, ma conviene progettare il sistema tenendo presente quel quadro, soprattutto per adeguata verifica, titolarità effettiva e tracciabilità delle informazioni. Un sistema costruito bene ora si adatta con piccoli ritocchi; uno fatto in fretta va rifatto per intero.
Inizia ciò che viene davvero vigilato. Il manuale va tenuto vivo, l’autovalutazione del rischio si rivede quando cambia il business, l’organo di controllo interno deve riunirsi e verbalizzare, la formazione va erogata e documentata, e la verifica annuale dell’esperto esterno produce rilievi che vanno chiusi.
Questo ciclo è esattamente quello che seguiamo nel piano di adeguamento antiriciclaggio. E se un giorno arriva un intervento di vigilanza, ciò che si esamina non è il manuale che hai presentato, ma le evidenze che hai prodotto da allora.
Stesso ordine per tutte le licenze: prima si definisce il perimetro, poi si scrive il sistema e solo alla fine si redige il manuale. Farlo al contrario è ciò che produce documenti generici.
Inquadramento nell’elenco dei soggetti obbligati dell’articolo 2 della Legge 10/2010, definizione di prodotti, canali, tipi di cliente e giurisdizioni, e autovalutazione del rischio propria. Tutto il resto discende da qui.
Procedure di adeguata verifica, titolare effettivo, persone politicamente esposte, alert, segnalazione e conservazione; organo di controllo interno, rappresentante presso il SEPBLAC, formazione e strumenti. E solo a quel punto: il manuale.
Verifica incrociata con il programma di attività, il business plan e l’organigramma, risposta alle richieste di informazioni e avvio effettivo del sistema per il giorno in cui arriverà il primo cliente.
Se stai ancora scegliendo la tipologia di ente, consulta autorizzazione ESI, licenza di istituto di pagamento, licenza di istituto di moneta elettronica (IMEL) o registrazione e autorizzazione ai sensi di MiCA.
I 10 elementi che compongono un sistema di prevenzione difendibile davanti al SEPBLAC, con l’evidenza documentale che bisogna poter mostrare per ciascuno. Serve come autodiagnosi prima che arrivi l’ispezione.
Niente spam. La tua email viene usata solo per inviarti questa checklist e, di tanto in tanto, aggiornamenti normativi rilevanti.
La checklist si sta scaricando in questo momento. Se il download non parte automaticamente, clicca qui.
Dopo averlo letto, ti serve aiuto per mettere in pratica alcuni dei passaggi? Scrivici direttamente:
Sono i termini che leggerai nella richiesta di informazioni del supervisore. Se il tuo manuale li usa con precisione, metà della conversazione è già vinta.
Persona o ente incluso nell’elenco dell’articolo 2 della Legge 10/2010. La maggior parte delle licenze finanziarie ti colloca al suo interno fin dal primo giorno.
Documento in cui l’ente identifica e valuta la propria esposizione per cliente, prodotto, canale e area geografica, e decide le misure da applicare di conseguenza.
Il documento che ordina l’intero sistema: criteri di accettazione, adeguata verifica, rilevazione, segnalazione, conservazione, formazione e controllo.
Insieme di misure di conoscenza del cliente graduate in base al rischio: identificazione, scopo del rapporto e monitoraggio continuo.
Persona fisica che controlla in ultima istanza il cliente. La sua identificazione è uno dei punti che generano più richieste di informazioni nelle strutture societarie.
Organo collegiale responsabile di approvare e vigilare sul sistema di prevenzione, con funzioni, composizione e funzionamento definiti.
Persona designata come interlocutore dell’ente presso il Servizio Esecutivo (SEPBLAC), responsabile di canalizzare le segnalazioni e le richieste di informazioni.
Metodo di identificazione da remoto disciplinato dalla Orden ETD/465/2021, con modalità di video in differita e in diretta e conservazione delle evidenze.
Revisione esterna del sistema di prevenzione, con relazione e rilievi. È prevista fin dalla domanda anche se viene eseguita quando l’ente è già operativo.
Che l’ente sappia esattamente perché è un soggetto obbligato e quali obblighi lo riguardano in base alla sua tipologia e alla sua attività prevista.
Relazione di inquadramento normativo con riferimento all’articolo 2 della Legge 10/2010 e descrizione dei servizi coerente con il programma di attività.
Autovalutazione del rischio propria, con conclusioni che si riflettono nella politica di accettazione dei clienti e nel livello di adeguata verifica applicabile.
Autovalutazione datata e approvata, politica di accettazione e manuale AML/CFT con controllo delle versioni.
Procedure eseguibili per identificare il cliente e il titolare effettivo attraverso il canale che l’ente userà davvero.
Flusso di onboarding documentato, moduli e dichiarazioni tipo, descrizione del metodo di identificazione e contratti con i fornitori tecnologici.
Organo di controllo interno costituito e rappresentante presso il SEPBLAC designato, con profilo, funzioni e impegno dimostrabili.
Delibere di costituzione e di designazione, CV, descrizione delle funzioni e organigramma in cui è collocata la funzione di compliance.
Piano di formazione del personale fin dall’avvio e previsione della verifica annuale da parte di un esperto esterno all’interno del calendario di compliance.
Piano annuale di formazione con contenuti e destinatari, e previsione documentata della verifica esterna e del suo seguito.
Cinque cose che un revisore esperto individua nei primi minuti di lettura.
Il pacchetto AML/CFT si costruisce allo stesso modo in tutte le autorizzazioni, ma pesa in punti diversi a seconda della tipologia di ente: dove si concentra il tuo rischio, quale canale usi e che tipo di cliente avrai. Queste sono le licenze per cui più spesso costruiamo la sezione da zero.
Imprese di investimento: origine dei fondi, titolarità effettiva delle strutture e coerenza con il programma di attività.
Qui il focus è sull’operatività: monitoraggio delle transazioni, agenti e canali di onboarding a distanza.
Progetti che arrivano dal registro precedente e scoprono che ora il sistema di prevenzione si presenta prima di operare.
Il caso più frequente: progetto piccolo, struttura leggera e una sezione antiriciclaggio che deve essere al tempo stesso proporzionata e completa.
Se vuoi capire prima il quadro, parti dalla prevenzione del riciclaggio di denaro e dai soggetti obbligati. Se sai già di che cosa hai bisogno, vai direttamente al manuale antiriciclaggio o ai nostri servizi AML/CFT. E se il sistema esiste già ma qualcuno lo ha rivisto con riserve, guarda il piano di adeguamento.
Dicci quale tipologia di ente stai avviando – EAF, istituto di pagamento, istituto di moneta elettronica, CASP, società di gestione – e a che punto è la domanda. Verifichiamo che cosa manca nella parte AML/CFT e in quale ordine va costruita.
Ultimo aggiornamento: 4 agosto 2026
Quasi tutte le licenze finanziarie rendono il richiedente un soggetto obbligato ai sensi della Legge 10/2010 del 28 aprile e del suo regolamento di attuazione, il RD 304/2014. Per questo il supervisore non aspetta che l’ente sia operativo per chiedere dell’antiriciclaggio: richiede il sistema completo all’interno della domanda di autorizzazione, insieme al programma di attività, ai requisiti di onorabilità e professionalità degli esponenti e alla dimostrazione dei mezzi. Questa pagina è pensata per il progetto che scopre questo requisito a metà strada e deve costruire l’intera sezione senza rallentare il resto dell’iter.
La logica del supervisore è semplice: l’autorizzazione viene concessa a un ente che può rispettare le regole fin dal primo giorno di attività. Non esiste una finestra in cui si possa operare senza criteri di accettazione dei clienti, senza procedure di identificazione e senza un responsabile designato, perché il primo cliente può arrivare il giorno dopo l’iscrizione. Per questo la sezione antiriciclaggio viene esaminata come parte dell’organizzazione e dei mezzi, sullo stesso piano del capitale o dei requisiti di onorabilità e professionalità degli amministratori. Ne deriva una conseguenza pratica da interiorizzare presto: il sistema di prevenzione non è un allegato che si scrive quando il resto della domanda è già chiuso, ma un elemento che condiziona tutti gli altri. Se il manuale descrive un team di compliance che l’organigramma non prevede, o un canale di onboarding che il programma di attività non menziona, la richiesta di informazioni non arriva sul manuale: arriva sull’intero insieme e ti costringe a rifare documenti che davi già per buoni.
Il contenuto varia in base alla tipologia di ente, ma lo scheletro è stabile: inquadramento come soggetto obbligato nell’elenco dell’articolo 2 della Legge 10/2010; autovalutazione del rischio dell’ente; politica di accettazione dei clienti; procedure di adeguata verifica semplificata, ordinaria e rafforzata; identificazione del titolare effettivo; trattamento delle persone politicamente esposte; conservazione della documentazione; rilevazione, analisi e segnalazione di operazioni sospette al SEPBLAC, oltre alla comunicazione sistematica; astensione dall’esecuzione quando necessaria; organo di controllo interno; rappresentante presso il SEPBLAC; formazione annuale del personale; e verifica annuale da parte di un esperto esterno. L’ordine conta quanto il contenuto: prima si definiscono perimetro e rischio, poi operatività e governance, e solo alla fine si redige il manuale, che non è altro che la messa per iscritto di tutto il resto. Farlo al contrario – partire dal manuale – è esattamente ciò che produce documenti che non descrivono nessuno.
Quasi tutti i progetti hanno visto circolare un manuale antiriciclaggio in PDF, e la tentazione di adattarlo è enorme. Il problema è che un revisore esperto lo riconosce subito, e non per il formato: per le incoerenze interne. Capitoli su prodotti che la licenza richiesta non consente, riferimenti a uffici o a una rete di agenti in un progetto puramente digitale, una matrice di rischio che non cita i mercati del business plan, procedure dimensionate per un organico che non esiste, rinvii a una normativa di settore estranea. Ciascuno di questi segnali genera quesiti, e i quesiti si accumulano sul resto della domanda. L’alternativa non è scrivere più pagine, ma scrivere quelle giuste: un manuale proporzionato alla dimensione reale del progetto, che descriva ciò che il team è in grado di eseguire e che usi lo stesso vocabolario del resto della documentazione presentata. La proporzionalità, ben argomentata, si difende senza problemi; la copia no.
La sezione antiriciclaggio non si esaurisce con l’autorizzazione: da lì inizia ciò che viene davvero vigilato. Il manuale si aggiorna quando cambia il business, l’autovalutazione del rischio si rivede, l’organo di controllo interno si riunisce e verbalizza, la formazione viene erogata e documentata, gli alert vengono analizzati e le segnalazioni partono quando devono partire. La verifica annuale dell’esperto esterno produce rilievi, e quei rilievi vanno chiusi con evidenze all’interno di un piano di adeguamento. Conviene anche seguire da vicino il pacchetto europeo di prevenzione – il Regolamento (UE) 2024/1624, la Direttiva (UE) 2024/1640 e il Regolamento (UE) 2024/1620, che istituisce l’autorità AMLA – la cui applicazione è scaglionata ed è in fase di attuazione: un sistema costruito bene oggi si adatta con piccoli ritocchi, mentre uno improvvisato tanto per cavarsela andrà rifatto per intero. E se un giorno arriva un intervento di vigilanza, ciò che si esamina non è il manuale che hai presentato, ma le evidenze che hai prodotto nel tempo.
Questo contenuto ha carattere divulgativo e non costituisce consulenza legale. La normativa citata potrebbe essere stata modificata dopo la data di aggiornamento indicata: verifica sempre la versione in vigore oppure contattaci per analizzare il tuo caso concreto.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .