Progettiamo e manteniamo il sistema antiriciclaggio di istituti di pagamento, IMEL, operatori di rimesse e fintech con licenza: onboarding digitale tracciabile, monitoraggio con regole calibrate, alert con fascicolo documentato e una rete di agenti che non sia il tuo punto cieco.
Il tuo sistema antiriciclaggio reggerebbe a una verifica?
Raccontaci quale licenza hai o stai richiedendo, quale volume movimenti e attraverso quali canali. Ti diciamo dove sta la lacuna prima che la trovi l’autorità di vigilanza.
In una fintech il problema non è avere un manuale: è fare in modo che il manuale, il motore di regole e ciò che accade davvero in produzione dicano la stessa cosa. Questi sono gli elementi che verifichiamo.
Un manuale costruito sul tuo modello reale (prodotto, canale, paese e profilo del cliente), con livelli di adeguata verifica, criteri di escalation, policy sulle soglie e procedura di esame speciale e segnalazione. Versionato e approvato, non ereditato da un modello bancario.
Onboarding dei clienti senza attriti e con traccia: identificazione non in presenza conforme all’Orden ETD/465/2021, KYB per i clienti società, titolarità effettiva, screening in fase di onboarding e livelli di adeguata verifica coerenti con il rischio assegnato.
Autovalutazione per prodotto, canale, area geografica e cliente. È il documento da cui devono nascere le tue regole, non il contrario.
Due diligence, contratto, formazione e supervisione di chi acquisisce clienti e opera a tuo nome. Il classico punto debole del settore.
Screening in fase di onboarding e in modo continuo, gestione delle corrispondenze e tracciabilità di ogni corrispondenza scartata.
Se i tuoi flussi toccano cripto-attività, l’analisi di indirizzi e controparti si aggiunge allo screening tradizionale.
Quattro conversazioni che si ripetono: quella che arriva prima della licenza, quella del corridoio ad alto rischio, quella del programma di carte e quella del compliance officer che eredita un motore non calibrato.
«Stiamo preparando la domanda alla Banca di Spagna e ci chiedono di descrivere il sistema di prevenzione. Non voglio un manuale bello: ne voglio uno che possiamo eseguire il giorno in cui avremo diecimila clienti.»
«Facciamo rimesse verso paesi che tutti classificano ad alto rischio. Mi servono regole che individuino lo smurfing vero e non che mi blocchino metà dei clienti abituali ogni venerdì.»
«Emettiamo wallet e carte con onboarding interamente digitale. Il mio dubbio non è se identifichiamo bene, ma se potrei dimostrarlo con evidenze nel caso in cui il SEPBLAC mi chiedesse venti fascicoli precisi.»
«Ho assunto il ruolo di responsabile compliance e ho trovato migliaia di alert aperti e regole di cui nessuno sa chi le abbia configurate né perché. Devo mettere ordine prima della prossima verifica.»
Di solito non sono errori di intenzione né di budget: sono errori di tracciabilità. Il sistema fa cose ragionevoli che nessuno è poi in grado di dimostrare.
Il motore con la configurazione di fabbrica: regole e soglie arrivate di default dal fornitore, senza un documento che spieghi perché proprio quei valori e non altri, né una sola prova di calibrazione sui dati propri. Funziona finché qualcuno non chiede perché.
Il backlog di alert: una coda che cresce ogni mese e viene chiusa in blocco quando il lavoro stringe, con motivazioni generiche del tipo «operatività abituale». Un alert chiuso senza un ragionamento documentato è peggio di un alert mai generato.
La rete di agenti senza fascicolo: distributori che acquisiscono clienti a tuo nome senza due diligence preventiva, senza formazione documentata e senza visite. Rispondi tu della loro operatività anche se il cliente non ha mai saputo che esistevi.
| Area del modello | Cosa si aspetta l’autorità di vigilanza | Evidenza che lo dimostra |
|---|---|---|
| Onboarding interamente digitale | Identificazione non in presenza tramite una procedura approvata, applicata sempre allo stesso modo e ricostruibile caso per caso | Procedura conforme all’Orden ETD/465/2021, evidenze conservate e registro degli onboarding rifiutati con il relativo motivo. |
| Rete di agenti e distributori | Che l’istituto controlli e risponda di chi acquisisce clienti e opera a suo nome, con lo stesso standard che applica internamente | Due diligence sull’agente, contratto con obblighi AML, formazione documentata e revisioni periodiche registrate. |
| Alto volume transazionale | Regole e soglie giustificate, calibrate sui dati propri, e alert chiusi con una decisione motivata | Catalogo di regole versionato, relazione di calibrazione e fascicolo per ogni alert con analista, data e conclusione. |
Esaminiamo l’insieme: mappa dei rischi, manuale, onboarding, regole e soglie, coda di alert, screening delle sanzioni e controllo degli agenti. Ti diciamo cosa manca, cosa è di troppo e in quale ordine sistemarlo, perché il fascicolo regga a una richiesta di informazioni del SEPBLAC.
Da quando operi. Gli istituti di pagamento, gli istituti di moneta elettronica e gli operatori di rimesse rientrano nell’articolo 2 della Legge 10/2010 in quanto enti finanziari, e gli obblighi nascono con l’attività, non con la prima richiesta di informazioni.
Nella pratica il sistema serve prima: la domanda di autorizzazione presso la Banca di Spagna richiede di descrivere come prevenirai il riciclaggio, con quali mezzi e chi ne risponde. Un progetto che arriva a quella fase con un manuale generico di solito ne esce con richieste di informazioni. Lo affrontiamo insieme alla licenza di istituto di pagamento.
Entrambi, su piani diversi. La Banca di Spagna autorizza e registra la tua licenza nel quadro dei servizi di pagamento (Direttiva (UE) 2015/2366 (PSD2) e, in Spagna, Real Decreto-ley 19/2018) e vigila sull’istituto nel suo complesso. Il SEPBLAC è l’unità di intelligence finanziaria e l’autorità di vigilanza specifica in materia di prevenzione del riciclaggio: riceve le tue segnalazioni e verifica il tuo sistema.
Conseguenza pratica: due interlocutori, due fascicoli e nessuna scusa incrociata. Ciò che è stato presentato nella domanda di licenza deve coincidere con ciò che si fa davvero quando il SEPBLAC lo verifica.
Sì, con una procedura fatta come si deve. L’Orden ETD/465/2021 disciplina i metodi di identificazione a distanza via video (video differito e video in diretta), richiede che la procedura sia documentata e approvata prima dell’uso e che le evidenze vengano conservate.
Ciò che non vale è proprio ciò che si vede di più: una foto del documento caricata dal telefono, senza verifica né traccia. E non basta nemmeno scegliere un fornitore e fidarsi: la responsabilità resta dell’istituto, e la procedura del fornitore deve essere la tua, rivista e approvata da te. Maggiori dettagli in AML e KYC.
Quelle che derivano dalla tua mappa dei rischi, non quelle che il fornitore propone di default. La sequenza corretta è: autovalutazione del rischio per prodotto, canale, area geografica e tipo di cliente; da lì escono gli scenari da sorvegliare; e da ogni scenario, una regola con la sua soglia.
Frazionamento degli importi, velocità inusuale delle operazioni, entrate e uscite immediate, corridoi ad alto rischio, incoerenza con il profilo dichiarato o collegamento tra conti apparentemente indipendenti sono scenari tipici. Ciò che conta non è l’elenco: è che esista un documento che spieghi perché ogni soglia ha quel valore.
Non esiste una cifra ufficiale, e diffida di chi te ne dà una. Ciò che viene valutato è se il tasso sia misurato, spiegato e sotto controllo. Un motore che genera un volume di alert che il tuo team non riesce ad analizzare produce un risultato peggiore di uno più stretto ma presidiato: alert chiusi in massa senza criterio.
La risposta ragionevole è un ciclo di calibrazione documentato: si misura il tasso, si individuano le regole rumorose, si modificano le soglie con dati propri, si prova l’effetto prima di portarlo in produzione e si lascia traccia del prima e del dopo. Quella relazione è la migliore difesa quando chiedono perché un’operazione non ha fatto scattare un alert.
Tutto ciò che serve a un terzo per ricostruire la decisione senza doverti chiamare. Come minimo: quale regola è scattata e con quali parametri, i dati dell’operazione e del cliente in quel momento, l’analisi svolta, le informazioni aggiuntive richieste e ricevute, la decisione motivata, chi l’ha presa e quando.
Se la conclusione è stata segnalare l’operazione come sospetta, si archivia anche la ricevuta della segnalazione al SEPBLAC; se è stata astenersi dall’eseguirla, la traccia dell’astensione. E se è stata scartare l’alert, il motivo concreto: «operatività abituale» non è un motivo, è un’etichetta.
Sì. La rete esterna opera a tuo nome e, di fronte all’autorità di vigilanza, l’istituto risponde della sua operatività. È il punto cieco più frequente nelle rimesse e nella distribuzione di prodotto: agenti che fanno l’onboarding dei clienti con uno standard diverso da quello della casa, senza formazione documentata e senza nessuno che controlli un campione dei loro fascicoli.
Il controllo si dimostra con documenti: due diligence preventiva sull’agente, contratto con obblighi AML espliciti, formazione con registro dei partecipanti, revisione periodica dei fascicoli acquisiti e verbali delle visite. Lo approfondiamo in agenti degli istituti di pagamento.
Non per definizione, ma presentano caratteristiche che vanno riconosciute nell’autovalutazione. Nelle rimesse pesano i corridoi di destinazione, l’operatività in contanti, gli importi piccoli e ripetuti e l’uso di intermediari. Nei marketplace e nei modelli di pagamenti aggregati, la difficoltà sta nel conoscere i due estremi dell’operazione e nell’individuare gli esercenti che veicolano fondi altrui.
Far finta che quel rischio non esista è l’errore costoso. Riconoscerlo, graduare l’adeguata verifica e documentare i controlli aggiuntivi è ciò che trasforma un modello scomodo in un modello difendibile. Puoi vedere come si inserisce in invio di denaro e operatori di rimesse.
Puoi appoggiarti a fornitori, ma la responsabilità non si esternalizza. L’istituto deve conoscere e approvare le procedure che applica il fornitore, poterle sottoporre ad audit, conservare le evidenze e mantenere il controllo delle decisioni che contano: accettare un cliente, chiudere un alert o segnalare un’operazione sospetta.
Aggiungi il livello tecnologico: l’affidamento a fornitori ICT critici rientra inoltre nell’ambito del Regolamento (UE) 2022/2554 (DORA), con registro delle informazioni sui fornitori e clausole contrattuali obbligatorie. Se vuoi delegare la funzione interna, guarda l’esternalizzazione antiriciclaggio.
Un sistema AML nei pagamenti si giudica dalla sua tracciabilità da un capo all’altro: perché quella regola, perché quella soglia, chi ha analizzato e cosa ha deciso. Questo è il percorso che implementiamo.
Autovalutazione per prodotto, canale, area geografica e cliente. Da qui escono gli scenari da sorvegliare, i livelli di adeguata verifica e la policy sulle soglie. È la fase che quasi tutti saltano e che poi costringe a rifare tutto.
Manuale e policy, onboarding con identificazione non in presenza tracciabile, screening delle sanzioni, motore di regole configurato con criterio proprio e flusso di alert con fascicolo e livelli di escalation.
Calibrazione periodica con dati reali, controllo della coda di alert, revisione della rete di agenti, formazione del team ed esame dell’esperto esterno. La parte che trasforma un sistema installato in un sistema vivo.
Se sei ancora in fase di licenza, parti dalla licenza di istituto di pagamento o dalla licenza IMEL. Se operi già e ti serve mettere ordine nel sistema, guarda i servizi antiriciclaggio e il rappresentante esterno presso il SEPBLAC.
I 10 elementi che compongono un sistema di prevenzione difendibile davanti al SEPBLAC, con l’evidenza documentale che bisogna poter mostrare per ciascuno. Serve come autodiagnosi prima che arrivi l’ispezione.
Niente spam. La tua email viene usata solo per inviarti questa checklist e, di tanto in tanto, aggiornamenti normativi rilevanti.
La checklist si sta scaricando in questo momento. Se il download non parte automaticamente, clicca qui.
Dopo averlo letto, ti serve aiuto per mettere in pratica alcuni dei passaggi? Scrivici direttamente:
Questi termini compaiono nelle richieste di informazioni e nelle relazioni dell’esperto esterno. Usarli con precisione fa risparmiare metà riunione di chiarimenti.
Ente autorizzato e registrato dalla Banca di Spagna nel quadro della PSD2 e del Real Decreto-ley 19/2018, incluso nell’articolo 2 della Legge 10/2010 come ente finanziario.
Insieme di verifiche su identità, attività e scopo, svolte prima di accettare il cliente e aggiornate durante il rapporto.
Metodo di identificazione a distanza disciplinato dall’Orden ETD/465/2021: video differito o in diretta, con procedura approvata ed evidenze conservate.
Analisi automatizzata delle operazioni rispetto a scenari di rischio definiti, per individuare comportamenti incoerenti con il profilo del cliente.
Parametro che determina quando un’operazione genera un alert. La sua scelta deve essere giustificata da dati propri e rivista periodicamente.
Alert generato da un’operazione legittima. Il suo tasso misura la qualità della calibrazione e condiziona la reale capacità del team di analisi.
Registro completo di un alert: regola attivata, dati, analisi, informazioni richieste, decisione motivata, autore e data.
Trasmissione riservata al SEPBLAC delle operazioni con indizi di riciclaggio e delle comunicazioni sistematiche previste dalla normativa.
Verifica del cliente e delle sue controparti rispetto alle liste di sanzioni finanziarie e alla condizione di persona politicamente esposta (PEP).
Autovalutazione che riconosca i rischi reali del business (corridoi, contanti, agenti, marketplace) e non una matrice generica da manuale.
Documento di autovalutazione approvato e datato, matrice per prodotto, canale, area geografica e cliente, e verbale di approvazione.
Onboarding dei clienti con livelli di adeguata verifica coerenti con il rischio assegnato e con identificazione non in presenza tracciabile e riproducibile.
Procedura conforme all’Orden ETD/465/2021, evidenze conservate, fascicoli KYB e registro degli onboarding rifiutati.
Regole derivate dalla mappa dei rischi, soglie giustificate e una coda di alert gestita entro termini interni.
Catalogo di regole versionato, relazioni di calibrazione, metriche della coda e fascicolo completo per ogni alert.
Screening in fase di onboarding e in modo continuo, con criterio scritto per gestire le corrispondenze e ripetizione dopo l’aggiornamento delle liste.
Configurazione del motore, registro delle corrispondenze con il motivo dello scarto ed evidenza del rescreening periodico.
Controllo effettivo su chi acquisisce clienti o opera a nome dell’istituto e sui fornitori su cui si regge il sistema.
Due diligence sull’agente, contratti con obblighi AML, formazione documentata e verbali di revisione o di visita.
Sono quelli che emergono per primi in una verifica esterna e i più costosi da correggere quando la richiesta di informazioni è ormai arrivata.
Non è lo stesso muovere rimesse verso corridoi complessi, emettere moneta elettronica o combinare l’attività di pagamento con un’attività commerciale. La licenza e il modello determinano quali scenari vanno sorvegliati e quali controlli aggiuntivi richiede l’autorità di vigilanza. Queste pagine coprono ogni caso.
Autorizzazione della Banca di Spagna ai sensi della PSD2 e del Real Decreto-ley 19/2018, con il sistema di prevenzione integrato nella domanda.
Emissione di moneta elettronica, wallet e programmi di carte: onboarding di massa e controllo di ricariche e prelievi di fondi.
Quando l’attività di pagamento convive con un altro business: separazione dei fondi, conflitti e rischi incrociati.
Corridoi complessi, contanti e rete di agenti: il modello che richiede di dimostrare più controlli aggiuntivi.
Per il quadro generale di prevenzione, vai a prevenzione del riciclaggio di denaro. Se emetti moneta elettronica con proiezione europea, consulta la licenza EMI. E se i tuoi flussi toccano cripto-attività, parti dallo screening delle sanzioni in ambito cripto.
Spiegaci il tuo modello (rimesse, marketplace, carte, wallet, agenti) e ti restituiamo una diagnosi concreta del sistema di prevenzione e di ciò che manca per poterlo difendere.
Ultimo aggiornamento: 4 agosto 2026
Un istituto di pagamento o un istituto di moneta elettronica è soggetto obbligato finanziario da quando opera: rientra nell’articolo 2 della Legge 10/2010 e il suo sistema di prevenzione viene verificato con lo stesso metro di quello di una banca, ma con due differenze che lo complicano. La prima è il volume: migliaia di operazioni al giorno che nessun team può guardare una per una, il che obbliga ad automatizzare e a giustificare l’automazione. La seconda è il canale: clienti che non mettono mai piede in una sede e che si identificano a distanza. Questa pagina tratta il sistema a partire da queste due realtà.
Il quadro dell’attività è fissato dalla Direttiva (UE) 2015/2366 (PSD2) e, in Spagna, dal Real Decreto-ley 19/2018: la Banca di Spagna autorizza e registra gli istituti di pagamento e di moneta elettronica e ne vigila il funzionamento. Il quadro della prevenzione è fissato dalla Legge 10/2010, e qui l’autorità di vigilanza specifica è il SEPBLAC, che è anche l’unità di intelligence finanziaria che riceve le segnalazioni. Sono due fascicoli distinti che si guardano a vicenda: ciò che è stato descritto nella domanda di licenza (mezzi, organizzazione, controlli) è esattamente ciò che il SEPBLAC verificherà che venga eseguito. Da qui l’errore più costoso in fase di autorizzazione: presentare un manuale di prevenzione acquistato o ereditato che descrive un istituto che non sei, con sedi che non hai e controlli che nessuno eseguirà. Quando arriva la verifica, la distanza tra la carta e la produzione è il rilievo. Se sei in quella fase, consulta la licenza di istituto di pagamento e il manuale antiriciclaggio su misura.
L’onboarding non in presenza è il punto in cui più fintech falliscono la prova documentale. L’Orden ETD/465/2021 disciplina i metodi di identificazione remota via video (differito e in diretta) e richiede che la procedura sia documentata e approvata prima dell’uso e che le sue evidenze vengano conservate. Due sfumature che spesso si trascurano. La prima: appoggiarsi a un fornitore non trasferisce la responsabilità; la procedura del fornitore deve essere rivista, approvata e verificabile dall’istituto, che deve poter recuperare l’evidenza di qualsiasi onboarding specifico. La seconda: l’identificazione è solo il primo livello. Resta da assegnare un livello di adeguata verifica coerente con il rischio, applicare KYC e KYB quando il cliente è una società, ricostruire la titolarità effettiva fino alla persona fisica ed eseguire lo screening delle sanzioni prima di aprire il rapporto. Un onboarding rapido e uno tracciabile non sono incompatibili, ma solo se la progettazione lo ha previsto fin dall’inizio.
Il monitoraggio transazionale si giudica dalla sua tracciabilità a ritroso. La catena corretta parte dalla mappa dei rischi: dall’autovalutazione per prodotto, canale, area geografica e cliente escono gli scenari da sorvegliare e, da ogni scenario, una regola con una soglia giustificata. Frazionamento degli importi, velocità inusuale, entrata e uscita immediata di fondi, corridoi ad alto rischio o incoerenza con il profilo dichiarato sono scenari abituali, ma ciò che viene verificato non è l’elenco: è il documento che spiega perché la soglia ha quel valore e quando è stata rivista l’ultima volta. Poi viene la parte scomoda: la calibrazione. Un motore che genera più alert di quelli che il team riesce ad analizzare produce chiusure in blocco, che è il peggior risultato possibile. Misurare il tasso di falsi positivi, regolare sui dati propri, testare prima della produzione e conservare la relazione del prima e del dopo è ciò che trasforma una lamentela operativa in una difesa. E ogni alert ha bisogno del suo fascicolo: regola attivata, dati, analisi, informazioni richieste, decisione motivata, autore e data.
Il punto debole strutturale del settore è la rete esterna: agenti e distributori che acquisiscono clienti ed eseguono operazioni a nome dell’istituto, spesso con uno standard diverso da quello della casa. Davanti all’autorità di vigilanza risponde l’istituto, e il controllo si dimostra con due diligence preventiva, contratto con obblighi espliciti di prevenzione, formazione registrata e revisione periodica di un campione di fascicoli acquisiti; il dettaglio è in agenti degli istituti di pagamento. A ciò si aggiunge il modello di business come fattore di rischio: le rimesse verso determinati corridoi, i marketplace con pagamenti aggregati o i programmi di carte prepagate hanno profili che vanno riconosciuti nell’autovalutazione e compensati con controlli aggiuntivi. All’orizzonte, due quadri che già condizionano le decisioni: il pacchetto AML europeo (Regolamento (UE) 2024/1624, Direttiva (UE) 2024/1640 e Regolamento (UE) 2024/1620, che istituisce l’autorità AMLA), con applicazione scaglionata e in fase di attuazione, e il Regolamento (UE) 2022/2554 (DORA), che sottopone i fornitori ICT critici del sistema a registro delle informazioni e clausole contrattuali obbligatorie.
Questo contenuto ha carattere divulgativo e non costituisce consulenza legale. La normativa citata potrebbe essere stata modificata dopo la data di aggiornamento indicata: verifica sempre la versione in vigore oppure contattaci per analizzare il tuo caso concreto.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .