Esaminiamo la tua operatività reale (fascicoli dei clienti, registrazioni, contratti e reporting) rispetto a quanto richiede MiFID II. Ti consegniamo rilievi prioritari, le evidenze mancanti e un piano di remediation con responsabile e data.
Vuoi un audit di conformità MiFID II indipendente?
Dicci che tipo di ente sei e quali servizi presti: ti proponiamo ambito, campione e calendario senza impegno.
Sei aree in cui si concentrano i rilievi. Le verifichiamo sui tuoi fascicoli reali, non sull’indice dei tuoi manuali.
Ripercorriamo l’intero ciclo del cliente: classificazione, valutazione preliminare, informativa precontrattuale, costi, incentivi, esecuzione e monitoraggio successivo. Confrontiamo ogni policy scritta con ciò che compare davvero nel fascicolo.
Chiediamo la stessa documentazione, nello stesso formato e con la stessa urgenza con cui la chiederebbe il supervisore. Se il tuo team non riesce a trovarla, il problema non è la policy: è la tracciabilità.
Campione di clienti reali: test in corso di validità, coerenza con quanto raccomandato, preferenze di sostenibilità e dichiarazione di adeguatezza consegnata.
Verifichiamo che l’informativa preventiva e il rendiconto annuale esistano, siano coerenti tra loro e mostrino l’effetto cumulativo sul rendimento.
Mappa dei flussi con terzi, coerenza con il servizio che presti e prova del miglioramento della qualità che li giustifica.
Perimetro dei canali coperti, messaggistica non aziendale, recupero per cliente e data e termini di conservazione applicati.
Quattro situazioni che si ripetono. In nessuna c’è un procedimento sanzionatorio aperto: in tutte c’è qualcuno che preferisce saperlo prima.
«Siamo stati autorizzati anni fa e da allora abbiamo raddoppiato i clienti e ampliato la gamma. I manuali sono ancora quelli della domanda iniziale e nessuno ha verificato se qualcuno li applica.»
«Ho appena assunto la funzione di compliance. Prima di firmare la mia prima relazione al consiglio voglio sapere esattamente cosa sto ereditando, e voglio che me lo dica qualcuno dall’esterno.»
«Commercializziamo i nostri prodotti a clienti al dettaglio e il target market è stato definito tempo fa. Ho bisogno di sapere se la product governance regge a una revisione esterna.»
«Il gruppo richiede una revisione locale indipendente rispetto alla normativa spagnola. Vogliamo una relazione con rilievi, criticità e piano d’azione che la casa madre possa leggere e seguire.»
Quando verifichiamo enti già autorizzati emergono quasi sempre gli stessi tre. Nessuno si vede leggendo il manuale: si vedono aprendo un fascicolo a caso.
La policy esiste e nessuno la applica: manuali impeccabili ereditati dalla domanda di autorizzazione che nessun relationship manager ha letto. In una richiesta di informazioni non si esamina l’indice del manuale, si esamina il fascicolo del cliente.
Adeguatezza invecchiata: test firmati anni fa, portafogli che non corrispondono più al profilo dichiarato e preferenze di sostenibilità mai richieste. È il rilievo più costoso da sanare a ritroso.
Evidenze disperse: le informazioni ci sono, ma sparse tra il CRM, la posta di un relationship manager e una cartella condivisa. Se non riesci a ricostruire un caso concreto in poche ore, a fini pratici non le hai.
| Area verificata | Rilievo ricorrente | Evidenza che lo chiude |
|---|---|---|
| Idoneità | Test scaduto o incoerente con il portafoglio raccomandato | Test in corso di validità, dichiarazione di adeguatezza consegnata al cliente e tracciabilità di ogni raccomandazione. |
| Incentivi | Compensi di terzi senza dimostrare il miglioramento della qualità del servizio | Mappa dei flussi, catalogo dei miglioramenti documentati e informativa al cliente preventiva e periodica. |
| Registrazione | Ordini e istruzioni che arrivano da canali non coperti | Perimetro dei canali approvato, prova di recupero per cliente e conservazione 5 anni, estendibile fino a 7 su richiesta. |
Verifichiamo la tua conformità a MiFID II con la stessa logica con cui la verificherebbe il supervisore: campione di fascicoli reali, interviste al team e prova di tracciabilità. Ne esci con una relazione di rilievi prioritari e un piano di remediation che puoi eseguire e mostrare.
È una revisione indipendente di come applichi ogni giorno le norme di condotta di MiFID II: classificazione dei clienti, adeguatezza e appropriatezza, informativa sui costi, incentivi, registrazione delle comunicazioni, product governance e best execution.
Non è un corso né una relazione su cosa dice la direttiva. È un lavoro sul campo: prendiamo un campione dei tuoi fascicoli, intervistiamo chi segue il cliente e verifichiamo se ciò che dice il tuo manuale si può dimostrare con documenti. Il risultato è un elenco di rilievi con livello di criticità e un piano per chiuderli.
Sono due momenti distinti. Con la compliance MiFID II costruiamo il sistema: policy, modelli, contratti e procedure. Con l’audit verifichiamo se quel sistema (il nostro o quello che avevi già) funziona su clienti reali.
Se non hai mai costruito il quadro di riferimento, parti dal servizio di compliance. Se ce l’hai da tempo e non sai in che stato sia, parti dall’audit: la diagnosi ti dirà dove conviene investire. Se vuoi il contesto normativo completo, lo trovi in MiFID II.
All’avvio ti inviamo un elenco di richieste chiuso. In termini generali chiediamo: policy e manuali vigenti con la data di approvazione, contratti tipo con i clienti, modelli dei test di adeguatezza e di appropriatezza, modelli di informativa sui costi ex ante ed ex post, catalogo dei prodotti e relativo target market, accordi con terzi che generino incassi o pagamenti, policy di best execution, mappa dei canali registrati e registro della formazione del personale.
Poi selezioniamo il campione di fascicoli concreti. È lì che emerge la maggior parte dei rilievi.
Poco. La maggior parte è revisione documentale, che svolgiamo con le informazioni che ci fornisci. Servono però brevi interviste con le persone chiave: chi segue il cliente, chi prepara l’informativa sui costi, chi gestisce i sistemi e chi svolge la funzione di compliance.
Quelle conversazioni sono indispensabili perché il rilievo tipico non è «manca un documento», ma «il documento esiste, però il relationship manager fa altro». La durata complessiva dipende dalle dimensioni dell’ente, dal numero di servizi e dal volume di fascicoli inclusi nel campione.
Tre elementi. Primo: la relazione di audit, con ogni rilievo descritto, il criterio normativo con cui viene confrontato, l’evidenza esaminata, il rischio associato e la raccomandazione concreta. Secondo: il piano di remediation, con azione, responsabile interno e data di chiusura per ogni punto. Terzo: la cartella delle evidenze, ordinata per materia, per poter rispondere a una richiesta di informazioni senza ricostruire nulla.
Se vuoi, aggiungiamo una sessione di presentazione all’organo di amministrazione: l’approvazione del piano deve essere documentata.
Si assegna la priorità e si chiudono. I rilievi di criticità alta (quelli che incidono sulla tutela del cliente o lasciano l’ente senza prova) si affrontano per primi, di norma con misure rapide: aggiornare i modelli, riaprire i test scaduti, chiudere i canali di comunicazione non coperti.
Quelli strutturali richiedono un progetto: ridisegnare il flusso dei costi, rivedere la product governance o riorganizzare l’archivio. Possiamo eseguire la remediation insieme a te oppure limitarci a supervisionare l’avanzamento e verificare la chiusura. L’importante è che il piano abbia delle date e che qualcuno risponda di ciascuna.
Serve, ma cambia l’ordine di lavoro. Con una richiesta di informazioni sul tavolo, la prima cosa è preparare una risposta completa, coerente e nei termini; la revisione generale viene dopo, per evitare che la domanda successiva ti trovi nella stessa situazione.
Ciò che non funziona è improvvisare: le risposte contraddittorie tra reparti e le evidenze che emergono a metà sono ciò che trasforma un’attività di vigilanza in qualcosa di più serio. Come si svolge un’attività di vigilanza e come si risponde lo spieghiamo in vigilanza e ispezioni della CNMV.
Ciò che la normativa richiede è che tu abbia una funzione di compliance che riveda e valuti periodicamente l’adeguatezza e l’efficacia delle tue policy e procedure e riferisca le sue conclusioni all’organo di amministrazione. Come strutturare quella revisione lo decidi tu.
Una revisione esterna apporta due cose che quella interna non sempre può dare: indipendenza reale ed esperienza comparata con altri enti. E lascia un documento datato che dimostra che l’ente si autovaluta, un elemento a favore quando arriva un’attività di vigilanza. Per le EAF, inoltre, si inserisce nel quadro degli altri obblighi successivi all’autorizzazione.
Fare audit non significa rileggere i manuali: significa verificare se la tua operatività lascia traccia. Questo è il percorso che seguiamo, dall’ambito alla chiusura dei rilievi.
Delimitiamo quali servizi presti davvero e a quali clienti, concordiamo le aree incluse nella revisione e selezioniamo il campione di fascicoli: per prodotto, per relationship manager e per casi limite. Senza un ambito scritto, l’audit si disperde.
Revisione documentale, interviste alle persone che seguono il cliente e prove di tracciabilità: ti chiediamo un fascicolo concreto e misuriamo quanto tempo impieghi a ricomporlo per intero. Tutto è supportato da carte di lavoro.
Rilievi prioritari per criticità, piano d’azione con responsabile e data, presentazione all’organo di amministrazione e, se lo richiedi, verifica della chiusura dopo un certo tempo. L’audit termina quando i rilievi sono chiusi, non quando si consegna il PDF.
Se ciò che ti serve è costruire il quadro da zero, parti dal nostro servizio di compliance MiFID II. Se la tua società è già autorizzata, controlla anche il calendario degli obblighi continuativi.
I 10 controlli di condotta che la CNMV si aspetta di vedere in funzione in una EAF o in una ESI, con l’evidenza tipica di ciascuno. Ideale come autodiagnosi trimestrale con il tuo team.
Niente spam. La tua email viene usata solo per inviarti questa checklist e, di tanto in tanto, aggiornamenti normativi rilevanti.
La checklist si sta scaricando in questo momento. Se il download non parte automaticamente, clicca qui.
Dopo averlo letto, ti serve aiuto per mettere in pratica alcuni dei passaggi? Scrivici direttamente:
Termini che troverai nella proposta, nella relazione e nelle conversazioni con il tuo organo di amministrazione. Conviene che significhino la stessa cosa per tutti.
Confronto tra ciò che richiedono le norme di condotta di MiFID II e ciò che dimostra la tua documentazione reale su clienti e operazioni.
Documento iniziale che fissa le aree verificate, il periodo esaminato, le unità coinvolte e i limiti del lavoro. Si concorda prima di cominciare.
Selezione di casi concreti per prodotto, relationship manager e tipo di cliente, compresi i casi limite in cui il processo tende a incepparsi.
Differenza dimostrata tra il requisito normativo e la prassi osservata, con l’evidenza esaminata e il rischio che ne deriva.
Classificazione del rilievo in base al suo impatto sul cliente, alla sua ricorrenza e alla capacità dell’ente di provare il contrario.
Traduzione di ogni rilievo in un compito concreto con un responsabile interno e una scadenza di chiusura, approvata dall’organo di amministrazione.
Area che verifica e valuta periodicamente l’adeguatezza e l’efficacia delle policy e delle procedure e riferisce all’organo di amministrazione.
Supporto interno di ogni verifica: cosa è stato esaminato, su quale documento, in che data e con quale conclusione.
Archivio ordinato per materia con policy vigenti, evidenze e registri, pronto per rispondere a una richiesta di informazioni senza improvvisare.
Categoria assegnata in conformità all’Allegato II di MiFID II, comunicata al cliente, con i cambi di categoria giustificati e documentati.
Scheda cliente con categoria e data, comunicazione al cliente, richieste di riclassificazione e analisi che le sorregge.
Test di adeguatezza in corso di validità prima di ogni raccomandazione (art. 25 MiFID II) e test di appropriatezza nei servizi senza consulenza su prodotti complessi.
Questionari compilati e datati, dichiarazione di adeguatezza consegnata, avvertenze in caso di esito negativo e registro dell’esenzione per la sola esecuzione di ordini.
Pagamenti di terzi solo dove l’art. 24 MiFID II lo consente, con miglioramento della qualità documentato, e informativa sui costi ex ante ed ex post annuale.
Contratti con terzi, prospetto dei flussi, catalogo dei miglioramenti documentati e campione di report sui costi consegnati e riconciliati.
Registrazione delle conversazioni e delle comunicazioni che possono dar luogo a operazioni (art. 16(7) MiFID II), anche se l’operazione non viene eseguita.
Inventario dei canali, policy sui dispositivi, prova di recupero di una comunicazione concreta e conservazione 5 anni, estendibile fino a 7 su richiesta.
Target market positivo e negativo definito e applicato (artt. 16(3) e 24(2) MiFID II) e policy di best execution dell’art. 27 rivista.
Scheda di product governance per strumento, flusso informativo di ritorno verso il produttore, policy di esecuzione e verbali della sua revisione.
Se ne riconosci due o più, la tua esposizione non è nel manuale: è nel fascicolo che qualcuno ti chiederà.
Quasi nessuna revisione si ferma al proprio perimetro. Un rilievo sugli incentivi apre il registro dei conflitti; uno sull’adeguatezza apre la formazione del team; uno sulla tracciabilità apre l’archivio. Queste sono le pagine in cui approfondiamo ogni area.
Mappa dei conflitti, misure organizzative e registro. È il primo documento che viene richiesto quando compaiono pagamenti di terzi.
Reporting, audit, tasse e compliance continuativa: il calendario che l’audit verifica che tu stia rispettando.
Il contesto normativo completo: direttiva, regolamento delegato e norme di condotta che vengono verificate nella revisione.
Se il rilievo è che il relationship manager non ha saputo applicare la policy, il problema è di comprova della formazione, non di redazione.
Se hai addosso un’attività del supervisore, parti da vigilanza e ispezioni della CNMV e dal regime delle sanzioni della CNMV. Se vuoi costruire il sistema completo prima di sottoporlo ad audit, vai a compliance MiFID II.
Raccontaci quali servizi di investimento presti e a che punto è la tua conformità a MiFID II: ti diciamo cosa conviene verificare per primo e con quale profondità.
Ultimo aggiornamento: 4 agosto 2026
Un audit di conformità MiFID II non spiega la normativa: la confronta con la tua operatività. Il quadro di riferimento è la Direttiva 2014/65/UE (MiFID II), il Regolamento (UE) 600/2014 (MiFIR) e il Regolamento delegato (UE) 2017/565, applicati in Spagna attraverso la Legge 6/2023 e il Real Decreto 813/2023. La revisione misura una sola cosa: se ogni obbligo di condotta lascia una traccia documentale che puoi mostrare alla CNMV senza ricostruire nulla. Lavoriamo su fascicoli reali, intervistiamo chi segue il cliente e consegniamo rilievi prioritari con un piano di remediation eseguibile.
Il perimetro è l’intero ciclo del cliente. Parte dalla classificazione (cliente al dettaglio, professionale o controparte qualificata ai sensi dell’Allegato II di MiFID II), perché da essa dipendono le tutele dovute e le avvertenze richieste. Prosegue con la valutazione preliminare: il test di adeguatezza quando c’è consulenza o gestione di portafogli (art. 25 MiFID II), con le preferenze di sostenibilità introdotte dagli orientamenti ESMA sull’adeguatezza aggiornati nel 2023, e il test di appropriatezza nei servizi senza consulenza su prodotti complessi, con il relativo regime di avvertenze e l’esenzione per la sola esecuzione di ordini. Continua con la trasparenza economica: l’informativa su costi e oneri ex ante ed ex post annuale, aggregata, con dettaglio su richiesta ed effetto cumulativo sul rendimento (art. 24(4) MiFID II e art. 50 del Regolamento delegato (UE) 2017/565), e il regime degli incentivi dell’art. 24, vietati nella consulenza indipendente e nella gestione discrezionale di portafogli. Si chiude con la registrazione delle comunicazioni dell’art. 16(7), la product governance degli artt. 16(3) e 24(2) con il suo target market positivo e negativo, la best execution dell’art. 27 e la gestione dei conflitti di interesse.
La metodologia è volutamente scomoda, perché replica la logica del supervisore. Prima si fissa per iscritto l’ambito: aree, periodo esaminato e unità coinvolte. Poi si seleziona il campione, e lo seleziona l’auditor, non l’ente sottoposto ad audit: fascicoli per prodotto, per relationship manager e per casi limite (clienti riclassificati, prodotti complessi, operazioni su iniziativa del cliente, contratti vecchi che nessuno ha più riguardato). Su quel campione si fanno due cose. Una, la revisione documentale: verificare che il documento esista, sia firmato, sia in vigore e sia coerente con l’anello successivo della catena. Due, le prove di tracciabilità: chiedere un caso concreto e misurare quanto tempo impiega l’ente a ricomporlo per intero, perché un’evidenza che impiega settimane a comparire non serve a rispondere a una richiesta di informazioni. A questo si aggiungono brevi interviste con chi segue il cliente, con chi prepara l’informativa sui costi e con la funzione di compliance. Tutto è supportato da carte di lavoro che permettono di ricostruire la revisione anni dopo.
La relazione non è un elenco di rimproveri. Ogni rilievo viene documentato con quattro elementi: il requisito normativo concreto, l’evidenza esaminata, lo scostamento osservato e la raccomandazione operativa. A ciascuno si assegna una criticità, che ordina il lavoro: prima ciò che incide sulla tutela del cliente o lascia l’ente senza prova, poi ciò che è strutturale. Da qui nasce il piano di remediation, che è la parte che si usa davvero: una tabella con azione, responsabile interno e data di chiusura, pensata per essere portata all’organo di amministrazione e approvata a verbale. Chiudiamo con la cartella delle evidenze, ordinata per materia, perché l’ente non debba cercare di nuovo gli stessi documenti la prossima volta. Se lo richiedi, verifichiamo la chiusura dopo un certo tempo e lasciamo traccia di quali rilievi sono stati risolti e quali restano aperti, con la relativa motivazione. Quella traccia (autovalutazione, piano approvato e monitoraggio) è esattamente ciò che dimostra che l’ente si controlla da sé.
Ci sono quattro momenti naturali: quando cambia il modello di business o la gamma di prodotti, quando arriva un nuovo responsabile della compliance, quando un reclamo contesta una raccomandazione concreta e quando il supervisore si muove. La CNMV vigila in modo continuativo, a distanza e anche in loco, e il suo approccio è sempre lo stesso: non chiede cosa dice il tuo manuale, chiede che le mostri il caso. Lo approfondiamo in vigilanza e ispezioni della CNMV. La normativa sui mercati dei valori classifica le infrazioni in lievi, gravi e molto gravi, e la gamma delle conseguenze va dalla multa all’ammonimento pubblico, alla revoca dell’autorizzazione o all’interdizione dalle cariche; i dettagli sono nelle sanzioni della CNMV. Di fronte a ciò, una revisione indipendente datata, con il suo piano approvato e il suo monitoraggio, è la differenza tra un ente che corregge e un ente che si accorge dei problemi quando è troppo tardi. Se il tuo caso è una EAF già autorizzata, inseriscilo nel calendario degli obblighi continuativi.
Questo contenuto ha carattere divulgativo e non costituisce consulenza legale. La normativa citata potrebbe essere stata modificata dopo la data di aggiornamento indicata: verifica sempre la versione in vigore oppure contattaci per analizzare il tuo caso concreto.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .