Se un fornitore di KYC identifica i tuoi clienti o verifica i loro documenti, la responsabilità resta tua. Dal 10 luglio 2027, l’art. 18 del Regolamento (UE) 2024/1624 (AMLR) richiede un contratto scritto, controlli periodici e un preavviso all’autorità di vigilanza. Redigiamo o verifichiamo noi quel contratto.
Il tuo contratto KYC regge di fronte all’AMLR? Verifica gratuita
Raccontaci cosa fa il tuo fornitore di KYC e ti diciamo cosa manca al contratto.
Esternalizzare il KYC è legale, ma l’AMLR stabilisce cosa puoi delegare, cosa no e cosa deve prevedere il contratto. Mettiamo tutto a posto prima che lo verifichino il SEPBLAC o la tua autorità di vigilanza.
Distinguiamo ciò che è esternalizzazione (il fornitore svolge per te attività di adeguata verifica) da ciò che non lo è (usare il suo software, le sue banche dati o i suoi servizi di screening), perché le regole cambiano.
Verifichiamo che il fornitore non decida al posto tuo il profilo di rischio del cliente, l’accettazione del rapporto d’affari né la segnalazione di operazioni sospette.
Redigiamo o verifichiamo l’accordo scritto: attività, applicazione delle tue politiche, sub-esternalizzazione, accesso alle informazioni, audit, conservazione dei dati e cessazione.
Documentiamo che il fornitore è sufficientemente qualificato, dove è stabilito e come protegge i dati, prima che inizi a lavorare.
Prepariamo la notifica preventiva all’autorità di vigilanza e il piano dei controlli periodici, con una frequenza proporzionata all’importanza dell’attività.
Adeguiamo i tuoi contratti attuali, firmati con la Legge 10/2010 e il RD 304/2014, in modo che arrivino al 10 luglio 2027 senza doverli rinegoziare in fretta.
Il contratto con il fornitore è la prima cosa che l’autorità di vigilanza chiede quando l’onboarding dei clienti non è fatto dal tuo team.
Video-identificazione, lettura dei documenti o biometria affidate a un terzo: se svolge l’attività per te, agisce come parte della tua società e ne rispondi tu.
L’art. 18 dell’AMLR sarà direttamente applicabile: contratto scritto, controlli periodici e preavviso all’autorità di vigilanza prima di esternalizzare.
Se è stabilito in un paese terzo identificato ai sensi dell’AMLR (ad alto rischio, con carenze di conformità o che rappresenta una minaccia specifica e grave), potrai esternalizzare solo all’interno del tuo gruppo e con controlli di gruppo.
Devi essere in grado di dimostrare di comprendere la logica di ciò che fa il fornitore e che questa attenua i tuoi rischi specifici.
Dati tratti dal Regolamento (UE) 2024/1624 (AMLR), dalla Legge 10/2010 e dal Real Decreto 304/2014.
Data di applicazione generale del Regolamento (UE) 2024/1624.
Non si esternalizzano mai: valutazione del rischio, politiche, profilo di rischio, accettazione del cliente, segnalazione alla UIF e criteri di rilevazione.
Il soggetto obbligato notifica l’esternalizzazione all’autorità di vigilanza prima che il fornitore inizi a svolgere le attività.
Termine massimo entro cui il soggetto obbligato a cui ricorri ti consegna le informazioni di adeguata verifica.
Oggi il ricorso a terzi richiede un accordo scritto preventivo ed esclude il monitoraggio continuo del rapporto.
L’Autorità per la lotta al riciclaggio di denaro (AMLA) deve pubblicare orientamenti sull’esternalizzazione entro il 10-07-2027.
Verifichiamo il contratto e il processo reale e ti diciamo cosa cambiare prima che arrivi l’AMLR o un’ispezione.
Preferisci che ce ne occupiamo noi? Il nostro team può gestire il KYC dei tuoi clienti: esternalizzazione del KYC, con il fascicolo pronto in 24 ore lavorative.
Sì. L’art. 18 dell’AMLR consente di esternalizzare a fornitori di servizi le attività derivanti dal Regolamento e oggi la Legge 10/2010 ammette il ricorso a terzi e i rapporti di esternalizzazione o di agenzia. In ogni caso il soggetto obbligato resta pienamente responsabile di ciò che il fornitore fa o non fa.
Secondo l’art. 18.3 dell’AMLR: la proposta e l’approvazione della valutazione del rischio dell’intera organizzazione; l’approvazione delle politiche, delle procedure e dei controlli interni; la decisione sul profilo di rischio del cliente; la decisione di instaurare il rapporto d’affari o di eseguire l’operazione occasionale; la segnalazione alla UIF di operazioni sospette o delle dichiarazioni basate su soglie (salvo a un altro soggetto obbligato dello stesso gruppo e Stato membro); e l’approvazione dei criteri per rilevare le operazioni sospette.
Non necessariamente. Il considerando 47 dell’AMLR chiarisce che non si considera esternalizzazione l’uso o l’acquisto di programmi informatici di terzi né l’accesso a banche dati o a servizi di screening, quando a rispettare l’obbligo resta il soggetto obbligato. Lo è invece quando il fornitore svolge per te l’attività di adeguata verifica.
Come minimo, ciò che richiede l’art. 18.4 dell’AMLR: un accordo scritto con le condizioni delle attività, l’obbligo del fornitore e di qualsiasi subappaltatore di applicare le tue politiche e procedure e i tuoi controlli periodici; e, in base all’art. 18.5, nulla che ostacoli la vigilanza. Se sei un ente creditizio, un istituto di pagamento o un istituto di moneta elettronica, conviene allinearlo anche agli orientamenti dell’EBA sull’esternalizzazione.
Con l’AMLR, sì: il soggetto obbligato notifica l’esternalizzazione all’autorità di vigilanza prima che il fornitore inizi (art. 18.1). La notifica non significa che l’autorità di vigilanza accetti l’accordo, ma questa può usarla per valutare i tuoi controlli o preparare ispezioni.
Nell’esternalizzazione il fornitore agisce come parte della tua società e applica le tue politiche. Nel ricorso a terzi (artt. 48–50 dell’AMLR) ti appoggi all’adeguata verifica già effettuata da un altro soggetto obbligato vigilato, che deve consegnarti le informazioni entro un massimo di cinque giorni lavorativi. In entrambi i casi la responsabilità ultima resta tua.
Sì, a meno che sia stabilito in un paese terzo identificato ai sensi della sezione 2 del capo III dell’AMLR: ad alto rischio, con carenze di conformità o che rappresenta una minaccia specifica e grave. In tal caso puoi esternalizzare solo a un fornitore del tuo stesso gruppo, che applichi politiche di gruppo conformi al Regolamento e sia vigilato a livello di gruppo (art. 18.6).
La Legge 10/2010 e il Real Decreto 304/2014. L’art. 8 della legge consente di ricorrere a terzi soggetti alla normativa antiriciclaggio con un accordo scritto preventivo, salvo che per il monitoraggio continuo, e non si applica ai rapporti di esternalizzazione o di agenzia in cui il fornitore è considerato parte del soggetto obbligato. Inoltre, dal 28 ottobre 2026 l’art. 21 del RD 304/2014 richiede che le «altre procedure sicure» di identificazione a distanza rispettino i requisiti minimi delle autorizzazioni generali pubblicate dal SEPBLAC.
L’autorità di vigilanza non ti chiederà se il fornitore è bravo, ma se tu capisci e controlli ciò che fa.
Software e banche dati non sono esternalizzazione; svolgere per te l’adeguata verifica, sì.
Il profilo di rischio, l’accettazione del cliente e la segnalazione alla UIF non escono mai dal soggetto obbligato.
Contratto, valutazione preliminare, controlli periodici e avviso all’autorità di vigilanza dimostrano che il modello funziona.
Fonte: Regolamento (UE) 2024/1624 (artt. 18, 48–50 e 90; considerando 47–50), Legge 10/2010 (art. 8) e Real Decreto 304/2014 (artt. 13 e 21).
Questi termini compaiono nel Regolamento (UE) 2024/1624, nella Legge 10/2010 e in qualsiasi verifica del tuo processo di onboarding dei clienti.
Identificare e verificare il cliente e il titolare effettivo, conoscere lo scopo del rapporto e monitorarlo.
Affidamento a un fornitore di servizi di attività derivanti dal Regolamento; il fornitore è considerato parte del soggetto obbligato.
Appoggiarsi all’adeguata verifica già svolta da un altro soggetto obbligato vigilato.
Impresa che svolge attività di compliance per conto del soggetto obbligato, anche se non è essa stessa un soggetto obbligato.
Affidamento di attività da parte del fornitore a un altro fornitore, che deve applicare anch’esso le politiche del soggetto obbligato.
Attività la cui importanza determina la frequenza dei controlli che il soggetto obbligato deve svolgere.
Autorità europea che deve emanare orientamenti sull’esternalizzazione e sul ricorso a terzi.
Paese ad alto rischio, con carenze di conformità o che rappresenta una minaccia grave, identificato ai sensi dell’AMLR: lì non si esternalizza, salvo all’interno del gruppo.
Con la Legge 10/2010 non può essere affidato a terzi nel ricorso a terzi, salvo nei gruppi.
Esternalizzazione: un fornitore che agisce come parte della tua società.
Ricorso a un altro soggetto obbligato: un altro soggetto obbligato che ha già svolto la propria adeguata verifica.
Esternalizzazione: le tue, anche nella sub-esternalizzazione.
Ricorso a un altro soggetto obbligato: quelle dell’altro soggetto, che deve rispettare l’AMLR o norme equivalenti.
Esternalizzazione: accordo scritto e preavviso all’autorità di vigilanza.
Ricorso a un altro soggetto obbligato: accordo scritto sulla trasmissione delle informazioni.
Esternalizzazione: accesso secondo il contratto e controlli periodici.
Ricorso a un altro soggetto obbligato: consegna senza ritardo ed entro un massimo di cinque giorni lavorativi.
Esternalizzazione: piena, in capo al soggetto obbligato.
Ricorso a un altro soggetto obbligato: ultima, in capo al soggetto che ricorre.
Sono i punti che più spesso non reggono quando si verifica un onboarding dei clienti esternalizzato.
Raccontaci quale fornitore di KYC usi, quali attività gli affidi e quale contratto hai firmato, e ti diciamo cosa cambiare.
Aggiornato al 15 ottobre 2026
Il Regolamento (UE) 2024/1624 (AMLR), applicabile dal 10 luglio 2027, disciplina in una norma europea direttamente applicabile l’esternalizzazione delle attività di antiriciclaggio. Il suo art. 18 consente di affidare attività a fornitori di servizi, ma fissa dei limiti, richiede un accordo scritto e lascia tutta la responsabilità in capo al soggetto obbligato.
I soggetti obbligati possono esternalizzare a fornitori di servizi le attività derivanti dal Regolamento e devono notificarlo all’autorità di vigilanza prima che il fornitore inizi. Il fornitore è considerato parte del soggetto obbligato, che resta pienamente responsabile di qualsiasi azione od omissione e deve poter spiegare all’autorità di vigilanza la logica di ciò che fa il fornitore e come attenua i suoi rischi.
L’art. 18.3 esclude la valutazione del rischio dell’intera organizzazione, l’approvazione di politiche e controlli, la decisione sul profilo di rischio del cliente, la decisione di instaurare il rapporto d’affari, la segnalazione alla UIF di operazioni sospette o di dichiarazioni basate su soglie (salvo all’interno del gruppo e dello stesso Stato membro) e l’approvazione dei criteri di rilevazione. Esiste un’eccezione limitata per gli organismi di investimento collettivo privi di personalità giuridica, con l’approvazione dell’autorità di vigilanza.
Prima di esternalizzare, il soggetto obbligato deve assicurarsi che il fornitore sia sufficientemente qualificato. Le condizioni sono fissate in un accordo scritto, il fornitore e i suoi subappaltatori applicano le politiche del soggetto obbligato e questo svolge controlli periodici la cui frequenza dipende dall’importanza dell’attività. Per gli enti creditizi, gli istituti di pagamento e gli istituti di moneta elettronica, gli orientamenti dell’EBA sull’esternalizzazione (EBA/GL/2019/02) aggiungono un contenuto minimo per i contratti relativi a funzioni essenziali; a settembre 2026 l’EBA ha pubblicato orientamenti sulla gestione del rischio di terze parti che li sostituiranno.
Nel frattempo vale l’art. 8 della Legge 10/2010: si può ricorrere a terzi soggetti alla normativa antiriciclaggio per applicare l’adeguata verifica, salvo il monitoraggio continuo, con un accordo scritto preventivo e mantenendo la piena responsabilità. Quell’articolo non si applica ai rapporti di esternalizzazione o di agenzia in cui il fornitore è considerato parte del soggetto obbligato. Il RD 304/2014 precisa l’accordo (art. 13) e, dal 28 ottobre 2026, rinvia le «altre procedure sicure» di identificazione a distanza alle autorizzazioni generali del SEPBLAC (art. 21).
Se ti serve il contesto di base, parti da cos’è il KYC. Il contratto con il fornitore fa parte del tuo manuale antiriciclaggio e dei tuoi controlli interni. Se vuoi delegare a uno studio la gestione della tua compliance, vedi l’esternalizzazione AML/CFT; per il nuovo quadro europeo nel suo insieme, la nostra pagina sull’AMLR.