Esternalizzazione dell’unità tecnica antiriciclaggio in Spagna

La normativa spagnola non la disciplina in modo specifico. L’art. 35.3 del RD 304/2014 richiede che l’unità tecnica abbia personale specializzato, in dedicazione esclusiva e con formazione adeguata in materia di analisi, e la Legge 10/2010 menziona l’esternalizzazione solo all’art. 8.4, per i fornitori che per contratto sono considerati parte del soggetto obbligato. Per questo, oggi la scelta prudente è rafforzare l’unità tecnica con un team esterno, lasciando le decisioni alla tua società. Dal 10 luglio 2027 l’art. 18 dell’AMLR disciplina espressamente l’esternalizzazione delle attività.

Quelle di supporto all’analisi: revisione degli alert, preparazione scritta dell’esame speciale, calibrazione degli scenari di monitoraggio, formazione del team e preparazione di relazioni ed evidenze. Ciò che conviene resti sempre alla tua società sono le decisioni: il profilo di rischio del cliente, l’accettazione o meno di un’operazione e la segnalazione al SEPBLAC.

L’art. 18.3 del Regolamento (UE) 2024/1624 vieta di esternalizzare sei attività: la proposta e l’approvazione della valutazione dei rischi dell’intera attività; l’approvazione delle politiche, delle procedure e dei controlli interni; la decisione sul profilo di rischio del cliente; la decisione di instaurare un rapporto d’affari o di eseguire un’operazione occasionale; la segnalazione di operazioni sospette alla FIU (unità di informazione finanziaria), salvo a un altro soggetto obbligato dello stesso gruppo nello stesso Stato; e l’approvazione dei criteri per individuare operazioni sospette o inusuali.

La tua società. Con l’AMLR, il soggetto obbligato resta pienamente responsabile di tutto ciò che riguarda le attività esternalizzate e deve poter dimostrare all’autorità di vigilanza di capire che cosa fa il fornitore (art. 18.2). La Legge 10/2010 segue lo stesso criterio quando si ricorre a terzi per l’adeguata verifica (art. 8.1).

La normativa spagnola attuale non prevede un adempimento specifico. Con l’AMLR, dal 10 luglio 2027, il soggetto obbligato dovrà notificare l’esternalizzazione all’autorità di vigilanza prima che il fornitore inizi a svolgere le attività (art. 18.1).

L’AMLR richiede un accordo scritto con le condizioni del servizio, l’applicazione da parte del fornitore delle politiche e delle procedure della tua società e controlli periodici sul suo lavoro (art. 18.4), senza ostacolare l’attività dell’autorità di vigilanza (art. 18.5). Consigliamo di includere anche la riservatezza, l’accesso alle informazioni, la sub-esternalizzazione e i tempi di risposta. Lo spieghiamo in dettaglio nel contratto di esternalizzazione KYC.

Con l’AMLR non si possono esternalizzare attività a fornitori stabiliti nei paesi terzi ad alto rischio individuati dall’Unione europea, a meno che il fornitore appartenga allo stesso gruppo e siano rispettate le altre condizioni dell’art. 18.6.

Non allo stesso modo. Il rappresentante presso il SEPBLAC deve essere una persona residente in Spagna con un incarico di amministrazione o direzione della società (art. 26 ter.1 della Legge 10/2010), e l’organo di controllo interno è un organo della tua società. Un fornitore esterno può supportarli, ma non sostituirli. Lo spieghiamo nelle pagine sul rappresentante presso il SEPBLAC e sull’organo di controllo interno.