Acquisisci clienti da remoto con una procedura propria che regga a una richiesta di informazioni: scelta della modalità, controlli, evidenze conservate, relazione di audit e controllo reale sul fornitore tecnologico.
Identifichi i clienti via video? Revisione gratuita della procedura
Raccontaci come fai l’onboarding dei tuoi clienti da remoto e ti diciamo cosa manca perché la procedura sia difendibile davanti al supervisore.
L’onboarding remoto non si risolve comprando un software. Ecco i sei elementi che trasformano il tuo onboarding in un fascicolo che regge.
Redigiamo il documento che descrive il tuo flusso reale: modalità di video scelta, controlli sul documento e sulla persona, criteri di accettazione e di rifiuto, intervento umano, gestione degli incidenti e conservazione delle evidenze. È il documento che ti chiederanno quando vorranno sapere come identifichi i clienti.
Identificare è il primo passo. Progettiamo il resto dell’onboarding: finalità del rapporto, origine dei fondi, profilo di rischio, screening rispetto alle liste e decisione documentata. Il video si inserisce nel percorso di adeguata verifica, non lo sostituisce.
Se il tuo manuale descrive ancora solo l’onboarding in presenza, la procedura video nasce orfana. La integriamo e ne gestiamo le versioni.
Contratto, accesso alle evidenze, diritto di audit, subappalto e uscita ordinata. Il compito si esternalizza; la responsabilità no.
L’onboarding remoto è la norma per exchange e wallet. Adattiamo la procedura al profilo di rischio del settore.
Semplificata, ordinaria o rafforzata: quali misure applichi a ciascun profilo e come lo giustifichi per iscritto.
Quattro realtà diverse con lo stesso problema: l’acquisizione digitale dei clienti corre più veloce della documentazione di compliance.
«Apriamo un conto in pochi minuti e funziona. Il problema è arrivato quando ci hanno chiesto la procedura: avevamo screenshot del prodotto, non un documento che spiegasse cosa controlliamo e chi decide.»
«Prima eravamo registrati come prestatore di servizi di cambio e custodia. Con la licenza CASP, l’onboarding ha smesso di essere un modulo ed è diventato un fascicolo che dobbiamo essere in grado di mostrare.»
«Nella domanda di autorizzazione abbiamo indicato come avremmo identificato i clienti. Mesi dopo, l’operatività reale non assomigliava per niente a ciò che avevamo descritto e nessuno aveva aggiornato la procedura.»
«Abbiamo scelto una soluzione di verifica dell’identità molto nota e abbiamo dato per scontato che bastasse per essere in regola. Nessuno ci ha avvertito che la procedura doveva essere nostra e sottoposta ad audit.»
Di solito non sono errori tecnologici. Sono errori di documentazione, di governance interna e di contratto con il fornitore: tutti e tre emergono alla prima verifica.
Comprare lo strumento e non scrivere nulla: la soluzione del fornitore descrive un prodotto, non la tua operatività. Quando il supervisore chiede «la procedura», la documentazione commerciale del produttore non vale come risposta.
Conservare il risultato e non l’evidenza: un registro che dice «verificato» senza il materiale che ha portato a quella conclusione non permette di ricostruire nulla. L’evidenza che non riesci a recuperare equivale a quella che non è mai esistita.
Dare per scontato che il fornitore risponda al posto tuo: il soggetto obbligato sei tu. Se il contratto non ti dà accesso alle evidenze, diritto di audit e controllo sul subappalto, l’errore del terzo viene imputato a te.
| Modalità di identificazione | In cosa consiste | Cosa devi saper dimostrare |
|---|---|---|
| Video differito | Il cliente registra e invia il materiale; la verifica e la decisione avvengono dopo, con intervento umano o con controlli automatizzati supervisionati. | Una procedura documentata e sottoposta ad audit, i criteri di verifica applicati e l’evidenza che permette di ripetere il controllo. |
| Video in diretta | Un operatore della società si collega in tempo reale con il cliente ed effettua i controlli durante la videochiamata. | Registrazione conservata, script uniforme dei controlli, formazione documentata dell’operatore e criteri di rifiuto applicati allo stesso modo a tutti. |
| Identificazione in presenza | Onboarding di persona con esibizione del documento e annotazione nel fascicolo del cliente. | Copia del documento, traccia del controllo effettuato e sua integrazione nello stesso fascicolo, con lo stesso standard degli onboarding remoti. |
Esaminiamo il tuo flusso reale, scegliamo con te la modalità adatta al tuo volume e al tuo rischio, redigiamo la procedura, mettiamo in ordine le evidenze e adeguiamo il contratto del fornitore. Prima consulenza gratuita e risposta entro 24 ore.
Sì. L’identificazione a distanza è pienamente valida ai fini della Legge 10/2010, del 28 aprile, a condizione che tu usi un metodo ammesso e abbia alle spalle una procedura propria. In Spagna, i metodi di identificazione remota via video sono disciplinati dall’Orden ETD/465/2021, del 6 maggio.
La differenza tra una società che ha risolto la questione e una che non l’ha fatto raramente sta nella tecnologia: sta nell’esistenza di un documento che descriva il flusso reale, nella conservazione delle evidenze e nel fatto che qualcuno controlli ciò che fa il fornitore. È esattamente ciò che viene verificato quando arriva la richiesta di informazioni.
Nel video in diretta, un operatore della tua società si collega in tempo reale con il cliente ed effettua i controlli durante la videochiamata. Ti servono personale disponibile negli orari in cui acquisisci clienti, uno script uniforme e una formazione documentata per chi gestisce la chiamata.
Nel video differito, il cliente registra e invia il materiale e la verifica avviene dopo. Scala molto meglio, ma sposta tutta l’esigenza sulla procedura: come si effettua la verifica, chi decide, cosa succede nei casi dubbi e come si documenta un rifiuto. I requisiti concreti di ciascuna modalità sono fissati dall’Orden ETD/465/2021: non si improvvisano né si copiano dal concorrente.
L’Orden ETD/465/2021 non si limita a descrivere le tecnologie ammissibili: sottopone la procedura a un controllo preventivo da parte dell’autorità competente in materia di antiriciclaggio, con una portata che varia a seconda della modalità scelta. Acquistare una soluzione e attivarla non è un’opzione.
Non ti daremo un termine preciso, perché dipende dalla modalità, dalla qualità della tua documentazione e dalla relazione di audit che accompagna la procedura. Quello che sappiamo per esperienza è che una procedura generica, che non descrive il flusso reale della società, allunga l’iter molto più di qualsiasi questione tecnica.
No. Affidarsi a un fornitore di verifica dell’identità risolve l’esecuzione, non la conformità. Il soggetto obbligato resta la tua società e la procedura deve essere tua: il tuo ambito, i tuoi criteri di accettazione e di rifiuto, il tuo intervento umano, la tua politica di conservazione e la tua governance interna.
L’errore più costoso che vediamo è quello della società che mostra il manuale del produttore quando le chiedono la propria procedura. Quella documentazione descrive un prodotto; il supervisore chiede della tua operatività. Come si sceglie e si controlla un terzo senza restare scoperti lo spieghiamo in esternalizzazione delle funzioni antiriciclaggio.
Come minimo, tutto ciò che permette di ricostruire l’identificazione senza dover disturbare di nuovo il cliente: il materiale video o le immagini acquisiti, la copia del documento, l’esito dei controlli, l’indicazione di chi o che cosa li ha eseguiti, la decisione presa e la sua motivazione, e la tracciabilità dei tentativi falliti e dei rifiuti.
La conservazione segue il periodo fissato dalla normativa antiriciclaggio, con garanzie di integrità e di recupero in formato leggibile. E conviene fare una prova: un’evidenza che nessuno sa dove trovare quando arriva una verifica AML/CFT funziona, in pratica, come un’evidenza che non esiste.
Tu. La responsabilità dell’adeguata verifica non si esternalizza: si esternalizza il compito. Per questo il contratto con il fornitore fa parte del tuo fascicolo antiriciclaggio e non è una questione che riguarda solo l’ufficio acquisti.
Deve garantirti l’accesso alle evidenze in qualsiasi momento, il diritto di audit, il controllo sul subappalto, regole chiare sul trattamento e sull’ubicazione dei dati, la continuità del servizio e un’uscita ordinata se cambi fornitore. Se inoltre rientri nell’ambito di applicazione di DORA (Regolamento (UE) 2022/2554, applicabile da gennaio 2025), quel contratto include clausole obbligatorie e il fornitore entra nel tuo registro delle informazioni sui fornitori di servizi ICT.
No. Identificare significa accertare chi è quella persona. L’adeguata verifica comprende anche la conoscenza della finalità e della natura prevista del rapporto, l’origine dei fondi, il profilo di rischio del cliente, lo screening rispetto alle liste e il monitoraggio successivo dell’operatività.
Vediamo società con un onboarding remoto impeccabile che poi non sanno spiegare perché hanno classificato un cliente a rischio basso. Se il cliente agisce per conto di un altro, o risulta essere una persona politicamente esposta (PEP), entrano in gioco le misure rafforzate e la procedura deve prevederlo.
Non da sola. L’identificazione via video riguarda la persona fisica: chi è l’individuo che sta dall’altra parte della telecamera. Quando il tuo cliente è una società, quel video identifica soltanto il procuratore che firma, e il lavoro di fondo è un altro: documentazione societaria aggiornata, poteri del firmatario, catena di partecipazione e titolarità effettiva.
Questa parte la trattiamo in KYB: verifica dei clienti persona giuridica. Il confine è netto: qui convalidiamo le identità individuali da remoto; lì, le strutture societarie.
La procedura deve dirlo. Uno dei punti che generano più richieste di informazioni è il silenzio: documenti che descrivono il flusso con il documento nazionale e non dicono assolutamente nulla su documenti stranieri, clienti non residenti o giurisdizioni soggette a monitoraggio rafforzato.
La soluzione non è vietare tutto né ammettere tutto, ma stabilire per iscritto quali documenti accetti, quali controlli aggiuntivi richiedi e in quali casi l’onboarding passa a verifica manuale o viene sottoposto all’organo di controllo interno. Un criterio scritto e applicato in modo uniforme è difendibile; una serie di decisioni caso per caso, no.
Non partiamo dalla tecnologia: partiamo dal tuo onboarding reale e dal rischio che ti assumi. Lo strumento si sceglie alla fine, quando sappiamo già cosa deve fare.
Mappiamo come fai onboarding oggi, che tipo di clienti acquisisci e con quali volumi. Da qui nasce la scelta tra video differito e video in diretta, che condiziona organico, orari, costi e livello di esigenza documentale.
Redigiamo la procedura con la tua operatività al suo interno: controlli, criteri di rifiuto, intervento umano, incidenti, ruoli e conservazione. Poi viene sottoposta alla relazione di audit e al controllo preventivo richiesto dall’Orden ETD/465/2021.
Formazione del team, contratto con il fornitore adeguato, campionamento periodico degli onboarding, indicatori di rifiuto e revisione del documento ogni volta che cambi strumento, modalità o mercato di riferimento.
Se preferisci che ce ne occupiamo noi dall’inizio alla fine, parti dal nostro servizio di antiriciclaggio o dalla revisione del manuale antiriciclaggio, che è il luogo in cui il canale remoto deve trovare posto.
I 10 elementi che compongono un sistema di prevenzione difendibile davanti al SEPBLAC, con l’evidenza documentale che bisogna poter mostrare per ciascuno. Serve come autodiagnosi prima che arrivi l’ispezione.
Niente spam. La tua email viene usata solo per inviarti questa checklist e, di tanto in tanto, aggiornamenti normativi rilevanti.
La checklist si sta scaricando in questo momento. Se il download non parte automaticamente, clicca qui.
Dopo averlo letto, ti serve aiuto per mettere in pratica alcuni dei passaggi? Scrivici direttamente:
Questi termini compariranno nel tuo documento, nella relazione di audit e nella prima richiesta di informazioni che riceverai. Usarli con precisione fa risparmiare spiegazioni.
Accertamento dell’identità del cliente senza che si rechi in una sede, tramite metodi ammessi dalla normativa antiriciclaggio.
Il cliente registra e invia il materiale; la società lo verifica in un secondo momento e decide. Scala bene, ma richiede una procedura di verifica e di decisione molto precisa.
Un dipendente o agente della società effettua i controlli in tempo reale durante il collegamento con il cliente.
Orden ETD/465/2021, del 6 maggio, che disciplina i metodi di identificazione remota via video ai fini della Legge 10/2010.
Insieme delle evidenze associate a ciascun cliente: materiale acquisito, copia del documento, controlli, decisione e motivazione.
Relazione di un esperto che analizza la procedura di identificazione remota e ne accompagna l’iter davanti all’autorità competente.
Ente incluso nell’elenco dell’articolo 2 della Legge 10/2010, che assume gli obblighi di adeguata verifica nei confronti del SEPBLAC.
Terzo che fornisce l’acquisizione, il confronto biometrico o la convalida documentale per conto della società.
Persona designata dal soggetto obbligato come interlocutore del SEPBLAC e responsabile dell’osservanza del sistema di prevenzione.
Un documento approvato che descriva il flusso reale di identificazione remota della società, non il catalogo del fornitore.
Procedura con versione e data, con delibera di approvazione dell’organo competente e controllo delle modifiche.
Modalità di video chiaramente definita e controlli applicati in modo uniforme a tutti i clienti del canale.
Script dei controlli, criteri di accettazione e di rifiuto e registro delle decisioni sui casi dubbi.
Capacità di ricostruire qualsiasi singolo onboarding e di consegnare il fascicolo completo quando richiesto.
Materiale acquisito, copia del documento, esito dei controlli, marche temporali e politica di conservazione.
Verifica esterna della procedura prima della messa in produzione e a fronte di modifiche rilevanti del flusso.
Relazione di audit, piano d’azione sulle osservazioni e prova della loro effettiva chiusura.
Controllo effettivo sul terzo che esegue la verifica, con accesso alle informazioni e reale capacità di supervisione.
Contratto con clausole di audit e di subappalto, report sul servizio e registro degli incidenti gestiti.
Se ti riconosci in due o più, conviene rivedere la procedura prima che lo faccia qualcun altro.
La procedura di identificazione via video non è uguale per un exchange, per un istituto di pagamento o per un cliente ad alto rischio. Queste pagine trattano gli scenari contigui che di solito compaiono nello stesso progetto: settore, licenza, esternalizzazione e clienti che richiedono misure rafforzate.
Onboarding interamente digitale, clienti internazionali e tracciabilità dei fondi: il canale remoto con l’asticella più alta.
La procedura di identificazione fa parte di ciò che descrivi al supervisore e di ciò che poi devi rispettare.
Cosa puoi delegare a un terzo, quale contratto ti serve e cosa resta tuo qualunque cosa accada.
Clienti e operatività che richiedono di andare oltre l’onboarding standard: cosa aggiungi e come lo documenti.
Se ciò che ti serve è mettere in ordine l’intero sistema, parti dal nostro servizio di antiriciclaggio, rivedi il manuale antiriciclaggio e verifica come si inserisce il tuo onboarding nel percorso AML e KYC.
Raccontaci il tuo flusso di onboarding remoto e ti diciamo cosa documentare, quali evidenze conservare e cosa pretendere dal tuo fornitore di verifica.
Ultimo aggiornamento: 4 agosto 2026
Fare l’onboarding di un cliente senza averlo davanti è oggi la normale operatività in banche digitali, istituti di pagamento, CASP e assicurazioni, ma resta un atto di adeguata verifica soggetto alla Legge 10/2010, del 28 aprile, sulla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo e al suo regolamento di attuazione, il RD 304/2014. In Spagna, i metodi di identificazione remota via video sono disciplinati dall’Orden ETD/465/2021, del 6 maggio. La conseguenza pratica è scomoda per molti team di prodotto: ciò che viene verificato non è la tua app, ma la procedura che la sostiene e le evidenze che sei stato in grado di conservare.
L’Orden ETD/465/2021 prevede l’identificazione tramite video in diretta e tramite video differito, e la scelta non è un dettaglio tecnico: riorganizza la tua società. Con il video in diretta, un operatore si collega in tempo reale con il cliente ed effettua i controlli durante la videochiamata. Ciò significa personale disponibile nella fascia oraria in cui acquisisci clienti, uno script uniforme perché due operatori non applichino criteri diversi, formazione documentata e una registrazione che viene conservata. È una modalità impegnativa in termini di organico, ma relativamente semplice da spiegare: c’è una persona che guarda e decide.
Con il video differito, il cliente registra e invia il materiale e la verifica avviene dopo, con intervento umano, con controlli automatizzati supervisionati o con una combinazione dei due. Scala infinitamente meglio ed è ciò che regge gli onboarding in pochi minuti, ma sposta tutta l’esigenza sulla carta: come si effettua la verifica, con quali criteri, chi decide nei casi dubbi, cosa succede quando il sistema restituisce un esito ambiguo e come si documenta un rifiuto. I requisiti concreti di ciascuna modalità li fissa l’Orden stessa, e lì non c’è margine creativo. Quello che decidiamo con te è quale si adatta al tuo volume, al tuo tipo di cliente e alla tua reale capacità di verifica, perché scegliere la modalità sbagliata si paga ogni giorno con una coda di onboarding in sospeso. Puoi vedere come si inserisce questo tassello nel percorso completo di AML e KYC.
L’errore più frequente in questo ambito consiste nel confondere la soluzione tecnologica con la conformità. La società sceglie un fornitore affidabile di verifica dell’identità, lo integra, inizia ad acquisire clienti e dà per scontato che la questione sia risolta. Mesi dopo arriva una verifica, si chiede «la procedura di identificazione a distanza» e ciò che viene consegnato è la documentazione commerciale del produttore. Quel documento descrive un prodotto; nessuno ha chiesto del prodotto.
La tua procedura deve descrivere la tua operatività: ambito e tipo di cliente ammesso dal canale, modalità di video scelta, documenti che accetti, controlli che vengono eseguiti sul documento e sulla persona, criteri di accettazione, criteri di rifiuto, casi di escalation, chi interviene e con quale autonomia decisionale, gestione degli incidenti, politica di conservazione delle evidenze, formazione del personale coinvolto e revisione periodica. Deve essere approvata, datata e con versioni tracciate, e deve integrarsi con il resto del sistema: con il manuale antiriciclaggio, con l’autovalutazione del rischio della società e con le funzioni dell’organo di controllo interno. Una procedura che non assomiglia a ciò che la società fa davvero è peggio che non averla: attesta per iscritto che sapevi cosa bisognava fare e facevi altro.
La domanda che mette ordine in tutto questo lavoro è semplice: se domani ti chiedono il fascicolo di un cliente specifico acquisito tempo fa, riesci a ricostruire l’intera identificazione senza ricontattarlo? Se la risposta è no, hai un problema, per quanto buona sia la tua tecnologia.
Un fascicolo di identificazione remota completo comprende il materiale video o le immagini acquisiti, la copia del documento presentato, l’esito di ciascun controllo eseguito, l’indicazione di chi o che cosa lo ha eseguito, data e ora, la decisione finale e la sua motivazione, e la traccia dei tentativi falliti, dei nuovi tentativi e dei rifiuti precedenti dello stesso richiedente. Il tutto conservato per il periodo fissato dalla normativa antiriciclaggio, con garanzie di integrità (nessuno deve poterlo alterare senza lasciare traccia) e di recuperabilità in un formato leggibile. Conviene provare la consegna prima che te la chiedano: estrarre un fascicolo campione, cronometrare quanto tempo richiede e verificare se il fornitore consegna ciò che dice di consegnare. E ricordare che identificare non esaurisce l’adeguata verifica: la finalità del rapporto, l’origine dei fondi e il profilo di rischio fanno parte dello stesso fascicolo, come spieghiamo in adeguata verifica nell’antiriciclaggio.
Praticamente nessuna società sviluppa internamente l’acquisizione biometrica e la convalida documentale, e non serve. Ciò che non si può esternalizzare è la responsabilità: ai sensi della Legge 10/2010 il soggetto obbligato resta la tua società, e l’errore del terzo viene imputato a te. Per questo il contratto con il fornitore tecnologico fa parte del fascicolo di compliance e non è una questione che si possa chiudere solo tra ufficio acquisti e team tecnico.
I punti che rivediamo sempre: accesso alle evidenze in qualsiasi momento e anche al termine del rapporto, diritto di audit effettivo, controllo sul subappalto a catena, ubicazione e trattamento dei dati (parliamo di dati biometrici, con tutto ciò che implica in materia di protezione dei dati), livelli di servizio, notifica degli incidenti e una strategia di uscita che non ti lasci senza storico se cambi fornitore. E un dettaglio che si dimentica sempre: cosa succede alle evidenze dei clienti già identificati il giorno in cui risolvi il contratto, perché il tuo obbligo di conservarle non termina quando termina il rapporto commerciale con il terzo. Se la tua società rientra nell’ambito di DORA, il Regolamento (UE) 2022/2554 applicabile da gennaio 2025, quel contratto include inoltre clausole obbligatorie e il fornitore deve figurare nel registro delle informazioni sui fornitori di servizi ICT: ne parliamo in servizi DORA e in esternalizzazione antiriciclaggio.
Una procedura di identificazione remota ben costruita risolve la porta d’ingresso, ma il rapporto con il cliente dura anni e il rischio cambia. Lo stesso documento che descrive come identifichi deve collegarsi a ciò che accade dopo: la classificazione del cliente in un livello di rischio, le misure applicate a ciascun livello, lo screening rispetto alle liste di sanzioni e il monitoraggio continuo dell’operatività. Una società che identifica in modo impeccabile e poi non riesamina nulla ha lo stesso problema, solo scoperto più tardi e con più clienti dentro.
Ci sono tre casi che conviene avere risolto per iscritto fin dal primo giorno. Primo, il cliente che risulta essere una persona politicamente esposta (PEP), o che lo è qualcuno a lui vicino: lì non basta l’onboarding standard. Secondo, il cliente che agisce per conto di un terzo, il che obbliga a identificare anche quella persona. Terzo, i profili e le giurisdizioni che attivano le misure rafforzate, dove la procedura deve indicare cosa si richiede in più e chi autorizza il rapporto. A questo si aggiunge l’orizzonte europeo: il pacchetto AML dell’UE (Regolamento (UE) 2024/1624, Direttiva (UE) 2024/1640 e la nuova autorità AMLA) avanza con un’applicazione scaglionata e armonizzerà l’adeguata verifica, compresa l’identificazione remota. Se stai riprogettando ora il tuo onboarding, fallo pensando a quello scenario.
Questo contenuto ha carattere divulgativo e non costituisce consulenza legale. La normativa citata potrebbe essere stata modificata dopo la data di aggiornamento indicata: verifica sempre la versione in vigore oppure contattaci per analizzare il tuo caso concreto.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .