Sai già cosa non va: te l’ha detto l’autorità di vigilanza, l’esperto esterno o il tuo stesso audit. Quello che manca è il documento che dimostra che hai corretto: rilievo per rilievo, con un responsabile, una data e la prova di chiusura.
Hai un elenco di rilievi e non sai da dove cominciare?
Mandaci la relazione o il verbale con le riserve e ti restituiamo una proposta di piano ordinato per priorità.
Un piano di remediation non è una dichiarazione di intenti: è una tabella viva di azioni, un responsabile per ciascuna e una cartella di evidenze che sostiene ogni «chiuso».
Trasformiamo l’elenco dei rilievi in un piano con criticità, responsabile interno, data di impegno ed evidenza attesa per ogni azione. E se il tuo team non ce la fa, eseguiamo le attività che si possono esternalizzare – revisione dei fascicoli, procedure, formazione – senza che la responsabilità esca dal tuo ente.
Un rilievo non è chiuso perché qualcuno lo dice: è chiuso quando c’è una prova documentale e qualcuno di indipendente l’ha esaminata. Prepariamo la relazione di follow-up che riassume lo stato del piano e che puoi consegnare senza dover spiegare nulla al telefono.
Se non hai ancora l’elenco dei rilievi, parti da qui: revisione completa del sistema con conclusioni operative.
Quasi ogni rilievo finisce per toccare il manuale. Lo riscriviamo perché descriva ciò che farete davvero.
La priorità nasce dal rischio, non dall’ordine in cui sono comparsi i rilievi. Aggiorniamo l’autovalutazione dell’ente.
Il piano si approva, si rivede e si chiude a verbale. Senza quella traccia, la remediation non risulta a nessuno.
Qui non chiama più qualcuno spaventato: chiama qualcuno con un elenco, una data di impegno verso l’autorità di vigilanza e la necessità di dimostrare progressi.
«Ho la relazione con le riserve e un team di due persone. Devo sapere che cosa affrontare per primo, che cosa posso delegare all’esterno e come lasciare traccia di ogni cosa che chiudiamo.»
«Dovrò dichiarare per iscritto che abbiamo corretto. Non ho intenzione di firmare senza vedere l’evidenza di ogni punto: che cosa è stato cambiato, quando e chi l’ha verificato.»
«Abbiamo scalato l’onboarding molto in fretta e ora ci sono migliaia di utenti storici con documentazione scarsa. Ci hanno detto che dobbiamo fare la remediation del portafoglio clienti e non sappiamo nemmeno da dove cominciare a segmentarlo.»
«Abbiamo comprato un portafoglio con i suoi clienti e i suoi fascicoli. I nostri sono a posto; quelli arrivati con l’operazione, no. E ora ricadono sotto il nostro sistema.»
Quasi tutti gli enti che esaminiamo avevano già un piano d’azione. Il problema non è l’assenza di un piano: è che non si riesce a dimostrare nemmeno una chiusura.
Il piano senza responsabile: azioni scritte alla forma passiva – «si rivedranno i fascicoli», «si rafforzerà il controllo» – senza un nome e senza una data. Nessuno lo disattende perché nessuno ne è incaricato, e quando qualcuno chiede è tutto esattamente come il primo giorno.
La chiusura che esiste solo nel foglio di calcolo: spuntare la casella «chiuso» senza allegare nulla. Chiuso significa che esiste un documento, con la sua data, che chiunque può aprire e capire senza che tu glielo spieghi.
Sistemare il nuovo onboarding e dimenticare il portafoglio clienti: l’onboarding diventa impeccabile e i clienti di sempre restano con la scheda di anni fa. L’autorità di vigilanza non guarda solo come entra un cliente nuovo: guarda il portafoglio clienti attivo, che è dove sta il rischio reale.
| Criticità del rilievo | Che cosa richiede la chiusura | Evidenza da mostrare |
|---|---|---|
| Critico – incide su un obbligo fondamentale del sistema | Correzione immediata, decisione espressa dell’organo di amministrazione e, se del caso, sospensione della prassi contestata finché non viene corretta. | Verbale con la delibera, nuova procedura in vigore e campione di fascicoli rifatti con la loro reale data di revisione. |
| Alto – il controllo è progettato ma non viene applicato | Riprogettazione del controllo, formazione del team coinvolto e prova che ormai funziona nell’operatività quotidiana, non solo il giorno della verifica. | Procedura versionata, registro della formazione e campionamento successivo che dimostri un’applicazione costante nel tempo. |
| Medio – lacuna documentale o formale | Correzione del documento e adeguamento del manuale, senza dover rifare l’operatività né rivedere l’intero portafoglio clienti. | Versione aggiornata del manuale, comunicazione interna e registro di distribuzione al personale interessato. |
Ordiniamo i tuoi rilievi per criticità, assegniamo a ciascuno un responsabile e una data, affrontiamo il portafoglio storico per lotti di rischio e costruiamo la cartella di evidenze che sostiene ogni chiusura. Alla fine hai una relazione di follow-up da consegnare così com’è.
Da tre fonti, e spesso da tutte e tre insieme: dal verbale di un’attività ispettiva del SEPBLAC, dalla relazione dell’esperto esterno che esamina il tuo sistema e dalla tua revisione interna o dal tuo audit AML/CFT. Emergono anche in modo indiretto, quando una banca corrispondente o un partner ti invia un questionario e individua delle lacune.
Per prima cosa li consolidiamo in un unico elenco, perché di solito arrivano con linguaggi diversi e duplicazioni: ciò che l’esperto chiama riserva e l’ispettore descrive come inadempienza a volte è la stessa falla descritta due volte.
L’audit osserva e diagnostica; la remediation sistema e lo dimostra. Sono lavori diversi ed è meglio non mescolarli né affidarli per inerzia alla stessa persona senza pensarci.
In effetti, l’ordine logico è: diagnosi (audit o relazione dell’esperto) → piano di remediation con priorità → esecuzione con evidenze → verifica indipendente della chiusura. Se ti manca il primo passaggio, partiamo da lì; se hai già l’elenco dei rilievi, entriamo direttamente nel secondo e non ti facciamo pagare per riscoprire ciò che già sai.
Un documento datato che permette a una persona esterna di verificare, senza il tuo aiuto, che l’azione è stata eseguita. Esempi reali: il verbale dell’organo di controllo interno che approva la nuova procedura, la versione del manuale con la data di entrata in vigore, l’elenco dei presenti alla formazione, lo screenshot del sistema con il controllo attivato, il fascicolo del cliente completato con la data di revisione o l’email con cui la modifica è stata comunicata al team.
Ciò che non è evidenza: un «fatto» in un foglio di calcolo, un’email interna che dice che si farà e una policy approvata che nessuno ha distribuito.
Non tutti insieme e non in ordine alfabetico. La remediation del portafoglio clienti si affronta per lotti di rischio: prima i clienti a maggior rischio secondo la tua autovalutazione – strutture societarie opache, giurisdizioni sensibili, persone politicamente esposte, operatività in contanti o volumi anomali –, poi tutti gli altri, in ondate pianificate.
Questo approccio ha due vantaggi: riduce il rischio reale prima del rischio formale e produce evidenze fin dal primo lotto rivisto. Inoltre permette di spiegare un criterio all’autorità di vigilanza, che è proprio ciò che ci si aspetta da un soggetto obbligato che agisce in base al rischio e non per inerzia.
Il piano viene proposto dalla compliance, ma si approva ai vertici: organo di amministrazione e organo di controllo interno, con verbale. Quell’approvazione non è burocrazia: è ciò che trasforma un elenco di buone intenzioni in un impegno dell’ente, con risorse assegnate e qualcuno che risponde di ogni azione.
Poi il monitoraggio torna nello stesso luogo: ogni verifica periodica dello stato del piano viene portata all’organo, si documenta che cosa è stato chiuso e si decide che cosa fare con ciò che ha accumulato ritardo. Quel ciclo, a verbale, vale metà della credibilità del piano.
Sì, ed è anche opportuno. Quello che non puoi fare in nessun caso è mettere mano alla documentazione del passato per far sembrare che fosse a posto. La remediation si fa guardando avanti, con la data reale di ogni azione, e si documenta come correzione successiva.
Fatta così, è una delle poche cose che giocano a tuo favore finché il procedimento è in corso. Fatta nell’altro modo, rovina l’intera difesa. Lo spieghiamo nel dettaglio in difesa nel procedimento sanzionatorio.
Dipende da due variabili, e nessuna delle due è il numero dei rilievi: la dimensione del portafoglio storico da rivedere e la capacità reale del team che eseguirà il lavoro. Un piano con molti rilievi documentali può chiudersi in fretta; uno con pochi rilievi, ma che obbliga a rifare migliaia di fascicoli cliente, è un progetto di lungo periodo.
Per questo il piano si progetta a ondate e con tappe intermedie verificabili: conviene poter dimostrare un avanzamento costante fin dall’inizio, invece di presentarsi con tutto chiuso il giorno prima che qualcuno chieda.
Possiamo eseguire le attività esternalizzabili – revisione e completamento dei fascicoli cliente, riscrittura delle procedure, formazione, preparazione delle evidenze, monitoraggio del piano – e lavorare fianco a fianco con il tuo team sul resto. È quello che facciamo nell’esternalizzazione AML/CFT.
Detto questo, la regola è sempre la stessa: la responsabilità non si esternalizza. Il tuo ente resta il soggetto obbligato, il tuo organo di amministrazione continua ad approvare e il tuo rappresentante presso il SEPBLAC continua a risponderne. Noi mettiamo a disposizione braccia, giudizio e metodo; la titolarità del sistema resta dentro.
Si documenta, che è ben diverso dal nasconderlo. Ci sono azioni che dipendono da uno sviluppo informatico, da un fornitore o da una decisione di business e che non si risolvono nei tempi previsti. In quel caso si lascia traccia del motivo, della misura compensativa che applichi nel frattempo e della nuova data di impegno, approvata dall’organo competente.
Un piano con un ritardo spiegato e mitigato è perfettamente difendibile. Un piano con una chiusura falsa, no: è esattamente il tipo di rilievo che trasforma una verifica di routine in un problema serio.
Il metodo è sempre lo stesso, qualunque sia il settore o l’origine dei rilievi: consolidare, dare priorità, assegnare, eseguire, documentare con evidenze e verificare.
Un unico elenco con tutti i rilievi, vengano dal verbale, dall’esperto esterno o dall’audit interno. Si eliminano i duplicati, si traducono in linguaggio operativo e si ordinano per criticità usando la tua autovalutazione del rischio, non l’intuito.
Ogni azione con responsabile, data ed evidenza attesa definiti in anticipo. Si interviene su ciò su cui serve intervenire – procedure, sistemi, formazione, fascicoli – e la prova si conserva sul momento, non alla fine, quando ormai non si può più ricostruire.
Campionamento indipendente delle chiusure, aggiornamento dello stato all’organo di controllo interno e relazione di follow-up con l’avanzamento reale. È il documento che si mostra quando l’autorità di vigilanza torna a chiedere.
Se l’elenco dei rilievi non esiste ancora, parti dall’audit AML/CFT o dalla relazione dell’esperto esterno. Se arrivi da un’attività di vigilanza, rivedi prima l’ispezione del SEPBLAC.
I 10 elementi che compongono un sistema di prevenzione difendibile davanti al SEPBLAC, con l’evidenza documentale che bisogna poter mostrare per ciascuno. Serve come autodiagnosi prima che arrivi l’ispezione.
Niente spam. La tua email viene usata solo per inviarti questa checklist e, di tanto in tanto, aggiornamenti normativi rilevanti.
La checklist si sta scaricando in questo momento. Se il download non parte automaticamente, clicca qui.
Dopo averlo letto, ti serve aiuto per mettere in pratica alcuni dei passaggi? Scrivici direttamente:
Sono parole che userai in ogni riunione di monitoraggio. Usarle con lo stesso significato dell’autorità di vigilanza e del tuo esperto esterno evita equivoci costosi.
Inadempienza o debolezza individuata in una verifica: verbale di ispezione, relazione dell’esperto esterno, audit interno o questionario di un terzo.
Riserva che l’esperto esterno fa risultare nella sua relazione quando il sistema non è conforme su un punto o non si può dimostrare che lo sia.
Classificazione del rilievo per impatto e rischio. Determina che cosa si corregge subito e che cosa si può pianificare in ondate successive.
Documento vivo con una riga per rilievo: azione, responsabile, data di impegno, evidenza attesa e stato attuale.
Persona concreta, con nome e funzione, che risponde del fatto che l’azione venga eseguita e che l’evidenza esista alla data di impegno.
Documento datato che permette a un terzo di verificare da solo che l’azione è stata eseguita: verbale, versione del manuale, registro, screenshot o fascicolo rivisto.
Insieme dei clienti attivi la cui documentazione di adeguata verifica è incompleta o non aggiornata rispetto alle tue procedure attuali.
Verifica indipendente, di norma a campione, che l’azione sia stata eseguita e che l’evidenza sostenga ciò che afferma.
Documento che riassume lo stato del piano: azioni chiuse con la loro evidenza, azioni in corso, ritardi con il loro motivo e misure compensative.
Fascicoli dei clienti attivi completi e aggiornati secondo la procedura vigente, partendo dai segmenti a maggior rischio.
Relazione di revisione per lotti con il criterio di selezione, fascicoli completati con la loro data di revisione ed elenco dei casi in escalation o chiusi.
Identificazione e verifica ragionevole del titolare effettivo nelle strutture societarie, con le misure rafforzate che risultino necessarie.
Dichiarazioni aggiornate, consultazioni ed estratti dei registri con data e organigrammi di proprietà archiviati in ogni fascicolo.
Mappa dei rischi rivista dopo i rilievi e manuale riscritto per descrivere l’operatività reale, non quella ideale.
Autovalutazione datata e approvata, manuale versionato con controllo delle modifiche e registro di distribuzione al personale.
Regole di rilevazione adeguate, alert analizzati senza arretrato e segnalazioni al SEPBLAC che partono quando devono partire.
Coda degli alert aggiornata con il motivo di chiusura di ciascuno, segnalazioni inviate con la relativa ricevuta e decisioni di astensione documentate.
Organo di controllo interno che si riunisce e decide, rappresentante presso il SEPBLAC operativo e personale formato in base al proprio ruolo.
Verbali con delibere e monitoraggio del piano, nomine vigenti comunicate e registro della formazione con contenuti e partecipanti.
Basta una qualsiasi di queste cinque per trasformare un piano apparentemente corretto in un documento che non regge a una verifica.
Un piano di remediation non vive da solo: nasce da una diagnosi, si esegue all’interno di un modello di controllo e finisce per essere rivisto dall’esterno. Queste pagine coprono ogni tassello del ciclo, dalla verifica che individua il problema fino al procedimento in cui può finire se non viene chiuso.
La verifica che produce l’elenco dei rilievi su cui si costruisce il piano. Se non hai una relazione, parti da qui.
Che cosa verifica l’autorità di vigilanza e come ci si prepara alla comparizione. Molti piani di remediation nascono proprio qui.
Chi esegue, chi controlla e chi verifica. Senza questa chiara ripartizione dei ruoli, nessuno può firmare una chiusura con cognizione di causa.
Quando la correzione arriva tardi e c’è un procedimento aperto: strategia, memorie difensive e prova del programma.
Per eseguire il piano di solito ci appoggiamo al manuale AML/CFT, alla mappa dei rischi e all’organo di controllo interno, con la possibilità di esternalizzare le attività che il tuo team non riesce a gestire. E se stai costruendo il sistema da zero per chiedere una licenza, guarda l’AML/CFT nella domanda di autorizzazione.
Raccontaci da dove vengono i rilievi – ispezione, relazione dell’esperto esterno o audit interno – e quanti fascicoli cliente hai in portafoglio. Ti proponiamo l’ordine degli interventi e il documento finale.
Ultimo aggiornamento: 4 agosto 2026
Un piano di adeguamento antiriciclaggio (remediation) è il documento con cui un soggetto obbligato trasforma un elenco di rilievi in azioni concrete, ciascuna con un responsabile, una data e la prova di chiusura. Di solito nasce dopo un’attività ispettiva del SEPBLAC, dall’esame annuale dell’esperto esterno o da una revisione interna, e la sua funzione è duplice: ridurre il rischio reale dell’ente e lasciare traccia che la correzione c’è stata. La Legge 10/2010 e il suo regolamento di attuazione, il RD 304/2014, non descrivono un formato di piano, ma richiedono un sistema che funzioni e che si possa dimostrare: la remediation è la via per passare dall’uno all’altro.
Il primo errore di quasi tutti i piani è affrontare i rilievi nell’ordine in cui compaiono nella relazione. Quell’ordine riflette la struttura del lavoro di revisione, non il tuo rischio. La corretta definizione delle priorità parte dall’autovalutazione del rischio dell’ente e si chiede, rilievo per rilievo, due cose: quale obbligo fondamentale riguarda – identificazione, titolare effettivo, analisi dell’operatività, segnalazione, conservazione – e quale esposizione reale genera nella tua attività concreta. Ne escono tre livelli di criticità che governano il calendario: il critico si corregge subito e, se serve, nel frattempo si sospende la prassi contestata; l’alto si riprogetta e si accompagna con la formazione, perché il controllo passi dalla carta all’operatività; il medio si corregge sul piano documentale e si integra nella versione successiva del manuale. Spiegare quel criterio per iscritto vale quasi quanto eseguirlo: dimostra che l’ente decide in base al rischio e non per comodità.
La differenza tra un piano che si chiude e uno che si trascina per anni sta in tre colonne. La prima è il responsabile: una persona con nome e funzione, mai un reparto né una formula impersonale, perché un’azione che è di tutti non è di nessuno. La seconda è la data di impegno, realistica e diversa per ogni azione; quando tutte le azioni scadono esattamente lo stesso giorno, il piano è stato scritto per tranquillizzare qualcuno, non per essere eseguito. La terza è l’evidenza attesa, definita prima di cominciare: quale documento concreto esisterà quando l’azione sarà completata. Definire l’evidenza in anticipo cambia il modo di lavorare, perché obbliga a pensare alla prova mentre si esegue e non molto dopo, quando nessuno ricorda chi ha fatto cosa. Quel piano si approva nell’organo di controllo interno e lì si rivede periodicamente, mettendo a verbale ogni monitoraggio.
Quasi tutti gli enti correggono per primo l’onboarding, perché è visibile, circoscritto e dà un’immediata sensazione di ordine. Il problema è che il rischio non sta nel cliente che entra domani, ma in quelli che sono già dentro con una scheda di anni fa, documentazione scaduta o senza verifica del titolare effettivo. Quella remediation del portafoglio clienti è la parte più costosa del piano e quella che più si rimanda. Si affronta per lotti di rischio: si segmenta la base clienti in base all’autovalutazione – tipo di cliente, prodotto, canale, giurisdizione e operatività –, si parte dai segmenti alti e si avanza per ondate pianificate, documentando il criterio di selezione di ciascuna. Conviene decidere in anticipo che cosa fare con il cliente che non risponde alla richiesta di documentazione, perché quel caso si presenta sempre e la decisione – restrizione dell’operatività, verifica rafforzata o cessazione del rapporto – deve essere scritta nella procedura prima di averne bisogno, non improvvisata dal commerciale di turno.
Un rilievo non si chiude perché il responsabile dice di aver fatto il lavoro. Si chiude quando esiste un’evidenza datata e qualcuno che non ha eseguito l’azione l’ha verificata, di norma a campione. Quella ripartizione dei ruoli è esattamente quella descritta dal modello delle tre linee di difesa: esegue il business, controlla la compliance, verifica l’audit interno o un terzo indipendente. Su questa base si redige la relazione di follow-up, che è il documento che alla fine vede l’autorità di vigilanza: azioni chiuse con la loro evidenza, azioni in corso, ritardi con il loro motivo e misure compensative nel frattempo. Un piano con ritardi spiegati e mitigati è difendibile; un piano con chiusure prive di riscontro, no: non appena qualcuno apre due o tre evidenze a caso e non trova nulla dietro, la credibilità dell’intero documento crolla di colpo, comprese le chiusure che erano vere. Quando la verifica esterna la svolge lo stesso professionista che emette la relazione dell’esperto esterno, la chiusura risulta inoltre allineata con il documento che il tuo ente dovrà presentare nel ciclo successivo.
Questo contenuto ha carattere divulgativo e non costituisce consulenza legale. La normativa citata potrebbe essere stata modificata dopo la data di aggiornamento indicata: verifica sempre la versione in vigore oppure contattaci per analizzare il tuo caso concreto.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .