L’art. 16(7) di MiFID II ti obbliga a registrare e archiviare le conversazioni e le comunicazioni elettroniche relative agli ordini, anche se non vengono mai eseguiti. Costruiamo con te un sistema di taping che regga a un’ispezione: canali coperti, archivio recuperabile e controlli con tracciabilità documentale.
Il tuo sistema di registrazione reggerebbe a una richiesta dell’autorità di vigilanza?
Raccontaci quali canali usa il tuo team con i clienti: ti indichiamo dove sono le lacune e come colmarle.
Dall’inventario dei canali al protocollo di consegna: sei elementi perché registrare smetta di essere un rischio e diventi la tua prova migliore.
Redigiamo o rivediamo la tua policy di registrazione e conservazione delle comunicazioni: ambito per servizio, canali autorizzati e vietati, avvisi al cliente e coerenza con le altre procedure MiFID II.
Quando la CNMV chiede le registrazioni, i tempi corrono dal primo giorno. Prepariamo il tuo protocollo di estrazione e consegna, simuliamo le richieste e ti affianchiamo durante tutta l’attività di vigilanza.
Inseriamo i controlli a campione sulle registrazioni e la sorveglianza dei canali nel piano annuale della tua funzione di compliance.
Le registrazioni provano come hai ricevuto e trasmesso ogni ordine: allineale alla tua strategia di esecuzione.
La revisione delle comunicazioni fa emergere conflitti e pratiche commerciali scorrette prima che lo faccia l’autorità di vigilanza.
Se non hai una funzione di compliance interna, eseguiamo noi per te i controlli sul taping e riferiamo all’organo di amministrazione.
Quattro situazioni reali che arrivano sulla nostra scrivania: enti diversi, lo stesso problema di fondo — comunicazioni che esistono ma non si possono dimostrare.
«Riceviamo ordini da telefono fisso, cellulare e videochiamata. Dobbiamo sapere se tutto viene registrato, dove viene archiviato e se potremmo consegnare una chiamata specifica di quattro anni fa.»
«I miei clienti mi scrivono a qualsiasi ora. So che lì restano conversazioni rilevanti non archiviate e voglio mettere ordine prima che diventi un problema.»
«Con il lavoro da remoto, metà delle conversazioni passa da cellulari e piattaforme di riunione. Vogliamo un elenco chiaro dei canali autorizzati e un’acquisizione che funzioni davvero.»
«Abbiamo centinaia di gestori e sappiamo che alcuni usano il cellulare privato con i clienti. O lo vietiamo con controlli reali o forniamo canali aziendali con acquisizione delle comunicazioni.»
Quasi nessun ente viola le regole perché non registra nulla: le viola perché registra a metà. Ecco gli errori che si ripetono più spesso.
Registrare solo ciò che viene eseguito: l’obbligo riguarda le conversazioni e le comunicazioni elettroniche relative agli ordini anche se l’operazione non arriva mai a concludersi. Se aspetti l’esecuzione per registrare, sei già inadempiente.
Il canale fantasma: WhatsApp personale, SMS o email privata senza acquisizione. La conversazione esiste —e il cliente la conserva—, ma la tua società non può archiviarla, rivederla né consegnarla all’autorità di vigilanza.
Un archivio che non recupera: registri, ma senza indicizzare per cliente, data e operazione. Davanti a una richiesta, non riuscire a individuare una comunicazione specifica equivale, nella pratica, a non averla.
| Cosa si registra | Quanto si conserva | Errore tipico |
|---|---|---|
| Conversazioni telefoniche e videochiamate relative a ordini (ricezione, trasmissione, esecuzione), anche se l’operazione non viene eseguita | 5 anni, estendibili fino a 7 su richiesta dell’autorità di vigilanza | Registrare il centralino e lasciare fuori i cellulari aziendali e le piattaforme di videochiamata |
| Comunicazioni elettroniche con lo stesso oggetto: email, chat e messaggistica istantanea | Stesso termine: 5 anni, estendibili fino a 7 se lo richiede l’autorità di vigilanza | Tollerare WhatsApp o altri canali personali senza strumento di acquisizione né archivio |
| Conversazioni di persona rilevanti con i clienti | Si documentano in verbali o note su supporto durevole e si conservano con la stessa logica | Riunioni decisive senza verbale: la raccomandazione c’è stata, ma non esiste alcun registro che la provi |
Verifichiamo i tuoi canali di comunicazione, redigiamo la policy di registrazione, ti aiutiamo a scegliere e configurare l’archivio e lasciamo pronti i controlli a campione e il protocollo di consegna. Tutto con evidenze che puoi mettere sul tavolo della CNMV.
L’art. 16(7) di MiFID II impone di registrare le conversazioni telefoniche e le comunicazioni elettroniche relative agli ordini dei clienti —ricezione, trasmissione ed esecuzione— e alla negoziazione per conto proprio.
Il perimetro comprende qualsiasi comunicazione che possa dar luogo a operazioni, si concludano o meno. Le conversazioni di persona rilevanti non si registrano, ma devono essere documentate in verbali o note. I dettagli operativi sono disciplinati dal Regolamento delegato (UE) 2017/565.
Non cambia nulla: l’obbligo nasce dall’intenzione, non dal risultato. Una telefonata in cui il cliente chiede informazioni su un acquisto che poi scarta rientra nel perimetro esattamente come l’ordine eseguito.
È il malinteso più costoso del taping: gli enti che archiviano solo le operazioni concluse lasciano scoperte proprio le conversazioni in cui di solito emergono le pratiche commerciali scorrette.
5 anni in via generale, estendibili fino a 7 quando lo richiede l’autorità di vigilanza. La conservazione deve avvenire su supporto durevole: integra, protetta da alterazioni e recuperabile per tutto il periodo.
Attenzione a un aspetto pratico: se il tuo fornitore tecnologico cancella per impostazione predefinita dopo pochi mesi, o se le uscite dei dipendenti si portano via le loro caselle di posta, il termine di legge viene violato senza che nessuno lo decida consapevolmente.
Sì. Il cliente deve sapere, prima che gli vengano prestati i servizi, che le sue conversazioni e comunicazioni saranno registrate. L’avviso va documentato nel contratto, negli script delle chiamate e nelle firme in calce dei canali scritti.
Inoltre il cliente può chiedere copia delle registrazioni delle proprie conversazioni, quindi il tuo archivio deve consentire di estrarle per cliente. Inserisci questo avviso nel tuo contratto di consulenza finanziaria fin dal primo giorno.
Solo se è un canale aziendale con acquisizione e archiviazione. La messaggistica personale senza acquisizione è oggi il principale focolaio di rischio del taping: la conversazione esiste, il cliente la conserva e la tua società non può rivederla né consegnarla.
Le due strade difendibili sono: fornire al team una messaggistica aziendale collegata all’archivio, oppure vietare il canale con sorveglianza e conseguenze reali. Indifendibile è la policy che vieta sulla carta mentre tutti sanno che il canale viene usato.
L’obbligo in senso stretto dell’art. 16(7) ruota attorno ai servizi sugli ordini, quindi per una EAF pura (società di consulenza finanziaria) l’analisi va fatta caso per caso. Detto questo, le sue comunicazioni possono dar luogo a operazioni e la normativa generale sulla tenuta dei registri le impone di poter dimostrare la propria consulenza.
Per questo, nella pratica, consigliamo alle EAF un archivio equivalente dei canali con i clienti: è la prova di cosa è stato raccomandato, quando e sulla base di quali informazioni. Se ne stai costituendo una, tienine conto fin dalla progettazione, come spieghiamo in come creare una EAF.
La responsabilità resta della società. L’autorità di vigilanza non accetta il «è stata una sua iniziativa»: si aspetta che tu abbia fornito mezzi aziendali, vietato per iscritto i canali personali, vigilato sul rispetto delle regole e reagito con misure quando hai rilevato scostamenti.
Documenta ogni passaggio: consegna dei dispositivi, formazione, controlli della funzione di compliance ed eventuali procedimenti disciplinari. Questa catena di evidenze è la differenza tra un errore isolato e una violazione organizzativa.
Di solito mette a confronto tre piani: la policy (ambito, canali, avvisi), la copertura reale (si registra davvero tutto ciò che dici di registrare?) e la tracciabilità (puoi collegare ogni operazione alle sue comunicazioni e consegnarle nei tempi?).
Prepararsi significa fare delle prove: estrarre un campione, cronometrare la consegna e correggere ciò che non funziona. Ne parliamo nelle pagine dedicate alle ispezioni della CNMV e alla funzione di controllo e rischi.
Registrare non significa installare uno strumento: è un sistema fatto di policy, tecnologia, controlli ed evidenze. Questa è la sequenza che applichiamo con i nostri clienti.
Censiamo tutti i mezzi con cui il tuo team parla con i clienti —telefoni fissi, cellulari, softphone, videochiamate, email, chat, messaggistica— e li incrociamo con chi interviene negli ordini e nelle raccomandazioni. Ne esce la mappa delle lacune.
Definiamo i canali autorizzati e vietati, redigiamo la policy e gli avvisi ai clienti e affianchiamo l’implementazione tecnica dell’acquisizione e dell’archivio. Con la prova che registra davvero, non solo sulla carta.
Controlli a campione periodici da parte della compliance, sorveglianza dei canali non autorizzati, esercizi di recupero e protocollo di consegna in caso di richieste. L’obiettivo: che ogni controllo lasci una traccia documentale.
Il taping è un tassello del tuo quadro generale di compliance: guarda anche il nostro servizio di compliance MiFID II e la preparazione alle ispezioni della CNMV.
I 10 controlli di condotta che la CNMV si aspetta di vedere in funzione in una EAF o in una ESI, con l’evidenza tipica di ciascuno. Ideale come autodiagnosi trimestrale con il tuo team.
Niente spam. La tua email viene usata solo per inviarti questa checklist e, di tanto in tanto, aggiornamenti normativi rilevanti.
La checklist si sta scaricando in questo momento. Se il download non parte automaticamente, clicca qui.
Dopo averlo letto, ti serve aiuto per mettere in pratica alcuni dei passaggi? Scrivici direttamente:
Questi sono i termini che incontrerai nella normativa, nelle richieste dell’autorità di vigilanza e nelle proposte dei tuoi fornitori tecnologici. Conviene parlare la stessa lingua dell’ispettore.
Nome con cui il settore indica l’obbligo di registrare e conservare le comunicazioni relative agli ordini dei clienti.
Articolo della Direttiva MiFID II che impone di registrare le conversazioni telefoniche e le comunicazioni elettroniche relative agli ordini.
L’obbligo copre le comunicazioni che possono dar luogo a operazioni, che si concludano o meno. L’insuccesso commerciale non cancella l’obbligo.
Mezzo di comunicazione approvato dalla società e collegato ad acquisizione e archivio. Tutto il resto deve essere vietato e sorvegliato.
Comunicazione con i clienti attraverso canali personali (messaggistica privata, SMS, email personale) che la società non acquisisce e non può rivedere.
Il cliente deve sapere, prima di operare, che le sue conversazioni e comunicazioni saranno registrate. L’avviso si documenta nei contratti e negli script.
Le comunicazioni vengono conservate integre, protette da manipolazioni e accessibili per tutto il periodo richiesto.
Revisione periodica di un campione di registrazioni da parte della funzione di compliance per individuare errori di acquisizione e pratiche scorrette.
Capacità di collegare ogni operazione alle comunicazioni che l’hanno originata. È la prima cosa che verifica un ispettore.
Documento approvato che delimita le comunicazioni interessate, i canali autorizzati, gli avvisi al cliente e le responsabilità di ciascuna area.
Policy versionata e approvata, diffusione documentata e ricevute di presa visione da parte del personale.
Tutti i mezzi usati con i clienti sono acquisiti o effettivamente vietati, senza zone grigie su cellulari e messaggistica.
Inventario dei canali, configurazione degli strumenti di acquisizione e test di registrazione documentati.
Archivio integro per 5 anni (fino a 7 su richiesta), protetto da alterazioni e recuperabile per cliente, data e operazione.
Parametri di conservazione, controlli di accesso ed esercizi di recupero con i relativi risultati.
Revisione periodica delle comunicazioni da parte della seconda linea, con ricerca attiva di canali non autorizzati.
Piano annuale di compliance, report dei campionamenti e incidenti con le misure adottate.
Organo di amministrazione informato, responsabili designati e rete formata su canali, avvisi e conseguenze.
Verbali con reporting di compliance, registri della formazione ed eventuali procedimenti disciplinari.
Se spunti anche solo una di queste caselle, conviene verificare il sistema prima che lo faccia la CNMV.
Le registrazioni sono la materia prima di altri obblighi: provano come hai gestito gli ordini, cosa hai raccomandato e come hai gestito i conflitti. Queste pagine ti aiutano a vedere il quadro completo delle evidenze MiFID II della tua società.
Quale regime sanzionatorio entra in gioco quando i registri obbligatori non vengono tenuti correttamente e come vengono graduate le infrazioni.
La registrazione dimostra cosa è stato detto; il test, perché la raccomandazione era adeguata. Insieme rendono inattaccabile il fascicolo del cliente.
Il luogo naturale dell’avviso di registrazione e delle regole di comunicazione tra la tua società e il suo cliente.
L’archivio delle comunicazioni funziona su fornitori ICT: da gennaio 2025 DORA richiede un registro e clausole specifiche.
Se vuoi una revisione completa, parti dalla compliance MiFID II della tua società, rafforza la funzione di controllo e rischi e lascia il sistema pronto per un’ispezione della CNMV.
Spiegaci come la tua società comunica con i clienti (telefono, email, messaggistica) e rivediamo con te cosa richiede l’art. 16(7) di MiFID II nel tuo caso concreto.
L’art. 16(7) della Direttiva 2014/65/UE (MiFID II) obbliga le imprese che prestano servizi di investimento a registrare le conversazioni telefoniche e le comunicazioni elettroniche relative alla ricezione, alla trasmissione e all’esecuzione di ordini e alla negoziazione per conto proprio, comprese quelle destinate a dar luogo a operazioni che alla fine non vengono eseguite. In Spagna questo obbligo rientra nel quadro della Legge 6/2023 e del Real Decreto 813/2023, con il dettaglio operativo del Regolamento delegato (UE) 2017/565 e la vigilanza della CNMV. Non è un obbligo tecnologico: è un obbligo di prova.
Il criterio non è il canale ma il contenuto: qualsiasi conversazione telefonica o comunicazione elettronica —email, chat, messaggistica, videochiamata— relativa a ordini dei clienti è coperta, indipendentemente dal fatto che l’operazione si concluda. Le riunioni di persona rilevanti si documentano in verbali o note su supporto durevole. Prima della prima conversazione il cliente deve essere stato informato che sarà registrato e potrà chiedere copia delle registrazioni delle proprie comunicazioni. Tutto questo convive con gli altri registri MiFID II, come quelli di migliore esecuzione o il test di adeguatezza.
Le registrazioni e i registri si conservano per 5 anni, termine estendibile fino a 7 quando lo richiede l’autorità di vigilanza. La conservazione richiede integrità (nessuno deve poter alterare il contenuto), disponibilità (l’archivio deve sopravvivere ai cambi di fornitore e alle uscite dei dipendenti) e recuperabilità (devi poter individuare le comunicazioni per cliente, data, dipendente od operazione). Nella pratica, il difetto più comune non è la mancanza di un archivio ma l’impossibilità di estrarre in tempo ciò che l’autorità di vigilanza chiede: per questo consigliamo di provare la consegna così come si prova un piano di continuità operativa.
Il grande rischio attuale del taping ha un nome preciso: WhatsApp personale e gli altri canali privati senza acquisizione. Le autorità di vigilanza di diverse giurisdizioni da anni puntano i riflettori su queste comunicazioni «fuori canale», e la logica è schiacciante: se la conversazione con il cliente avviene dove la società non archivia, l’intero sistema di evidenze resta lettera morta. Le risposte difendibili sono due, e nessuna è gratuita: abilitare una messaggistica aziendale collegata all’archivio oppure vietare il canale con sorveglianza efficace, formazione e conseguenze documentate. Il divieto puramente formale, con uso tollerato, è la posizione peggiore davanti a un’ispezione della CNMV.
Un sistema solido combina quattro livelli: una policy che delimiti le comunicazioni interessate, i canali autorizzati e gli avvisi; una tecnologia di acquisizione e archiviazione verificata con test reali; dei controlli di seconda linea —campionamenti delle registrazioni, sorveglianza dei canali non autorizzati, esercizi di recupero—; e una governance che riferisca all’organo di amministrazione e formi la rete. Progettiamo e implementiamo tutti e quattro i livelli all’interno del nostro servizio di compliance MiFID II, con il supporto della funzione di controllo e rischi o di un compliance officer esterno.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .