- Ogni soggetto obbligato deve effettuare una propria valutazione del rischio di riciclaggio e finanziamento del terrorismo.
- L’autovalutazione considera clientela, prodotti, servizi, canali distributivi e aree geografiche.
- Le autorità di vigilanza dettano criteri e metodologie proporzionate alla natura e dimensione del soggetto.
- Il documento va redatto, aggiornato periodicamente e tenuto a disposizione delle autorità di controllo.
- L’omessa o inadeguata valutazione integra violazione sanzionabile ai sensi dell’art. 56 D.Lgs. 231/2007.
Art. 15 D.Lgs. 231/2007 (Antiriciclaggio) – Valutazione del rischio da parte dei soggetti obbligati (1)
In vigore dal 29/12/2007
1. Le autorità di vigilanza di settore e gli organismi di autoregolamentazione dettano criteri e metodologie, commisurati alla natura dell’attività svolta e alle dimensioni dei soggetti obbligati, per l’analisi e la valutazione dei rischi di riciclaggio e di finanziamento del terrorismo, cui sono esposti nell’esercizio della loro attività. 2. I soggetti obbligati, adottano procedure oggettive e coerenti rispetto ai criteri e alle metodologie di cui al comma 1, per l’analisi e la valutazione dei rischi di riciclaggio e di finanziamento del terrorismo. Per la valutazione del rischio di riciclaggio o di finanziamento del terrorismo, i soggetti obbligati tengono conto di fattori di rischio associati alla tipologia di clientela, all’area geografica di operatività, ai canali distributivi e ai prodotti e i servizi offerti. 3. Le autorità di vigilanza di settore individuano, informandone il Comitato di sicurezza finanziaria, le categorie di soggetti obbligati, rispettivamente vigilati, per i quali le disposizioni di cui al presente articolo non trovano applicazione, in considerazione dell’irrilevanza del rischio di riciclaggio e di finanziamento del terrorismo dell’attività svolta ovvero dell’offerta di prodotti e servizi che presentano caratteristiche di rischio tipizzate. 4. La valutazione di cui al comma 2 è documentata, periodicamente aggiornata e messa a disposizione delle autorità di cui all’articolo 21, comma 2, lettera a), e degli organismi di autoregolamentazione, ai fini dell’esercizio delle rispettive funzioni e dei rispettivi poteri in materia di prevenzione del riciclaggio e di finanziamento del terrorismo. Note: (1) Articolo sostituito dall’art. 1, comma 1, DLgs. 25.5.2017 n. 90, pubblicato in G.U. 19.6.2017 n. 140, S.O. n. 28. Testo precedente: “Art. 15 (Obblighi di adeguata verifica della clientela da parte degli intermediari finanziari e degli altri soggetti esercenti attività finanziaria). – 1. Gli intermediari finanziari e gli altri soggetti esercenti attività finanziaria di cui all’articolo 11 osservano gli obblighi di adeguata verifica della clientela in relazione ai rapporti e alle operazioni inerenti allo svolgimento dell’attività istituzionale o professionale degli stessi ed, in particolare, nei seguenti casi: a) quando instaurano un rapporto continuativo; DLgs. 21.11.2007 n. 231 – Art. 16 37 b) quando eseguono operazioni occasionali, disposte dai clienti che comportino la trasmissione o la movimentazione di mezzi di pagamento di importo pari o superiore a 15.000 euro, indipendentemente dal fatto che siano effettuate con una operazione unica o con più operazioni che appaiono tra di loro collegate per realizzare un’operazione frazionata; c) quando vi è sospetto di riciclaggio o di finanziamento del terrorismo, indipendentemente da qualsiasi deroga, esenzione o soglia applicabile; d) quando vi sono dubbi sulla veridicità o sull’adeguatezza dei dati precedentemente ottenuti ai fini dell’identificazione di un cliente. 2. Gli intermediari, nell’ambito della loro autonomia organizzativa, possono individuare classi di operazioni e di importo non significative ai fini della rilevazione delle operazioni che appaiono frazionate. 3. Gli obblighi di adeguata verifica della clientela sono osservati alresì nei casi in cui le banche, gli istituti di moneta elettronica, gli istituti di pagamento e le Poste Italiane S.p.A. agiscano da tramite o siano comunque parte nel trasferimento di denaro contante o titoli al portatore, in euro o valuta estera, effettuato a qualsiasi titolo tra soggetti diversi, di importo complessivamente pari o superiore a 15.000 euro. 4. Gli agenti di cui all’articolo 11, comma 3, lettera d), osservano gli obblighi di adeguata verifica della clientela anche per le operazioni di importo inferiore a 15.000 euro.“. Per le precedenti modifiche si vedano: – l’art. 27, comma 1, lett. h), DLgs. 13.8.2010 n. 141, come da ultimo modificato dal DLgs. 19.9.2012 n. 169, pubblicato in G.U. 2.10.2012 n. 230, in vigore dal 17.10.2012; – l’art. 8, comma 1, DLgs. 25.9.2009 n. 151, pubblicato in G.U. 3.11.2009 n. 256.
Stesso numero, altri codici
- Art. 15 Codice Civile: Revoca dell'atto costitutivo della fondazione
- Articolo 15 Codice della Crisi d'Impresa e dell’Insolvenza
- Articolo 15 Codice del Consumo: Modalità di indicazione del prezzo per unità di misura
- Articolo 15 Codice della Strada: Atti vietati
- Articolo 15 Codice di Procedura Civile - Cause relative a beni immobili
- Articolo 15 Codice di Procedura Penale: Competenza per materia determinata dalla connessione
Il risk-based approach come pilastro dell’antiriciclaggio moderno
L’art. 15 D.Lgs. 231/2007, nella formulazione introdotta dal D.Lgs. 90/2017 di recepimento della IV Direttiva UE 2015/849, codifica il principio cardine dell’antiriciclaggio contemporaneo: il risk-based approach (RBA). Ogni soggetto obbligato non applica meccanicamente regole uguali per tutti, ma calibra i propri adempimenti AML in funzione del rischio effettivo cui è esposto. Il legislatore europeo, e di riflesso quello italiano, ha abbandonato la logica del «rule-based» a favore di un sistema in cui banche, intermediari, professionisti e operatori non finanziari sono chiamati a conoscere il proprio rischio e a dimensionare proporzionalmente presidi, controlli e adeguata verifica della clientela.
L’autovalutazione del rischio: documento interno obbligatorio
Il comma 2 impone ai soggetti obbligati di adottare procedure oggettive e coerenti per analizzare e valutare i rischi di riciclaggio e di finanziamento del terrorismo. Concretamente ciò si traduce nell’obbligo di redigere un documento di autovalutazione del rischio (risk assessment), interno alla struttura, che fotografa la propria esposizione. Tale obbligo, generalizzato dal 2017, riguarda sia i grandi gruppi bancari sia il piccolo studio professionale: cambia, evidentemente, l’articolazione del documento, ma non l’obbligo in sé. Per i professionisti senza dipendenti il risk assessment può essere snello, anche di poche pagine; per le banche è un fascicolo complesso che alimenta l’ICAAP e la relazione annuale alla funzione antiriciclaggio.
I quattro fattori di rischio da valutare
La norma elenca espressamente i fattori che concorrono alla valutazione:
Coordinamento con l’analisi nazionale del rischio
L’autovalutazione del singolo soggetto obbligato non vive in isolamento. Il MEF, in coordinamento con il Comitato di sicurezza finanziaria, redige periodicamente l'analisi nazionale del rischio di riciclaggio e finanziamento del terrorismo per l’Italia. I soggetti obbligati devono considerare le risultanze di tale analisi nazionale quando elaborano il proprio risk assessment: se la NRA segnala, ad esempio, un’esposizione elevata del settore edile o di determinate aree territoriali, lo studio professionale o l’istituto di credito operante in quel settore deve tenerne conto nella propria valutazione.
Metodologia: rischio inerente, controlli mitiganti, rischio residuo
La prassi operativa, mutuata dagli standard internazionali e dalle indicazioni delle autorità di vigilanza, segue uno schema metodologico abbastanza consolidato. Si parte dal rischio inerente, ovvero il rischio teorico associato alla combinazione di clientela, prodotti, canali e geografie, prima di considerare i presidi adottati. Si applicano quindi i controlli mitiganti (procedure di adeguata verifica, formazione, sistemi informatici, funzione AML, segnalazione operazioni sospette) e si determina il rischio residuo. La categorizzazione tipica prevede classi di rischio basso, medio, alto e, in alcuni modelli, inaccettabile (con obbligo di non instaurare il rapporto o di interromperlo).
Provvedimento Banca d'Italia e Regole tecniche CNDCEC
Il comma 1 dell’art. 15 attribuisce alle autorità di vigilanza di settore e agli organismi di autoregolamentazione il compito di dettare criteri e metodologie. Per banche e intermediari finanziari il riferimento è il Provvedimento Banca d'Italia del 26 marzo 2019 (Disposizioni in materia di adeguata verifica della clientela e in materia di organizzazione, procedure e controlli interni). Per i professionisti contabili e dottori commercialisti operano le Regole tecniche del CNDCEC del 2019, che declinano in modo specifico la metodologia di autovalutazione, fornendo questionari, matrici e classi di rischio adattate alla realtà degli studi professionali. Per notai, avvocati e altri professionisti esistono analoghe regole tecniche degli ordini di appartenenza.
Aggiornamento periodico e documentazione
Il comma 4 chiarisce che la valutazione del rischio è documentata e periodicamente aggiornata. La prassi e le indicazioni delle autorità individuano almeno una cadenza annuale di revisione, fermo restando l’obbligo di aggiornamento ogni volta che si verifichino eventi rilevanti: ingresso in nuovi mercati, lancio di nuovi prodotti, modifiche normative significative, acquisizione di clientela con profilo di rischio diverso dal portafoglio storico, esiti di ispezioni o segnalazioni UIF. Il documento deve essere messo a disposizione delle autorità di vigilanza e degli organismi di autoregolamentazione richiamati dall’art. 21, comma 2, lettera a): Banca d'Italia, IVASS, CONSOB, MEF, Guardia di Finanza, UIF e ordini professionali, ciascuno per le proprie competenze.
Casi pratici
Per cogliere il senso pratico dell’art. 15 può essere utile un esempio concreto. Si pensi a uno studio commercialista con cinquanta clienti, prevalentemente piccole SRL locali con fatturato sotto 500 mila euro, attività manifatturiera o di servizi tradizionali, soci e amministratori italiani residenti: il profilo di rischio aggregato sarà mediamente basso. Se nello stesso studio entrano alcune società con soci esteri o catene partecipative estere, il rischio per quelle posizioni sale a medio. Se infine lo studio segue uno o due trust o un fiduciante con patrimoni rilevanti, quelle singole posizioni vanno classificate ad alto rischio e gestite con adeguata verifica rafforzata, presidi documentali più stringenti e attenzione costante alla provenienza dei fondi e alle operazioni inusuali.
Esclusioni dall’obbligo
Il comma 3 consente alle autorità di vigilanza, informandone il Comitato di sicurezza finanziaria, di individuare categorie di soggetti obbligati per i quali la disciplina dell’art. 15 non trova applicazione, qualora il rischio sia irrilevante o i prodotti e servizi presentino caratteristiche di rischio già tipizzate. Si tratta di esclusioni circoscritte, motivate e formalizzate, non di una via di fuga generalizzata.
Sanzioni in caso di omessa o inadeguata valutazione
L’omissione del risk assessment o la sua manifesta inadeguatezza integra una violazione dell’art. 15 sanzionata in via amministrativa ai sensi dell'art. 56 D.Lgs. 231/2007, che prevede la sanzione pecuniaria edittale per le violazioni degli obblighi di organizzazione, procedure e controlli interni. La giurisprudenza amministrativa e la prassi ispettiva di Banca d'Italia e UIF tendono a valutare non soltanto la presenza formale del documento, ma la sua effettiva coerenza con l’operatività concreta: un risk assessment generico, copia-incolla di modelli standard, non aggiornato e privo di evidenza dei controlli mitiganti, è considerato inadeguato e quindi sanzionabile al pari della totale omissione. Le ispezioni della Guardia di Finanza, in particolare, partono spesso proprio dalla richiesta del documento di autovalutazione: la sua assenza apre la strada a contestazioni ulteriori, perché viene letto come indice di un più ampio deficit organizzativo e di mancata cultura della compliance.
Relazione con gli altri obblighi del decreto
La valutazione del rischio non è un adempimento isolato. È la premessa logica e operativa di tutti gli altri obblighi disciplinati dal D.Lgs. 231/2007. La graduazione dell’adeguata verifica della clientela, prevista dagli articoli 18 e seguenti, dipende dal livello di rischio attribuito al cliente in sede di autovalutazione: a fronte di un rischio basso si può applicare la verifica semplificata (art. 23), a fronte di un rischio alto la verifica rafforzata (art. 24-25). Anche la conservazione dei dati (art. 31-34), la formazione del personale (art. 16), l’organizzazione e i controlli interni (art. 16) e la stessa segnalazione di operazioni sospette (art. 35) sono modulati sul profilo di rischio del soggetto obbligato e della clientela. Senza autovalutazione, paradossalmente, il soggetto obbligato non dispone della bussola necessaria per orientare correttamente l’intero sistema di presidi.
Profili organizzativi: chi redige e approva il documento
La responsabilità della redazione e dell’aggiornamento dell’autovalutazione varia in funzione della tipologia di soggetto obbligato. Negli intermediari finanziari e bancari il documento è elaborato dalla funzione antiriciclaggio, approvato dagli organi aziendali (consiglio di amministrazione, su parere del collegio sindacale e con il coinvolgimento dell’alta dirigenza) e raccordato con il piano di audit interno. Negli studi professionali individuali la responsabilità coincide con quella del titolare; negli studi associati o nelle STP la responsabilità è ripartita tra i soci, ma è opportuno che un socio o un collaboratore qualificato funga da responsabile antiriciclaggio interno, garantendo la tenuta del documento, l’aggiornamento e la formazione del personale. Per le società di revisione e per gli operatori non finanziari valgono regole analoghe, con declinazione organizzativa proporzionata alle dimensioni.
Indicazioni pratiche per la stesura
Un buon documento di autovalutazione, indipendentemente dalle dimensioni del soggetto obbligato, dovrebbe contenere almeno: una descrizione dell’attività e del modello di business; la mappatura della clientela per tipologia, area geografica e settore; l’elenco dei prodotti e servizi con relativo rischio inerente; l’indicazione dei canali utilizzati per l’onboarding e l’operatività; la metodologia di scoring adottata (pesi, soglie, classi di rischio); l'elenco dei controlli mitiganti (procedure, software, formazione, audit); la conclusione sulla classe di rischio complessiva dello studio o dell’intermediario; il piano di azione per i rischi residui non pienamente coperti; la data di redazione e quella di prossima revisione. Allegati utili sono il questionario di adeguata verifica adottato, la lista dei paesi a rischio adottata, i flussi di lavoro per la segnalazione di operazioni sospette.
Prassi dell'Agenzia delle Entrate
Circolare MEF Dipartimento del Tesoro prot. DT 54071 del 6 luglio 2017
Agenzia delle Entrate
Istruzioni operative sull'approccio basato sul rischio introdotto dalla IV Direttiva (D.Lgs. 90/2017). Conferma l'obbligo per i soggetti obbligati di adottare procedure interne di autovalutazione del rischio di riciclaggio, calibrate su dimensione e tipo di attivita.
Leggi il documento su www.dt.mef.gov.itCircolare Comando Generale Guardia di Finanza prot. 210557 del 7 luglio 2017
Agenzia delle Entrate
Prime direttive operative della GdF in materia di prevenzione del riciclaggio dopo il D.Lgs. 90/2017. Indica criteri e modalita per i controlli sulla valutazione del rischio adottata dai soggetti obbligati non vigilati da Autorita di settore.
Leggi il documento su www.gdf.gov.itDomande frequenti
Cosa è la valutazione del rischio antiriciclaggio prevista dall’art. 15 D.Lgs. 231/2007?
È l’autovalutazione che ogni soggetto obbligato deve effettuare per misurare la propria esposizione al rischio di riciclaggio e finanziamento del terrorismo, considerando clientela, prodotti, canali distributivi e aree geografiche. Esprime concretamente il risk-based approach introdotto dalla IV Direttiva UE 2015/849 ed è la base su cui si calibrano tutti gli altri presidi AML, dall’adeguata verifica alla segnalazione di operazioni sospette.
Come si redige concretamente il risk assessment di uno studio professionale?
Si segue una matrice rischio inerente per controlli mitiganti uguale rischio residuo. Per i commercialisti il riferimento operativo sono le Regole tecniche CNDCEC 2019, che forniscono questionari su clientela, servizi, geografia e canali. Si attribuisce un punteggio a ciascun fattore, si classifica ogni cliente in basso, medio o alto rischio e si descrivono i presidi adottati dallo studio. Il documento può essere snello per studi piccoli e monoprofessionali.
Ogni quanto va aggiornata la valutazione del rischio antiriciclaggio?
La prassi e le indicazioni delle autorità di vigilanza individuano una cadenza almeno annuale. È però obbligatorio aggiornare il documento anche prima della scadenza ordinaria ogni volta che si verifichino eventi rilevanti: lancio di nuovi prodotti, ingresso in nuovi mercati, modifiche normative, ingresso di clientela con profilo di rischio diverso da quello storico, esiti di ispezioni o di segnalazioni UIF.
Quali fattori di rischio bisogna valutare ai sensi dell’art. 15?
L’art. 15, comma 2 elenca quattro fattori: tipologia di clientela (PEP, soggetti esteri, strutture complesse), prodotti e servizi offerti (alcuni a rischio intrinseco elevato, come private banking o crypto-asset), canali distributivi (presenza fisica, online, intermediari terzi) e aree geografiche di operatività (paesi terzi ad alto rischio UE, liste GAFI). Va inoltre tenuto conto delle risultanze dell’analisi nazionale del rischio elaborata dal MEF.
Cosa accade se un soggetto obbligato non effettua la valutazione del rischio?
L’omessa o inadeguata valutazione del rischio costituisce violazione sanzionata in via amministrativa ai sensi dell’art. 56 D.Lgs. 231/2007. Le autorità ispettive (Banca d'Italia, UIF, Guardia di Finanza, MEF) valutano non solo la presenza formale del documento ma anche la sua coerenza con l’operatività concreta: un risk assessment generico, datato e privo di evidenza dei controlli mitiganti è considerato inadeguato e sanzionabile.