Art. 16 Antiriciclaggio – Procedure di mitigazione del rischio (1)

Dalla valutazione del rischio alla mitigazione: la logica dell’art. 16

L’art. 16 D.Lgs. 231/2007 è il naturale completamento operativo dell’art. 15. Se l’art. 15 impone ai soggetti obbligati di misurare la propria esposizione al rischio di riciclaggio e finanziamento del terrorismo, l’art. 16 impone di ridurre tale rischio attraverso presidi, controlli e procedure adeguati. La norma, sostituita dall’art. 1, comma 1, D.Lgs. 90/2017 di recepimento della IV Direttiva UE 2015/849, codifica l’idea che il rischio inerente non può essere azzerato, ma deve essere portato a un livello di rischio residuo accettabile mediante un sistema integrato di misure organizzative, tecnologiche e formative. La logica è quella del risk-based approach: a parità di soggetto obbligato, maggiore è il rischio rilevato in sede di autovalutazione, più intense devono essere le misure mitigative attivate.

Soggetti obbligati e proporzionalità delle misure

Il comma 1 dell’art. 16 prevede che ogni soggetto obbligato adotti presidi, controlli e procedure adeguati alla propria natura e dimensione. Il principio di proporzionalità è centrale: una banca commerciale di grandi dimensioni, un intermediario fintech, una società di revisione e uno studio professionale individuale non possono essere chiamati ad attivare gli stessi presidi nelle stesse forme. La grande banca dovrà dotarsi di una funzione antiriciclaggio strutturata, di un responsabile AML formalmente nominato, di sistemi informatici di transaction monitoring e di una revisione indipendente; il piccolo studio commercialista potrà organizzarsi in forma più snella, ma deve comunque garantire l’esistenza di procedure scritte, di una formazione tracciabile e di flussi di lavoro chiari per l’adeguata verifica e la segnalazione di operazioni sospette. Il principio di proporzionalità non è una via di fuga: l’assenza totale di presidi non è mai giustificata, neppure per il professionista che opera da solo.

Approccio di gruppo e capogruppo

Per i gruppi bancari e finanziari l’art. 16, comma 1, ultimo periodo, impone alla capogruppo di adottare un approccio globale al rischio, secondo modalità stabilite dalle autorità di vigilanza di settore. Ciò significa che le politiche AML non possono essere frammentate tra le diverse società del gruppo: occorre una governance integrata, con linee di reporting chiare verso la capogruppo e con scambio di informazioni infragruppo coerente con il regolamento delegato della Commissione europea richiamato dal comma 4 bis. Il comma 4 bis, inserito dal D.Lgs. 125/2019, disciplina inoltre il caso in cui un paese terzo non consenta alle succursali o alle società controllate locali di adeguarsi alle procedure di gruppo: in tale ipotesi la capogruppo applica le misure compensative previste dalla normativa europea e, ove insufficienti, le autorità di vigilanza possono intensificare i controlli, vietare l’instaurazione di rapporti d'affari tramite quella struttura o imporre la cessazione dell’operatività nel paese.

I presidi minimi richiesti dal comma 2

Il comma 2 attribuisce alle autorità di vigilanza di settore e agli organismi di autoregolamentazione il compito di individuare, in base ai requisiti dimensionali e organizzativi, i presidi minimi che i soggetti obbligati devono adottare. La norma menziona espressamente:

• la valutazione e gestione del rischio di riciclaggio e di finanziamento del terrorismo, in coordinamento con l’autovalutazione ex art. 15;
• l’introduzione di una funzione antiriciclaggio, ivi compresa, ove adeguata, la nomina di un responsabile della funzione antiriciclaggio (RAR) e la previsione di una funzione di revisione indipendente che verifichi politiche, controlli e procedure.

La declinazione operativa di tali presidi varia per ciascuna categoria di soggetto obbligato e dipende dalle disposizioni di settore.

Provvedimento Banca d'Italia del 26 marzo 2019

Per banche, intermediari finanziari, IMEL, istituti di pagamento, SIM, SGR e operatori del comparto vigilato, il riferimento è il Provvedimento Banca d'Italia del 26 marzo 2019 in materia di organizzazione, procedure e controlli interni AML. Il provvedimento articola in dettaglio il sistema dei controlli su tre livelli: controlli di linea (primo livello, presso le strutture operative), controlli sui rischi e sulla conformità (secondo livello, presso la funzione antiriciclaggio e la funzione compliance) e revisione interna (terzo livello, presso l’internal audit). Stabilisce inoltre il ruolo degli organi aziendali, l’obbligatorietà della nomina del responsabile antiriciclaggio, le caratteristiche di indipendenza e professionalità richieste, le modalità di reporting all’organo con funzione di supervisione strategica e all’organo di controllo.

Regole tecniche CNDCEC per i commercialisti

Per i dottori commercialisti ed esperti contabili il riferimento sono le Regole tecniche del CNDCEC del 16 gennaio 2019, che declinano gli obblighi organizzativi e procedurali in funzione della dimensione dello studio. Per gli studi associati di rilevanti dimensioni è raccomandata la nomina di un responsabile antiriciclaggio interno, di norma un socio o un collaboratore qualificato, cui sono affidati il presidio del rischio, l’aggiornamento delle procedure, la tenuta dei registri e la cura della formazione. Per gli studi individuali la responsabilità coincide naturalmente con il titolare, che deve comunque formalizzare le proprie procedure in un documento interno. Analoghe regole tecniche sono state adottate dagli ordini di avvocati, notai e altri professionisti.

La funzione antiriciclaggio nelle banche

Negli intermediari bancari e finanziari la funzione antiriciclaggio è una funzione aziendale di controllo di secondo livello, distinta dalla funzione di compliance e dalla funzione di risk management, sebbene con esse coordinata. Il responsabile della funzione antiriciclaggio (RAR) è nominato dal consiglio di amministrazione, riferisce direttamente agli organi aziendali, dispone di risorse umane e tecnologiche adeguate e gode di una posizione di indipendenza che ne tutela l’autonomia di giudizio. La funzione collabora con il delegato alle segnalazioni di operazioni sospette, con la funzione di internal audit (che svolge il controllo di terzo livello sull’efficacia del sistema AML) e con il collegio sindacale. Negli intermediari minori è ammessa la cumulabilità di incarichi, purché non vengano compromesse l’indipendenza e l’efficacia dei controlli.

Formazione del personale: obbligo continuo e tracciabile

Il comma 3 dell’art. 16 dedica particolare attenzione alla formazione del personale. I soggetti obbligati devono garantire programmi permanenti di formazione, finalizzati alla corretta applicazione degli obblighi AML, al riconoscimento di operazioni connesse al riciclaggio o al finanziamento del terrorismo e all’adozione di comportamenti e procedure corrette. La formazione comprende inoltre gli obblighi in materia di protezione dei dati personali, richiamati specificamente dal legislatore. La prassi e le indicazioni delle autorità di vigilanza identificano tre requisiti chiave: la formazione deve essere iniziale (al momento dell’inserimento del nuovo addetto), continua (almeno annuale) e tracciabile. La tracciabilità si concretizza nel registro presenze, nella conservazione dei materiali didattici, in una valutazione finale dell’apprendimento e nella registrazione delle ore di formazione per ciascun dipendente. In sede ispettiva l’assenza di documentazione formativa è considerata un grave indice di inadeguatezza dei presidi.

Sistemi informatici e transaction monitoring

Tra i presidi indicati dalla prassi un ruolo crescente è svolto dai sistemi informatici dedicati. Per gli intermediari finanziari di dimensioni rilevanti sono ormai imprescindibili: software di transaction monitoring che individuano automaticamente operazioni anomale rispetto al profilo del cliente; strumenti di name screening contro liste di persone politicamente esposte (PEP), sanzioni internazionali (UE, OFAC, ONU) e provvedimenti di congelamento; piattaforme di case management per la gestione e tracciabilità delle segnalazioni di operazioni sospette verso l’UIF. Anche per gli studi professionali, pur in modalità proporzionate, sono oggi disponibili strumenti di adeguata verifica con accesso a banche dati pubbliche, registri imprese, fonti aperte e liste PEP, che agevolano e tracciano il processo. Il sistema informatico non sostituisce il giudizio professionale, ma ne rappresenta il supporto operativo: i risultati delle interrogazioni vanno conservati e motivati in caso di richiesta delle autorità.

Audit interno periodico e revisione indipendente

La funzione di revisione indipendente menzionata dal comma 2 dell’art. 16 corrisponde, negli intermediari finanziari, alla funzione di internal audit. La revisione AML verifica periodicamente l’adeguatezza del sistema antiriciclaggio: la coerenza delle procedure con la normativa, l’effettiva applicazione nelle prassi operative, la qualità della formazione, l’efficacia dei sistemi informatici, la corretta gestione delle SOS, l’aggiornamento del documento di autovalutazione del rischio. Gli esiti dell’audit confluiscono in una relazione annuale agli organi aziendali e alle autorità di vigilanza. Per gli studi professionali la funzione di revisione è tipicamente affidata a una verifica periodica, almeno annuale, condotta dal titolare o dal responsabile AML, eventualmente con il supporto di consulenti esterni.

Divieto di esclusione preventiva di categorie di clientela

Il comma 2 bis, introdotto dall’art. 12-bis, comma 1, lett. a), del DL 104/2023 convertito dalla L. 136/2023, vieta ai soggetti obbligati di adottare procedure che escludano in via preventiva e generalizzata determinate categorie di soggetti dall’offerta di prodotti e servizi sulla sola base della loro potenziale elevata esposizione al rischio AML. La norma intende contrastare fenomeni di de-risking: la prassi, diffusa in alcuni intermediari, di chiudere i conti o di rifiutare l’apertura a interi gruppi di clientela (ONG, organizzazioni umanitarie operanti in aree a rischio, money transfer, operatori di settori sensibili) per evitare i costi della gestione del rischio. Il legislatore impone invece una valutazione caso per caso: il rischio elevato deve essere gestito con misure rafforzate, non aggirato con esclusioni di massa.

Sanzioni per procedure assenti o inadeguate

L’omessa adozione delle procedure di mitigazione del rischio, o la loro manifesta inadeguatezza, integra una violazione amministrativa sanzionata dall'art. 56 D.Lgs. 231/2007, dedicato proprio alle violazioni degli obblighi di organizzazione, procedure e controlli interni. La sanzione è pecuniaria, con cornici edittali graduate in funzione della gravità della violazione e della dimensione del soggetto obbligato, e si accompagna alla possibilità di pubblicazione del provvedimento sui siti istituzionali e, nei casi più gravi, all’irrogazione di misure interdittive per gli esponenti aziendali. In sede ispettiva Banca d'Italia, UIF, Guardia di Finanza e ordini professionali valutano sia l’esistenza formale delle procedure sia la loro effettiva applicazione: procedure scritte ma non vissute, formazione formale ma non sostanziale, audit privi di reale incisività sono considerati inadeguatezze sanzionabili al pari dell’omissione totale.

Esempio operativo: Tizio Srl, studio commercialisti

Per comprendere la concreta articolazione dell’art. 16 si pensi a Tizio Srl, società tra professionisti operante come studio commercialisti di medie dimensioni, con 5 professionisti soci, 3 dipendenti amministrativi e circa 200 clienti tra PMI, persone fisiche e qualche trust. Lo studio, partendo dall’autovalutazione del rischio ex art. 15 (rischio medio aggregato, con poche posizioni ad alto rischio), adotta le seguenti misure ex art. 16: nomina di uno dei soci come responsabile antiriciclaggio (RAR), con incarico formalizzato in delibera assembleare e descritto in un mansionario scritto; redazione di un manuale AML interno che descrive le procedure di adeguata verifica, di registrazione, di segnalazione operazioni sospette e di conservazione documentale; predisposizione di schede cliente standardizzate con classificazione di rischio; adozione di un software di adeguata verifica integrato con banche dati pubbliche e lista PEP; formazione annuale di tutto il personale (soci e dipendenti) con registro presenze, materiale didattico conservato e test di valutazione finale; verifica annuale del sistema da parte del RAR, con relazione scritta ai soci. Documentazione integrale conservata per 10 anni ai sensi degli articoli 31 e seguenti del decreto.

Relazione con gli altri obblighi del decreto

L’art. 16 è snodo centrale tra l’autovalutazione del rischio (art. 15) e gli adempimenti operativi a valle. Le procedure di mitigazione orientano l’adeguata verifica della clientela negli articoli 17 e seguenti, la conservazione dei dati negli articoli 31 e seguenti, l’invio delle segnalazioni di operazioni sospette ex art. 35. Sul piano organizzativo l’art. 16 dialoga inoltre con la disciplina del 231/2001 sui modelli organizzativi delle persone giuridiche: nelle imprese più strutturate il sistema AML è una componente del più ampio modello di organizzazione, gestione e controllo, con presidi parzialmente sovrapposti (codice etico, organismo di vigilanza, sistema disciplinare, flussi informativi). Una buona governance AML, in definitiva, non è un costo isolato ma parte integrante del sistema di compliance aziendale.