Art. 19 Antiriciclaggio – Modalità di adempimento degli obblighi di adeguata verifica (1)

La cassetta degli attrezzi dell’adeguata verifica

L’art. 19 del D.Lgs. 231/2007, completamente riscritto dal D.Lgs. 90/2017 di recepimento della IV Direttiva antiriciclaggio e ulteriormente novellato dal D.Lgs. 125/2019, dal DL 76/2020 (decreto Semplificazioni) e dal DL 228/2021, declina sul piano operativo gli obblighi di adeguata verifica della clientela enunciati in linea generale dall’art. 18. Mentre quest'ultimo individua le quattro misure di cui si compone la due diligence (identificazione del cliente, identificazione del titolare effettivo, acquisizione di informazioni su scopo e natura del rapporto, controllo costante), l’art. 19 chiarisce come ciascuna di tali misure debba essere concretamente eseguita: quali dati raccogliere, attraverso quali documenti, con quali modalità di verifica e in quali casi sia ammessa l’identificazione a distanza. La disposizione costituisce dunque la mappa procedurale che ogni soggetto obbligato (intermediari finanziari, professionisti, operatori non finanziari) deve seguire nell’onboarding del cliente e nella gestione del rapporto.

Identificazione del cliente: regola generale della presenza fisica

La lettera a) del comma 1 fissa il principio della identificazione in presenza: l’identificazione del cliente, dell’esecutore e del titolare effettivo è di regola svolta in presenza del cliente, anche tramite dipendenti o collaboratori del soggetto obbligato. L’identificazione consiste nell’acquisizione dei dati identificativi forniti dal cliente, previa esibizione di un documento di identità in corso di validità o di altro documento di riconoscimento equipollente ai sensi della normativa vigente. Il soggetto obbligato deve acquisire copia, cartacea o elettronica, del documento. Quanto ai dati identificativi, la prassi di Banca d'Italia e degli Organismi di vigilanza (richiamabile in via interpretativa anche per i professionisti) individua il contenuto minimo: nome e cognome, luogo e data di nascita, residenza e domicilio se diverso, codice fiscale, estremi del documento di riconoscimento (tipologia, numero, autorità di rilascio e data). Per i clienti diversi dalle persone fisiche vanno acquisiti denominazione, sede legale e, ove diverso, sede amministrativa, codice fiscale o partita IVA e, per le società, gli estremi di iscrizione al Registro delle imprese.

Documenti di riconoscimento ammessi

La norma rinvia alla nozione generale di documento di identità o di riconoscimento equipollente di cui all’art. 35 del DPR 445/2000. Rientrano quindi tra i documenti utili: la carta d'identità cartacea o elettronica (CIE), il passaporto, la patente di guida, la patente nautica, il libretto di pensione, il porto d'armi e le tessere di riconoscimento munite di fotografia rilasciate da amministrazioni dello Stato. Il documento deve essere in corso di validità; la carta d'identità scaduta è ammessa solo se accompagnata dal timbro di rinnovo del Comune. Per il cliente straniero non comunitario, l’identificazione è accompagnata dall’acquisizione del permesso di soggiorno.

Identificazione senza presenza fisica: i cinque casi tipizzati

La novità sistematica più rilevante dell’art. 19 nella formulazione vigente è la tipizzazione dei casi in cui l’obbligo di identificazione si considera assolto anche senza la presenza fisica del cliente. La norma elenca cinque ipotesi (numeri da 1 a 5, con i sottocasi 4-bis e 4-ter introdotti nel 2020 e 2022) che riflettono l’evoluzione dell’identità digitale.

1) Atti pubblici, scritture private autenticate, firma digitale qualificata. L’identificazione si considera assolta se i dati identificativi del cliente risultano da atti pubblici, da scritture private autenticate ovvero da certificati qualificati utilizzati per la generazione di una firma digitale associata a documenti informatici ex art. 24 CAD (D.Lgs. 82/2005). È il caso, ad esempio, del cliente che sottoscrive il mandato professionale con firma digitale qualificata: l’autenticazione del certificato sostituisce la verifica fisica del documento.

2) Identità digitale di livello significativo (SPID, CIE, eIDAS). Il numero 2), nella versione novellata dal DL 76/2020, ammette l’identificazione del cliente in possesso di un’identità digitale con livello di garanzia almeno significativo nell’ambito del Sistema SPID di cui all’art. 64 CAD, ovvero di un’identità elettronica notificata nell’elenco eIDAS pubblicato dalla Commissione europea ai sensi dell’art. 9 del Regolamento UE 910/2014, ovvero ancora di un certificato per la generazione di firma elettronica qualificata o di procedure di identificazione elettronica autorizzate o riconosciute dall’AgID. L’innalzamento dal livello massimo al livello significativo, intervenuto nel 2020, ha esteso significativamente la platea: anche lo SPID di livello 2 (e non solo il livello 3) consente l’identificazione antiriciclaggio.

3) Dichiarazione consolare italiana. Per i clienti i cui dati risultino da dichiarazione della rappresentanza e dell’autorità consolare italiana ex art. 6 del D.Lgs. 153/1997: ipotesi residuale ma utile per clienti residenti all’estero.

4) Clienti già identificati per altro rapporto in essere. L’identificazione si considera assolta per i clienti già identificati dal medesimo soggetto obbligato in relazione ad altro rapporto o prestazione professionale in essere, purché le informazioni esistenti siano aggiornate e adeguate rispetto allo specifico profilo di rischio. È il caso ordinario dello studio professionale che acquisisce un nuovo incarico da un cliente già acquisito: non occorre ripetere ex novo l’identificazione, ma è necessario verificare l’attualità dei dati.

4-bis) Bonifico previa identificazione elettronica forte. Introdotto dal DL 76/2020, riguarda i clienti che, previa identificazione elettronica basata su credenziali conformi all’art. 4 del Regolamento Delegato UE 2018/389 (strong customer authentication), dispongono un bonifico verso un conto di pagamento intestato al soggetto obbligato. La modalità è limitata ai rapporti relativi a carte di pagamento e a strumenti di pagamento basati su dispositivi di telecomunicazione, digitali o informatici.

4-ter) Open banking e PSD2. Introdotto dal DL 228/2021, copre i clienti già identificati da un altro soggetto obbligato che, previa identificazione elettronica forte, consentono l’accesso alle informazioni del conto di pagamento intestato al cliente presso altro soggetto obbligato in uno Stato membro UE. La previsione consente di sfruttare i servizi di disposizione ordini di pagamento e di informazione sui conti previsti dall’art. 1, comma 2, lett. h-septies.1) TUB, in piena coerenza con la PSD2 (D.Lgs. 11/2010).

5) Altre modalità individuate dalle Autorità di vigilanza. Clausola di chiusura aperta all’evoluzione tecnologica: le Autorità di vigilanza di settore (Banca d'Italia, IVASS, Consob, MEF) possono individuare ulteriori forme idonee. Il Provvedimento Banca d'Italia del 30 luglio 2019 ha disciplinato la videoidentificazione e altre tecniche di onboarding remoto, divenute centrali nel periodo pandemico e oggi parte integrante della prassi degli intermediari.

Verifica dell’identità: il principio del riscontro mirato

La lettera b) del comma 1 disciplina la verifica dell’identità, distinguendola dalla mera identificazione. Mentre l’identificazione consiste nell’acquisizione dei dati, la verifica consiste nel riscontro della veridicità dei dati identificativi contenuti nei documenti e delle informazioni acquisite. Il DL 76/2020 ha inserito l’avverbio solo, chiarendo che il riscontro è dovuto soltanto laddove sussistano dubbi, incertezze o incongruenze sui dati identificativi. Si tratta di un approccio risk-based che evita di gravare il soggetto obbligato di verifiche sistematiche e ridondanti su ogni cliente, concentrando l’attenzione sui casi anomali.

Quando il riscontro è dovuto, la verifica può essere effettuata attraverso la consultazione del Sistema pubblico per la prevenzione del furto di identità (SCIPAFI) di cui al D.Lgs. 64/2011, ovvero attraverso il ricorso ad altre fonti attendibili e indipendenti. La norma include espressamente tra le fonti utilizzabili le banche dati ad accesso pubblico o condizionato riferibili a una pubblica amministrazione (ad esempio, l’archivio ANPR, il Registro delle imprese tenuto dalla CCIAA, l’archivio dei rapporti finanziari dell’Anagrafe tributaria, la banca dati patenti del Ministero delle infrastrutture), nonché le banche dati riferibili a soggetti privati autorizzati al rilascio di identità digitali nell’ambito di SPID o di regimi eIDAS.

Verifica del titolare effettivo per clienti non persone fisiche

Sempre la lettera b) precisa che, per i clienti diversi dalle persone fisiche e per i fiduciari di trust espressi (nonché per le persone che esercitano diritti, poteri e facoltà equivalenti in istituti giuridici affini), la verifica dell’identità del titolare effettivo impone l’adozione di misure, commisurate alla situazione di rischio, idonee a comprendere la struttura di proprietà e di controllo del cliente. Per i criteri di individuazione del titolare effettivo si rinvia all’art. 20; per la consultazione del Registro dei titolari effettivi all’art. 21. La norma tipizza dunque l’obbligo di look-through: il soggetto obbligato non può fermarsi alla persona giuridica formalmente cliente, ma deve risalire alla persona fisica che ne detiene il controllo ultimo, anche attraverso catene partecipative complesse, trust o veicoli fiduciari.

Acquisizione di informazioni su scopo e natura del rapporto

La lettera c) del comma 1 disciplina la terza misura di adeguata verifica, già delineata in via generale dall’art. 18: l’acquisizione e la valutazione di informazioni sullo scopo e sulla natura del rapporto continuativo o della prestazione professionale. L’art. 19 aggiunge un elemento qualificante: la verifica della compatibilità dei dati e delle informazioni fornite dal cliente con le informazioni acquisite autonomamente dai soggetti obbligati, anche con riguardo al complesso delle operazioni compiute in costanza del rapporto, di altri rapporti precedentemente intrattenuti, nonché dell’instaurazione di ulteriori rapporti. Per il commercialista, ad esempio, ciò significa raccogliere dichiarazioni del cliente sull’oggetto dell’incarico (tenuta della contabilità, consulenza fiscale, costituzione di società, etc.) e confrontare tali dichiarazioni con quanto emerge nella relazione professionale: un cliente che dichiara di affidare la sola tenuta contabile ma poi richiede operazioni straordinarie ricorrenti dovrà essere sottoposto a nuova valutazione del profilo di rischio.

Controllo costante e analisi delle operazioni

La lettera d) del comma 1 traduce in pratica il principio della on-going due diligence: il controllo costante nel corso del rapporto si attua attraverso l’analisi delle operazioni effettuate e delle attività svolte o individuate durante tutta la durata del rapporto, in modo da verificare che esse siano coerenti con la conoscenza che il soggetto obbligato ha del cliente e del suo profilo di rischio, anche con riguardo, se necessario, all’origine dei fondi. L’adeguata verifica non si esaurisce nell’onboarding ma è un processo dinamico che impone monitoraggio continuativo, aggiornamento dei dati (di regola almeno triennale, ma più frequente in presenza di operatività anomale) e rivalutazione del profilo di rischio quando emergano variazioni significative (cambio di residenza, mutamento dell’assetto proprietario per le persone giuridiche, modifica dell’attività esercitata, operazioni inattese rispetto al profilo dichiarato).

Proporzionalità al rischio

Il comma 2 sancisce il principio di proporzionalità: l’estensione delle verifiche, della valutazione e del controllo di cui al comma 1 è commisurata al livello di rischio rilevato. Cliente a basso rischio significa adeguata verifica semplificata ex art. 23 (riscontri ridotti, frequenza di aggiornamento ampliata); cliente ad alto rischio (PEP, residenti in paesi terzi ad alto rischio, settori sensibili) significa adeguata verifica rafforzata ex art. 24 (riscontri sistematici sulla provenienza dei fondi, autorizzazione di un livello gerarchico superiore, monitoraggio rafforzato). Il risk-based approach permea l’intero impianto della disposizione e impone al soggetto obbligato di calibrare i singoli adempimenti, quanti documenti raccogliere, quali fonti consultare, con quale frequenza aggiornare, in funzione della profilatura.

Adeguata verifica del beneficiario di prestazione assicurativa

Il comma 3 detta una disciplina speciale per i soggetti obbligati di cui all’art. 3, comma 2 (compagnie di assicurazione sul ramo vita e intermediari assicurativi che operano nel ramo vita). Essi devono applicare misure di adeguata verifica anche al beneficiario della prestazione assicurativa, non appena individuato o designato, nonché all’effettivo percipiente della prestazione liquidata e ai rispettivi titolari effettivi. Le misure consistono nell’acquisizione del nome o della denominazione del beneficiario specificamente individuato; quando invece il beneficiario è designato in base a particolari caratteristiche o classi (ad esempio gli eredi legittimi del contraente), va acquisita informazione sufficiente a stabilirne l’identità al momento della liquidazione. La norma riflette la specificità del ramo vita, dove la prestazione può essere goduta da un soggetto diverso dal contraente, e mira a prevenire l’uso di polizze come veicolo di riciclaggio attraverso designazioni opache o beneficiari fittizi.

Sanzioni e conservazione documentale

Le violazioni degli obblighi di adeguata verifica sono sanzionate ai sensi dell’art. 56: sanzione amministrativa base di 2.000 euro, da 2.500 a 50.000 euro nei casi gravi, ripetuti, sistematici o plurimi; per gli enti, in presenza di vantaggio significativo, sanzione fino al 10% del fatturato annuo. L’autorità competente è il MEF, su istruttoria delle Autorità di vigilanza o della Guardia di Finanza. L’art. 31, complementare all’art. 19, impone la conservazione della documentazione acquisita (copia documenti di riconoscimento, dichiarazione sul titolare effettivo, informazioni su scopo del rapporto, registrazione delle operazioni) per dieci anni dalla cessazione del rapporto o dall’esecuzione dell’operazione occasionale, in formato cartaceo o elettronico, con garanzia di integrità e non alterabilità.

Casi pratici

Caso 1, Onboarding tradizionale presso studio commercialista. Tizio, imprenditore individuale, si rivolge per la prima volta allo studio del Dott. Caio per la tenuta della contabilità ordinaria della propria ditta. In sede di primo incontro, Caio acquisisce copia della carta d'identità in corso di validità di Tizio, compila una scheda con dati anagrafici, residenza, codice fiscale, partita IVA, attività esercitata (codice ATECO), e fa sottoscrivere a Tizio una dichiarazione sull’oggetto dell’incarico e sulla titolarità effettiva (Tizio, persona fisica, è egli stesso titolare effettivo). Caio classifica il rapporto come basso rischio e archivia la documentazione nel fascicolo elettronico antiriciclaggio. Non è necessario procedere a riscontro sui dati, in assenza di incongruenze.

Caso 2, Persona giuridica estera con trust nella catena. La Caia Holding S.A., società di diritto lussemburghese, si rivolge allo studio per consulenza fiscale su un investimento immobiliare in Italia. Il professionista acquisisce visura del Registre de Commerce lussemburghese, statuto e dichiarazione sul titolare effettivo (due persone fisiche residenti in Belgio, ciascuna con il 40% delle quote; il restante 20% detenuto da un trust). Sul trust, è richiesta copia dell’atto istitutivo per identificare disponente, trustee, guardiano e beneficiari. Trattandosi di soggetto estero con catena articolata, il rapporto è classificato ad alto rischio e si applicano le misure rafforzate ex art. 24, incluso il riscontro sulla provenienza dei fondi.

Caso 3, Identificazione a distanza via SPID. Sempronio, dipendente con partita IVA per attività occasionale di consulenza, contatta lo studio via mail per ottenere assistenza dichiarativa. Trovandosi in altra regione, chiede di completare l’onboarding integralmente da remoto. Lo studio utilizza una piattaforma di firma elettronica qualificata che richiede a Sempronio l’autenticazione tramite SPID di livello 2: il sistema acquisisce nome, cognome, codice fiscale, data e luogo di nascita certificati dall’Identity Provider, e Sempronio sottoscrive con firma elettronica qualificata il mandato professionale e la dichiarazione sul titolare effettivo. L’identificazione è completata ai sensi dell’art. 19, comma 1, lett. a), n. 2). La copia del documento di identità non è obbligatoria in questa modalità, ma lo studio ne richiede comunque acquisizione come buona prassi di conservazione.