Antiriciclaggio · Profilo di rischio
Il profilo di rischio non è un'etichetta. È una motivazione.
L'approccio basato sul rischio è la spina dorsale del D.Lgs. 231/2007: l'estensione delle misure di adeguata verifica si modula sul rischio del cliente, del rapporto e dell'operazione (articolo 17, comma 3). Un profilo che non dice da quali fattori nasce non si può difendere in un riesame. Qui sotto i fattori che la legge elenca, i tre livelli con ciò che ciascuno impone, il caso delle persone politicamente esposte, la regola delle sanzioni e i due errori possibili, con il loro peso diverso.
Articolo 17, comma 3, e allegati del D.Lgs. 231/2007
I fattori che la legge chiede di pesare.
Il decreto elenca i fattori in due famiglie, riferite al cliente e al rapporto, e li dettaglia nell'allegato 1 (rischio potenzialmente basso) e nell'allegato 2 (rischio potenzialmente elevato); le Disposizioni della Banca d'Italia del 30 luglio 2019 li declinano per gli intermediari. Per ciascuna famiglia, i segnali che Complify misura davvero, con la fonte.
Cliente e titolare effettivo
Natura giuridica, attività svolta, comportamento al momento dell'operazione.
Che cosa dice la norma. Lettera a del comma 3: la natura giuridica, la prevalente attività svolta, il comportamento tenuto al momento del compimento dell'operazione o dell'instaurazione del rapporto, l'area geografica di residenza o sede del cliente e della controparte. L'allegato 2 aggiunge le strutture proprietarie anomale o eccessivamente complesse, le società con azionisti fiduciari o al portatore, le attività a elevato utilizzo di contante.
Che cosa misura Complify. Forma giuridica e settore dal Registro; anzianità dell'impresa, scioglimento, liquidazione, cancellazione; trust e fiduciarie nella compagine; titolari effettivi e società esteri; catene oltre tre livelli; soci e cariche cambiati negli ultimi due anni; indicatori di società cartiera; protesti, pregiudizievoli e procedure concorsuali sull'impresa, sui soci e sugli esponenti.
Area geografica
Paesi terzi ad alto rischio, giurisdizioni non cooperative, territori con elevata presenza di criminalità organizzata.
Che cosa dice la norma. L'allegato 2 nomina i paesi che la Commissione europea indica come ad alto rischio, quelli sottoposti a sanzioni o embargo, quelli che finanziano attività terroristiche e quelli con livelli significativi di corruzione. L'articolo 24 impone la verifica rafforzata con i clienti collegati a un paese terzo ad alto rischio.
Che cosa misura Complify. La sede e la residenza del cliente e del titolare effettivo, il paese di ogni società della catena, la provincia e la regione in Italia, confrontati con gli elenchi in vigore alla data del documento. Il peso di ciascuna lista si concorda con voi.
Rapporto e operazione
Tipologia, modalità di svolgimento, ammontare, frequenza, ragionevolezza rispetto all'attività del cliente.
Che cosa dice la norma. Lettera b del comma 3: la tipologia dell'operazione o del rapporto, le modalità di svolgimento, l'ammontare, la frequenza e il volume, la durata, la ragionevolezza in rapporto all'attività svolta, l'area geografica di destinazione. L'allegato 2 nomina i rapporti a distanza senza garanzie adeguate, i pagamenti da terzi sconosciuti, i prodotti che favoriscono l'anonimato.
Che cosa misura Complify. Nell'adeguata verifica di ComplifyADV l'operatore raccoglie scopo e natura del rapporto nell'intervista, e i dati dei sistemi della banca entrano nella pratica; il bilancio e il riclassificato dicono se l'operatività è coerente con la dimensione dell'impresa.
Tre livelli, tre forme di verifica
Il livello fissa quanto approfondire. La motivazione dice perché.
Il rischio esce in tre gradini, alto, medio e basso, e ogni gradino porta con sé la forma dell'adeguata verifica. Le regole fissano il livello e restano scritte; sulla piattaforma l'intelligenza artificiale legge il quadro intero, scrive perché e può solo alzare il livello, mai abbassarlo. Se le fonti non bastano, il documento scrive «non calcolabile» e dice che cosa manca: un livello basso per mancanza di dati sarebbe un falso negativo.
Alto · verifica rafforzata
Articolo 24
Più informazioni sul cliente e sul titolare effettivo, sull'origine dei fondi e del patrimonio, sulle ragioni dell'operazione; autorizzazione di un livello superiore; controllo costante più frequente. Obbligatoria per legge con le persone politicamente esposte, i paesi terzi ad alto rischio e i rapporti di corrispondenza transfrontalieri. Nel documento, la motivazione elenca i fattori che l'hanno determinata, dal più pesante.
Medio · verifica ordinaria
Articoli 18 e 19
Identificazione e verifica del cliente, dell'esecutore e del titolare effettivo; scopo e natura del rapporto; controllo costante. È la forma per la maggior parte dei clienti. Il documento propone come mitigare i fattori che pesano, dalla richiesta di un documento in più a una revisione più vicina nel tempo.
Basso · verifica semplificata
Articolo 23
Misure ridotte in estensione e frequenza (articolo 23), per esempio con pubbliche amministrazioni, società quotate e intermediari vigilati. Semplificare non vuol dire omettere: la semplificazione va documentata, e il controllo costante resta. Se durante il rapporto compare un fattore dell'allegato 2, il livello sale.
La forma della verifica segue il livello, e il livello segue i fattori: è la catena logica che un ispettore ripercorre, e per questo il documento la scrive per intero.
Persone politicamente esposte
Con una persona politicamente esposta la legge non lascia scegliere.
La definizione sta nell'articolo 1, comma 2, lettera dd, del decreto: le persone fisiche che occupano o hanno cessato di occupare da meno di un anno importanti cariche pubbliche, i loro familiari e coloro che con esse intrattengono notoriamente stretti legami. L'elenco delle cariche è nella norma, e non è una lista di nomi: lo screening confronta il cliente e il suo titolare effettivo con le banche dati che la ricostruiscono, in Italia e nel mondo.
- Cariche: capi di Stato e di governo, ministri e sottosegretari, parlamentari, membri delle corti supreme e costituzionali, della corte dei conti e dei consigli delle banche centrali, ambasciatori, alti ufficiali, componenti degli organi di imprese controllate dallo Stato, dirigenti di organizzazioni internazionali; in Italia anche le cariche regionali e dei comuni capoluogo e sopra i quindicimila abitanti, e i direttori di aziende sanitarie.
- Familiari: genitori, coniuge o persona legata in unione civile o convivenza di fatto, figli e loro coniugi o conviventi.
- Stretti legami: chi detiene con la persona esposta la titolarità effettiva di enti o rapporti d'affari, o la detiene da solo in enti costituiti di fatto nel suo interesse.
Articolo 24, comma 5 · che cosa impone
- L'autorizzazione del direttore generale, di un suo incaricato o di chi svolge una funzione equivalente, prima di avviare o proseguire il rapporto.
- Misure adeguate per stabilire l'origine del patrimonio e dei fondi impiegati nel rapporto o nell'operazione.
- Un controllo costante più intenso per tutta la durata del rapporto.
- La qualifica resta per un anno dalla cessazione della carica; dopo, il rischio si valuta caso per caso.
Nel documento di Complify la persona esposta è segnata con la carica, il paese e la fonte, e si distingue chi è esposto in proprio da chi lo è per legame familiare o d'affari. In ComplifyADV la pratica passa al livello autorizzativo che la vostra procedura prevede per l'articolo 24.
Screening: liste, sanzioni, stampa avversa
Due errori possibili, con un peso diverso.
Ogni screening confronta un nome con un elenco, e un confronto può sbagliare in due direzioni. Si chiamano falso positivo e falso negativo, e un sistema che li tratta allo stesso modo è un sistema tarato male: il primo costa tempo, il secondo costa una violazione.
Falso positivo
Un cliente estraneo segnalato per omonimia.
Costa lavoro all'ufficio, un rapporto rallentato, a volte un cliente perso. Si governa affinando il confronto: nome primario per parole intere, anno di nascita ricavato dal codice fiscale per le persone, ragione sociale senza la forma giuridica e paese della sede per le imprese. Ciò che il filtro scarta non si butta: resta nel documento, declassato, fuori dal giudizio e dentro la vista, perché chi firma possa dissentire.
Falso negativo
Una persona in lista che passa come pulita.
Costa una violazione, con le sanzioni dell'articolo 56 e, se l'operazione andava segnalata, dell'articolo 58 del decreto; e il danno non si vede finché non lo trova qualcun altro. Per questo sulle liste sanzionatorie il filtro non si applica: il congelamento dei fondi è un obbligo di legge, non una misura proporzionata al rischio, e ogni soggetto passa dalle liste dell'Unione e delle Nazioni Unite senza filtri di paese né di anno di nascita. I filtri restano per le persone politicamente esposte e per la stampa avversa, dove l'omonimia è la regola.
L'obiettivo non è azzerare i falsi positivi: è tenere i falsi negativi il più vicino possibile a zero, e poter dimostrare come.
Dove lo fa Complify
All'apertura del rapporto e per tutta la sua durata.
All'apertura: Know Your Customer worldwide
- Le informazioni dalle fonti ufficiali e da quelle che ci date voi, su imprese e persone, in Italia e all'estero.
- Gli indicatori e il rischio antiriciclaggio in tre gradini, con la motivazione scritta e una proposta di mitigazione per ogni esito.
- Lo screening su sanzioni, persone politicamente esposte e stampa avversa, sul mondo intero, con i riscontri scartati in vista.
- I pesi del calcolo concordati con voi e scritti nel documento.
Nella pratica: ComplifyADV
- Il profilo entra nella pratica di adeguata verifica e decide la forma: ordinaria, semplificata o rafforzata.
- La pratica sale al livello autorizzativo che il profilo richiede, e l'approvazione resta tracciata.
- L'intelligenza artificiale legge le pratiche, riconosce gli schemi delle posizioni a rischio alto e segnala in anticipo quelle che vanno nella stessa direzione; la decisione resta della banca.
Nel tempo: la revisione
- Il profilo fissa la periodicità della revisione; il regolamento (UE) 2024/1624 metterà i tetti: almeno ogni anno per il rischio alto, almeno ogni cinque anni per gli altri (articolo 26).
- Una variazione che conta non aspetta la scadenza: riapre la pratica. Ne parla la pagina sul controllo costante.
- Il documento è fissato alla data dei dati e la dichiara: il profilo su cui avete deliberato si rilegge com'era.
Fonti. Decreto legislativo 21 novembre 2007, n. 231, articoli 1, 17, 18, 19, 23, 24, 56 e 58 e allegati 1 e 2 (Normattiva); Banca d'Italia, Disposizioni in materia di adeguata verifica della clientela, 30 luglio 2019 e successive modifiche; regolamento (UE) 2024/1624, articolo 26 (Gazzetta ufficiale dell'Unione europea). Riscontrate il 9 ottobre 2026. Questa pagina orienta; non sostituisce i testi ufficiali né un parere sul vostro caso.
Domande frequenti
Le domande che ci fanno su questo tema.
Quali fattori pesano nel profilo di rischio del cliente?
Quelli dell'articolo 17, comma 3, del D.Lgs. 231/2007: la natura giuridica, l'attività e il comportamento del cliente e del titolare effettivo, l'area geografica, il tipo di rapporto o di operazione, le modalità di svolgimento. L'allegato 1 elenca i fattori di rischio basso, l'allegato 2 quelli di rischio alto, e le Disposizioni della Banca d'Italia li declinano per gli intermediari. Nel profilo pesano anche i protesti e le pregiudizievoli, le procedure concorsuali, l'anzianità dell'impresa, la presenza di trust o fiduciarie nella compagine, i cambi di soci e amministratori, gli indicatori di società cartiera, il settore e il territorio. I pesi si concordano con voi e restano scritti.
Che cosa cambia per una persona politicamente esposta?
La definizione è quella dell'articolo 1, comma 2, lettera dd: chi occupa o ha cessato di occupare da meno di un anno importanti cariche pubbliche, i familiari e chi ha con loro stretti legami. Con una persona politicamente esposta l'adeguata verifica è rafforzata per legge (articolo 24, comma 5): autorizzazione del direttore generale o di chi ne fa le veci prima di avviare o proseguire il rapporto, misure adeguate per stabilire l'origine del patrimonio e dei fondi, controllo costante più intenso. Lo screening copre il mondo intero e distingue chi è esposto in proprio da chi lo è per legame.
Perché sullo screening delle sanzioni non si applica l'approccio basato sul rischio?
Perché il congelamento dei fondi è un obbligo di legge, non una misura proporzionata al rischio: le liste dell'Unione e delle Nazioni Unite si applicano a chiunque, e un nominativo non riconosciuto è una violazione, non un'imprecisione. Per questo ogni soggetto, impresa o persona, passa dalle liste sanzionatorie senza filtri di paese o di anno di nascita, mentre i filtri servono per le persone politicamente esposte e la stampa avversa, dove l'omonimia è la regola.
Falsi positivi e falsi negativi: quale dei due costa di più?
Il falso negativo. Un falso positivo costa tempo e un rapporto rallentato; un falso negativo lascia passare una posizione che andava fermata, e la responsabilità è del soggetto obbligato. Per questo i riscontri si filtrano con regole scritte, nome primario e anno di nascita per le persone, nome senza forma giuridica e paese per le imprese, e ciò che il filtro scarta non si butta: resta nel documento, declassato, fuori dal giudizio e dentro la vista, perché chi firma possa dissentire.
Complify Yourself!
Mandateci dieci partite IVA del vostro portafoglio: le trovate ordinate per rischio, con la motivazione, e vedete da voi se regge.