Sommario[*]: 1. Premessa; 2. I principali contenuti della parte prima degli Orientamenti in materia di risk assessment; 2.1. I fattori di rischio; 2.1.1. I fattori di rischio connessi al cliente o al titolare effettivo; 2.1.2. Il rischio associato a Paesi e a determinate aree geografiche; 2.1.3. I fattori del rischio associato alla trasparenza di un prodotto, servizio o transazione; 2.1.4. I fattori del rischio associato alle modalità di collocamento; 3. Regole generali delineate negli Orientamenti in materia di adeguata verifica; 3.1. Adeguata verifica semplificata/Adeguata verifica rafforzata: le indicazioni generali dell’EBA; 3.2. I Paesi terzi ad alto rischio; 3.3. Esempi di misure da applicare in altre ipotesi in cui si riscontri un elevato livello di rischio e l’attività di monitoraggio; 3.4. Rapporto avviato e condotto senza la presenza fisica del cliente (Non-face to face situations); 4. Inclusione finanziaria e de-risking.

1. Premessa

Ad esito della fase di consultazione pubblica durata dal 5 febbraio al 6 luglio 2020, l’Autorità Bancaria Europea (d’or innanzi “EBA”, European Banking Authority) ha pubblicato il 1° marzo 2021 una nuova versione degli Orientamenti in materia di adeguata verifica della clientela e di individuazione dei fattori di rischio[1].

Con la Direttiva UE 2015/849 (d’ora innanzi solo “Direttiva 2015/849), entrata in vigore il 26 giugno 2015, è stato, infatti, imposto agli Stati membri, alle autorità competenti e ai soggetti obbligati l’adozione di misure per l’identificazione e la valutazione dei rischi di riciclaggio e di finanziamento del terrorismo (d’ora innanzi “ML/TF”) ai fini di una migliore gestione degli stessi.

In tale ambito, la Direttiva ha attribuito alle tre European Supervisory Authorities (ESAs) il compito di emanare orientamenti sugli elementi essenziali (key aspects) di cui tener conto per la corretta applicazione dell’approccio basato sul rischio. A ciò le predette Autorità hanno provveduto mediante una specifica pubblicazione del 26 giugno 2017[2]pure richiamata nell’Atto di emanazione del Provvedimento della Banca d’Italia del 30 luglio 2019[3].

Da allora, tuttavia, oltre al ravvisarsi da parte dell’EBA di “nuovi rischi”[4], risulta sostanzialmente mutato il quadro normativo applicabile nell’Unione Europea: la stessa Direttiva 2015/849 è stata modificata con la Direttiva 2018/843 entrata in vigore il 9 luglio 2018, nonché con l’articolo 3 della Direttiva 2019/2177 del 18 dicembre 2019, con cui il legislatore europeo ha scelto di concentrare presso l’EBA, dal 1° gennaio 2020, le funzioni di coordinamento e monitoraggio nell’attività di contrasto del riciclaggio e del finanziamento del terrorismo fino ad allora attribuite alle diverse autorità europee[5].

Pertanto, l’EBA nella formulazione dei nuovi Orientamenti ha operato con competenza ormai esclusiva ai sensi degli articoli 17[6]e 18, paragrafo 4[7], della Direttiva 2015/849 come emendata dalle richiamate Direttive del 2018 e del 2019.

In particolare, la Direttiva 2018/843 ha introdotto una serie di novità che hanno determinato l’opportunità della revisione degli Orientamenti del 2017 con specifico riferimento agli obblighi di rafforzamento nel caso di rapporti che coinvolgano Paesi terzi ad alto rischio[8].

In generale, la nuova versione degli Orientamenti si muove nella direzione di ottenere migliori risultati riguardo a quattro distinti aspetti:

• la valutazione dei rischi ML/TF a livello aziendale e individuale;
• le misure di adeguata verifica della clientela, anche con riferimento al titolare effettivo;
• i fattori di rischio connessi al finanziamento del terrorismo;
• i rischi emergenti.

Come già in precedenza, gli Orientamenti pubblicati il 1° marzo 2021 sono divisi in due parti: la prima (titolo I, guideline da 1 a 7) applicabile a tutte le “credit and financial institutions”[9]; la seconda (titolo II, guideline da 8 a 20) è “sector-specific” e integra, settore per settore, le indicazioni dettate nella prima parte attraverso l’individuazione di fattori di rischio specifici per determinati settori e di istruzioni dedicate a chi operi in tali settori in ordine all’applicazione di misure di adeguata verifica della clientela proporzionate al rischio che li caratterizza (risk-sensitive application).

Le autorità competenti, come definite nell’articolo 4, paragrafo 2[10]del Regolamento UE 1093/2010, dovranno conformarsi al nuovo quadro delineato negli Orientamenti incorporandoli nelle loro pratiche, ad esempio attraverso modifiche del loro quadro regolamentare o delle loro procedure di vigilanza.

Inoltre, le predette autorità dovranno notificare all’EBA se siano eventualmente già conformi agli Orientamenti, o se intendano conformarsi incorporandoli nelle loro pratiche (ad esempio, modificando il loro quadro regolamentare o le loro procedure di vigilanza), oppure, in caso contrario, motivare la scelta di non conformarsi.

Tale notifica dovrà avvenire entro due mesi dalla pubblicazione sul sito web dell’EBA della traduzione – in tutte le lingue dell’Unione – degli Orientamenti; questi dovranno trovare applicazione entro tre mesi dalla pubblicazione della relativa traduzione.

2. I principali contenuti della parte prima degli Orientamenti in materia di risk assessment

In linea con gli obblighi di valutazione previsti dalla Direttiva 2015/849 (cfr. in particolare l’articolo 8) l’EBA ha sottolineato che gli intermediari bancari e finanziari dovranno effettuare sia una valutazione a livello aziendale, cioè una valutazione del rischio derivante dalla natura e dalla complessità della loro attività (the business-wide risk assessment)[11], sia una valutazione dei rischi individuali, cioè di quelli connessi ai rapporti continuativi instaurati o alle operazioni occasionali poste in essere dalla clientela (the individual risk assessments)[12], (cfr. figura 1).

Fig.1

Ciascuna delle valutazioni menzionate si articola in due fasi, distinte ma correlate:

• l’identificazione dei fattori di rischio ML/TF;
• la valutazione del rischio ML/TF.

Come specificato dall’EBA, il calcolo del rischio residuale, tanto aziendale che individuale, inteso come rischio a valle delle attività di mitigazione, è il risultato della combinazione di tre elementi, quali il livello del rischio intrinseco, cioè il rischio “ante mitigazione”[13], la qualità dei controlli e l’eventuale presenza di altre circostanze capaci di attenuare il rischio[14](cfr. figura 2).

Fig.2

Con specifico riferimento al rischio aziendale, viene ribadito l’obbligo, già sancito dalla Direttiva 2015/849[15], che i soggetti obbligati registrino e documentino la propria valutazione e qualsiasi modifica apportatale in modo tale che le autorità competenti possano comprendere sia la metodologia utilizzata sia le ragioni che hanno condotto a tale scelta metodologica.

Deve, inoltre, essere fissata una data precisa entro la quale procedere all’aggiornamento della valutazione del rischio aziendale, nonché essere predisposti meccanismi che tengano conto dell’eventuale mutamento del livello di rischio per le valutazioni dei singoli rapporti continuativi.

Come accennato in premessa, l’EBA ha rimarcato la necessità di prestare attenzione ai cc.dd. “rischi emergenti”. A tal fine specifico (to identify emerging risks)[16]gli intermediari devono dotarsi di due tipi di procedure:

• quelle idonee all’aggiornamento delle informazioni interne, cioè quelle tratte dalla loro attività di monitoraggio, al fine di identificare nuovi trend (come ad esempio l’utilizzo di soluzioni innovative in tema di customer due diligence) che possano incidere sull’attività aziendale, in generale o su singole relazioni d’affari;
• e quelle capaci di attingere a fonti esterne, di cui gli stessi Orientamenti riportano alcuni esempi.

Fra queste, infatti, l’EBA include espressamente:

1. i database disponibili in commercio che raccolgono informazioni provenienti da diverse fonti, cui vanno aggiunte le informazioni presenti nel report relativo ai risultati della valutazione nazionale dei rischi (national risk assessment), nonché della valutazione del rischio sovranazionale (supranational risk assessment) condotto dalla Commissione europea;
2. l’elenco, sempre della Commissione europea, sui Paesi ad alto rischio;
3. le informazioni diffuse dall’Unità di Informazione Finanziaria e dalle forze dell’ordine[17];
4. le informazioni desumibili dalle sanzioni comminate dalle autorità;
5. le informazioni frutto dei momenti di confronto con le autorità e con altri rappresentanti de “l’industria”, come nel caso di tavole rotonde, conferenze e corsi di formazione[18].

Oltre a queste l’EBA individua, quali “Other sources of information”, informazioni tratte dalla c.d. “società civile” come gli indici relativi al livello di corruzione, quelle provenienti da enti che si occupano di elaborazioni statistiche, i rapporti di valutazione reciproca, nonché altre informazioni tratte da fonti aperte affidabili[19].

Per quanto riguarda le valutazioni del rischio a livello aziendale (business-wide risk assessments) l’EBA richiama, tra l’altro, l’importanza non solo degli alert diffusi dalle forze dell’ordine ma anche i contenuti delle pubblicazioni delle autorità competenti e i feedback rivenienti dal personale interessato (relevant staff). I risultati della valutazione in discorso dovranno essere portati a conoscenza anche del personale al fine di porlo nelle condizioni di valutare in che misura il livello del rischio aziendale possa influire sulla sua concreta attività quotidiana, anche ai fini della individuazione di transazioni anomale o sospette[20].

Con particolare riferimento alla valutazione del rischio connesso al singolo rapporto continuativo (individual risk assessments) l’EBA rammenta l’importanza di prendere tempestivamente in considerazione gli allarmi terroristici e le sanzioni finanziarie, nonché i resoconti dei media che riguardino settori o Stati in cui l’intermediario operi[21].

In ogni caso, l’EBA stabilisce che le fonti cui l’intermediario deve attingere ai fini delle proprie valutazioni siano, quanto a tipologia e numerosità, predeterminate tenuto conto del proprio livello di rischio[22].

L’elaborazione delle informazioni fornite da tali fonti deve avere come fine ultimo quello di giungere ad una visione “olistica” cioè una visione che attraverso piani paralleli di indagine consenta la formulazione del livello complessivo del rischio, sia con riferimento al singolo rapporto/operazione occasionale, sia con riferimento all’intermediario stesso[23].

Un aspetto di novità rispetto alla precedente versione è rappresentato dal “suggerimento” rivolto ai destinatari di considerare la possibilità di sottoporre il loro “approccio” ad una “revisione indipendente”.

Già in fase di consultazione molti partecipanti hanno chiesto di fornire maggiori dettagli al riguardo, in particolare su che cosa dovesse intendersi per “revisione indipendente’’, quando e come dovesse essere eseguita (ad esempio, su parti del processo di gestione del rischio o sull’intero sistema; a cura di un soggetto interno o esterno) e chi dovesse essere sottoposto a tale “revisione” (esempio, solo intermediari di grandi dimensioni o complessi).

In generale, l’EBA ha chiarito che ciascun intermediario deve fare in modo che le proprie modalità di contrasto del riciclaggio e del finanziamento del terrorismo siano efficaci e conformi gli obblighi di legge e regolamentari previsti: a tal fine, rientra dunque nella libera scelta dell’intermediario considerare la necessità (o meno) di tale “revisione” e quale dovrà esserne l’estensione, cioè se debba avere ad oggetto tutti gli aspetti della policy AML/CFT o solo una parte della stessa e se debba essere svolta da strutture interne o da soggetti esterni cui le imprese devono anche tenere conto dei requisiti (nazionali) ad esse applicabili – in alcuni Stati (tenendo presenti i dettami della normativa nazionale).

Si tratta, tuttavia, di una novità relativa, considerato che l’articolo 8, della Direttiva 2015/849 prevede che gli Stati membri facciano in modo che i soggetti sottoposti agli obblighi adottino “politiche, controlli e procedure per mitigare e gestire in maniera efficace i rischi…”, soggiungendo che tali politiche devono includere “se del caso, in funzione delle dimensioni e della natura dell’attività economica, una funzione di revisione indipendente…”

2.1 I fattori di rischio

Secondo gli Orientamenti pubblicati a marzo 2021, per “fattori di rischio” si devono intendere le variabili, suscettibili di incidere, da sole o in combinazione fra loro, sul livello di rischio ML/TF connesso a un rapporto continuativo o a un’operazione occasionale.

I fattori di rischio si distinguono a seconda che il rischio sia associato al cliente, ai Paesi o a determinate aree geografiche, ai prodotti e ai servizi e ai canali di collocamento[24](cfr. figura 3).

Fig.3

Come ovvio i soggetti obbligati potranno soppesare in maniera diversa ciascuno dei fattori di rischio (Weighting risk factors) attribuendo dunque ad ognuno di essi un “punteggio” diverso, decidendo, ad esempio, che la sussistenza di collegamenti fra il cliente e un Paese caratterizzato da un rischio ML/TF più elevato incida sul complessivo livello del rischio in misura minore (o maggiore) rispetto al peso riservato alle caratteristiche del prodotto o del servizio richiesto dal cliente.

Queste valutazioni fortemente discrezionali, ma comunque frutto di “informed judgement about the relevance of different risk factors…” non potranno mai derogare alle disposizioni contenute nella Direttiva 2015/849 o nella normativa di ciascun Paese in merito alla sussistenza di un rischio elevato.

L’eventuale formulazione automatica di punteggi potrà essere derogata dall’azienda, ma solo qualora le ragioni di tale deroga siano adeguatamente documentate.

Infine, gli Orientamenti confermano[25]la regola già presente anche nel Provvedimento della Banca d’Italia del 30 luglio 2019 secondo la quale “Se il sistema informatico è fornito da soggetti esterni, i destinatari conoscono adeguatamente il funzionamento del sistema e i criteri che determinano l’attribuzione della classe di rischio”[26]

2.1.1 I Fattori di rischio connessi al cliente o al titolare effettivo

Particolarmente ampio è lo spazio dedicato dall’EBA ai “Customer risk factors”, cioè ai fattori da tener presente per il calcolo del livello di rischio associato al cliente e al suo titolare effettivo.

Più in dettaglio, a parere dell’EBA l’analisi condotta deve avere ad oggetto informazioni riconducibili a tre distinti pilastri, in ordine ai quali l’intermediario dovrebbe porsi alcuni quesiti. I tre pilastri sono (cfr. figura 4), con riferimento al cliente e al relativo titolare effettivo:

1. l’attività commerciale o professionale;
2. la reputazione;
3. la natura e il comportamento.

Fig.4

Riguardo l’attività commerciale o professionale del cliente e del titolare effettivo, l’intermediario dovrebbe verificare se l’uno o l’altro:

• abbia legami con settori che sono comunemente associati a un elevato livello di rischio di corruzione come i settori dell’edilizia, dei prodotti farmaceutici e della sanità, del commercio di armi o interessati allo svolgimento di appalti pubblici;
• presenti collegamenti con settori associati a un rischio ML/TF elevato, ad esempio attività di money service, casinò o commercio di metalli preziosi;
• abbia legami con settori che implicano l’utilizzo di rilevante ammontare di denaro contante[27];
• sia una persona giuridica, un trust o un altro tipo di ente e per quale scopo è stato istituito;
• sia una persona politicamente esposta (PEP) o presenti collegamenti con persone politicamente esposte;
• occupi una posizione pubblica di rilievo che gli consenta di trarre guadagni dall’esercizio del potere attribuitogli, come ad esempio nel caso in cui taluno possa influenzare l’aggiudicazione di appalti pubblici;
• sia un intermediario bancario o finanziario che opera da uno stato con un regime AML/CFT efficace (o meno) e sia vigilato in tale ambito;
• sia stato soggetto a sanzioni di vigilanza o per il mancato rispetto degli obblighi di AML/CFT;
• sia una pubblica amministrazione;
• abbia un background (inteso come contesto nel quale opera o abbia operato) coerente con le informazioni acquisite sul cliente stesso, il suo fatturato e con i suoi fondi e consistenze patrimoniali.

Quanto all’aspetto reputazionale, analogamente a quanto suggerito al punto precedente, l’EBA individua una serie di fonti che l’intermediario dovrà esplorare per verificare l’eventuale esistenza di fatti che, eventualmente, si riflettano negativamente sull’immagine del cliente o del relativo titolare effettivo. Fra questi:

• la diffusione da parte dei media di informazioni negative come, ad esempio, quelle in merito a un eventuale coinvolgimento nella perpetrazione di attività criminose o con finalità terroristiche. Per quanto ovvio, l’EBA rimarca l’importanza che l’intermediario operi una selezione dei fatti sulla base dei fattori della credibilità e affidabilità delle fonti, nonché della persistenza delle accuse. Peraltro, la circostanza che le eventuali vicende evidenziate dai media non si siano concluse con delle condanne non appare elemento sufficiente per escludere la presenza di comportamenti illeciti[28];
• la presenza di informazioni circa l’adozione di provvedimenti di congelamento dei beni in dipendenza di procedimenti amministrativi o penali o di accuse di terrorismo o finanziamento del terrorismo nei confronti del cliente, del titolare effettivo o di chiunque sia pubblicamente noto per avere stretti legami con questi;
• conoscenza di pregresse segnalazioni di operazioni sospette a carico del cliente o del titolare effettivo;
• presenza (o meno) nel patrimonio informativo aziendale di informazioni sulla correttezza del cliente o del titolare effettivo acquisite nel corso di relazioni di lunga durata;

Nel rimarcare l’importanza di dare considerazione alla natura e all’aspetto comportamentale del cliente e del titolare effettivo, l’EBA suggerisce all’intermediario di verificare:

• le ragioni per le quali il cliente dichiari eventualmente di non essere in grado di documentare la propria identità (si tratta, ad esempio, di un richiedente asilo?);
• i motivi del permanere di dubbi sulla veridicità dell’identità del cliente o del titolare effettivo;
• l’eventuale esistenza di motivi per i quali il cliente eviti di instaurare un rapporto continuativo pur in presenza di reiterate operazioni occasionali;
• la logicità e trasparenza della struttura proprietaria del cliente;
• l’eventuale presenza di fiduciari nell’ambito della catena partecipativa[29];
• la possibilità che il cliente persona giuridica o legal arrangement di vario tipo si presti ad essere utilizzato per la mera intestazione di beni;
• le ragioni delle eventuali modifiche dell’assetto proprietario del cliente;
• l’effettuazione da parte del cliente di transazioni complesse, inusuali o di ammontare elevato, all’apparenza prive di senso economico o di una solida motivazione commerciale;
• l’eventuale irragionevole opposizione da parte del cliente di motivi di riservatezza, come, ad esempio, nel caso in cui il cliente sia riluttante a fornire informazioni funzionali al compimento dell’attività di adeguata verifica;
• l’individuazione agevole (o meno) dell’origine dei fondi e delle consistenze patrimoniali del cliente e del titolare effettivo (ad esempio redditi da lavoro, lasciti ereditari, redditi da investimenti);
• la coerenza fra i prodotti e servizi scelti dal cliente e quanto dichiarato in avvio di relazione;
• le ragioni, nel caso in cui il cliente non sia residente, per le quali quest’ultimo abbia scelto di operare in un Paese diverso da quello di residenza;
• l’eventuale inclusione del cliente o del titolare effettivo negli elenchi di persone, gruppi ed entità coinvolte in atti terroristici o l’inclusione in tali elenchi di persone di cui sia noto il legame personale o professionale con il cliente o il titolare effettivo;
• l’effettuazione da parte del cliente di transazioni caratterizzate da flussi, in entrata e in uscita, da e/o verso Paesi in cui è nota la presenza di gruppi terroristici, o Paesi noti per finanziare il terrorismo o soggetti a sanzioni internazionali[30];
• l’eventuale presenza, nel caso in cui il cliente sia un’organizzazione senza scopo di lucro, di informazioni pubbliche che ne associno l’attività o la leadership a comportamenti estremistici o di approvazione di episodi terroristici;
• l’effettuazione da parte del cliente di transazioni di consistente ammontare, concentrate in un lasso di tempo ristretto e condotte coinvolgendo organizzazioni no profit collegate fra loro in modo non trasparente (ad esempio più organizzazioni no profit domiciliate nella stessa sede fisica; organizzazioni no profit diverse ma con i medesimi rappresentanti o dipendenti; titolarità in capo a una stessa organizzazione di più rapporti di conto).

2.1.2 Il rischio associato a Paesi e a determinate aree geografiche

Ai fini della valutazione del rischio rileva anche la circostanza che il cliente o il relativo titolare effettivo abbia sede, residenza o il centro principale dei propri affari in un determinato Paese o area geografica.

Secondo gli orientamenti dell’EBA, in tale ambito, rilevano anche quei Paesi o aree geografiche in cui il cliente e il titolare effettivo abbiano legami personali o commerciali rilevanti, interessi finanziari o giuridici.

In generale, nell’ambito del rischio di coinvolgimento in episodi di finanziamento del terrorismo l’intermediario dovrebbe prestare attenzione alla circostanza che un determinato Stato sia indicato nei report delle forze dell’ordine o da fonti aperte (purché affidabili e credibili) come finanziatore di organizzazioni terroristiche oppure potrebbe trattarsi uno Stato sottoposto a sanzioni finanziarie o a misure di embargo da parte delle Nazioni Unite o dell’Unione europea nell’ambito del contrasto del terrorismo o dei programmi di proliferazione delle armi di distruzione di massa.

Oltre a ciò, l’EBA sottolinea come ai fini della valutazione del rischio connesso a un determinato Paese, l’intermediario debba considerare:

• il livello di conformità ai principi internazionali di trasparenza fiscale e di condivisione delle informazioni desumibile, tra l’altro, anche dai rapporti del Global Forum on Transparency and the Exchange of Information for Tax Purposes presso l’OCSE[31];
• l’adesione o meno del paese al Common Reporting Standard[32];
• i giudizi di compliance formulati nei report di mutual evaluation con riferimento alle Raccomandazioni GAFI 9 (Leggi sulla segretezza o riservatezza delle istituzioni finanziarie), 24 (Trasparenza e titolare effettivo di persone giuridiche) e 25 (Trasparenza e titolare effettivo di negozi giuridici di natura fiduciaria) nonché i giudizi sugli Immediate Outcomes 2 e 5;
• l’eventuale inclusione del paese nella “Lista UE delle giurisdizioni non cooperative”[33];
• la già richiamata istituzione (o meno) del registro dei titolari effettivi, in particolare laddove il cliente sia un trust o qualsiasi altro tipo di legal arrangement[34];
• l’esistenza di fonti pubbliche credibili e affidabili sul livello dei reati presupposto del riciclaggio (ad esempio corruzione, criminalità organizzata, criminalità fiscale e frode)[35];
• le informazioni sulla capacità del sistema giudiziario e investigativo del paese cui si riferisce la valutazione, di indagare e perseguire efficacemente questi reati presupposti.

Nell’ipotesi specifica in cui il cliente sia un intermediario bancario o finanziario, l’EBA sottolinea l’importanza del livello di adeguatezza del locale sistema AML/CFT, nonché dell’efficacia dell’attività di vigilanza attuata nel paese di residenza[36]. Per quanto ovvio, a tal fine rileva l’eventuale inclusione di un paese fra quelli individuati dalla Commissione Europea come “Paesi ad alto rischio” ai sensi dell’articolo 9 della Direttiva 2015/849, pur se tale elenco non dovrebbe avere una portata esaustiva.

2.1.3 I fattori del rischio associato alla trasparenza di un prodotto, servizio o transazione

In tale ambito, l’intermediario dovrebbe valutare tre elementi:

1. l’attitudine del prodotto o del servizio a favorire l’anonimato del cliente o del titolare effettivo come nel caso di azioni al portatore o la prestazione servizi fiduciari. Rientra in tale area di indagine anche l’eventuale possibilità di terzi, all’apparenza estranei al rapporto continuativo, di impartire istruzioni, ad esempio tramite rapporti di corrispondenza fra banche[37];
2. la complessità del prodotto o del servizio, che eventualmente richiede l’utilizzo di nuove tecnologie e nuovi strumenti di pagamento, o eventualmente è caratterizzato nel suo svolgimento dal coinvolgimento di soggetti terzi, o, al contrario, l’operatività del rapporto avviene mediante fondi provenienti da conti intestati al medesimo cliente presso altri istituti di credito[38];
3. l’entità, intesa come ammontare delle transazioni che possono essere legate al prodotto o servizio offerto; andrebbe, ad esempio valutato se al prodotto o servizio siano associati dei limiti di importo.

2.1.4 I fattori del rischio associato alle modalità di collocamento

Concorre a determinare il livello di rischio del rapporto continuativo o dell’operazione occasionale la modalità con cui il cliente ottiene il prodotto o il servizio richiesto. In argomento l’EBA delinea distinti scenari:

– instaurazione del rapporto continuativo con la presenza fisica/o meno del cliente. Nel caso testé citato (rapporto instaurato con tecniche di contatto a distanza) sarà necessaria una valutazione in merito alla affidabilità delle tecniche di customer due diligence adottate anche al fine di prevenire ipotesi di furto d’identità;

– appartenenza del soggetto obbligato a un gruppo finanziario e, quindi, ricorso a informazioni fornite da terzi appartenenti allo stesso gruppo. Questa eventualità non determina di per se stessa un elemento di assoluta sicurezza, ma l’intermediario dovrà comunque verificare se l’entità (facente parte del medesimo gruppo) che ha fornito le informazioni sul cliente rispetti le regole in materia di adeguata verifica in linea con le indicazioni dell’articolo 28 della Direttiva 2015/849[39];

– presentazione (anche nel senso di trasmissioni di informazioni eventualmente utili ai fini dell’espletamento del processo di adeguata verifica) del cliente da parte di un soggetto rientrante nel concetto di “third party”[40]come ad esempio, una banca non appartenente al gruppo finanziario del soggetto obbligato o da un mero mediatore. In tali casi il soggetto obbligato, ai fini della propria valutazione, dovrà verificare se:

1. il soggetto (third party) che ha presentato il cliente sia sottoposto a obblighi antiriciclaggio conformi con quelli della Direttiva 2015/849[41]e se si tratti o meno di un intermediario bancario o finanziario o svolga attività del tutto estranea alla prestazione di servizi finanziari;
2. la terza parte, a prescindere si tratti o meno di un intermediario bancario o finanziario, applichi le misure di adeguata verifica e di conservazione secondo gli standard dettati dall’Unione europea[42]e sia sottoposta a vigilanza con riguardo al rispetto degli obblighi AML/CFT. In particolare, il soggetto obbligato dovrà verificare se vi siano informazioni circa un non adeguato rispetto della legislazione antiriciclaggio da parte della terza parte e se vi siano indicazioni circa l’irrogazione a quest’ultima di sanzioni per violazione degli obblighi AML/CFT;
3. la terza parte abbia sede in uno Stato caratterizzato da un livello di rischio più elevato di quello del Paese in cui ha sede il soggetto che effettua la propria valutazione. In questa eventualità, nell’ipotesi in cui si tratti di uno Stato compreso dalla Commissione Europea fra quelli con carenze strategiche, è escluso che il soggetto obbligato possa utilizzare le informazioni fornite dalla “terza parte”. Queste potranno, tuttavia, essere comunque utilizzate nel caso in cui le informazioni siano fornite da una succursale o da una controllata di un altro intermediario bancario o finanziario con sede nell’Unione europea e che il soggetto obbligato sia certo (confident) del pieno rispetto delle politiche AML/CFT di gruppo da parte della “terza parte”[43];
4. sia stata verificata la capacità della terza parte di fornite sempre i dati identificativi del cliente e le copie dei relativi documenti, nonché se i dati forniti siano affidabili e proporzionati al rischio proprio del rapporto instaurato, in quanto è possibile che la terza parte abbia acquisito tali informazioni ai propri fini e in un contesto potenzialmente diverso da quello in cui opera il soggetto che deve effettuare la valutazione del rischio;

– presentazione del cliente da parte di un promotore finanziario (tied agent)[44]. In questi casi l’intermediario bancario o finanziario deve verificare se siano state fornite da parte del promotore, stante l’assenza almeno in fase di avvio del rapporto[45]di un contatto diretto col cliente, informazioni sufficienti a assicurare una conoscenza adeguata del cliente, nonché il calcolo del livello di rischio a questi associato. Inoltre, tanto nel caso di tied agent o indipendent agent, a parere dell’EBA è necessario tener presente in che misura ci si serva di questi promotori nei rapporti con la clientela e se ciò possa influire sulla conoscenza del cliente e sulla costante gestione del relativo rischio (ongoing risk management);

– esternalizzazione delle attività di adeguata verifica. In tali casi, ai fini del calcolo del rischio si deve verificare se fornitore dei servizi sia (o meno) esso sottoposto a obblighi AML/CFT e se siano state condotte tutte le valutazioni che, in ordine ai rischi, sono previste dagli Orientamenti emanati dall’EBA in materia di esternalizzazione[46].

3. Regole generali delineate negli Orientamenti in materia di adeguata verifica

Le indicazioni generali contenute negli Orientamenti di marzo 2021 confermano la considerazione del processo di adeguata verifica quale processo circolare[47].

Se da un lato, infatti, gli Orientamenti evidenziano che proprio le valutazioni dei rischi individuali e a livello aziendale sono funzionali a identificare dove l’intermediario dovrebbe concentrare i propri sforzi di gestione del rischio di ML/TF[48], dall’altro si sottolinea il carattere “risk sensitive” della portata delle misure di adeguata verifica ex articolo 13 della Direttiva 2015/849[49].

Per quanto ovvio, gli Orientamenti confermano la centralità del “senior management” dell’intermediario, cui spetta l’obbligo di approvare le politiche, il sistema dei controlli e le procedure in materia di AML/CFT: tale approvazione dovrà avvenire in base a una visione consapevole dell’adeguatezza e dell’efficacia di queste politiche e procedure antiriciclaggio e, in particolare, di quelle in tema di adeguata verifica. Per questo è prescritto che il “senior management” abbia accesso a dati per effettuare scelte consapevoli, ivi inclusa la valutazione ML/TF aziendale.

Gli Orientamenti confermano, nell’ambito del processo di adeguata verifica, il carattere inderogabile dell’obbligo di individuare il titolare effettivo attraverso le informazioni fornite dal cliente e verificate dall’intermediario. A tal fine, l’eventuale consultazione dei “Beneficial ownership registers” non esaurirebbe, comunque, gli obblighi di verifica in capo all’intermediario, in particolare laddove nell’ambito dello svolgimento del rapporto si ravvisi un incremento del livello di rischio o quando l’intermediario abbia elementi per dubitare dell’esattezza dei dati consultati.

L’intermediario dovrebbe quindi, nella parte della propria policy AML/CFT dedicata all’identificazione del cliente e del titolare effettivo, spiegare quali fonti debbano essere a tal fine considerate affidabili e indipendenti[50], nonché le ragioni che le rendono tali[51].

La finalità resta, in ogni caso, quella di individuare la persona fisica che possiede o controlla il cliente, attraverso l’analisi e la comprensione della struttura di quest’ultimo[52]. In proposito l’EBA rimarca come deponga in senso negativo l’eventuale individuazione di una struttura di controllo eccessivamente complessa o opaca, salvo il riscontro di effettive ragioni legittime, giuridiche o economiche, che la giustifichino (legitimate legal or economic reason).

In tale ambito, gli intermediari devono verificare l’eventuale realizzarsi di casi di “Control through other means”, ipotesi tra l’altrogià menzionata nella stessa direttiva 2015/849 all’articolo 3, paragrafo 6, lettera a. Secondo l’EBA indice della sussistenza di questa modalità di controllo è rappresentato dalla individuazione di taluno, che pur non avendo alcuna interessenza in un soggetto non persona fisica, disponga del potere di utilizzare o, comunque, godere dei beni di un altro soggetto o che abbia il potere di adottare decisioni strategiche che influenzino l’attività commerciale del soggetto non persona fisica. Il controllo “through other means” potrebbe realizzarsianche mediante l’interposizione di soggetti fra i quali intercorrono legami familiari.

Solo nell’ipotesi in cui siano stati esperiti infruttuosamente tutti i mezzi per identificare la persona fisica che/who “ultimately owns or controls the customer” (ad esempio nel caso di un ufficio della Pubblica amministrazione o di un’impresa statale)[53]l’intermediario dovrebbe individuare il titolare effettivo nel senior management come tra l’altro già previsto dall’articolo 20 del d.lgs 231/2007, commi 5 e 6[54].

Più precisamente, in questi casi gli Orientamenti stabiliscono che, per decidere chi debba essere identificato nell’ambito del senior management come titolare effettivo, l’intermediario dovrà individuare, documentando opportunamente il suo processo mentale, chi abbia la responsabilità ultima e generale per il cliente e possa prendere decisioni vincolanti per conto del cliente stesso.

3.1 Adeguata verifica semplificata/Adeguata verifica rafforzata: le indicazioni generali dell’EBA

In esordio di argomento l’EBA evidenzia che l’applicazione di regole semplificate non si traduce nella esenzione da nessuno degli obblighi di cui il processo di adeguata verifica si compone, ma comporta l’adeguamento, nei limiti consentiti dalla legislazione nazionale, di tali obblighi all’eventuale basso rischio associato al rapporto o all’operazione occasionale.

In particolare la sussistenza di un rischio basso può incidere:

1. sulla tempistica degli adempimenti (“the timing of CDD”), ad esempio laddove il prodotto o la transazione richiesti per le loro caratteristiche si prestino in maniera limitata a finalità di riciclaggio o di finanziamento del terrorismo[55]. In tema di tempistica, sempre a titolo di esempio, l’EBA prevede che l’intermediario possa rinviare la verifica dell’identità del cliente e del titolare effettivo a un momento successivo a quello della instaurazione del rapporto o addirittura effettuare tale verifica al superamento di una data soglia di importo, raccomandando nel contempo che il lasso temporale dalla instaurazione del rapporto o la soglia siano contenuti e ci siano meccanismi per rilevare quando il limite di tempo e la soglia sono stati raggiunti[56]. Allo stesso modo, il basso rischio potrà indurre l’intermediario a graduare in misura più ampia di quella ordinariamente prescelta, l’attività di aggiornamento e di monitoraggio;
2. sull’ampiezza delle informazioni da acquisire in sede di identificazione, verifica e monitoraggio;
3. sulla fonte/qualità delle informazioni ottenute: ad esempio, accettando le informazioni fornite dal cliente sull’identità del titolare effettivo invece di far ricorso a una fonte indipendente[57].

In tema di adeguata verifica rafforzata, l’EBA richiama in premessa concetti già formulati dalla Direttiva 2015/849 (cfr. articoli da 18 a 24), rimarcando come il driver continui ad essere rappresentato dalla presenza, in questi casi, del livello elevato del rischio che caratterizza rapporti e operazioni occasionali, e confermando che le misure di rafforzamento vanno pensate come misure aggiuntive del processo conoscitivo del cliente.

Sui PEP gli Orientamenti EBA richiamano, nell’ambito dell’adeguata verifica rafforzata, il contenuto dell’articolo 20 bis della Direttiva 2015/849: tale disposizione, introdotta con la Direttiva 2018/843, prevede, tra l’altro:

1.  che “Ogni Stato membro pubblica e aggiorna un elenco indicante esattamente le funzioni che, in base alle disposizioni legislative, regolamentari e amministrative nazionali, sono considerate importanti cariche pubbliche ai fini dell’articolo 3, punto 9” recante “persona politicamente esposta”;
2. che la stessa Commissione Europea pubblichi “l’elenco esatto delle funzioni che possono essere considerate importanti cariche pubbliche a livello delle istituzioni e degli organi dell’Unione”e un “un elenco unico di tutte le importanti cariche pubbliche” comprensivo anche di quelle indicate ai sensi del punto precedente dai singoli Stati.

Viene, infine, richiamata l’indicazione già presente nei precedenti Orientamenti in tema di “level of seniority” del soggetto deputato ad approvare l’avvio o la prosecuzione di una relazione con una persona politicamente esposta: al riguardo, il documento EBA del 1° marzo 2021 prevede che il livello appropriato di approvazione è connesso al livello del rischio associato alla relazione d’affari e il senior manager che approva una relazione d’affari con un PEP dovrebbe avere una seniority e una visione complessiva dei dati sufficiente all’assunzione di decisioni informate su questioni che hanno un impatto diretto sul profilo di rischio dell’intermediario[58].

Infine, sempre in tema di PEP, l’EBA rappresenta la necessità che le misure poste in essere dagli intermediari in tema di persone politicamente esposte per conformarsi alla Direttiva 2015/849 e agli stessi Orientamenti, non comportino un indebito divieto di accesso ai servizi finanziari da parte dei clienti PEP. Tale considerazione, assente nella precedente versione (almeno in termini così netti), recepisce, tra l’altro, le indicazioni del GAFI che, nell’apposita Guidance pubblicata a giugno 2013, sottolineava come le regole dettate in tema di PEP “…sono di natura preventiva (non criminale) e non devono essere interpretate come finalizzate a stigmatizzare le persone politicamente esposte come coinvolte in attività criminali. Rifiutare un rapporto d’affari con un PEP basandosi semplicemente sul fatto che il cliente è un PEP è contrario alla lettera e allo spirito della Raccomandazione 12” (Trad. dell’A.)[59].

3.2 I Paesi terzi ad alto rischio

In tema di adeguata verifica rafforzata, l’EBA sottolinea che sussiste sempre un “alto rischio” nel caso in cui, in un rapporto continuativo o in una transazione:

1. i fondi sono stati generati in un paese terzo ad alto rischio;
2. i fondi sono pervenuti da un paese terzo ad alto rischio;
3.  fondi sono destinati a un paese terzo ad alto rischio;
4.  il rapporto o l’operazione riguardi una persona fisica o giuridica residente o stabilita in un paese terzo ad alto rischio[60]o con un trustee residente o con un trust “governed” dalla legge di un paese terzo ad alto rischio[61].

Inoltre, a prescindere dal verificarsi delle eventualità di cui alle lettere che precedono, gli intermediari dovrebbero comunque valutare l’applicazione di misure rafforzare in presenza di clienti o titolari effettivi che, notoriamente, intrattengono stretti legami personali o professionali con un paese terzo ad alto rischio[62].

Ai fini della individuazione di tali Paesi, l’EBA richiama la Direttiva 2015/849 laddove all’articolo 9, paragrafo 2 (modificato dalla Direttiva 2018/843)[63], viene conferito alla Commissione il potere di individuare tali Paesi.

Anche per le misure di rafforzamento l’Authority Europea richiama la Direttiva 2015/849 così come emendata dalla Direttiva 2018/843 che, come noto, ha inserito l’articolo 18 bis[64]

3.3 Esempi di misure da applicare in altre ipotesi in cui si riscontri un elevato livello di rischio e l’attività di monitoraggio

In tutte le situazioni caratterizzate da un alto rischio, gli intermediari devono procedere al rafforzamento delle misure di adeguata verifica cioè acquisire informazioni aggiuntive la cui profondità e tipologia dipende dalle ragioni che hanno determinato l’innalzamento del livello di rischio.

L’EBA formula al riguardo alcuni esempi precisando che il rafforzamento potrà consistere (cfr. figura 5):

1. in un aumento della quantità delle informazioni, ad esempio approfondendo il profilo reputazionale del cliente e del titolare effettivo attraverso l’acquisizione di informazioni, eventualmente presenti anche sui media, in merito ai membri della famiglia, sui soggetti che intrattengono stretti rapporti d’affari[65], sulle attività commerciali pregresse e attuali;
2. nell’innalzamento della qualità delle informazioni ottenute a conferma dell’identità del cliente o del titolare effettivo. In tale ambito, l’EBA suggerisce ad esempio, che la costituzione della prima provvista sul conto avvenga mediante disposizione di bonifico impartita ad una banca soggetta agli standard previsti dalla Direttiva 2015/849, oppure mediante l’analisi documentata di fondi e delle consistenze patrimoniali del cliente e del titolare effettivo tramite l’acquisizione di documenti fiscali (fatture), dichiarazioni dei redditi, buste paga, atti pubblici di acquisto o vendita, etc;
3. nella maggiore frequenza delle attività di verifica della capacità dell’intermediario di gestire il rischio associato a un determinato rapporto continuativo e decidere, dunque, se porre fine alla relazione o mantenerla in essere. Ciò può avvenire oltre che mediante la più frequente valutazione delle singole transazioni e dell’analisi del profilo di rischio del cliente per verificarne la permanenza in una data classe o determinarne il passaggio ad altra, anche con il coinvolgimento in misura più ampia e con maggior frequenza dell’alta dirigenza.

Fig.5

L’EBA inoltre ribadisce il contenuto dell’articolo 13 della Direttiva 2015/849 ai sensi del quale l’attività di monitoraggio include non solo l’analisi dell’andamento della relazione che fa capo al cliente per verificare che le singole transazioni siano in linea con il profilo di rischio assegnato, con la condizione finanziaria e la complessiva conoscenza che l’intermediario ha del cliente stesso, ma anche il periodico aggiornamento dei documenti, dei dati e delle informazioni detenute dall’intermediario. A tal fine, i soggetti sottoposti agli obblighi antiriciclaggio devono determinare la frequenza e l’intensità del monitoraggio in base al rischio, tenendo conto della natura, delle dimensioni e della complessità della loro stessa attività e del livello di rischio a cui sono esposti.

Pertanto, gli intermediari devono individuare a priori le tipologie di transazioni che vanno monitorate in tempo reale e quali ex post e quali circostanze/fattori, o combinazioni di esse, determinano la sussistenza di un rischio alto e quindi l’obbligo di rafforzamento.

Inoltre, indipendentemente dal livello di rischio, gli intermediari devono prevedere la revisione periodica di un campione di operazioni per testare e eventualmente migliorare l’affidabilità del proprio sistema di monitoraggio (automatico o manuale che sia).

3.4 Rapporto avviato e condotto senza la presenza fisica del cliente (Non-face to face situations)

Come logico, nel caso di operatività a distanza, ivi inclusa la fase di instaurazione del rapporto, l’EBA raccomanda che l’intermediario si assicuri cheil cliente esista realmente[66]e sia quello che afferma di essere e che a fronte di un conseguente aumento del livello di rischio connesso alla modalità senza la presenza del cliente si adattino le relative misure di adeguata verifica, operando un rafforzamento sia in termini di verifica dell’identità del cliente, sia sotto forma di intensificazione dell’attività di monitoraggio della relazione.

È, pertanto, essenziale verificare, nella fase di valutazione del rischio aziendale, in che misura l’operatività non face to face e, in generale, l’utilizzo nei rapporti con la clientela di soluzioni tecnologiche innovative possa esacerbare i rischi ML/TF come nei casi in cui lo strumento tecnologico possa essere manomesso nella fase della instaurazione del rapporto.

Poiché la responsabilità resta in capo all’intermediario che attribuisce l’incarico, la valutazione dovrà, inoltre, tenere conto dell’eventuale gestione esternalizzata dell’attività di adeguata verifica a distanza, sia che l’esternalizzazione riguardi l’intero processo, sia nel caso che riguardi solo una parte dello stesso. In particolare, l’EBA richiama, oltre a un eventuale incremento dei rischi ML/FT, anche il possibile impatto dell’accordo di esternalizzazione sui rischi legali, ad esempio nel caso in cui il fornitore di soluzioni tecnologiche non rispetti la legislazione applicabile in materia di protezione dei dati[67].

A tal fine l’EBA ha stabilito che il soggetto che esternalizza debba sapere in ogni momento quali controlli sono stati effettuati, quali fonti sono state utilizzate, quali sono stati i risultati e quanto sono stati robusti questi risultati[68].

Nell’ipotesi in cui il fornitore esterno abbia sede in un paese terzo, l’intermediario deve dimostrare di aver ben compreso i rischi legali, operativi e quelli attinenti la protezione dei dati al fine di attenuarne efficacemente gli impatti.

E tuttavia, l’EBA sottolinea come l’utilizzo di mezzi elettronici per l’identificazione del cliente non determini automaticamente un aumento del livello di rischio laddove tali strumenti offrano un elevato livello di garanzia ai sensi del Regolamento UE 910/2014[69].

4. Inclusione finanziaria e de-risking

Più che nei precedenti Orientamenti, l’EBA manifesta la preoccupazione che l’adozione del risk-based approach si traduca in una attività di de-risking[70]a danno di talune categorie di clienti.

Al contrario, l’EBA rimarca la necessità che gli intermediari agevolino l’inclusione finanziaria applicando specifiche forme di mitigazione del rischio, ad esempio, offrendo a clienti che non sono in grado di fornire per ragioni legittime e credibili tradizionali documenti di identificazione[71],prodotti e servizi finanziari di base, che limitano la capacità degli utenti di abusare di questi prodotti e servizi a fini di criminalità finanziaria e aumentando l’intensità dell’attività di monitoraggio.

In tale ambito, quindi, gli Orientamenti si collocano nella direttrice già tracciata dall’EBA con il “Parere sull’applicazione delle misure di adeguata verifica ai richiedenti asilo provenienti da paesi terzi o territori ad alto rischio” del 12 aprile 2016[72].