1. Premessa
Il 23 febbraio 2016 il GAFI (Financial Action Task Force – FAFT) ha pubblicato una guida, sul c.d. approccio basato sul rischio per i servizi di trasferimento di denaro o valori (di seguito “MVTS” o “Money Transfer”) (“Guidance for a Risk-Based Approach for Money or Value Transfer Services”; cfr. contenuti correlati). La guida, inoltre, deve essere letta congiuntamente all’ulteriore guida GAFI sull’approccio basato sul rischio per il settore bancario (“FAFT Guidance for a Risk-Based Approach: The Banking Sector”).
Lo scopo della guida è quello di fornire indicazioni in tema di Money Transfer sull’applicazione dell’approccio basato sul rischio, specificando i fattori che devono essere considerati nel risk assessment, il processo di adeguata verifica della clientela e il monitoraggio nel continuo delle transazioni e dei bonifici, nonché il sistema di controlli interno da adottare per la mitigazione dei rischi di riciclaggio e finanziamento del terrorismo. Inoltre, vengono fornite alle Autorità competenti delle linee guida di vigilanza sui Money Transfer ed alle banche vengono specificate le misure da adottare per il rispetto degli obblighi antiriciclaggio e di lotta contro il finanziamento del terrorismo in materia di Money Transfer.
Il GAFI definisce i servizi di trasferimento di denaro o valori (MVTS) i servizi finanziari che comportano l’accettazione di denaro contante, assegni, altri strumenti monetari o altri negozi di valore e il pagamento di una somma corrispondente, effettuato in contanti o altra forma a un beneficiario per mezzo di una comunicazione, messaggio, trasferimento, o attraverso una rete di compensazione alla quale il Money Transfer appartiene.
2. La definizione del Risk Based Approach
Con l’approccio basato sul rischio in tema di Money Transfer occorre identificare, valutare e comprendere i rischi di riciclaggio e di finanziamento al terrorismo a cui sono esposti e adottare quelle misure che consentono di mitigare i suddetti rischi in modo efficace ed efficiente.
Si dovrebbero, quindi, considerare una serie di fattori tra cui:
- la natura, la scala, la diversità e la complessità delle loro attività di business e dei loro mercati di riferimento;
- la proporzione di clienti già identificati ad alto rischio;
- le giurisdizioni in cui operano o a cui sono esposte, sia tramite le proprie attività sia quelle dei clienti, specialmente quelle con alta vulnerabilità dovuta da diversi fattori di rischio tra cui la diffusione di criminalità, corruzione, finanziamento al terrorismo e fattori come il livello generale e la qualità della governance, quadro normativo, regolamentazione e vigilanza, controlli antiriciclaggio e contro il finanziamento al terrorismo;
- i canali distributivi, distinguendo tra rapporti diretti con la clientela e rapporti per i quali il soggetto obbligato fa affidamento a terze parti per gli obblighi di adeguata verifica. In questo ambito occorre valutare anche la complessità della catena di pagamento e i sistemi di regolamento utilizzati tra gli operatori presenti nella suddetta catena, l’uso della tecnologia e il punto fino a cui sono utilizzate le reti di agenti;
- gli elementi significativi risultanti dalle verifiche delle funzioni di controllo interno e da quelle condotte dalle Autorità di vigilanza;
- il volume e l’ammontare delle transazioni, considerando l’operatività tipica del soggetto obbligato e del profilo dei clienti.
Le suddette indicazioni richiamate in via generale dal GAFI, riprendono i fattori di rischio specificati nella guida GAFI sull’approccio basato sul rischio per il settore bancario, ripresi anche da Banca d’Italia nella comunicazione avente ad oggetto “Autovalutazione dei rischi di riciclaggio e finanziamento del terrorismo”, inviata nel mese di ottobre 2015 alle banche e alle succursali di banche estere, con lo scopo di fornire la metodologia da adottare per effettuare una propria valutazione dei rischi di riciclaggio e finanziamento del terrorismo.
Nel risk assessment devono quindi essere presi in considerazione informazioni di tipo quantitativo e qualitativo ottenute da risorse sia interne sia esterne, come ad esempio, direttori commerciali, le valutazioni dei rischi nazionali (cd. NRA), le valutazioni (e i relativi follow-up) sulle varie giurisdizioni nazionali condotte dal GAFI e dagli omologhi organismi regionali; le liste e i documenti emanati da istituzioni internazionali e dai governi nazionali in merito a soggetti ed entità sospettati di attività terroristica.
In particolare per la valutazione possono essere considerati i seguenti fattori:
- paese/area geografica: al fine di attribuire un rischio più o meno elevato occorre verificare se il paese/area risulta essere, da fonti autorevoli, fornitore di risorse e supporto ad attività terroristiche o che hanno designato le organizzazioni terroristiche che operano al loro interno oppure caratterizzato da un livello significativo di organizzazioni criminali, corruzione, o altre attività criminali;
- profilo di rischio della clientela: al fine di attribuire un rischio più o meno elevato occorre verificare se i rapporti d’affari o le transazioni dei clienti sono effettuati in condizioni inusuali, se il cliente o il titolare effettivo risulta essere un PEP o un suo familiare, se risulta difficile individuare il titolare effettivo dei fondi e se il cliente è riluttante nel fornire informazioni sul beneficiario (come ad esempio indirizzo o contatti);
- prodotti/servizi: al fine di attribuire un rischio più o meno elevato occorre verificare se i prodotti o servizi possono favorire l’anonimato o attraversare senza difficoltà i confini internazionali e la portata globale e la complessità dei prodotti e servizi offerti;
- canali distributivi (agenti): al fine di attribuire un rischio più o meno elevato occorre valutare le caratteristiche degli agenti (status di PEP, paese in cui svolge l’attività, reputazione, etc.) a cui si affidano i soggetti obbligati, tramite una vera e propria adeguata verifica.
Il rischio associato alle operazioni dipende anche dal ruolo del Money Transfer, ossia se risulta essere il soggetto che invia o riceva la transazione. In particolare nel primo caso risulta rilevante il comportamento del cliente che dà origine all’operazione, e si valutano fattori come ad esempio la struttura dell’operazione, l’inspiegabile complessità dell’operazione, la ragionevolezza dell’operazione in rapporto all’attività svolta dal cliente o alla sua situazione finanziaria. Nel secondo caso, invece occorre prestare attenzione alle transazioni che non sono accompagnate dalle informazioni richieste riguardanti l’ordinante o il beneficiario, quando non vengono forniti chiarimenti alle richieste ulteriori informazioni da parte del soggetto obbligato e infine quando è presente un elevato numero di transazioni ricevute in una sola volta o in un determinato periodo di tempo che non risulta congruente con lo storico del beneficiario.
In merito al processo di adeguata verifica della clientela la guida del GAFI riprende quanto già previsto dagli altri documenti rilasciati dalla stessa Autorità, così come trasposto nel provvedimento di Banca d’Italia sull’adeguata verifica della clientela del 3/04/2013, specificando che occorre identificare il cliente e dove applicabile, il titolare effettivo, nonché verificarne l’identità sulla base di documenti provenienti da fonti affidabili e indipendenti. Occorre, inoltre comprendere lo scopo e la natura del rapporto d’affari e in situazioni di alto rischio raccogliere ulteriori informazioni.
Vengono, infine, fornite indicazioni sugli obblighi di adeguata verifica rafforzati e semplificati, nonché sul monitoraggio nel continuo.
3. Gli impatti operativi sul risk assessment delle banche
La guida del GAFI risulta essere utile anche per le banche, in quanto fornisce indicazioni per la valutazione e la mitigazione dei rischi connessi all’operatività con i Money Transfer. Nel risk assessment occorre quindi considerare i seguenti fattori di rischio: i tipi di prodotti e servizi offerti, la tipologia di clientela, l’esperienza del prestatore, lo scopo del conto, il mercato di riferimento, l’efficacia dei sistemi di controllo del prestatore, l’area geografica, la tipologia di transazioni, ecc.
Inoltre viene specificato che occorre effettuare un’opportuna adeguata verifica, al momento dell’apertura e nel continuo, sui conti dedicati all’operatività in esame, in relazione alla loro clientela, ai titolari effettivi e al rapporto d’affari. A tale riguardo nel caso in cui il rischio di tali conti risulti elevato occorre applicare gli obblighi di adeguata verifica rafforzata che comprendono la revisione dei programmi di antiriciclaggio e di finanziamento del terrorismo, verifiche interne o esterne, la revisione delle liste degli agenti e del loro monitoraggio e richieste di informazioni a soggetti terzi.
Infine il GAFI specifica che è possibile associare al soggetto obbligato, un profilo di rischio basso quando: risulta essere registrato o autorizzato, è una società quotata in borsa o ben capitalizzato, presenta un profilo storico stabile, programmi di antiriciclaggio e contro il finanziamento del terrorismo ben definiti e fornisce rapidamente e con precisione informazioni specifiche relative alla clientela (es. registri delle transazioni).
