Adeguata verifica rafforzata: i casi e le misure aggiuntive
L'adeguata verifica della clientela non ha un'intensità sola. Il d.lgs 231/2007 ne prevede tre, e l'adeguata verifica rafforzata è quella in cima: si applica quando il rischio è elevato e, in alcune situazioni tipizzate, la legge la impone senza lasciare margini di valutazione. È anche il livello su cui gli studi sbagliano più spesso, perché lo trattano come una casella da spuntare quando il cliente sembra delicato. Comporta invece documenti in più, un'autorizzazione preventiva, un riesame più frequente e una motivazione scritta che deve reggere a distanza di anni.
I tre livelli di verifica e il criterio che li distingue
L'articolo 17, comma 3 del decreto fissa il principio: le misure di adeguata verifica sono commisurate all'entità dei rischi di riciclaggio e di finanziamento del terrorismo. Non alla dimensione del cliente, non all'importo della parcella, non alla confidenza con chi porta l'incarico. I criteri sono elencati dalla norma e guardano da un lato al cliente (natura giuridica, attività prevalente, comportamento tenuto al conferimento dell'incarico, area geografica di residenza o di sede), dall'altro alla prestazione (tipologia, modalità di svolgimento, ammontare, frequenza, durata, ragionevolezza rispetto all'attività del cliente).
| Livello | Presupposto | Riferimento | Cosa cambia in concreto |
|---|---|---|---|
| Semplificata | Rischio basso accertato | art. 23 | Estensione e frequenza degli adempimenti ridotte |
| Ordinaria | Rischio non qualificato | art. 18 e 19 | Le quattro attività standard di verifica |
| Rafforzata | Rischio elevato, rilevato o imposto dalla legge | art. 24 e 25 | Informazioni supplementari, autorizzazione, controllo intensificato |
Il comma 4 è quello che pesa davvero nei controlli: il soggetto obbligato deve essere in grado di dimostrare alle autorità e agli organismi di autoregolamentazione che le misure adottate sono adeguate al rischio rilevato. L'onere sta dalla parte dello studio. Un livello scelto bene ma non documentato, davanti a una verifica, vale quanto un livello scelto male.
Sulle quattro attività di base (identificazione del cliente e dell'esecutore, identificazione del titolare effettivo, informazioni su scopo e natura del rapporto, controllo costante) rimandiamo alla guida sull'adeguata verifica della clientela. Qui restiamo sui due livelli che si discostano dall'ordinario.
I casi in cui la norma impone l'adeguata verifica rafforzata
Le ipotesi stanno tutte nell'articolo 24, ma su due piani che conviene tenere distinti.
Il primo è il comma 1: quando il professionista rileva un rischio elevato, applica misure rafforzate. Il comma 2 elenca i fattori da considerare come minimo, e sono segnali da valutare, non automatismi. Fra i più ricorrenti negli studi legali:
- rapporti instaurati o operazioni eseguite a distanza, senza garanzie equivalenti all'identificazione in presenza;
- assetti proprietari opachi o complessi in modo anomalo rispetto all'attività effettivamente svolta;
- strutture di interposizione patrimoniale, veicoli societari o azioni al portatore che rendono faticoso arrivare al titolare effettivo;
- attività economiche a uso intensivo di contante;
- clienti o controparti collegati a paesi con presidi antiriciclaggio carenti, con corruzione elevata o sottoposti a sanzioni;
- rapporti d'affari avviati in circostanze anomale, o operazioni di importo insolitamente elevato rispetto al profilo del cliente.
Il secondo piano è il comma 5, che tipizza le situazioni in cui le misure rafforzate si applicano sempre: rapporti con paesi terzi ad alto rischio, rapporti di corrispondenza transfrontalieri e rapporti con persone politicamente esposte. Per uno studio legale contano la prima e la terza.
Un punto da tenere fermo: la verifica rafforzata non è l'anticamera della segnalazione. Se emerge un sospetto la strada è quella della segnalazione di operazione sospetta alla UIF (articolo 41) e, nei casi previsti, dell'astensione (articolo 42). La rafforzata serve a lavorare con un cliente ad alto rischio in modo difendibile.
Persone politicamente esposte: chi sono e per quanto tempo
La definizione di persone politicamente esposte sta all'articolo 1, comma 2, lettera dd) del decreto, e va ben oltre la politica nazionale. Rientrano, fra gli altri, i titolari di cariche di governo, i parlamentari nazionali ed europei, i presidenti e gli assessori regionali, i consiglieri regionali, i giudici della Corte costituzionale, i magistrati di Cassazione e della Corte dei conti, gli ambasciatori, gli ufficiali di grado apicale delle forze armate, i componenti degli organi di amministrazione, direzione e controllo delle imprese controllate dallo Stato o partecipate in misura prevalente da regioni e comuni, i direttori generali delle aziende sanitarie e ospedaliere.
Due punti che passano quasi sempre inosservati:
- rientrano i sindaci dei comuni con popolazione non inferiore a 15.000 abitanti, oltre a quelli dei capoluoghi di provincia e delle città metropolitane. Molti studi di provincia hanno clienti PEP senza saperlo;
- la qualifica si estende ai familiari (coniuge o parte dell'unione civile, figli e loro coniugi, genitori, conviventi degli ultimi cinque anni) e a chi intrattiene notoriamente stretti legami con il PEP. Il cliente può quindi non essere lui.
Quando il cliente, l'esecutore o il titolare effettivo è un PEP, l'articolo 25, comma 4 chiede quattro cose: procedure basate sul rischio per accertare lo status, l'autorizzazione di chi ha poteri di amministrazione o direzione (o di un suo delegato) prima di avviare o proseguire il rapporto, ogni misura adeguata a stabilire l'origine del patrimonio e dei fondi impiegati, e un controllo costante e rafforzato per tutta la durata del rapporto.
Sulla durata il meccanismo non è intuitivo. La qualifica di PEP copre per definizione anche chi ha lasciato la carica da meno di un anno: in quei dodici mesi le misure rafforzate restano obbligatorie. Trascorso l'anno, l'articolo 24, comma 6 chiede di continuare ad applicarle finché permane un rischio elevato. Il conto alla rovescia parte dalla fine della carica, non dalla chiusura della pratica.
L'errore ricorrente è verificare lo status PEP solo all'apertura del rapporto. Un cliente seguito da otto anni può essere stato eletto sindaco nel frattempo. La rivalutazione va calendarizzata, non lasciata alla memoria di chi segue la pratica.
Rapporti con paesi terzi ad alto rischio
L'elenco dei paesi terzi ad alto rischio non lo compila lo studio: lo fissa la Commissione europea con il regolamento delegato (UE) 2016/1675 e i suoi aggiornamenti. Va consultata la versione vigente alla data della verifica, e di quella consultazione va conservata evidenza, perché l'elenco viene modificato di continuo. Si sovrappone in larga parte alle liste del GAFI senza coincidere, e usare la lista sbagliata è un vizio di metodo facile da contestare.
Il collegamento geografico non si esaurisce nella residenza del cliente. Contano anche il paese del titolare effettivo, la sede della controparte dell'operazione e la provenienza dei fondi. Uno studio che assiste una società italiana in una compravendita immobiliare finanziata da un conto acceso in un paese elencato è dentro il perimetro, anche se il cliente ha sede a Milano.
Le misure per questi rapporti le elenca l'articolo 25, comma 4-bis: informazioni supplementari sul cliente e sul titolare effettivo, su scopo e natura del rapporto, sull'origine dei fondi e sulla situazione economico-patrimoniale, più le motivazioni delle operazioni previste o eseguite, l'autorizzazione di chi ha poteri di amministrazione o direzione e il controllo costante rafforzato.
Sullo sfondo si muove il pacchetto antiriciclaggio europeo. Il regolamento (UE) 2024/1624 è già in vigore ma si applica dal 10 luglio 2027: fino ad allora il riferimento operativo per lo studio resta il d.lgs 231/2007.
Le misure aggiuntive concrete e come si documentano
"Misure rafforzate" resta una formula finché non si traduce in carta. Ecco la traduzione operativa, con la traccia da conservare per ciascuna.
| Misura | Cosa vuol dire in pratica | Traccia da conservare |
|---|---|---|
| Informazioni supplementari sul cliente | Visura camerale aggiornata, statuto, assetto partecipativo completo | Copia del documento con data di estrazione |
| Informazioni sul titolare effettivo | Risalita oltre il primo livello societario, riscontro sul registro | Ricostruzione della catena, con fonte e data |
| Origine dei fondi | Provenienza specifica delle somme impiegate nell'operazione | Contratti, atti di provenienza, evidenze bancarie |
| Origine del patrimonio | Come si è formata la ricchezza complessiva del cliente | Dichiarazioni, atti di successione o donazione |
| Motivi dell'operazione | Ragione economica dichiarata e sua plausibilità | Nota scritta a corredo dell'incarico |
| Autorizzazione preventiva | Assenso di chi ha poteri di amministrazione o direzione prima di avviare il rapporto | Data, nome e firma o registrazione a sistema |
| Controllo costante intensificato | Riesame a intervalli più brevi di quelli ordinari | Data dell'ultima valutazione e della successiva |
Buona parte di queste informazioni si raccoglie già in fase di apertura, se lo studio lavora con un questionario di adeguata verifica strutturato: la rafforzata ne estende il perimetro invece di aprire un procedimento separato.
Vista dal lato pratico, la differenza fra ordinaria e rafforzata è un pacchetto di documenti in più e un calendario di riesame più stretto. Tutto questo materiale segue la regola dell'articolo 31: conservazione per dieci anni dalla cessazione del rapporto continuativo o della prestazione professionale, oppure dall'esecuzione dell'operazione occasionale, con i criteri di integrità e reperibilità descritti nella guida alla conservazione dei documenti antiriciclaggio.
Quando invece basta la verifica semplificata
L'adeguata verifica semplificata dell'articolo 23 è ammessa quando il rischio è basso, e il basso rischio va accertato, non presunto. I criteri generali stanno nell'Allegato 2 del decreto: fra i fattori relativi al cliente ci sono le società quotate su mercati regolamentati e soggette a obblighi di comunicazione che assicurano trasparenza sulla titolarità effettiva, le pubbliche amministrazioni e gli organismi che svolgono funzioni pubbliche, i clienti residenti in aree geografiche a basso rischio.
Semplificata non vuol dire assente. L'identificazione del cliente e del titolare effettivo resta dovuta: si riducono l'estensione degli adempimenti e la loro frequenza, non i passaggi. E la semplificazione cade nel momento in cui emerge un sospetto o un elemento che alza il profilo di rischio, con ritorno almeno al livello ordinario.
L'abuso più comune è usare la semplificata come impostazione predefinita per i clienti storici. L'anzianità del rapporto non compare fra i fattori di basso rischio dell'Allegato 2: è un'abitudine dello studio, e in sede di controllo non vale come motivazione.
Motivare per iscritto la scelta del livello, con data ed esito
Il controllo arriva anni dopo, quando nessuno ricorda perché quel cliente fu profilato in un modo o nell'altro. Perché la scelta sia difendibile servono sei elementi, e stanno tutti in poche righe:
- la data della valutazione;
- il professionista che l'ha effettuata;
- il livello applicato (semplificata, ordinaria, rafforzata);
- i fattori considerati, quelli che hanno pesato davvero;
- l'esito, comprese le misure aggiuntive attivate e l'eventuale autorizzazione;
- la data della prossima rivalutazione.
Tenere questi dati su un file a parte, scollegato dall'anagrafica e dalla pratica, è ciò che rende faticosa la ricostruzione. QuantumAML tiene la scheda dentro l'anagrafica del cliente e dentro la pratica: la valutazione viene registrata con data, professionista, esito, ragioni e data della valutazione successiva, e lo storico resta consultabile senza doverlo ricostruire a posteriori. Vale lo stesso principio dell'identificazione del titolare effettivo e degli altri adempimenti antiriciclaggio dello studio legale: il dato serve dove si lavora, non in un archivio parallelo.
Una regola di studio che costa poco e chiude il buco: nessuna pratica soggetta a tenuta antiriciclaggio si apre finché qualcuno non ha scritto, in una riga, perché il livello è quello e quando va riletto. Senza quella riga, in sede di controllo il livello risulta non scelto.
Domande frequenti
La verifica rafforzata si applica al cliente o alla singola pratica?
A entrambi, su piani diversi. Il profilo di rischio del cliente orienta la scelta, ma la valutazione va calata sulla specifica prestazione professionale: lo stesso cliente può richiedere misure rafforzate per un'operazione societaria complessa e misure ordinarie per un incarico diverso. Per questo la valutazione va registrata anche a livello di pratica, con la sua data e il suo esito.
Serve l'autorizzazione preventiva anche in uno studio individuale?
L'obbligo riguarda l'assenso di chi ha poteri di amministrazione o direzione. In uno studio individuale coincide con il titolare, il che non lo rende superfluo: la decisione va comunque tracciata con data e nome, altrimenti in sede di controllo non esiste. In uno studio associato l'autorizzazione va riferita al socio o al responsabile antiriciclaggio individuato dallo studio.
Un cliente seguito da anni può passare a verifica rafforzata?
Sì, ed è la situazione più frequente. Il controllo costante serve proprio a intercettare i cambiamenti: una nuova carica pubblica, un mutamento dell'assetto proprietario, un'operazione fuori scala rispetto al profilo abituale. Quando il livello cambia si apre una nuova valutazione con data ed esito, senza cancellare la precedente: la sequenza delle valutazioni è essa stessa una prova di diligenza.
