Autovalutazione del rischio: il documento che lo studio deve avere
L'autovalutazione del rischio antiriciclaggio misura lo studio: la clientela che tratta, le prestazioni che offre, i canali con cui acquisisce gli incarichi, le aree geografiche in cui opera. La chiede l'articolo 15 del D.lgs 231/2007, e per un avvocato è il primo documento che dà una motivazione a tutto il resto: perché su certe pratiche si applica la verifica rafforzata, perché la formazione del personale è programmata e non lasciata alle occasioni, perché una determinata soglia è stata fissata a quel livello. Senza, ogni scelta successiva resta un'abitudine dello studio, non una decisione documentata.
Contenuto a finalità informative. Non sostituisce la valutazione del singolo caso né le indicazioni dell'ordine professionale.
Cos'è l'autovalutazione e perché non è la valutazione del singolo cliente
Nel decreto convivono due valutazioni del rischio che portano quasi lo stesso nome e servono a cose diverse. Confonderle è l'errore che genera i documenti inutili: si finisce per scrivere trenta pagine sul singolo cliente e nulla sullo studio, oppure il contrario.
| Autovalutazione dello studio | Valutazione del rischio del cliente | |
|---|---|---|
| Riferimento | articolo 15 D.lgs 231/2007 | articoli 17 e 20 D.lgs 231/2007 |
| Oggetto | l'attività dello studio nel suo complesso | il singolo cliente e la singola prestazione |
| Quando si fa | periodicamente, a prescindere dagli incarichi in corso | all'accettazione dell'incarico e durante il rapporto |
| Cosa produce | un profilo di rischio dello studio e un piano dei presidi | il livello di verifica da applicare: semplificata, ordinaria, rafforzata |
| Dove vive | un documento unico, datato e sottoscritto | la scheda antiriciclaggio della pratica |
Le due valutazioni si alimentano a vicenda. L'autovalutazione fissa i criteri con cui poi si profilano i clienti, e la profilatura dei clienti fornisce i numeri con cui si aggiorna l'autovalutazione. Quando le due carte si contraddicono il problema si vede subito: se l'autovalutazione dichiara che una quota rilevante delle pratiche in perimetro riguarda operazioni immobiliari con società veicolo, e nell'archivio non esiste una sola verifica rafforzata, una delle due sta descrivendo uno studio che non esiste.
Rischio inerente: le variabili da guardare nello studio
Il rischio inerente è l'esposizione dello studio prima di considerare qualsiasi contromisura. Si valuta su quattro famiglie di fattori, le stesse che l'approccio basato sul rischio richiama in tutta la disciplina.
- Tipologia di clientela. Persone fisiche o società, catene di controllo lineari o articolate, presenza di trust e di fiduciarie, clienti già noti allo studio o acquisiti in occasione della singola operazione, presenza di persone politicamente esposte.
- Area geografica di operatività. Non solo dove ha sede lo studio: dove risiedono i clienti, dove si trovano gli immobili, dove sono i titolari effettivi, se ci sono Paesi terzi ad alto rischio nell'elenco della Commissione europea.
- Canali di acquisizione. Passaparola tra clienti storici, segnalazioni da banche o intermediari, incarichi da fondi o da gruppi esteri, contatti che arrivano online senza un incontro di persona. Il canale conta perché determina quanto lo studio conosce il cliente prima di accettare.
- Prestazioni professionali offerte. Qui pesa solo ciò che rientra nel perimetro dell'articolo 3, comma 4, lettera c): compravendite, costituzione e gestione di società, movimentazione di denaro e strumenti finanziari, trust e strutture analoghe. Il contenzioso puro resta fuori, e va detto nel documento perché è una parte della spiegazione.
La differenza tra un'autovalutazione difendibile e un esercizio di stile sta nella fonte dei numeri. Scrivere "clientela prevalentemente locale e di lunga data" descrive una sensazione. Scrivere "su 61 pratiche aperte nell'anno, 14 rientrano nel perimetro, di cui 9 immobiliari e 5 societarie; 4 clienti hanno titolari effettivi residenti all'estero" descrive lo studio, e si ricava da un'estrazione dell'anagrafica e delle pratiche. Se il perimetro non è ancora chiaro, la distinzione tra incarichi dentro e fuori è il punto di partenza degli obblighi antiriciclaggio dell'avvocato nel D.lgs 231/2007.
La qualità dei presidi: cosa conta come presidio
L'articolo 16 del decreto chiede presidi, controlli e procedure adeguati alla natura e alla dimensione dello studio, e programmi permanenti di formazione. Nel concreto un presidio è una misura che riduce la probabilità che il rischio si realizzi, o che lo intercetta quando si realizza, e che un terzo può verificare. L'ultimo requisito fa selezione: se non lascia traccia, in sede di controllo non esiste.
| Presidio | Cosa lo rende verificabile |
|---|---|
| Procedura interna scritta | data di adozione, versione, elenco dei destinatari |
| Formazione del personale | registro con date, ore, contenuti, partecipanti |
| Adeguata verifica tracciata | scheda per pratica con esito, motivazione, professionista che l'ha svolta |
| Conservazione dei dati | archivio con controllo degli accessi e decorrenza dei dieci anni (articolo 31) |
| Controlli interni | verifiche a campione con esito scritto e azione correttiva |
| Astensione e segnalazione | procedura che dice chi decide, su quali basi e in quanto tempo |
Non sono presidi, per quanto rassicurino: la conoscenza personale dei clienti, la dimensione contenuta dello studio, il fatto che in vent'anni non sia mai emersa un'anomalia. Sono considerazioni che possono entrare nella motivazione, ma non abbassano da sole il rischio residuo, perché nessuno può verificarle dall'esterno.
Il rischio residuo e come si motiva l'esito
Il rischio residuo è il rischio inerente ponderato con la qualità dei presidi. Non esiste una formula di legge: le regole tecniche adottate dagli organismi di autoregolamentazione ai sensi dell'articolo 11, comma 2, del decreto propongono scale graduate a più livelli, e lo studio può adottarne una purché la dichiari nel documento e la usi allo stesso modo da una revisione all'altra. Una scala inventata ogni volta rende impossibile leggere l'andamento nel tempo, che è metà del valore del documento.
Quello su cui si viene giudicati è la motivazione, non il punteggio. Per ogni fattore servono tre righe: cosa è stato misurato, come è stato pesato, cosa ne consegue in pratica. Un esempio di come si scrive un fattore:
Area geografica. Su 14 pratiche in perimetro nell'anno, 4 hanno coinvolto titolari effettivi residenti fuori dall'Unione europea, nessuna in Paesi terzi ad alto rischio. Rischio inerente medio. Presidio: consultazione dell'elenco dei Paesi ad alto rischio all'apertura di ogni pratica in perimetro, con esito registrato nella scheda. Rischio residuo basso. Conseguenza operativa: nessuna misura aggiuntiva, criterio da riverificare alla prossima revisione.
Se l'esito complessivo è alto, il documento deve contenere le azioni correttive, ciascuna con un responsabile e un termine. Un rischio alto dichiarato e lasciato lì pesa più di un rischio alto dichiarato e accompagnato da tre interventi datati.
Ogni quanto si rivede e cosa fa scattare una revisione anticipata
Il triennio che molti danno per scontato non è scritto da nessuna parte, per gli avvocati. L'articolo 15 chiede che la valutazione sia documentata, periodicamente aggiornata e messa a disposizione delle autorità e dell'organismo di autoregolamentazione, e si ferma lì. Le regole tecniche del CNF non fissano una periodicità dell'autovalutazione: la cadenza triennale della regola tecnica n. 10 riguarda il controllo costante sui rapporti continuativi a basso rischio, che è tutt'altro adempimento, ed è da lì che nasce l'equivoco. Il triennio stava invece nelle regole tecniche dei commercialisti, che nel gennaio 2025 lo hanno tolto: ora l'aggiornamento segue i mutamenti rilevanti e va comunque fatto entro un anno dalla pubblicazione dell'aggiornamento dell'Analisi nazionale dei rischi del Comitato di sicurezza finanziaria.
Lo studio si dà quindi una periodicità propria e la scrive nel documento. Quel criterio, pur non vincolante per l'avvocato, è più difendibile di una data scelta a caso, perché àncora la revisione a un fatto esterno e databile. E la revisione va anticipata ogni volta che cambia una delle variabili misurate.
- Apertura di una nuova area di attività: operazioni straordinarie, immobiliare, trust, procedure concorsuali, assistenza a family office.
- Ingresso di un professionista che porta un portafoglio diverso da quello storico dello studio.
- Nuova sede, clientela estera, controparti in giurisdizioni non trattate prima.
- Cambio del canale di acquisizione: segnalatori, piattaforme online, incarichi ricorrenti da un unico gruppo.
- Modifiche normative rilevanti. Il regolamento (UE) 2024/1624 si applica dal 10 luglio 2027 e sposterà su fonte europea direttamente applicabile parte di ciò che oggi sta nel decreto nazionale. La direttiva (UE) 2024/1640 si recepisce per fasi, con la scadenza principale alla stessa data. L'AMLA, istituita dal regolamento (UE) 2024/1620, è già operativa a Francoforte.
- Un fatto concreto: un'astensione, una segnalazione di operazione sospetta, una richiesta della UIF o di un organo di controllo.
La revisione anticipata è essa stessa un presidio, perché dimostra che il documento viene usato. La data della prossima revisione va scritta dentro il documento e trattata come una scadenza dello studio, non come un promemoria mentale.
Il documento: struttura minima e chi lo firma
Otto sezioni bastano, in questo ordine.
- Identificazione dello studio, perimetro delle prestazioni considerate, periodo di riferimento.
- Metodologia e scala di valutazione adottate.
- Dati misurati, con la fonte e la data dell'estrazione.
- Rischio inerente per ciascuna delle quattro famiglie di fattori, con motivazione.
- Presidi in essere e valutazione della loro qualità.
- Rischio residuo per famiglia e complessivo.
- Azioni correttive, con responsabile e termine.
- Data, sottoscrizione, data della prossima revisione.
Nello studio individuale firma il professionista. Nello studio associato o nella società tra avvocati firma chi ha la rappresentanza, insieme al responsabile del presidio antiriciclaggio se lo studio lo ha nominato per iscritto. Una firma sola su un documento che descrive l'attività di dodici professionisti regge se quei dodici hanno partecipato alla raccolta dei dati: altrimenti descrive il lavoro di chi ha firmato. Le versioni precedenti si conservano tutte, senza sovrascrivere il file: la sequenza delle revisioni è la prova che il presidio è vivo.
Collegare l'esito alla profilatura dei singoli clienti
Un'autovalutazione che non cambia nulla nel lavoro quotidiano è carta. L'esito si traduce in regole operative scritte: quali tipologie di pratica richiedono l'adeguata verifica rafforzata a prescindere dal profilo del singolo cliente, chi può autorizzare l'accettazione di un incarico ad alto rischio, ogni quanto si aggiorna la scheda dei clienti a rischio medio e alto, quali dati devono essere presenti prima di aprire la pratica. Da lì si scende al livello del singolo rapporto, dove operano l'adeguata verifica della clientela e l'identificazione del titolare effettivo.
Il collegamento regge se i due livelli lavorano sugli stessi dati. Nessun sistema calcola il rischio al posto del professionista: la valutazione resta sua, e la motivazione la scrive lui. Quello che un sistema può fare è fornire i conteggi su cui si costruisce l'autovalutazione e tenere la traccia di ciò che è stato deciso: nel modulo antiriciclaggio della piattaforma Quantum la scheda vive dentro l'anagrafica del cliente e dentro la pratica, con responsabile della tenuta, data di compilazione, esito, ragioni della valutazione e data della prossima verifica. Al momento della revisione i numeri si estraggono, invece di ricostruirli a memoria.
L'errore ricorrente sta a monte della ponderazione. L'esito viene deciso in partenza, quasi sempre "rischio basso", e i fattori si scelgono dopo per confermarlo. Lo si riconosce perché nella motivazione non compare una cifra. Nell'ultima versione del documento dello studio ci sono due cose da cercare subito, la data della prossima revisione e almeno un'azione correttiva con un nome e un termine accanto. Se ne manca una, quel documento non è ancora un presidio.
