D.lgs 231/2007: gli obblighi antiriciclaggio dell'avvocato

D.lgs 231/2007: quando l'avvocato è soggetto obbligato

Un avvocato non rientra negli obblighi antiriciclaggio perché è avvocato: ci rientra per il tipo di attività che sta svolgendo su quella pratica. Il D.lgs 231/2007 disegna il perimetro professionale sulle operazioni, non sulla qualifica, ed è il motivo per cui due incarichi conferiti dallo stesso cliente nello stesso mese possono stare uno dentro e uno fuori dagli adempimenti. Chi applica l'antiriciclaggio in modo uniforme a tutte le pratiche produce carta inutile, chi lo considera un tema da studi d'affari lo omette dove è dovuto.

Contenuto a finalità informative. Non sostituisce la valutazione del singolo caso né le indicazioni dell'ordine professionale.

D.lgs 231/2007 e D.lgs 231/2001: due decreti diversi, un solo numero

Il numero coincide, i due testi non hanno rapporto fra loro.

Il "modello 231" di cui parlano i clienti aziendali appartiene al decreto del 2001, e lo trattano la guida sulla responsabilità amministrativa degli enti e quella sul modello di organizzazione, gestione e controllo. Gli obblighi di cui parla questo articolo appartengono al decreto del 2007, nella versione risultante dalle modifiche del D.lgs 90/2017 (recepimento della direttiva UE 2015/849) e del D.lgs 125/2019 (direttiva UE 2018/843). Nei pareri conviene scrivere l'anno per esteso: un "231" isolato costringe chi legge a ricostruire da solo di quale decreto si stia parlando.

Quando l'avvocato è soggetto obbligato e quando no

L'articolo 3, comma 4, lettera c) del decreto include notai e avvocati fra i soggetti obbligati in due situazioni distinte, che conviene tenere separate perché scattano in momenti diversi.

La prima: l'avvocato compie in nome o per conto del cliente una qualsiasi operazione di natura finanziaria o immobiliare. Qui basta l'operazione, non serve altro.

La seconda: l'avvocato assiste il cliente nella predisposizione o nella realizzazione di operazioni che riguardano

• il trasferimento a qualsiasi titolo di diritti reali su beni immobili o attività economiche;
• la gestione di denaro, strumenti finanziari o altri beni;
• l'apertura o la gestione di conti bancari, libretti di deposito e conti di titoli;
• l'organizzazione degli apporti necessari alla costituzione, alla gestione o all'amministrazione di società;
• la costituzione, la gestione o l'amministrazione di società, enti, trust o soggetti giuridici analoghi.

L'elenco è tassativo e va letto come tale. Una due diligence su un pacchetto azionario ci rientra, la difesa in un giudizio di opposizione a decreto ingiuntivo no, la redazione di un patto parasociale con conferimenti ci rientra, l'assistenza in una causa di lavoro no.

Da qui discende la regola operativa che cambia il modo di organizzare lo studio: l'unità di misura non è il cliente, è l'incarico. Lo stesso cliente può portare in studio una compravendita immobiliare, che sta dentro il perimetro, e un contenzioso, che ne sta fuori. Se la classificazione vive sull'anagrafica del cliente e non sulla singola pratica, prima o poi sbaglia in una delle due direzioni.

L'esonero legato all'esame della posizione giuridica del cliente

Su questo punto si concentrano quasi tutti gli errori di lettura, perché l'esonero non è uno solo e non copre tutto.

Il primo filtro è a monte e non è un esonero: l'attività difensiva e la rappresentanza in giudizio non compaiono nell'elenco dell'articolo 3, quindi per quegli incarichi l'obbligo non nasce.

Il secondo filtro riguarda la segnalazione. L'articolo 35, comma 5, esclude l'obbligo di segnalare le operazioni sospette per le informazioni che il professionista riceve dal cliente, o ottiene su di lui, nel corso dell'esame della posizione giuridica, dell'espletamento dei compiti di difesa o di rappresentanza in un procedimento davanti a un'autorità giudiziaria o in relazione a tale procedimento, compresa la consulenza sull'eventualità di intentarlo o di evitarlo. L'esonero copre le informazioni ricevute prima, durante o dopo il procedimento.

Il terzo filtro riguarda l'astensione. Quando l'adeguata verifica non può essere completata, l'articolo 42 impone di astenersi dall'instaurare o proseguire il rapporto; per i professionisti quell'obbligo è escluso negli stessi casi di esame della posizione giuridica e di difesa.

Tre confini che si riducono a una sola verifica: stabilire se la prestazione sta dentro la funzione difensiva o dentro un'operazione economica. La consulenza stragiudiziale su una cessione di quote non diventa attività difensiva perché è "solo un parere", e il considerando 9 della direttiva (UE) 2015/849, da cui il decreto discende, esclude la tutela quando il professionista sa che il cliente chiede la consulenza a scopo di riciclaggio.

Un'ultima precisazione che risparmia discussioni interne: l'esonero dalla segnalazione non cancella l'adeguata verifica quando l'incarico rientra nel perimetro. Sono obblighi diversi, con presupposti diversi.

Gli obblighi in ordine: adeguata verifica, conservazione, segnalazione

Quando la pratica sta dentro il perimetro, gli adempimenti si susseguono in una sequenza precisa.

Adeguata verifica. Va eseguita al conferimento dell'incarico, in occasione di un'operazione occasionale di importo pari o superiore a 15.000 euro, quando c'è sospetto di riciclaggio o di finanziamento del terrorismo e quando ci sono dubbi sulla veridicità o sull'adeguatezza dei dati già acquisiti. Comprende l'identificazione del cliente e dell'eventuale esecutore, l'identificazione del titolare effettivo, la raccolta di informazioni su scopo e natura della prestazione e il controllo costante lungo il rapporto. L'intensità si gradua sul rischio, dalla verifica semplificata a quella rafforzata. Le fasi e i documenti da acquisire sono ripercorsi nella guida all'adeguata verifica della clientela, mentre i criteri per risalire alla persona fisica sono nella guida su come identificare il titolare effettivo.

Conservazione. I dati e i documenti si conservano per dieci anni dalla cessazione del rapporto o dall'esecuzione dell'operazione occasionale, e l'acquisizione è tempestiva se si conclude entro trenta giorni. L'archivio deve garantire integrità, non alterabilità e ricostruibilità storica: data dell'operazione, causale, importo, mezzi di pagamento, dati identificativi dei soggetti coinvolti. Un archivio non databile equivale a un archivio assente; i requisiti sono ripresi uno per uno nella guida alla conservazione dei dati antiriciclaggio.

Segnalazione di operazioni sospette. Scatta quando il professionista sa, sospetta o ha motivo di sospettare che siano in corso o siano state compiute operazioni di riciclaggio o di finanziamento del terrorismo. Va inviata alla UIF prima di compiere l'operazione, attraverso il portale Infostat-UIF, e resta coperta da tutela della riservatezza del segnalante. Comunicare al cliente che è stata inoltrata una segnalazione è vietato. Presupposti, tempi e forma sono nel dettaglio nella guida sulla segnalazione di operazione sospetta.

Comunicazione delle infrazioni sull'uso del contante. È l'adempimento che più spesso sfugge. Il soggetto obbligato che, nell'esercizio della propria attività, ha notizia di una violazione del limite all'uso del denaro contante deve comunicarla al Ministero dell'economia e delle finanze entro trenta giorni. Il destinatario non è la UIF, ed è l'errore più comune.

Sul versante sanzionatorio il decreto distingue la violazione singola da quelle gravi, ripetute o sistematiche. L'omessa segnalazione di operazione sospetta è punita con una sanzione amministrativa pecuniaria di 3.000 euro (articolo 58, comma 1), che nei casi gravi, ripetuti, sistematici o plurimi sale a una forbice fra 30.000 e 300.000 euro. Per l'adeguata verifica e per la conservazione la sanzione base è di 2.000 euro (articoli 56 e 57) e la forbice aggravata è più contenuta: da 2.500 a 50.000 euro.

Chi risponde dentro lo studio e come si organizza il presidio

L'obbligo è del professionista. Nello studio associato o nella società tra avvocati questo significa che la responsabilità non si diluisce nell'organizzazione: resta in capo a chi ha il rapporto con il cliente, ma il presidio va costruito perché sia dimostrabile.

Tre scelte da mettere per iscritto, e non lasciare implicite.

1. Chi classifica. Qualcuno deve decidere, all'apertura della pratica, se quell'incarico è dentro o fuori dal perimetro, e la decisione va registrata con data e nome. La classificazione presa a voce non è ricostruibile a distanza di tre anni.
2. Chi segnala. L'articolo 37 lascia due strade: la segnalazione arriva alla UIF direttamente, oppure passa dall'organismo di autoregolamentazione (per gli avvocati il Consiglio Nazionale Forense), che la trasmette integralmente e priva del nominativo del segnalante. Va deciso prima. Le istruzioni UIF del 18 dicembre 2025, applicabili dal 1° luglio 2026 in sostituzione del provvedimento del 4 maggio 2011, chiedono inoltre ai destinatari non vigilati da un'autorità di settore, categoria in cui rientrano gli studi professionali, di individuare un referente per le segnalazioni e una procedura interna.
3. Chi rivaluta. Il controllo costante non è un adempimento una tantum. Serve una data della prossima valutazione, altrimenti la rivalutazione non avviene.

A queste si aggiungono le procedure interne e la formazione delle persone che lavorano sulle pratiche, incluso il personale di segreteria che raccoglie i documenti d'identità.

Sul piano degli strumenti, la differenza pratica la fa il punto in cui vivono i dati. Una scheda antiriciclaggio tenuta su un foglio di calcolo separato invecchia in fretta e non dialoga con l'anagrafica: QuantumAML tiene la scheda dentro il cliente e dentro la pratica, con responsabile della tenuta, data di compilazione, esito della valutazione, ragioni e data della prossima verifica. La valutazione del rischio resta un'autovalutazione del professionista, con rivalutazione periodica: quello che cambia è che diventa tracciata e ricostruibile in caso di controllo. Il quadro completo degli adempimenti antiriciclaggio per gli studi legali entra nel dettaglio delle singole procedure.

Le fonti da tenere sotto controllo: norma, regole tecniche, UIF

Il decreto è la base, ma da solo non basta a costruire il presidio.

• Il testo consolidato del D.lgs 231/2007, non la versione originaria del 2007: le modifiche del 2017 e del 2019 hanno riscritto interi capi.
• Le regole tecniche del Consiglio Nazionale Forense, adottate il 20 settembre 2019 ai sensi degli articoli 11, comma 2, e 16, comma 2 del decreto. Declinano sulla professione forense l'approccio basato sul rischio, i controlli interni e l'adeguata verifica.
• La UIF. Gli indicatori di anomalia sono stati unificati con il provvedimento del 12 maggio 2023, applicabile alle segnalazioni dal 1° gennaio 2024, e si affiancano agli schemi rappresentativi di comportamenti anomali. Le istruzioni per la rilevazione e la segnalazione sono state riscritte con il provvedimento del 18 dicembre 2025, in vigore dal 1° luglio 2026.
• Il pacchetto antiriciclaggio europeo del 2024: il regolamento (UE) 2024/1624, direttamente applicabile, la direttiva (UE) 2024/1640 e il regolamento (UE) 2024/1620 che istituisce l'autorità europea AMLA. Il regolamento si applica dal 10 luglio 2027 e sposterà su fonte regolamentare buona parte di ciò che oggi sta nel decreto nazionale. Uno studio che sta scrivendo ora le proprie procedure ha convenienza a costruirle in modo che il riferimento normativo sia sostituibile senza rifare l'impianto.

Da dove partire se lo studio non ha ancora un presidio

Sette passaggi, nell'ordine in cui hanno senso.

1. Estrarre l'elenco delle pratiche aperte e marcare, una per una, dentro o fuori perimetro.
2. Scrivere in una pagina il criterio con cui si classifica, così che due colleghi arrivino allo stesso esito.
3. Redigere l'autovalutazione del rischio dello studio, datata e sottoscritta, con i fattori considerati (clientela, area geografica, canali, tipologia di prestazioni).
4. Standardizzare una scheda di adeguata verifica unica, con i campi obbligatori e l'elenco dei documenti da allegare.
5. Definire dove risiedono i documenti conservati e con quale controllo di accesso, ricordando che si tratta di dati personali soggetti al GDPR.
6. Nominare per iscritto responsabile del presidio e referente per le segnalazioni.
7. Impostare il calendario delle rivalutazioni, con la data della prossima verifica su ogni pratica soggetta.

L'errore ricorrente non è l'omissione della verifica: è la verifica fatta e non databile, che in sede di controllo vale quanto una verifica mai fatta. E c'è un momento che quasi nessuno presidia: la chiusura. Prima di archiviare una pratica dentro il perimetro, registrare la data di cessazione del rapporto. È da lì che decorrono i dieci anni di conservazione, e se quella data non è scritta da nessuna parte lo studio non saprà mai quando può smettere di conservare, né dimostrare che lo ha fatto per il tempo dovuto.