Dove l'obbligo scatta davvero

Due decreti, un solo numero

Conviene togliere subito di mezzo una confusione lessicale che circola negli studi. Il D.lgs 231/2007 è l'antiriciclaggio. Il D.lgs 231/2001 è la responsabilità amministrativa degli enti, quella del modello organizzativo e dell'organismo di vigilanza. Sono due discipline diverse, e l'espressione «modello 231 antiriciclaggio» non significa nulla.

Il punto di contatto è uno solo: l'art. 25-octies del decreto del 2001, introdotto proprio dall'art. 63, comma 3, del decreto del 2007. Rende ricettazione, riciclaggio, impiego di denaro di provenienza illecita e autoriciclaggio reati presupposto della responsabilità dell'ente, con sanzione pecuniaria da 200 a 800 quote (da 400 a 1.000 quando il denaro proviene da un delitto punito nel massimo con più di cinque anni) e sanzioni interdittive fino a due anni.

Il perimetro forense: dove l'obbligo scatta

Il primo errore che si fa con il D.lgs 231/2007 è darlo per applicabile a tutto quello che passa dallo studio. Non è così: l'art. 3, comma 4, lett. c) elenca in modo tassativo i casi in cui l'avvocato è soggetto obbligato, e fuori da quell'elenco l'obbligo non c'è.

Dentro il perimetro ci sono due situazioni. La prima: l'avvocato compie in nome o per conto del cliente una qualsiasi operazione di natura finanziaria o immobiliare. La seconda: lo assiste nella predisposizione o realizzazione di operazioni che riguardano il trasferimento a qualsiasi titolo di diritti reali su beni immobili o attività economiche, la gestione di denaro, strumenti finanziari o altri beni, l'apertura o la gestione di conti bancari, libretti di deposito e conti di titoli, l'organizzazione degli apporti necessari a costituire, gestire o amministrare una società, la costituzione, gestione o amministrazione di società, enti, trust o soggetti giuridici analoghi.

Un contenzioso puro può scoprire di non avere nessuna posizione dentro il perimetro. Chi segue operazioni societarie e immobiliari le ha dentro quasi tutte. In mezzo stanno gli studi generalisti, che devono distinguere posizione per posizione.

L'altra metà del confine la scrive la Regola tecnica n. 2 del Consiglio nazionale forense, adottata nel 2019 previo parere favorevole del Comitato di Sicurezza Finanziaria. Restano fuori:

• La consulenza stragiudiziale su atti e negozi di natura non patrimoniale.
• L'assistenza, la difesa e la rappresentanza in giudizio davanti a qualsiasi autorità giudiziaria o arbitrale.
• La mediazione e la negoziazione assistita, con ogni attività prodromica o conseguente, conciliazioni e transazioni comprese.
• L'assistenza nelle procedure amministrative e tributarie.
• Gli incarichi di amministratore di sostegno, tutore e curatore.
• Gli incarichi di arbitro rituale o irrituale, curatore fallimentare, commissario giudiziale e mediatore.
• Gli incarichi di custode giudiziario e di delegato alle vendite.

Ventisette segnalazioni

Nel 2025 la UIF ha ricevuto 162.058 segnalazioni di operazioni sospette. Gli avvocati ne hanno inviate 27, più 19 arrivate da studi associati, studi interprofessionali e associazioni tra avvocati. I notai, insieme al loro Consiglio nazionale, ne hanno inviate 10.000. L'intero comparto dei professionisti si è fermato a 10.399 segnalazioni, il 6,4% del totale nazionale. Gli avvocati attivi in Italia, per dare la scala, sono 211.464.

Il confronto va letto per intero, non come una pagella. Il perimetro forense è oggettivamente più stretto: il notaio riceve l'atto per obbligo di legge e vede passare l'operazione, l'avvocato no, e buona parte della sua attività il decreto la esclude.

Ma la sproporzione resta, e l'Analisi nazionale dei rischi 2024 del Comitato di Sicurezza Finanziaria non la spiega solo con il perimetro: assegna a notai, avvocati e commercialisti un rischio specifico elevato, e ai soli avvocati una vulnerabilità relativa «molto significativa», il livello peggiore della scala, invariato rispetto al 2018. La motivazione è scritta nel documento: la categoria «reputa la propria attività professionale non esposta ai rischi di riciclaggio e di finanziamento del terrorismo» e si rileva «un livello ancora basso di collaborazione attiva». Le aree indicate come più esposte sono la consulenza in materia fiscale e tributaria e quella in materia societaria.

Il dato non si sta correggendo da solo. Nel 2024 gli avvocati avevano inviato 11 segnalazioni, il 54,2% in meno rispetto alle 24 del 2023, mentre il comparto professionale nel suo insieme cresceva del 27,9%, trainato quasi solo dai notai (+29,0%).

C'è poi un indicatore che dice più di ogni altro come è organizzato lo studio medio: il tempo mediano di inoltro della segnalazione. Dieci giorni per i notai, ventisei per gli avvocati, in linea con la media di sistema. Il notaio segnala in dieci giorni perché ha una procedura pronta. Chi ne impiega ventisei, quasi sempre, la sta costruendo mentre gli serve.

L'autovalutazione del rischio dello studio

Il presidio comincia prima del primo cliente, con l'autovalutazione dell'art. 15. Lo studio adotta procedure oggettive per analizzare e valutare il rischio a cui è esposto guardando quattro fattori: tipologia di clientela, aree geografiche di operatività, canali distributivi, prodotti e servizi offerti. La valutazione va documentata, aggiornata periodicamente e messa a disposizione delle autorità e degli organismi di autoregolamentazione.

Per gli avvocati la norma non fissa una cadenza di aggiornamento. Il metodo lo suggeriscono i Criteri e metodologie allegati alle Regole tecniche del CNF: prima la fotografia scritta degli incarichi tipici dello studio (che clienti, da dove, per fare cosa), poi la verifica di quanti di quegli incarichi ricadono nell'elenco dell'art. 3. Senza questo primo passaggio ogni altro adempimento resta senza criterio.

Adeguata verifica: quando, cosa, con quale intensità

Sull'incarico dentro il perimetro scatta l'adeguata verifica. L'art. 17 la impone al conferimento dell'incarico professionale, sulle operazioni occasionali che movimentano 15.000 euro o più, e sempre, a prescindere dall'importo, quando c'è un sospetto oppure un dubbio sulla veridicità dei dati già acquisiti.

I contenuti sono quattro (art. 18): identificare il cliente e verificarne l'identità su documenti o informazioni da fonte affidabile e indipendente, identificare il titolare effettivo ricostruendo assetto proprietario e di controllo, acquisire e valutare le informazioni su scopo e natura del rapporto, controllare il rapporto per tutta la sua durata.

In concreto l'identificazione avviene in presenza, con esibizione di un documento in corso di validità di cui si conserva copia, salvo i casi tipizzati dall'art. 19: atto pubblico o scrittura privata autenticata, identità digitale con livello di garanzia significativo o alto, cliente già identificato in un rapporto in essere. Di regola la verifica precede l'incarico; per il professionista impegnato nell'esame della posizione giuridica del cliente o nella difesa in giudizio l'obbligo decorre dal conferimento (art. 18, comma 4).

L'intensità si gradua sul rischio. In presenza di basso rischio l'art. 23 consente misure semplificate, modulate su estensione e frequenza degli adempimenti, e le Regole tecniche del CNF ammettono per questi clienti un controllo costante più dilazionato, anche triennale nei rapporti continuativi. Le misure semplificate non si applicano mai quando c'è un sospetto.

In presenza di rischio elevato l'art. 24 impone misure rafforzate, sempre obbligatorie nei rapporti con paesi terzi ad alto rischio, nella corrispondenza transfrontaliera con enti creditizi esteri e con le persone politicamente esposte. I segnali da pesare li elenca la norma stessa: assetti proprietari opachi, uso intensivo del contante, residenza in aree ad alto rischio, operatività a distanza senza identificazione sicura, servizi molto personalizzati offerti a patrimoni di rilevante ammontare.

Il titolare effettivo, senza registro

Per i clienti diversi dalle persone fisiche l'art. 20 dà i criteri in ordine, e vanno seguiti in quell'ordine. Primo: la proprietà, con la partecipazione superiore al 25% del capitale detenuta da una persona fisica, diretta o indiretta tramite società controllate, fiduciarie o interposta persona. Secondo, se la proprietà non è dirimente: il controllo, cioè la maggioranza dei voti in assemblea ordinaria, l'influenza dominante o i vincoli contrattuali. Terzo, solo in via residuale: i titolari di poteri di rappresentanza, amministrazione o direzione.

Il comma 6 aggiunge la parte che gli studi dimenticano più spesso: quando si arriva al criterio residuale, va conservata traccia delle verifiche svolte e dei motivi per cui i criteri precedenti non hanno permesso l'individuazione.

Il decreto non lascia tutto il peso sul professionista. L'art. 22 mette a carico del cliente l'obbligo di fornire per iscritto, sotto la propria responsabilità, tutte le informazioni necessarie e aggiornate, comprese quelle sulla titolarità effettiva, e impone alle imprese con personalità giuridica e alle persone giuridiche private di ottenere e conservare quelle informazioni per almeno cinque anni. La dichiarazione firmata in apertura di posizione non è un modulo di cortesia: è l'attuazione di un obbligo di legge del cliente, e in caso di dichiarazione falsa sposta su di lui la responsabilità penale dell'art. 55, comma 3.

Sul registro dei titolari effettivi conviene essere precisi. Il quadro è stato ridisegnato dal D.lgs 210/2025 e dal D.lgs 122/2026, in vigore dal 23 luglio 2026, che recepiscono le regole di accesso della direttiva (UE) 2024/1640 e introducono gli artt. da 21-bis a 21-septies, con tre canali distinti: autorità, soggetti obbligati e portatori di legittimo interesse. Per gli studi vale l'art. 21-ter: accesso previo accreditamento e pagamento dei diritti di segreteria, validità biennale, possibilità di indicare delegati interni, obbligo di segnalare le incongruenze fra le risultanze del registro e quelle dell'adeguata verifica, obbligo di conservare la prova dell'iscrizione o un estratto.

La Corte di giustizia dell'Unione europea, con la sentenza del 21 maggio 2026 nelle cause riunite C-684/24 e C-685/24, ha confermato la compatibilità del modello italiano con il diritto dell'Unione e ha rimosso il principale ostacolo alla riattivazione, che però alla data di questo documento non è ancora conclusa: il registro non è uno strumento su cui contare oggi. E anche a regime, la consultazione non esonera dalla valutazione autonoma del rischio: è una fonte di riscontro, non un timbro.

Conservazione: dieci anni, ma dalla data giusta

È il passaggio che il controllo guarda per primo. L'art. 31 impone di conservare copia dei documenti acquisiti e le registrazioni in modo da ricostruire la data del conferimento dell'incarico, i dati identificativi di cliente, titolare effettivo ed esecutore, le informazioni su scopo e natura, la data, l'importo e la causale dell'operazione, i mezzi di pagamento utilizzati.

Il termine è di dieci anni e decorre dalla cessazione del rapporto o della prestazione professionale, non dall'apertura della posizione: è la distinzione che manda fuori tempo massimo gli archivi tenuti a memoria (e non va confusa con i cinque anni in cui il cliente persona giuridica conserva i dati sul proprio titolare effettivo). L'art. 32 chiede accessibilità completa e tempestiva, integrità e non alterabilità dei dati, oltre a sistemi di protezione contro la perdita e di autenticazione per l'accesso, informatico e cartaceo. Le Regole tecniche del CNF considerano idonea anche la raccolta cartacea della pratica, purché ricostruibile, e ne ammettono la coesistenza con la conservazione informatica.

Sospetto, astensione, segnalazione alla UIF

L'obbligo di segnalazione dell'art. 35 scatta quando lo studio sa, sospetta o ha motivi ragionevoli per sospettare che siano in corso, siano state compiute o tentate operazioni di riciclaggio o di finanziamento del terrorismo, e va assolto senza ritardo. Il comma 5 fissa il limite che riguarda la professione forense: l'obbligo non si applica alle informazioni ricevute nel corso dell'esame della posizione giuridica del cliente o nell'espletamento dei compiti di difesa e rappresentanza in un procedimento, inclusa la consulenza sull'eventualità di intentarlo o di evitarlo.

Lo stesso vale per l'astensione: l'art. 42 impone di astenersi dall'instaurare, eseguire o proseguire il rapporto quando l'adeguata verifica non può essere completata, ma il comma 3 esclude anche qui la posizione giuridica e la difesa. Sono i due esoneri per cui una parte del lavoro dell'avvocato resta fuori dal circuito segnaletico, e vanno letti con l'articolo davanti, non a memoria.

Astensione e segnalazione sono cose diverse e possono non camminare insieme. L'impossibilità di individuare il titolare effettivo è presupposto di astensione, ma da sola non basta a fondare una segnalazione; e la decisione di segnalare non obbliga di per sé a interrompere il rapporto. I numeri del 2025 mostrano come funziona nella pratica forense: le operazioni segnalate dagli avvocati valgono 3,8 milioni di euro di operazioni eseguite e 25,1 milioni di operazioni non eseguite, segno che nella grande maggioranza dei casi la segnalazione arriva a valle di un'astensione.

Quanto alla trasmissione, l'art. 37 lascia due strade: direttamente alla UIF, oppure all'organismo di autoregolamentazione, che la inoltra senza indugio privandola del nominativo del segnalante. La riservatezza è protetta dall'art. 38, che punisce con la reclusione da due a sei anni chi rivela indebitamente l'identità del segnalante; e il divieto di comunicare al cliente l'avvenuta segnalazione (art. 39) non impedisce di tentare di dissuaderlo da un'attività illegale.

Dal 1° luglio 2026 si applicano le nuove Istruzioni UIF del 18 dicembre 2025, che sostituiscono il provvedimento del 2011 e toccano l'organizzazione interna dello studio più della sostanza del sospetto. Compare il referente per le segnalazioni, identificato nel portale Infostat-UIF, incaricato di conservare la documentazione, rispondere tempestivamente alle richieste e assicurare la propria presenza durante i controlli; studi associati e società tra professionisti possono nominarne uno solo, ferma restando la responsabilità individuale di ciascun professionista.

Dove esiste una funzione antiriciclaggio serve una procedura interna scritta. Restano non esternalizzabili l'approvazione dei criteri di rilevazione, la decisione di segnalare e la trasmissione della segnalazione. Le Istruzioni escludono inoltre in modo espresso gli automatismi segnaletici, anche per operazioni in contante reiterate e a prescindere dal superamento delle soglie: il riferimento per la rilevazione sono i 34 indicatori di anomalia del provvedimento UIF del 12 maggio 2023, in vigore dal 1° gennaio 2024, che hanno sostituito i precedenti.

Il limite al contante e la comunicazione al MEF

Il contante genera due adempimenti che vengono regolarmente confusi. Il primo è il divieto dell'art. 49: dal 1° gennaio 2023 è vietato il trasferimento di denaro contante fra soggetti diversi, a qualsiasi titolo, per importi pari o superiori a 5.000 euro, anche quando il trasferimento è artificiosamente frazionato in più pagamenti sotto soglia (soglie speciali: 1.000 euro per le rimesse di denaro, 3.000 per il cambiavalute).

Il secondo è la comunicazione dell'art. 51: il soggetto obbligato che ha notizia di un'infrazione al limite ne dà comunicazione al Ministero dell'economia e delle finanze entro trenta giorni, e la comunicazione non è dovuta se l'operazione è già stata segnalata come sospetta alla UIF. Destinatario diverso, presupposto diverso, termine diverso. Vale la pena ricordare il contesto: in Italia il 69% delle transazioni al punto vendita è regolato in contante, contro il 59% dell'area euro, quindi il limite non è una formalità di nicchia.

Chi controlla lo studio legale

I controlli hanno tre facce distinte. Gli ordini territoriali e il CNF vigilano sull'osservanza degli obblighi da parte degli iscritti sotto l'alta vigilanza del Ministero della giustizia, elaborano le regole tecniche e applicano sanzioni disciplinari per violazioni gravi, ripetute o sistematiche (art. 11). Le ispezioni sui soggetti obbligati non vigilati, categoria in cui rientrano gli studi legali, spettano al Nucleo speciale polizia valutaria della Guardia di Finanza (art. 9). La potestà sanzionatoria amministrativa è del MEF.

Nel 2024 la Guardia di Finanza ha concluso 675 interventi ispettivi (125 ispezioni e 550 controlli) e contestato 1.261 sanzioni amministrative: 559 per inosservanza degli obblighi di adeguata verifica e di astensione, 273 per gli obblighi di conservazione, 131 per omessa segnalazione, 48 in materia di circolazione del contante. Nello stesso anno il MEF ha adottato 416 decreti sanzionatori per 6.524.119,34 euro complessivi: 217 decreti, il 52%, hanno colpito professionisti per 3.201.621,34 euro, mentre banche, istituti di credito e fiduciarie ne hanno ricevuti 29 per 1.603.028 euro.

Le sanzioni, per come sono fatte davvero

Gli importi vanno letti nella loro struttura, non nel loro massimo. L'inosservanza degli obblighi di adeguata verifica e di astensione è punita con una sanzione amministrativa di 2.000 euro, che sale da 2.500 a 50.000 euro per violazioni gravi, ripetute, sistematiche o plurime (art. 56); analoga disciplina vale per la conservazione (art. 57).

L'omessa segnalazione costa 3.000 euro nella misura fissa e da 30.000 a 300.000 euro nei casi gravi, ripetuti, sistematici o plurimi, con innalzamenti fino a 1.000.000 di euro quando il vantaggio economico non è determinabile (art. 58, che al comma 5 esclude la sanzione autonoma per adeguata verifica e conservazione quando sono il presupposto diretto dell'omessa segnalazione). Per dare la misura: 30.000 euro, il minimo della forbice aggravata, valgono più della metà del reddito medio dichiarato da un avvocato italiano nel 2024 (51.912 euro).

La violazione del limite al contante va da 3.000 a 50.000 euro, con minimo edittale ridotto a 1.000 euro per le violazioni commesse dal 1° gennaio 2022 e sanzione quintuplicata oltre i 250.000 euro; l'omessa comunicazione al MEF da 3.000 a 15.000 euro (art. 63). Sul piano penale, l'art. 55 punisce con la reclusione da sei mesi a tre anni e la multa da 10.000 a 30.000 euro la falsificazione o l'uso di dati falsi in sede di adeguata verifica e conservazione.

Un articolo, in questo quadro, lavora a favore dello studio. L'art. 67 stabilisce che l'adozione di adeguate procedure di valutazione e mitigazione del rischio, commisurate alla natura dell'attività e alle dimensioni del soggetto obbligato, rileva ai fini della minore gravità della violazione e quindi della riduzione della sanzione. Non è una promessa di immunità: è la ragione per cui un presidio proporzionato e documentato conviene anche il giorno in cui qualcosa va storto.

Conviene anche costruirlo guardando avanti. Il Regolamento (UE) 2024/1624 è in vigore dal 2024 ma si applica dal 10 luglio 2027: da quella data la fonte principale sarà un regolamento direttamente applicabile e le regole oggi contenute nel decreto italiano cambieranno collocazione.