Continuano i lavori per la messa a pieno regime dell’AMLA, l’Autorità Europea Antiriciclaggio, costituita ufficialmente da ormai un anno e mezzo.
Con la pubblicazione del documento unico di programmazione 2026 – 2028, sono stati messi nero su bianco gli indirizzi strategici che guideranno i prossimi anni, che spaziano dalla cooperazione tra i diversi paesi membri della UE al ruolo della tecnologia.
Standard uniformi per tutti i Paesi UE
Continuerà fino all’8 maggio, ad esempio, la consultazione sulla bozza di RTS relativi alla customer due diligence. «Parliamo di regole vincolanti – osserva Nicola Passariello, Financial Crime and Compliance Practice Director di Moody’s Analytics –, che contribuiranno ad uniformare e standardizzare una procedura finora gestita in modo autonomo dai diversi paesi dell’Unione. Le disposizioni definiranno aspetti molto importanti, dai dati identificativi ai documenti da richiedere e verificare, creando uno standard che potrà facilitare il lavoro e rendere i processi molto più scalabili».
Le novità introdotte dagli RTS
Gli RTS, per la verità, non si discostano poi molto da quanto già suggerito da EBA, ma oltre agli interventi di armonizzazione, si incontrano anche alcune novità.
«Si richiede, ad esempio – cita Passariello – l’utilizzo di fonti affidabili e indipendenti, non solo dei classici registri, per verificare i clienti e la titolarità effettiva. C’è anche un riferimento al possibile riutilizzo dei dati KYC già disponibili all’interno di un Gruppo bancario, evitando di ripetere integralmente il processo. Un aspetto interessante riguarda le Persone Politicamente Esposte: oltre a uniformare le regole, viene introdotto un concetto di “PEP for life”, che invita a considerare non solo chi oggi è politicamente esposto, ma anche chi lo è stato in passato».
Nuovi criteri per identificare le mirror entities
Con l’EBA e il diciannovesimo pacchetto di sanzioni UE alla Russia, si è rafforzata l’attenzione all’identificazione di strutture societarie complesse, di natura non solo economica, «e si è fatto un passo in avanti – prosegue Passariello – indicando una serie di criteri per identificare le cosiddette “mirror entities”, ossia società che presentano caratteristiche simili a entità incluse nelle blacklist. Accanto a parametri più immediati, come le sovrapposizioni nelle strutture manageriali o nella proprietà, troviamo aspetti più tecnici e innovativi, come la continuità di brand, oppure l’utilizzo dello stessa infrastruttura tecnica, ad esempio gli stessi domini web o dello stesso codice».
L’AI al servizio del rischio...
Non c’è un passaggio dedicato all’intelligenza artificiale (già oggetto, d’altronde, dell’AI Act) ma si conferma un approccio tecnologicamente neutro, in cui ogni soluzione è al servizio di un approccio risk-based, che utilizza dati standard.
«In realtà, tutto parte dalla creazione di un data lake di grande qualità – osserva Passariello – una condizione fondamentale per consentire all’intelligenza artificiale di produrre risultati affidabili. È importante ricordare che ogni decisione presa in ambito AML deve poter essere spiegata in caso di audit e ispezioni. E la possibilità di garantire la “explainability” dell’AI dovrebbe guidare ogni sua implementazione, anche di fronte alla pressione del business, che punta a velocizzare i processi di verifica e ridurne i costi».
… non sostituisce il controllo umano
D’altronde, in questa direzione vanno già le giurisdizioni di altri paesi, con cui i principali istituti finanziari europei dovranno in ogni caso confrontarsi.
«Il Dipartimento di Giustizia statunitense ha pubblicato delle linee di guida per valutare l’intelligenza artificiale in un quadro di compliance – spiega Passariello –, elencando una serie di requisiti per dimostrare come l’AI è stata implementata e per quali casi d’uso. Definendo, ad esempio, l’equilibrio tra i benefici dell’intelligenza artificiale e i potenziali rischi che pone, e richiedendo una documentazione dettagliata di come ciascun rischio viene mitigato e monitorato, inclusi eventuali stress test. Un approccio che conferma il ruolo dell’AI come supporto, e non sostituto, dell’azione umana».
Le banche italiane erano già pronte
Per le banche italiane, probabilmente, la creazione di uno standard comune per l’AML a livello europeo non richiederà uno sforzo particolare.
«Qualche adeguamento, sì – afferma Passariello – ma gli istituti italiani, per diverse ragioni, dispongono già di presidi rafforzati e stringenti, in alcuni casi più avanzati rispetto ai requisiti del Regolatore europeo».
E le fintech?
Il discorso è invece molto diverso per il mondo fintech e per molti soggetti che entrano ora a pieno titolo nel perimetro dei controlli antiriciclaggio.
«Gli RTS si applicano a una serie di player non finanziari – elenca Passariello –, dalle piattaforme di crowdfunding alla negoziazione di beni preziosi, fino agli agenti e ai procuratori sportivi. Si tratta di realtà che possono avere livelli di maturità in ambito compliance differenti rispetto a quelli del settore bancario. Fermo restando il principio della proporzionalità, la limitata disponibilità di competenze, risorse e tecnologia potrebbe rappresentare una sfida per questi nuovi soggetti e, in generale, per l’ecosistema fintech. Inoltre, l’adozione di soluzioni basate sull’intelligenza artificiale dovrà sempre essere accompagnata dalla capacità di documentarne la spiegabilità».
Monaco e Bulgaria finiscono in “lista grigia”
Ha sorpreso parecchi la decisione presa dalla Financial Action Task Force – FATF, riunita a Città del Messico a metà febbraio. Le liste delle giurisdizioni ad alto rischio e di quelle sottoposte ad attenzione crescente sono state infatti aggiornate. E nel secondo elenco sono entrati due Paesi a noi molto vicini: il Principato di Monaco e la Bulgaria, unico membro della UE a comparire in uno dei due elenchi.
Questo articolo è stato pubblicato sul numero di marzo 2026 di AziendaBanca ed è eccezionalmente disponibile gratuitamente anche sul sito web. Se vuoi ricevere AziendaBanca, puoi abbonarti nel nostro shop.
