Le novità sull’aggiornamento delle Regole tecniche antiriciclaggio del Cndcec

Autovalutazione del rischio

La Regola tecnica n.1 fissa le modalità per eseguire l’autovalutazione del rischio.

Il Cndcec precisa che l’autovalutazione è un adempimento proprio dei professionisti obbligati e non è delegabile. Pur tuttavia è ora possibile effettuare l’autovalutazione del rischio in capo all’associazione professionale/Stp.

Per effetto delle nuove Regole tecniche è così possibile eseguire un’autovalutazione del rischio “centralizzata” a livello di associazione professionale/Stp. Invero, già le Linee guida del 22 maggio 2019 avevano indicato questa possibilità, che ora trova, però, diretto riscontro in una fonte integrativa della norma primaria.

Il meccanismo per eseguire tale adempimento rimane sostanzialmente invariato, laddove i professionisti obbligati partendo dalla valutazione del rischio inerente, analizzano gli impatti dell’adeguatezza dell’assetto organizzativo dello studio e dei presidi esistenti e determinano il rischio residuo e i connessi profili di miglioramento.

Ai fini della determinazione del rischio residuo si adotta infatti una matrice che prende in considerazione sia i valori del rischio inerente sia quelli della vulnerabilità, basata su una ponderazione del 40% (rischio inerente) e 60% (vulnerabilità), muovendo dal presupposto che la componente di vulnerabilità abbia maggiore rilevanza nel determinare il livello di rischio residuo.

Si conferma che nella valutazione del rischio inerente i valori previsti (da 1 a 4) sono attribuiti a ciascuno dei seguenti fattori:

• tipologia di clientela;
• area geografica di operatività;
• canali distributivi;
• servizi offerti.

Al riguardo viene precisato apertis verbis che il fattore “canali distributivi” è difficilmente associabile all’attività professionale con la conseguenza che la relativa valutazione del rischio assume carattere residuale.

Viene, altresì, precisato che nel caso del professionista individuale, anche con dipendenti e/o collaboratori, la funzione antiriciclaggio e il relativo responsabile si intendono coincidenti con il professionista medesimo, ove non diversamente formalizzato, ferma restando anche in tale ultima ipotesi la responsabilità del professionista per l’adempimento degli obblighi antiriciclaggio. Tale inciso chiarisce che, come già concretamente applicato, il professionista individuale è automaticamente il responsabile antiriciclaggio, fatta salva la possibilità di individuare, attraverso un’apposita delega, una figura diversa all’interno dello studio.

Peraltro, viene stabilito che nel caso di associazioni professionali, ovvero Stp, è sempre necessario introdurre la funzione antiriciclaggio e nominare il relativo responsabile, a meno che nell’ambito dello studio gli adempimenti antiriciclaggio non siano assolti individualmente da ciascuno dei professionisti.

In concreto vi sono quindi 2 opzioni percorribili per gli studi associati e le Stp e più precisamente:

– è necessario introdurre sempre la funzione antiriciclaggio e nominare il relativo responsabile;

– è possibile assolvere gli obblighi antiriciclaggio individualmente da ogni singolo professionista.

Si è così meglio precisata la cornice organizzativa degli studi associati e delle Stp.

La Regola tecnica n. 1 declina poi le eventuali azioni per la gestione del rischio residuo ovvero per la mitigazione del medesimo. In questo ambito, tenuto conto delle dimensioni della struttura, del numero dei componenti dello studio (professionisti, collaboratori e dipendenti) e del numero delle sedi in cui viene svolta l’attività:

• nel caso del professionista individuale, anche con dipendenti e/o collaboratori, la funzione antiriciclaggio e il relativo responsabile si intendono coincidenti con il professionista medesimo, ove non diversamente formalizzato, ferma restando anche in tale ultima ipotesi la responsabilità del professionista per l’adempimento degli obblighi antiriciclaggio;
• nel caso di associazioni professionali, ovvero Stp, occorre introdurre la funzione antiriciclaggio e nominare il relativo responsabile, a meno che nell’ambito dello studio gli adempimenti antiriciclaggio non siano assolti individualmente da ciascuno dei professionisti;
• nel caso di associazioni professionali, ovvero Stp con più di 30 professionisti e più di 30 collaboratori (una sede o più), occorre introdurre anche una funzione di revisione indipendente per la verifica dei presidi di controllo. La predetta soglia va individuata con riferimento al 31 dicembre dell’anno precedente.

Nell’ambito dei presidi per la gestione e la mitigazione del rischio rileva, altresì, la formazione del personale con carattere di programmazione e permanenza.

La Regola tecnica n.1 prevede poi che i professionisti aggiornano l’autovalutazione del rischio ogni qualvolta lo ritengono opportuno in ragione di sopravvenuti rilevanti mutamenti dei parametri sopra considerati e, in ogni caso, entro un anno dalla pubblicazione dell’aggiornamento periodico dell’analisi nazionale dei rischi di riciclaggio e finanziamento del terrorismo a cura del Comitato di sicurezza finanziaria (Csf).

Vengono così modificate le tempistiche dell’autovalutazione che sono ora slegate dalla periodicità fissa dei 3 anni, rimanendo ancorate rispettivamente:

– ai mutamenti dei parametri utilizzati dai professionisti nell’autovalutazione;

– a un anno dalla pubblicazione dell’aggiornamento periodico dell’analisi nazionale dei rischi di riciclaggio e finanziamento del terrorismo a cura del Csf (a oggi l’ultima analisi disponibile è quella del 2019).

I neo iscritti, soggetti agli obblighi antiriciclaggio, potranno effettuare la prima autovalutazione del rischio entro il 31 dicembre dell’anno successivo a quello di inizio dell’attività professionale.

Valutazione del rischio cliente

La Regola tecnica n. 2.1 sulla valutazione del rischio ha subito significative implementazioni.

Il Cndcec, in tabella 1, identifica le prestazioni da considerare a rischio non significativo con indicati i presidi di mitigazione del rischio derivanti dall’osservanza di norme e obblighi di condotta.

Al riguardo viene chiarito che la rilevazione di un rischio non significativo si pone a valle di un processo di valutazione che, seppur non formalizzato, dovrà comunque essere svolto dal professionista, in quanto la normativa vigente esclude la possibilità di individuare in via automatica e preventiva fattispecie rispetto alle quali possa operare una presunzione di assenza di rischio di riciclaggio (articolo 17, comma 3, D.Lgs. 231/2007).

Per le prestazioni inserite in tabella 2 il meccanismo rimane sostanzialmente invariato laddove, dalla interrelazione tra il livello di rischio inerente (tabella 2) e quello di rischio specifico (tabelle A e B), si ottiene il livello di rischio effettivo: la determinazione del rischio effettivo avviene mediante l’adozione di una matrice che prende in considerazione sia i valori del rischio inerente sia quelli del rischio specifico, basati su una ponderazione del 30% (rischio inerente) e 70% (rischio specifico), muovendo dal presupposto che quest’ultimo abbia più rilevanza nel determinare il livello di rischio effettivo.

Giova osservare, sotto un primo profilo, come, nell’esclusione derivante da obblighi fiscali, di cui articolo 17, comma 7, D.Lgs. 231/2007, siano fatte rientrare tutte le attività, anche prodromiche, legate alla redazione e trasmissione delle dichiarazioni derivanti da obblighi fiscali, nonché gli ulteriori adempimenti tributari connessi, come ad esempio la trasmissione dei modelli F24.

Vengono poi allargate le prestazioni professionali a rischio inerente “non significativo” laddove oggi vi rientrano anche le seguenti prestazioni precedentemente non richiamate nella medesima categoria di rischio:

• consulente tecnico di parte;
• funzioni di assistenza, difesa e rappresentanza innanzi a una Autorità giudiziale;
• funzioni di mediazione e arbitrato;
• incarichi che derivano da nomine giurisdizionali per le quali il professionista si interfaccia con l’Autorità che ha provveduto alla nomina;
• attività di assistenza tecnica e consulenza specialistica alla programmazione, gestione, attuazione, rendicontazione, monitoraggio, controllo, valutazione e supporto alla certificazione di risorse pubbliche, anche europee, nonché per l’esercizio e lo sviluppo della funzione di sorveglianza e audit dei programmi.

Sono state altresì implementate le esemplificazioni in cui non si compila, nella valutazione del rischio cliente, la tabella B, aggiungendo anche l’assistenza e consulenza continuativa generica in ambito contabile e fiscale. Nel dettaglio, con riferimento ad alcune prestazioni professionali quali revisione legale dei conti, tenuta della contabilità, assistenza e consulenza continuativa generica in ambito contabile e fiscale, la tabella B non deve essere compilata, attesa la tipologia dei dati richiesti nella stessa: ne consegue che in relazione a dette prestazioni il rischio specifico si ottiene sommando i punteggi della tabella A e dividendo per 4.

Si conferma infine che, sulla base del livello di rischio effettivo determinato, il professionista dovrà adempiere agli obblighi di adeguata verifica secondo la misura rappresentata nella seguente scala graduata:

Il conseguente controllo costante del cliente sarà poi declinato a livello triennale per il rischio poco significativo, ogni 2 anni per il rischio abbastanza significativo e al massimo ogni anno per il rischio molto significativo.

Adeguata verifica ordinaria – Studi associati e Stp

La Regola tecnica n. 2.3 conferma che quando l’oggetto della prestazione coinvolge più parti, l’obbligo di adeguata verifica è espletato nei confronti del cliente che conferisce l’incarico per l’esecuzione della prestazione professionale e comporta l’identificazione e la verifica dell’identità del cliente e/o dell’esecutore, nonché del titolare effettivo.

Il Cndcec ribadisce poi che la dichiarazione resa per iscritto dal cliente ai sensi dell’articolo 22, comma 1, D.Lgs. 231/2007, si presume veritiera in relazione ai dati e alle informazioni fornite.

Nella Regola tecnica n. 2.3 ci si sofferma anche sull’identificazione operata negli studi associati e nelle Stp.

Più precisamente, per gli incarichi concernenti uno studio associato o una Stp, l’identificazione del cliente, dell’esecutore e del titolare effettivo è svolta dal professionista incaricato dello svolgimento della prestazione, che ne è responsabile.

Appare quindi chiaro che il profilo di responsabilità del professionista non può in alcun modo essere esteso all’associazione professionale.

Invero, gli adempimenti amministrativi inerenti all’identificazione possono essere comunque delegati anche ai dipendenti e ai collaboratori dello studio associato/Stp.

Per successivi incarichi professionali conferiti dal medesimo cliente allo studio associato/Stp, l’identificazione può essere assolta ai sensi dell’articolo 19, comma 1, lettera a), n. 4, D.Lgs. 231/2007. Rimangono però a carico del professionista di volta in volta interessato le seguenti attività:

– acquisizione di informazioni su scopo e natura della prestazione professionale, in quanto si tratta necessariamente di dati specifici per ciascuna di esse;

– valutazione del rischio, che potrà essere eventualmente integrata dalla disponibilità delle valutazioni effettuate dagli altri professionisti associati/soci e dall’eventuale confronto con questi;

– esecuzione del controllo costante, dovuto nel caso di prestazione professionale continuativa, con possibilità di ripartire le attività tra i professionisti/soci interessati.

In alternativa all’operatività sopra indicata permane, in relazione all’organizzazione adottata da ciascuno studio professionale, la possibilità che ogni professionista assolva singolarmente e autonomamente tutti gli adempimenti previsti.

Adeguata verifica semplificata

Relativamente all’ambito operativo dell’adeguata verifica semplificata la Regola tecnica n. 2.4 precisa, tra l’altro, che gli indici di basso rischio riguardano (oltre alle società ammesse alla quotazione su un mercato regolamentato, alle P.A. e i clienti che sono registrati, residenti o stabiliti in aree geografiche a basso rischio) anche le seguenti tipologie di clienti:

• i soggetti sottoposti a vigilanza ai sensi del D.Lgs. 385/1993, D.Lgs. 58/1998 e D.Lgs. 209/2005.

Si afferma poi che nell’adeguata verifica semplificata rimane ferma la necessità di acquisire la copia del documento d’identità del cliente.

Del pari rimane sempre fermo il dovere per i soggetti obbligati di compiere una valutazione – seppure non formalizzata – del rischio in concreto rilevato, con riferimento a tutti gli elementi oggettivi e soggettivi della prestazione professionale/operazione.

Persone politicamente esposte

Il Cndcec afferma che, ai fini della individuazione delle Persone politicamente esposte, il professionista fa leva sulla collaborazione dello stesso cliente nel fornire dati utili per chiarire la propria posizione e disegnare la rete di relazioni familiari e d’affari (nel rispetto della disciplina in materia di protezione dei dati personali).

Peraltro, in relazione agli obblighi di adeguata verifica rafforzata, in presenza di titolare effettivo qualificabile come persona politicamente esposta – Ppe, ai sensi dell’articolo 1, comma 1, lettera dd), punto 3.1, D.Lgs. 231/2007, il concetto di titolarità effettiva congiunta si riferisce evidentemente non a tutti i casi in cui una Ppe sia socio in affari con uno o più soggetti non Ppe, ma solo ai casi in cui lo status di persona politicamente esposta di questi ultimi ricorra per effetto, appunto, della titolarità congiunta, da determinarsi secondo le indicazioni fornite dal D.Lgs. 231/2007, di enti giuridici o di altro stretto rapporto di affari con taluno dei soggetti titolari delle cariche pubbliche indicate dal Legislatore.

Relativamente alla Regola tecnica n. 2.6 è stato specificato che nel caso in cui la condizione di Pep non si verifichi (poiché il soggetto agisce nell’ambito dell’espletamento delle proprie funzioni pubbliche), il rischio da assegnare sarà commisurato a quanto rilevato nel consueto obbligo di valutazione, considerando anche il fatto che la presenza di enti pubblici di per sé abbassa il rischio generalmente rilevato (saranno quindi utilizzate le modalità previste per l’adeguata verifica semplificata).

Adeguata verifica rafforzata

Il Cndcec suggerisce, nei casi di adeguata verifica rafforzata, di attenersi a uno o più dei seguenti suggerimenti:

• prestare particolare attenzione, attraverso opportuni riscontri documentali, all’identificazione dei titolari effettivi, all’eventuale uso di identità false, di società di comodo/fittizie, all’interposizione di soggetti terzi (anche se membri della famiglia), ai clienti occasionali;
• adottare misure supplementari per la verifica o la certificazione dei documenti forniti o richiedere una certificazione di conferma rilasciata da un ente creditizio o finanziario, ovvero assicurarsi che il primo pagamento relativo all’operazione sia effettuato tramite un conto intestato al cliente presso un ente creditizio che non abbia sede in Paesi terzi ad alto rischio, per come definiti dall’articolo 24, comma 2, lettera c), D.Lgs. 231/2007;
• verificare l’eventuale presenza del cliente o di soggetti a esso collegati, purché resi noti al professionista e coinvolti nelle attività oggetto della prestazione professionale, nelle liste delle persone e degli enti associati ad attività di finanziamento del terrorismo o destinatari di misure di congelamento;
• verificare la sottoposizione del cliente o di soggetti a esso collegati, purché resi noti al professionista e coinvolti nelle attività oggetto della prestazione professionale, a indagini o processi penali per circostanze attinenti al riciclaggio e/o al finanziamento del terrorismo, ovvero la riconducibilità degli stessi ad ambienti del radicalismo o estremismo;
• tenuto conto dell’esigenza di basarsi su informazioni aggiornate ai sensi dell’articolo 17, comma 3, D.Lgs. 231/2007, consultare fonti aperte, quali ad esempio:
• siti internet ufficiali dei Paesi di provenienza;
• database di natura commerciale;
• fonti attendibili e indipendenti ad accesso pubblico o tramite credenziali di autenticazione (CCIAA/Registro Imprese, servizio di Telemaco per le visure al Registro Imprese, servizi Cerved, società di informazioni su aziende italiane/estere che forniscono report specifici e informazioni su proprietà ed eventuali legami societari).

Al riguardo e con specifico riferimento agli strumenti di prevenzione del finanziamento del terrorismo, il Cndcec rammenta che:

• le “liste” di tutti i soggetti ed entità designati a livello UE sono accessibili sul sito dell’Unione Europea al seguente link: https://webgate.ec.europa.eu/europeaid/fsd/fsf, previa registrazione;
• per quanto riguarda i soggetti e le entità designate, il sito web della UIF fornisce indicazioni a riguardo, prontamente consultabili all’indirizzo http://uif.bancaditalia.it/adempimenti-operatori/contrasto/ che rimanda al sito europeo, oltre che a quello delle Nazioni Unite;
• per quanto riguarda le designazioni nazionali di cui all’articolo 4-bis,Lgs. 109/2007, il decreto di congelamento, eventualmente adottato dal Mef, è pubblicato su apposita sezione del sito web del Mef.

Conservazione

Relativamente alla Regola tecnica n. 3 è stato previsto che qualora il professionista consulti il registro dei titolari effettivi per verificare il dato acquisito, deve conservare copia della consultazione effettuata.

Altra novità rilevante riguarda la conservazione cartacea laddove in precedenza era stabilito che i documenti dovessero essere datati e sottoscritti dal professionista o da un suo delegato. Ora, ai fini della conservazione, viene meno la necessità di sottoscrizione dei documenti contenuti nel fascicolo del cliente, essendo sufficiente la mera apposizione della data, anche su un documento riepilogativo.

È stato altresì chiarito che l’eventuale utilizzo di un “autonomo centro di servizi” esterno allo studio professionale non comporta alcuno spostamento della responsabilità in ordine al corretto adempimento degli obblighi di conservazione, che resta in capo al professionista obbligato e a cui deve essere sempre assicurato l’accesso diretto e immediato al sistema di conservazione di documenti, dati e informazioni utili, tra le altre, a “a consentire lo svolgimento delle analisi effettuate, nell’ambito delle rispettive attribuzioni, dalla UIF o da altra Autorità competente”.

È stato infine meglio precisato il ruolo della funzione antiriciclaggio nella conservazione elidendone i riferimenti rispetto alla conservazione accentrata degli studi associati e Stp.

Si segnala che l’articolo è tratto da “Bilancio, vigilanza e controlli”.