INFOCERT PEC: COME GENERARE LA PASSWORD PER CORA

Come generare la password per CORA

In questo articolo vengono illustrati i passaggi necessari per configurare la gestione automatica della PEC nel programma CORA, nel caso in cui sull’account InfoCert sia attiva l’autenticazione a due fattori (2FA)

Per configurare la PEC InfoCert (Legalmail) su CORA, seguire i passaggi riportati di seguito.

1) Accedere alla PEC Legalmail da questo indirizzo ed effettuare l’accesso inserendo:

–Indirizzo PEC (o User ID)

–Password

2) Una volta effettuato l’accesso alla casella, selezionare l’icona utente in alto a destra e cliccare sul pulsante ACCOUNT.

3)Dal menu laterale sinistro, selezionare la voce PASSWORD APPLICATIVE

4) Accedere alla sezione GESTIONE, selezionare CREA NUOVA e abilitare l’opzione:“Utilizza la password di accesso alla Webmail anche come password per il client”.

5) Nel campo NOME, inserire la descrizione desiderata e selezionare SALVA.

Verrà generata una password da utilizzare nella configurazione della gestione automatica PEC di CORA.

6) Verificare l’avvenuta creazione della password controllando il nome assegnato e la relativa data di scadenza.

7) Accedere alla configurazione della gestione automatica PEC in CORA e inserire la password appena generata.

Selezionare nuovamente il campo “Elabora automaticamente le ricevute”, accettare il trattamento dei dati personali e verificare la connessione.

Selezionare SALVA per confermare le modifiche

Al termine della procedura, continuare a utilizzare la gestione automatica con l’invio delle email PEC direttamente dal programma, con ricezione automatica delle ricevute, degli esiti e delle fotografie di consistenza.

REGISTER PEC:GENERARE LA PASSWORD APPLICATIVA PER CORA

PASSWORD APPLICATIVA REGISTER PEC

Questa guida descrive i passaggi da seguire per configurare la gestione automatica della PEC nel programma CORA quando sull’account è attiva l’autenticazione a due fattori (2FA).

Per configurare la tua PEC REGISTER su CORA, seguire i passaggi riportati di seguito.

1) Accedere alla PEC Register

Cliccare sulla pagina di login della tua PEC Register.it.dal seguente indirizzo ed effettuare l’autenticazione inserendo:

-Indirizzo PEC /Username e Password

Quindi cliccare su ACCEDI

2) Accedere alle impostazioni di sicurezza

Una volta effettuato l’accesso nell’area personale:

cliccare su SICUREZZA

selezionare CREA NUOVO TOKEN

3) Creare il nuovo Token

Dopo aver selezionato CREA NUOVO TOKEN,si aprira’ una finestra per la creazione della password applicativa.

inserire un nome per il token

cliccare su GENERA TOKEN e il sistema genererà automaticamente il token di accesso associato alla casella PEC.

4) Copiare la password applicativa generata

Dopo aver creato il token,il sistema mostrera’ un messaggio di conferma con la password applicativa generata.

Importante: la password viene mostrata solo una volta.Copiarla e conservarla.

Copiare il token generato e salvarlo per utilizzarlo nella configurazione della PEC in CORA,cliccare su CHIUDI

5) Una volta chiusa la finestra,il token creato sarà visibile nella sezione Token esistenti.

In questa sezione e’ possibile:

-visualizzare il nome del token

-verificare la data di creazione

-contollare la data di scadenza

6) Inserire la password applicativa in CORA

Accedere alla configurazione della PEC nel programma CORA e compilare i campi richiesti.

-Indirizzo PEC mittente

-nel campo Password il token(password applicativa)generato in Register

-verificare l’Indirizzo PEC destinatario

-selezionare il campo Elabora automaticamente le ricevute,accettare il trattamento dei dati personali,verificare la connessione e SALVA

Al termine della procedura sarà possibile utilizzare la gestione della PEC direttamente dal programma,con ricezione automatica delle ricevute,degli esiti e delle fotografie di consistenza.

NAMIRIAL PEC:GENERARE LA PASSWORD APPLICATIVA PER CORA

PASSWORD APPLICATIVA NAMIRIAL PEC

Questa guida descrive i passaggi da seguire per configurare la gestione automatica della PEC nel programma CORA quando sull’account è attiva l’autenticazione a due fattori (2FA).

La password applicativa consiste in un codice di accesso sicuro, con validità di 90 giorni, da utilizzare per collegare la casella PEC al programma CORA.

Per configurare la tua PEC NAMIRIAL su CORA i passaggi da seguire sono i seguenti:

1) Accedere alla PEC Namirial da questo indirizzo ed effettuare l’autenticazione inserendo: Casella PEC e Password.

2) Una volta effettuato l’accesso, selezionare il pulsante IMPOSTAZIONI situato nella parte superiore della schermata.

Dal menu laterale sinistro, selezionare SICUREZZA E DATI DI CONTATTO.

3) Selezionare la voce CLIENT DI POSTA

Successivamente selezionare il tab COME SI CONFIGURA IN UN CLIENT DI POSTA

3) Selezionare la voce CLIENT DI POSTA

Successivamente selezionare il tab COME SI CONFIGURA IN UN CLIENT DI POSTA.

4) Procedere con l’attivazione della VERIFICA IN 2 PASSAGGI inquadrando il codice QR tramite il proprio smartphone.

5) Dopo la scansione del codice QR, inserire un Nome OTP a scelta.

Richiedere il codice SMS e inserirlo nell’apposito campo per completare la procedura di verifica.

6) Al termine della verifica, accedere nuovamente all’area riservata Namirial.

7) Verificare che la Verifica in due passaggi risulti ATTIVA.

Successivamente selezionare, dal menu laterale:

SICUREZZA E DATI DI CONTATTO → PASSWORD APPLICATIVA → CREA PASSWORD APPLICATIVA.

8) Nel campo NOME, inserire una descrizione identificativa e selezionare CREA.

9) Visualizzare la password generata dal sistema.

ATTENZIONE: la password è visualizzabile una sola volta. Copiare e conservarla in modo sicuro.

Selezionare successivamente CHIUDI.

10) Accedere alla configurazione della gestione automatica PEC in CORA e inserire la password appena generata.

Selezionare nuovamente il campo “Elabora automaticamente le ricevute”, accettare il trattamento dei dati personali e verificare la connessione.

Selezionare SALVA per confermare le modifiche.

Al termine della procedura, utilizzare la gestione automatica per l’invio delle email PEC direttamente dal programma, con ricezione automatica di ricevute, esiti e fotografie di consistenza

DIETRO LE QUINTE DELL’ANAGRAFE RAPPORTI

Come vengono creati e validati i flussi SID (e come CORA ti semplifica la vita)

Chiunque operi nel settore finanziario o gestisca una Holding sa bene che l’invio delle comunicazioni all’Anagrafe dei Rapporti Finanziari non è un semplice “invio di un file”. L’Agenzia delle Entrate richiede standard di sicurezza e formattazione altissimi, gestiti attraverso il SID (Sistema di Interscambio Dati).

Ma cosa succede esattamente quando estraiamo i dati dal gestionale per inviarli al Fisco? E perché alla fine del processo ci ritroviamo sempre con due file da spedire via PEC?

In questo articolo vi portiamo “dietro le quinte” del motore di elaborazione Sogei, per capire come vengono validati i dati e come il nostro gestionale CORA, integrando il motore SID al suo interno, trasforma un processo tecnico complesso in un semplice click.

I 4 passaggi fondamentali del motore SID

Secondo le specifiche ufficiali di Sogei, prima che un flusso dati possa essere trasmesso all’Agenzia delle Entrate, deve superare obbligatoriamente un percorso a ostacoli composto da quattro fasi.

Quando in CORA avviate la creazione della comunicazione (generazione del flusso), il motore SID integrato esegue queste operazioni in frazioni di secondo:

1. Il Controllo (La Validazione Formale) 🔍

È la fase più delicata. Il software analizza il file contenente i vostri dati (anagrafiche, saldi, movimenti) e verifica che rispetti al millimetro le specifiche tecniche dell’Agenzia delle Entrate. Controlla la lunghezza dei campi, la validità formale dei Codici Fiscali, la coerenza delle date e l’assenza di caratteri non ammessi.

• L’output: Se ci sono errori, il sistema blocca tutto e genera un file diagnostico (con estensione .dgn) che elenca le anomalie da correggere. Se il file è perfetto, si passa alla fase due.

2. La Compressione 🗜️

Trattandosi spesso di flussi massivi contenenti migliaia di record (si pensi ai saldi annuali di una banca), il file validato viene compresso. Questo passaggio ottimizza i tempi di trasmissione e garantisce che i file non superino i limiti dimensionali imposti per l’invio via PEC (massimo 20 MB).

3. La Cifratura 🔒

I dati dell’Anagrafe Rapporti sono strettamente riservati. In questa fase, il sistema “mette in cassaforte” il file compresso, criptandolo con chiavi di sicurezza elevatissime. Da questo momento in poi, solo il server ricevente dell’Agenzia delle Entrate sarà in grado di decifrare e leggere il contenuto.

4. La Firma (PKCS#7 “Detached”) ✍️

È il sigillo di garanzia. Il sistema utilizza il vostro Ambiente di Sicurezza (i certificati Entratel o Fisconline) per firmare digitalmente il file.
L’Agenzia delle Entrate utilizza una modalità di firma particolare chiamata “Detached” (firma separata). Questo significa che la firma digitale non viene “spalmata” sopra il file dei dati, ma viene generata come una busta di autenticazione a sé stante.

Ecco perché ci sono “due file” da inviare

È proprio a causa della firma Detached che, alla fine del processo, vi trovate con due file da allegare alla vostra PEC (file pecat).

• Il primo file contiene i vostri dati (compressi e cifrati).
• Il secondo file è la “busta” che contiene la vostra firma digitale, che vi identifica in modo inequivocabile come mittenti autorizzati.

Il vantaggio di avere il SID integrato in CORA

Se si legge il manuale tecnico ufficiale di Sogei per l’utilizzo dell’applicazione stand-alone “SID – Gestione Flussi”, ci si rende conto della sua complessità. Un utente normale dovrebbe scaricare software da internet, configurare ambienti Java (JRE), impostare proxy di rete, scaricare moduli aggiuntivi per ogni singolo tracciato e, in molti casi, far girare script informatici (file .bat o .sh) tramite riga di comando.

Con CORA, tutto questo scompare.

CON CORA

SENZA CORA

Abbiamo ingegnerizzato e “nascosto” l’intero motore SID di Sogei all’interno del nostro gestionale.
Per i nostri utenti, il processo si riduce a tre semplici passi:

1) Configurare il soggetto e il relativo Ambiente di Sicurezza.

2) Inserire i dati dei rapporti nel gestionale (o importarli).

3) Cliccare su “Crea comunicazione”.

4) Inviare la comunicazione (direttamente dal programma o manualmente)

CORA si occupa di richiamare in background i moduli di controllo, comprimere, cifrare, firmare e restituire direttamente i due file pronti e perfetti per essere allegati alla PEC da inviare all’Agenzia delle Entrate. Nessuna configurazione tecnica, nessun conflitto di sistema, nessuna perdita di tempo.

Sicurezza garantita, zero stress tecnico.

CASI DI CESSAZIONE ANAGRAFE RAPPORTI

Comunicazione al REI: guida al Registro Elettronico degli Indirizzi

Segnalazione operazioni sospette (SOS): guida pratica per commercialisti

Piccola premessa terminologica, perché è un punto dove ci si confonde spesso: la SOS è la Segnalazione di Operazione Sospetta, non un registro. Non esiste un “registro SOS” da tenere in studio come si faceva con il vecchio Archivio Unico Informatico. Esiste invece l’obbligo di segnalare all’UIF — Unità di Informazione Finanziaria presso la Banca d’Italia — ogni operazione che presenti elementi di sospetto riconducibili a riciclaggio o finanziamento del terrorismo, e l’obbligo parallelo di conservare traccia del processo valutativo che ha portato alla segnalazione (o alla sua esclusione motivata).

Fatta la precisazione, entriamo nel merito. Per il commercialista la SOS è uno degli adempimenti più delicati della normativa antiriciclaggio, perché richiede un giudizio professionale, non un automatismo. Vediamo come si struttura l’obbligo e come si gestisce concretamente in studio.

Quadro normativo di riferimento

La disciplina è contenuta nel D.Lgs. 231/2007, in particolare agli articoli 35 e seguenti, profondamente rivisto dal D.Lgs. 90/2017 (recepimento IV Direttiva) e dal D.Lgs. 125/2019 (V Direttiva). L’obbligo grava sui soggetti elencati all’art. 3, tra cui — per quanto qui interessa — commercialisti, esperti contabili, consulenti del lavoro e revisori legali quando svolgono attività professionale per conto o a favore del cliente.

La SOS va inviata all’UIF tramite il portale Infostat-UIF, con modalità esclusivamente telematica. Non si comunica nulla alla Guardia di Finanza o alla DIA direttamente: il canale è uno solo, l’UIF, che poi smista secondo le proprie valutazioni.

Quando scatta l’obbligo di segnalare

Qui sta il cuore del problema. L’art. 35 D.Lgs. 231/2007 fissa una soglia qualitativa, non quantitativa: si segnala quando il professionista “sa, sospetta o ha motivi ragionevoli per sospettare” che siano in corso, siano state compiute o tentate operazioni di riciclaggio o di finanziamento del terrorismo. Tre livelli di conoscenza, tutti rilevanti: sapere, sospettare, avere motivi ragionevoli di sospettare.

Il sospetto nasce da una valutazione complessiva che tiene conto di:

• caratteristiche oggettive dell’operazione (importo, modalità, strumenti utilizzati, controparti, aree geografiche);
• profilo soggettivo del cliente emerso dall’adeguata verifica della clientela, a cui la SOS è strettamente collegata: senza una verifica fatta bene, il sospetto non si forma o si forma in ritardo;
• incongruenze tra operazione e profilo economico-patrimoniale dichiarato;
• comportamenti del cliente, come reticenza, incompletezza nelle risposte, richieste insolite di riservatezza o frammentazione dei flussi.

Indicatori di anomalia e schemi rappresentativi

Per orientare il giudizio, l’UIF pubblica periodicamente indicatori di anomalia e schemi rappresentativi di comportamenti anomali. Gli indicatori sono strumenti di supporto, non presunzioni assolute: la loro presenza non obbliga automaticamente a segnalare, ma alza la soglia di attenzione e impone una valutazione documentata.

Gli indicatori più ricorrenti nell’attività dei commercialisti riguardano operazioni in contanti frazionate, interposizioni societarie prive di logica economica, flussi infragruppo con società estere in paesi a fiscalità privilegiata, operazioni straordinarie a valori incoerenti con il mercato, utilizzo di prestanome o di soggetti di comodo. L’elenco completo è consultabile sul sito UIF ed è bene tenerlo sotto mano.

La procedura di invio all’UIF

La SOS si invia attraverso il portale Infostat-UIF, previa registrazione del segnalante. Il commercialista che opera come professionista singolo si registra in proprio; negli studi associati la registrazione è normalmente in capo al legale rappresentante o a un referente antiriciclaggio espressamente designato.

La segnalazione contiene una parte strutturata (dati anagrafici del soggetto segnalato, operazioni, rapporti, controparti, importi) e una parte descrittiva libera in cui il professionista espone in modo narrativo i motivi del sospetto. Questa parte descrittiva è la più importante: deve essere concreta, circostanziata, basata su fatti osservati, non su impressioni generiche. “Il cliente mi sembra strano” non è una SOS: serve dire cosa ha fatto, quando, con chi, perché è incongruo.

Non esistono soglie di importo al di sotto delle quali non si segnala: se il sospetto c’è, si segnala anche per un’operazione di poche migliaia di euro. Al contrario, nessun importo alto, da solo, fa scattare l’obbligo in assenza di elementi di sospetto.

Tempi, astensione e divieto di comunicazione

La segnalazione va trasmessa senza ritardo e comunque prima di dare esecuzione all’operazione, quando possibile. Se l’astensione dal compimento non è fattibile — perché l’operazione è già conclusa, o l’astensione ostacolerebbe le indagini, o è operativamente impossibile — si segnala immediatamente dopo.

Vige il divieto assoluto di comunicazione al cliente o a terzi dell’avvenuta segnalazione (art. 39 D.Lgs. 231/2007). La violazione è sanzionata penalmente. Il professionista può, e anzi deve, continuare a svolgere la propria attività in modo normale per non insospettire il cliente: questo è uno degli aspetti psicologicamente più scomodi dell’adempimento.

Tutela del segnalante e riservatezza

L’identità del segnalante è protetta dall’art. 38 del decreto. L’UIF e le autorità che ricevono successivamente la segnalazione sono tenute a tutelare la riservatezza del nominativo, che non compare negli atti trasmessi e può essere rivelato solo su autorizzazione dell’autorità giudiziaria quando ritenuto indispensabile per le indagini. Nella pratica la tutela funziona: i casi in cui il nome del segnalante emerga sono rari e circoscritti.

Esiste inoltre una tutela civilistica: la segnalazione effettuata in buona fede non comporta responsabilità di alcun tipo a carico del professionista, né verso il cliente né verso terzi, anche se poi i sospetti si rivelano infondati.

Cosa conservare in studio

Qui torniamo al punto iniziale. Non c’è un “registro SOS”, ma c’è l’obbligo di conservare per dieci anni la documentazione del processo valutativo: come è stato formato il sospetto, quali elementi lo hanno sostenuto, la copia della segnalazione inviata, le eventuali ricevute dell’UIF, le comunicazioni interne allo studio. Nei casi in cui si sia valutato di non segnalare, è altrettanto importante conservare la traccia del ragionamento che ha escluso il sospetto: in caso di ispezione, poter mostrare che una valutazione è stata fatta vale molto più del silenzio.

Un software antiriciclaggio come ARCO struttura questa tracciabilità in modo nativo, collegando la scheda cliente all’adeguata verifica, alla valutazione del rischio e all’eventuale segnalazione, con date, autori e motivazioni sempre ricostruibili.

Errori ricorrenti che vediamo negli studi

Qualche classico da evitare: segnalare solo quando l’operazione è “grossa”, trascurando i frazionamenti; usare descrittivi generici (“cliente di dubbia affidabilità”) senza fatti specifici; rimandare la segnalazione nella speranza che la situazione si chiarisca da sola; non documentare i casi di mancata segnalazione; confondere la SOS con la comunicazione oggettiva (tipo quella dei contanti sopra soglia), che ha regole completamente diverse. E, il più serio di tutti, dimenticare il divieto di comunicazione al cliente: un commento incauto può costare caro.

Sintesi

La SOS è una segnalazione all’UIF, non un registro. Scatta quando il professionista matura un sospetto ragionevole di riciclaggio o finanziamento del terrorismo, sulla base degli elementi emersi dall’adeguata verifica e dal rapporto continuativo con il cliente. Si invia tramite il portale Infostat-UIF, senza ritardo, con descrizione circostanziata dei fatti. Vige il divieto di informare il cliente. Il segnalante è tutelato per legge. In studio si conserva per dieci anni la documentazione del processo valutativo, comprese le valutazioni che hanno escluso la segnalazione. Strumenti come ARCO rendono la tracciabilità un automatismo invece di un esercizio di memoria.

Scheda valutazione del rischio antiriciclaggio: come si compila

La scheda di valutazione del rischio è quel documento che, nei controlli della Guardia di Finanza, fa la differenza tra un fascicolo in ordine e una contestazione. Non è un modulo da compilare a occhio il giorno in cui entra il cliente nuovo: è il cuore dell’approccio basato sul rischio che il D.Lgs. 231/2007 — così come modificato dal D.Lgs. 90/2017 e successivi interventi — chiede a ogni professionista di adottare. Eppure, nella pratica quotidiana di molti studi, resta il documento più trascurato del fascicolo antiriciclaggio.

In questo articolo vediamo come si costruisce una scheda che regga un controllo, quali sono i fattori da considerare, come si trasforma il punteggio in una classe di rischio e — soprattutto — perché non basta compilarla una volta e archiviarla. Se non hai ancora letto il nostro approfondimento sull’adeguata verifica della clientela, ti consigliamo di partire da lì: la scheda di valutazione è lo strumento che determina il livello di verifica da applicare.

Cos’è la scheda di valutazione del rischio

La scheda di valutazione del rischio è lo strumento con cui il professionista, prima di accettare l’incarico e per tutta la durata del rapporto, misura la probabilità che il cliente sia coinvolto — consapevolmente o meno — in operazioni di riciclaggio o finanziamento del terrorismo. Non è un esercizio accademico: dal punteggio che assegni dipende il tipo di adeguata verifica che dovrai applicare (semplificata, ordinaria o rafforzata) e la profondità dei controlli sull’operatività.

L’articolo 17 del D.Lgs. 231/2007 impone ai soggetti obbligati di valutare il rischio in relazione a tipo di cliente, rapporto, prestazione professionale, operazione, prodotto e area geografica. Tradotto: la scheda non può essere un modulo standard uguale per tutti. Deve essere calibrata sullo studio, sulla clientela tipica e sulle prestazioni effettivamente erogate.

I fattori di rischio da valutare

La prassi operativa — consolidata dalle regole tecniche del CNDCEC per i commercialisti e da quelle del Consiglio Nazionale Forense per gli avvocati — individua due macroaree: rischio inerente al cliente e rischio inerente alla prestazione. Entrambe concorrono al punteggio finale.

Rischio inerente al cliente

Qui valuti chi hai davanti. I criteri tipici sono:

• Natura giuridica: persona fisica, società di persone, società di capitali, trust, fondazione, ente estero. Strutture complesse o veicoli opachi alzano il punteggio.
• Prevalente attività svolta: settori cash-intensive (ristorazione, commercio al dettaglio, compro-oro, giochi, edilizia) pesano più di attività a tracciabilità elevata.
• Comportamento in fase di identificazione: il cliente collabora, fornisce i documenti richiesti, risponde alle domande sul titolare effettivo? Oppure tentenna, delega, si spazientisce?
• Area geografica di residenza o sede: paesi terzi ad alto rischio, giurisdizioni non cooperative, aree a elevata infiltrazione criminale sul territorio nazionale.
• Persone politicamente esposte (PEP): se il cliente, un familiare o un soggetto a lui legato rientra nella categoria, la verifica diventa automaticamente rafforzata.

Rischio inerente alla prestazione

Qui valuti cosa ti viene chiesto di fare. Gli elementi rilevanti:

• Tipologia di prestazione: una dichiarazione dei redditi ordinaria pesa meno di una consulenza su operazioni straordinarie, costituzione di società estere, trust o passaggi di quote.
• Modalità di svolgimento: rapporto continuativo con presenza fisica regolare vs. incarico spot a distanza, magari con intermediari o procuratori.
• Ammontare e frequenza delle operazioni: importi sproporzionati rispetto al profilo economico dichiarato, operazioni frazionate, pagamenti in contanti oltre soglia.
• Logicità economica: l’operazione ha un senso rispetto all’attività del cliente? Se un’impresa edile chiede consulenza per costituire una holding lussemburghese che non gestirà nulla, qualche domanda va fatta.

Dal punteggio alla classe di rischio

La scheda attribuisce a ciascun fattore un punteggio — tipicamente da 1 a 4 o da 1 a 5 — e la somma ponderata determina la classe di rischio. Le regole tecniche del CNDCEC suggeriscono una griglia a quattro livelli: rischio non significativo, poco significativo, abbastanza significativo, molto significativo. Ogni classe corrisponde a un livello di adeguata verifica e a una frequenza di monitoraggio.

Un esempio concreto: cliente persona fisica residente in Italia, lavoratore dipendente, che chiede la compilazione del 730. Pesa poco su quasi tutti i fattori, finisce in fascia bassa, verifica semplificata con aggiornamento triennale. Lo stesso studio, due stanze più in là, prende in carico una srl a socio unico estero, attiva nel commercio di metalli preziosi, con operazioni in contanti frequenti: fascia alta, verifica rafforzata, monitoraggio costante, attenzione ai flussi.

La tentazione di assegnare punteggi “a intuito” è comprensibile ma pericolosa. In caso di controllo, la GdF chiede conto del ragionamento: perché questo cliente è stato classificato a rischio basso? Senza una motivazione documentata nella scheda, la difesa diventa complicata.

Quando aggiornare la scheda

Uno degli errori più frequenti è compilare la scheda all’apertura del fascicolo e non toccarla più. Il D.Lgs. 231/2007 parla chiaro: la valutazione è un processo continuo. La scheda va aggiornata:

• quando cambia il titolare effettivo o la compagine sociale;
• quando il cliente avvia un’operazione straordinaria (fusione, scissione, conferimento);
• quando emergono elementi nuovi durante il rapporto — ad esempio operazioni atipiche o richieste che non combaciano con il profilo dichiarato;
• alle scadenze periodiche previste dalla classe di rischio (annuale per l’alto, triennale per il basso, secondo prassi diffusa).

Documentare l’aggiornamento è tanto importante quanto farlo. Una scheda con la stessa data dell’incarico aperto cinque anni fa è un segnale rosso per chi controlla.

Errori ricorrenti negli studi

Dall’esperienza con i nostri clienti emergono alcune ricorrenze. La prima: schede compilate in modo identico per tutti i clienti, con gli stessi punteggi e le stesse crocette. È la spia di un approccio meccanico che il controllore individua in pochi secondi.

La seconda: motivazioni assenti o generiche (“cliente noto allo studio”, “settore tradizionale”). Le motivazioni devono essere specifiche e verificabili. La terza: nessun collegamento tra la scheda e le misure di verifica effettivamente applicate — scheda dice rischio alto, fascicolo contiene solo documento d’identità scaduto. Qui il danno è doppio, perché la scheda diventa prova contro il professionista stesso.

La quarta, la più diffusa: mancato aggiornamento. Una buona prassi è fissare una data fissa annuale — per esempio a gennaio — in cui si riesaminano tutte le schede della clientela e si registrano eventuali variazioni, anche quando non ce ne sono.

Perché un software dedicato fa la differenza

Gestire schede di valutazione del rischio per decine o centinaia di clienti con fogli Word sparsi nelle cartelle è una strada che porta, prima o poi, a una scheda dimenticata. Un gestionale antiriciclaggio dedicato automatizza i calcoli dei punteggi, traccia gli aggiornamenti, segnala le scadenze e soprattutto garantisce uniformità metodologica: ogni collaboratore compila nello stesso modo, con gli stessi criteri, senza interpretazioni personali.

In sintesi

La scheda di valutazione del rischio non è burocrazia: è lo strumento con cui il professionista dimostra di aver applicato l’approccio basato sul rischio richiesto dal D.Lgs. 231/2007. Deve considerare fattori oggettivi relativi al cliente e alla prestazione, tradurli in un punteggio motivato, classificare il rapporto in una fascia di rischio e indirizzare di conseguenza il livello di adeguata verifica. Va aggiornata ogni volta che cambiano gli elementi rilevanti e comunque con cadenza periodica. Compilarla bene richiede metodo; gestirla su scala di studio richiede uno strumento adeguato. Nel prossimo articolo della serie affronteremo il registro della clientela e la conservazione documentale: l’anello che chiude il cerchio tra identificazione, valutazione e tracciabilità.

Persone politicamente esposte (PEP): chi sono e come gestirle nell’adeguata verifica

Quando in studio arriva un nuovo cliente e, compilando il questionario antiriciclaggio, spunta la casella “ricopro o ho ricoperto una carica pubblica rilevante”, il professionista sa che da quel momento la pratica cambia peso. Le persone politicamente esposte — in gergo PEP — non sono clienti da rifiutare, ma nemmeno da trattare come gli altri. Il D.Lgs. 231/2007, come modificato dal D.Lgs. 90/2017 e dai successivi interventi di recepimento delle direttive europee, impone infatti un regime di adeguata verifica rafforzata che incide sull’istruttoria, sulla profondità dei controlli e sulla conservazione documentale.

In questo articolo vediamo chi rientra nella definizione, quali obblighi pratici scattano per lo studio professionale e quali errori ricorrenti è meglio evitare. Se non hai ancora letto l’inquadramento generale, ti consiglio di partire dalla nostra guida all’adeguata verifica della clientela, dove trovi la cornice entro cui il tema PEP si colloca.

Chi sono le persone politicamente esposte

La definizione non è quella intuitiva del “politico famoso”. L’art. 1, comma 2, lettera dd) del D.Lgs. 231/2007 elenca in modo tassativo le cariche che attribuiscono lo status di PEP. Rientrano, fra gli altri, i capi di Stato e di governo, i ministri e vice-ministri, i parlamentari nazionali ed europei, i membri degli organi direttivi dei partiti politici, i giudici delle alte corti, i membri delle corti dei conti, gli ambasciatori, gli ufficiali di grado elevato delle forze armate, i componenti degli organi di amministrazione delle imprese pubbliche, i direttori e vicedirettori di organizzazioni internazionali.

A livello italiano, l’elenco si estende anche a presidenti di regione, assessori regionali, sindaci di capoluogo di provincia o città metropolitana, presidenti e membri dei consigli di amministrazione di enti pubblici e società partecipate dallo Stato o dalle regioni sopra certe soglie dimensionali. È un perimetro ampio, e la tentazione di liquidare il cliente con un “tanto non è un ministro” porta spesso a classificazioni sbagliate.

Familiari e soggetti legati da stretti rapporti

Qui sta il punto che in studio genera più confusione. La normativa non si ferma al titolare della carica: estende gli obblighi rafforzati a una cerchia definita di soggetti collegati. Sono considerati familiari della PEP il coniuge o la persona legata in unione civile o convivenza di fatto, i figli e i loro coniugi o partner, i genitori.

I soggetti legati da stretti legami comprendono invece le persone fisiche che detengono insieme alla PEP la titolarità effettiva di enti giuridici o che intrattengono con essa stretti rapporti d’affari, nonché chiunque sia unico titolare effettivo di enti costituiti di fatto a beneficio della PEP. Significa che se il cliente dello studio è la moglie di un parlamentare, oppure è socio al 50% di una società che ha come altro socio un assessore regionale, scattano comunque gli obblighi rafforzati.

Cosa comporta l’adeguata verifica rafforzata

Lo status di PEP fa scattare automaticamente il livello più alto di verifica previsto dall’art. 24 del decreto. Gli adempimenti operativi si sommano a quelli ordinari e prevedono:

• l’autorizzazione preventiva del titolare effettivo dell’attività, di un suo delegato o di un soggetto in posizione apicale prima di instaurare il rapporto o eseguire la prestazione;
• l’adozione di misure adeguate per stabilire l’origine del patrimonio e dei fondi impiegati nel rapporto o nell’operazione;
• il monitoraggio rafforzato e continuo del rapporto, con frequenza e profondità superiori rispetto al cliente ordinario;
• la conservazione della documentazione e delle evidenze raccolte secondo le regole generali dell’art. 31.

Il punto dell’autorizzazione è quello più trascurato nei piccoli studi individuali, dove il titolare è anche l’unico che istruisce la pratica. In quel caso l’autorizzazione coincide con la decisione del professionista stesso, ma va comunque tracciata per iscritto nel fascicolo: una nota datata, firmata, che dia atto della valutazione e dell’esito positivo.

Per quanto tempo una persona resta PEP

Lo status non si esaurisce con la fine del mandato. La normativa prevede che, quando la persona cessa dalla carica rilevante, gli obblighi rafforzati continuino ad applicarsi per un periodo di almeno dodici mesi, prorogabile sulla base di una valutazione del rischio residuo. In pratica, se il cliente è stato ministro fino a sei mesi fa, è ancora PEP a tutti gli effetti. Se ha cessato da due anni, il professionista deve comunque fare una valutazione motivata del rischio prima di declassare la posizione a cliente ordinario, e anche questa valutazione va messa nel fascicolo.

Per i familiari e i soggetti legati da stretti rapporti, il collegamento cessa quando viene meno il presupposto (fine del rapporto di coniugio, scioglimento della società comune, eccetera), ma anche qui vale la regola dei dodici mesi di monitoraggio prudenziale.

Come gestire le PEP in studio: il flusso operativo

La gestione concreta, spogliata dal gergo normativo, si riduce a una sequenza abbastanza ordinata. All’ingresso del cliente, il questionario di onboarding deve contenere una sezione specifica sulle cariche pubbliche ricoperte dal cliente stesso, dai suoi familiari e dai soci d’affari rilevanti. Le domande vanno poste in modo esplicito: affidarsi alla spontanea dichiarazione del cliente è un errore, perché molti non si percepiscono come PEP anche quando lo sono.

Una volta raccolta la dichiarazione, è buona prassi eseguire una verifica incrociata sulle banche dati disponibili (elenchi ufficiali, stampa, visure societarie per intercettare partecipazioni in società pubbliche). Non serve un’indagine investigativa, ma una ricerca ragionevole, documentata con gli screenshot o le stampe delle consultazioni effettuate.

Accertato lo status, il fascicolo deve contenere l’autorizzazione interna, la ricostruzione dell’origine dei fondi e del patrimonio (dichiarazioni fiscali, documentazione bancaria, atti notarili coerenti con il tenore dichiarato) e un piano di monitoraggio con la cadenza dei controlli successivi. Un software antiriciclaggio serio aiuta a tenere insieme questi pezzi senza che ogni revisione diventi un’archeologia.

Errori ricorrenti nella prassi professionale

Gli inciampi più frequenti che vediamo nei controlli ispettivi e nelle segnalazioni degli organismi di autoregolamentazione sono sempre gli stessi. Il primo è la classificazione superficiale: si considera PEP solo il “politico nazionale di peso”, ignorando assessori, amministratori di società partecipate e dirigenti di enti locali rilevanti. Il secondo è la dimenticanza dei familiari: il cliente non è PEP, quindi nessuno controlla se la moglie o il figlio lo siano.

Il terzo errore riguarda la documentazione dell’origine dei fondi, spesso liquidata con un generico “redditi da lavoro autonomo” senza allegare le dichiarazioni effettive o altri elementi di riscontro. Il quarto è l’assenza del monitoraggio continuativo: il fascicolo viene aperto in modo impeccabile e poi dimenticato per anni, finché un’operazione anomala costringe a ricostruire tutto in fretta. Il quinto, infine, è la cessazione automatica dello status al termine del mandato, senza la valutazione motivata del rischio residuo.

Il ruolo di un software dedicato

Gestire le PEP a mano, su carta o con fogli Excel, è tecnicamente possibile ma operativamente fragile. Le scadenze di monitoraggio sfuggono, le revisioni periodiche si perdono, i fascicoli si frammentano fra computer diversi. Un gestionale antiriciclaggio pensato per commercialisti permette di classificare il cliente PEP al momento dell’onboarding, di attivare automaticamente il profilo di rischio alto, di pianificare i controlli successivi e di conservare le evidenze in modo ordinato e consultabile nel tempo. In caso di ispezione, la differenza fra un fascicolo strutturato e una cartella disordinata si misura in ore di lavoro e in credibilità davanti all’autorità.

Sintesi

Le persone politicamente esposte non sono clienti da evitare, ma da trattare con un livello di attenzione superiore. La definizione è più ampia di quella intuitiva e comprende familiari e soggetti legati da stretti rapporti. Scattano obblighi di autorizzazione preventiva, verifica dell’origine dei fondi, monitoraggio continuativo e conservazione documentale. Lo status permane almeno dodici mesi dopo la cessazione della carica, e la declassificazione richiede una valutazione motivata. Gli errori ricorrenti — classificazione superficiale, dimenticanza dei familiari, documentazione generica, monitoraggio assente — sono tutti prevenibili con un flusso di lavoro strutturato e un software dedicato.

Fascicolo antiriciclaggio del cliente: cosa contiene e come si tiene aggiornato

L’adeguata verifica della clientela è uno degli obblighi più importanti — e più faticosi da gestire — per i commercialisti e gli altri professionisti soggetti alla normativa antiriciclaggio. Non è un semplice adempimento burocratico: è il cuore del sistema di prevenzione previsto dal D.Lgs. 231/2007, quello che in concreto permette al professionista di conoscere chi ha davanti, capire cosa sta facendo e valutare se qualcosa non torna.

In questo articolo vediamo cos’è l’adeguata verifica, quando va fatta, come si articola nei tre livelli (semplificata, ordinaria, rafforzata), quali obblighi cambiano tra le diverse categorie di soggetti obbligati e — aspetto spesso trascurato — come si gestisce la controparte, che non è un cliente ma può diventare un fattore di rischio.

Cos’è l’adeguata verifica della clientela

L’adeguata verifica — in inglese customer due diligence — è l’insieme delle attività che il professionista deve svolgere per identificare il cliente, verificarne l’identità, individuare il titolare effettivo, comprendere lo scopo del rapporto e monitorarlo nel tempo. Non è una fotografia scattata una volta sola all’inizio: è un processo continuativo. Se il cliente cambia attività, se emergono operazioni anomale, se la situazione di rischio evolve, l’adeguata verifica va aggiornata. Il legislatore lo chiama controllo costante ed è, nella pratica, l’aspetto più trascurato.

La normativa di riferimento è il D.Lgs. 231/2007, modificato dal D.Lgs. 90/2017 (IV Direttiva) e dal D.Lgs. 125/2019 (V Direttiva). Le regole tecniche per i commercialisti sono state dettagliate dal CNDCEC nel 2019.

Chi deve effettuare l’adeguata verifica

Sono obbligati i soggetti indicati all’articolo 3 del D.Lgs. 231/2007, raggruppabili in tre macrocategorie con obblighi simili nella sostanza ma molto diversi nelle modalità operative: intermediari finanziari (banche, IMEL, SGR), professionisti (commercialisti, avvocati, consulenti del lavoro, revisori) e agenti in mediazione (agenzie immobiliari in primis). Per il perimetro normativo rimando all’articolo su antiriciclaggio e antiterrorismo.

Obblighi verso il cliente

Per il cliente gli obblighi sono i massimi previsti per tutte le categorie, con differenze che riguardano tempistiche e modalità di monitoraggio.

Il “pacchetto base” comune a tutti

Indipendentemente dalla categoria, per ogni cliente bisogna sempre avere cinque elementi nel fascicolo: copia del documento d’identità in corso di validità del firmatario/esecutore; identificazione del titolare effettivo (se il cliente è società o ente); controllo PEP per verificare cariche pubbliche rilevanti; controllo liste antiterrorismo per accertare che il cliente non sia in blacklist; conservazione dei dati per dieci anni dalla fine del rapporto.

La differenza principale è il monitoraggio

È qui che le tre categorie divergono davvero. La banca controlla il cliente ogni giorno: se arriva un bonifico strano, il sistema scatta subito. Il professionista fa un controllo periodico (tipicamente annuale) o al verificarsi di eventi rilevanti, come un cambio di assetto societario. L’agente immobiliare ha un monitoraggio limitato alla durata della trattativa, dal mandato al rogito: una volta venduta la casa il controllo costante finisce e resta solo l’obbligo di conservazione.

I tre livelli di adeguata verifica

Non tutti i clienti sono uguali. La normativa prevede un approccio basato sul rischio e tre livelli di intensità.

Semplificata

Si applica quando il rischio è basso: pubbliche amministrazioni, società quotate in mercati UE, enti creditizi e finanziari soggetti a vigilanza. Si riducono frequenza e intensità dei controlli, ma non si salta l’identificazione.

Ordinaria

È il livello standard, quello che si applica alla maggior parte della clientela di uno studio. Comprende identificazione del cliente, del titolare effettivo, acquisizione di informazioni su scopo e natura del rapporto, controllo costante.

Rafforzata

Obbligatoria quando il rischio è elevato: clienti residenti in Paesi terzi ad alto rischio; persone politicamente esposte (PEP) e loro familiari; rapporti a distanza; operazioni complesse o insolitamente ingenti; strutture societarie opache. Si raccolgono informazioni aggiuntive sull’origine dei fondi e si intensifica il monitoraggio.

Obblighi verso la controparte

Qui si fanno più pasticci. La controparte non è un cliente: è la parte opposta al proprio cliente in un’operazione. La distinzione fondamentale è tra chi svolge un ruolo di “parte” (avvocati, banche, commercialisti lavorano per il proprio assistito) e chi svolge un ruolo di “mediazione neutrale” (l’agente immobiliare, che per la legge antiriciclaggio tratta entrambe le parti come clienti).

Differenze operative da ricordare

L’agente immobiliare è l’unico che deve creare due fascicoli distinti: uno per il venditore e uno per l’acquirente. Entrambi beneficiano del servizio di mediazione, entrambi sono clienti.

L’intermediario finanziario lavora sui flussi: identifica solo il proprio correntista (ordinante) e sulla controparte (beneficiario) esegue solo name screening per assicurarsi che non sia un terrorista o un soggetto sanzionato. Non chiede “chi è il tuo titolare effettivo?” alla controparte.

Il professionista lavora sulla consulenza: identifica solo chi gli ha conferito il mandato. Della controparte deve solo sapere “chi è” — nome e sede — per compilare correttamente la scheda di valutazione del rischio del proprio cliente. Se la controparte è un criminale noto, il rischio della pratica diventa “Alto” o “Molto Alto” e scattano i controlli rafforzati sul proprio cliente, non sulla controparte.

Il nodo del titolare effettivo

Identificare il titolare effettivo è la parte dell’adeguata verifica dove si concentra il maggior numero di errori. Per le società di capitali, il titolare effettivo è la persona fisica che possiede direttamente o indirettamente più del 25% del capitale o dei diritti di voto. Se non è possibile individuarlo così, si risale per controllo o, in ultima istanza, al soggetto che esercita poteri di amministrazione e direzione.

Per gli aspetti operativi vedi titolare effettivo: chi è e come si comunica, la comunicazione del titolare effettivo e variazione del titolare effettivo.

Gli errori più frequenti negli studi

1. Scheda di valutazione del rischio compilata in automatico, senza reale analisi. Per l’ispettore è il primo segnale che qualcosa non va.
2. Mancato aggiornamento del fascicolo quando la situazione del cliente cambia.
3. Assenza di controllo costante: l’adeguata verifica trattata come adempimento di apertura e poi dimenticata.
4. Fotocopie di documenti scaduti.
5. Nessuna traccia scritta delle valutazioni. Se non è scritto, per l’ispettore non è stato fatto.
6. Confusione tra cliente e controparte, con fascicoli aperti su soggetti che non sono clienti o controparti trattate come se non esistessero ai fini del rischio.

In sintesi

L’adeguata verifica non è un modulo da far firmare e archiviare. È un processo che accompagna l’intero rapporto, cambia forma a seconda della categoria del soggetto obbligato e richiede attenzioni diverse per il cliente e per la controparte. Le sanzioni per chi sbaglia sono consistenti, ma il problema vero è un altro: uno studio che non gestisce correttamente l’antiriciclaggio è uno studio che, prima o poi, si troverà a rispondere di violazioni gravi.

Con gli strumenti giusti la gestione diventa sostenibile anche per studi di piccole dimensioni: fascicoli centralizzati, valutazione del rischio guidata, gestione separata di cliente e controparte, scadenze monitorate, conservazione conforme.

Archivio Unico Informatico: cos’è, chi lo tiene, come si gestisce

Chi lavora con la normativa antiriciclaggio da qualche anno ha sentito parlare dell’Archivio Unico Informatico (AUI) come di un obbligo pesante, a tratti temuto. La domanda ricorrente negli studi è sempre la stessa: devo tenerlo anche io? E se sì, come? La risposta, dopo le modifiche introdotte dal D.Lgs. 90/2017 al D.Lgs. 231/2007, è meno drastica di quanto si creda ma richiede comunque un minimo di attenzione, perché il fascicolo del cliente non si improvvisa e le sanzioni in caso di controllo non sono uno scherzo.

In questo articolo vediamo cos’è l’AUI, chi è ancora obbligato a tenerlo in forma “piena”, quali alternative ha chi non lo è, cosa deve contenere e come organizzarsi senza trasformare lo studio in un archivio polveroso. Se non hai ancora letto la panoramica generale sull’adeguata verifica della clientela, ti consiglio di partire da lì: l’archivio è la naturale conseguenza operativa di quel processo.

Cos’è l’Archivio Unico Informatico

L’Archivio Unico Informatico è, nella sua definizione originaria, un registro elettronico in cui il soggetto obbligato annota tutte le informazioni raccolte durante l’adeguata verifica e tutte le operazioni rilevanti eseguite dal cliente. Nato con il D.Lgs. 231/2007 e per anni regolato da provvedimenti della Banca d’Italia e dell’UIF, aveva un formato rigido: tracciati standard, tempi di registrazione stringenti, modalità di tenuta centralizzata. Era lo strumento pensato soprattutto per banche, intermediari finanziari e altri operatori ad alto volume di operazioni.

Con la riforma del 2017 l’impianto è cambiato. Per i professionisti — dottori commercialisti, ragionieri, consulenti del lavoro, notai, avvocati per le prestazioni rilevanti — l’obbligo di tenere l’AUI nella forma tradizionale è venuto meno. Resta però vivissimo l’obbligo di conservazione dei dati e dei documenti, che si può assolvere in forme più flessibili: fascicolo del cliente cartaceo o informatico, software gestionale antiriciclaggio, registri interni. La sostanza non cambia, cambia il contenitore.

Chi è ancora obbligato e in che forma

Semplificando (ma non troppo): gli intermediari bancari e finanziari continuano a tenere l’Archivio Unico Informatico con le regole tecniche della Banca d’Italia. I professionisti e gli altri soggetti non finanziari hanno invece l’obbligo generale di conservare per dieci anni i dati e i documenti raccolti, senza un tracciato imposto dalla legge ma con alcuni requisiti minimi inderogabili: tempestività, integrità, accessibilità, riservatezza.

Questo significa che uno studio commercialistico può scegliere tra tre approcci, tutti legittimi se ben implementati:

• Fascicolo cliente cartaceo: funziona, è economico, ma scala malissimo oltre qualche decina di clienti e in sede di ispezione diventa un incubo di ricerca;
• Fascicolo cliente digitale non strutturato: cartelle su server o cloud con scansioni e moduli. Meglio, ma espone a errori di classificazione e difficile rintracciabilità;
• Software antiriciclaggio dedicato: struttura i dati, gestisce scadenze, produce stampe su richiesta dell’ispettore. È la strada consigliata quando i clienti diventano un numero serio.

Cosa deve contenere

Indipendentemente dalla forma scelta, i contenuti minimi che devono essere reperibili a vista sono sempre gli stessi. Per ogni cliente serve la scheda identificativa completa con dati anagrafici, documento di riconoscimento, codice fiscale, dichiarazione sul titolare effettivo quando il cliente è una persona giuridica. Serve poi la valutazione del rischio con il livello assegnato (basso, medio, alto) e la motivazione sintetica. Serve la descrizione della prestazione professionale e lo scopo dichiarato del rapporto. Servono infine le operazioni rilevanti eventualmente eseguite, con data, importo, causale e controparti.

A questo si aggiunge la parte documentale vera e propria: copia dei documenti di identità, visure, eventuali deleghe, corrispondenza con il cliente nei passaggi critici, esito delle verifiche rafforzate se applicate. Sul tema del titolare effettivo vale la pena spendere due minuti in più in fase di apertura del fascicolo: è l’elemento su cui si concentrano più spesso le contestazioni.

Tempi di registrazione e aggiornamento

La normativa parla di registrazione “tempestiva”. Nella prassi, il riferimento operativo ereditato dall’AUI tradizionale — 30 giorni dal compimento dell’operazione o dall’acquisizione del dato — resta un buon metro di misura anche per i professionisti. Tradotto: se il cliente arriva il 10 del mese, la sua scheda antiriciclaggio deve essere completata e archiviata entro il 10 del mese successivo. Oltre quella finestra il ritardo diventa contestabile.

L’aggiornamento non è un evento una tantum. Ogni volta che cambia un dato rilevante — indirizzo, compagine societaria, titolare effettivo, natura della prestazione — la scheda va revisionata. È qui che il software fa la differenza rispetto al fascicolo statico: un sistema ben configurato segnala le scadenze di riverifica periodica e tiene traccia delle modifiche senza perdere la cronologia.

Conservazione e sicurezza dei dati

I dieci anni di conservazione decorrono dalla cessazione del rapporto con il cliente, non dall’apertura. Significa che un cliente seguito per vent’anni produce una coda documentale di trent’anni totali. Vale la pena rifletterci quando si sceglie la modalità di archiviazione, perché il cartaceo a trent’anni di distanza è spesso illeggibile o smarrito, e il digitale non strutturato rischia di vivere su hard disk che nel frattempo hanno cambiato tre tecnologie.

Sul fronte della sicurezza valgono le regole generali del GDPR più qualche obbligo specifico: accesso limitato ai soli soggetti autorizzati, tracciamento delle consultazioni, backup periodici, protezione da accessi esterni non autorizzati. Un software gestionale antiriciclaggio serio copre questi requisiti per costruzione; il fascicolo artigianale no, e va integrato con misure organizzative scritte.

Errori ricorrenti che costano caro

Dall’esperienza sul campo — e dalle contestazioni più frequenti in sede ispettiva — gli errori che si ripetono sono sempre gli stessi. Il primo è la scheda iniziata e mai completata: il cliente è entrato, la prestazione è partita, la verifica è rimasta a metà. Il secondo è la valutazione del rischio generica, fotocopiata uguale per tutti i clienti, che in caso di controllo equivale a non averla fatta. Il terzo è la mancata riverifica nel tempo, con fascicoli fermi al giorno dell’apertura nonostante il cliente abbia cambiato sede, compagine o attività.

Un quarto errore, più subdolo, è la confusione tra conservazione fiscale e conservazione antiriciclaggio: sono due obblighi distinti, con tempi e finalità diverse, e la conservazione sostitutiva della documentazione contabile non copre automaticamente la parte antiriciclaggio.

Cenni sulle sanzioni

Senza entrare nel dettaglio del sistema sanzionatorio — che meriterebbe un articolo a sé — basti dire che le violazioni in materia di conservazione e registrazione sono punite con sanzioni amministrative pecuniarie che partono da 2.000 euro e possono arrivare a cifre importanti nei casi gravi o reiterati. Più che la singola sanzione, però, il problema vero è l’effetto a cascata: una conservazione lacunosa mette in discussione l’intero processo di adeguata verifica e apre la strada a contestazioni ulteriori.

Sintesi operativa

L’Archivio Unico Informatico in senso stretto resta un obbligo per il mondo bancario-finanziario. Per commercialisti e professionisti, la riforma del 2017 ha sostituito il tracciato rigido con un obbligo generale di conservazione dei dati e dei documenti antiriciclaggio, da assolvere in forma libera ma con requisiti sostanziali precisi: tempestività, completezza, integrità, accessibilità per dieci anni dalla chiusura del rapporto. Tre le strade pratiche — cartaceo, digitale non strutturato, software dedicato — con efficienza crescente al crescere del numero di clienti. Gli errori che costano di più sono le schede incomplete, le valutazioni del rischio standardizzate e la mancata riverifica nel tempo. Organizzarsi bene fin dall’inizio vale molto più che rincorrere in sede di ispezione.

Adeguata verifica della clientela: cos’è e come si applica

L’adeguata verifica della clientela è uno degli obblighi più importanti — e più faticosi da gestire — per i commercialisti e gli altri professionisti soggetti alla normativa antiriciclaggio. Non è un semplice adempimento burocratico: è il cuore del sistema di prevenzione previsto dal D.Lgs. 231/2007, quello che in concreto permette al professionista di conoscere chi ha davanti, capire cosa sta facendo e valutare se qualcosa non torna.

In questo articolo vediamo cos’è l’adeguata verifica, quando va fatta, come si articola nei tre livelli (semplificata, ordinaria, rafforzata), quali obblighi cambiano tra le diverse categorie di soggetti obbligati e — aspetto spesso trascurato — come si gestisce la controparte, che non è un cliente ma può diventare un fattore di rischio.

Cos’è l’adeguata verifica della clientela

L’adeguata verifica — in inglese customer due diligence — è l’insieme delle attività che il professionista deve svolgere per identificare il cliente, verificarne l’identità, individuare il titolare effettivo, comprendere lo scopo del rapporto e monitorarlo nel tempo. Non è una fotografia scattata una volta sola all’inizio: è un processo continuativo. Se il cliente cambia attività, se emergono operazioni anomale, se la situazione di rischio evolve, l’adeguata verifica va aggiornata. Il legislatore lo chiama controllo costante ed è, nella pratica, l’aspetto più trascurato.

La normativa di riferimento è il D.Lgs. 231/2007, modificato dal D.Lgs. 90/2017 (IV Direttiva) e dal D.Lgs. 125/2019 (V Direttiva). Le regole tecniche per i commercialisti sono state dettagliate dal CNDCEC nel 2019.

Chi deve effettuare l’adeguata verifica

Sono obbligati i soggetti indicati all’articolo 3 del D.Lgs. 231/2007, raggruppabili in tre macrocategorie con obblighi simili nella sostanza ma molto diversi nelle modalità operative: intermediari finanziari (banche, IMEL, SGR), professionisti (commercialisti, avvocati, consulenti del lavoro, revisori) e agenti in mediazione (agenzie immobiliari in primis). Per il perimetro normativo rimando all’articolo su antiriciclaggio e antiterrorismo.

Obblighi verso il cliente

Per il cliente gli obblighi sono i massimi previsti per tutte le categorie, con differenze che riguardano tempistiche e modalità di monitoraggio.

Il “pacchetto base” comune a tutti

Indipendentemente dalla categoria, per ogni cliente bisogna sempre avere cinque elementi nel fascicolo: copia del documento d’identità in corso di validità del firmatario/esecutore; identificazione del titolare effettivo (se il cliente è società o ente); controllo PEP per verificare cariche pubbliche rilevanti; controllo liste antiterrorismo per accertare che il cliente non sia in blacklist; conservazione dei dati per dieci anni dalla fine del rapporto.

La differenza principale è il monitoraggio

È qui che le tre categorie divergono davvero. La banca controlla il cliente ogni giorno: se arriva un bonifico strano, il sistema scatta subito. Il professionista fa un controllo periodico (tipicamente annuale) o al verificarsi di eventi rilevanti, come un cambio di assetto societario. L’agente immobiliare ha un monitoraggio limitato alla durata della trattativa, dal mandato al rogito: una volta venduta la casa il controllo costante finisce e resta solo l’obbligo di conservazione.

I tre livelli di adeguata verifica

Non tutti i clienti sono uguali. La normativa prevede un approccio basato sul rischio e tre livelli di intensità.

Semplificata

Si applica quando il rischio è basso: pubbliche amministrazioni, società quotate in mercati UE, enti creditizi e finanziari soggetti a vigilanza. Si riducono frequenza e intensità dei controlli, ma non si salta l’identificazione.

Ordinaria

È il livello standard, quello che si applica alla maggior parte della clientela di uno studio. Comprende identificazione del cliente, del titolare effettivo, acquisizione di informazioni su scopo e natura del rapporto, controllo costante.

Rafforzata

Obbligatoria quando il rischio è elevato: clienti residenti in Paesi terzi ad alto rischio; persone politicamente esposte (PEP) e loro familiari; rapporti a distanza; operazioni complesse o insolitamente ingenti; strutture societarie opache. Si raccolgono informazioni aggiuntive sull’origine dei fondi e si intensifica il monitoraggio.

Obblighi verso la controparte

Qui si fanno più pasticci. La controparte non è un cliente: è la parte opposta al proprio cliente in un’operazione. La distinzione fondamentale è tra chi svolge un ruolo di “parte” (avvocati, banche, commercialisti lavorano per il proprio assistito) e chi svolge un ruolo di “mediazione neutrale” (l’agente immobiliare, che per la legge antiriciclaggio tratta entrambe le parti come clienti).

Differenze operative da ricordare

L’agente immobiliare è l’unico che deve creare due fascicoli distinti: uno per il venditore e uno per l’acquirente. Entrambi beneficiano del servizio di mediazione, entrambi sono clienti.

L’intermediario finanziario lavora sui flussi: identifica solo il proprio correntista (ordinante) e sulla controparte (beneficiario) esegue solo name screening per assicurarsi che non sia un terrorista o un soggetto sanzionato. Non chiede “chi è il tuo titolare effettivo?” alla controparte.

Il professionista lavora sulla consulenza: identifica solo chi gli ha conferito il mandato. Della controparte deve solo sapere “chi è” — nome e sede — per compilare correttamente la scheda di valutazione del rischio del proprio cliente. Se la controparte è un criminale noto, il rischio della pratica diventa “Alto” o “Molto Alto” e scattano i controlli rafforzati sul proprio cliente, non sulla controparte.

Il nodo del titolare effettivo

Identificare il titolare effettivo è la parte dell’adeguata verifica dove si concentra il maggior numero di errori. Per le società di capitali, il titolare effettivo è la persona fisica che possiede direttamente o indirettamente più del 25% del capitale o dei diritti di voto. Se non è possibile individuarlo così, si risale per controllo o, in ultima istanza, al soggetto che esercita poteri di amministrazione e direzione.

Per gli aspetti operativi vedi titolare effettivo: chi è e come si comunica, la comunicazione del titolare effettivo e variazione del titolare effettivo.

Gli errori più frequenti negli studi

1. Scheda di valutazione del rischio compilata in automatico, senza reale analisi. Per l’ispettore è il primo segnale che qualcosa non va.
2. Mancato aggiornamento del fascicolo quando la situazione del cliente cambia.
3. Assenza di controllo costante: l’adeguata verifica trattata come adempimento di apertura e poi dimenticata.
4. Fotocopie di documenti scaduti.
5. Nessuna traccia scritta delle valutazioni. Se non è scritto, per l’ispettore non è stato fatto.
6. Confusione tra cliente e controparte, con fascicoli aperti su soggetti che non sono clienti o controparti trattate come se non esistessero ai fini del rischio.

In sintesi

L’adeguata verifica non è un modulo da far firmare e archiviare. È un processo che accompagna l’intero rapporto, cambia forma a seconda della categoria del soggetto obbligato e richiede attenzioni diverse per il cliente e per la controparte. Le sanzioni per chi sbaglia sono consistenti, ma il problema vero è un altro: uno studio che non gestisce correttamente l’antiriciclaggio è uno studio che, prima o poi, si troverà a rispondere di violazioni gravi.

Con gli strumenti giusti la gestione diventa sostenibile anche per studi di piccole dimensioni: fascicoli centralizzati, valutazione del rischio guidata, gestione separata di cliente e controparte, scadenze monitorate, conservazione conforme.