La disciplina antiriciclaggio (AML/CFT) attraversa una fase di profonda trasformazione, determinata dalla convergenza di tre forze normative e giurisprudenziali di segno coerente. Sul piano regolamentare, il Regolamento (UE) 2024/1624 introduce per la prima volta in Europa una disciplina direttamente applicabile in materia di prevenzione del riciclaggio e del finanziamento del terrorismo, superando il modello delle direttive e uniformando gli obblighi di adeguata verifica, profilazione del rischio e segnalazione delle operazioni sospette su tutto il territorio dell'Unione; il nuovo assetto si completa con l'istituzione dell'AMLA (Anti-Money Laundering Authority), autorità di vigilanza europea dotata di poteri diretti sugli enti obbligati di maggiore rilevanza sistemica. Sul piano giurisprudenziale, la Corte di Cassazione ha progressivamente elevato lo standard di diligenza richiesto ai soggetti obbligati: con la sentenza n. 26327/2026, la Seconda Sezione Penale ha chiarito che il mero rispetto formale delle procedure di adeguata verifica della clientela non è sufficiente a escludere la responsabilità dell'operatore qualora, nel corso delle stesse, siano emersi elementi di sospetto che avrebbero imposto verifiche effettive e non meramente documentali (Sez. Seconda Penale, Sentenza n. 26327 del 14/07/2026); la Sezione Prima Penale, con la sentenza n. 33377/2024, ha analogamente precisato che l'onere probatorio gravante sugli intermediari finanziari in sede di confisca investe non solo la trasparenza formale delle operazioni, ma la loro piena rispondenza alla disciplina antiriciclaggio e l'assenza di elementi tali da far insorgere il ragionevole convincimento relativo all'inerenza delle stesse ad attività illecite (Sez. Prima Penale, Sentenza n. 33377 del 03/09/2024); la Sezione Terza Penale, con la sentenza n. 45558/2022, ha infine affermato il requisito della preventività dei controlli, richiamando le istruzioni operative dell'UIF che imponevano un rafforzamento delle verifiche anteriore, e non successivo, alla monetizzazione dei crediti ceduti (Sez. Terza Penale, Sentenza n. 45558 del 01/12/2022). Sul piano del rischio sistemico, le vulnerabilità strutturali dell'economia nazionale — settore immobiliare, cripto-attività, cessioni di crediti fiscali, operatori del credito su pegno — si intersecano con le novità introdotte dalla Direttiva (UE) 2024/1226, recepita con d.lgs. n. 211/2025, che ha ridefinito il perimetro della nozione di "fondi" rilevanti ai fini AML includendovi espressamente le cripto-attività (Direttiva (UE) 2024/1226 del Parlamento europeo e del Consiglio del 24 aprile 2024; DECRETO LEGISLATIVO 30 dicembre 2025, n. 211), e con il quadro del whistleblowing rafforzato dal d.lgs. n. 24/2023. Il risultato è un paradigma che non tollera più la compliance come mera esecuzione procedurale: la diligenza richiesta è sostanziale, documentata, preventiva e calibrata sugli specifici segnali di allerta emergenti dal singolo rapporto, pena la perdita di qualsiasi tutela in sede giudiziaria.
Il contesto: il rischio Paese e i dati strutturali
1.1 Il quadro nazionale del rischio e la valutazione interna dell'esposizione
Il quadro nazionale del rischio di riciclaggio e di finanziamento del terrorismo costituisce il contesto di riferimento entro cui i soggetti obbligati devono impostare i propri presìdi AML/CFT. In questa prospettiva, l'analisi dei rischi elaborata a livello istituzionale — in Italia affidata al Comitato di Sicurezza Finanziaria (CSF) ai sensi del d.lgs. 21 novembre 2007, n. 231, cardine della disciplina antiriciclaggio nazionale e progressivamente integrato dalle successive riforme europee — non ha un valore meramente descrittivo o statistico. Al contrario, rappresenta un essenziale punto di partenza metodologico per la corretta calibrazione delle misure interne di prevenzione: le vulnerabilità strutturali che caratterizzano il contesto economico nazionale — tra cui il ricorso al contante, l'economia sommersa, la permeabilità di taluni settori alle infiltrazioni illecite — incidono direttamente sulla concreta esposizione al rischio di ciascun soggetto obbligato, imponendo presìdi proporzionati e non meramente formali.
Su questo piano, il d.lgs. 231/2007 impone ai soggetti obbligati di adottare un approccio basato sul rischio (risk-based approach), traducendo il contesto generale in procedure interne di valutazione, controllo e mitigazione calibrate sulla specifica operatività. Tale valutazione non può esaurirsi in una classificazione formale della clientela o nella compilazione standardizzata di questionari di adeguata verifica: la giurisprudenza di legittimità ha chiarito che la misura della diligenza richiesta agli operatori professionali non si limita al formale rispetto di prescrizioni normative e regolamentari, ma si modella sulle specifiche circostanze, soggettive e oggettive, che possano rivelare forme di abuso del diritto (Sez. Sesta Penale, Sentenza n. 30153 del 11/07/2023); e che l'onere probatorio gravante sui soggetti obbligati in ordine alla propria buona fede investe, più in generale, la trasparenza delle operazioni, la loro rispondenza alla disciplina antiriciclaggio e l'assenza di elementi tali da far insorgere il ragionevole convincimento relativo all'inerenza delle stesse ad attività illecite (Sez. Prima Penale, Sentenza n. 33377 del 03/09/2024).
Il profilo di rischio nazionale non opera quindi come dato isolato, ma come fattore di contesto da integrare con gli ulteriori indicatori rilevanti nella costruzione del profilo di rischio complessivo: la tipologia di clientela servita, i prodotti e i servizi offerti, i canali operativi e distributivi, le aree geografiche interessate. È da tale valutazione di sintesi che dipende la modulazione delle misure di adeguata verifica, della conservazione documentale e, ove emergano elementi di anomalia, l'eventuale attivazione degli obblighi di segnalazione all'Unità di Informazione Finanziaria (UIF). A quest'ultimo riguardo, la Corte di Cassazione ha sottolineato come le attività di controllo imposte dalla normativa antiriciclaggio debbano svolgersi secondo le istruzioni operative della UIF e presuppongano lo svolgimento di un'attività di controllo preventivo e non già successivo all'operazione oggetto di verifica (Sez. Terza Penale, Sentenza n. 45558 del 01/12/2022): un principio che trascende il contesto specifico — la cessione di crediti fiscali — in cui è stato enunciato, per assumere portata generale nella definizione degli standard di compliance sostanziale richiesti ai soggetti obbligati.
Ne consegue che il rispetto formale delle procedure interne, pur necessario, non è mai sufficiente a escludere la responsabilità dell'operatore qualora, nel corso delle medesime, siano emersi elementi di sospetto che avrebbero imposto verifiche effettive e ulteriori. L'onere di diligenza qualificata che incombe sui soggetti sottoposti alla normativa antiriciclaggio richiede che ogni informazione raccolta nel corso dell'adeguata verifica sia effettivamente valutata nel suo complesso e che gli esiti di tale valutazione siano pienamente tracciabili, idonei a dimostrare ex post la ragionevolezza del processo valutativo svolto (Sez. Prima Penale, Sentenza n. 33377 del 03/09/2024; Sez. Sesta Penale, Sentenza n. 30153 del 11/07/2023). Il passaggio da un modello di compliance puramente burocratico a uno sostanziale e dinamico non è, dunque, una scelta discrezionale dell'ente obbligato: è una prescrizione che l'ordinamento, nella sua componente normativa e giurisprudenziale, ha reso vincolante.
1.2 I dati strutturali: economia sommersa, uso del contante e segnalazioni di operazioni sospette
L'economia non osservata. Le stime istituzionali collocano il valore dell'economia non osservata in Italia intorno a una quota significativa del prodotto interno lordo. All'interno di tale aggregato si distingue la componente del valore aggiunto sommerso — riconducibile alla sotto-dichiarazione dei ricavi e al lavoro irregolare — da quella direttamente riferibile alle attività illegali stimate nei conti nazionali. Questa duplice articolazione è metodologicamente rilevante per i soggetti obbligati: le due componenti esprimono dinamiche di rischio diverse, ma entrambe alimentano flussi finanziari potenzialmente veicolabili attraverso il sistema economico legale, con modalità e strumenti che i presìdi antiriciclaggio sono chiamati a intercettare. La dimensione del sommerso è pertanto un fattore di contesto che il soggetto obbligato deve tenere presente nella propria valutazione del rischio, in quanto incide sulla plausibilità economica delle operazioni e sulla credibilità dei profili di rischio della clientela.
L'uso del contante. Il denaro contante continua a rappresentare, in Italia, la modalità di pagamento prevalente nei punti vendita fisici per numero di transazioni, con una quota superiore alla media dell'area euro. Sebbene in termini di valore complessivo del transato commerciale la sua incidenza risulti inferiore, il dato rimane strutturalmente rilevante in una prospettiva AML/CFT. L'uso massiccio del contante costituisce, notoriamente, uno dei principali fattori di rischio sistemico in materia antiriciclaggio, riconosciuto a livello sia nazionale che europeo. Sul piano normativo, il d.lgs. 231/2007 include l'operatività in contante tra gli elementi da considerare nella profilazione del rischio della clientela e nell'applicazione delle misure di adeguata verifica; sul piano giurisprudenziale, la Corte di Cassazione ha ripetutamente valorizzato la movimentazione di contante come indice di anomalia rilevante, precisando che tale circostanza deve essere valutata non in modo automatico o presuntivo, ma in rapporto alle caratteristiche concrete del soggetto, dell'attività esercitata e del contesto operativo (Sez. Seconda Penale, Sentenza n. 10228 del 11/03/2024; Sez. Sesta Penale, Sentenza n. 35385 del 20/09/2024).
Le segnalazioni di operazioni sospette. Il volume delle segnalazioni di operazioni sospette (SOS) trasmesse all'Unità di Informazione Finanziaria per l'Italia (UIF) costituisce un indicatore della vitalità del sistema di presidio preventivo, ma anche della crescente consapevolezza degli obbligati rispetto ai propri obblighi di segnalazione. I dati delle ultime rilevazioni annuali registrano un trend di crescita strutturale, trainato, in misura sempre più significativa, dalle segnalazioni riconducibili a frodi informatiche e alle tecnologie finanziarie innovative. Questo andamento è coerente con le indicazioni operative diffuse dalla UIF, che ha progressivamente ampliato gli schemi di comportamento anomalo da monitorare — con un approccio istruttorio che si è confermato come fonte normativa di fatto per i soggetti obbligati (Sez. Terza Penale, Sentenza n. 45558 del 01/12/2022). È opportuno ricordare che l'obbligo di segnalazione costituisce una misura residuale rispetto ai presìdi di prevenzione a monte: la SOS non sostituisce l'adeguata verifica, né la rende retroattivamente efficace. Come richiamato nel paragrafo precedente, la giurisprudenza di legittimità ha chiarito che i controlli antiriciclaggio devono essere preventivi, e non successivi all'operazione sospettata (Sez. Terza Penale, Sentenza n. 45558 del 01/12/2022); la SOS tempestiva è dunque espressione di un sistema di monitoraggio già attivo, non un rimedio ex post alla mancata attivazione dei presìdi.
L'evasione fiscale e i mercati illeciti. Il cosiddetto tax gap — la differenza tra gettito teorico e gettito effettivamente riscosso — rappresenta un ulteriore indicatore della permeabilità del sistema economico a pratiche finanziariamente opache. Sul punto la giurisprudenza ha chiarito che l'evasione fiscale integra, di per sé, un'attività illecita rilevante ai fini della normativa di prevenzione patrimoniale, indipendentemente dalla configurazione di una fattispecie penale, poiché inevitabilmente si accompagna a connesse irregolarità strumentali all'arricchimento (Sez. Quinta Penale, Sentenza n. 37293 del 03/10/2022). Analogamente, la stima dei mercati illegali — tra cui il narcotraffico rimane la componente più rilevante — misura la dimensione del sommerso illecito che l'intero apparato AML/CFT è chiamato a presidiare, attraverso l'identificazione dei flussi di riciclaggio che ne costituiscono il naturale sbocco nel circuito economico legale.
Coordinamento con la valutazione interna del rischio. Nel loro insieme, i dati strutturali qui richiamati non costituiscono un'analisi autonoma, ma formano l'insieme dei fattori di contesto che i soggetti obbligati devono integrare nella propria valutazione del rischio ai sensi del d.lgs. 231/2007. Come illustrato nel paragrafo 1.1, la metodologia del risk-based approach impone che tali fattori siano combinati con quelli specifici legati alla clientela, ai prodotti, ai canali operativi e alle aree geografiche, in modo che il profilo di rischio complessivo sia il risultato di una valutazione sostanziale e documentata, verificabile ex post, e non di un adempimento burocratico standardizzato.
1.3 Le minacce: reati presupposto e criminalità organizzata
I principali reati presupposto identificati dall'analisi nazionale con maggiore impatto sul fenomeno del riciclaggio sono: corruzione, estorsione, evasione fiscale e reati tributari, usura, narcotraffico, reati fallimentari e societari, a cui si aggiungono gioco d'azzardo illecito, contrabbando, contraffazione e traffico illecito di rifiuti. La criminalità organizzata, tanto di matrice mafiosa quanto straniera, viene indicata come il principale vettore di produzione e reinserimento dei proventi illeciti nel sistema economico.
1.4 Il finanziamento del terrorismo: un rischio diverso per natura
Sul versante del finanziamento del terrorismo, l'analisi CSF evidenzia alcune peculiarità che distinguono questo rischio da quello del riciclaggio classico:
- Le somme coinvolte sono spesso di modesta entità;
- I fondi possono avere origine lecita (risparmi, rimesse, donazioni);
- Si utilizzano canali sia formali sia informali, tra cui money transfer, hawala, cash couriers, carte prepagate e valute virtuali;
- Enti non profit e organizzazioni caritatevoli possono essere usati come schermi;
- Sono frequenti il micro-finanziamento e lo smurfing (frazionamento artificioso).
Le minacce terroristiche di maggiore rilievo sono state identificate nel terrorismo jihadista internazionale (ISIS/Daesh, Al Qaida), considerato "molto significativo", e nel terrorismo domestico anarco-insurrezionalista, classificato "abbastanza significativo".
Il Regolamento (UE) 2024/1624: la rivoluzione dell'armonizzazione
2.1 Perché un Regolamento e non una Direttiva
La scelta del legislatore europeo di adottare un Regolamento — direttamente applicabile in tutti gli Stati membri senza necessità di recepimento — costituisce la novità strutturale più rilevante dell'intero pacchetto AML/CFT. Il Regolamento (UE) 2024/1624, adottato il 31 maggio 2024, fa parte di un quadro normativo integrato che comprende anche la Direttiva (UE) 2024/1640, il Regolamento (UE) 2023/1113 sui trasferimenti di fondi e il Regolamento (UE) 2024/1620 istitutivo dell'AMLA (Autorità Europea per l'Antiriciclaggio e il Contrasto al Finanziamento del Terrorismo).
La ratio è chiara: le divergenze nelle discipline nazionali di recepimento delle precedenti direttive avevano creato asimmetrie regolamentari sfruttabili per arbitraggi. Un regolamento elimina alla radice questa vulnerabilità, garantendo un livello uniforme di presidi su tutto il territorio dell'Unione, nel pieno allineamento con le Raccomandazioni del GAFI (Gruppo di Azione Finanziaria Internazionale).
La Corte di Giustizia ha da tempo chiarito che la finalità complessiva della direttiva AML — ora recepita ed evoluta nel Regolamento — è impedire l'utilizzo del sistema finanziario dell'Unione per fini di riciclaggio e di finanziamento del terrorismo.
2.2 L'ampliamento dei soggetti obbligati
Uno dei profili di maggiore impatto pratico è l'estensione del perimetro soggettivo. Il nuovo Regolamento assoggetta agli obblighi AML/CFT un novero di operatori sensibilmente più ampio rispetto al passato:
- Fornitori di servizi per cripto-attività (con contestuale divieto di conti anonimi e misure rafforzate di tracciabilità);
- Piattaforme di crowdfunding, inclusi gli intermediari non autorizzati;
- Operatori di migrazione degli investimenti (i cosiddetti "golden visa");
- Intermediari del credito ipotecario e al consumo in specifici casi;
- Enti di investimento collettivo e relativi gestori;
- Società calcistiche professionistiche;
- Operatori che commerciano beni di elevato valore: autoveicoli, unità da diporto, aeromobili, metalli preziosi, pietre preziose;
- Prestatori di servizi di gioco d'azzardo (con possibili esenzioni nazionali circoscritte).
Rimangono esclusi dall'ambito del Regolamento alcune categorie di intermediari assicurativi che non gestiscono fondi direttamente, nonché le operazioni intra-gruppo tra entità dello stesso gruppo non destinate a clienti esterni. I professionisti legali (avvocati, notai, revisori, consulenti tributari, commercialisti) rimangono soggetti obbligati nelle attività di natura finanziaria o consulenziale, con la salvaguardia del privilegio forense e del segreto professionale — salvo partecipazione ai reati o consapevolezza dell'uso dell'attività per scopi di riciclaggio o finanziamento del terrorismo.
2.3 Soglie uniformi, AMLA e nuove coordinate del rischio: contante, cripto-attività, misure restrittive e proliferazione
La nuova architettura europea AML/CFT si caratterizza per un progressivo spostamento da un sistema fondato su discipline nazionali fortemente differenziate a un modello più integrato, nel quale la prevenzione del riciclaggio, il contrasto al finanziamento del terrorismo, l’attuazione delle misure restrittive dell’Unione e il controllo delle nuove forme di circolazione del valore tendono a convergere entro un quadro unitario. In questa prospettiva, il rafforzamento dei presìdi sul contante, la crescente centralità delle cripto-attività e la costruzione di un livello europeo di coordinamento istituzionale non rappresentano interventi isolati, ma segmenti di una medesima trasformazione: quella che conduce dall’adempimento formale a una governance del rischio più sostanziale, uniforme e transfrontaliera.
Un primo tratto di questa evoluzione è dato dalla tendenza all’armonizzazione delle regole di presidio delle movimentazioni di valore. Sul piano sistematico, l’obiettivo perseguito dal legislatore europeo è ridurre le asimmetrie tra ordinamenti che, nel tempo, hanno favorito margini di arbitraggio regolatorio e zone di opacità nell’applicazione degli obblighi preventivi. Entro tale logica, il contante continua a occupare una posizione centrale per la sua fisiologica esposizione a rischi di non tracciabilità, occultamento della provenienza dei fondi e frammentazione artificiosa delle operazioni. Tuttavia, il dato veramente innovativo è che il rischio AML/CFT non viene più costruito attorno al solo denaro contante o agli strumenti bancari tradizionali: il perimetro normativo si estende ormai in modo espresso anche agli asset digitali.
La Direttiva (UE) 2024/1226, pur collocata nel settore della violazione delle misure restrittive dell’Unione, è particolarmente significativa sotto il profilo definitorio, perché include tra i “fondi” non solo contanti, depositi, titoli, crediti, lettere di credito e altri strumenti finanziari, ma anche le cripto-attività quali definite dal regolamento (UE) 2023/1114 (Direttiva (UE) 2024/1226 del Parlamento europeo e del Consiglio del 24 aprile 2024). Questa scelta lessicale e sistematica segnala che, nel diritto dell’Unione più recente, il valore digitalmente rappresentato non è più un elemento marginale o eccentrico, bensì una componente ordinaria del lessico giuridico della prevenzione e del congelamento patrimoniale.
Tale impostazione è stata recepita espressamente anche nell’ordinamento interno. Il d.lgs. 30 dicembre 2025, n. 211, attuativo della direttiva 2024/1226, definisce infatti le “misure restrittive dell’Unione europea” come quelle adottate ai sensi dell’articolo 29 TUE e dell’articolo 215 TFUE e, soprattutto, include tra i “fondi” anche le cripto-attività. La stessa fonte precisa inoltre che per “congelamento di fondi” deve intendersi il divieto di spostare, trasferire, alterare, utilizzare o gestire i fondi, o di accedervi in modo da modificarne volume, importo, collocazione, proprietà, possesso, natura o destinazione, così da consentirne l’uso, compresa la gestione di portafoglio. Si tratta di una previsione di grande rilievo pratico, perché chiarisce che il trattamento normativo degli asset digitali non può più essere separato da quello delle altre utilità patrimoniali quando vengono in gioco obblighi di blocco, monitoraggio o controllo.
Il punto merita di essere colto nella sua portata generale. Anche se la direttiva 2024/1226 e il relativo decreto attuativo italiano operano primariamente nel campo delle misure restrittive e della loro violazione, essi riflettono una linea di politica legislativa ormai trasversale: la prevenzione dei fenomeni di occultamento, schermatura o trasferimento del valore richiede di assumere una nozione ampia e tecnologicamente neutra di “fondi”. In altri termini, il sistema non presidia più soltanto la moneta in senso classico, ma l’intera gamma delle utilità economicamente trasferibili, ivi comprese quelle registrate o circolanti su infrastrutture digitali.
Da ciò deriva una conseguenza importante anche per i soggetti obbligati disciplinati dal d.lgs. 231/2007: la distinzione tradizionale tra operazioni in contante e operazioni finanziarie alternative non è più sufficiente a rappresentare la geografia del rischio. Il contante continua a costituire un fattore di attenzione primaria, ma deve ormai essere letto accanto al rischio connesso a strumenti e canali che consentono trasferimenti rapidi, frazionati, transnazionali o tecnicamente complessi. In questa prospettiva, la valutazione del rischio non può limitarsi a verificare il rispetto di soglie o obblighi formali: deve piuttosto misurarsi con la concreta attitudine dell’operazione, del rapporto o del prodotto a ostacolare la trasparenza della provenienza e della destinazione delle risorse.
In questo nuovo equilibrio regolatorio assume rilievo anche il ruolo dell’AMLA, che rappresenta il punto di emersione istituzionale di una governance europea più integrata del rischio AML/CFT. Anche senza soffermarsi, in questa sede, sul dettaglio analitico delle sue attribuzioni, è già chiaro il significato sistemico dell’Autorità: essa si colloca come fattore di uniformazione applicativa, destinato a ridurre le divergenze interpretative e operative tra le autorità nazionali e tra i diversi settori del mercato. L’importanza dell’AMLA non risiede solo nella prospettiva di una vigilanza sovranazionale, ma nella sua funzione di promozione di standard comuni di lettura del rischio, di qualità dei controlli e di coerenza nell’applicazione degli obblighi di adeguata verifica, monitoraggio e segnalazione.
Sotto questo profilo, l’AMLA incarna il superamento di un modello in cui la cooperazione europea era affidata prevalentemente alla sommatoria di pratiche nazionali. In un contesto nel quale i flussi finanziari, le strutture proprietarie, i meccanismi di investimento e gli strumenti di trasferimento del valore operano stabilmente oltre i confini statali, la sola giustapposizione delle discipline interne non appare più sufficiente. La costruzione di un centro europeo di coordinamento e convergenza è dunque coerente con la logica complessiva della riforma: se il rischio è transnazionale, anche le metodologie di presidio devono diventare più omogenee, comparabili e interoperabili.
Questa trasformazione si riflette in modo particolarmente evidente nell’area di confine tra AML/CFT, sanzioni finanziarie mirate, rischio geografico e proliferazione delle armi. Già il d.lgs. 10 marzo 2023, n. 24, nel delimitare l’ambito oggettivo della disciplina sul whistleblowing, richiama espressamente, tra i settori rilevanti, la “prevenzione del riciclaggio di denaro e del finanziamento del terrorismo”, con riferimento al d.lgs. 21 novembre 2007, n. 231, nonché al regolamento (UE) 2023/1113 sui dati informativi che accompagnano i trasferimenti di fondi e determinate cripto-attività. Questo richiamo conferma, sul piano sistematico, il collegamento ormai stabile tra disciplina antiriciclaggio, tracciabilità dei trasferimenti e regolazione dei nuovi strumenti digitali di circolazione del valore.
La successiva evoluzione europea e nazionale mostra però un ulteriore salto qualitativo: il rischio non viene più valutato soltanto in relazione al singolo cliente o alla singola operazione, ma anche in funzione della possibile interazione con Paesi, controparti o soggetti designati assoggettati a misure restrittive. Il d.lgs. 211/2025 definisce infatti, oltre alle misure restrittive dell’Unione, anche la nozione di “persona, entità od organismo designati”, intesa come persona fisica o giuridica, entità, organismo o gruppo assoggettati a misure restrittive dell’Unione europea. La rilevanza di queste definizioni va oltre il diritto penale delle sanzioni: esse incidono direttamente sulla costruzione dei presìdi interni, perché impongono ai soggetti esposti di verificare non solo l’identità formale della controparte, ma anche la sua eventuale appartenenza, prossimità o riconducibilità a circuiti sanzionati.
La medesima linea emerge anche sul versante del coordinamento tra autorità. L’art. 10 del d.lgs. 211/2025 prevede che il Comitato di sicurezza finanziaria (CSF), l’Autorità competente e le altre autorità incaricate dell’esecuzione delle misure restrittive dell’Unione, quando abbiano notizia dei reati previsti dalla disciplina, informino senza ritardo il Procuratore nazionale antimafia e antiterrorismo, trasmettendo notizie, informazioni e dati in loro possesso. La norma è indicativa di un modello nel quale la compliance non è più confinata entro il rapporto tra soggetto obbligato e autorità di vigilanza, ma si inserisce in una rete più ampia di cooperazione istituzionale, orientata a intercettare tempestivamente i profili di rischio collegati all’elusione delle sanzioni, ai flussi verso aree sensibili e ai fenomeni di proliferazione.
In questa cornice, anche il tema delle cripto-attività muta di significato. Esse non rilevano solo perché astrattamente esposte a impieghi opachi o a condotte di schermatura patrimoniale, ma perché possono fungere da canale di trasferimento del valore in contesti nei quali si intrecciano rischio geografico, misure restrittive, utilizzo di tecnologie decentralizzate e difficoltà di immediata riconducibilità soggettiva. Il fatto che il legislatore europeo e quello italiano abbiano scelto di includerle espressamente tra i “fondi” (Direttiva (UE) 2024/1226 del Parlamento europeo e del Consiglio del 24 aprile 2024) segnala che la prevenzione antiriciclaggio e il controllo delle sanzioni non possono più essere pensati come comparti separati.
Ne risulta un modello di compliance più esigente ma anche più coerente. Il contante resta un indicatore classico di vulnerabilità; le cripto-attività ne rappresentano l’estensione digitale; il rischio geografico e la possibile esposizione a misure restrittive aggiungono una dimensione geopolitica e strategica; l’AMLA, infine, è destinata a fornire il telaio istituzionale per una lettura più uniforme di questi fattori. Per i soggetti obbligati, la conseguenza operativa è chiara: la valutazione del rischio deve essere costruita in maniera integrata, considerando congiuntamente cliente, operazione, prodotto, canale distributivo, tecnologia impiegata, area geografica interessata ed eventuale connessione con soggetti o circuiti sottoposti a restrizioni.
In definitiva, la nuova normativa AML/CFT non introduce soltanto nuovi adempimenti, ma modifica il modo stesso di concepire il rischio. L’obiettivo non è più presidiare separatamente riciclaggio, finanziamento del terrorismo, contante, sanzioni e asset digitali, bensì leggere tali fenomeni come manifestazioni di una medesima esigenza di integrità del circuito economico-finanziario. È in questo passaggio — dal controllo segmentato alla valutazione integrata e documentata del rischio — che si coglie la cifra più autentica della riforma europea e del suo progressivo recepimento nell’ordinamento italiano (Direttiva (UE) 2024/1226 del Parlamento europeo e del Consiglio del 24 aprile 2024).
L'approccio basato sul rischio: dalla teoria alla prova
3.1 Il risk-based approach come fondamento del sistema
Il risk-based approach (RBA) costituisce il fondamento metodologico del moderno sistema di prevenzione del riciclaggio e del finanziamento del terrorismo. In questa prospettiva, i soggetti obbligati non sono chiamati ad applicare presidi uniformi e indifferenziati, ma a modulare l’intensità dei controlli sulla base di una valutazione concreta, autonoma e documentata del rischio connesso alla clientela, ai prodotti e servizi offerti, ai contesti geografici interessati e ai canali distributivi impiegati. Ne discende che l’adeguata verifica non può essere concepita come adempimento meramente formale, bensì come attività sostanziale, graduata e proporzionata rispetto alle caratteristiche del rapporto e al livello di esposizione al rischio.
In tale logica, il rischio assume natura dinamica e relazionale: i diversi indicatori rilevanti possono, singolarmente o nel loro insieme, accrescere oppure attenuare il pericolo di utilizzo del rapporto per finalità illecite, incidendo così sulla scelta tra misure semplificate, ordinarie o rafforzate di adeguata verifica. Il principio di proporzionalità, pertanto, non autorizza automatismi classificatori, ma impone una ponderazione effettiva degli elementi disponibili nel caso concreto.
Su un piano applicativo, questo approccio trova conferma anche nella giurisprudenza nazionale, la quale richiede agli operatori del settore creditizio e finanziario di dimostrare di avere espletato tutti gli adempimenti necessari alla verifica del merito creditizio e della trasparenza delle operazioni, al fine di escludere, entro i limiti della ragionevole esigibilità, il rischio di strumentalizzazione dell’attività bancaria a fini illeciti (Sez. Prima Penale, Sentenza n. 33377 del 03/09/2024). Nello stesso senso, è stato affermato che gli operatori bancari, in ragione della loro qualificazione professionale, sono tenuti a un livello di diligenza particolarmente elevato nella concessione del credito, dovendo verificare l’affidabilità del richiedente attraverso l’esame della documentazione necessaria e il rispetto delle regole di prudenza e della disciplina antiriciclaggio (Sez. Terza Penale, Sentenza n. 25642 del 05/07/2022).
Ne consegue che l’attribuzione di un profilo di rischio elevato a un cliente non può fondarsi in modo automatico su un singolo elemento astratto, ma richiede sempre una valutazione individualizzata, complessiva e motivata di tutti i fattori pertinenti alla specifica operazione o al rapporto d’affari. Proprio questa esigenza di apprezzamento concreto distingue il risk-based approach da una logica meramente burocratica di adempimento e ne fa il criterio ordinatore dell’intero sistema preventivo.
3.2 Adeguata verifica: contenuto e perimetro
L'adeguata verifica della clientela (Customer Due Diligence, CDD) si articola in quattro componenti strutturali, tra loro necessarie e complementari, la cui intensità applicativa varia in ragione del profilo di rischio del cliente e del rapporto d'affari.
3.3. Identificazione e verifica dell'identità del cliente (e, ove presente, dell'esecutore), da effettuarsi mediante documenti affidabili, aggiornati e indipendenti. La giurisprudenza di legittimità ha chiarito che la carta d'identità, il passaporto o la patente di guida integrano strumenti identificativi sufficienti, a condizione che non siano rilevabili, all'esame diretto, segni o indizi di falsità del documento.
3.4 Identificazione e verifica del titolare effettivo, da condursi con modalità proporzionate al rischio e con procedure idonee a consentire la ricostruzione, con ragionevole attendibilità, dell'assetto proprietario e di controllo sottostante. L'obbligo di verifica non può esaurirsi nel recepire acriticamente le dichiarazioni rese dal cliente, specialmente in presenza di strutture societarie complesse o di catene di controllo articolate.
3.5 Acquisizione di informazioni sullo scopo e sulla natura del rapporto, comprensiva dell'attività lavorativa o imprenditoriale del cliente, della sua situazione economico-patrimoniale, delle relazioni intercorrenti tra cliente, esecutore e titolare effettivo, nonché — in funzione dell'esposizione al rischio — dell'origine dei fondi impiegati.
3.6 Controllo costante nel corso del rapporto, attraverso la verifica periodica e l'aggiornamento dei dati acquisiti, nonché l'esame continuativo dell'operatività complessiva del cliente nel tempo, al fine di intercettare tempestivamente eventuali mutamenti nel profilo di rischio.
Le misure rafforzate e semplificate: quando e come
4.1 Le misure rafforzate di adeguata verifica (EDD)
Le misure rafforzate (Enhanced Due Diligence, EDD) si applicano ogniqualvolta la valutazione del rischio riveli un livello elevato di esposizione. Non esistono categorie rigide e automatiche: occorre sempre una valutazione individualizzata.
Alcune circostanze sono tuttavia tipizzate dalla normativa come fattori di rischio più elevato: operazioni con soggetti residenti o aventi sede in paesi terzi ad alto rischio; rapporti con persone politicamente esposte (PEP); operazioni di importo rilevante in contanti; strutture societarie complesse o opache; utilizzo di soggetti interposti.
Sul tema delle PEP, la Corte di Giustizia ha chiarito nella sentenza LAIMZ che una persona fisica non può essere considerata soggetto con il quale una PEP intrattiene "stretti legami" per il solo fatto che queste due persone siano entrambe membri dell'organo esecutivo di una stessa associazione. Tuttavia, tale circostanza costituisce un elemento pertinente da prendere in considerazione nell'ambito della valutazione complessiva.
4.2 Le misure semplificate di adeguata verifica (SDD)
Le misure semplificate sono ammesse solo quando, all'esito di un processo valutativo ricostruibile e dimostrabile, emerga in concreto un basso rischio di riciclaggio e di finanziamento del terrorismo. Non si tratta di un'esenzione, ma di una modulazione in diminuzione degli obblighi: anche in caso di verifica semplificata, il soggetto obbligato deve poter documentare il percorso logico che ha condotto a tale classificazione.
Il rischio, inoltre, deve essere valutato tenendo conto della natura stessa del prodotto o servizio: la Corte di Giustizia ha rilevato, nel caso relativo all'apertura di un conto di pagamento con caratteristiche di base, che le funzionalità limitate di tale prodotto riducono il rischio potenzialmente associato alla sua apertura, senza tuttavia escludere che — al termine di una valutazione individualizzata — l'ente creditizio possa giungere alla conclusione di non essere in grado di gestire efficacemente il rischio con misure proporzionate.
La titolarità effettiva: identificazione, registro e obblighi
5.1 I criteri di identificazione
Il Regolamento (UE) 2024/1624 armonizza a livello europeo la definizione di titolare effettivo, introducendo un quadro uniforme in materia di identificazione e verifica. La regola generale mantiene la soglia del 25% delle partecipazioni quale criterio presuntivo di titolarità effettiva; il Regolamento introduce tuttavia la possibilità di adottare soglie ridotte — fino al 15% — per settori o categorie di clientela caratterizzate da un profilo di rischio più elevato. A prescindere dalla partecipazione azionaria, rilevano altresì le ipotesi in cui il controllo sull'entità cliente venga esercitato attraverso altri mezzi — quali accordi parasociali, diritti di voto differenziati o meccanismi contrattuali — anche in assenza di una partecipazione significativa nel capitale.
Nei gruppi con strutture proprietarie articolate su più livelli, l'identificazione del titolare effettivo richiede di risalire lungo l'intera catena proprietaria fino alla persona fisica che, in ultima istanza, possiede o controlla l'entità cliente. I soggetti obbligati non possono pertanto arrestare l'analisi alla compagine sociale di primo livello, ma sono tenuti a superarne i confini formali:
Nell'identificare il titolare effettivo, quindi, i soggetti obbligati devono andare oltre la compagine sociale, e risalire lungo la eventuale catena proprietaria.
Con riferimento ai trust discrezionali, il Regolamento prevede che le informazioni vengano raccolte non soltanto in relazione ai beneficiari già individuati, ma anche con riguardo ai beneficiari potenziali e ai beneficiari di default, ovvero — ove applicabile — alla classe di beneficiari nel suo complesso. In tale contesto, i trustee sono titolari di obblighi autonomi di raccolta, conservazione e aggiornamento periodico delle informazioni rilevanti ai fini della CDD.
5.2 Quando non è possibile identificare il titolare effettivo
In via residuale, qualora — nonostante l'adozione di tutti i ragionevoli mezzi a disposizione — non risulti possibile identificare alcuna persona fisica quale titolare effettivo, il soggetto obbligato è tenuto a segnalare in tale veste i dirigenti di alto livello dell'entità cliente. Tale soluzione di chiusura è subordinata alla rigorosa documentazione dei tentativi di identificazione effettuati, delle fonti consultate e delle ragioni che ne hanno determinato l'insuccesso.
È essenziale precisare che il ricorso a questa misura residuale non esaurisce gli obblighi del soggetto obbligato: quest'ultimo rimane tenuto a rilevare e documentare il rischio intrinsecamente elevato associato all'impossibilità di identificare il titolare effettivo, adottando conseguentemente misure rafforzate di adeguata verifica e, ove ne ricorrano i presupposti, valutando l'opportunità di astenersi dall'instaurare o dal proseguire il rapporto d'affari.
5.3 Il registro dei titolari effettivi: strumento utile, non sostitutivo
Il registro dei titolari effettivi, istituito in Italia con il d.m. 55/2022 e avviato operativamente con il decreto ministeriale del 29 settembre 2023, rappresenta uno strumento di ausilio — e non di esonero — rispetto agli obblighi di adeguata verifica gravanti sui soggetti obbligati. La consultazione del registro costituisce, pertanto, un passaggio rilevante nell'ambito della CDD, ma non può in alcun modo sostituirsi all'autonoma valutazione del soggetto obbligato, né esaurire gli adempimenti di identificazione e verifica del titolare effettivo.
In questa prospettiva, il soggetto obbligato è tenuto non solo a prendere atto del contenuto risultante dal registro, ma anche a confrontarlo criticamente con quanto emerso nel corso dell'adeguata verifica. Laddove emergano difformità tra i dati iscritti e le informazioni autonomamente acquisite, sussiste l'obbligo di segnalazione alla Camera di Commercio competente; la normativa prevede, a tutela dell'operatore, la garanzia dell'anonimato per il segnalante.
Sul piano operativo, le comunicazioni al registro sono effettuate tramite il gestionale DIRE, con firma digitale. Il contenuto minimo delle comunicazioni — disciplinato dall'art. 4 del d.m. 55/2022 — include i dati anagrafici del titolare effettivo (generalità, luogo e data di nascita, residenza o domicilio, estremi del documento di identità e codice fiscale), l'entità della partecipazione detenuta, le modalità di esercizio del controllo, nonché ulteriori informazioni specifiche in ragione della tipologia di ente. L'inosservanza degli obblighi di comunicazione — ivi compresi i casi di comunicazione tardiva — è sanzionata ai sensi dell'art. 2630 c.c., con una pena pecuniaria compresa tra 103 e 1.032 euro, ridotta qualora l'adempimento omesso venga eseguito entro trenta giorni.
5.4 La svolta sull'accesso pubblico: dalla Grande Sezione della Corte di Giustizia al D.lgs. 210/2025
La questione dell'accesso pubblico al registro dei titolari effettivi ha subìto una svolta di rilievo sistematico con la pronuncia della Grande Sezione della Corte di Giustizia dell'Unione Europea del 22 novembre 2022 (cause riunite C-37/20 e C-601/20, Luxembourg Business Registers e Sovim SA). La Corte ha dichiarato invalida la disposizione dell'allora vigente art. 30, par. 5, lettera c), della direttiva 2015/849, nella parte in cui imponeva l'accessibilità in ogni caso al pubblico delle informazioni sulla titolarità effettiva.
Il fondamento della declaratoria di invalidità risiede nell'incompatibilità di tale previsione con i diritti fondamentali garantiti dagli artt. 7 e 8 della Carta dei Diritti Fondamentali dell'Unione Europea, rispettivamente in materia di rispetto della vita privata e di protezione dei dati personali. La Corte ha ritenuto che il meccanismo di accesso incondizionato al pubblico determinasse un'ingerenza sproporzionata in tali diritti, in assenza di un'adeguata ponderazione con le finalità di prevenzione del riciclaggio e del finanziamento del terrorismo perseguite dalla normativa AML/CFT.
A livello nazionale, il D.lgs. 210/2025 ha recepito le implicazioni di tale pronuncia, ridefinendo il perimetro dei soggetti legittimati all'accesso al registro e le condizioni alle quali tale accesso è subordinato, in un quadro che bilancia le esigenze di trasparenza con la tutela della riservatezza dei dati personali dei titolari effettivi.
Le segnalazioni di operazioni sospette (SOS)
6.1 Il fondamento normativo e la nozione di sospetto
L'art. 41 del d.lgs. 231/2007 (nella versione ratione temporis applicata dalla giurisprudenza citata) dispone che i soggetti obbligati inviino alla UIF una SOS quando "sanno, sospettano o hanno motivi ragionevoli per sospettare" che siano in corso o che siano state compiute o tentate operazioni di riciclaggio o di finanziamento del terrorismo:
"Il sospetto è desunto dalle caratteristiche, entità, natura dell'operazione o da qualsivoglia altra circostanza conosciuta in ragione delle funzioni esercitate, tenuto conto anche della capacità economica e dell'attività svolta dal soggetto cui è riferita.
L'obbligo di segnalazione non richiede la prova del reato di riciclaggio né la certezza della provenienza illecita dei fondi: è sufficiente un giudizio obiettivo di sospetto, costruito sulle caratteristiche dell'operazione.
6.2 L'importanza della documentazione del "non sospetto"
Un aspetto particolarmente rilevante emerso dalla giurisprudenza più recente riguarda non solo l'obbligo di segnalare, ma anche l'obbligo di documentare la decisione di non segnalare quando vi siano stati indici di anomalia. La Cassazione, nel richiamare il deliberato del CNN, ha evidenziato:
"In caso di anomalie emerse in sede di adeguata verifica, in via cautelare, è opportuno che il notaio conservi traccia scritta dell'iter logico che lo ha indotto a ritenere non sussistenti i presupposti per la segnalazione di operazione sospetta alla UIF. Tale cautela, in caso di controllo ispettivo, anche a distanza di tempo, potrebbe agevolare la dimostrazione della diligenza osservata dal notaio nell'assolvimento dell'obbligo di adeguata verifica."
Il principio, benché enunciato con riferimento ai notai, ha portata generale: la documentazione del processo decisionale — inclusa la motivazione del "perché non si è segnalato" — è parte integrante di una compliance AML sostanziale.
Settori critici: IMEL, IP, money transfer e professionisti
7.1 Il comparto money transfer e IMEL: il settore più esposto
L'analisi nazionale identifica il comparto degli istituti di moneta elettronica, degli istituti di pagamento e degli operatori di money transfer come uno dei settori a più alta vulnerabilità dell'intero sistema. Le criticità principali riguardano:
- Il frazionamento artificioso delle operazioni (smurfing) per aggirare le soglie;
- Le debolezze nell'adeguata verifica in sede di identificazione del cliente;
- La vulnerabilità della rete degli agenti e degli operatori convenzionati;
- I problemi di monitoraggio e segnalazione tempestiva delle anomalie;
- I rischi specifici connessi al finanziamento del terrorismo attraverso rimesse di piccolo importo.
Le ispezioni UIF su IP/IMEL hanno rilevato carenze organizzative, frazionamento artificioso, problemi di identificazione, inserimenti remoti inesatti; in alcuni casi si è proceduto alla revoca delle autorizzazioni e all'avvio di procedimenti sanzionatori e segnalazioni alle autorità giudiziarie e di vigilanza.
7.2 Il controllo degli agenti e della rete distributiva
Un tema cruciale per IP e IMEL è il presidio della rete di agenti e collaboratori esterni. Il modello distributivo frammentato — caratteristico di questo settore — crea distanza tra chi acquisisce il cliente (l'agente) e chi gestisce il rischio (l'istituto di pagamento), con il rischio che le carenze nell'adeguata verifica restino invisibili fino all'ispezione.
La giurisprudenza ha affrontato questo problema valorizzando il ruolo attivo degli agenti nel rispetto della disciplina AML e escludendo letture che scarichino integralmente gli obblighi sull'istituto di pagamento "a monte". Sul piano organizzativo, ne deriva che il presidio AML della rete non può essere cartolare: servono procedure, controlli, formazione e tracciabilità delle anomalie effettivamente idonei a intercettare il fenomeno del frazionamento.
7.3 I professionisti: notai, avvocati, commercialisti
L'analisi nazionale individua tra le aree di debolezza del sistema anche la collaborazione di alcune categorie di professionisti (notai, dottori commercialisti, avvocati), con specifiche vulnerabilità nell'adeguata verifica rafforzata, nell'identificazione del titolare effettivo e nella segnalazione delle operazioni sospette.
La giurisprudenza più recente mostra una chiara tendenza a elevare il livello di diligenza esigibile da questi soggetti, in particolare per le operazioni di rilievo societario e immobiliare:
- Il notaio chiamato a rogare operazioni societarie non può limitarsi a registrare le informazioni fornite dal cliente: deve documentare di aver quantomeno richiesto tutte le informazioni previste dall'art. 22 del d.lgs. 231/2007 sulla titolarità effettiva, a partire dal momento del conferimento dell'incarico;
- In presenza di soggetti giuridici utilizzabili per dissimulare la reale titolarità dell'operazione, il livello di attenzione richiesto è necessariamente più elevato;
- La Cassazione ha confermato, con l'ordinanza n. 2759 del 4 febbraio 2025, che il sistema antiriciclaggio si fonda sulla collaborazione attiva dei destinatari, i quali devono adottare "idonei e appropriati sistemi e procedure in materia di obblighi di adeguata verifica della clientela, di segnalazione delle operazioni sospette, di conservazione dei documenti, di controllo interno, di valutazione e di gestione del rischio, di garanzia dell'osservanza delle disposizioni pertinenti e di comunicazione per prevenire e impedire la realizzazione di operazioni di riciclaggio o di finanziamento del terrorismo".
7.4 La formazione del personale
La formazione è parte integrante degli obblighi organizzativi in materia AML. L'analisi nazionale insiste sulla necessità di colmare le debolezze procedurali attraverso un rafforzamento della "cultura aziendale antiriciclaggio condivisa ad ogni livello anche con opportuni interventi formativi". La mancata formazione del personale può essere rilevata come circostanza aggravante nella quantificazione della sanzione, in quanto incide sull'intensità dell'elemento soggettivo della violazione.
7.5 Il bilanciamento tra trasparenza e riservatezza
Il sistema AML/CFT implica per sua natura un trattamento di dati personali sensibili. Il Regolamento (UE) 2024/1624 stabilisce che il GDPR (Regolamento (UE) 2016/679) si applica integralmente al trattamento dei dati personali effettuato ai fini AML/CFT, con limitazione dell'accesso e dell'utilizzo esclusivamente agli scopi di prevenzione del riciclaggio e del finanziamento del terrorismo e con divieto esplicito di ulteriori trattamenti a fini commerciali.
Sono previsti meccanismi di ricorso e controllo da parte delle autorità di protezione dei dati, nonché possibilità di limitare il diritto di accesso dell'interessato in conformità dell'art. 23 GDPR, qualora tale limitazione sia necessaria per non compromettere la funzione preventiva del sistema.
7.6 Il privilegio forense e il segreto professionale
I professionisti legali mantengono la protezione del privilegio forense e del segreto professionale nelle attività strettamente connesse alla rappresentanza e alla consulenza legale. Tuttavia, questa protezione cede in due casi: partecipazione del professionista al reato di riciclaggio o finanziamento del terrorismo, ovvero consapevolezza che la prestazione professionale viene utilizzata per tali scopi. La distinzione, già presente nella direttiva 2015/849, è mantenuta ed affinata nel Regolamento 2024/1624.
Le linee di intervento prioritarie e le raccomandazioni operative
Dall'analisi congiunta del quadro normativo, dell'analisi del rischio nazionale e della giurisprudenza più recente emergono alcune priorità operative inderogabili.
8.1 Documentare il processo valutativo in modo sistematico
Il principio che attraversa tutta la giurisprudenza è uno solo: non è sufficiente fare le verifiche; occorre poter dimostrare come sono state fatte e perché si è giunti a determinate conclusioni. Il fascicolo del cliente deve contenere non solo i documenti di identificazione, ma anche le note di valutazione del rischio, i controlli effettuati sul titolare effettivo, la motivazione della classificazione di rischio assegnata e, in presenza di anomalie, la traccia scritta dell'iter logico che ha condotto a non segnalare.
8.2 Abbandonare la compliance puramente formale
Checklist standardizzate non aggiornate, profili di rischio automatici non revisionati, dichiarazioni di stile del cliente recepite senza riscontro: tutti questi elementi sono stati ripetutamente censurati dalla giurisprudenza come indici di una compliance meramente formale, inidonea a soddisfare gli standard richiesti.
8.3 Strutturare l'autovalutazione del rischio come processo ricorrente
Il risk assessment non è un adempimento una tantum: è un processo continuo, documentato, aggiornato in ragione dei cambiamenti del contesto, della clientela e dei prodotti. La sua mancata effettuazione annuale è di per sé una violazione grave e non può essere compensata dall'esistenza di un regolamento AML non aggiornato.
8.4 Rafforzare i controlli sulla rete distributiva
Agenti, collaboratori esterni, punti operativi e canali digitali sono oggi il principale punto di vulnerabilità nei settori di pagamento e rimessa. Il presidio AML della rete deve essere reale — con procedure effettive, controlli periodici, tracciabilità delle anomalie — e non meramente contrattuale o cartolare.
8.5 Adeguare la governance interna al nuovo quadro europeo
Il Regolamento 2024/1624 impone un modello di governance nel quale il board è responsabile in prima persona del presidio AML. Le imprese devono revisionare le proprie politiche interne, assicurarsi che la funzione AML disponga di risorse adeguate, strutturare i controlli di secondo livello e garantire flussi informativi efficienti dall'operatività al vertice.
8.6 Estendere la compliance ai nuovi soggetti obbligati
Fornitori di servizi per cripto-attività, piattaforme di crowdfunding, operatori di investimento via migrazione, società calcistiche e commercianti di beni di elevato valore devono ora strutturare ex novo — o significativamente adeguare — i propri presidi AML/CFT, implementando procedure di CDD, sistemi di valutazione del rischio, archivi di conservazione e meccanismi di segnalazione alla FIU.
Conclusione
Il sistema antiriciclaggio europeo e nazionale ha raggiunto un punto di maturità nel quale la distinzione tra compliance formale e compliance sostanziale non è più tollerabile. La giurisprudenza — sia della Corte di Giustizia sia dei giudici nazionali di legittimità e di merito — ha costruito negli ultimi anni un corpus coerente di principi che impongono al soggetto obbligato di essere un presidio attivo e intelligente del sistema, non un mero collettore di documenti.
Il Regolamento (UE) 2024/1624, con la sua applicabilità diretta, elimina le residue divergenze nazionali e porta a regime un modello che esige: valutazione del rischio documentata e proporzionata; adeguata verifica reale e non cartolare; segnalazione fondata su un giudizio obiettivo di sospetto; governance di vertice responsabile; controlli di secondo livello indipendenti; formazione continua.
In questo quadro, la domanda che oggi viene posta al soggetto obbligato non è più soltanto "hai rispettato gli obblighi formali?", ma "riesci a dimostrare di aver compreso il rischio, di aver adottato misure effettive e proporzionate, e di aver saputo distinguere la sostanza economica dalla forma giuridica delle operazioni?". È su questa capacità che si misurerà, nei prossimi anni, la qualità della compliance antiriciclaggio in Italia e in Europa.
Avv. Maurizio Auteri
Via Garibaldi n. 14, 07051 Budoni (SS)
Via Amsicora n. 13, 07029 Tempio Pausania (SS)
