Un modello per l’autovalutazione del rischio

Tratto fondamentale della IV direttiva europea in materia antiriciclaggio (tanto da permearne l’intera struttura), è il potenziamento del principio dell’approccio basato sul rischio (risk based approach), diretto ad identificare e valutare i rischi di riciclaggio e finanziamento al terrorismo, insiti nell’esercizio di talune attività. Tale approccio assume riferimento imprescindibile per il comportamento dei soggetti obbligati e per la conseguente azione di controllo delle Autorità.

E’ in questo contesto che si inseriscono le norme introdotte dal legislatore italiano (in vigore dal 4.7.2017), riferite alla c.d. autovalutazione del rischio (artt. 15 e 16 del D.Lgs. 231/2007). Per i professionisti si tratta di un nuovo importante adempimento, tanto che la relativa documentazione deve essere conservata e messa a disposizione delle Autorità.

La Regola Tecnica n. 1 emanata dal CNDCEC espone il modello da utilizzare per assolvere tale obbligo, da non confondere con la valutazione del rischio del singolo cliente ex art. 17 del D.Lgs. 231/2007, nell’ambito dell’adeguata verifica (oggetto della successiva Regola Tecnica n. 2).

Lo strumento utilizzato per la costruzione del modello  – redatto secondo le indicazioni della Commissione europea e del CSF  – è una particolare tipologia di matrice, avente l’obiettivo di misurare il c.d. rischio residuo: in funzione del livello di tale rischio, il professionista procede poi ad attivare le azioni necessarie per la gestione e la conseguente mitigazione del medesimo.

A sua volta, il rischio residuo scaturisce dal raffronto in matrice fra l’entità del rischio “inerente” (rischio correlato alla probabilità che l’evento possa verificarsi e alle sue conseguenze) ed il grado di “vulnerabilità” della struttura di studio del professionista (adeguatezza dell’assetto organizzativo e dei presidi istituiti).

In sostanza, lo sviluppo dell’elaborazione avviene attraverso i seguenti fondamentali passaggi :

IDENTIFICAZIONE DEL RISCHIO INERENTE > ANALISI DELLE VULNERABILITA’>DETERMINAZIONE DEL RISCHIO RESIDUO >ORGANIZZAZIONE DELLE AZIONI PER GESTIRE E MITIGARE IL RISCHIO RESIDUO

I fattori che determinano il livello di rischio “inerente” sono stabiliti espressamente dall’art. 15 del D.Lgs. 231/2007 e sono associati: alla tipologia di clientela, all’area geografica di operatività, ai canali distributivi (riferiti alla modalità di esplicazione della prestazione professionale, anche tramite collaborazioni esterne, corrispondenze, canali di pagamento, ecc.) ed ai servizi offerti.

Il grado di “vulnerabilità” dello studio professionale dipende invece dall’efficacia dei seguenti elementi: formazione, organizzazione degli adempimenti di adeguata verifica della clientela, organizzazione degli adempimenti relativi alla conservazione dei documenti, dati e informazioni, organizzazione in materia di segnalazione di operazioni sospette e comunicazione delle violazioni alle norme sull’uso del contante.

Il modello di matrice esposto nella Regola Tecnica n.1 è costruito con una ponderazione maggiormente orientata sul grado di vulnerabilità (60%) piuttosto che sul livello di rischio inerente (40%): questa impostazione non è casuale perché si è voluto sottolineare come la componente di vulnerabilità abbia maggiore rilevanza nel determinare il livello di rischio residuo.

E quindi l’obiettivo dell’autovalutazione del rischio è costituito dall’individuazione (e conseguente approntamento) di procedure/presidi personalizzati ovvero adeguati a fronteggiare il rischio residuo.

Tutto ciò sottende un’altra considerazione importante: non può esistere un set preconfezionato di procedure standard valevole per ciascun tipo di struttura organizzativa, ma occorre calibrare le adeguate azioni mitigatrici a seconda del (precedentemente misurato) grado di rischio residuo.

Le azioni mitigatrici dovranno essere tarate tenendo conto delle dimensioni della struttura, del numero dei componenti dello studio (professionisti, collaboratori e dipendenti) e del numero delle sedi in cui viene svolta l’attività.

La struttura del professionista dovrà considerare, a seconda del proprio livello dimensionale, l’introduzione di una funzione antiriciclaggio, la nomina del relativo responsabile, nonché l’eventuale nomina di un revisore indipendente per la verifica delle politiche, dei controlli e delle procedure: la Regola Tecnica n. 1 indica quindi le soglie dimensionali di riferimento per strutturare un adeguato presidio organizzativo.

Infine, non meno importante nell’ambito della mitigazione del rischio è la formazione del personale che deve essere condotta con carattere di programmazione e permanenza (vedasi in tal senso il documento dedicato a tale aspetto, emanato dal CNDCEC nel giugno 2018).

– per più di 30 professionisti e più di 30 collaboratori nello stesso studio (una sede o più), occorre introdurre la funzione antiriciclaggio, nominare il responsabile antiriciclaggio e introdurre una funzione di revisione indipendente per la verifica dei presidi di controllo. Tale soglia va individuata con riferimento al 31 dicembre dell’anno precedente.

Nell’ambito dei presidi per la gestione e la mitigazione del rischio rileva altresì la formazione del personale con carattere di programmazione e permanenza.

Considerato che:

– la Relazione della Commissione al Parlamento europeo e al Consiglio sulla valutazione dei rischi del riciclaggio di denaro e del finanziamento del terrorismo che incidono sul mercato interno e relativi alle attività transfrontaliere

– l’Analisi nazionale dei rischi di riciclaggio e finanziamento del terrorismo a cura del Comitato di Sicurezza Finanziaria

hanno cadenza triennale, i professionisti effettuano l’autovalutazione del rischio con analoga periodicità.

Per quanto detto, la prima applicazione degli artt. 15 e 16 dovrà essere effettuata in base all’ultima analisi del rischio nazionale disponibile e aggiornata all’indomani della pubblicazione di quella nuova. Successivamente, la valutazione del rischio dovrà essere svolta con cadenza triennale, salva la facoltà di procedere al relativo aggiornamento quando insorgono nuovi rischi e ogni qualvolta lo si ritenga opportuno.

La documentazione relativa all’autovalutazione deve essere conservata e messa a disposizione delle Autorità di cui all’art. 21, co. 2, lett. a), d.lgs. 231/2007 e degli organismi di autoregolamentazione.