AML e KYC: cosa prevede la normativa antiriciclaggio e perché il monitoraggio continuo del cliente diventa centrale

Identificare un cliente, verificarne l’identità, ricostruire la titolarità effettiva e monitorare nel tempo la coerenza delle informazioni raccolte sono attività centrali per prevenire il riciclaggio di denaro e il finanziamento del terrorismo.

La crescente complessità delle strutture societarie, la presenza di partecipazioni internazionali e la necessità di verificare informazioni provenienti da fonti diverse rendono l’attività di KYC (Know Your Customer) sempre più articolata.

Un’impresa, infatti, non può essere valutata soltanto sulla base dei dati anagrafici o della documentazione fornita all’inizio del rapporto commerciale, ma è necessario ricostruire anche chi la controlla, quali partnership ha in essere e monitorare gli eventuali cambiamenti nel tempo.

Quali sono le norme che regolano l’antiriciclaggio?

In Italia il riferimento normativo generale in tema di antiriciclaggio è il decreto legislativo 231/2007, che disciplina le misure per prevenire l’utilizzo del sistema finanziario a fini di riciclaggio dei proventi di attività criminose e di finanziamento del terrorismo.

Tra i doveri previsti per i soggetti obbligati rientrano:

• l’adeguata verifica della clientela;
• la conservazione dei dati e dei documenti;
• il controllo costante dei rapporti;
• la segnalazione delle operazioni sospette secondo le disposizioni previste.

 Le verifiche devono essere condotte sulla base di una valutazione del rischio e possono richiedere misure rafforzate quando il profilo della controparte o le caratteristiche del rapporto lo rendono necessario.

A questo punto è bene specificare che il KYC è il processo attraverso il quale l’azienda identifica e verifica il cliente, acquisisce informazioni su di esso e raccoglie tutti gli elementi utili a valutarne il profilo. Nel caso di un’impresa, questo lavoro può richiedere la ricostruzione della catena partecipativa e l’individuazione delle persone fisiche che, in ultima istanza, ne detengono la proprietà o il controllo.

L’AML (Anti-Money Laundering), identifica invece il più ampio insieme di misure e procedure di prevenzione del riciclaggio. Il KYC ne costituisce una componente essenziale, ma non esaurisce tutti gli obblighi antiriciclaggio: la valutazione della clientela deve inserirsi in un sistema che comprende anche il monitoraggio del rapporto, l’analisi delle operazioni e la gestione delle eventuali anomalie.

A livello europeo, il pacchetto legislativo UE in materia adottato nel 2024 punta a rendere più omogenee le regole antiriciclaggio nei diversi Stati membri e comprende il Regolamento (UE) 2024/1624, la Direttiva (UE) 2024/1640 e il Regolamento (UE) 2024/1620 che istituisce l’AMLA (Authority for Anti-Money Laundering and Countering the Financing of Terrorism).

In particolare, il 2026 segna il passaggio del nuovo pacchetto legislativo europeo dalla fase di definizione normativa a quella di implementazione operativa. L’obiettivo è quello di superare la frammentazione causata dal recepimento difforme delle precedenti direttive nei singoli Stati membri.

Allo scopo, il Single Rulebook rappresenta un elemento di novità determinante, dal momento che stabilisce regole unificate, definizioni omogenee e indicazioni per la standardizzazione dell’adeguata verifica della clientela, l’individuazione della titolarità effettiva, l’applicazione delle misure di Due Diligence e la valutazione dei Paesi terzi ad alto rischio.

Normativa antiriciclaggio ed evoluzione del KYC

L’approfondita conoscenza del cliente è dunque uno dei passaggi fondamentali nella prevenzione del riciclaggio e del finanziamento del terrorismo ed è in questa direzione che si sta evolvendo il quadro normativo europeo.

Il rafforzamento delle regole comuni e il progressivo consolidamento dell’Autorità europea per la lotta al riciclaggio e al finanziamento del terrorismo (AMLA) stanno accelerando il passaggio da verifiche prevalentemente documentali a un modello di controllo continuativo, integrato e basato sul rischio.

Le evidenze dell’Osservatorio CRIF Know Your Customer & Business Lookout 2026 mostrano quanto la valutazione del rischio AML e KYC richieda oggi una conoscenza approfondita non solo dell’impresa, ma anche della sua struttura societaria, del titolare effettivo e delle relazioni con altre aziende e persone.

In Italia sono stati identificati circa 340.000 gruppi aziendali, che comprendono oltre 744.000 società di capitali e più di 103.000 società di persone. Nel 79% dei casi il vertice ultimo del gruppo è rappresentato da una persona fisica, evidenziando il ruolo centrale dell’identificazione del titolare effettivo nelle attività di controllo e due diligence.

Tra le principali evidenze dell’Osservatorio:

• oltre l’11% dei titolari effettivi controlla almeno due imprese;
• il 20,8% è collegato a società attive in settori caratterizzati da una maggiore attenzione antiriciclaggio;
• ogni mese circa l’1,05% delle imprese italiane analizzate cambia titolare effettivo;
• il 17,5% dei soggetti privati presenta collegamenti con imprese;
• il 5,1% ricopre ruoli chiave o detiene partecipazioni in aziende operanti in settori a maggiore attenzione AML, come fondi pubblici, gestione dei rifiuti ed edilizia.

Questi dati evidenziano perché il monitoraggio del titolare effettivo non possa limitarsi alla verifica iniziale. Assetti proprietari, partecipazioni e relazioni societarie possono infatti cambiare nel tempo, modificando anche il profilo di rischio dell’impresa.

Relazioni internazionali e catene di controllo: perché aumentano la complessità KYC

La presenza di collegamenti societari internazionali rappresenta un ulteriore elemento da considerare nella ricostruzione della struttura aziendale. Più di 37.000 gruppi hanno legami con l’estero e operano complessivamente in 208 Paesi, mentre circa 10.000 gruppi mantengono relazioni con almeno tre Paesi differenti.

Anche la profondità delle strutture partecipative può rendere più complessa l’attività di verifica:

• il 3,09% dei gruppi presenta catene partecipative articolate su almeno tre livelli societari;
• nello 0,85% dei casi è presente una fiduciaria nella catena di controllo;
• nello 0,34% compare una società cessata o cancellata;
• tra i gruppi con collegamenti internazionali, le strutture articolate su almeno tre livelli raggiungono il 25%, contro il 4,96% dei gruppi attivi esclusivamente in Italia.

La presenza di relazioni con l’estero non implica automaticamente un rischio maggiore, ma può aumentare la complessità delle verifiche necessarie per ricostruire chi controlla effettivamente un’impresa, quali partecipazioni possiede e quali relazioni societarie presenta.

Nel complesso, le evidenze mostrano come la valutazione AML e KYC debba considerare contemporaneamente titolare effettivo, assetti proprietari, partecipazioni, relazioni internazionali e variazioni nel tempo. Per questo, accanto alla verifica iniziale, diventa sempre più importante adottare un approccio di Continuous KYC, basato sull’aggiornamento e sul monitoraggio costante delle informazioni aziendali.

AML e KYC: i settori e i territori più a rischio

La valutazione AML può essere arricchita da informazioni economico-finanziarie e comportamentali che aiutano a contestualizzare il profilo della controparte. L’Osservatorio CRIF ha analizzato un gruppo di imprese caratterizzate dalla presenza contemporanea di più segnali di attenzione, tra cui anomalie nei bilanci, eventi pregiudizievoli, frequenti cambi di sede o degli organi amministrativi, protesti e incongruenze informative.

Nel cluster osservato, il commercio rappresenta il 37,8% delle imprese, seguito dalle costruzioni con il 17% e dai servizi alle imprese con il 5%. Il 94% delle aziende ha meno di 20 dipendenti e il 59% è stato costituito negli ultimi dieci anni.

Uno dei dati più significativi riguarda i comportamenti di pagamento. Il 33,2% delle imprese del cluster registra ritardi superiori a 120 giorni, contro il 3% della media nazionale riportata dall’Osservatorio. Soltanto il 14,9% paga alla scadenza, rispetto al 42,4% della media italiana.

I ritardi nei pagamenti non sono una prova di riciclaggio, ma possono rappresentare un elemento da valutare insieme alle altre informazioni disponibili, soprattutto quando emergono incoerenze tra il profilo dichiarato, la struttura societaria e il comportamento economico della controparte.

Dal continuous KYC alla risk intelligence

L’insieme delle evidenze dell’Osservatorio CRIF porta al centro il concetto di continuous KYC, cioè una conoscenza del cliente che prosegue lungo l’intero ciclo di vita del rapporto. La logica è superare un modello basato esclusivamente su verifiche iniziali e aggiornamenti periodici, integrando le informazioni che possono modificare la valutazione della controparte.

Il passaggio successivo è quello della risk intelligence: una lettura coordinata di persone fisiche, imprese, titolari effettivi, gruppi societari, collegamenti internazionali, settori, comportamenti di pagamento e informazioni economico-finanziarie.

Ancora una volta emerge l’importanza di saper raccogliere, elaborare e analizzare le informazioni per riuscire a prendere le decisioni strategiche e a gestire i rischi.