Super AML

La trasformazione digitale e la crescente esternalizzazione di funzioni operative hanno reso le relazioni con fornitori terzi una componente essenziale nel modello di business bancario. Tuttavia, l’ampliamento della catena di fornitura espone gli intermediari a nuovi rischi, che si estendono ben oltre la continuità operativa e coinvolgono aspetti normativi, reputazionali, informatici e, in misura crescente, anche profili legati alla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo. In tale contesto, la gestione del rischio da terze parti (Third Party Risk Management – TPRM) si configura come un presidio strategico imprescindibile per la stabilità, la trasparenza e la competitività del sistema bancario.

Il quadro normativo: un presidio integrato e multilivello

La normativa europea e nazionale impone obblighi stringenti in tema di esternalizzazione e gestione del rischio operativo, tra cui si collocano anche i rischi di natura antiriciclaggio. Le EBA Guidelines on Outsourcing Arrangements (2019) e le EBA Guidelines on ICT and Security Risk Management richiedono un approccio strutturato alla governance, alla due diligence e al controllo continuo delle terze parti. Il Regolamento DORA (Digital Operational Resilience Act) ha introdotto un ulteriore rafforzamento, imponendo presidi di resilienza digitale anche sui fornitori ICT critici.

In ambito AML, la Circolare n. 285 della Banca d’Italia prevede che le banche valutino i rischi connessi ai rapporti con terzi anche sotto il profilo della conformità antiriciclaggio. Inoltre, gli obblighi derivanti dal D. Lgs. 231/2007 impongono presidi di adeguata verifica, monitoraggio e collaborazione attiva anche nei confronti di soggetti esterni coinvolti nei processi bancari. È dunque necessario che le banche includano esplicitamente i rischi AML nel proprio modello di TPRM.

I rischi di riciclaggio connessi ai fornitori terzi

L’inserimento di soggetti terzi nei processi bancari espone gli intermediari a molteplici rischi antiriciclaggio, tra cui:

• Rischi di interposizione fittizia: fornitori che operano per conto di soggetti terzi non dichiarati, ostacolando l’identificazione del titolare effettivo;
• Rischi di canali opachi di pagamento: subfornitori o catene di outsourcing che impiegano strutture giuridiche complesse o giurisdizioni ad alto rischio;
• Rischi di elusione degli obblighi AML: affidamento di funzioni critiche (es. onboarding clienti, gestione conti, cash handling) a soggetti che non adottano standard adeguati in tema di antiriciclaggio o che non sono soggetti vigilati;
• Rischi reputazionali: fornitori coinvolti in procedimenti giudiziari, scandali finanziari o attività sospette che possono riverberarsi sull’immagine della banca.

Gli adempimenti AML nel ciclo di vita delle terze parti

Una corretta gestione del rischio terze parti in chiave antiriciclaggio si articola lungo l’intero ciclo di vita del rapporto contrattuale, attraverso una serie di adempimenti chiave:

a. Due diligence AML precontrattuale

La banca deve effettuare una valutazione preventiva dell’affidabilità della terza parte, con particolare attenzione a:

• assetto proprietario e titolari effettivi;
• eventuali iscrizioni in liste internazionali (es. sanzioni UE, OFAC, PEP);
• rating di rischio giurisdizionale;
• misure interne AML adottate dal fornitore.

Tali controlli devono essere formalizzati e documentati, costituendo parte integrante del fascicolo di onboarding.

b. Clausole contrattuali a presidio AML

I contratti con fornitori devono contenere:

• obblighi di conformità alla normativa AML;
• diritto della banca ad accedere alla documentazione e ai dati del fornitore;
• obblighi di cooperazione in caso di verifiche o segnalazioni;
• clausole risolutive espresse in caso di violazioni gravi delle norme antiriciclaggio.

c. Monitoraggio continuo e aggiornamento dei profili di rischio

La relazione con il fornitore non può considerarsi statica: è essenziale prevedere attività di monitoraggio periodico, audit tematici e review contrattuali che includano la verifica della tenuta del fornitore in ambito AML. In caso di eventi anomali, cambiamenti societari o aggiornamenti regolamentari, è necessario rivedere il profilo di rischio e, se necessario, adottare misure correttive.

d. Registro delle Terze Parti e tracciabilità AML

Il Registro dei Fornitori deve includere le informazioni rilevanti anche sotto il profilo antiriciclaggio: titolare effettivo, giurisdizione, esiti della due diligence AML, esiti di eventuali controlli su sanzioni o PEP. La tracciabilità è un elemento centrale per rispondere in modo adeguato alle richieste delle Autorità.

Il ruolo della funzione antiriciclaggio nel TPRM

La funzione antiriciclaggio non può limitarsi a un ruolo accessorio nel processo di outsourcing. Al contrario, deve essere integrata sin dalle fasi iniziali, collaborando attivamente con Compliance, Risk Management, ICT Security e Procurement. In particolare:

• contribuisce alla definizione dei criteri di scoring AML nella profilazione dei fornitori;
• partecipa alle attività di due diligence e revisione contrattuale;
• effettua controlli periodici sulla presenza in liste di rischio o sulla congruenza delle attività rispetto all’oggetto contrattuale;
• supporta le segnalazioni di operazioni sospette (SOS) laddove emergano anomalie rilevanti nel comportamento del fornitore.

Verso una governance proattiva del rischio AML nelle terze parti

L’evoluzione del quadro normativo e la crescente attenzione delle Autorità sul perimetro delle terze parti impongono un salto di qualità nella governance dei rischi AML. In particolare, le banche dovranno:

• sviluppare politiche interne specifiche per la gestione del rischio AML derivante da outsourcing;
• adottare piattaforme GRC che integrino anche i profili antiriciclaggio;
• definire un piano di formazione continuativa su AML per tutte le funzioni coinvolte nella gestione dei fornitori;
• coordinarsi in modo strutturato con il DPO e le altre funzioni di controllo per garantire la coerenza e la robustezza dell’intero impianto di gestione del rischio.

Conclusione

Nel contesto attuale, la gestione del rischio da terze parti rappresenta un terreno di sintesi tra esigenze di efficienza, compliance e resilienza. I profili antiriciclaggio assumono in questo ambito un rilievo sempre più centrale, imponendo alle banche un presidio consapevole, integrato e documentato. Solo attraverso un approccio rigoroso e multidisciplinare al TPRM sarà possibile coniugare innovazione e sicurezza, assicurando la continuità operativa e la piena conformità normativa in un ecosistema bancario in continua trasformazione.