Are you subject to AML?
Enter your company ID (IČO) and instantly find out whether you're subject to AML regulations
Indice dei contenuti
- Che cos'è il sistema di politiche interne AML?
- La base legale: disposizioni della legge AML
- Cosa deve contenere l'SVZ?
- Valutazione del rischio AML come fondamento
- Chi è responsabile dell'SVZ?
- Come mantenere l'SVZ aggiornato
- Errori più comuni nella creazione di un SVZ
- Sanzioni per SVZ mancante o inadeguato
- Conclusione e raccomandazioni pratiche
Che cos'è il sistema di politiche interne AML?
Il sistema di politiche interne (SVZ) è un documento interno — nella pratica un manuale AML — che definisce come la tua azienda adempie ai propri obblighi secondo la legge AML su determinate misure contro il riciclaggio dei proventi di reati e il finanziamento del terrorismo.
L'SVZ non è solo una formalità lasciata in un cassetto. È un documento operativo vivo che descrive procedure specifiche per l'identificazione dei clienti, la valutazione del rischio, lo screening, la segnalazione delle transazioni sospette e la formazione dei dipendenti e delle persone in posizione comparabile. Deve riflettere la realtà del tuo business — non modelli generici scaricati da internet.
L'obbligo di avere un SVZ si applica a tutti i soggetti obbligati indipendentemente dalle dimensioni dell'azienda. Si applica allo stesso modo a un agente immobiliare con due dipendenti e a una grande istituzione finanziaria.
La base legale: disposizioni della legge AML
L'obbligo di creare un sistema di politiche interne è imposto direttamente dalla legge AML. La legge stabilisce che un soggetto obbligato deve implementare e applicare politiche interne, procedure e misure di controllo per prevenire il riciclaggio di denaro e il finanziamento del terrorismo.
Queste politiche interne devono in particolare includere:
- Procedure per l'identificazione dei clienti e la dovuta diligenza (identificazione e controllo dei clienti)
- Valutazione del rischio a livello aziendale e per i singoli rapporti commerciali
- Procedure per la segnalazione delle transazioni sospette alla FIU
- Regole per la conservazione della documentazione
- Un programma di formazione per i dipendenti e le persone in posizione comparabile
- Designazione della persona responsabile della conformità AML
L'SVZ deve essere adattato alla natura, portata e carattere specifici dell'attività del soggetto obbligato. I modelli generici che ignorano le specificità del tuo settore non soddisfano lo standard legale — e questo diventerà evidente durante un'ispezione della FIU.
Cosa deve contenere l'SVZ?
Né la legge né i regolamenti di attuazione prescrivono una struttura fissa per l'SVZ, ma la pratica e le linee guida della FIU definiscono cosa dovrebbe includere un SVZ funzionale. Ecco una panoramica delle aree chiave:
1. Identificazione e valutazione del rischio
L'SVZ deve descrivere come l'azienda valuta i rischi di riciclaggio di denaro e finanziamento del terrorismo. Ciò include la valutazione del rischio a livello aziendale e la valutazione del rischio a livello cliente per i singoli clienti e transazioni.
2. Procedure KYC e CDD
L'SVZ deve definire chiaramente come avviene l'identificazione dei clienti — dai documenti di identità per le persone fisiche e dal registro commerciale per le persone giuridiche. Copre anche le procedure per identificare il Beneficiario effettivo (UBO) dei clienti aziendali.
3. Identificazione migliorata e dovuta diligenza del cliente (Sezione 9a)
Per i clienti ad alto rischio, le persone politicamente esposte (PEP) o i clienti provenienti da paesi terzi ad alto rischio, l'SVZ deve definire procedure di dovuta diligenza rafforzata.
4. Screening e monitoraggio continuo
Il documento deve descrivere come l'azienda controlla i clienti rispetto alle liste delle sanzioni dell'UE e delle Nazioni Unite (la legislazione internazionale sulle sanzioni), ai registri delle PEP e ai media avversi — e come questo monitoraggio avviene su base continuativa, non solo all'onboarding del cliente.
5. Segnalazione delle transazioni sospette (OPO)
L'SVZ deve contenere una procedura chiara: chi valuta gli indicatori sospetti, chi decide di presentare una segnalazione e come la transazione sospetta viene segnalata alla FIU. Questa procedura deve essere praticamente utilizzabile, non semplicemente descritta in termini generali.
6. Conservazione della documentazione
L'SVZ specifica quali documenti vengono conservati, per quanto tempo (la legge richiede 10 anni) e in quale formato. La documentazione deve essere disponibile per l'ispezione della FIU.
Formazione dei soggetti secondo le disposizioni di legge
L'SVZ deve definire un programma di formazione AML continua per i dipendenti e le persone in posizione comparabile — contenuto, frequenza e metodo di verifica. La legge richiede una formazione regolare almeno una volta all'anno.
8. Designazione della persona responsabile
L'SVZ deve identificare chiaramente chi nell'azienda è responsabile della conformità AML — la cosiddetta persona designata (responsabile della conformità). Nelle aziende più piccole, questo ruolo è generalmente svolto da un membro dell'organo statutario.
Valutazione del rischio AML come fondamento
La valutazione del rischio AML è la spina dorsale dell'intero sistema di politiche interne. Senza una valutazione del rischio funzionale è impossibile stabilire misure proporzionate — e questo è precisamente ciò che la legge richiede (l'approccio basato sul rischio).
La valutazione del rischio funziona a due livelli:
- Valutazione del rischio aziendale: Una valutazione complessiva dei rischi della tua azienda per quanto riguarda il tipo di cliente, la geografia, i prodotti e i canali di distribuzione.
- Valutazione del rischio del cliente: Valutazione individuale di ciascun cliente e transazione — assegnazione di un punteggio di rischio (rischio basso/medio/alto).
I fattori di rischio chiave che devi valutare includono:
- Geografia — da dove proviene il cliente e dove opera (giurisdizioni ad alto rischio secondo il FATF, liste grigie/nere UE)
- Tipo di cliente — persona fisica, persona giuridica, PEP, beneficiario effettivo
- Prodotti e servizi — che tipo di transazione o relazione si sta intraprendendo
- Canali di distribuzione — contatto diretto rispetto all'onboarding intermediato
- Fonte dei fondi — da dove provengono i soldi del cliente
- Complessità della struttura proprietaria — catene di società, strutture offshore
L'esito della valutazione del rischio è una giustificazione documentata del motivo per cui un cliente specifico è stato assegnato a una specifica classificazione di rischio — e se l'indagine approfondita è stata applicata o meno.
Chi è responsabile dell'SVZ?
La Legge AML prevede che la responsabilità complessiva del rispetto degli obblighi AML ricade sul soggetto obbligato — la persona giuridica o l'imprenditore individuale. All'interno dell'azienda, persone specifiche hanno responsabilità per il sistema delle politiche interne:
- Membro dell'organo statutario — deve essere formalmente designato con piena responsabilità del programma AML. Tale responsabilità deve essere documentata.
- Persona designata (responsabile della conformità) — la persona che gestisce le operazioni AML quotidiane: screening dei clienti, valutazione delle transazioni sospette, coordinamento della formazione. Deve essere registrata presso la FIU (entro 30 giorni dalla nomina; modifiche entro 15 giorni).
- Dipendenti e persone che collaborano — ogni dipendente e persona in posizione comparabile che ha contatto con clienti o transazioni deve essere formato e sapere come agire quando identifica situazioni sospette.
- Dipendenti e persone che collaborano — ogni dipendente e persona in posizione simile (ad es. amministratori delegati, partner, lavoratori autonomi, persone che collaborano) che viene a contatto con clienti o transazioni deve essere formato e sapere come agire quando identifica situazioni sospette.
Nelle piccole aziende è comune che il membro dell'organo statutario agisca anche come persona designata. Questo non significa che le responsabilità si uniscono — entrambi i ruoli devono essere chiaramente descritti nell'SVZ.
Come mantenere l'SVZ aggiornato
L'SVZ non è un documento una tantum. È un sistema vivo che deve riflettere lo stato attuale della tua azienda e i cambiamenti nella legislazione. La FIU presta molta attenzione durante le ispezioni al fatto che l'SVZ sia attuale — o se è un documento creato una volta e lasciato invariato da allora.
Dovresti rivedere e aggiornare l'SVZ quando:
- Ci sono cambiamenti nella legislazione AML o nella guida della FIU
- Espandi o modifichi le tue attività commerciali o il portafoglio prodotti
- Entri in nuovi mercati geografici o acquisisci nuove categorie di clienti
- Cambiano i responsabili (persona designata, membro dell'organo statutario)
- La FIU o un'altra autorità conduce un'ispezione e emette raccomandazioni
- Effettui un audit interno AML e identifichi lacune
Come standard minimo, si consiglia una revisione approfondita dell'SVZ almeno una volta all'anno, con ogni revisione documentata — inclusi la data e la persona che l'ha effettuata.
Errori più comuni nella creazione di un SVZ
Durante le ispezioni della FIU compaiono ripetutamente gli stessi tipi di carenze. Conoscere gli errori più comuni ti aiuterà a evitarli:
- Modello generico senza personalizzazione: Un modello scaricato che non è stato adattato al tipo di attività specifico non soddisfa il requisito legale di proporzionalità. L'FIU lo identifica immediatamente.
- Valutazione del rischio mancante o puramente formale: Una valutazione del rischio che afferma semplicemente che il rischio è basso, senza alcuna giustificazione o metodologia, è inadeguata.
- Documento obsoleto: Un SVZ valido dal 2021 che non è stato aggiornato in seguito agli emendamenti alla Legge o ai cambiamenti nell'attività sarà valutato come non conforme durante un'ispezione.
- Procedure non realistiche: L'SVZ descrive procedure che l'azienda in realtà non segue nella pratica. Una discrepanza tra il documento e la realtà è una bandiera rossa per l'FIU.
- Nessuna prova di formazione: L'SVZ descrive la formazione dei dipendenti e delle persone in una posizione comparabile, ma l'azienda non può dimostrare che la formazione avvenga effettivamente — nessun record, foglio di presenza o test.
- Designazione poco chiara del responsabile: L'SVZ non specifica la persona responsabile di AML, o quella persona non è registrata presso l'FIU.
Sanzioni per un SVZ mancante o inadeguato
L'assenza di un sistema di politiche interne o gravi carenze in esso costituiscono un reato amministrativo secondo la legge AML. L'FIU può imporre una multa fino a CZK 1 milione (circa EUR 40K) per questo. In casi più gravi o violazioni ripetute, le sanzioni possono essere più elevate — o può essere imposto un divieto di svolgimento dell'attività pertinente.
Panoramica delle sanzioni rilevanti:
- Assenza di SVZ o valutazione del rischio: multa fino a CZK 1 milione (circa EUR 40K)
- Mancata designazione della persona designata: sanzione fino a 1.000.000 CZK
- Identificazione inadeguata del cliente: multa fino a CZK 10 milioni (circa EUR 400K)
- Incapacità di provare la formazione: multa fino a CZK 5 milioni (circa EUR 200K)
- Mancata segnalazione di una transazione sospetta: multa fino a CZK 5 milioni (circa EUR 200K), fino a CZK 30 milioni (circa EUR 1,2M) per reati ripetuti
Importante: le sanzioni non richiedono la prova che l'azienda ha facilitato il riciclaggio di denaro. È sufficiente stabilire che gli obblighi non sono stati formalmente adempiuti — anche se non è emerso alcun caso sospetto.
Conclusione e raccomandazioni pratiche
Il sistema di politiche interne AML è un obbligo legale per ogni soggetto obbligato — e la tua migliore linea di difesa durante un'ispezione dell'FIU. Un SVZ ben preparato che riflette veramente la tua attività e viene mantenuto aggiornato ti dà fiducia: sai cosa fare e puoi provarlo.
Raccomandazioni pratiche in sintesi:
- Crea il tuo SVZ su misura per la tua attività — non da un modello generico.
- Assicurati che l'SVZ copra tutte le aree legalmente richieste — dalla valutazione del rischio alla formazione.
- Designa e registra la persona designata presso l'FIU.
- Conducere e documentare la formazione regolare dei dipendenti e delle persone in posizione comparabile.
- Rivedere l'SVZ almeno una volta all'anno e ad ogni cambiamento rilevante.
- Garantire che tutti i passaggi AML siano documentabili — dall'identificazione del cliente alla valutazione del rischio.
<software>AML PROOF</software> ti aiuta a gestire l'intero SVZ — dalla valutazione del rischio all'identificazione del cliente fino alla preparazione per l'ispezione FIU — in uno strumento completo.