4.2 Ruolo e responsabilità del responsabile antiriciclaggio

Nel decidere se nominare il responsabile antiriciclaggio ai sensi dell’articolo 8, paragrafo 4, della direttiva (UE) 2015/849, l’organo di gestione dovrebbe tenere conto dell’ampiezza e della complessità delle operazioni dell’ente creditizio o dell’istituto finanziario e della sua esposizione ai rischi di ML/TF conformemente ai criteri di cui alla sezione 4.2.2.

Il responsabile antiriciclaggio dovrebbe essere nominato a livello dirigenziale. Dovrebbe disporre di autorità sufficiente per proporre di propria iniziativa all’organo di gestione nella sua funzione di supervisione strategica e di gestione tutte le misure necessarie o appropriate al fine di garantire la conformità e l’efficacia delle misure interne in materia di AML/CFT.

In caso di nomina del responsabile antiriciclaggio ai sensi dell’articolo 8, paragrafo 4, della direttiva (UE) 2015/849, l’organo di gestione dovrebbe stabilire se tale ruolo sarà svolto a tempo pieno o se possa essere svolto da un dipendente o un funzionario in aggiunta alle funzioni che questi già assolve all’interno dell’ente creditizio o dell’istituto finanziario.

Se le funzioni del responsabile antiriciclaggio devono essere affidate a un dipendente o un funzionario che svolge già altre mansioni o funzioni all’interno dell’ente creditizio o dell’istituto finanziario, l’organo di gestione dovrebbe individuare e considerare possibili conflitti di interesse e adottare le misure necessarie per prevenirli o, qualora ciò non sia possibile, per gestirli. L’organo di gestione dovrebbe garantire che la persona incaricata possa dedicare un tempo sufficiente allo svolgimento delle funzioni di responsabile antiriciclaggio.

Il responsabile antiriciclaggio dovrebbe mettersi a disposizione dell’autorità competente e dell’UIF su loro richiesta; pertanto di norma il rapporto lavorativo dovrebbe essere instaurato nel paese in cui è stabilito l’ente creditizio o l’istituto finanziario.

Laddove ciò sia proporzionato al rischio di ML/TF cui l’ente creditizio o l’istituto finanziario è esposto, e nella misura consentita dal diritto nazionale, il rapporto lavorativo del responsabile antiriciclaggio può essere instaurato in un altro paese. In tali casi l’ente creditizio o l’istituto finanziario dovrebbe porre in essere i sistemi e i controlli necessari per garantire che il responsabile antiriciclaggio abbia accesso a tutte le informazioni e a tutti i sistemi richiesti per lo svolgimento dei suoi compiti, e sia disponibile a incontrare senza indugio l’UIF locale e l’autorità competente. Inoltre, l’ente creditizio o l’istituto finanziario dovrebbe essere in grado di dimostrare alla propria autorità competente che le misure che ha posto in essere a tal fine sono adeguate ed efficaci.

Il responsabile antiriciclaggio dovrebbe poter affidare e delegare i propri compiti, quali indicati nella sezione 4.2.4, ad altri funzionari e dipendenti operanti sotto la sua direzione e supervisione, a condizione che la responsabilità finale dell’effettivo adempimento di tali compiti ricada sul responsabile antiriciclaggio.

Il responsabile antiriciclaggio dovrebbe far parte della seconda linea di difesa e, pertanto, di una funzione indipendente; inoltre, dovrebbero essere soddisfatte le condizioni seguenti:

• a) il responsabile antiriciclaggio dovrebbe essere indipendente dalle linee o dalle unità di business che controlla e non può essere subordinato a una persona responsabile della gestione di tali linee o unità;
• b) l’ente creditizio o l’istituto finanziario ha posto in essere procedure interne atte ad assicurare che il responsabile antiriciclaggio abbia in ogni momento accesso diretto e illimitato a tutte le informazioni necessarie per lo svolgimento della sua funzione. La decisione sulle informazioni alle quali egli deve poter accedere a tal fine dovrebbe spettare esclusivamente al responsabile antiriciclaggio;
• c) qualora si verifichi un incidente significativo, il responsabile antiriciclaggio dovrebbe essere in grado di informare e contattare direttamente l’organo di gestione nella sua funzione di supervisione strategica o l’alta dirigenza, qualora un organo di gestione non sia stato istituito.

4.2.2. Criteri di proporzionalità per la nomina di un responsabile antiriciclaggio distinto

L’ente creditizio o l’istituto finanziario dovrebbe nominare un responsabile antiriciclaggio distinto, tranne nel caso in cui sia un operatore in proprio o abbia un numero molto limitato di dipendenti o qualora le motivazioni di cui al paragrafo 33 giustifichino la mancata nomina.

Se l’organo di gestione decide di non nominare un responsabile antiriciclaggio distinto, dovrebbe motivare e documentare tale decisione facendo esplicito riferimento perlomeno ai criteri seguenti:

• a) la natura delle attività dell’ente creditizio o dell’istituto finanziario e dei rischi di ML/TF associati, tenendo conto dell’esposizione geografica, della clientela, dei canali di distribuzione e dei prodotti e servizi offerti;
• b) le dimensioni delle sue operazioni nel paese considerato, il numero dei suoi clienti, il numero e il volume delle sue operazioni e il numero dei suoi dipendenti (equivalenti a tempo pieno);
• c) la forma giuridica dell’ente creditizio o dell’istituto finanziario, compresa la sua eventuale appartenenza a un gruppo.

Qualora non sia nominato un responsabile antiriciclaggio distinto, l’ente creditizio o l’istituto finanziario dovrebbe provvedere affinché i compiti del responsabile antiriciclaggio (cfr. più avanti la sezione 4.2.4 Compiti e ruolo del responsabile antiriciclaggio ) siano assolti dal membro dell’organo di gestione di cui alla sezione 4.1.3 o dall’alto dirigente responsabile dell’AML/CFT di cui alla sezione 4.1.4, ovvero mediante esternalizzazione delle funzioni operative come indicato nella sezione 4.2.6, oppure mediante una combinazione di queste due opzioni.

Se il responsabile antiriciclaggio opera per due o più entità del gruppo o se gli sono affidati altri compiti, l’ente creditizio o l’istituto finanziario dovrebbero garantire che tali incarichi multipli non impediscano al responsabile antiriciclaggio di svolgere efficacemente le proprie funzioni. Il responsabile antiriciclaggio dovrebbe poter operare per entità diverse soltanto se queste fanno parte del medesimo gruppo. Tuttavia, in considerazione della natura specifica del settore degli organismi d’investimento collettivo (⁵ ), il responsabile antiriciclaggio potrebbe essere al servizio di più fondi.

4.2.3. Idoneità, competenze ed esperienza

In relazione all’indagine sui dipendenti di cui all’articolo 8, paragrafo 4, lettera a), della direttiva (UE) 2015/849, l’ente creditizio o l’istituto finanziario dovrebbe valutare, prima della nomina, se il responsabile antiriciclaggio possieda:

• a) il profilo reputazionale, l’onestà e l’integrità necessarie per svolgere la propria funzione;
• b) competenze ed esperienza adeguate concernenti l’AML/CFT, compresa la conoscenza del quadro giuridico e normativo applicabile in materia di AML/CFT, e l’attuazione delle politiche, dei controlli e delle procedure in materia di AML/CFT;

(⁵ ) Un organismo d’investimento collettivo (OIC) è un OICVM quale definito all’articolo 1, paragrafo 2, della direttiva 2009/65/CE del Parlamento europeo e del Consiglio, del 13 luglio 2009, concernente il coordinamento delle disposizioni legislative, regolamentari e amministrative in materia di taluni organismi d’investimento collettivo in valori mobiliari (OICVM), o un FIA quale definito all’articolo 4, paragrafo 1, lettera a), della direttiva 2011/61/UE.

• c) sufficienti conoscenze e comprensione dei rischi di ML/TF associati al modello di business dell’ente creditizio o dell’istituto finanziario, tali da consentirgli di adempiere efficacemente la propria funzione;
• d) esperienze pertinenti riguardanti l’individuazione, la valutazione e la gestione dei rischi di ML/TF;
• e) tempo e posizione gerarchica sufficienti per svolgere le proprie funzioni in modo efficace, indipendente e autonomo.

L’ente creditizio o l’istituto finanziario dovrebbe garantire che la funzione antiriciclaggio operi su base continuativa nell’ambito della sua gestione della continuità operativa complessiva. Dovrebbe far sì che il responsabile antiriciclaggio possa sospendere le proprie funzioni e sia disponibile un suo delegato in possesso di competenze ed esperienza adeguate per assumere le funzioni del responsabile antiriciclaggio nel caso in cui questi sia assente per un periodo di tempo

• o ne sia messa in dubbio l’integrità.

4.2.4. Compiti e ruolo del responsabile antiriciclaggio

Il ruolo e le responsabilità del responsabile antiriciclaggio dovrebbero essere definiti e documentati chiaramente.

• a. Elaborazione di un quadro di valutazione dei rischi

Ai fini dell’individuazione e della valutazione dei rischi di cui all’articolo 8, paragrafo 1, della direttiva (UE) 2015/849, il responsabile antiriciclaggio dovrebbe elaborare e tenere un quadro di valutazione dei rischi di ML/TF per le valutazioni dei rischi di ML/TF a livello di singolo rapporto e di area di attività in linea con gli Orientamenti dell’ABE relativi ai fattori di rischio di ML/TF (⁶ ).

Il responsabile antiriciclaggio dovrebbe comunicare le risultanze della valutazione dei rischi di ML/TF su base individuale o di area di attività all’organo di gestione, tramite il membro dell’organo di gestione, o all’alto dirigente responsabile dell’AML/CFT, o direttamente qualora lo reputi necessario. Il responsabile antiriciclaggio dovrebbe proporre all’organo di gestione le misure da adottare per mitigare tali rischi. L’introduzione di un prodotto o un servizio nuovo o di modifiche rilevanti a prodotti o servizi esistenti, lo sviluppo di un nuovo mercato o l’avvio di nuove attività dovrebbero iniziare soltanto dopo che sono diventate disponibili e sono state applicate efficacemente risorse adeguate per comprendere e gestire i rischi associati.

• b. Elaborazione di politiche e procedure

Il responsabile antiriciclaggio dovrebbe garantire che politiche e procedure adeguate siano poste in essere, aggiornate e attuate efficacemente su base continuativa. Le politiche e le procedure dovrebbero essere proporzionate ai rischi di ML/TF individuati dall’ente creditizio o dall’istituto finanziario. Il responsabile antiriciclaggio dovrebbe quanto meno:

(⁶ ) Orientamenti riveduti dell’ABE relativi ai fattori di rischio di ML/TF (EBA/GL/2021/02).

• a) stabilire le politiche e le procedure in materia di AML/CFT che l’ente creditizio o l’istituto finanziario dovrebbe attuare, nonché i controlli e i sistemi da applicare ai sensi dell’articolo 8, paragrafo 4, della direttiva (UE) 2015/849;
• b) garantire che le politiche e le procedure in materia di AML/CFT siano attuate efficacemente dall’ente creditizio o dall’istituto finanziario, come spiegato nella sezione d) relativa al controllo della conformità;
• c) garantire che le politiche e le procedure in materia di AML/CFT siano riesaminate periodicamente e modificate o aggiornate laddove necessario;
• d) proporre le modalità per affrontare eventuali modifiche dei requisiti giuridici o regolamentari
• o dei rischi di ML/TF e per ovviare alle lacune o alle carenze individuate mediante attività di controllo o supervisione.

Le politiche, i controlli e le procedure di cui all’articolo 8, paragrafo 4, della direttiva (UE) 2015/849 dovrebbero comprendere quanto meno:

• a) il metodo di valutazione dei rischi di ML/TF su base individuale e di area di attività;
• b) l’adeguata verifica della clientela, compresa quella prevista dagli Orientamenti riveduti dell’ABE relativi ai fattori di rischio di ML/TF (⁷ ), e una procedura per l’accettazione della clientela, come spiegato più avanti nella sezione c relativa alla clientela, in particolare per i clienti ad alto rischio;
• c) la segnalazione interna (analisi di operazioni anomale) e la trasmissione all’UIF di segnalazioni di operazioni sospette;
• d) la tenuta dei registri;
• e) disposizioni per il controllo della conformità in materia di AML/CFT, ai sensi della sezione d) sul controllo della conformità.
• c. Clientela, compresi i clienti ad alto rischio

Prima di adottare una decisione definitiva sull’accettazione di nuovi clienti ad alto rischio o sul mantenimento di rapporti d’affari con clienti ad alto rischio, l’alta dirigenza dovrebbe consultare il responsabile antiriciclaggio conformemente alle politiche interne dell’ente creditizio o dell’istituto finanziario in materia di AML/CFT basate sul rischio, in particolare nei casi in cui l’approvazione dell’alta dirigenza sia espressamente richiesta ai sensi della direttiva (UE) 2015/849. Qualora decida di non seguire il parere del responsabile antiriciclaggio, l’alta dirigenza dovrebbe

(⁷ ) Orientamenti dell’ABE ai sensi dell’articolo 17 e dell’articolo 18, paragrafo 4, della direttiva (UE) 2015/849 sulle misure di adeguata verifica della clientela e sui fattori che gli enti creditizi e gli istituti finanziari dovrebbero prendere in considerazione nel valutare i rischi di riciclaggio e finanziamento del terrorismo associati ai singoli rapporti continuativi e alle operazioni occasionali («Orientamenti relativi ai fattori di rischio di ML/TF») ai sensi dell’articolo 17 e dell’articolo 18, paragrafo 4, della direttiva (UE) 2015/849 (EBA/GL/2021/02). debitamente mettere a verbale tale decisione e valutare le sue proposte per mitigare i rischi segnalati dal responsabile antiriciclaggio.

• d. Controllo della conformità

In quanto seconda linea di difesa, il responsabile antiriciclaggio dovrebbe occuparsi di verificare se le misure, le politiche, i controlli e le procedure posti in essere dall’ente creditizio o dall’istituto finanziario sono conformi ai suoi obblighi in materia di AML/CFT. Inoltre, il responsabile antiriciclaggio dovrebbe supervisionare l’effettiva attuazione dei controlli relativi all’AML/CFT da parte delle linee di business e delle unità interne (prima linea di difesa).

Il responsabile antiriciclaggio dovrebbe garantire che il quadro di AML/CFT sia aggiornato laddove necessario e, in ogni caso, qualora siano riscontrate carenze, emergano nuovi rischi o sia mutato il quadro giuridico o normativo.

Il responsabile antiriciclaggio dovrebbe raccomandare all’organo di gestione le misure correttive da adottare per ovviare alle debolezze individuate nel quadro di AML/CFT dell’ente creditizio o dell’istituto finanziario, comprese quelle riscontrate dalle autorità competenti o da revisori interni o esterni.

• e. Segnalazione all’organo di gestione

Il responsabile antiriciclaggio dovrebbe consigliare l’organo di gestione in merito alle misure da adottare per garantire la conformità a leggi, norme, regolamenti e standard applicabili, nonché dare una propria valutazione del possibile impatto di eventuali modifiche del contesto giuridico o normativo sulle attività e sul quadro di conformità dell’ente creditizio o dell’istituto finanziario.

Il responsabile antiriciclaggio dovrebbe sottoporre all’attenzione del membro dell’organo di gestione o dell’alto dirigente responsabile dell’AML/CFT:

• a) le aree in cui è opportuno attuare o migliorare i controlli in materia di AML/CFT;
• b) i miglioramenti appropriati proposti in relazione al precedente punto a);
• c) una relazione sullo stato di avanzamento dei programmi correttivi rilevanti, almeno una volta all’anno nell’ambito della relazione di attività di cui al paragrafo 50 e su base ad hoc o periodicamente a seconda dei miglioramenti, per fornire informazioni sul livello di esposizione ai rischi di ML/TF, e delle misure adottate o raccomandate per ridurre e gestire efficacemente tali rischi;
• d) l’eventuale inadeguatezza delle risorse umane e tecniche assegnate alla funzione antiriciclaggio e la necessità di potenziarle.

L’ente creditizio o l’istituto finanziario deve essere pronto a condividere con l’autorità competente una copia della relazione di attività di cui al paragrafo 50.

Il responsabile antiriciclaggio dovrebbe preparare una relazione di attività almeno una volta all’anno. Tale relazione dovrebbe essere proporzionata all’ampiezza e alla natura delle attività dell’ente creditizio o dell’istituto finanziario. Se opportuno, la relazione di attività può basarsi su informazioni già inviate alle autorità nazionali competenti sotto forma di altre relazioni. La relazione di attività dovrebbe includere almeno le informazioni indicate di seguito.

1) Sulla valutazione dei rischi di ML/TF:

• a) una sintesi delle principali risultanze della valutazione dei rischi di ML/TF a livello di area di attività come indicato nell’articolo 8 della direttiva (UE) 2015/849, se un aggiornamento in tal senso è stato effettuato nell’anno precedente, e la conferma se l’autorità competente ne avesse richiesto la presentazione per l’anno di riferimento (⁸ );
• b) una descrizione di eventuali modifiche correlate al metodo utilizzato dall’ente creditizio o dall’istituto finanziario per valutare il profilo di rischio individuale del cliente, evidenziando in quale misura tali modifiche siano in linea con la valutazione dei rischi di ML/TF a livello di area di attività dell’ente creditizio o dell’istituto finanziario;
• c) la classificazione dei clienti in base alla categoria di rischio, compreso il numero di fascicoli, suddivisi per categoria di rischio, riguardanti i clienti per i quali sono in sospeso revisioni e aggiornamenti dell’adeguata verifica della clientela;
• d) informazioni e dati statistici riguardanti:

2) Sulle risorse:

• e) una breve descrizione della struttura organizzativa dell’AML/CFT e, se opportuno, di eventuali modifiche rilevanti apportate nell’anno precedente, con le pertinenti motivazioni;
• f) una breve descrizione delle risorse umane e tecniche assegnate dall’ente creditizio o dall’istituto finanziario alla funzione antiriciclaggio;
• g) se applicabile, l’elenco dei processi di AML/CFT esternalizzati, con una descrizione della supervisione eseguita dall’ente creditizio o dall’istituto finanziario in relazione a tali attività.

(⁸ ) Cfr. gli orientamenti dell’ABE relativi ai fattori di rischio per quanto concerne l’esecuzione delle valutazioni dei rischi (EBA/GL/2021/02). 3) Sulle politiche e le procedure:

• h) una sintesi delle misure e delle procedure importanti adottate nel corso dell’anno, compresa una breve descrizione delle raccomandazioni, delle problematiche, delle carenze e delle irregolarità individuate nell’anno di riferimento;
• i) una descrizione delle azioni di controllo della conformità intraprese per valutare l’attuazione delle politiche, dei controlli e delle procedure dell’ente creditizio o dell’istituto finanziario in materia di AML/CFT da parte dei dipendenti, degli agenti, dei distributori e dei prestatori di servizi dell’ente creditizio o dell’istituto finanziario, nonché l’adeguatezza degli strumenti di controllo impiegati dall’ente creditizio o dall’istituto finanziario per finalità di AML/CFT;
• j) una descrizione delle attività formative in materia di AML/CFT completate e del piano formativo per l’anno seguente;
• k) un piano di attività della funzione antiriciclaggio per l’anno successivo;
• l) le risultanze delle revisioni interne ed esterne pertinenti all’AML/CFT e gli eventuali progressi compiuti dall’ente creditizio o dall’istituto finanziario a fronte di tali risultanze;
• m) le attività di vigilanza, comprese le comunicazioni con l’ente creditizio o l’istituto finanziario, svolte dall’autorità competente, le segnalazioni presentate, le violazioni individuate e le sanzioni imposte, unitamente alle azioni intraprese dall’ente creditizio o dall’istituto finanziario per porre rimedio alle violazioni individuate, e la fase in cui si trova l’azione correttiva, fatta salva ogni altra segnalazione periodica che potrebbe essere richiesta in caso di attività di vigilanza o di azione correttiva.
• f. Segnalazione di operazioni sospette

In relazione all’obbligo del responsabile antiriciclaggio previsto dall’articolo 33, paragrafo 2, della direttiva (UE) 2015/849 di fornire le informazioni di cui al paragrafo 1 dell’articolo in questione, il responsabile dovrebbe accertarsi che gli altri membri del personale la cui assistenza è richiesta per l’adempimento di taluni aspetti di questa funzione possiedano le competenze, le conoscenze e l’idoneità necessarie per prestare tale assistenza. Dovrebbero essere presi in debita considerazione la sensibilità e la riservatezza delle informazioni che possono essere rivelate nonché gli obblighi di riservatezza che incombono all’ente creditizio o all’istituto finanziario.

Quando fornisce informazioni all’UIF ai sensi dell’articolo 33, paragrafo 2, della direttiva (UE) 2015/849, il responsabile antiriciclaggio dovrebbe accertarsi concretamente che esse siano trasmesse in un formato e con mezzi conformi a eventuali orientamenti emanati dall’UIF nazionale. Nel contesto del ruolo attribuitogli dalla disposizione citata, il responsabile antiriciclaggio dovrebbe:

• a) comprendere il funzionamento e la struttura del sistema di monitoraggio delle operazioni, inclusi gli scenari contemplati in linea con i rischi di ML/TF cui è esposto l’ente creditizio o l’istituto finanziario e con le procedure interne per la gestione delle situazioni di allerta;
• b) ricevere segnalazioni dai dipendenti, dagli agenti o dai distributori dell’ente creditizio o dell’istituto finanziario, ovvero segnalazioni generate altrimenti dai sistemi dell’ente creditizio
• o dell’istituto finanziario, concernenti certezze o sospetti dell’esistenza di ML/TF oppure persone che potrebbero essere state, sono o potrebbero essere collegate all’ML/TF;
• c) garantire che tali segnalazioni siano prese in considerazione tempestivamente al fine di stabilire se sussista la certezza o il sospetto che i fondi sono proventi di attività criminose, tra cui l’ML/TF,
• o che una persona può essere stata, è o può essere collegata all’ML/TF; il responsabile antiriciclaggio dovrebbe inoltre definire, documentare e attuare un processo di definizione delle priorità per le segnalazioni interne ricevute, affinché le segnalazioni interne riguardanti situazioni di rischio particolarmente elevato siano trattate con la dovuta urgenza;
• d) nel valutare le segnalazioni ricevute, tenere un registro di tutte le valutazioni eseguite e di tutti i riscontri successivamente pervenuti dall’UIF, per migliorare l’individuazione di operazioni sospette future;
• e) garantire che la certezza o il sospetto di ML/TF o del coinvolgimento di una persona nell’ML/TF sia tempestivamente segnalato all’UIF presentando, insieme alla segnalazione, i fatti, gli eventi
• o le informazioni e le documentazioni necessari per comprovare il sospetto o l’esistenza di ragionevoli motivi per sospettare che sussista un caso di ML/TF;
• f) garantire una risposta pronta ed esauriente a tutte le richieste di informazioni avanzate dall’UIF;
• g) valutare periodicamente i motivi per cui le situazioni di allerta relative ad attività o operazioni anomale non hanno generato segnalazioni interne, al fine di determinare se sussistano problematiche da risolvere per garantire un’individuazione efficace di attività o operazioni sospette.

Il responsabile antiriciclaggio dovrebbe garantire che i controlli interni dell’ente creditizio

• o dell’istituto finanziario gli consentiranno di conformarsi agli orientamenti emanati dall’UIF.

Gli enti creditizi o gli istituti finanziari dovrebbero far presente ai propri dirigenti e dipendenti l’obbligo di attenersi strettamente al divieto di comunicare ai clienti o a terzi che è in corso o potrebbe iniziare un’analisi dell’ML/TF, e di limitare l’accesso a tali informazioni alle persone che ne hanno bisogno per l’adempimento delle proprie funzioni. Benché non sussista un obbligo di riservatezza applicabile all’interno dell’ente creditizio o dell’istituto finanziario, il responsabile antiriciclaggio dovrebbe nondimeno selezionare accuratamente le persone operanti nell’ente creditizio o nell’istituto finanziario cui fornire informazioni sulle segnalazioni sottoposte all’UIF o sulle richieste di informazioni pervenute a quest’ultima. La procedura di segnalazione dovrebbe essere riservata e l’identità delle persone coinvolte nella preparazione e trasmissione delle segnalazioni dovrebbe essere tutelata dalle policy in materia di protezione dei dati personali.

• g. Formazione e sensibilizzazione

Conformemente all’obbligo di cui all’articolo 46, paragrafo 1, della direttiva (UE) 2015/849 e come specificato negli orientamenti riveduti dell’ABE relativi ai fattori di rischio di ML/TF (⁹ ), il responsabile antiriciclaggio dovrebbe informare debitamente il personale sui rischi di ML/TF cui è esposto l’ente creditizio o l’istituto finanziario, compresi i metodi, le tendenze e le tipologie di ML/TF e l’approccio basato sul rischio applicato dall’ente creditizio o dall’istituto finanziario per mitigare tali rischi. Queste informazioni possono essere fornite in varie modalità, ad esempio mediante circolari aziendali, intranet, riunioni.

Il responsabile antiriciclaggio dovrebbe coordinare la preparazione e l’attuazione di un programma di formazione continua in materia di AML/CFT. In collaborazione con il dipartimento delle risorse umane dell’ente creditizio o dell’istituto finanziario, dovrebbe essere documentato e menzionato, nella relazione di attività inviata all’organo di gestione ai sensi del paragrafo 50, un piano annuale di formazione e istruzione del personale.

Il responsabile antiriciclaggio dovrebbe garantire che le procedure di segnalazione interna adottate dall’ente creditizio o dall’istituto finanziario siano portate a conoscenza di tutto il personale.

Per le finalità dell’articolo 46, paragrafo 1, della direttiva (UE) 2015/849, il responsabile antiriciclaggio dovrebbe valutare, oltre all’istruzione di base, le esigenze di formazione specifica all’interno dell’ente creditizio o dell’istituto finanziario e garantire che sia fornita un’adeguata formazione teorica e pratica alle persone esposte a differenti livelli di rischi di ML/TF, quali:

• a) le persone operanti nella funzione antiriciclaggio sotto la responsabilità del responsabile antiriciclaggio;
• b) le persone a contatto con i clienti o incaricate di eseguire le loro operazioni (dipendenti, agenti e distributori);
• c) le persone responsabili dell’elaborazione di procedure o strumenti interni applicabili ad attività che potrebbero essere sensibili al rischio di ML/TF.

Il contenuto dei programmi di formazione specifica erogati a persone con differenti livelli di esposizione ai rischi di ML/TF dovrebbe essere adattato in funzione del rischio, come descritto negli orientamenti riveduti dell’ABE relativi ai fattori di rischio di ML/TF (¹⁰ ).

Il responsabile antiriciclaggio dovrebbe stabilire indicatori di valutazione per verificare l’efficacia della formazione erogata.

Qualora l’ente creditizio o l’istituto finanziario adotti un programma di formazione e sensibilizzazione sviluppato all’estero, ad esempio dalla sua sede sociale o dalla capogruppo, il

(⁹ ) Orientamento 6: Formazione sugli orientamenti riveduti dell’ABE relativi ai fattori di rischio di ML/TF (EBA/GL/2021/02). (¹⁰ ) Orientamento 6: Formazione sugli orientamenti riveduti dell’ABE relativi ai fattori di rischio di ML/TF (EBA/GL/2021/02). responsabile antiriciclaggio dovrebbe accertarsi che il programma sia adattato alle disposizioni giuridiche e regolamentari applicabili a livello nazionale, nonché basato sulle tipologie di ML/TF e sulle attività specifiche dell’ente creditizio o dell’istituto finanziario.

In caso di esternalizzazione di talune attività formative a un prestatore di servizi, il responsabile antiriciclaggio dovrebbe accertarsi che i) il prestatore di servizi possieda le conoscenze in materia di AML/CFT richieste per garantire la qualità della formazione da erogare, ii) siano stabilite e rispettate le condizioni di gestione dell’esternalizzazione e iii) il contenuto della formazione sia adattato alle specificità dell’ente creditizio o dell’istituto finanziario interessato.

4.2.5 Rapporto tra la funzione antiriciclaggio e altre funzioni

Sia la funzione di conformità sia la funzione indipendente antiriciclaggio dovrebbero essere inserite nella seconda linea di difesa degli enti creditizi e degli istituti finanziari.

Se la funzione antiriciclaggio è diversa dalla funzione di conformità generale, gli enti creditizi o gli istituti finanziari dovrebbero attenersi alle disposizioni della presente sezione, in aggiunta a quelle degli orientamenti delle AEV sulla governance interna (¹¹ ) per un processo decisionale trasparente e documentato e una chiara attribuzione delle responsabilità e dell’autorità nel quadro di controlli interni.

La funzione di revisione indipendente di cui all’articolo 8, paragrafo 4, lettera b), della direttiva (UE) 2015/849 non dovrebbe essere fusa con la funzione antiriciclaggio.

La funzione di gestione del rischio, nel caso in cui l’ente creditizio o l’istituto finanziario disponga di tale funzione, e il comitato di rischio, laddove istituito, dovrebbero avere accesso alle informazioni e ai dati rilevanti che sono necessari per svolgere il rispettivo ruolo, tra cui le informazioni e i dati ricevuti dalle pertinenti funzioni di controllo interno e a livello societario, come la conformità ai requisiti in materia di AML/CFT.

Il responsabile della gestione del rischio e il responsabile antiriciclaggio dovrebbero sviluppare una buona collaborazione per lo scambio di informazioni. Il responsabile antiriciclaggio dovrebbe collaborare con la funzione di rischio al fine di definire i metodi di AML/CFT in modo coerente con la strategia della gestione del rischio dell’ente creditizio o dell’istituto finanziario.

4.2.6 Esternalizzazione delle funzioni operative del responsabile antiriciclaggio

In aggiunta agli orientamenti delle AEV sull’esternalizzazione (¹² ), laddove applicabili, e qualora l’esternalizzazione delle funzioni operative del responsabile antiriciclaggio sia consentita

(¹¹ ) Orientamenti dell’ABE sulla governance interna ai sensi della direttiva 2013/36/UE (EBA/GL/2021/05); Orientamenti dell’ESMA su alcuni aspetti dei requisiti della funzione di controllo della conformità di cui alla MiFID II (ESMA35-36-1946); Orientamenti dell’EIOPA sul sistema di governance (EIOPA-BoS-14/253 IT).

(¹² ) Orientamenti dell’ABE in materia di esternalizzazione (EBA/GL/2019/02); Orientamenti dell’EIOPA in materia di esternalizzazione a fornitori di servizi cloud (EIOPA-BoS-20-002); Orientamenti dell’ESMA in materia di esternalizzazione a fornitori di servizi cloud (ESMA50-157-2403). dal diritto nazionale, gli enti creditizi o gli istituti finanziari dovrebbero tenere conto dei seguenti principi chiave:

• a. la responsabilità finale per la conformità agli obblighi giuridici e regolamentari spetta all’ente creditizio o all’istituto finanziario, indipendentemente dall’eventuale esternalizzazione di funzioni specifiche;
• b. i diritti e gli obblighi dell’ente creditizio o dell’istituto finanziario e del prestatore di servizi dovrebbero essere attribuiti e definiti chiaramente in un accordo scritto;
• c. l’ente creditizio o l’istituto finanziario che si avvalgono di un accordo di esternalizzazione dovrebbero rimanere responsabili del controllo e della verifica costante della qualità del servizio fornito;
• d. l’esternalizzazione infragruppo dovrebbe essere soggetta al medesimo quadro regolamentare previsto per l’esternalizzazione a prestatori di servizi al di fuori del gruppo (¹³ );
• e. l’esternalizzazione di funzioni non può comportare la delega delle responsabilità dell’organo di gestione. Le decisioni strategiche in materia di AML/CFT non dovrebbero essere esternalizzate. Tali decisioni comprendono, in particolare:
• i. l’approvazione della valutazione del rischio di ML/TF a livello di area di attività;
• ii. la decisione sull’organizzazione interna del quadro di AML/CFT dell’ente creditizio o dell’istituto finanziario;
• iii. l’adozione di politiche e procedure interne in materia di AML/CFT;
• iv. l’approvazione del metodo applicato per determinare il rischio di ML/TF insito in un determinato rapporto d’affari e l’attribuzione del profilo di rischio;
• v. l’approvazione dei criteri che l’ente creditizio o l’istituto finanziario deve applicare per individuare le operazioni sospette o anomale in relazione alle sue finalità di monitoraggio e/o segnalazione costanti.

Gli enti creditizi e gli istituti finanziari rimangono i responsabili finali della decisione di segnalare operazioni sospette all’UIF, anche laddove l’individuazione e la segnalazione di operazioni sospette è esternalizzata.

Gli enti creditizi e gli istituti finanziari dovrebbero vigilare sul processo di esternalizzazione, conformemente agli orientamenti dell’ABE in materia di esternalizzazione, quando esternalizzano a un prestatore di servizi i compiti operativi della funzione del responsabile antiriciclaggio. Sono qui comprese l’individuazione e la valutazione dei rischi rilevanti dell’accordo di esternalizzazione, la motivazione della decisione di esternalizzare alla luce degli obiettivi perseguiti (se lo scopo è garantire un’assegnazione ottimale delle risorse per l’AML/CFT nell’intero gruppo ovvero sulla base dei criteri di proporzionalità), l’effettuazione di un’adeguata verifica del potenziale prestatore di servizi e la contrattualizzazione dell’accordo di esternalizzazione.

(¹³ ) Paragrafo 27 delle sezioni generali degli orientamenti dell’ABE in materia di esternalizzazione, del 25 febbraio 2019 (EBA/GL/2019/02).

L’ente creditizio o l’istituto finanziario che esternalizza compiti della funzione antiriciclaggio dovrebbe affidare al proprio responsabile antiriciclaggio i seguenti incarichi:

• i) monitorare l’esecuzione del contratto da parte del prestatore di servizi, per garantire che l’esternalizzazione consenta effettivamente all’ente creditizio o all’istituto finanziario di assolvere tutti i propri obblighi giuridici e regolamentari in materia di AML/CFT;
• ii) effettuare controlli periodici sull’adesione del prestatore di servizi agli impegni derivanti dall’accordo. In linea con l’analisi documentata, i controlli periodici dovrebbero garantire che la funzione antiriciclaggio sia svolta mediante strumenti atti a testare e monitorare regolarmente e occasionalmente il corretto adempimento degli obblighi che incombono al prestatore di servizi. Per quanto riguarda i dati dei clienti, la funzione antiriciclaggio e l’autorità competente dovrebbero avere il diritto di accedere ai sistemi/alle banche dati del prestatore di servizi;
• iii) inviare all’organo di gestione segnalazioni sull’esternalizzazione nel contesto della relazione di attività del responsabile antiriciclaggio, oppure ogniqualvolta le circostanze lo richiedano, in particolare al fine di garantire l’attuazione più tempestiva possibile di tutte le misure correttive necessarie.

Se l’ente creditizio o l’istituto finanziario non dispone di funzionari o dipendenti propri diversi dall’organo di gestione, può esternalizzare la funzione antiriciclaggio a un prestatore di servizi. In tali casi, il responsabile antiriciclaggio dovrebbe essere il responsabile antiriciclaggio di uno dei prestatori di servizi che possiede esperienze o conoscenze concernenti il tipo di attività o di operazioni svolte dall’ente creditizio o dall’istituto finanziario.

Laddove si avvalga dell’esternalizzazione infragruppo, l’ente creditizio o l’istituto finanziario dovrebbe in particolare adottare le misure necessarie per individuare e gestire gli eventuali conflitti di interesse che potrebbero derivare da tale accordo di esternalizzazione. La capogruppo dovrebbe:

• a) garantire che sia istituito presso i soggetti interessati e sia messo regolarmente a disposizione per la consultazione un elenco delle attività esternalizzate infragruppo in materia di AML/CFT, per poter stabilire quale funzione è stata affidata a quale entità del gruppo;
• b) garantire che l’esternalizzazione infragruppo non comprometta il rispetto, da parte di ciascuna filiazione o succursale o di altri tipi di stabilimento, dei rispettivi obblighi in materia di AML/CFT.

L’esternalizzazione di compiti correlati all’AML/CFT a prestatori di servizi stabiliti in paesi terzi dovrebbe essere sottoposta a misure di salvaguardia supplementari, al fine di garantire che, a causa dell’ubicazione del prestatore di servizi, l’esternalizzazione non aumenti il rischio di non conformità ai requisiti giuridici e regolamentari o di adempimento inefficiente dei compiti esternalizzati, né ostacoli la capacità dell’autorità competente di esercitare efficacemente il proprio potere di vigilanza nei confronti del prestatore di servizi.