4.1 Politiche e procedure interne

Gli enti creditizi e gli istituti finanziari dovrebbero porre in essere e mantenere politiche e procedure per adempiere gli obblighi di cui all’articolo 13, paragrafo 1, lettere a) e c), della direttiva (UE) 2015/849 nelle situazioni in cui l’onboarding del cliente è eseguita a distanza. Tali politiche e procedure dovrebbero essere commisurate al rischio e includere almeno:

• a) una descrizione generale della soluzione che gli enti creditizi e gli istituti finanziari hanno posto in essere per raccogliere, verificare e conservare le informazioni nel corso di tutto il processo di onboarding a distanza del cliente. Tale descrizione dovrebbe includere una spiegazione delle caratteristiche e del funzionamento della soluzione;
• b) le situazioni in cui è possibile utilizzare la soluzione di onboarding a distanza del cliente, tenendo conto dei fattori di rischio individuati e valutati ai sensi dell’articolo 8, paragrafo 1, della direttiva (UE) 2015/849 e dell’auto valutazione del rischio di riciclaggio connesso alla propria area di attività, compresa una descrizione della categoria di clienti, prodotti e servizi per i quali è ammissibile l’onboarding a distanza;
• c) le fasi che sono completamente automatizzate e quelle che richiedono l’intervento umano;
• d) i controlli in essere per assicurare che la prima operazione con un nuovo cliente sia eseguita solo dopo l’applicazione di tutte le misure di adeguata verifica iniziale della clientela;
• e) una descrizione dei programmi di preparazione e formazione periodica tesi ad assicurare la sensibilizzazione e l’aggiornamento delle conoscenze del personale in merito al funzionamento della soluzione di onboarding a distanza del cliente, ai rischi associati e alle politiche e procedure di onboarding a distanza del cliente volte a mitigare tali rischi.

Le politiche e le procedure, una volta attuate, dovrebbero consentire agli enti creditizi e agli istituti finanziari di assicurare la conformità del proprio operato alle disposizioni di cui alle sezioni da 4.2 a 4.7 dei presenti orientamenti.

4.1.2 Governance

In aggiunta ai compiti di cui alla sezione 4.2.4 degli orientamenti dell’ABE sul ruolo e compiti del responsabile antiriciclaggio (³ ), il responsabile antiriciclaggio (⁴ ), investito del dovere generale di preparare politiche e procedure per ottemperare ai requisiti di adeguata verifica della clientela, dovrebbe assicurare che le politiche e le procedure per l’onboarding a distanza del cliente siano attuate in modo efficace, riesaminate periodicamente e modificate se necessario.

L’organo di gestione dell’ente creditizio e dell’istituto finanziario dovrebbe approvare le politiche e le procedure di onboarding a distanza del cliente e vigilare sulla loro corretta attuazione.

4.1.3 La valutazione preliminare all’attuazione della soluzione di onboarding a distanza del cliente

Al momento di considerare la possibilità di adottare una nuova soluzione per l’onboarding a distanza del cliente, gli enti creditizi e gli istituti finanziari dovrebbero effettuare una valutazione preliminare all’attuazione di tale soluzione.

Gli enti creditizi e gli istituti finanziari dovrebbero definire l’ambito, le fasi e i requisiti di conservazione dei documenti della valutazione preliminare all’attuazione nelle loro politiche e procedure, che dovrebbe comprendere almeno:

• a) una valutazione dell’adeguatezza della soluzione in termini di completezza e accuratezza dei dati e dei documenti raccolti, nonché dell’affidabilità e dell’indipendenza delle fonti di informazione utilizzate;
• b) una valutazione dell’impatto dell’utilizzo della soluzione di onboarding a distanza del cliente sull’esposizione al rischio dell’ente o dell’istituto in relazione alla loro area di attività, compreso l’impatto sui rischi ML/TF, operativi, reputazionali e legali;
• c) l’individuazione di possibili misure di mitigazione e azioni correttive per ciascun rischio individuato nella valutazione di cui alla lettera b);

(³ ) Progetto di orientamenti sulle politiche e le procedure in relazione alla gestione della conformità e al ruolo e alle responsabilità del responsabile AML/CFT ai sensi dell’articolo 8 e del capo VI della direttiva.

(⁴ ) In conformità dei criteri di proporzionalità di cui alla sezione 4.2.2 degli orientamenti per il responsabile AML/CFT.

• d) test per valutare i rischi di frode, compresi i rischi di sostituzione di persona e altri rischi legati alle tecnologie dell’informazione e della comunicazione (ICT) e alla sicurezza, in conformità con il paragrafo 43 degli orientamenti dell’ABE sulla gestione dei rischi relativi alle tecnologie dell’informazione e della comunicazione e di sicurezza (⁵ );
• e) un test end-to-end del funzionamento della soluzione rispetto al cliente/ai clienti, al prodotto/ai prodotti e al servizio/ai servizi per i quali la soluzione di onboarding a distanza può essere utilizzata, secondo quanto definito nelle politiche e nelle procedure di onboarding a distanza del cliente.

Gli enti creditizi e gli istituti finanziari dovrebbero considerare soddisfatti i criteri di cui al paragrafo 14, lettere (a), (d) ed (e), se la soluzione utilizza uno dei seguenti elementi:

• a) regimi di identificazione elettronica notificati ai sensi dell’articolo 9 del regolamento (UE) n. 910/2014 che soddisfano i requisiti relativi a livelli di garanzia «significativi»
• o «elevati» ai sensi dell’articolo 8 di tale regolamento;
• b) servizi fiduciari qualificati pertinenti che soddisfano i requisiti del regolamento (UE)
• n. 910/2014, in particolare il capo III, sezione 3 e l’articolo 24, paragrafo 1, comma 2, lettera b), di tale regolamento.

Gli enti creditizi e gli istituti finanziari dovrebbero essere in grado di illustrare alla loro autorità competente di riferimento quali valutazioni abbiano effettuato prima dell’attuazione della soluzione di onboarding a distanza del cliente e il risultato delle loro valutazioni e dimostrarle che l’utilizzo della soluzione è adeguato rispetto ai rischi ML/TF individuati per i tipi di cliente/clienti, servizio/servizi, aree geografiche e prodotto/prodotti che rientrano nell’ambito di applicazione della soluzione stessa.

Gli enti creditizi e gli istituti finanziari dovrebbero iniziare a utilizzare una soluzione di onboarding a distanza del cliente solo dopo avere accertato la possibilità di integrarla nel loro più ampio sistema di controlli interni, consentendo loro così di gestire adeguatamente i rischi ML/TF che potrebbero derivare dall’utilizzo di tale soluzione.

4.1.4 Monitoraggio continuo della soluzione di onboarding a distanza del cliente

Gli enti creditizi e gli istituti finanziari dovrebbero monitorare costantemente la soluzione di onboarding a distanza del cliente per assicurare che sia in linea con le attese. Dovrebbero includere nelle politiche e le procedure di cui al paragrafo 9 una descrizione di almeno:

• a) le misure che adotteranno per accertarsi della qualità, della completezza, dell’accuratezza e dell’adeguatezza dei dati raccolti durante il processo di

(⁵ ) EBA/GL/2019/04. onboarding a distanza del cliente, che dovrebbero essere commisurate ai rischi ML/TF cui l’ente creditizio e finanziario è esposto;

• b) l’ambito e la frequenza di tali verifiche periodiche; e
• c) le circostanze che attiveranno revisioni ad hoc, che dovrebbero includere almeno:
• a. modifiche dell’esposizione ai rischi ML/TF dell’ente creditizio e finanziario;
• b. carenze nel funzionamento della soluzione rilevate nel corso di attività di monitoraggio, audit o vigilanza;
• c. un aumento percepibile dei tentativi di frode;
• d. modifiche del quadro normativo o regolamentare.

Gli enti creditizi e gli istituti finanziari dovrebbero definire nei propri processi e procedure misure correttive per il caso in cui si sia concretizzato un rischio o siano stati individuati errori con un impatto sull’efficienza e sull’efficacia della soluzione generale di onboarding a distanza del cliente. Tali misure dovrebbero includere almeno:

• a) una revisione di tutti i rapporti d’affari interessati, per valutare se gli enti creditizi e gli istituti finanziari hanno adottato misure di adeguata verifica iniziale della clientela sufficienti per conformarsi all’articolo 13, paragrafo 1, lettere a), b) e c), della direttiva antiriciclaggio (AML/CFT). Gli enti creditizi e gli istituti finanziari dovrebbero dare priorità ai rapporti d’affari che comportano il rischio ML/TF più elevato;
• b) tenendo conto delle informazioni ottenute nella suddetta revisione, una valutazione dell’opportunità che i rapporti continuativi interessati siano:
• a. sottoposti a ulteriori misure di adeguata verifica;
• b. sottoposti a limitazioni, ad esempio limiti al volume delle operazioni richiedibili, ove consentito dal diritto nazionale, fino a quando non sia stata effettuata una revisione;
• c. chiusi;
• d. oggetto di una segnalazione all’unità di informazione finanziaria (UIF);
• e. riclassificati in un diverso profilo di rischio.

Gli enti creditizi e gli istituti finanziari dovrebbero considerare il modo più efficace per monitorare nel continuo l’adeguatezza e l’affidabilità delle soluzioni di onboarding a distanza del cliente. Dovrebbero considerare, a titolo esemplificativo ma non esaustivo, uno o più dei seguenti strumenti:

• i. test di garanzia della qualità;
• ii. segnalazioni e notifiche automatizzate di criticità;
• iii. relazioni periodiche automatizzate sulla qualità;
• iv. test a campione;
• v. revisioni manuali.

Questa sezione si applica anche nel caso in cui siano utilizzate soluzioni di onboarding a distanza del cliente completamente automatizzate che dipendono in larga misura da algoritmi automatizzati, con intervento umano limitato o assente.

Gli enti creditizi e gli istituti finanziari dovrebbero essere in grado di dimostrare alla rispettiva autorità competente le revisioni effettuate e le misure correttive adottate per ovviare alle eventuali carenze individuate durante l’intero ciclo di vita della soluzione di onboarding a distanza del cliente.