Antiriciclaggio e D.Lgs 231/2007: gli obblighi in sintesi

Il D.Lgs 231/2007 è la principale fonte normativa italiana in materia di antiriciclaggio. Recepisce le direttive antiriciclaggio europee e stabilisce gli obblighi che i soggetti obbligati devono rispettare per prevenire l'utilizzo del sistema economico e finanziario a scopo di riciclaggio e di finanziamento del terrorismo.

Che cosa si intende per riciclaggio

Il riciclaggio è il processo con cui si dà una parvenza di legittimità a proventi di origine illecita. Si articola tipicamente in tre fasi: il collocamento, con cui il denaro illecito entra nel sistema economico; la stratificazione, con cui se ne allontana l'origine attraverso una serie di operazioni; e l'integrazione, con cui i fondi rientrano nella disponibilità del soggetto con apparente legittimità. La normativa antiriciclaggio interviene per intercettare queste fasi.

Da non confondere con il D.Lgs 231/2001

Il D.Lgs 231/2007 sull'antiriciclaggio non va confuso con il D.Lgs 231/2001, che disciplina la responsabilità amministrativa degli enti per determinati reati. Sono due decreti diversi che condividono solo il numero: il primo riguarda gli obblighi antiriciclaggio, il secondo la responsabilità dell'ente da reato.

Chi sono i soggetti obbligati

L'articolo 3 del decreto individua diverse categorie di destinatari.

• Intermediari bancari e finanziari.
• Istituti di pagamento e istituti di moneta elettronica.
• Professionisti, tra cui notai, avvocati per determinate attività e commercialisti.
• Prestatori di servizi in cripto attività.
• Altri operatori non finanziari, come i prestatori di servizi di gioco.

L'appartenenza a una categoria non basta a definire il perimetro. Per i professionisti gli obblighi si attivano in relazione a determinate operazioni, non a ogni incarico, e la prima cosa da mettere per iscritto in un manuale interno è proprio quando si è soggetti obbligati e quando no.

Gli obblighi principali

Adeguata verifica della clientela

Identificare il cliente, l'esecutore e il titolare effettivo, verificarne l'identità, acquisire informazioni su scopo e natura del rapporto e mantenere un controllo costante secondo l'approccio basato sul rischio. Il dettaglio è nella guida all'adeguata verifica della clientela.

Conservazione

Dieci anni, che decorrono dalla cessazione del rapporto continuativo o della prestazione professionale, oppure dall'esecuzione dell'operazione occasionale. Non dalla data del documento.

Il punto meno noto è che la norma non chiede di archiviare, chiede di rendere ricostruibile. La documentazione conservata deve permettere di ricostruire univocamente:

• la data di instaurazione del rapporto continuativo o del conferimento dell'incarico;
• i dati identificativi del cliente, del titolare effettivo e dell'esecutore, compresi quelli ottenuti tramite identificazione elettronica ai sensi del regolamento eIDAS, e le informazioni su scopo e natura del rapporto;
• l'eventuale consultazione dei registri dei titolari effettivi, con le modalità previste;
• la data, l'importo e la causale dell'operazione;
• i mezzi di pagamento utilizzati.

La terza voce merita una nota operativa: se il registro dei titolari effettivi è stato consultato, la consultazione va conservata. È un dato da produrre, non da ricostruire a posteriori.

Segnalazione delle operazioni sospette

La segnalazione va inviata alla UIF senza ritardo e prima di compiere l'operazione, quando si sa, si sospetta o si hanno motivi ragionevoli per sospettare che siano in corso, siano state compiute o tentate operazioni di riciclaggio o di finanziamento del terrorismo, o che i fondi provengano da attività criminosa, indipendentemente dalla loro entità.

Il sospetto si desume dalle caratteristiche, dall'entità e dalla natura delle operazioni, dal loro collegamento o frazionamento e da ogni altra circostanza conosciuta, tenuto conto della capacità economica e dell'attività del soggetto. La norma indica poi un elemento di sospetto tipizzato: il ricorso frequente o ingiustificato al contante, anche sotto la soglia di legge, e in particolare prelievi o versamenti in contante non coerenti con il profilo di rischio del cliente.

Per aiutare l'individuazione, la UIF emana e aggiorna periodicamente gli indicatori di anomalia. Sono il riferimento pratico da mappare nelle regole del sistema di monitoraggio.

Quando l'operazione si può comunque eseguire

L'astensione è la regola: l'operazione non si compie finché la segnalazione non è stata inviata. Le eccezioni sono tre e vanno conosciute prima di trovarsele davanti:

• quando esiste un obbligo di legge di ricevere l'atto;
• quando l'esecuzione non può essere rinviata, tenuto conto della normale operatività;
• quando il differimento potrebbe ostacolare le indagini.

In questi casi l'operazione si esegue e la UIF viene informata immediatamente dopo. Ciò che non è mai ammesso è eseguire senza segnalare.

Il divieto di comunicazione

È vietato comunicare al cliente o a terzi che è stata inviata una segnalazione, che la UIF ha chiesto ulteriori informazioni o che esistono o sono probabili indagini o approfondimenti. Il divieto copre anche il flusso di ritorno: quando la UIF comunica al segnalante l'esito della segnalazione, quell'informazione è soggetta allo stesso divieto.

Il limite all'uso del contante

Il decreto contiene anche la disciplina sull'uso del contante. È vietato il trasferimento di denaro contante e di titoli al portatore tra soggetti diversi quando il valore trasferito è complessivamente pari o superiore a 3.000 euro, e il divieto vale anche quando l'operazione è realizzata con più pagamenti sotto soglia che appaiono artificiosamente frazionati. Sopra il limite il trasferimento passa per banche, Poste, istituti di moneta elettronica e istituti di pagamento.

Attenzione a non confondere i due piani: il superamento della soglia è una violazione autonoma, mentre l'uso ripetuto del contante sotto soglia è un elemento di sospetto ai fini della segnalazione. Possono presentarsi insieme o separatamente.

Autovalutazione del rischio e organizzazione interna

Oltre agli obblighi verso il cliente, i soggetti obbligati devono dotarsi di presidi organizzativi adeguati: effettuare un'autovalutazione periodica del rischio di riciclaggio, definire procedure e controlli interni e assicurare la formazione del personale. Molti soggetti, in base alla propria natura e dimensione, individuano una funzione o un responsabile antiriciclaggio.

L'autovalutazione non è un documento di facciata. Nella determinazione della gravità di una violazione la legge chiede di tenere conto anche del fatto che questa sia ascrivibile alla carenza, all'incompletezza o alla non adeguata diffusione delle procedure di controllo interno. Un presidio debole non è solo un rischio: è un aggravante.

Gli organi di controllo hanno obblighi propri

C'è un adempimento che non ricade sulla funzione antiriciclaggio ma sugli organi di controllo. I componenti del collegio sindacale, del consiglio di sorveglianza e del comitato per il controllo sulla gestione vigilano sull'osservanza del decreto e devono comunicare senza ritardo al legale rappresentante le operazioni potenzialmente sospette di cui vengano a conoscenza, e comunicare senza ritardo alle autorità di vigilanza i fatti che possono integrare violazioni gravi, ripetute, sistematiche o plurime.

In compenso, gli stessi componenti sono esonerati dagli obblighi di adeguata verifica, conservazione e segnalazione previsti dal Titolo II. È una ripartizione di ruoli, non una duplicazione.

Il ruolo della UIF e di Banca d'Italia

L'Unità di Informazione Finanziaria per l'Italia riceve e analizza le segnalazioni di operazioni sospette, ne cura l'approfondimento finanziario e restituisce al segnalante gli esiti, con modalità che tutelano la riservatezza. Banca d'Italia emana disposizioni attuative e vigila sui soggetti obbligati di sua competenza, definendo nel dettaglio come applicare gli obblighi.

Le sanzioni

Le sanzioni amministrative sono costruite su due livelli: un importo fisso per la violazione isolata e una forbice per le violazioni gravi, ripetute, sistematiche o plurime.

La gravità si determina tenendo conto dell'elemento soggettivo, del grado di collaborazione con le autorità, della rilevanza ed evidenza dei motivi del sospetto rispetto al valore dell'operazione e alle caratteristiche del cliente, e della reiterazione dei comportamenti anche in rapporto alle dimensioni del soggetto obbligato. Restano ferme, nei casi più gravi come le condotte fraudolente, le conseguenze penali.

Il quadro europeo, e cosa è già cambiato

Il quadro italiano si inserisce in quello europeo, che sta passando da un sistema di direttive a un regolamento antiriciclaggio di applicazione diretta affiancato da un'autorità europea antiriciclaggio.

Il passaggio non è solo futuro. Con il D.Lgs 10 giugno 2026, n. 122, in vigore dal 23 luglio 2026, l'Italia ha recepito gli articoli 11, 12, 13 e 15 della direttiva (UE) 2024/1640 e ha riscritto le regole di accesso alle informazioni sulla titolarità effettiva, introducendo negli articoli da 21-bis a 21-septies un regime distinto per autorità, soggetti obbligati e portatori di un legittimo interesse. Per i soggetti obbligati l'accesso richiede un accreditamento presso la Camera di commercio, vale due anni ed è consentito soltanto a supporto dell'adeguata verifica. Il dettaglio è nella guida al registro dei titolari effettivi.

Un settore in forte evoluzione resta quello delle cripto attività, trattato nella guida su MiCA e antiriciclaggio.

Errori frequenti

• Contare i dieci anni di conservazione dalla data del documento invece che dalla cessazione del rapporto.
• Archiviare i documenti senza poter ricostruire causale, importo e mezzo di pagamento dell'operazione.
• Non conservare traccia della consultazione del registro dei titolari effettivi.
• Eseguire l'operazione perché indifferibile e inviare la segnalazione con calma, invece che immediatamente dopo.
• Trattare l'uso ripetuto di contante sotto soglia come irrilevante perché il limite non è stato superato.
• Tenere un'autovalutazione del rischio ferma all'anno di adozione.

Come Zyphe supporta la compliance

Gli agenti di Zyphe automatizzano adeguata verifica, screening e monitoraggio dentro gli strumenti che i soggetti obbligati già usano. Ogni decisione lascia un audit trail che facilita i controlli e le ispezioni, senza costruire un archivio centrale di dati personali.

Adeguata verifica, screening e conservazione sono obblighi distinti che nella pratica ricadono sullo stesso team: il software antiriciclaggio di Zyphe li gestisce dentro gli strumenti che il team usa già.

Fonti e riferimenti normativi

D.Lgs 231/2007 su Normattiva

D.Lgs 10 giugno 2026, n. 122 su Normattiva

Unità di Informazione Finanziaria per l'Italia