Definire l’agenda strategica dell’integrità attraverso una visione integrata a 360° dei rischi

Ambizione strategica in materia di criminalità finanziaria

Un’ambizione strategica in materia di gestione dei rischi di criminalità finanziaria deve andare oltre una dichiarazione generale secondo cui le leggi e i regolamenti saranno rispettati o l’utilizzo criminale dell’organizzazione non sarà tollerato. Tali principi sono necessari, ma non forniscono un orientamento sufficiente nelle situazioni in cui più interessi legittimi emergano contemporaneamente, le informazioni siano incomplete, gli obblighi giuridici non coincidano pienamente con le aspettative di vigilanza o la pressione commerciale richieda una decisione rapida. Un’ambizione realmente operativa deve pertanto definire il livello di integrità che l’organizzazione intende raggiungere, la posizione che desidera occupare nel mercato, le forme di esposizione incompatibili con i propri obiettivi e il grado di prevenzione, rilevazione, indagine, risposta e remediation ritenuto appropriato. Occorre distinguere tra il rispetto minimo degli obblighi formali e la scelta strategica più ampia di strutturare relazioni commerciali, prodotti e transazioni in modo controllato, difendibile e socialmente responsabile. Un’istituzione finanziaria, un fornitore di servizi sanitari, un’impresa tecnologica, un gruppo industriale o un’organizzazione di servizi professionali possono essere soggetti a standard giuridici comparabili, ma necessitare di un’ambizione differente in ragione del proprio profilo di clientela, della presenza geografica, della complessità dei prodotti, dei flussi di pagamento, del modello distributivo e del ruolo sociale ricoperto. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede quindi un approccio specifico per l’organizzazione, capace di determinare non soltanto quali standard siano applicabili, ma anche in che modo la natura dell’impresa debba influenzare l’intensità della gestione dei rischi. L’ambizione deve produrre effetti concreti in materia di prevenzione delle frodi, riciclaggio di denaro, finanziamento del terrorismo, sanzioni, corruzione attiva e passiva, integrità fiscale, abusi di mercato, criminalità informatica, conflitti di interesse, appropriazione indebita di beni aziendali e altre forme di criminalità finanziaria ed economica. Deve inoltre chiarire se l’organizzazione intenda esclusivamente evitare violazioni formali o voglia impedire attivamente che i propri prodotti, servizi, infrastrutture, dati o la propria reputazione siano utilizzati per condotte incompatibili con i valori fondamentali e la posizione sociale dell’impresa.

L’ambizione strategica deve essere costruita sulla base di una valutazione realistica del contesto aziendale. Ciò richiede una comprensione integrata dei Paesi in cui vengono svolte le attività, dei settori in cui operano i clienti, delle categorie di persone fisiche e giuridiche con cui vengono instaurati rapporti, dei metodi di pagamento utilizzati, del grado di anonimato o distanza nella prestazione dei servizi, del ricorso a intermediari, della presenza di strutture proprietarie complesse e della vulnerabilità dei prodotti a possibili utilizzi abusivi. Tale valutazione non deve limitarsi alle categorie di rischio riconosciute dalla normativa o dalle tipologie esterne. Anche le trasformazioni strategiche possono modificare radicalmente l’esposizione. L’espansione internazionale può introdurre nuovi rischi in materia di sanzioni, corruzione e trasparenza. La digitalizzazione può accelerare la prestazione dei servizi, riducendo al contempo la visibilità sull’identità, sull’origine dei fondi e sul controllo effettivo. Le acquisizioni possono introdurre archivi storici della clientela, qualità dei dati inadeguata e prassi di controllo divergenti. Le iniziative di riduzione dei costi possono centralizzare alcune funzioni, indebolendo però le conoscenze locali. Nuove forme di collaborazione possono distribuire le responsabilità tra soggetti che applicano standard differenti. L’ambizione deve pertanto essere sufficientemente specifica da orientare le decisioni attuali e sufficientemente adattabile da rispondere ai mutamenti dell’esposizione. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede un processo ciclico nel quale piani strategici, valutazioni dei rischi, incidenti, esiti investigativi, sviluppi regolamentari, trasformazioni del mercato e assurance indipendente vengano utilizzati congiuntamente per riesaminare periodicamente la direzione. La leadership deve essere in grado di spiegare perché determinati mercati, clienti, prodotti o attività siano coerenti con la strategia e perché altre forme di esposizione debbano essere limitate, ammesse soltanto a determinate condizioni o escluse del tutto. In assenza di tale motivazione, l’ambizione rischia di ridursi a principi generali che offrono scarso supporto quando interessi concreti entrano in conflitto.

Un’ambizione strategica concretamente utilizzabile deve infine essere tradotta in aspettative misurabili, scelte di governance e conseguenze dimostrabili. Quando un’organizzazione afferma che l’integrità prevale sui ricavi di breve periodo, tale principio deve risultare visibile quando un cliente importante fornisce trasparenza insufficiente, quando una transazione genera ricavi significativi ma è priva di una logica economica comprensibile o quando un partner commerciale viene associato a gravi indicatori negativi. Lo stesso principio vale per le decisioni di investimento. Un livello elevato di ambizione non può essere perseguito credibilmente quando le funzioni di adeguata verifica della clientela rimangono strutturalmente sottodimensionate, la qualità dei dati non viene adeguatamente migliorata, i team investigativi non dispongono dell’accesso alle informazioni pertinenti o le unità operative locali restano per periodi prolungati dipendenti da soluzioni manuali provvisorie. L’ambizione deve quindi essere collegata alla capacità del personale, alle competenze, al supporto tecnologico, alla governance dei dati, alla progettazione dei controlli, ai poteri investigativi, ai meccanismi di escalation e alla verifica indipendente. Anche i sistemi di remunerazione e valutazione delle prestazioni devono essere coerenti con la direzione prescelta. Non è ragionevole attribuire ai collaboratori la responsabilità di decisioni prudenti in materia di rischio quando gli obiettivi commerciali premiano velocità e ricavi, mentre la formulazione di domande critiche comporta ritardi, perdita di clienti o valutazioni negative. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che la leadership identifichi e corregga tali contraddizioni. L’ambizione strategica deve risultare evidente negli obiettivi attribuiti agli amministratori, ai dirigenti e ai responsabili di processo, nella valutazione delle proposte di prodotto, nell’approvazione dell’ingresso in nuovi mercati e nella risposta agli incidenti e alle carenze. Un’organizzazione che colleghi sistematicamente l’ambizione ai comportamenti, alle risorse e alle decisioni crea non soltanto un quadro più chiaro di responsabilità interna, ma rafforza anche la propria posizione nei confronti delle autorità di vigilanza, delle autorità investigative, delle controparti contrattuali, degli azionisti e delle altre parti interessate che si attendono una corrispondenza verificabile tra le dichiarazioni di integrità e l’effettivo funzionamento dell’impresa.

Tassonomia condivisa dei rischi e linguaggio comune

La Gestione Integrata dei Rischi di Criminalità Finanziaria può funzionare efficacemente soltanto quando la prima, la seconda e la terza linea utilizzano una tassonomia condivisa dei rischi e un linguaggio comune. In molte organizzazioni, situazioni comparabili vengono descritte mediante definizioni differenti. La prima linea può qualificare una circostanza come una criticità commerciale, mentre la compliance la considera un rischio di integrità della clientela, la funzione legale identifica una possibile responsabilità, gli specialisti fiscali rilevano un’assenza di sostanza economica e l’internal audit registra una carenza di controllo. Ciascuna qualificazione può essere difendibile dal punto di vista della disciplina interessata, ma l’utilizzo di terminologie diverse può impedire la formazione di una comprensione coerente. I segnali possono pertanto essere registrati in sistemi separati, valutati secondo scale di gravità differenti e trattati attraverso distinti canali di governance. Un modello composto da eccezioni ricorrenti, transazioni insolite, documentazione inadeguata, modifiche proprietarie non spiegate e pressioni commerciali può quindi rimanere inosservato, nonostante le informazioni considerate congiuntamente indichino un rischio rilevante di criminalità finanziaria. Una tassonomia condivisa consente di riunire tali osservazioni senza eliminare le distinzioni sostanziali proprie delle singole discipline. Essa definisce quali condotte, eventi, vulnerabilità e carenze di controllo rientrino in ciascuna categoria di rischio, come tali categorie siano collegate e con quali modalità debbano essere valutate gravità, probabilità, portata, durata e diffusione. La tassonomia non deve limitarsi ai reati o alle violazioni formali. Anche indicatori, sospetti, insufficienze, rischi di facilitazione, carenze di trasparenza, pressioni anomale, controlli inadeguati ed esposizioni elevate devono trovare una collocazione riconoscibile. Un linguaggio comune permette ai team operativi, agli specialisti, ai dirigenti e agli auditor di attribuire il medesimo significato ai concetti essenziali e, conseguentemente, di comprendere più rapidamente quali informazioni manchino, quali incertezze permangano e quale intervento sia necessario.

Lo sviluppo di una tassonomia condivisa richiede molto più della semplice unificazione di glossari esistenti. La classificazione deve corrispondere ai processi aziendali effettivi, agli obblighi giuridici, ai requisiti di segnalazione esterna, alle strutture dei dati e alle esigenze decisionali. Concetti quali cliente, rapporto d’affari, titolare effettivo, rappresentante, beneficiario, controparte, intermediario e soggetto collegato possono, ad esempio, assumere significati differenti nei diversi sistemi. Finché tali differenze non siano armonizzate o espressamente documentate, le informazioni non potranno essere combinate in modo affidabile. Lo stesso vale per termini quali incidente, avvertimento, alert, caso, indagine, rilievo, violazione, carenza, eccezione ed escalation. Un alert generato dal monitoraggio delle transazioni non equivale automaticamente a un incidente accertato. Un segnale non verificato non corrisponde a una condotta dimostrata. Una deviazione da una policy può avere una causa amministrativa limitata, ma può anche indicare un’elusione sistematica dei requisiti di controllo. La tassonomia deve conservare tali sfumature, evitando al contempo che differenze terminologiche vengano utilizzate per minimizzare un’esposizione significativa o trasferire la responsabilità. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede quindi definizioni chiare, regole di classificazione, responsabilità sulla terminologia e procedure di modifica. Nuove tipologie, sviluppi tecnologici, modifiche legislative e conclusioni investigative devono essere integrate periodicamente nella tassonomia. Occorre inoltre determinare quali concetti debbano essere uniformi in tutta l’impresa e in quali ambiti siano necessarie integrazioni locali in ragione del sistema giuridico applicabile, delle caratteristiche del mercato o delle prassi di vigilanza. Una variazione locale può essere necessaria, ma non deve produrre rendicontazioni non comparabili o incertezza circa la gravità dei rischi. Uno standard centrale accompagnato da estensioni locali attentamente controllate offre generalmente maggiore chiarezza rispetto a una standardizzazione totale che ignori il contesto rilevante o a un’impostazione interamente locale che impedisca l’analisi a livello d’impresa.

Il linguaggio condiviso deve successivamente essere integrato nelle policy, nei sistemi, nell’informativa gestionale, nella formazione, nei documenti decisionali e nelle attività di assurance. Non può emergere una coerenza effettiva quando le definizioni figurano soltanto in un glossario centrale, mentre moduli, dashboard, indagini e relazioni di audit continuano a utilizzare terminologie differenti. I campi dei dati devono supportare le classificazioni prescelte. I documenti di escalation devono indicare chiaramente le categorie, i livelli di gravità e le incertezze rilevanti. I documenti decisionali devono distinguere tra fatti accertati, ipotesi, questioni irrisolte, qualificazioni giuridiche e valutazioni di governance. L’informativa gestionale deve mostrare come segnali operativi, rilievi di compliance, questioni legali, criticità fiscali, incidenti e rilievi di audit siano collegati tra loro. La formazione deve rendere i collaboratori familiari non soltanto con le definizioni, ma anche con la loro applicazione pratica in circostanze concrete. La prima linea deve comprendere quando una questione commerciale costituisca anche una questione di integrità. La seconda linea deve essere in grado di tradurre informazioni provenienti da fonti differenti in indicatori di rischio coerenti e interventi proporzionati. La terza linea deve poter valutare se le classificazioni vengano applicate in modo affidabile e se la reportistica gestionale rappresenti correttamente l’effettiva gravità dell’esposizione. Una tassonomia ben progettata rafforza quindi non soltanto la comunicazione, ma anche la qualità dei dati, l’analisi delle tendenze, la definizione delle priorità, il coordinamento dei casi e la responsabilità di governance. Essa rende visibile dove eventi diversi condividano la medesima causa fondamentale, dove rischi comparabili siano trattati in maniera differente e dove determinate categorie siano state definite in modo eccessivamente ampio o restrittivo. Il linguaggio comune costituisce pertanto un fondamento essenziale della Gestione Integrata dei Rischi di Criminalità Finanziaria: senza una terminologia condivisa non può esistere una visione condivisa dei rischi; senza una visione condivisa non può esservi una decisione coerente; e senza una decisione coerente la direzione strategica prescelta non può essere attuata in modo convincente né verificata indipendentemente.

Propensione al rischio, limiti e tolleranza

La propensione al rischio e la tolleranza attribuiscono contenuto concreto alla direzione strategica, determinando quali rischi di criminalità finanziaria l’organizzazione possa accettare a condizioni definite, quali forme di esposizione richiedano controlli rafforzati e quali rischi siano incompatibili con i propri obiettivi. Una dichiarazione generale secondo cui l’organizzazione non tollera la criminalità finanziaria è comprensibile quale principio normativo, ma non costituisce una base sufficiente per le decisioni quotidiane. Nessuna organizzazione può eliminare ogni incertezza, individuare immediatamente ciascuna irregolarità o impedire integralmente ogni possibile utilizzo abusivo. Anche all’interno di un sistema robusto permangono rischio residuo, limiti informativi, discrezionalità umana e vincoli tecnologici. Una propensione al rischio efficace deve pertanto distinguere tra la condotta criminale in sé, che non viene accettata, e la possibilità gestibile che un prodotto, una relazione o un processo siano esposti a un utilizzo improprio. Deve descrivere le circostanze nelle quali tale esposizione possa essere accettata, le misure compensative necessarie, le approvazioni richieste e il livello di rischio residuo che possa permanere dopo l’applicazione dei controlli. Le dimensioni rilevanti comprendono, tra le altre, la tipologia di cliente, il settore, la giurisdizione, il prodotto, il valore della transazione, il canale distributivo, la complessità proprietaria, il livello di trasparenza, il coinvolgimento di intermediari, la rapidità della prestazione dei servizi e la disponibilità di dati affidabili. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che tali dimensioni non vengano valutate soltanto separatamente. Un cliente proveniente da una giurisdizione a rischio più elevato non si colloca necessariamente al di fuori della propensione al rischio, mentre un cliente apparentemente a basso rischio può presentare un profilo inaccettabile a causa della combinazione di strutture complesse, flussi finanziari insoliti, esposizione politica e spiegazioni insufficienti. La valutazione deve quindi essere cumulativa, contestuale e sufficientemente articolata.

La traduzione della propensione al rischio in limiti operativi richiede indicatori chiari, regole decisionali e livelli di escalation. La prima linea deve essere in grado di determinare quali rapporti o attività rientrino nei propri poteri ordinari, quando siano necessarie informazioni supplementari e quando debba essere ottenuta un’approvazione a un livello superiore. La seconda linea deve stabilire le misure minime di controllo, le eccezioni eventualmente ammissibili e le combinazioni di fattori che collochino una relazione o una transazione al di fuori della tolleranza definita. La terza linea deve valutare in modo indipendente se le soglie utilizzate siano coerenti con la direzione strategica approvata e se le eccezioni stiano producendo un ampliamento di fatto della propensione al rischio. I principi qualitativi devono essere sostenuti da indicatori quantitativi quando ciò sia possibile e significativo. Tra questi possono rientrare la concentrazione dei clienti in determinate categorie di rischio, il numero di fascicoli rimasti incompleti per periodi prolungati, il valore delle transazioni caratterizzate da fattori di rischio elevato, la percentuale di dati essenziali mancanti, il numero di eccezioni ai criteri di accettazione, i tempi di completamento delle indagini e i ripetuti superamenti dei limiti di controllo. Gli indicatori quantitativi non devono tuttavia creare una falsa impressione di precisione. Una soglia può agevolare l’individuazione e la governance, ma non può sostituire una valutazione sostanziale del contesto, delle motivazioni, della proporzionalità e delle possibili conseguenze. Non deve neppure essere considerata come un’autorizzazione ad accumulare un’esposizione illimitata immediatamente al di sotto del limite. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede pertanto una combinazione di limiti misurabili, giudizio professionale e valutazione periodica dell’esposizione cumulativa. Deve inoltre rendere visibile in che modo diverse forme di rischio si rafforzino reciprocamente. Una carenza limitata nei dati può apparire accettabile isolatamente, ma, combinata con un’adeguata verifica debole, transazioni complesse e competenze locali insufficienti, può generare un’esposizione significativamente maggiore.

La propensione al rischio deve inoltre essere governata in modo dinamico. Mutamenti geopolitici, regimi sanzionatori, tipologie criminali, sviluppi tecnologici, priorità di vigilanza, comportamenti di mercato e qualità dei controlli interni possono imporre una rivalutazione di esposizioni precedentemente accettate. Anche incidenti, indagini interne e rilievi di assurance possono dimostrare che il livello effettivo di controllo sia inferiore a quello ipotizzato al momento dell’approvazione iniziale. Un’organizzazione può, ad esempio, essere disponibile a servire un determinato segmento di clientela fintanto che siano disponibili informazioni affidabili sull’origine dei fondi, competenze specialistiche e monitoraggio intensivo. Quando turnover del personale, problemi di sistema o limiti nei dati indeboliscano tali condizioni, il rischio residuo cambia anche se il segmento di clientela rimane invariato. La governance della propensione al rischio deve quindi prevedere una ricalibrazione periodica, adeguamenti intermedi in seguito a eventi rilevanti e procedure chiare per i superamenti temporanei. I superamenti non devono essere soltanto registrati, ma valutati sostanzialmente in relazione alla causa, alla durata, all’impatto e all’intervento necessario. Un’accettazione temporanea può essere difendibile quando esista un piano di remediation controllato e l’esposizione residua sia stata espressamente approvata. I superamenti strutturali, invece, indicano spesso una divergenza tra la direzione formalmente approvata e l’effettivo funzionamento dell’impresa. Il consiglio di amministrazione e gli organi di supervisione devono avere visibilità su entrambe le situazioni e poter stabilire se siano necessarie risorse aggiuntive, limitazioni delle attività, condizioni rafforzate o la cessazione dei rapporti. La Gestione Integrata dei Rischi di Criminalità Finanziaria collega quindi direttamente la propensione al rischio alla responsabilità di governance. Il documento nel quale la propensione è formalizzata non rappresenta un punto di arrivo, ma un quadro decisionale permanente che ha valore soltanto quando i limiti vengano effettivamente monitorati, le eccezioni siano motivate con trasparenza e l’esposizione reale conduca tempestivamente all’adeguamento delle attività o delle misure di controllo.

Titolarità e responsabilità della prima linea

La titolarità dei rischi da parte della prima linea costituisce un requisito centrale della Gestione Integrata dei Rischi di Criminalità Finanziaria, poiché i rischi di criminalità finanziaria sorgono in larga misura dalle scelte commerciali, dai processi operativi e dalle interazioni quotidiane con clienti, fornitori, dipendenti, intermediari e altre relazioni d’affari. La prima linea dispone generalmente della conoscenza più diretta dello scopo di un rapporto, del contesto economico di una transazione, del funzionamento concreto di un prodotto, delle circostanze nelle quali sia sorta un’eccezione e del contesto nel quale un comportamento insolito diventi visibile. Relationship manager, team commerciali, funzioni di accettazione della clientela, addetti ai pagamenti, procurement, funzioni sinistri, product owner, management operativo e altre funzioni aziendali sono spesso i primi a rilevare che la documentazione non corrisponde alle attività effettive, che le spiegazioni mutano, che la pressione commerciale è anormalmente intensa o che una transazione si discosta dal profilo atteso. Quando tali segnali vengono trattati esclusivamente come informazioni destinate alla compliance, la prima linea rischia di limitare il proprio ruolo alla trasmissione di dati e di trasferire implicitamente la decisione effettiva sul rischio a una funzione specialistica. La responsabilità diviene allora diffusa e può emergere una dinamica indesiderata nella quale la prima linea rappresenta gli interessi commerciali, mentre la seconda linea dovrebbe impedire autonomamente ogni rischio di integrità. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede una diversa distribuzione. La prima linea rimane responsabile dell’avvio, dell’esecuzione, del monitoraggio, della limitazione e, ove necessario, della cessazione delle attività nel quadro della direzione strategica definita. I pareri, i quadri di riferimento e la contestazione forniti dalla seconda linea sostengono tale responsabilità, ma non la sostituiscono. Anche un parere favorevole della compliance non esonera la prima linea dall’obbligo di determinare se un rapporto sia economicamente comprensibile, operativamente controllabile e coerente con la propensione al rischio dell’organizzazione.

Una titolarità effettiva richiede ruoli chiari, poteri adeguati e competenze dimostrabili. I collaboratori devono comprendere quali controlli siano tenuti a svolgere, quali informazioni debbano essere valutate, quali indicatori richiedano escalation e quali decisioni eccedano il proprio mandato. I responsabili devono riconoscere che la responsabilità non si esaurisce nel rispetto dei tempi di lavorazione, degli obiettivi di ricavo o degli standard di produttività. Devono garantire che le valutazioni dei rischi siano sostanziali, che le eccezioni commerciali siano adeguatamente motivate e che carenze note non vengano ignorate al fine di raggiungere obiettivi operativi. I responsabili di processo devono poter dimostrare che i controlli siano logicamente integrati nei flussi operativi, che le responsabilità non si disperdano tra i team e che la qualità dell’esecuzione venga valutata periodicamente. I product owner devono integrare i rischi di criminalità finanziaria nella progettazione, nella modifica, nel pricing, nella distribuzione e nella cessazione dei prodotti. Il management regionale deve utilizzare le conoscenze locali senza indebolire gli standard definiti a livello d’impresa. Il senior management deve garantire che capacità, formazione e supporto tecnologico siano proporzionati alla portata e alla complessità delle attività. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede inoltre che i collaboratori dispongano concretamente della possibilità di porre domande, sospendere processi e sottoporre criticità a escalation senza subire conseguenze negative sproporzionate sulla valutazione o sulla carriera. Quando la rapidità viene sistematicamente premiata più della prudenza, oppure i collaboratori critici vengono considerati un ostacolo al progresso commerciale, la titolarità formale rimane priva di sostanza concreta. La responsabilità deve quindi essere sostenuta da comportamenti, incentivi, formazione, supervisione e gestione delle conseguenze.

La prima linea deve inoltre essere in grado di riconoscere non soltanto singole carenze di controllo, ma anche modelli più ampi ed esposizioni cumulative. Un fascicolo cliente può apparire completo se esaminato isolatamente, mentre la combinazione con precedenti eccezioni, transazioni con soggetti collegati, modifiche insolite e informazioni esterne genera un profilo di rischio significativamente diverso. Un prodotto può, individualmente considerato, rientrare nella propensione al rischio, ma creare una vulnerabilità maggiore quando venga combinato con specifici canali distributivi, giurisdizioni e segmenti di clientela. La titolarità operativa richiede pertanto l’accesso alle informazioni pertinenti e una cooperazione efficace tra unità aziendali. I dati non devono essere frammentati al punto che i collaboratori vedano soltanto una parte limitata del rapporto. Le escalation devono contenere un contesto sufficiente per consentire ai decisori di valutare l’esposizione complessiva. Le decisioni devono essere documentate con riferimento ai fatti, alle incertezze, alle condizioni, alle alternative e alle responsabilità di follow-up. Quando vengono imposte condizioni a un rapporto con un cliente, deve essere chiaro chi ne verificherà il rispetto e quale conseguenza deriverà da un’eventuale inosservanza. Quando viene autorizzata un’eccezione temporanea, devono essere identificati una data di scadenza, un’azione di remediation e un responsabile. La terza linea deve successivamente poter ricostruire il processo attraverso il quale la prima linea abbia raggiunto la propria decisione e verificare se la titolarità del rischio sia stata effettivamente esercitata. La Gestione Integrata dei Rischi di Criminalità Finanziaria rafforza quindi la prima linea non centralizzando tutte le responsabilità, ma collocandole in prossimità della fonte del rischio, con il supporto di quadri chiari, accesso alle competenze e governance trasparente. Ciò consente di agire più rapidamente, con maggiore consapevolezza e coerenza, mantenendo al contempo la responsabilità presso le funzioni che assumono effettivamente le decisioni commerciali e operative.

Quadro della seconda linea e contestazione effettiva

La seconda linea esercita, nell’ambito della Gestione Integrata dei Rischi di Criminalità Finanziaria, un ruolo di indirizzo, consulenza, monitoraggio e contestazione. La sua responsabilità centrale consiste nel tradurre legislazione, aspettative delle autorità di vigilanza, tipologie esterne, analisi interne dei rischi e principi strategici in un insieme coerente di standard che consenta alla prima linea di gestire i rischi di criminalità finanziaria in modo controllato. Tale responsabilità richiede molto più della redazione di policy o della verifica del loro rispetto. La seconda linea deve comprendere il funzionamento effettivo di prodotti, clienti, transazioni, sistemi e processi operativi, gli interessi che convergono nel processo decisionale e gli ambiti nei quali i requisiti formali generino questioni interpretative nella pratica. Quadri di policy che si limitino a ripetere formulazioni giuridiche o regolamentari senza tradurle chiaramente in responsabilità, soglie decisionali e azioni eseguibili producono incertezza e applicazioni incoerenti. Al contempo, la fattibilità operativa non deve essere utilizzata per indebolire protezioni necessarie o normalizzare carenze strutturali. La seconda linea deve quindi mantenere un equilibrio tra chiarezza normativa, proporzionalità, applicabilità operativa e contestazione indipendente. Compliance, risk management, funzione legale, fiscalità, privacy, security e altre funzioni specialistiche possono rappresentare prospettive differenti. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che tali prospettive siano coordinate, affinché la prima linea non venga confrontata con pareri contraddittori, richieste informative sovrapposte o definizioni diverse dell’esposizione accettabile. Quando permangano divergenze sostanziali, esse devono essere rese visibili e risolte attraverso una governance appropriata.

Una contestazione effettiva implica che la seconda linea non si limiti a confermare che una decisione proposta rispetti tecnicamente una regola interna, ma valuti criticamente se le ipotesi, i dati e il bilanciamento degli interessi sui quali la decisione si fonda siano sufficientemente affidabili. Tale funzione richiede competenze, indipendenza, accesso alle informazioni e adeguata autorità organizzativa. Una funzione di contestazione ha scarso valore quando venga coinvolta soltanto alla fine del processo decisionale, quando gli impegni commerciali siano già divenuti sostanzialmente irreversibili o quando opinioni divergenti possano essere accantonate senza motivazione sostanziale. La seconda linea deve pertanto essere coinvolta in una fase appropriata nello sviluppo dei prodotti, nell’ingresso in nuovi mercati, nell’accettazione di clienti complessi, nelle transazioni significative, nell’esternalizzazione, nelle fusioni e acquisizioni, nei programmi di remediation e nelle altre decisioni con implicazioni rilevanti per l’integrità. La natura del coinvolgimento deve essere proporzionata. Le attività ordinarie possono essere gestite mediante quadri standardizzati, mentre le decisioni eccezionali o ad alto rischio richiedono una valutazione approfondita. La contestazione non significa che ogni decisione debba essere assunta dalla seconda linea o che debba essere creato un processo operativo parallelo. Il suo ruolo consiste nel verificare se la prima linea abbia accertato i fatti rilevanti, considerato alternative realistiche, dimostrato che le condizioni siano concretamente attuabili e stabilito che il rischio residuo rimanga entro i limiti definiti. Deve essere chiaro se un parere sia vincolante, abbia un peso significativo o sia meramente informativo, chi possa approvare una deviazione e come debba essere sottoposto a escalation un disaccordo. La Gestione Integrata dei Rischi di Criminalità Finanziaria impedisce così che la contestazione dipenda da relazioni informali o dalla sola capacità persuasiva personale. Essa diviene una componente della governance formale e può essere ricostruita successivamente.

La seconda linea deve infine dimostrare la propria efficacia mediante monitoraggio basato sul rischio, analisi tematiche, valutazione indipendente degli sviluppi e interventi mirati. Il monitoraggio non deve limitarsi al conteggio delle deviazioni dalle policy o alla verifica della completezza dei moduli. Deve fornire indicazioni sull’effettiva capacità dei controlli di mitigare il rischio previsto, sulla coerenza con cui le unità operative trattano situazioni comparabili, sull’eventuale concentrazione delle eccezioni attorno a determinati clienti o responsabili e sulla visibilità delle cause strutturali alla base delle carenze ricorrenti. Le verifiche tematiche possono, ad esempio, dimostrare che i requisiti formali di accettazione della clientela siano rispettati, mentre le informazioni sull’origine dei fondi non vengano valutate criticamente. L’analisi dei dati può rivelare che determinate transazioni restino sistematicamente fuori dal monitoraggio ordinario. L’analisi dei casi può evidenziare che informazioni legali, fiscali e di compliance non vengano combinate tempestivamente. La seconda linea deve tradurre tali indicazioni in modifiche concrete agli standard, ai sistemi, alla formazione, alle valutazioni dei rischi o alla governance. Deve inoltre verificare periodicamente se i propri quadri producano conseguenze indesiderate, quali oneri amministrativi sproporzionati, esclusione non necessaria di clienti legittimi o spostamento del rischio verso processi meno visibili. Una seconda linea efficace tutela quindi non soltanto il rigore, ma anche la qualità, la proporzionalità e la coerenza. La terza linea deve successivamente valutare in modo indipendente se la seconda linea disponga di autorità, competenze e distanza sufficienti, se il monitoraggio sia affidabile e se le carenze individuate conducano effettivamente a miglioramenti. Nell’ambito della Gestione Integrata dei Rischi di Criminalità Finanziaria, la seconda linea costituisce pertanto il collegamento tra direzione strategica ed esecuzione controllata: rende concrete le aspettative, organizza una contestazione sostanziale, individua tendenze a livello d’impresa e protegge l’organizzazione da decisioni commerciali e operative che oltrepassino limiti difendibili.

Assurance indipendente della terza linea

La terza linea esercita, nell’ambito della Gestione Integrata dei Rischi di Criminalità Finanziaria, una funzione indipendente e critica che va ben oltre la verifica periodica dell’esistenza formale dei singoli controlli e della loro esecuzione in conformità alle procedure documentate. L’essenza dell’assurance indipendente consiste nel valutare se la direzione strategica prescelta, la propensione al rischio definita, i comportamenti e la titolarità esercitata dalla prima linea, nonché i quadri e la contestazione forniti dalla seconda linea, producano complessivamente un sistema coerente, credibile e dimostrabilmente efficace di gestione dei rischi di criminalità finanziaria. L’internal audit non deve quindi limitarsi a verificare la completezza dei fascicoli cliente, la chiusura tempestiva degli alert di monitoraggio delle transazioni o l’aggiornamento formale delle policy. La terza linea deve essere in grado di valutare se le ipotesi alla base di tali processi e controlli rimangano valide, se i rischi pertinenti siano coperti in modo sufficientemente completo, se le responsabilità vengano effettivamente esercitate e se l’informativa gestionale offra una rappresentazione affidabile dell’esposizione reale. Un controllo può essere eseguito tecnicamente in conformità con la propria progettazione documentata e rimanere tuttavia inefficace quando la segmentazione dei rischi sia superata, i dati sottostanti siano incompleti, eccezioni rilevanti restino sistematicamente escluse dall’analisi o i collaboratori non dispongano di sufficiente fiducia o protezione organizzativa per sottoporre a escalation preoccupazioni critiche. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede quindi che la terza linea valuti il funzionamento del sistema nella sua interezza, anziché limitarsi a confermare l’esistenza dei singoli componenti. L’attenzione deve essere rivolta alle interazioni tra strategia, governance, policy, dati, tecnologia, comportamenti umani, cultura, processo decisionale, risposta agli incidenti, indagini, remediation e responsabilità manageriale. Una valutazione di assurance efficace deve dimostrare se l’organizzazione sia in grado di identificare tempestivamente i rischi di criminalità finanziaria, comprenderne la rilevanza, gestirli in modo proporzionato e renderne conto al livello di governance appropriato.

L’assurance indipendente richiede un approccio di audit basato sul rischio, sulla rilevanza e sull’effettiva efficacia operativa. La pianificazione dell’audit deve essere collegata alla valutazione dei rischi a livello d’impresa, agli sviluppi strategici, agli incidenti noti, ai cambiamenti regolamentari, ai rilievi precedenti, ai modelli di eccezione, alle informazioni sulla performance dei controlli e ai segnali provenienti dalla prima e dalla seconda linea. Un ciclo di audit statico, nel quale ciascun processo venga esaminato secondo un calendario pluriennale fisso, può risultare inadeguato quando l’esposizione evolva rapidamente o rischi significativi emergano in ambiti storicamente considerati meno rilevanti. Nuovi prodotti, canali distributivi digitali, espansione internazionale, fusioni e acquisizioni, riorganizzazioni, esternalizzazioni, turnover del personale e mutamenti delle metodologie criminali possono modificare sostanzialmente sia l’esposizione dell’organizzazione sia l’affidabilità del relativo ambiente di controllo. La terza linea deve pertanto mantenere una flessibilità sufficiente a rivedere le priorità di audit durante il ciclo e avviare verifiche mirate quando le circostanze richiedano un’attenzione immediata. La sua indipendenza deve contemporaneamente essere protetta dalle pressioni del management, dalle reazioni difensive delle funzioni sottoposte ad audit e dai tentativi di limitare l’ambito, le tempistiche o la comunicazione dei lavori. La terza linea deve disporre di un accesso appropriato e sostanzialmente illimitato a documenti, sistemi, decisori, fascicoli investigativi, relazioni interne, reclami, analisi giuridiche e corrispondenza esterna rilevante, fatti salvi i legittimi vincoli connessi alla riservatezza, al segreto professionale e alla protezione dei dati. Quando l’accesso sia limitato o determinate informazioni non siano disponibili, l’incidenza di tale limitazione sull’ambito e sull’affidabilità della conclusione di assurance deve essere espressamente indicata. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che le conclusioni di assurance non vengano formulate con un grado di certezza superiore a quello consentito dagli elementi probatori disponibili. L’assurance indipendente deve quindi distinguere chiaramente tra progettazione del controllo, attuazione ed efficacia operativa, identificando gli ambiti nei quali le evidenze siano incomplete, la performance dei controlli sia incoerente o l’esposizione residua rimanga insufficientemente compresa.

Il valore della terza linea dipende altresì dalla qualità delle conclusioni, delle raccomandazioni e del follow-up. I rilievi non devono limitarsi ad affermare in termini generali che manchino documenti, che le procedure non siano applicate coerentemente o che la supervisione manageriale debba essere rafforzata. Devono spiegare la causa sottostante della debolezza, le potenziali conseguenze per l’organizzazione e le decisioni di governance necessarie per conseguire un miglioramento duraturo. Un problema ricorrente relativo ai fascicoli dei clienti può, ad esempio, derivare da standard poco chiari, sistemi inadeguati, competenze insufficienti, incentivi confliggenti, carichi di lavoro eccessivi o accettazione consapevole dei ritardi. Ciascuna causa richiede una diversa forma di intervento. Le raccomandazioni devono pertanto essere sufficientemente specifiche da attribuire responsabilità e definire il risultato atteso, mantenendo al contempo una sufficiente indipendenza per evitare che l’internal audit assuma la responsabilità della progettazione o dell’esecuzione della risposta di controllo. La terza linea deve inoltre determinare se le misure di remediation affrontino realmente la causa originaria o si limitino a correggere sintomi amministrativi visibili. Un rilievo può essere chiuso in modo convincente soltanto quando le evidenze dimostrino che le misure concordate siano state attuate, funzionino in modo sostenibile e producano l’effetto di riduzione del rischio previsto. Le azioni rimaste aperte per periodi prolungati, le ripetute proroghe dei termini di remediation e la persistente dipendenza da soluzioni temporanee devono essere segnalate separatamente al consiglio di amministrazione e agli organi di supervisione. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che l’assurance prosegua oltre l’emissione della relazione di audit e influenzi le priorità strategiche, le decisioni di investimento, l’accettazione dei rischi, la responsabilità del management e la gestione delle conseguenze. La terza linea sostiene così un’organizzazione capace non soltanto di dichiarare l’applicazione della Gestione Integrata dei Rischi di Criminalità Finanziaria, ma anche di dimostrare indipendentemente dove i controlli siano efficaci, dove permangano incertezze e dove continui a essere necessario un intervento di governance.

Governance, mandati e chiari diritti decisionali

Una governance efficace traduce la direzione strategica della Gestione Integrata dei Rischi di Criminalità Finanziaria in responsabilità, poteri e meccanismi decisionali concreti. La Gestione Integrata dei Rischi di Criminalità Finanziaria non può funzionare quando rimanga incerto quale persona o funzione sia titolare di un rischio, quale comitato sia autorizzato a decidere, chi possa imporre condizioni, chi possa limitare o interrompere un rapporto o quale organo debba risolvere un disaccordo tra la prima e la seconda linea. Nelle organizzazioni complesse, i rischi di criminalità finanziaria vengono spesso esaminati in molteplici sedi, tra cui comitati di accettazione dei clienti, comitati prodotto, forum sanzionatori, comitati investigativi, comitati rischi, disclosure committee, audit committee e organi di management locali. Ciascuna sede può svolgere una funzione legittima, ma la frammentazione può condurre alla discussione ripetuta e parziale della stessa questione, senza che un singolo organo decisionale assuma la responsabilità del risultato integrato. Al contrario, un’eccessiva centralizzazione può causare ritardi, allontanare i decisori dalla realtà operativa e sovraccaricare gli organi superiori di governance con questioni che avrebbero potuto essere trattate adeguatamente a un livello inferiore. Una governance solida richiede pertanto una distribuzione consapevole dei diritti decisionali in funzione della natura, della portata, della complessità, dell’urgenza e del potenziale impatto del rischio. La struttura di governance deve precisare quali decisioni possano essere assunte nell’ambito dei poteri ordinari della prima linea, quando il parere o l’approvazione della seconda linea siano obbligatori, quando sia richiesta un’escalation al senior management e in quali circostanze debbano intervenire il consiglio di amministrazione o l’organo di supervisione. I mandati non devono soltanto essere formalmente documentati, ma anche chiaramente compresi, concretamente eseguibili e coerenti con le competenze e il livello di responsabilità effettivi dei decisori interessati.

Mandati chiari devono essere sostenuti da standard di escalation trasparenti e criteri decisionali rigorosi. La sola esistenza di un comitato o di un processo di approvazione non garantisce che le decisioni siano sostanzialmente solide, tempestive o coerenti. La qualità della governance dipende dalle informazioni presentate ai decisori, dalla varietà delle competenze rilevanti coinvolte, dal grado in cui le incertezze vengano rese visibili e dalla disciplina con la quale le opinioni divergenti vengano considerate e documentate. I documenti decisionali devono distinguere chiaramente tra fatti verificati, ipotesi, informazioni mancanti, vincoli giuridici, aspettative regolamentari, interessi commerciali e conseguenze potenziali. Devono impedire che un eccesso di dettaglio tecnico oscuri la questione centrale ed evitare che una soluzione preferita venga presentata senza una reale valutazione delle alternative. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che i decisori comprendano con precisione quale esposizione venga accettata, perché tale esposizione sia considerata compatibile con la direzione strategica, quali condizioni siano necessarie per controllarla e quale rischio residuo permanga dopo la loro applicazione. Le opinioni divergenti e le posizioni di minoranza devono essere documentate quando risultino rilevanti ai fini della valutazione o possano assumere importanza in un successivo riesame. Deve inoltre essere chiaro quale soggetto rimanga responsabile in via definitiva dell’attuazione e quale funzione o organo di governance vigilerà sul rispetto delle condizioni imposte. Una decisione priva di un titolare identificato, di un termine di attuazione, di un meccanismo di controllo e di una data di riesame ha un valore limitato sotto il profilo della governance. La governance deve quindi non soltanto consentire l’assunzione delle decisioni, ma anche garantirne l’attuazione, il monitoraggio, il riesame periodico e, quando necessario, la modifica o la revoca.

I mandati e i diritti decisionali devono inoltre rimanere efficaci sotto pressione commerciale, in situazioni di urgenza operativa e in presenza di conflitti di interesse effettivi o potenziali. Proprio quando le opportunità finanziarie sono significative, i termini di legge sono brevi o le conseguenze reputazionali appaiono immediate, aumenta il rischio che la governance ordinaria venga abbreviata, aggirata o sostituita da accordi informali. Procedure accelerate possono essere necessarie, ma devono essere definite preventivamente e comprendere requisiti informativi minimi, adeguati livelli di autorità, documentazione delle motivazioni e tempestivo riesame retrospettivo. Nessuna procedura accelerata deve condurre all’inosservanza di limiti giuridici fondamentali, obblighi di segnalazione regolamentare, requisiti di conservazione delle prove o garanzie di indipendenza. Anche i conflitti di interesse devono essere identificati e gestiti esplicitamente. Un responsabile commercialmente incaricato di una relazione non deve, in assenza di garanzie supplementari, operare quale unico decisore in merito all’accettazione di un rischio di integrità eccezionale nell’ambito della stessa relazione. Una funzione investigativa deve poter operare con sufficiente indipendenza quando la questione riguardi il senior management, un cliente strategico o un’unità aziendale di notevole rilevanza finanziaria. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede quindi poteri sostitutivi, canali di escalation esterni alla normale linea gerarchica e accesso diretto agli organi superiori di governance quando indipendenza, obiettività o credibilità istituzionale siano sottoposte a pressione. Una valutazione periodica della governance deve stabilire se i comitati assumano effettivamente decisioni, se i mandati rimangano coerenti con la struttura organizzativa, se le escalation avvengano in tempi adeguati e se circostanze comparabili vengano trattate in modo coerente. Una governance chiara previene pertanto non soltanto l’indecisione, ma anche risultati arbitrari, concentrazioni informali di potere e accettazioni del rischio che non possano successivamente essere ricostruite o difese.

Allineamento tra policy e prassi operative

Una policy ha valore nell’ambito della Gestione Integrata dei Rischi di Criminalità Finanziaria soltanto quando si rifletta in modo riconoscibile, coerente e dimostrabile nell’esecuzione quotidiana. Molte organizzazioni dispongono di ampi complessi di policy, procedure, standard e manuali, mentre i collaboratori operativi continuano a incontrare difficoltà nel tradurre tali documenti in azioni e decisioni concrete. Le policy possono essere giuridicamente precise e tecnicamente complete, ma fornire un orientamento pratico insufficiente a causa della loro lunghezza, astrattezza, complessità o sovrapposizione. I collaboratori possono rimanere incerti circa le informazioni da raccogliere, gli indicatori decisivi, il momento nel quale un fascicolo possa essere approvato, le circostanze nelle quali sia richiesto un parere specialistico o le modalità con cui debba essere trattata una deviazione dal processo standard. Tale incertezza crea spazio per interpretazioni locali, metodi di lavoro informali e applicazioni incoerenti tra team, unità operative, giurisdizioni o sistemi. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede quindi che i principi strategici vengano tradotti in una gerarchia coerente di policy, standard, procedure, istruzioni operative, regole di sistema e criteri decisionali. Ciascun livello deve avere una funzione distinta e collegarsi logicamente agli altri. La policy centrale deve indicare ciò che l’organizzazione intende conseguire e perché i requisiti rilevanti siano necessari. Le procedure devono chiarire responsabilità, sequenza delle attività e governance. Le istruzioni operative e i sistemi devono aiutare i collaboratori a svolgere le azioni richieste in modo corretto ed efficiente. Integrazioni locali possono essere necessarie in ragione del diritto proprio di una giurisdizione, delle condizioni del mercato o delle caratteristiche operative, ma non devono determinare un livello di protezione inferiore senza un’approvazione esplicita e adeguatamente autorizzata. La traduzione delle policy nella prassi deve essere organizzata in modo tale che i collaboratori non siano costretti a risolvere autonomamente contraddizioni tra documenti o stabilire senza orientamento quale standard debba prevalere.

Un’esecuzione dimostrabile richiede molto più della pubblicazione delle policy, di comunicazioni generali e di corsi di formazione obbligatori. I collaboratori devono essere in grado di applicare la finalità sottostante di una policy a circostanze non interamente descritte in una procedura. I rischi di criminalità finanziaria emergono frequentemente attraverso combinazioni di condotte, soggetti, transazioni e fattori contestuali che non rientrano in un singolo scenario standard. Un’attuazione efficace deve pertanto combinare trasferimento delle conoscenze, casi pratici, linee guida accessibili, supporto manageriale, controlli di qualità e consulenza specialistica. La formazione deve essere adattata al ruolo, ai poteri e all’esposizione al rischio del collaboratore interessato. Un relationship manager necessita di conoscenze e competenze decisionali differenti rispetto a un investigatore, un product developer, un data analyst, un dirigente o un componente di un comitato rischi. I responsabili devono non soltanto comprendere i requisiti applicabili, ma anche saper valutare la qualità delle decisioni, contestare motivazioni deboli, responsabilizzare i collaboratori e sottoporre a escalation gli ostacoli strutturali a un’esecuzione efficace. Nuove policy e nuovi standard devono essere valutati sotto il profilo della fattibilità operativa prima di una loro ampia implementazione. Tale valutazione deve considerare disponibilità e affidabilità dei dati, funzionalità dei sistemi, capacità del personale, dipendenze operative, tempi di lavorazione previsti e possibili conseguenze indesiderate. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che l’attuazione non venga considerata quale fase finale di comunicazione, ma come un processo coordinato di cambiamento nel quale policy, processi, sistemi, dati, responsabilità e comportamenti vengano adeguati congiuntamente. Quando nuovi requisiti vengono aggiunti senza semplificare i processi esistenti o fornire un adeguato supporto tecnologico, può insorgere una stanchezza da controllo e l’attenzione può spostarsi dalla valutazione sostanziale del rischio al mero completamento amministrativo. Una traduzione efficace delle policy richiede pertanto anche la rimozione di requisiti obsoleti, duplicati, incoerenti o sproporzionati.

L’effettivo funzionamento delle policy deve infine essere misurabile, riesaminabile e suscettibile di verifica indipendente. La percentuale di collaboratori che abbia completato un programma formativo o il numero di procedure pubblicate offre indicazioni limitate sulla qualità dell’esecuzione. L’informativa gestionale deve mostrare se i collaboratori applichino correttamente gli standard, se fascicoli comparabili vengano valutati in modo coerente, se le eccezioni siano in aumento e se gli errori individuati conducano a miglioramenti mirati e sostenibili. Controlli di qualità, analisi dei fascicoli, osservazioni dirette, data analytics, interviste e verifiche tematiche possono congiuntamente evidenziare gli ambiti nei quali le policy rimangano poco chiare o nei quali la pressione operativa ne ostacoli la corretta applicazione. I segnali provenienti da reclami, segnalazioni interne, indagini, contenziosi, interlocuzioni con le autorità di vigilanza e internal audit devono essere utilizzati per stabilire se i requisiti formali corrispondano alla realtà operativa. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede anche un processo controllato di modifica delle policy. Quando una policy venga modificata, deve essere chiaro quali processi, sistemi, contratti, materiali formativi, meccanismi di reporting, attività di controllo e procedure di assurance debbano essere adeguati. Le versioni sostituite devono essere ritirate, i periodi transitori devono essere gestiti e i casi aperti devono essere trattati secondo regole esplicite. Una modifica formalmente approvata e tecnicamente pubblicata, ma non integrata nelle operazioni, può creare un’esposizione superiore rispetto a uno standard stabile i cui limiti siano compresi e gestiti attivamente. L’obiettivo finale non è quindi una conformità meramente documentale, ma un ambiente di controllo nel quale i collaboratori comprendano le aspettative, i sistemi sostengano il metodo di lavoro previsto e l’organizzazione possa dimostrare in modo convincente che la direzione strategica prescelta venga effettivamente applicata nelle decisioni reali.

Definizione strategica delle priorità e investimenti

La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede decisioni deliberate in merito all’impiego di risorse limitate. Nessuna organizzazione dispone di capacità illimitata in termini di personale, tecnologia, dati affidabili, competenze investigative o attenzione manageriale. In assenza di priorità chiare, gli investimenti possono essere determinati principalmente da incidenti recenti, rilievi regolamentari isolati, arretrati operativi visibili o dall’influenza di determinate unità aziendali. Risorse significative possono quindi essere destinate a rischi relativamente limitati, mentre vulnerabilità strutturali presenti in processi meno visibili rimangono insufficientemente affrontate. La definizione strategica delle priorità deve pertanto iniziare con una valutazione integrata dell’esposizione inerente, della qualità dei controlli esistenti, del rischio residuo e dell’impatto potenziale. Tale valutazione deve andare oltre le perdite finanziarie immediate o le sanzioni regolamentari. Esposizione penale, limitazioni di licenze o autorizzazioni, responsabilità civile, rettifiche fiscali, esclusione dai mercati, conseguenze in materia di protezione dei dati, danni reputazionali, interruzioni operative e perdita di fiducia degli stakeholder possono produrre complessivamente un impatto notevolmente superiore al valore finanziario diretto di un incidente. Le priorità devono inoltre considerare la velocità con la quale un rischio possa svilupparsi, la possibilità pratica di remediation, il rischio di concentrazione e la dipendenza da sistemi, fornitori o persone essenziali. Una carenza di controllo apparentemente limitata può essere strategicamente urgente quando riguardi una parte significativa del portafoglio clienti, indebolisca più controlli contemporaneamente o risulti particolarmente difficile da correggere dopo il verificarsi di un incidente. La Gestione Integrata dei Rischi di Criminalità Finanziaria collega pertanto le decisioni di investimento all’esposizione significativa e agli obiettivi strategici, anziché ai soli modelli storici di spesa, ai confini organizzativi o ai requisiti minimi formali.

Un investimento mirato richiede una valutazione equilibrata di persone, processi, dati, tecnologia e governance. Le soluzioni tecnologiche possono produrre miglioramenti rilevanti nello screening delle sanzioni, nel monitoraggio delle transazioni, nell’analisi delle reti, nella gestione dei fascicoli, nel supporto investigativo e nell’informativa gestionale, ma non possono risolvere una propensione al rischio poco chiara, una titolarità insufficiente o una governance inadeguata. Risorse umane aggiuntive non possono compensare indefinitamente inefficienze strutturali quando i sistemi generino volumi eccessivi di alert irrilevanti, i processi contengano duplicazioni non necessarie o i collaboratori non dispongano di accesso a informazioni affidabili. Ciascun investimento deve quindi essere valutato con riferimento al problema specifico che intende risolvere, alle condizioni necessarie per una corretta implementazione e all’effetto atteso sul rischio residuo. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede un business case chiaro che descriva costi, benefici, riduzione del rischio, complessità di attuazione, dipendenze operative e risultati misurabili. Gli investimenti nella qualità dei dati meritano particolare attenzione. Dati incompleti, incoerenti o inaccessibili indeboliscono quasi ogni elemento della gestione dei rischi di criminalità finanziaria. In assenza di dati affidabili sui clienti, informazioni sulle transazioni, dati proprietari e collegamenti efficaci tra i sistemi, anche le tecnologie analitiche più sofisticate opereranno con precisione limitata e copertura incompleta. Al contempo, grandi programmi tecnologici non devono assorbire risorse per periodi prolungati senza produrre riduzioni intermedie del rischio. Un’attuazione per fasi, risultati minimi chiaramente definiti e una rivalutazione periodica sono necessari per evitare che i programmi strategici si distacchino dalle esigenze operative attuali e dall’evoluzione delle condizioni di rischio.

La definizione delle priorità deve inoltre riflettersi in modo visibile nella pianificazione finanziaria, nella governance dei programmi e nella gestione del portafoglio degli investimenti. Le risorse non devono essere attribuite esclusivamente per funzione, unità aziendale o entità giuridica quando i rischi rilevanti siano trasversali e interessino contemporaneamente più parti dell’organizzazione. Un programma centrale di remediation può, ad esempio, dipendere dal miglioramento locale dei dati, da modifiche ai processi di prodotto, da analisi legali, dallo sviluppo dei sistemi, dal reclutamento di specialisti e da controlli di qualità supplementari. In assenza di una direzione integrata, ciascuna funzione può ottimizzare il proprio contributo individuale, mentre il risultato complessivo rimane insufficiente. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede pertanto un portafoglio coerente di investimenti, nel quale le iniziative vengano classificate secondo rilevanza, urgenza, dipendenze ed effetto atteso sulla riduzione del rischio. I decisori devono poter identificare quali rischi vengano consapevolmente affrontati in una fase successiva, quali controlli temporanei siano utilizzati e quali conseguenze possano derivare dalla riduzione delle risorse o dai ritardi nei progetti. Dopo l’attuazione, l’organizzazione deve determinare se l’investimento abbia prodotto il risultato atteso. Un nuovo sistema di monitoraggio non costituisce un successo soltanto perché sia stato tecnicamente implementato, ma perché consente una rilevazione più accurata dei rischi rilevanti, migliora la qualità della valutazione e mantiene gli oneri operativi non necessari entro limiti proporzionati. Un programma formativo non è efficace semplicemente perché il tasso di partecipazione sia elevato, ma perché produca un miglioramento dimostrabile nei comportamenti, nel giudizio e nelle decisioni. Gli investimenti strategici devono quindi essere trattati come interventi di governance sui rischi di criminalità finanziaria e sottoposti alla stessa disciplina in materia di titolarità, obiettivi, evidenze, riesame e responsabilità prevista per le altre decisioni rilevanti dell’impresa.

Supervisione del consiglio di amministrazione e responsabilità esecutiva

Il consiglio di amministrazione e gli organi di supervisione assumono la responsabilità ultima per la direzione strategica, la progettazione e l’efficacia della Gestione Integrata dei Rischi di Criminalità Finanziaria. Tale responsabilità non può essere integralmente delegata alle funzioni compliance, legale, risk management, internal audit o a comitati specialistici. La delega dell’esecuzione non elimina l’obbligo di governance di comprendere i rischi di criminalità finanziaria ai quali l’organizzazione sia esposta, le decisioni strategiche che creino o aumentino tale esposizione e se il livello di controllo disponibile sia proporzionato alla natura e alla portata del rischio. Gli amministratori devono essere in grado di spiegare le principali categorie di rischio, i prodotti vulnerabili, i segmenti di clientela rilevanti, le esposizioni geografiche e le carenze strutturali di controllo che interessano l’organizzazione. Gli organi di supervisione devono valutare indipendentemente se la direzione prescelta sia credibile, se il management fornisca risorse sufficienti e organizzi una contestazione effettiva e se le ambizioni commerciali stiano producendo un ampliamento di fatto della propensione al rischio approvata. Tale responsabilità richiede molto più della ricezione periodica di dashboard, sintesi degli incidenti o relazioni di remediation. La qualità della supervisione dipende dalle domande poste, dalle informazioni richieste, dalla qualità della contestazione esercitata e dalla disponibilità a limitare o sospendere attività quando i controlli rimangano inadeguati. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che il consiglio di amministrazione e gli organi di supervisione considerino la gestione dei rischi di criminalità finanziaria come una questione strategica d’impresa, connessa alla continuità, alla reputazione, alla posizione giuridica, alla legittimità sociale, alla fiducia degli stakeholder e all’accesso ai mercati.

Una supervisione efficace del consiglio di amministrazione richiede informazioni affidabili, equilibrate e orientate alla decisione. La reportistica non deve limitarsi al numero di alert, segnalazioni regolamentari, indagini o azioni di remediation ancora aperte. Deve fornire indicazioni sulle tendenze, sulle cause, sulle concentrazioni, sulle eccezioni, sulle criticità relative alla qualità dei controlli e sull’evoluzione del rischio residuo. Una riduzione del numero di alert può indicare un miglioramento della segmentazione e della qualità della rilevazione, ma può anche rivelare un malfunzionamento del sistema, dati incompleti o un perimetro di monitoraggio eccessivamente ristretto. Un aumento delle segnalazioni può riflettere un deterioramento del profilo di rischio, ma può ugualmente dimostrare un miglior riconoscimento dei segnali e una più efficace escalation. Gli amministratori devono pertanto disporre di un contesto sufficiente per interpretare i dati e comprendere le incertezze che li accompagnano. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede inoltre che le informazioni positive non vengano presentate separatamente da limiti rilevanti e questioni irrisolte. Le relazioni devono indicare chiaramente gli ambiti nei quali i dati rimangano incompleti, i modelli non siano ancora stati validati, le misure temporanee restino operative o le unità aziendali continuino a operare al di fuori dei limiti stabiliti. La seconda linea deve disporre di accesso diretto al consiglio di amministrazione e agli organi di supervisione quando criticità rilevanti non vengano affrontate adeguatamente attraverso i normali canali manageriali. La terza linea deve poter riferire senza restrizioni inappropriate sulle carenze riguardanti sia la prima sia la seconda linea. Anche le analisi giuridiche e gli esiti investigativi devono essere condivisi in modo da consentire al consiglio di esercitare le proprie responsabilità di governance, preservando al contempo, ove necessario, la riservatezza, il segreto professionale e la strategia contenziosa. Informazioni di elevata qualità non garantiscono decisioni corrette, ma informazioni insufficienti, frammentate o eccessivamente favorevoli rendono quasi impossibile una supervisione realmente significativa.

La responsabilità esecutiva acquisisce infine sostanza attraverso decisioni visibili, follow-up costante e conseguenze appropriate. Quando siano note carenze rilevanti, gli amministratori devono stabilire se le attività interessate possano proseguire, a quali condizioni tale prosecuzione rimanga difendibile e entro quale termine debba essere completata la remediation. Ritardi ripetuti, limitazioni strutturali di capacità, carenze ricorrenti dei controlli e prolungata dipendenza da misure temporanee non devono essere trattati come semplici questioni operative quando incidano significativamente sul profilo di rischio dell’organizzazione. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che le responsabilità vengano attribuite a specifici amministratori e dirigenti, che gli obiettivi rilevanti vengano integrati nelle valutazioni delle prestazioni e che negligenza, elusione deliberata o persistente inattività producano conseguenze proporzionate. Al contempo, una supervisione efficace deve impedire che la responsabilità venga attribuita esclusivamente ai collaboratori che abbiano commesso un singolo errore quando le cause sottostanti risiedano in sistemi inadeguati, incentivi confliggenti, carenza di personale o governance insufficiente. La responsabilità esecutiva comprende sia la responsabilità individuale sia la responsabilità per le condizioni nelle quali le decisioni vengano assunte e i controlli siano chiamati a operare. Gli organi di supervisione devono inoltre valutare periodicamente se dispongano essi stessi delle competenze, delle informazioni, dell’indipendenza e del tempo necessari a svolgere efficacemente il proprio ruolo. Quando conoscenze o capacità siano insufficienti, devono essere considerate una formazione mirata, il ricorso a competenze esterne o modifiche nella composizione. Un’organizzazione può esprimere credibilmente la propria ambizione in materia di integrità soltanto quando il consiglio di amministrazione e gli organi di supervisione dimostrino che i rischi di criminalità finanziaria non vengono esaminati esclusivamente dopo il verificarsi di un incidente, ma sono integrati strutturalmente nella strategia, negli investimenti, nella remunerazione, nelle decisioni relative ai prodotti, nell’ingresso nei mercati, nelle acquisizioni e nel processo decisionale a livello d’impresa. La direzione strategica non viene così soltanto definita, ma continuamente supervisionata, verificata, adeguata e assunta come responsabilità.

Assurance indipendente della terza linea

La terza linea svolge, nell’ambito della Gestione Integrata dei Rischi di Criminalità Finanziaria, una funzione indipendente e critica che si estende ben oltre la verifica periodica dell’esistenza formale dei singoli controlli e della loro esecuzione in conformità alle procedure documentate. L’essenza dell’assurance indipendente consiste nel valutare se la direzione strategica prescelta, la propensione al rischio definita, i comportamenti e la titolarità esercitati dalla prima linea, nonché i quadri di riferimento e la contestazione forniti dalla seconda linea, producano complessivamente un sistema coerente, credibile e dimostrabilmente efficace di Gestione Integrata dei Rischi di Criminalità Finanziaria. L’internal audit non deve pertanto limitarsi a verificare se i fascicoli dei clienti siano completi, se gli alert generati dal monitoraggio delle transazioni siano stati chiusi entro i termini prescritti o se le policy risultino formalmente aggiornate. La terza linea deve essere in grado di valutare se le ipotesi sulle quali tali processi e controlli si fondano rimangano valide, se i rischi pertinenti siano affrontati in modo sufficientemente completo, se le responsabilità vengano effettivamente esercitate e se l’informativa gestionale fornisca una rappresentazione attendibile dell’esposizione reale. Un controllo può essere eseguito tecnicamente in conformità alla propria progettazione documentata e risultare, nondimeno, inefficace qualora la segmentazione dei rischi sia superata, i dati sottostanti siano incompleti, eccezioni rilevanti rimangano sistematicamente escluse dalle verifiche o i collaboratori non dispongano della fiducia e della protezione organizzativa necessarie per sottoporre a escalation preoccupazioni critiche. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede quindi che la terza linea valuti il funzionamento del sistema nel suo complesso, anziché limitarsi a confermare l’esistenza dei singoli elementi che lo compongono. L’attenzione deve concentrarsi sulle interazioni tra strategia, governance, policy, dati, tecnologia, comportamenti umani, cultura, processo decisionale, risposta agli incidenti, indagini, remediation e responsabilità manageriale. Una valutazione di assurance efficace deve dimostrare se l’organizzazione sia in grado di identificare tempestivamente i rischi di criminalità finanziaria, comprenderne la rilevanza, gestirli in modo proporzionato e renderne conto al livello di governance appropriato.

L’assurance indipendente richiede un approccio di audit fondato sul rischio, sulla rilevanza e sull’effettiva efficacia operativa. La pianificazione dell’audit deve essere collegata alla valutazione dei rischi a livello d’impresa, agli sviluppi strategici, agli incidenti noti, ai mutamenti regolamentari, ai rilievi precedenti, ai modelli ricorrenti di eccezione, alle informazioni sulla performance dei controlli e ai segnali provenienti dalla prima e dalla seconda linea. Un ciclo di audit statico, nel quale ciascun processo venga esaminato secondo un calendario pluriennale prestabilito, può rivelarsi insufficiente quando l’esposizione evolva rapidamente o rischi rilevanti emergano in ambiti storicamente considerati meno significativi. Nuovi prodotti, canali distributivi digitali, espansione internazionale, fusioni e acquisizioni, riorganizzazioni, accordi di esternalizzazione, turnover del personale e cambiamenti nelle metodologie criminali possono modificare in misura sostanziale sia l’esposizione dell’organizzazione sia l’affidabilità del relativo ambiente di controllo. La terza linea deve pertanto mantenere una flessibilità sufficiente per rivedere le priorità di audit nel corso del ciclo e avviare verifiche mirate quando le circostanze richiedano un’attenzione immediata. La sua indipendenza deve, al contempo, essere protetta da pressioni manageriali, reazioni difensive delle funzioni sottoposte ad audit e tentativi di limitare l’ambito, le tempistiche o la comunicazione dei risultati del proprio lavoro. La terza linea deve disporre di un accesso appropriato e sostanzialmente illimitato a documenti, sistemi, decisori, fascicoli investigativi, relazioni interne, reclami, analisi giuridiche e corrispondenza esterna rilevante, fatti salvi i legittimi vincoli relativi alla riservatezza, al segreto professionale e alla protezione dei dati. Qualora l’accesso sia limitato o determinate informazioni rimangano indisponibili, l’incidenza di tale limitazione sull’ambito e sull’affidabilità della conclusione di assurance deve essere espressamente indicata. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che le conclusioni di assurance non vengano formulate con un grado di certezza superiore a quello consentito dagli elementi probatori disponibili. L’assurance indipendente deve quindi distinguere chiaramente tra progettazione del controllo, attuazione ed efficacia operativa, individuando gli ambiti nei quali le evidenze risultino incomplete, la performance dei controlli sia incoerente o l’esposizione residua rimanga insufficientemente compresa.

Il valore della terza linea dipende altresì dalla qualità delle conclusioni, delle raccomandazioni e del follow-up. I rilievi non devono limitarsi a osservazioni generiche secondo cui mancherebbero determinati documenti, le procedure non verrebbero applicate in modo coerente o la supervisione manageriale dovrebbe essere rafforzata. Essi devono spiegare la causa sottostante della carenza, le potenziali conseguenze per l’organizzazione e le decisioni di governance necessarie per conseguire un miglioramento sostenibile. Un problema ricorrente relativo ai fascicoli dei clienti può, ad esempio, derivare da standard poco chiari, sistemi inadeguati, competenze insufficienti, incentivi confliggenti, carichi di lavoro eccessivi o dall’accettazione consapevole di ritardi. Ciascuna causa richiede una forma di intervento differente. Le raccomandazioni devono pertanto essere sufficientemente specifiche da attribuire responsabilità e definire il risultato atteso, pur mantenendo un livello di indipendenza tale da evitare che l’internal audit assuma la responsabilità della progettazione o dell’esecuzione della risposta di controllo. La terza linea deve inoltre valutare se le misure di remediation affrontino realmente la causa originaria o si limitino a correggere i sintomi amministrativi più visibili. Un rilievo può essere chiuso in modo convincente soltanto quando le evidenze dimostrino che le misure concordate siano state attuate, funzionino in modo sostenibile e producano l’effetto di riduzione del rischio previsto. Le azioni rimaste aperte per periodi prolungati, le ripetute proroghe dei termini di remediation e la persistente dipendenza da soluzioni temporanee devono essere segnalate separatamente al consiglio di amministrazione e agli organi di supervisione. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che l’assurance prosegua oltre l’emissione della relazione di audit e influenzi la definizione delle priorità strategiche, le decisioni di investimento, l’accettazione dei rischi, la responsabilità manageriale e la gestione delle conseguenze. La terza linea sostiene così un’organizzazione capace non soltanto di affermare che la Gestione Integrata dei Rischi di Criminalità Finanziaria venga applicata, ma anche di dimostrare in modo indipendente dove i controlli risultino efficaci, dove permangano incertezze e dove continui a essere necessario un intervento di governance.

Governance, mandati e chiari diritti decisionali

Una governance efficace traduce la direzione strategica della Gestione Integrata dei Rischi di Criminalità Finanziaria in responsabilità, poteri e meccanismi decisionali concreti. La Gestione Integrata dei Rischi di Criminalità Finanziaria non può funzionare quando rimanga incerto quale persona o funzione sia titolare di un rischio, quale comitato sia autorizzato ad assumere una decisione, chi possa imporre condizioni, chi possa limitare o cessare un rapporto e quale organo debba risolvere un disaccordo tra la prima e la seconda linea. Nelle organizzazioni complesse, i rischi di criminalità finanziaria vengono spesso esaminati nell’ambito di molteplici sedi, tra cui comitati per l’accettazione della clientela, comitati prodotto, forum dedicati alle sanzioni, comitati investigativi, comitati rischi, comitati per la comunicazione di informazioni, comitati di audit e organi di management locali. Ciascuna sede può svolgere una funzione legittima, ma la frammentazione può condurre alla discussione ripetuta e parziale della medesima questione senza che un singolo organo decisionale assuma la responsabilità del risultato complessivo. Al contrario, un’eccessiva centralizzazione può generare ritardi, allontanare i decisori dalla realtà operativa e sovraccaricare gli organi superiori di governance con questioni che avrebbero potuto essere affrontate adeguatamente a un livello inferiore. Una governance solida richiede pertanto una distribuzione consapevole dei diritti decisionali, basata sulla natura, sulla portata, sulla complessità, sull’urgenza e sul potenziale impatto del rischio. La struttura di governance deve chiarire quali decisioni possano essere assunte nell’ambito dei poteri ordinari della prima linea, quando il parere o l’approvazione della seconda linea siano obbligatori, quando sia necessaria un’escalation al senior management e in quali circostanze debbano intervenire il consiglio di amministrazione o gli organi di supervisione. I mandati non devono essere soltanto formalmente documentati, ma anche chiaramente compresi, concretamente esercitabili e coerenti con le effettive competenze e il livello di responsabilità dei decisori interessati.

Mandati chiari devono essere sostenuti da standard di escalation trasparenti e da criteri decisionali rigorosi. La mera esistenza di un comitato o di un processo di approvazione non garantisce che le decisioni siano sostanzialmente solide, tempestive o coerenti. La qualità della governance è determinata dalle informazioni presentate ai decisori, dalla varietà delle competenze pertinenti coinvolte, dalla misura in cui le incertezze vengano rese visibili e dalla disciplina con cui opinioni divergenti vengano considerate e documentate. I documenti decisionali devono distinguere chiaramente tra fatti verificati, ipotesi, informazioni mancanti, limiti giuridici, aspettative regolamentari, interessi commerciali e potenziali conseguenze. Devono evitare che un eccesso di dettaglio tecnico oscuri la questione centrale e impedire che una soluzione preferita venga presentata senza un’effettiva valutazione di alternative realistiche. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che i decisori comprendano con precisione quale esposizione venga accettata, perché tale esposizione sia ritenuta compatibile con la direzione strategica dell’organizzazione, quali condizioni siano necessarie per controllarla e quale rischio residuo permanga dopo l’applicazione di tali condizioni. Le opinioni divergenti e le posizioni di minoranza devono essere documentate quando risultino rilevanti ai fini della valutazione o possano assumere importanza in occasione di un successivo riesame. Deve inoltre essere chiaro quale soggetto rimanga responsabile in via definitiva dell’attuazione e quale funzione o organo di governance vigilerà sul rispetto delle condizioni imposte. Una decisione priva di un titolare identificato, di un termine di attuazione, di un meccanismo di controllo e di una data di riesame presenta un valore limitato sotto il profilo della governance. La governance deve quindi non soltanto consentire l’assunzione delle decisioni, ma anche garantirne l’attuazione, il monitoraggio, il riesame periodico e, ove necessario, la modifica o la revoca.

I mandati e i diritti decisionali devono inoltre rimanere efficaci in presenza di pressioni commerciali, urgenza operativa e conflitti di interesse effettivi o potenziali. Proprio quando le opportunità finanziarie sono significative, i termini legali risultano brevi o le conseguenze reputazionali appaiono immediate, aumenta il rischio che la governance ordinaria venga abbreviata, aggirata o sostituita da accordi informali. Procedure accelerate possono essere necessarie, ma devono essere definite preventivamente e comprendere requisiti informativi minimi, adeguati livelli di autorità, documentazione delle motivazioni e un tempestivo riesame retrospettivo. Nessuna procedura accelerata deve comportare l’inosservanza di limiti giuridici fondamentali, obblighi di segnalazione regolamentare, requisiti di conservazione delle prove o garanzie di indipendenza. Anche i conflitti di interesse devono essere identificati e gestiti espressamente. Un responsabile commercialmente incaricato di un determinato rapporto non deve, in assenza di garanzie supplementari, agire quale unico decisore in merito all’accettazione di un rischio di integrità eccezionale nell’ambito dello stesso rapporto. Una funzione investigativa deve poter operare con sufficiente indipendenza quando la questione riguardi il senior management, un cliente strategico o un’unità aziendale di notevole rilevanza finanziaria. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede pertanto poteri sostitutivi, canali di escalation esterni alla normale linea gerarchica e accesso diretto agli organi superiori di governance quando indipendenza, obiettività o credibilità istituzionale siano sottoposte a pressione. Una valutazione periodica della governance deve stabilire se i comitati assumano effettivamente decisioni, se i mandati rimangano coerenti con la struttura organizzativa, se le escalation avvengano entro tempi appropriati e se circostanze comparabili vengano trattate in modo coerente. Una governance chiara previene quindi non soltanto l’indecisione, ma anche esiti arbitrari, concentrazioni informali di potere e accettazioni del rischio che non possano successivamente essere ricostruite o difese.

Allineamento tra policy e prassi operative

Una policy assume valore nell’ambito della Gestione Integrata dei Rischi di Criminalità Finanziaria soltanto quando si rifletta in modo riconoscibile, coerente e dimostrabile nell’esecuzione quotidiana. Molte organizzazioni dispongono di ampi complessi di policy, procedure, standard e manuali, mentre i collaboratori operativi continuano a incontrare difficoltà nel tradurre tali documenti in azioni e decisioni concrete. Le policy possono essere giuridicamente precise e tecnicamente complete, ma offrire un orientamento pratico insufficiente a causa della loro lunghezza, astrattezza, complessità o sovrapposizione. I collaboratori possono rimanere incerti in merito alle informazioni da raccogliere, agli indicatori decisivi, al momento in cui un fascicolo possa essere approvato, alle circostanze nelle quali sia necessario un parere specialistico o alle modalità con cui debba essere gestita una deviazione dal processo standard. Tale incertezza crea spazio per interpretazioni locali, metodi di lavoro informali e applicazioni incoerenti tra team, unità aziendali, giurisdizioni o sistemi. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede quindi che i principi strategici vengano tradotti in una gerarchia coerente di policy, standard, procedure, istruzioni operative, regole di sistema e criteri decisionali. Ciascun livello deve avere una funzione distinta e collegarsi logicamente agli altri. La policy centrale deve indicare ciò che l’organizzazione intende conseguire e per quale ragione i requisiti rilevanti siano necessari. Le procedure devono chiarire responsabilità, sequenza delle attività e governance. Le istruzioni operative e i sistemi devono sostenere i collaboratori nell’esecuzione corretta ed efficiente delle attività richieste. Integrazioni locali possono essere necessarie in ragione della legislazione applicabile in una determinata giurisdizione, delle condizioni del mercato o delle caratteristiche operative, ma non devono determinare un livello di protezione inferiore in assenza di un’approvazione esplicita e adeguatamente autorizzata. La traduzione delle policy nella pratica deve essere organizzata in modo tale che i collaboratori non siano costretti a risolvere autonomamente contraddizioni tra documenti o a stabilire senza indicazioni quale standard debba prevalere.

Un’esecuzione dimostrabile richiede molto più della pubblicazione delle policy, di comunicazioni generali e di programmi formativi obbligatori. I collaboratori devono essere in grado di applicare la finalità sottostante di una policy a circostanze non interamente descritte in una procedura. I rischi di criminalità finanziaria emergono frequentemente attraverso combinazioni di condotte, soggetti, transazioni e fattori contestuali che non rientrano in un singolo scenario standard. Un’attuazione efficace deve pertanto combinare trasferimento delle conoscenze, casi pratici, linee guida accessibili, supporto manageriale, controlli di qualità e consulenza specialistica. La formazione deve essere adattata al ruolo, ai poteri e all’esposizione al rischio del collaboratore interessato. Un relationship manager necessita di conoscenze e competenze decisionali differenti rispetto a un investigatore, a un product developer, a un data analyst, a un dirigente o a un componente di un comitato rischi. I responsabili devono non soltanto comprendere i requisiti applicabili, ma anche saper valutare la qualità delle decisioni, contestare motivazioni deboli, responsabilizzare i collaboratori e sottoporre a escalation gli ostacoli strutturali a un’esecuzione efficace. Le nuove policy e i nuovi standard devono essere valutati sotto il profilo della fattibilità operativa prima di una loro implementazione su vasta scala. Tale valutazione deve considerare disponibilità e affidabilità dei dati, funzionalità dei sistemi, capacità del personale, dipendenze operative, tempi di lavorazione previsti e possibili conseguenze indesiderate. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che l’attuazione non venga considerata quale fase finale di comunicazione, ma come un processo coordinato di cambiamento nel quale policy, processi, sistemi, dati, responsabilità e comportamenti vengano adeguati congiuntamente. Quando nuovi requisiti vengono aggiunti senza semplificare i processi esistenti o fornire un adeguato supporto tecnologico, può insorgere una forma di affaticamento da controllo e l’attenzione può spostarsi dalla valutazione sostanziale del rischio al mero completamento amministrativo. Una traduzione efficace delle policy richiede pertanto anche la rimozione di requisiti obsoleti, duplicati, incoerenti o sproporzionati.

L’effettivo funzionamento delle policy deve, infine, essere misurabile, riesaminabile e suscettibile di verifica indipendente. La percentuale di collaboratori che abbia completato un programma formativo o il numero di procedure pubblicate offre soltanto indicazioni limitate sulla qualità dell’esecuzione. L’informativa gestionale deve mostrare se i collaboratori applichino correttamente gli standard, se fascicoli comparabili vengano valutati in modo coerente, se le eccezioni siano in aumento e se gli errori individuati conducano a miglioramenti mirati e sostenibili. Controlli di qualità, analisi dei fascicoli, osservazioni dirette, analisi dei dati, interviste e verifiche tematiche possono congiuntamente evidenziare gli ambiti nei quali le policy rimangano insufficientemente chiare o nei quali la pressione operativa ne ostacoli la corretta applicazione. I segnali provenienti da reclami, segnalazioni interne, indagini, contenziosi, interlocuzioni con le autorità di vigilanza e internal audit devono essere utilizzati per stabilire se i requisiti formali corrispondano alla realtà operativa. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede altresì un processo controllato di modifica delle policy. Quando una policy venga modificata, deve risultare chiaro quali processi, sistemi, contratti, materiali formativi, meccanismi di reporting, attività di controllo e procedure di assurance debbano essere adeguati. Le versioni sostituite devono essere ritirate, i periodi transitori devono essere gestiti e i casi ancora aperti devono essere trattati secondo regole esplicite. Una modifica formalmente approvata e tecnicamente pubblicata, ma non integrata nelle attività operative, può creare un’esposizione superiore rispetto a uno standard stabile i cui limiti siano compresi e gestiti attivamente. L’obiettivo finale non consiste pertanto in una conformità meramente documentale, ma in un ambiente di controllo nel quale i collaboratori comprendano le aspettative, i sistemi sostengano il metodo di lavoro previsto e l’organizzazione possa dimostrare in modo convincente che la direzione strategica prescelta venga effettivamente applicata nelle decisioni reali.

Definizione strategica delle priorità e investimenti

La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede decisioni consapevoli in merito all’impiego di risorse limitate. Nessuna organizzazione dispone di capacità illimitate in termini di personale, tecnologia, dati affidabili, competenze investigative o attenzione manageriale. In assenza di priorità chiare, gli investimenti possono essere determinati principalmente da incidenti recenti, rilievi regolamentari isolati, arretrati operativi visibili o dall’influenza esercitata da determinate unità aziendali. Risorse significative possono quindi essere destinate a rischi relativamente limitati, mentre vulnerabilità strutturali presenti in processi meno visibili rimangono insufficientemente affrontate. La definizione strategica delle priorità deve pertanto iniziare con una valutazione integrata dell’esposizione inerente, della qualità dei controlli esistenti, del rischio residuo e del potenziale impatto. Tale valutazione deve estendersi oltre le perdite finanziarie immediate o le sanzioni regolamentari. Esposizione penale, limitazioni di licenze o autorizzazioni, responsabilità civile, rettifiche fiscali, esclusione dai mercati, conseguenze in materia di protezione dei dati, danni reputazionali, interruzioni operative e perdita di fiducia da parte degli stakeholder possono produrre complessivamente un impatto considerevolmente superiore al valore finanziario diretto di un incidente. Le priorità devono inoltre considerare la rapidità con cui un rischio possa svilupparsi, la concreta possibilità di remediation, il rischio di concentrazione e la dipendenza da sistemi, fornitori o persone essenziali. Una carenza di controllo apparentemente limitata può assumere carattere strategicamente urgente quando interessi una parte rilevante del portafoglio clienti, indebolisca contemporaneamente più controlli o risulti particolarmente difficile da correggere dopo il verificarsi di un incidente. La Gestione Integrata dei Rischi di Criminalità Finanziaria collega pertanto le decisioni di investimento all’esposizione rilevante e agli obiettivi strategici, anziché ai soli modelli storici di spesa, ai confini organizzativi o ai requisiti minimi formali.

Un investimento mirato richiede una valutazione equilibrata delle persone, dei processi, dei dati, della tecnologia e della governance. Le soluzioni tecnologiche possono produrre miglioramenti rilevanti nello screening delle sanzioni, nel monitoraggio delle transazioni, nell’analisi delle reti, nella gestione dei fascicoli, nel supporto alle indagini e nell’informativa gestionale, ma non possono risolvere una propensione al rischio poco chiara, una titolarità insufficiente o una governance inadeguata. Risorse umane aggiuntive non possono compensare indefinitamente inefficienze strutturali quando i sistemi generino volumi eccessivi di alert irrilevanti, i processi contengano duplicazioni non necessarie o i collaboratori non abbiano accesso a informazioni affidabili. Ciascun investimento deve quindi essere valutato con riferimento al problema specifico che intende risolvere, alle condizioni necessarie per una corretta implementazione e all’effetto atteso sul rischio residuo. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede un business case chiaro che descriva costi, benefici, riduzione del rischio, complessità di attuazione, dipendenze operative e risultati misurabili. Gli investimenti nella qualità dei dati meritano particolare attenzione. Dati incompleti, incoerenti o inaccessibili indeboliscono quasi ogni elemento della gestione dei rischi di criminalità finanziaria. In assenza di dati affidabili sui clienti, informazioni sulle transazioni, dati proprietari e collegamenti efficaci tra sistemi, anche le tecnologie analitiche più sofisticate opereranno con precisione limitata e copertura incompleta. Al contempo, i grandi programmi tecnologici non devono assorbire risorse per periodi prolungati senza produrre riduzioni intermedie del rischio. Un’attuazione per fasi, risultati minimi chiaramente definiti e una rivalutazione periodica sono necessari per evitare che i programmi strategici si distacchino dalle esigenze operative attuali e dall’evoluzione delle condizioni di rischio.

La definizione delle priorità deve inoltre riflettersi in modo visibile nella pianificazione finanziaria, nella governance dei programmi e nella gestione del portafoglio degli investimenti. Le risorse non devono essere attribuite esclusivamente per funzione, unità aziendale o entità giuridica quando i rischi rilevanti siano trasversali e interessino contemporaneamente più parti dell’organizzazione. Un programma centrale di remediation può, ad esempio, dipendere dal miglioramento locale dei dati, da modifiche ai processi di prodotto, da analisi giuridiche, dallo sviluppo dei sistemi, dal reclutamento di specialisti e da controlli di qualità supplementari. In assenza di una direzione integrata, ciascuna funzione può ottimizzare il proprio contributo individuale mentre il risultato complessivo rimane insufficiente. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede pertanto un portafoglio coerente di investimenti nel quale le iniziative vengano classificate secondo rilevanza, urgenza, dipendenze ed effetto atteso sulla riduzione del rischio. I decisori devono poter identificare quali rischi vengano consapevolmente affrontati in una fase successiva, quali controlli temporanei siano utilizzati e quali conseguenze possano derivare dalla riduzione delle risorse o dai ritardi nei progetti. Dopo l’attuazione, l’organizzazione deve determinare se l’investimento abbia prodotto il risultato atteso. Un nuovo sistema di monitoraggio non può essere considerato efficace soltanto perché sia stato tecnicamente implementato, ma perché consente una rilevazione più accurata dei rischi rilevanti, migliora la qualità della valutazione e mantiene gli oneri operativi non necessari entro limiti proporzionati. Un programma formativo non è efficace semplicemente perché il tasso di partecipazione sia elevato, ma perché produca un miglioramento dimostrabile nei comportamenti, nel giudizio professionale e nelle decisioni. Gli investimenti strategici devono quindi essere trattati come interventi di governance sui rischi di criminalità finanziaria e sottoposti alla medesima disciplina in materia di titolarità, obiettivi, evidenze, riesame e responsabilità prevista per le altre decisioni rilevanti dell’impresa.

Supervisione del consiglio di amministrazione e responsabilità esecutiva

Il consiglio di amministrazione e gli organi di supervisione assumono la responsabilità ultima per la direzione strategica, la progettazione e l’efficacia della Gestione Integrata dei Rischi di Criminalità Finanziaria. Tale responsabilità non può essere integralmente delegata alle funzioni compliance, legale, risk management, internal audit o a comitati specialistici. La delega dell’esecuzione non elimina l’obbligo di governance di comprendere i rischi di criminalità finanziaria ai quali l’organizzazione sia esposta, le decisioni strategiche che creino o aumentino tale esposizione e se il livello di controllo disponibile sia proporzionato alla natura e alla portata del rischio. Gli amministratori devono essere in grado di spiegare le principali categorie di rischio, i prodotti vulnerabili, i segmenti di clientela rilevanti, le esposizioni geografiche e le carenze strutturali di controllo che interessano l’organizzazione. Gli organi di supervisione devono valutare in modo indipendente se la direzione prescelta sia credibile, se il management fornisca risorse sufficienti e organizzi una contestazione effettiva e se le ambizioni commerciali stiano determinando un ampliamento di fatto della propensione al rischio approvata. Tale responsabilità richiede molto più della ricezione periodica di dashboard, sintesi degli incidenti o relazioni di remediation. La qualità della supervisione dipende dalle domande formulate, dalle informazioni richieste, dalla qualità della contestazione esercitata e dalla disponibilità a limitare o sospendere determinate attività quando i controlli rimangano inadeguati. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che il consiglio di amministrazione e gli organi di supervisione considerino la gestione dei rischi di criminalità finanziaria come una questione strategica d’impresa, connessa alla continuità, alla reputazione, alla posizione giuridica, alla legittimità sociale, alla fiducia degli stakeholder e all’accesso ai mercati.

Una supervisione efficace del consiglio di amministrazione richiede informazioni affidabili, equilibrate e orientate alla decisione. La reportistica non deve limitarsi al numero di alert, segnalazioni regolamentari, indagini o azioni di remediation ancora aperte. Deve fornire indicazioni sulle tendenze, sulle cause, sulle concentrazioni, sulle eccezioni, sulle criticità relative alla qualità dei controlli e sull’evoluzione del rischio residuo. Una riduzione del numero di alert può indicare un miglioramento della segmentazione e della qualità della rilevazione, ma può anche rivelare un malfunzionamento del sistema, dati incompleti o un perimetro di monitoraggio eccessivamente ristretto. Un aumento delle segnalazioni può riflettere un deterioramento del profilo di rischio, ma può parimenti dimostrare un migliore riconoscimento dei segnali e una più efficace escalation. Gli amministratori devono pertanto disporre di un contesto sufficiente per interpretare i dati e comprendere le incertezze che li accompagnano. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede inoltre che le informazioni positive non vengano presentate separatamente da limiti rilevanti e questioni irrisolte. Le relazioni devono indicare chiaramente gli ambiti nei quali i dati rimangano incompleti, i modelli non siano ancora stati validati, le misure temporanee restino operative o le unità aziendali continuino a operare al di fuori dei limiti stabiliti. La seconda linea deve disporre di accesso diretto al consiglio di amministrazione e agli organi di supervisione quando criticità rilevanti non vengano affrontate adeguatamente attraverso i normali canali manageriali. La terza linea deve poter riferire senza restrizioni inappropriate sulle carenze riguardanti sia la prima sia la seconda linea. Anche le analisi giuridiche e gli esiti investigativi devono essere condivisi in modo da consentire al consiglio di esercitare le proprie responsabilità di governance, preservando al contempo, ove necessario, la riservatezza, il segreto professionale e la strategia contenziosa. Informazioni di elevata qualità non garantiscono decisioni corrette, ma informazioni insufficienti, frammentate o eccessivamente favorevoli rendono quasi impossibile una supervisione realmente significativa.

La responsabilità esecutiva acquisisce infine sostanza attraverso decisioni visibili, follow-up costante e conseguenze appropriate. Quando siano note carenze rilevanti, gli amministratori devono stabilire se le attività interessate possano proseguire, a quali condizioni tale prosecuzione rimanga difendibile ed entro quale termine debba essere completata la remediation. Ritardi ripetuti, limitazioni strutturali di capacità, carenze ricorrenti nei controlli e prolungata dipendenza da misure temporanee non devono essere trattati come semplici questioni operative quando incidano in modo significativo sul profilo di rischio dell’organizzazione. La Gestione Integrata dei Rischi di Criminalità Finanziaria richiede che le responsabilità vengano attribuite a specifici amministratori e dirigenti, che gli obiettivi rilevanti vengano integrati nelle valutazioni delle prestazioni e che negligenza, elusione deliberata o persistente inattività producano conseguenze proporzionate. Al contempo, una supervisione efficace deve impedire che la responsabilità venga attribuita esclusivamente ai collaboratori che abbiano commesso un singolo errore quando le cause sottostanti risiedano in sistemi inadeguati, incentivi confliggenti, carenza di personale o governance insufficiente. La responsabilità esecutiva comprende sia la responsabilità individuale sia la responsabilità per le condizioni nelle quali le decisioni vengano assunte e i controlli siano chiamati a operare. Gli organi di supervisione devono inoltre valutare periodicamente se dispongano essi stessi delle competenze, delle informazioni, dell’indipendenza e del tempo necessari per svolgere efficacemente il proprio ruolo. Quando conoscenze o capacità risultino insufficienti, devono essere considerate una formazione mirata, il ricorso a competenze esterne o modifiche nella composizione. Un’organizzazione può esprimere credibilmente la propria ambizione in materia di integrità soltanto quando il consiglio di amministrazione e gli organi di supervisione dimostrino che i rischi di criminalità finanziaria non vengono esaminati esclusivamente dopo il verificarsi di un incidente, ma sono strutturalmente integrati nella strategia, negli investimenti, nella remunerazione, nelle decisioni relative ai prodotti, nell’ingresso nei mercati, nelle acquisizioni e nel processo decisionale a livello d’impresa. La direzione strategica non viene così soltanto definita, ma continuamente supervisionata, verificata, adeguata e assunta come responsabilità.