Costruire la funzione di conformità

Un programma di conformità è solido solo quanto la funzione che lo gestisce. Quando le autorità di vigilanza esaminano un'impresa del settore cripto, verificano innanzitutto chi è responsabile del rischio di criminalità finanziaria, se tale persona può opporsi alle decisioni aziendali e se il team dispone del personale, degli strumenti e del budget richiesti dal profilo di rischio. Questa lezione illustra come progettare tale funzione e come dimostrarne il funzionamento.

Che cosa richiede lo standard

La Raccomandazione 18 del GAFI impone ai soggetti obbligati di attuare programmi di contrasto al riciclaggio e al finanziamento del terrorismo. La relativa Nota interpretativa ne elenca i contenuti minimi: politiche, procedure e controlli interni con adeguati assetti di gestione della conformità, procedure di verifica in fase di assunzione dei dipendenti, un programma di formazione continua e una funzione di revisione indipendente per verificare il sistema. Gli assetti di gestione della conformità "dovrebbero includere la nomina di un responsabile della conformità a livello dirigenziale". La Nota interpretativa alla Raccomandazione 15 applica queste misure preventive ai VASP.

Due principi orientano ogni scelta progettuale:

• Proporzionalità. La Nota interpretativa alla Raccomandazione 18 afferma che il tipo e la portata delle misure dovrebbero essere commisurati al rischio e alle dimensioni dell'impresa. Un exchange con 20 dipendenti e una piattaforma globale con milioni di utenti hanno entrambi bisogno di un responsabile della conformità, ma non della stessa struttura.
• Responsabilità dei vertici. Il consiglio di amministrazione definisce la propensione al rischio e ne mantiene la responsabilità; l'alta dirigenza provvede all'attuazione; la funzione di conformità fornisce consulenza, monitora e sottopone a vaglio critico le decisioni. Le linee guida del Comitato di Basilea Sana gestione dei rischi connessi al riciclaggio e al finanziamento del terrorismo (pubblicate per la prima volta nel 2014, ultima revisione nel luglio 2020) descrivono lo stesso assetto per le banche, con un responsabile AML/CFT nella seconda linea.

Gli elementi fondamentali e il modello delle tre linee sono trattati nella lezione Elementi fondamentali di un programma AML/CFT. Questa lezione li traduce in un organigramma, un organico e un budget.

Progettazione organizzativa

La maggior parte delle imprese del settore cripto ripartisce le attività di contrasto alla criminalità finanziaria tra un numero limitato di team. La collocazione nella prima linea (attività aziendali e operative) o nella seconda (conformità) varia da un'impresa all'altra, ma la ripartizione deve essere documentata e nota al personale.

Un'impresa attiva in più paesi sceglie tra tre modelli. Nel modello centralizzato, un unico team serve tutti i mercati. Nel modello a centro e periferia, un team centrale definisce gli standard e gestisce i servizi condivisi, con responsabili della conformità locali laddove le licenze o gli obblighi di segnalazione locali lo richiedano. Nel modello federato, ogni entità giuridica gestisce il proprio programma. Il modello a centro e periferia è il più comune tra i VASP: gli strumenti e l'analisi on-chain vengono ampliati a livello centrale, mentre alcuni regimi richiedono un responsabile con sede locale e l'invio locale delle segnalazioni.

Indipendenza e linee di riporto

L'indipendenza si verifica nella pratica, non attraverso la qualifica professionale. Le evidenze ricercate da un'autorità di vigilanza sono:

• una linea di riporto diretta dal responsabile della conformità al consiglio di amministrazione o a uno dei suoi comitati, non soltanto tramite l'amministratore delegato o il responsabile di un'area che genera ricavi;
• il diritto di sottoporre questioni al consiglio di amministrazione senza autorizzazione e l'accesso senza restrizioni a dati, sistemi e personale;
• nessuna responsabilità nelle aree operative aziendali: un responsabile della conformità che dirige anche le attività operative o la crescita finisce per riesaminare le proprie decisioni;
• una retribuzione non collegata ai ricavi, al volume degli scambi o al numero di clienti acquisiti;
• nomina e revoca decise o approvate dal consiglio di amministrazione;
• una decisione di segnalazione tutelata: nessuno può ordinare al responsabile della conformità di non inviare una segnalazione di operazione sospetta.

Le piccole imprese spesso accorpano più ruoli. L'accorpamento della conformità con la gestione del rischio o con la funzione legale può essere accettabile se i conflitti sono documentati e gestiti. L'accorpamento con la revisione interna non lo è, perché il revisore verificherebbe il proprio lavoro.

Il ruolo del responsabile della conformità e del MLRO

Alcuni regimi distinguono tra il responsabile della conformità, cui compete il programma, e il responsabile delle segnalazioni antiriciclaggio (MLRO), cui competono le decisioni di segnalazione. Molte imprese assegnano entrambi i ruoli a una sola persona. In entrambi i casi, il ruolo comprende:

1. assumere la responsabilità delle politiche AML/CFT e in materia di sanzioni e della valutazione del rischio a livello aziendale;
2. decidere se trasmettere all'unità di informazione finanziaria le segnalazioni interne di sospetto;
3. fungere da punto di contatto per l'autorità di vigilanza e l'unità di informazione finanziaria;
4. supervisionare i controlli di monitoraggio, screening e Travel Rule, comprese le componenti esternalizzate;
5. riferire al consiglio di amministrazione almeno annualmente e tempestivamente in caso di questioni rilevanti;
6. approvare nuovi prodotti, token, blockchain e mercati sotto il profilo del rischio di criminalità finanziaria.

Nominare un sostituto adeguatamente formato, affinché l'attività di segnalazione prosegua durante le assenze. Molti regimi subordinano l'incarico all'approvazione dei requisiti di idoneità e onorabilità, e il responsabile può incorrere in responsabilità personali (si veda la lezione Vigilanza, ispezioni e misure di enforcement).

Organico, competenze e budget

La consistenza dell'organico dovrebbe essere determinata in base al carico di lavoro e al rischio, quindi documentata affinché il consiglio di amministrazione possa comprendere ciò che sta approvando. Un esempio di calcolo per il monitoraggio delle transazioni:

• 6.000 alert al mese, con un esame di livello 1 che richiede in media 20 minuti: 6.000 × 20 = 120.000 minuti, ossia 2.000 ore.
• Il 15% viene sottoposto a escalation (900 casi) e l'indagine di livello 2 richiede 90 minuti: 900 × 90 = 81.000 minuti, ossia 1.350 ore.
• Un analista dispone di circa 120 ore produttive al mese, al netto di formazione, riunioni e assenze.
• Il livello 1 richiede 2.000 ÷ 120 = 16,7 FTE e il livello 2 richiede 1.350 ÷ 120 = 11,3 FTE. Aggiungendo il 10% per la garanzia della qualità si ottengono circa 31 FTE.

Ripetere il calcolo per le code di lavoro relative all'acquisizione dei clienti, allo screening e alla Travel Rule, e aggiornarlo quando cambiano volumi, prodotti o mercati. Le competenze contano quanto i numeri. Un team di conformità nel settore cripto necessita di investigatori on-chain (il corso IDFE-CF ne illustra i metodi), analisti di dati in grado di interrogare i dati di monitoraggio, specialisti in sanzioni e persone che comprendano i prodotti dell'impresa. Mantenere una matrice delle competenze del team, pianificare la gestione del rischio di dipendenza da persone chiave per competenze specialistiche quali il tracciamento attraverso i bridge e prevedere un budget per la formazione continua del team stesso.

Il budget copre personale, tecnologia, dati, formazione, verifiche indipendenti e una riserva per picchi di attività, come un rialzo del mercato o un grave attacco informatico. Quando il consiglio di amministrazione respinge una richiesta, il verbale dovrebbe riportare la decisione e il rischio residuo accettato. L'autorità di vigilanza chiederà di esaminarli.

Esternalizzazione

Le imprese esternalizzano i controlli documentali, l'esame degli alert di livello 1, le operazioni di screening, la messaggistica Travel Rule e, talvolta, le attività di revisione interna. La responsabilità resta in capo all'impresa. Ciò differisce dal ricorso a terzi ai sensi della Raccomandazione 17, in cui un'impresa si avvale dell'adeguata verifica della clientela (CDD) eseguita da un altro soggetto regolamentato: la Nota interpretativa alla Raccomandazione 17 precisa che essa non si applica ai rapporti di esternalizzazione o di agenzia, nei quali il fornitore agisce per conto dell'impresa.

Non esternalizzare mai la decisione di inviare una segnalazione, la propensione al rischio o la responsabilità della valutazione del rischio. Per tutto il resto, un accordo solido comprende un'adeguata verifica del fornitore; un contratto con livelli di servizio, diritti di audit e di accesso ai dati, clausole sulla protezione dei dati, limiti alla subesternalizzazione e un piano di uscita; nonché una supervisione continua mediante verifiche qualitative a campione e indicatori chiave. Anche gli accordi infragruppo rientrano in questo ambito: quando una società di servizi del gruppo gestisce il monitoraggio per più entità autorizzate, ciascuna entità necessita di un accordo scritto, di una propria supervisione e dell'accesso, per il proprio responsabile locale, ai fascicoli dei casi di cui è responsabile. I riferimenti internazionali includono lo strumentario dell'FSB Rafforzare la gestione e la supervisione del rischio di terze parti (dicembre 2023), i Principi sull'esternalizzazione dell'IOSCO (ottobre 2021) e i Principi per la sana gestione del rischio di terze parti del Comitato di Basilea (dicembre 2025).

Rendicontazione al consiglio di amministrazione

Il consiglio di amministrazione necessita di informazioni che gli consentano di valutare se il rischio rientri nella propensione definita. Un utile fascicolo informativo trimestrale comprende:

La relazione annuale del responsabile della conformità aggiunge la valutazione aggiornata del rischio e un giudizio sull'efficacia del programma. I verbali del consiglio di amministrazione dovrebbero riportare le domande poste e le decisioni assunte, non soltanto la dicitura "preso atto".

Focus sull'esame: i requisiti della Nota interpretativa alla Raccomandazione 18 (assetti di conformità, un responsabile della conformità a livello dirigenziale, verifiche in fase di assunzione, formazione, revisione indipendente) e il relativo principio di proporzionalità; i modelli centralizzato, a centro e periferia e federato; le evidenze dell'indipendenza (linea diretta con il consiglio di amministrazione, assenza di compiti nelle aree operative aziendali, retribuzione, decisione di segnalazione tutelata) e i motivi per cui la conformità non può essere accorpata alla revisione interna; i compiti del responsabile della conformità e del MLRO; il dimensionamento di un team in base ai volumi di alert e ai tempi di gestione; perché l'esternalizzazione non trasferisce mai la responsabilità e come si distingue dal ricorso a terzi ai sensi della Raccomandazione 17; i contenuti della rendicontazione al consiglio di amministrazione.