Creare la funzione di conformità

Un programma di conformità è solido solo quanto la funzione che lo gestisce. Quando le autorità di vigilanza esaminano un'attività legata alle criptovalute, verificano innanzitutto chi è responsabile del rischio di criminalità finanziaria, se quella persona può dire no all'attività e se il team dispone delle persone, degli strumenti e del budget adeguati al suo profilo di rischio. Questa lezione mostra come progettare tale funzione e come dimostrarne l'efficacia.

Cosa richiede lo standard

La Raccomandazione 18 del GAFI richiede alle entità soggette agli obblighi di adottare programmi contro il riciclaggio di denaro e il finanziamento del terrorismo. La relativa Nota interpretativa elenca i contenuti minimi: politiche, procedure e controlli interni con adeguati assetti di gestione della conformità, procedure di verifica in fase di assunzione, un programma di formazione continuativa e una funzione di audit indipendente che verifichi il sistema. Gli assetti di gestione della conformità «dovrebbero includere la nomina di un responsabile della conformità a livello dirigenziale». La Nota interpretativa alla Raccomandazione 15 applica queste misure preventive ai VASP.

Due principi guidano ogni scelta progettuale:

• Proporzionalità. La Nota interpretativa alla Raccomandazione 18 afferma che il tipo e la portata delle misure dovrebbero essere commisurati al rischio e alle dimensioni dell'attività. Un exchange con 20 dipendenti e una piattaforma globale con milioni di utenti hanno entrambi bisogno di un responsabile della conformità, ma non della stessa struttura.
• Responsabilità ai vertici. Il consiglio di amministrazione definisce la propensione al rischio e ne resta responsabile; l'alta dirigenza attua le misure; la funzione di conformità fornisce consulenza, monitora e solleva obiezioni. Le linee guida del Comitato di Basilea Gestione sana dei rischi legati al riciclaggio di denaro e al finanziamento del terrorismo (pubblicate per la prima volta nel 2014, riviste l'ultima volta nel luglio 2020) descrivono lo stesso assetto per le banche, con un responsabile AML/CFT nella seconda linea.

Gli elementi fondamentali e il modello delle tre linee sono trattati nella lezione Elementi fondamentali di un programma AML/CFT. Questa lezione li traduce in un organigramma, un numero di addetti e un budget.

Progettazione organizzativa

La maggior parte delle attività legate alle criptovalute raggruppa il lavoro in materia di criminalità finanziaria in alcuni team. La collocazione nella prima linea (attività e operazioni) o nella seconda linea (conformità) varia da un'azienda all'altra, ma la ripartizione deve essere documentata e nota al personale.

Un'azienda attiva in più paesi può scegliere fra tre modelli. Nel modello centralizzato, un unico team serve tutti i mercati. Nel modello hub-and-spoke, un team centrale definisce gli standard e gestisce i servizi condivisi, affiancato da responsabili locali della conformità nei luoghi in cui le licenze o gli obblighi di segnalazione locali lo richiedono. Nel modello federato, ogni entità giuridica gestisce il proprio programma. Il modello hub-and-spoke è il più comune per i VASP: gli strumenti e l'analisi on-chain possono essere gestiti centralmente, mentre alcuni regimi richiedono un responsabile con sede locale e segnalazioni locali.

Indipendenza e linee di riporto

L'indipendenza si verifica nella pratica, non dal titolo professionale. Le evidenze che un'autorità di vigilanza cerca sono:

• una linea di riporto diretta dal responsabile della conformità al consiglio di amministrazione o a uno dei suoi comitati, non soltanto tramite l'amministratore delegato o il responsabile di un'area che genera ricavi;
• il diritto di sottoporre questioni al consiglio di amministrazione senza autorizzazione e accesso illimitato a dati, sistemi e personale;
• nessuna responsabilità di linea: un responsabile della conformità che dirige anche le operazioni o la crescita finisce per verificare le proprie decisioni;
• una retribuzione non collegata ai ricavi, ai volumi di negoziazione o al numero di onboarding;
• nomina e revoca decise o approvate dal consiglio di amministrazione;
• una decisione di segnalazione tutelata: nessuno può ordinare al responsabile della conformità di non presentare una segnalazione di operazione sospetta.

Le piccole aziende spesso accorpano ruoli. È possibile combinare la conformità con la gestione del rischio o con la funzione legale, se i conflitti sono documentati e gestiti. Non è invece possibile combinarla con l'audit interno, perché il revisore verificherebbe il proprio lavoro.

Il ruolo del responsabile della conformità e del MLRO

Alcuni regimi distinguono il responsabile della conformità, che è titolare del programma, dal responsabile delle segnalazioni di riciclaggio di denaro (MLRO), che è responsabile delle decisioni in materia di segnalazioni. Molte aziende affidano entrambi i ruoli a una sola persona. In ogni caso, il ruolo comprende:

1. essere responsabile delle politiche AML/CFT e in materia di sanzioni, nonché della valutazione del rischio a livello aziendale;
2. decidere se le segnalazioni interne di sospetto vadano presentate all'unità di informazione finanziaria;
3. fungere da punto di contatto per l'autorità di vigilanza e l'unità di informazione finanziaria;
4. supervisionare i controlli di monitoraggio, screening e Travel Rule, comprese le parti esternalizzate;
5. riferire al consiglio di amministrazione almeno una volta all'anno e tempestivamente in caso di questioni rilevanti;
6. approvare nuovi prodotti, token, blockchain e mercati dal punto di vista della criminalità finanziaria.

Nominate un sostituto formato affinché le segnalazioni proseguano durante le assenze. Molti regimi subordinano il ruolo a un'approvazione di idoneità e correttezza e il responsabile può essere soggetto a responsabilità personale (vedere la lezione Vigilanza, ispezioni e misure di enforcement).

Personale, competenze e budget

Il numero di addetti dovrebbe essere determinato in base al carico di lavoro e al rischio, quindi documentato affinché il consiglio di amministrazione possa vedere cosa sta approvando. Ecco un esempio pratico per il monitoraggio delle transazioni:

• 6.000 alert al mese, con un esame di primo livello che richiede in media 20 minuti: 6.000 × 20 = 120.000 minuti, ovvero 2.000 ore.
• Il 15% viene sottoposto a escalation (900 casi) e l'indagine di secondo livello richiede 90 minuti: 900 × 90 = 81.000 minuti, ovvero 1.350 ore.
• Un analista dispone di circa 120 ore produttive al mese, al netto di formazione, riunioni e ferie.
• Il primo livello richiede 2.000 ÷ 120 = 16,7 FTE e il secondo livello 1.350 ÷ 120 = 11,3 FTE. Aggiungendo il 10% per il controllo qualità, servono circa 31 FTE.

Ripetete il calcolo per le code di onboarding, screening e Travel Rule e rifatelo quando cambiano i volumi, i prodotti o i mercati. Le competenze sono importanti quanto il numero di addetti. Un team di conformità nel settore delle criptovalute ha bisogno di investigatori on-chain (il corso IDFE-BA ne tratta i metodi), analisti dei dati in grado di interrogare i dati di monitoraggio, specialisti in materia di sanzioni e persone che comprendano i prodotti dell'azienda. Tenete una matrice delle competenze del team, pianificate per gestire il rischio legato a figure chiave nelle competenze specialistiche, come il tracciamento attraverso i bridge, e prevedete nel budget la formazione continua del team.

Il budget copre il personale, la tecnologia, i dati, la formazione, le verifiche indipendenti e una riserva per picchi, come un rally di mercato o un attacco informatico di grande entità. Se il consiglio di amministrazione respinge una richiesta, i verbali dovrebbero registrare la decisione e il rischio residuo accettato. L'autorità di vigilanza lo chiederà.

Esternalizzazione

Le aziende esternalizzano la verifica dei documenti, l'esame degli alert di primo livello, le operazioni di screening, la messaggistica relativa alla Travel Rule e, talvolta, il lavoro di audit interno. La responsabilità resta all'azienda. Questo è diverso dal ricorso a terzi ai sensi della Raccomandazione 17, quando un'azienda si affida all'adeguata verifica della clientela svolta da un'altra entità regolamentata: la Nota interpretativa alla Raccomandazione 17 afferma che non si applica ai rapporti di esternalizzazione o di agenzia, nei quali il fornitore agisce per conto dell'azienda.

Non esternalizzate mai la decisione di presentare una segnalazione, la propensione al rischio o la titolarità della valutazione del rischio. Per tutto il resto, un accordo valido comprende la due diligence sul fornitore; un contratto con livelli di servizio, diritti di audit e accesso ai dati, condizioni sulla protezione dei dati, limiti al subappalto e un piano di uscita; e una supervisione continuativa tramite campioni di qualità e indicatori chiave. Anche gli accordi infragruppo rientrano in questa categoria: quando una società di servizi del gruppo gestisce il monitoraggio per diverse entità autorizzate, ciascuna entità necessita di un accordo scritto, di una propria supervisione e di garantire al proprio responsabile locale l'accesso ai fascicoli dei casi di cui è responsabile. I riferimenti internazionali comprendono il toolkit del FSB Migliorare la gestione e la supervisione dei rischi di terze parti (dicembre 2023), i Principi sull'esternalizzazione dell'IOSCO (ottobre 2021) e i Principi per una sana gestione del rischio di terze parti del Comitato di Basilea (dicembre 2025).

Rendicontazione al consiglio di amministrazione

Il consiglio di amministrazione ha bisogno di informazioni che gli consentano di valutare se il rischio rientra nella propensione al rischio. Un utile rapporto trimestrale comprende:

La relazione annuale del responsabile della conformità aggiunge la valutazione del rischio aggiornata e un giudizio sull'efficacia del programma. I verbali del consiglio di amministrazione dovrebbero mostrare le domande poste e le decisioni prese, non limitarsi a indicare «preso atto».

Focus sull'esame: cosa richiede la Nota interpretativa alla Raccomandazione 18 (assetti di conformità, responsabile della conformità a livello dirigenziale, verifica in fase di assunzione, formazione, audit indipendente) e il suo principio di proporzionalità; i modelli centralizzato, hub-and-spoke e federato; le evidenze dell'indipendenza (linea diretta con il consiglio di amministrazione, assenza di responsabilità di linea, retribuzione, decisione di segnalazione tutelata) e perché la conformità non può essere combinata con l'audit interno; i compiti del responsabile della conformità e del MLRO; il dimensionamento di un team in base ai volumi di alert e ai tempi di gestione; perché l'esternalizzazione non trasferisce mai la responsabilità e in cosa differisce dal ricorso a terzi ai sensi della Raccomandazione 17; cosa includere nella rendicontazione al consiglio di amministrazione.