Policy, procedure e framework dei controlli

Una valutazione del rischio indica cosa può andare storto; il framework dei controlli indica cosa fa l’azienda per affrontarlo, chi se ne occupa e come chiunque può verificare che sia stato fatto. Supervisori e revisori valutano un programma in base a questa catena: una policy adeguata al rischio, procedure che il personale segue davvero, controlli efficaci e prove del fatto che siano stati testati. Questa lezione mostra come costruire ciascun anello e collegarli.

La gerarchia delle policy

I documenti funzionano meglio se organizzati per livelli, ciascuno più dettagliato e soggetto a modifiche più frequenti rispetto a quello precedente.

Un’azienda che opera in più Paesi di solito redige un insieme di policy di gruppo basato sullo standard comune più rigoroso e aggiunge brevi appendici nazionali per le differenze locali, come una soglia più bassa per la Travel Rule o un formato di segnalazione locale. Le appendici rimandano alla policy di gruppo invece di riscriverla. Il metodo per individuare queste differenze locali è descritto nella lezione Come i regimi nazionali attuano lo standard.

Ogni documento indica un responsabile, un numero di versione, una data di approvazione e la data della revisione successiva. Una policy la cui revisione è scaduta è una delle non conformità più facili da rilevare per un esaminatore.

Redigere procedure efficaci

La maggior parte delle procedure inadeguate presenta uno di tre problemi: riprende la legge invece di descrivere le attività, descrive un processo ideale che i sistemi non supportano oppure non specifica mai quali prove conservare. Una buona fase di una procedura risponde a sei domande:

1. Evento iniziale: cosa avvia la fase (un avviso, un nuovo cliente, un aggiornamento degli elenchi).
2. Responsabile: quale ruolo la esegue e chi la verifica.
3. Azione: cosa viene controllato, in quale sistema e in base a quali criteri.
4. Tempistica: la scadenza, ad esempio «entro 24 ore dall’aggiornamento dell’elenco».
5. Decisione ed escalation: quali sono i possibili esiti e a chi va indirizzato ciascuno.
6. Prove: quale registrazione viene salvata, dove e in quale forma.

Verifica una bozza seguendola insieme alle persone che la useranno, sul sistema effettivo. Se una fase non può essere svolta come descritto, modifica la procedura o il sistema prima dell’avvio, non dopo il primo audit.

Controlli preventivi e investigativi

Un controllo è un’azione o una funzione di sistema che riduce la probabilità o l’impatto di un rischio. I controlli preventivi impediscono che un evento si verifichi; i controlli investigativi lo rilevano in seguito, in modo che possa essere corretto e segnalato. Un framework solido combina entrambi, perché nessun controllo preventivo è perfetto.

I controlli si differenziano anche per modalità di funzionamento: i controlli automatizzati operano in modo coerente una volta configurati, ma possono non dare alcun segnale in caso di configurazione errata; i controlli manuali si adattano al contesto, ma variano da persona a persona. Un controllo chiave è un controllo il cui mancato funzionamento lascerebbe da solo un rischio rilevante senza copertura; i controlli chiave vengono testati per primi e con maggiore frequenza. Una terza categoria, i controlli correttivi, limita i danni una volta individuato un problema: congelare i fondi, limitare o cessare il rapporto con il cliente, presentare una segnalazione e correggere la causa alla radice.

Mappatura dei rischi e dei controlli

La matrice dei rischi e dei controlli (RCM) collega ciascun rischio individuato nella valutazione del rischio a livello aziendale (vedi la lezione L’approccio basato sul rischio) ai controlli che lo mitigano.

Esamina la matrice per individuare tre tipi di lacune: rischi senza controlli o con soli controlli investigativi, controlli orfani non associati ad alcun rischio e potenzialmente fonte di sprechi, e singoli controlli chiave che costituiscono l’unica copertura di un’area ad alto rischio. La RCM è anche il modo in cui le valutazioni dei controlli si riflettono nei punteggi del rischio residuo della valutazione del rischio.

Eccezioni e deroghe

Ogni framework ha bisogno di una modalità controllata per discostarsene, altrimenti il personale ne troverà una non controllata. Un processo efficace per la gestione delle eccezioni:

• specifica chi può approvare ciascun tipo di eccezione e non consente mai che l’approvi la persona che ne trae vantaggio;
• fissa una data di scadenza e un controllo compensativo, ad esempio limiti inferiori mentre si attende un documento;
• registra ogni eccezione in un registro, con motivazione, approvatore e data di scadenza;
• richiede due persone e un codice motivazionale per derogare a un controllo automatizzato, ad esempio per rilasciare un prelievo bloccato dallo screening.

Comunica al responsabile della compliance il tasso di eccezioni e il relativo andamento. Molte eccezioni alla stessa regola indicano che la regola è sbagliata e andrebbe modificata oppure che l’azienda la aggira: un problema di cultura (vedi la lezione Formazione, cultura e verifiche indipendenti).

Test dei controlli

I test pongono due domande. Efficacia della progettazione: se il controllo funziona come descritto, affronta il rischio? Efficacia operativa: ha funzionato davvero e con coerenza nel periodo considerato? I metodi di test vanno dalla richiesta di informazioni (il metodo meno efficace), passando per l’osservazione e l’ispezione delle registrazioni, fino alla ripetizione, con cui chi esegue il test ripete il controllo e confronta i risultati.

Per i controlli manuali, la dimensione del campione varia in base alla frequenza. Una prassi comune di audit, non uno standard formale, prevede circa 1 campione per un controllo annuale, 2 per uno trimestrale, da 2 a 5 per uno mensile, da 5 a 15 per uno settimanale, da 20 a 40 per uno giornaliero e da 25 a 60 per i controlli eseguiti molte volte al giorno. Un controllo automatizzato può essere testato una sola volta, a condizione che vengano testati anche i controlli sulle modifiche alla sua configurazione (chi può modificare una soglia di screening e come vengono approvate le modifiche).

I dati consentono a chi esegue i test di controllare l’intera popolazione anziché un campione:

-- Test del controllo TR-01: prelievi VASP trasmessi nel Q2 2026
-- senza un messaggio Travel Rule in uscita inviato al momento della trasmissione o prima
SELECT w.withdrawal_id, w.customer_id, w.amount_usd,
       w.broadcast_at, m.sent_at
FROM withdrawals w
LEFT JOIN travel_rule_messages m
       ON m.withdrawal_id = w.withdrawal_id
      AND m.direction = 'OUT'
WHERE w.destination_type = 'VASP'
  AND w.broadcast_at >= DATE '2026-04-01'
  AND w.broadcast_at <  DATE '2026-07-01'
  AND (m.sent_at IS NULL OR m.sent_at > w.broadcast_at);

La LEFT JOIN conserva i prelievi per i quali non esiste alcun messaggio e l’ultima condizione restituisce questi prelievi, oltre a quelli il cui messaggio è stato inviato solo dopo l’uscita del trasferimento. Ogni riga è un’eccezione da esaminare; zero righe nell’intero trimestre costituiscono una prova solida dell’efficacia operativa. La sintassi del valore letterale DATE è standard SQL, ma alcuni motori richiedono una funzione o una semplice stringa.

Assegna a ogni risultato un giudizio su una scala semplice, ad esempio efficace, da migliorare o inefficace, e registra le prove a sostegno del giudizio. Un controllo chiave giudicato inefficace genera un problema con un responsabile e una scadenza; il rischio residuo che copriva viene rivalutato finché la correzione non è comprovata.

Il piano di monitoraggio della compliance

I test della seconda linea seguono un piano di monitoraggio della compliance: un programma annuale di revisioni basato sul rischio, approvato dal responsabile della compliance e presentato al consiglio di amministrazione. È distinto dal piano indipendente di audit interno (vedi la lezione Formazione, cultura e verifiche indipendenti), anche se i due piani dovrebbero essere coordinati per evitare lacune e duplicazioni.

Ogni revisione produce risultati valutati che vengono inseriti nel registro delle criticità dell’azienda. ISO 37301:2021, lo standard internazionale per i sistemi di gestione della compliance, offre una struttura ampiamente utilizzata per l’intero ciclo: individuare gli obblighi, valutare il rischio, definire i controlli, monitorare e migliorare.

Focus sull'esame: i livelli della gerarchia delle policy, chi approva ciascuno e con quale frequenza viene revisionato; la policy di gruppo con appendici nazionali; le sei domande a cui deve rispondere una fase di una procedura; controlli preventivi rispetto a quelli investigativi e automatizzati rispetto a quelli manuali, con esempi relativi alle criptovalute, e controlli chiave; costruzione di una matrice dei rischi e dei controlli e individuazione di lacune e controlli orfani; efficacia della progettazione rispetto all’efficacia operativa, metodi di test, dimensioni dei campioni e test dei controlli automatizzati insieme ai controlli sulle modifiche; test dell’intera popolazione basati sui dati; finalità del piano di monitoraggio della compliance e differenze rispetto all’audit interno.