Formazione, cultura e verifiche indipendenti

Le politiche e gli strumenti non servono a nulla se le persone coinvolte non li comprendono, sono pagate per ignorarli o non vengono mai sottoposte a verifiche. Formazione, cultura e verifiche indipendenti sono gli elementi del programma che lo mantengono attivo dopo il lancio e sono quelli che i supervisori esaminano quando lo stesso problema si ripresenta. Questa lezione mostra come progettare ciascun elemento e come dimostrarne l'efficacia.

Formazione basata sul rischio e specifica per ruolo

La Nota interpretativa della Raccomandazione 18 del FATF richiede un programma continuo di formazione dei dipendenti. «Continuo» esclude un unico corso al momento dell'assunzione e l'approccio basato sul rischio esclude l'uso delle stesse diapositive per tutti. La formazione dovrebbe rispecchiare ciò che ciascun ruolo può vedere, decidere o compromettere.

Utilizzate i casi dell'azienda: un'allerta anonimizzata che avrebbe dovuto essere sottoposta a escalation insegna più di uno scenario generico. Aggiornate i contenuti dopo ogni incidente interno, nuovo rapporto sulle tipologie o pubblicazione del FATF pertinente all'azienda.

I tassi di completamento dimostrano la partecipazione, non l'apprendimento. Prove più solide collegano la formazione ai comportamenti: risultati dei test per domanda, tassi di errore del controllo qualità prima e dopo un modulo, numero e qualità delle segnalazioni interne sottoposte a escalation dal personale dell'assistenza e riduzione dei rilievi ricorrenti sullo stesso argomento. Conservate per almeno cinque anni le registrazioni di chi ha completato cosa, quando e con quale punteggio, e limitate l'accesso ai sistemi del personale che non completa la formazione obbligatoria entro la scadenza.

Cultura e incentivi

La cultura della compliance è il modo in cui le persone si comportano quando nessun controllo le osserva. La Guidance on Supervisory Interaction with Financial Institutions on Risk Culture del FSB (aprile 2014) indica quattro fattori che si applicano a qualsiasi azienda:

• Impronta della dirigenza: leader che parlano dei rischi di criminalità finanziaria e agiscono di conseguenza, anche quando questo comporta una perdita di ricavi;
• Responsabilizzazione: il personale sa di quali rischi è responsabile e affronta conseguenze in caso di violazioni;
• Comunicazione e confronto efficaci: il dissenso è benvenuto e la compliance viene coinvolta tempestivamente, non dopo il lancio;
• Incentivi: retribuzione e promozioni premiano comportamenti corretti in materia di rischio, non solo la crescita.

Gli incentivi sono particolarmente importanti nelle aziende crypto, dove gli obiettivi di crescita sono ambiziosi. Tra i segnali d'allarme figurano bonus legati esclusivamente ai volumi di onboarding o alle quotazioni, il coinvolgimento della compliance in merito a un nuovo token o mercato solo dopo il lancio, richieste ripetute di aggirare lo stesso controllo e un ricambio del personale della compliance più rapido rispetto al resto dell'azienda. Tra i rimedi figurano obiettivi di compliance nella scheda di valutazione di ogni responsabile, la possibilità di ridurre o recuperare la retribuzione variabile dopo le violazioni e un canale per segnalare problemi che consenta segnalazioni anonime e protegga chi lo utilizza.

La cultura può essere misurata, seppure in modo imperfetto: sondaggi tra il personale, numero e provenienza delle segnalazioni interne di sospetto, tasso di eccezioni (vedi la lezione Politiche, procedure e quadro dei controlli) e rapidità con cui l'azienda risolve le questioni che le sono state assegnate.

Verifiche indipendenti

La stessa Nota interpretativa richiede una funzione di audit indipendente che verifichi il sistema. Indipendenza significa che chi effettua le verifiche non ha progettato né gestito i controlli sottoposti a verifica. L'audit interno è la scelta consueta; spesso le piccole aziende si rivolgono a una parte esterna qualificata. Il monitoraggio della compliance di seconda linea è utile, ma non è un sostituto, perché la compliance è responsabile del programma.

Un ambito completo comprende:

1. governance, ruolo del responsabile della compliance e supervisione del consiglio;
2. valutazione del rischio a livello aziendale e collegamento con i controlli;
3. CDD, EDD e due diligence continuativa, su un campione di fascicoli;
4. screening sanzionatorio di nomi e wallet, gestione delle liste e geoblocking;
5. la Travel Rule, compresa la due diligence sulle controparti e la gestione dei dati mancanti;
6. monitoraggio delle transazioni, messa a punto e gestione degli avvisi;
7. segnalazione di transazioni sospette, tempestività e qualità;
8. conservazione dei documenti, formazione e stack tecnologico, compresa la convalida dei modelli e la provenienza dei dati.

La frequenza è basata sul rischio. Molte aziende sottopongono a audit l'intero programma ogni 12-24 mesi, verificano annualmente le aree a rischio più elevato e svolgono una revisione mirata dopo un cambiamento importante, come l'ingresso in un nuovo Paese, il lancio di un prodotto o l'introduzione di un sistema; le norme locali possono stabilire una frequenza minima. Gli audit efficaci utilizzano i dati per verificare intere popolazioni, ripetono i controlli invece di limitarsi a intervistare il personale e classificano ogni rilievo in base alla gravità. I Global Internal Audit Standards dell'Institute of Internal Auditors (pubblicati a gennaio 2024, in vigore da gennaio 2025) definiscono le aspettative in materia di indipendenza, pianificazione e rendicontazione.

La competenza è importante quanto l'indipendenza. Un auditor incapace di leggere un grafo delle transazioni o mettere in discussione un punteggio analitico verificherà la documentazione relativa a un controllo, anziché il controllo stesso. I team di audit privi di competenze nel settore crypto spesso ricorrono al co-sourcing, coinvolgendo specialisti esterni per le verifiche on-chain e sui modelli, pur mantenendo la responsabilità del piano di audit e delle conclusioni.

Gestione dei rilievi e monitoraggio delle azioni correttive

I rilievi provengono da molte fonti: audit interno, monitoraggio della compliance, controllo qualità, incidenti, supervisori e revisioni esterne. Devono confluire tutti in un unico registro dei rilievi, così da rendere visibili gli schemi ricorrenti. Una registrazione è strutturata così:

{
  "issue_id": "ISS-2026-041",
  "source": "internal_audit",
  "title": "Rescreening not run within 24 hours of list updates",
  "rating": "high",
  "root_cause": "Weekend list loads depended on one manual step",
  "owner": "Head of Screening Operations",
  "actions": [
    { "step": "Automate list load and rescreening trigger", "due": "2026-12-15" },
    { "step": "Add daily completeness reconciliation", "due": "2027-01-15" }
  ],
  "status": "in_progress",
  "extensions": 0,
  "validation": { "by": "internal_audit", "evidence": null, "date": null }
}

La registrazione indica una causa principale, non solo il sintomo: correggere gli errori relativi ai due clienti non eliminerebbe la procedura manuale del fine settimana. Il responsabile è un dirigente aziendale o operativo, perché la prima linea è solitamente responsabile della correzione. Le azioni hanno scadenze, le proroghe vengono conteggiate e il campo di convalida resta vuoto finché una parte indipendente non ha verificato le prove.

Una prassi comune stabilisce le scadenze in base alla gravità, ad esempio contenimento immediato e correzione entro circa 30 giorni per i problemi critici, 90 giorni per quelli ad alta gravità, 180 giorni per quelli di media gravità e un anno per quelli di bassa gravità. Le proroghe richiedono l'approvazione di un livello gerarchico superiore a quello del responsabile e vengono segnalate. Un rilievo si chiude solo dopo che la convalida ha confermato che la correzione funziona per un certo periodo, non quando il responsabile dichiara che è stata completata. Segnalate al consiglio i rilievi aperti, scaduti e ricorrenti e considerate un rilievo ricorrente come un segnale che le cause principali non sono state individuate.

Gestione delle modifiche normative

Standard e leggi sono in continua evoluzione: il FATF tiene tre riunioni plenarie all'anno, di solito a febbraio, giugno e ottobre, e successivamente aggiorna le proprie liste pubbliche e linee guida, mentre le normative nazionali cambiano secondo i rispettivi calendari. Un processo di gestione delle modifiche normative prevede cinque fasi:

1. Monitoraggio degli sviluppi: seguire gli organismi internazionali, i supervisori, le unità di informazione finanziaria e le associazioni di settore in ogni Paese in cui opera l'azienda.
2. Applicabilità: stabilire se una modifica si applica all'azienda, alle sue entità e ai suoi prodotti.
3. Analisi dell'impatto e delle lacune: confrontare il nuovo requisito con le politiche, i controlli e i sistemi esistenti.
4. Attuazione: assegnare responsabili, budget e scadenze; aggiornare documenti, sistemi e formazione.
5. Conferma: verificare che la modifica funzioni e registrarla nel registro degli obblighi.

Il registro degli obblighi collega ogni requisito alla politica, alla procedura e al controllo che lo soddisfano; il metodo di mappatura è descritto nella lezione Come i regimi nazionali attuano lo standard. Gli aggiornamenti ordinari delle liste sanzionatorie sono eventi operativi gestiti dalle procedure di screening, non modifiche normative.

Il ciclo annuale di assurance

Queste attività si alimentano a vicenda e dovrebbero svolgersi come un unico ciclo, anziché come progetti separati:

• la valutazione del rischio a livello aziendale definisce le priorità per la formazione, il piano di monitoraggio della compliance e il piano di audit;
• il monitoraggio, gli audit, gli incidenti e i rilievi dei supervisori confluiscono nel registro dei rilievi;
• le cause principali individuate nel registro dei rilievi aggiornano i contenuti della formazione, le procedure e la successiva valutazione del rischio;
• le modifiche normative vengono inserite nel registro degli obblighi e, attraverso questo, nel quadro dei controlli;
• la relazione annuale del responsabile della compliance al consiglio riassume tutti questi elementi, esprime un parere sull'efficacia del programma e indica le esigenze successive.

Quando un supervisore vede lo stesso problema menzionato nel rapporto di audit, corretto nel registro dei rilievi, trattato nel successivo ciclo di formazione e riflesso nella valutazione del rischio aggiornata, vede un programma capace di apprendere.

Focus sull'esame: perché la formazione deve essere continua e specifica per ruolo, includendo il divieto di informare il cliente per il personale a contatto con la clientela; come misurare l'efficacia della formazione oltre i tassi di completamento; gli indicatori della cultura del rischio del FSB e i segnali d'allarme relativi agli incentivi; cosa rende indipendente un audit e perché il monitoraggio di seconda linea non lo sostituisce; ambito completo e frequenza basata sul rischio delle verifiche indipendenti; registrazioni dei rilievi con causa principale, responsabile, scadenze in base alla gravità e convalida indipendente prima della chiusura; le cinque fasi della gestione delle modifiche normative e il registro degli obblighi.