Attribuzione del punteggio di rischio al cliente

Il punteggio di rischio del cliente è il punto in cui l'approccio basato sul rischio smette di essere una politica e diventa una decisione su una singola persona o impresa. Determina a chi applicare un'adeguata verifica semplificata, ordinaria o rafforzata, con quale frequenza riesaminare un fascicolo e quali soglie di monitoraggio applicare. Un punteggio che nessuno sa spiegare, o che classifica quasi tutti come a basso rischio, non soddisfa né le autorità di vigilanza né l'impresa.

Dalla valutazione aziendale al cliente

La valutazione del rischio a livello aziendale (si veda la lezione L'approccio basato sul rischio) individua i rischi dell'impresa per tipologia di cliente, prodotto, area geografica, canale e tecnologia. La classificazione del rischio del cliente applica gli stessi fattori a ciascun rapporto. INR.10 raggruppa i fattori di rischio in tre categorie: cliente, paese o area geografica e prodotto, servizio, operazione o canale di distribuzione. Un'impresa del settore delle criptoattività ne aggiunge una quarta, che può misurare direttamente: il comportamento on-chain.

Il risultato è solitamente una fascia (bassa, media, alta, talvolta vietata) che determina:

• il livello di approfondimento dell'adeguata verifica (si veda la lezione Adeguata verifica rafforzata e semplificata);
• il ciclo di riesame periodico;
• le soglie e i limiti di monitoraggio;
• chi deve approvare il rapporto.

Scelta dei fattori e dei pesi

I fattori svolgono due ruoli diversi. Ai fattori con punteggio vengono assegnati un valore, solitamente su una scala da 1 a 5, e un peso; i valori ponderati vengono poi sommati. I fattori di override fissano un limite minimo o massimo indipendentemente dalla somma: una corrispondenza confermata con un soggetto sanzionato rende il rapporto vietato, mentre una PEP estera non viene mai classificata al di sotto della fascia alta. Gli override esistono perché i modelli additivi attenuano il peso dei rischi: un fattore grave, mediato con diversi fattori non problematici, produce una rassicurante fascia media.

I pesi dovrebbero derivare dalla valutazione aziendale e dal giudizio degli esperti, essere documentati insieme alle relative motivazioni e poi essere verificati rispetto agli esiti (si veda la sezione sulla governance più avanti). Il FATF non prescrive una formula. Si aspetta che il metodo sia documentato, proporzionato e applicato in modo coerente.

Esempio svolto

La signora K, una sviluppatrice software autonoma fittizia residente nel Paese B, presenta una richiesta tramite l'app, supera la verifica a distanza al livello di garanzia ordinario dell'impresa e dichiara depositi previsti di circa USD 20.000 al mese dal proprio wallet autocustodito esistente e dal proprio conto bancario. Prima di attivare i depositi in criptoattività, l'impresa sottopone a screening i due indirizzi dai quali la cliente dichiara che effettuerà i depositi. Uno mostra un'esposizione indiretta dell'8% a servizi di gioco d'azzardo online, a quattro passaggi di distanza; nessuno dei due presenta esposizione a soggetti sanzionati.

Con fasce definite come bassa al di sotto di 2,00, media da 2,00 a 3,20 e alta al di sopra di 3,20, la signora K rientra nella fascia media: CDD ordinaria, un ciclo di riesame da due a tre anni e le soglie di monitoraggio ordinarie dell'impresa.

Modifichiamo ora un solo elemento: il suo secondo indirizzo ha ricevuto fondi direttamente da un mercato darknet. Il punteggio on-chain sale a 5 e il totale diventa 3,15, ancora nella fascia media. È proprio questo il problema dell'attenuazione del rischio. La tabella degli override dell'impresa stabilisce che l'esposizione diretta a un mercato darknet o a un altro servizio illecito, oltre una quota prestabilita dei flussi in entrata, impone almeno la fascia alta e attiva un'adeguata verifica rafforzata sull'origine dei fondi. È l'override, non la somma, a produrre il risultato corretto.

L'impresa conserva il punteggio in una registrazione che chiunque può scomporre nei suoi elementi:

{
  "customer_id": "C-31877",
  "model_version": "crr-2.4",
  "scored_at": "2026-10-02T08:15:00Z",
  "stage": "onboarding",
  "factors": [
    {"group": "customer", "weight": 0.35, "score": 2, "reason": "individual, no PEP, no adverse media"},
    {"group": "geography", "weight": 0.25, "score": 3, "reason": "residence rated medium"},
    {"group": "product_channel", "weight": 0.15, "score": 3, "reason": "fiat ramp, self-hosted withdrawals"},
    {"group": "on_chain", "weight": 0.25, "score": 3, "reason": "8% indirect gambling exposure"}
  ],
  "weighted_total": 2.65,
  "overrides_applied": [],
  "band": "medium",
  "next_review_due": "2028-10-02",
  "manual_adjustment": null
}

Ogni fattore riporta il proprio peso, il punteggio e una motivazione in linguaggio chiaro; la versione del modello è fissata e gli override e le rettifiche manuali dispongono di campi dedicati, così chi effettua il riesame può vedere che cosa ha modificato la fascia e perché.

Analisi blockchain in fase di acquisizione del cliente

Un'impresa del settore delle criptoattività può verificare quanto dichiarato da un cliente in un modo che raramente è disponibile a una banca: esaminando i wallet che il cliente porta con sé. Impieghi pratici in fase di acquisizione del cliente:

• sottoporre a screening gli indirizzi dichiarati dal cliente e ogni indirizzo che finanzia i primi depositi, per individuare esposizioni dirette e indirette a categorie soggette a sanzioni, illecite e ad alto rischio;
• confrontare l'anzianità e la cronologia del wallet con l'origine dei fondi dichiarata: un wallet che dichiara di "detenere fondi dal 2017", ma che è stato finanziato per la prima volta il mese scorso, richiede una spiegazione;
• integrare il risultato nel fattore on-chain e nella tabella degli override, non tradurlo direttamente in un rifiuto automatico.

Una semplice tabella decisionale garantisce la coerenza tra gli analisti:

Una modesta esposizione indiretta è comune, perché la maggior parte dei fondi movimentati passa vicino a qualcosa di rischioso nel giro di pochi passaggi, e le etichette degli strumenti di analisi possono essere errate o non aggiornate. La lezione Analisi blockchain per la conformità tratta le misure di esposizione e i relativi limiti; il corso IDFE-CF approfondisce il raggruppamento degli indirizzi e l'attribuzione. La prova che il cliente controlla un indirizzo dichiarato è trattata nella lezione Wallet non custoditi e trasferimenti da wallet autocustoditi.

Punteggi iniziali e continuativi

Il punteggio attribuito in fase di acquisizione del cliente si basa in larga misura su quanto dichiarato dal cliente. Una volta attivato il conto, l'impresa osserva ciò che il cliente fa effettivamente, quindi il punteggio continuativo dovrebbe sostituire i valori dichiarati con quelli osservati: volumi effettivi rispetto a quelli previsti, controparti ed esposizione effettive, cronologia degli avvisi e cambiamenti di area geografica o dispositivi. Molte imprese considerano provvisorio il punteggio iniziale e lo ricalcolano automaticamente dopo i primi 30–90 giorni di attività.

I riesami seguono due cadenze:

• Riesame periodico, con frequenza stabilita in base alla fascia, ad esempio annuale per il rischio alto e ogni pochi anni per il rischio basso; l'impresa definisce e giustifica il ciclo.
• Riesame attivato da eventi, ogni volta che un evento suggerisce che il rischio possa essere cambiato: un avviso rilevante, una corrispondenza con un elenco di sanzioni o di PEP, notizie negative sui media, un cambiamento dell'assetto proprietario o della residenza, l'utilizzo di un nuovo prodotto a rischio più elevato o la riattivazione di un conto inattivo.

Un punteggio che cambia solo in base al calendario non coglie gli eventi più importanti.

Calibrazione, governance e spiegabilità

Un modello di attribuzione del punteggio è un modello e richiede i controlli necessari a qualsiasi modello.

• Calibrazione: verificare la distribuzione tra le fasce (se il 97% dei clienti è a basso rischio, probabilmente il modello non è in grado di discriminare) ed effettuare verifiche retrospettive rispetto a esiti quali segnalazioni di operazioni sospette inviate, conti chiusi e frodi confermate. Se la maggior parte di quei clienti era classificata a basso rischio, i pesi o i fattori sono errati.
• Test di sensibilità: modificare ciascun peso entro un intervallo ragionevole e verificare quanti clienti cambiano fascia. Ampie oscillazioni a fronte di piccole modifiche indicano che le soglie delle fasce sono collocate in modo errato.
• Qualità dei dati: l'assenza di professione, paese o volume previsto non deve mai comportare l'assegnazione predefinita del punteggio più basso. Trattare i valori mancanti come un rischio più elevato oppure bloccare l'acquisizione del cliente finché non vengono completati, e rendicontare la quota di punteggi basati su dati incompleti.
• Governance: un responsabile del modello nominativamente individuato, una metodologia scritta, il controllo delle versioni, l'approvazione delle modifiche da parte dell'alta dirigenza o del comitato per la conformità e una convalida indipendente periodica da parte di una funzione che non ha sviluppato il modello.
• Override: le modifiche manuali richiedono un codice di motivazione e un approvatore; gli abbassamenti della fascia richiedono un approvatore di livello gerarchico superiore rispetto agli innalzamenti. I tassi di override per analista e per gruppo di lavoro dovrebbero essere monitorati.
• Spiegabilità: ogni punteggio deve poter essere scomposto nei contributi dei singoli fattori, leggibili da chi effettua il riesame. Se vengono utilizzati modelli di apprendimento automatico, l'impresa deve comunque essere in grado di mostrare quali caratteristiche hanno determinato ciascun risultato, perché né un esaminatore né chi valuta un reclamo di un cliente accetterà la risposta "lo ha detto il modello".

Focus sull'esame: i gruppi di fattori di rischio di INR.10 e il fattore on-chain che un'impresa del settore delle criptoattività può aggiungere; fattori con punteggio e fattori di override e perché i modelli additivi attenuano i rischi gravi; calcolo di un punteggio ponderato e della relativa fascia a partire da un esempio svolto; utilizzo dello screening dei wallet in fase di acquisizione del cliente come fattore anziché come motivo di rifiuto automatico; punteggi iniziali provvisori e punteggi continuativi basati su dati osservati; riesame periodico e riesame attivato da eventi; calibrazione, verifiche retrospettive e test di sensibilità; governance degli override e spiegabilità di ogni punteggio.