Valutazione del rischio del cliente

Il punteggio di rischio del cliente è il punto in cui l’approccio basato sul rischio smette di essere una politica e diventa una decisione su una persona o un’azienda. Determina chi è sottoposto a adeguata verifica semplificata, standard o rafforzata, con quale frequenza viene riesaminato un fascicolo e quali soglie di monitoraggio si applicano. Un punteggio che nessuno sa spiegare, o che classifica quasi tutti come a basso rischio, non soddisfa né i supervisori né l’azienda.

Dalla valutazione aziendale al cliente

La valutazione del rischio a livello aziendale (vedi la lezione L’approccio basato sul rischio) individua i rischi dell’azienda per tipologia di cliente, prodotto, area geografica, canale e tecnologia. La valutazione del rischio del cliente applica gli stessi fattori a ogni rapporto. INR.10 raggruppa i fattori di rischio sotto tre voci: cliente, paese o area geografica e prodotto, servizio, transazione o canale di distribuzione. Un’attività legata alle criptovalute ne aggiunge un quarto che può misurare direttamente: il comportamento on-chain.

Il risultato è solitamente una fascia (basso, medio, alto, talvolta vietato) che determina:

• il livello di approfondimento dell’adeguata verifica (vedi la lezione Adeguata verifica rafforzata e semplificata);
• il ciclo di riesame periodico;
• le soglie e i limiti di monitoraggio;
• chi deve approvare il rapporto.

Scelta dei fattori e dei pesi

I fattori svolgono due ruoli diversi. A ciascun fattore valutato viene assegnato un valore, in genere su una scala da 1 a 5, e un peso; i valori ponderati vengono sommati. I fattori di override stabiliscono un limite minimo o massimo a prescindere dalla somma: una corrispondenza confermata con un elenco di sanzioni rende vietato il rapporto e una PEP straniera non può mai essere classificata al di sotto del rischio alto. Gli override esistono perché i modelli additivi diluiscono i rischi: un fattore grave mediato con diversi fattori benigni produce un rischio medio apparentemente rassicurante.

I pesi dovrebbero derivare dalla valutazione aziendale e dal giudizio degli esperti, essere documentati con le relative motivazioni e poi testati rispetto ai risultati (vedi la sezione sulla governance più avanti). Il FATF non prescrive una formula. Si aspetta che il metodo sia documentato, proporzionato e applicato con coerenza.

Esempio svolto

La signora K, sviluppatrice di software autonoma fittizia residente nel Paese B, fa domanda tramite l’app, supera la verifica da remoto al livello di garanzia standard dell’azienda e dichiara di prevedere depositi mensili di circa 20.000 USD provenienti dal suo wallet self-hosted esistente e dal suo conto bancario. Prima di attivare i depositi in criptovalute, l’azienda controlla i due indirizzi da cui dichiara che effettuerà i depositi. Uno mostra un’esposizione indiretta dell’8% a servizi di gioco d’azzardo online, a quattro passaggi di distanza; nessuno dei due presenta esposizione a sanzioni.

Con fasce definite come inferiore a 2,00 per il rischio basso, da 2,00 a 3,20 per il rischio medio e superiore a 3,20 per il rischio alto, la signora K rientra nella fascia media: adeguata verifica standard, un ciclo di riesame da due a tre anni e le soglie di monitoraggio standard dell’azienda.

Ora modifichiamo un dato: il secondo indirizzo ha ricevuto fondi direttamente da un mercato darknet. Il punteggio on-chain sale a 5 e il totale diventa 3,15, ancora nella fascia media. È proprio questo il problema della diluizione. La tabella degli override dell’azienda stabilisce che l’esposizione diretta a un mercato darknet o a un altro servizio illecito superiore a una determinata quota degli afflussi impone almeno la fascia alta e attiva l’adeguata verifica rafforzata sull’origine dei fondi. È l’override, non la somma, a produrre il risultato corretto.

L’azienda conserva il punteggio in un record che chiunque può scomporre:

{
  "customer_id": "C-31877",
  "model_version": "crr-2.4",
  "scored_at": "2026-10-02T08:15:00Z",
  "stage": "onboarding",
  "factors": [
    {"group": "customer", "weight": 0.35, "score": 2, "reason": "persona fisica, non PEP, nessuna notizia negativa"},
    {"group": "geography", "weight": 0.25, "score": 3, "reason": "residenza classificata a rischio medio"},
    {"group": "product_channel", "weight": 0.15, "score": 3, "reason": "canale fiat, prelievi verso wallet self-hosted"},
    {"group": "on_chain", "weight": 0.25, "score": 3, "reason": "esposizione indiretta dell’8% al gioco d’azzardo"}
  ],
  "weighted_total": 2.65,
  "overrides_applied": [],
  "band": "medium",
  "next_review_due": "2028-10-02",
  "manual_adjustment": null
}

Ogni fattore riporta il proprio peso, punteggio e una motivazione in linguaggio semplice; la versione del modello è fissata e gli override e gli adeguamenti manuali hanno campi dedicati, così chi riesamina il caso può vedere cosa ha determinato la fascia e perché.

Analisi della blockchain in fase di onboarding

Un’attività legata alle criptovalute può verificare la versione dei fatti fornita da un cliente in un modo raramente possibile per una banca: esaminando i wallet che il cliente comunica. Usi pratici in fase di onboarding:

• controllare gli indirizzi dichiarati dal cliente e ogni indirizzo che finanzia i primi depositi, per individuare esposizioni dirette e indirette a categorie soggette a sanzioni, illecite e ad alto rischio;
• confrontare l’età e la cronologia del wallet con l’origine dei fondi dichiarata: un wallet che «detiene fondi dal 2017» ma che è stato finanziato per la prima volta il mese scorso richiede una spiegazione;
• inserire il risultato nel fattore on-chain e nella tabella degli override, non usarlo direttamente per un rifiuto automatico.

Una semplice tabella decisionale favorisce la coerenza tra gli analisti:

Una piccola esposizione indiretta è comune, perché la maggior parte dei fondi attivi passa vicino a qualcosa di rischioso entro pochi passaggi, e le etichette usate dagli strumenti di analisi possono essere errate o non aggiornate. La lezione Analisi della blockchain per la conformità tratta le misure di esposizione e i loro limiti; il corso IDFE-BA approfondisce clustering e attribuzione. La prova che il cliente controlla un indirizzo dichiarato è trattata nella lezione Wallet non ospitati e trasferimenti self-hosted.

Punteggi in fase di onboarding e punteggi continuativi

Il punteggio di onboarding si basa in larga misura su quanto dichiarato dal cliente. Una volta attivo il conto, l’azienda osserva ciò che il cliente fa davvero; pertanto, il punteggio continuativo dovrebbe sostituire i valori dichiarati con quelli osservati: volumi reali rispetto a quelli previsti, controparti ed esposizioni effettive, cronologia degli alert e cambiamenti relativi all’area geografica o ai dispositivi. Molte aziende considerano provvisorio il punteggio di onboarding e lo ricalcolano automaticamente dopo i primi 30–90 giorni di attività.

I riesami si svolgono secondo due cadenze:

• Riesame periodico, con frequenza determinata dalla fascia, per esempio ogni anno per il rischio alto e ogni pochi anni per quello basso; l’azienda stabilisce e giustifica il ciclo.
• Riesame basato su eventi, ogni volta che un evento suggerisce che il rischio potrebbe essere cambiato: un alert rilevante, una corrispondenza con un elenco di sanzioni o di PEP, notizie negative, un cambiamento di titolarità o residenza, l’uso di un nuovo prodotto a rischio più elevato o la riattivazione di un conto inattivo.

Un punteggio che cambia solo secondo il calendario non rileva gli eventi più importanti.

Calibrazione, governance e spiegabilità

Un modello di valutazione è un modello e richiede i controlli necessari per qualsiasi modello.

• Calibrazione: verificare la distribuzione nelle diverse fasce (se il 97% dei clienti è a basso rischio, probabilmente il modello non è in grado di distinguerli) e confrontare retrospettivamente i risultati con esiti quali le segnalazioni di operazioni sospette presentate, i conti chiusi e le frodi confermate. Se la maggior parte di quei clienti era stata classificata a basso rischio, i pesi o i fattori sono errati.
• Test di sensibilità: modificare ciascun peso entro un intervallo ragionevole e verificare quanti clienti cambiano fascia. Variazioni ampie a seguito di piccole modifiche indicano che le soglie delle fasce non sono collocate correttamente.
• Qualità dei dati: l’assenza di un’occupazione, di un paese o di un volume previsto non deve mai comportare automaticamente il punteggio più basso. Trattare i valori mancanti come un rischio più elevato o bloccare l’onboarding finché non vengono inseriti, e segnalare la quota di punteggi basati su dati incompleti.
• Governance: un responsabile del modello identificato per nome, una metodologia scritta, il controllo delle versioni, l’approvazione delle modifiche da parte dell’alta dirigenza o del comitato di conformità e una convalida indipendente periodica da parte di una funzione che non abbia sviluppato il modello.
• Override: le modifiche manuali richiedono un codice motivazionale e un approvatore; per le riduzioni del rischio è necessario un approvatore più esperto rispetto a quello richiesto per gli aumenti. È opportuno monitorare i tassi di override per analista e per team.
• Spiegabilità: ogni punteggio deve essere scomposto in contributi dei fattori leggibili da chi esamina il caso. Se si utilizzano modelli di apprendimento automatico, l’azienda deve comunque poter mostrare quali caratteristiche hanno determinato ciascun risultato, perché né un esaminatore né un cliente che presenta un reclamo accetteranno la risposta «lo dice il modello».

Focus sull'esame: i gruppi di fattori di rischio di INR.10 e il fattore on-chain che un’attività legata alle criptovalute può aggiungere; i fattori valutati rispetto ai fattori di override e il motivo per cui i modelli additivi diluiscono i rischi gravi; il calcolo di un punteggio ponderato e della relativa fascia a partire da un esempio svolto; l’uso del controllo dei wallet in fase di onboarding come fattore anziché come motivo di rifiuto automatico; i punteggi provvisori di onboarding e i punteggi continuativi basati sui dati osservati; il riesame periodico rispetto a quello basato su eventi; la calibrazione, il back-testing e i test di sensibilità; la governance degli override e la spiegabilità di ogni punteggio.