Monitoraggio delle transazioni e gestione degli alert · Lezione 4 di 5
Triage degli alert e indagine
9 min di lettura
Un alert è una domanda, non una risposta. Ciò che trasforma il monitoraggio in conformità è il lavoro svolto su ciascun alert: raccogliere fatti, verificare spiegazioni e registrare una decisione che qualcun altro possa comprendere anche mesi dopo. Supervisori e revisori esaminano gli alert chiusi più attentamente di quasi ogni altro elemento di un programma, perché indagini deboli e note di chiusura scarne rivelano se il monitoraggio è effettivo.
Il ciclo di vita degli alert
Ogni alert passa attraverso le stesse fasi, e ciascuna fase deve avere un responsabile, uno standard temporale e una registrazione.
| Fase | Cosa succede | Responsabile tipico |
|---|---|---|
| Generazione | Una regola, un modello, una corrispondenza di screening o una segnalazione interna genera un alert | Sistema |
| Triage | Revisione rapida: falso positivo evidente, duplicato oppure necessità di indagine | Analista di primo livello |
| Indagine | Revisione completa del cliente, dell'attività, dei flussi di fondi e delle controparti | Investigatore di secondo livello |
| Escalation | Attività inspiegata o sospetta inviata per una decisione sulla segnalazione | Responsabile della conformità o MLRO |
| Decisione | Chiusura, mantenimento sotto osservazione, limitazione, uscita, segnalazione | Investigatore o MLRO, per delega |
| Controllo qualità | Un campione di decisioni viene riesaminato in modo indipendente | Funzione QA |
Gli alert provenienti da fonti diverse e relativi allo stesso cliente dovrebbero essere raggruppati in un unico caso, così che un investigatore possa vedere il quadro completo. Anche le segnalazioni interne provenienti dall'assistenza clienti, dai team antifrode o dai responsabili delle relazioni sono alert e spesso sono quelle più produttive.
Gli standard temporali sono importanti perché la Raccomandazione 20 del FATF richiede che le segnalazioni siano effettuate tempestivamente. Un'impresa stabilisce obiettivi interni per ogni fase e monitora l'anzianità: un alert che resta senza essere esaminato per settimane rappresenta una carenza dei controlli anche se la decisione finale è corretta.
Assegnazione delle priorità
Le code sono raramente vuote, quindi l'ordine è importante. Un punteggio di priorità basato sul rischio combina in genere:
- la gravità dello scenario (l'esposizione a sanzioni, finanziamento del terrorismo o materiale pedopornografico ha priorità rispetto a una regola basata sui volumi);
- l'importo e la presenza dei fondi sulla piattaforma (un prelievo in attesa può ancora essere bloccato);
- la valutazione del rischio del cliente e la cronologia degli alert precedenti;
- la solidità dell'esposizione rilevata dagli strumenti di analisi (diretta prima di indiretta, etichette recenti prima di quelle più datate);
- i collegamenti ad altri casi aperti.
Gli alert per i quali i fondi possono ancora essere trattenuti o ai quali si applica un blocco pre-transazione hanno la precedenza. L'assegnazione delle priorità non deve trasformarsi in una soppressione silenziosa: anche gli alert con priorità bassa richiedono una decisione entro lo standard temporale, oppure una motivazione documentata e approvata per la loro chiusura in blocco.
Fasi dell'indagine
Una sequenza coerente rende le indagini comparabili e complete.
- Comprendere l'alert. Quale regola è scattata, con quali parametri e valori, e perché è considerata un rischio?
- Esaminare il profilo del cliente. Dati di onboarding, professione e finalità dichiarate, attività prevista, origine dei fondi e del patrimonio, valutazione del rischio, alert e segnalazioni precedenti, modifiche recenti ai dati.
- Esaminare l'attività. La cronologia completa delle transazioni del cliente nel periodo interessato dall'alert: depositi, operazioni, prelievi, canali fiat, trasferimenti interni. Si tratta di un cambiamento rispetto al comportamento abituale del cliente?
- Tracciare on-chain. Seguire i fondi a ritroso dai depositi e in avanti dai prelievi, utilizzando strumenti di analisi e revisione manuale (vedere la lezione Analisi della blockchain per la conformità; per le tecniche, la lezione IDFE-BA Tracciare i fondi in avanti e a ritroso). Annotare il numero di passaggi, i servizi attraversati e le fonti delle etichette.
- Verificare i dati delle controparti. Le informazioni della Travel Rule fornite dal VASP controparte, il suo stato di due diligence e la corrispondenza tra il nome del beneficiario o dell'ordinante e quanto dichiarato dal cliente.
- Utilizzare i dati interni. Accessi, dispositivi, indirizzi IP e geolocalizzazione, attributi condivisi con altri account, conversazioni con l'assistenza.
- Se necessario, chiedere informazioni al cliente. Una richiesta di informazioni (RFI) richiede documenti o una spiegazione: una fattura, la registrazione di un'operazione, la prova di una vendita, un documento sull'origine dei fondi. Si tratta di normale due diligence, quindi la richiesta deve essere formulata in modo neutrale e non deve mai menzionare sospetti, alert o segnalazioni (per evitare di informare il cliente dell'indagine, vedere la lezione Due diligence continuativa e cessazione dei rapporti).
- Concludere. Indicare l'ipotesi verificata, gli elementi a favore e contro e la decisione.
Gli investigatori dovrebbero considerare almeno una spiegazione innocente e una illecita per ciascun alert e registrare quale delle due è supportata dalle prove. Questo consente di evitare sia l'approvazione automatica sia il bias di conferma.
Chiudere o sottoporre a escalation
La decisione dipende dal fatto che le prove spieghino l'attività, non dalla quantità di lavoro già svolto.
| Riscontro | Decisione | Azione successiva |
|---|---|---|
| Attività spiegata dalle prove e coerente con il profilo | Chiudere | Registrare le prove su cui si basa la decisione |
| Attività spiegata, ma profilo non aggiornato | Chiudere | Aggiornare il profilo; valutare una revisione del rischio |
| Attività parzialmente spiegata, servono altre informazioni | Sospendere | Inviare una RFI con una scadenza; procedere all'escalation se non si riceve risposta |
| Attività inspiegata, indicatori persistenti oppure il cliente rifiuta di rispondere o fornisce risposte implausibili | Procedere all'escalation | L'MLRO decide se effettuare una segnalazione e quale azione adottare sull'account |
| Fondi provenienti da una persona o un indirizzo designato | Procedura sanzionatoria | Congelare e segnalare come richiesto, immediatamente |
| Il cliente sembra essere vittima di una frode | Procedere all'escalation e proteggere | Avvertire, contattare, valutare un possibile blocco; decidere se effettuare una segnalazione |
L'escalation non equivale a una segnalazione: il responsabile della conformità o l'MLRO applica la soglia di sospetto descritta nella lezione Obblighi di segnalazione delle transazioni sospette e registra le motivazioni, indipendentemente dal fatto che venga presentata o meno una segnalazione. Una chiusura non può limitarsi a dire «nessun motivo di preoccupazione».
Documentare le motivazioni
Una buona nota di chiusura consente a un revisore che non ha mai visto il caso di capire, senza aprire altri sistemi, quale alert è scattato, cosa è stato verificato, cosa è emerso e perché ne consegue quella decisione. Contiene fatti con fonti e date, riferimenti alle transazioni (txid, importi, date e orari), la spiegazione e le relative prove, nonché eventuali limiti, come un'etichetta scaduta o una traccia che si è interrotta presso un servizio. Le note deboli dicono «attività coerente con il profilo» senza specificare quale sia il profilo, oppure si affidano alle parole del cliente senza prove.
Una registrazione strutturata del caso raccoglie gli stessi elementi in campi verificabili e quantificabili:
{
"case_id": "CASE-2026-04417",
"alerts": ["A-88121 rapid_in_out", "A-88134 indirect_scam_exposure"],
"customer_id": "C-20931",
"opened": "2026-10-02T09:14:00Z",
"steps": ["profilo esaminato", "traccia a ritroso di 3 passaggi", "account collegati verificati",
"RFI inviata il 2026-10-03, risposta ricevuta il 2026-10-06"],
"findings": "Fonte dei fondi: catena peel proveniente da un cluster attribuito a una piattaforma di truffe sugli investimenti; altri due clienti hanno ricevuto fondi dalla stessa fonte; spiegazione non suffragata da prove",
"decision": "ESCALATED",
"decided_by": "L2-analyst-17",
"mlro_outcome": "REPORTED",
"account_action": "prelievi limitati in attesa di revisione",
"qa_sampled": true
}La registrazione collega gli alert a un unico caso, elenca le fasi svolte con le relative date, riassume i risultati in parole semplici e distingue la decisione dell'investigatore dall'esito deciso dall'MLRO e dall'azione intrapresa sull'account. Campi come questi alimentano le metriche discusse nella lezione Ottimizzazione, metriche e governance dei modelli.
Controllo qualità
Il controllo qualità riesamina un campione di alert chiusi e sottoposti a escalation sulla base di una checklist: tutte le fasi sono state svolte? Le motivazioni sono supportate da prove? La decisione era corretta? È stato rispettato lo standard temporale? Il campionamento dovrebbe essere basato sul rischio (più casi provenienti da scenari ad alto rischio e da nuovi analisti) e includere gli alert chiusi, poiché quelli chiusi in modo errato sono gli errori più costosi. I risultati vengono comunicati agli analisti, utilizzati nelle sessioni di calibrazione in cui gli investigatori decidono autonomamente sullo stesso caso e confrontano le decisioni, e riferiti alla direzione. Gli errori ricorrenti indicano la necessità di formazione, una procedura poco chiara o una regola che genera alert ambigui.
Un caso svolto
Il cliente C-20931, un grafico acquisito quattordici mesi fa, aveva dichiarato un'attività prevista di circa 1.000 USD al mese. Nello stesso giorno scattano due alert: un deposito di circa 18.000 USD in BTC prelevato sotto forma di fiat verso un conto bancario aggiunto di recente entro tre ore, e un'esposizione indiretta del 22%, a due passaggi di distanza, a un cluster attribuito a una piattaforma di truffe sugli investimenti.
- Profilo: l'importo è 18 volte superiore all'attività mensile prevista e non vi erano precedenti depositi in criptovalute di questa entità.
- Traccia: l'indirizzo mittente era stato finanziato da una catena peel proveniente dal cluster della truffa; l'etichetta deriva da un comunicato pubblico delle forze dell'ordine datato quattro mesi prima.
- Collegamenti: altri due clienti hanno ricevuto depositi dalla stessa catena peel nella stessa settimana e uno condivide un dispositivo con C-20931.
- RFI: il cliente afferma che i fondi erano il pagamento per un laptop usato, ma non fornisce fattura né messaggi; in seguito dice che un amico gli ha chiesto aiuto per ricevere denaro.
Le prove supportano l'ipotesi illecita: probabilmente il cliente sta agendo da prestanome per il riciclaggio di denaro (vedere la lezione Segnali d'allarme e tipologie). L'investigatore procede all'escalation; l'MLRO presenta una segnalazione, limita i prelievi in attesa di revisione e apre casi sui due clienti collegati. Il successivo campionamento QA conferma la decisione e rileva che la data dell'etichetta è stata registrata correttamente.
Focus sull'esame: le fasi del ciclo di vita degli alert e i rispettivi responsabili; il raggruppamento degli alert in casi e il monitoraggio dell'anzianità rispetto alla tempestività richiesta dalla R.20; l'assegnazione delle priorità basata sul rischio senza soppressione silenziosa; la sequenza dell'indagine, compresi la tracciatura on-chain, i dati sulle controparti previsti dalla Travel Rule, i dati interni sui dispositivi e sugli indirizzi IP e le richieste di informazioni formulate in modo neutrale per evitare di informare il cliente dell'indagine; la tabella decisionale per chiusura, sospensione ed escalation; la differenza tra escalation e segnalazione; gli elementi che deve contenere una nota di chiusura difendibile; il campionamento QA basato sul rischio e la calibrazione.