Triage e analisi degli alert

Un alert è una domanda, non una risposta. Ciò che trasforma il monitoraggio in conformità normativa è il lavoro svolto su ciascun alert: raccogliere fatti, verificare le spiegazioni e documentare una decisione che qualcun altro possa comprendere mesi dopo. Le autorità di vigilanza e i revisori esaminano gli alert chiusi più attentamente di quasi ogni altro elemento di un programma, perché analisi deboli e note di chiusura poco dettagliate rivelano se il monitoraggio è effettivo.

Il ciclo di vita dell'alert

Ogni alert attraversa le stesse fasi e ciascuna fase richiede un responsabile, un termine temporale e una registrazione.

Gli alert provenienti da fonti diverse che riguardano lo stesso cliente devono essere raggruppati in un unico caso, in modo che un solo analista abbia una visione complessiva. Anche le segnalazioni interne provenienti dall'assistenza clienti, dai team antifrode o dai responsabili delle relazioni con i clienti sono alert e spesso sono quelle più produttive.

I termini temporali sono importanti perché la Raccomandazione 20 del FATF richiede che le segnalazioni siano effettuate tempestivamente. Un'impresa stabilisce obiettivi interni per ciascuna fase e monitora l'anzianità degli alert: un alert che rimane senza essere esaminato per settimane costituisce una carenza del controllo, anche se la decisione finale è corretta.

Definizione delle priorità

Le code di lavoro sono raramente vuote, quindi l'ordine conta. Un punteggio di priorità basato sul rischio combina solitamente:

• la gravità dello scenario (l'esposizione a sanzioni, al finanziamento del terrorismo o a materiale pedopornografico ha priorità rispetto a una regola basata sui volumi);
• l'importo e il fatto che i fondi siano ancora sulla piattaforma (un prelievo in sospeso può ancora essere bloccato);
• la classificazione del rischio del cliente e lo storico degli alert precedenti;
• la rilevanza dell'esposizione rilevata dagli strumenti di analisi (diretta prima di indiretta, etichette recenti prima di quelle datate);
• i collegamenti con altri casi aperti.

Gli alert per i quali è ancora possibile trattenere i fondi o si applica un blocco preventivo della transazione hanno la precedenza. La definizione delle priorità non deve trasformarsi in una soppressione silenziosa: anche gli alert a bassa priorità richiedono una decisione entro il termine previsto oppure una motivazione documentata e approvata per la loro chiusura in blocco.

Fasi dell'analisi

Una sequenza coerente consente di mantenere le analisi comparabili e complete.

1. Comprendere l'alert. Quale regola si è attivata, con quali parametri e valori, e perché ciò è considerato un rischio?
2. Esaminare il profilo del cliente. Dati acquisiti all'apertura del rapporto, occupazione e finalità dichiarate, operatività prevista, origine dei fondi e del patrimonio, classificazione del rischio, alert e segnalazioni precedenti, modifiche recenti ai dati.
3. Esaminare l'operatività. Lo storico completo delle transazioni del cliente nel periodo prossimo all'alert: depositi, negoziazioni, prelievi, circuiti in valuta fiat, trasferimenti interni. Si tratta di un cambiamento rispetto al normale schema operativo del cliente?
4. Tracciare on-chain. Seguire i fondi a ritroso dai depositi e in avanti dai prelievi, utilizzando strumenti di analisi e verifiche manuali (si veda la lezione Analisi blockchain per la conformità normativa; per le tecniche, la lezione IDFE-CF Tracciamento secondo uno standard probatorio). Annotare il numero di passaggi, i servizi attraversati e le fonti delle etichette.
5. Verificare i dati della controparte. Le informazioni previste dalla Travel Rule fornite dal VASP della controparte, il suo stato di adeguata verifica e la corrispondenza del nome del beneficiario o dell'ordinante con quanto dichiarato dal cliente.
6. Utilizzare i dati interni. Accessi, dispositivi, indirizzi IP e geolocalizzazione, attributi condivisi con altri conti, conversazioni con l'assistenza.
7. Interpellare il cliente, se necessario. Una richiesta di informazioni (RFI) richiede documenti o una spiegazione: una fattura, una registrazione di negoziazione, una prova di vendita, un documento sull'origine dei fondi. Si tratta di normale adeguata verifica, quindi deve essere formulata in modo neutrale e non deve mai menzionare sospetti, alert o eventuali segnalazioni (si veda la lezione Adeguata verifica continuativa e interruzione dei rapporti sul divieto di comunicazione al cliente).
8. Concludere. Indicare l'ipotesi verificata, gli elementi a favore e contrari e la decisione.

Gli analisti devono considerare almeno una spiegazione lecita e una spiegazione illecita per ciascun alert e documentare quale sia supportata dagli elementi raccolti. Questo protegge sia dalle approvazioni automatiche sia dal bias di conferma.

Chiusura o escalation

La decisione dipende dal fatto che gli elementi raccolti spieghino l'operatività, non dall'impegno profuso.

L'escalation non equivale alla segnalazione: il responsabile della conformità o il MLRO applica la soglia di sospetto descritta nella lezione Obblighi di segnalazione delle operazioni sospette e documenta la motivazione, indipendentemente dal fatto che venga effettuata o meno una segnalazione. Una chiusura non può mai limitarsi a «nessun elemento di preoccupazione».

Documentare la motivazione

Una buona nota di chiusura consente a un revisore che non ha mai visto il caso di comprendere, senza aprire altri sistemi, che cosa abbia generato l'alert, che cosa sia stato verificato, che cosa sia emerso e perché ne sia derivata quella decisione. Contiene fatti con fonti e date, riferimenti alle transazioni (txid, importi, timestamp), la spiegazione e gli elementi che la supportano, nonché eventuali limitazioni, come un'etichetta scaduta o un tracciamento interrotto presso un servizio. Le note deboli affermano «operatività in linea con il profilo» senza specificare quale sia il profilo, oppure si basano sulle dichiarazioni del cliente senza elementi a supporto.

Una registrazione strutturata del caso raccoglie le stesse informazioni in campi verificabili e conteggiabili:

{
  "case_id": "CASE-2026-04417",
  "alerts": ["A-88121 rapid_in_out", "A-88134 indirect_scam_exposure"],
  "customer_id": "C-20931",
  "opened": "2026-10-02T09:14:00Z",
  "steps": ["profile reviewed", "trace 3 hops back", "linked accounts checked",
            "RFI sent 2026-10-03, answered 2026-10-06"],
  "findings": "Source funded by peel chain from cluster attributed to investment-scam platform; two other customers received from same source; explanation not evidenced",
  "decision": "ESCALATED",
  "decided_by": "L2-analyst-17",
  "mlro_outcome": "REPORTED",
  "account_action": "withdrawals restricted pending review",
  "qa_sampled": true
}

La registrazione collega gli alert a un unico caso, elenca le attività svolte con le relative date, riassume gli esiti in termini chiari e separa la decisione dell'analista dall'esito stabilito dal MLRO e dalle misure sul conto. Campi come questi alimentano le metriche illustrate nella lezione Ottimizzazione, metriche e governance dei modelli.

Garanzia della qualità

La garanzia della qualità riesamina un campione di alert chiusi e sottoposti a escalation sulla base di una lista di controllo: tutte le fasi sono state completate, la motivazione è supportata, la decisione era corretta, il termine temporale è stato rispettato? Il campionamento deve essere basato sul rischio (con una maggiore rappresentanza di scenari ad alto rischio e nuovi analisti) e includere gli alert chiusi, poiché le chiusure errate sono gli errori costosi. I risultati vengono comunicati agli analisti, utilizzati in sessioni di calibrazione in cui gli analisti decidono sullo stesso caso in modo indipendente e confrontano le decisioni, e riferiti alla direzione. Gli errori ricorrenti indicano un'esigenza formativa, una procedura poco chiara o una regola che produce alert ambigui.

Un caso esemplificativo

Il cliente C-20931, un grafico il cui rapporto è stato aperto quattordici mesi fa, ha dichiarato un'operatività prevista di circa USD 1.000 al mese. Nello stesso giorno si attivano due alert: un deposito di circa USD 18.000 in BTC prelevato in valuta fiat verso un conto bancario appena aggiunto entro tre ore e un'esposizione indiretta del 22%, risalendo di due passaggi, a un cluster attribuito a una piattaforma di truffe sugli investimenti.

• Profilo: l'importo è pari a 18 volte l'operatività mensile prevista, senza precedenti depositi in cripto-attività di questa entità.
• Tracciamento: l'indirizzo mittente è stato finanziato da una peel chain proveniente dal cluster della truffa; l'etichetta proviene da un comunicato pubblico delle autorità di contrasto datato quattro mesi prima.
• Collegamenti: altri due clienti hanno ricevuto depositi dalla stessa peel chain nella stessa settimana e uno condivide un dispositivo con C-20931.
• RFI: il cliente afferma che i fondi erano il pagamento per un computer portatile usato, ma non fornisce né fattura né messaggi; successivamente afferma che un amico gli ha chiesto aiuto per ricevere denaro.

Gli elementi raccolti supportano l'ipotesi illecita: il cliente sta probabilmente agendo come money mule (si veda la lezione Indicatori di anomalia e tipologie). L'analista procede all'escalation; il MLRO effettua una segnalazione, limita i prelievi in attesa del riesame e apre casi sui due clienti collegati. Il successivo controllo a campione della garanzia della qualità conferma la decisione e rileva che la data dell'etichetta è stata correttamente registrata.

Focus sull'esame: le fasi del ciclo di vita dell'alert e i relativi responsabili; il raggruppamento degli alert in casi e il monitoraggio della loro anzianità rispetto alla tempestività richiesta dalla R.20; la definizione delle priorità basata sul rischio senza soppressione silenziosa; la sequenza dell'analisi, inclusi il tracciamento on-chain, i dati della controparte previsti dalla Travel Rule, i dati interni su dispositivi e indirizzi IP e le richieste di informazioni neutrali che evitano comunicazioni vietate al cliente; la tabella decisionale per chiusura, mantenimento in sospeso ed escalation; la distinzione tra escalation e segnalazione; il contenuto di una nota di chiusura difendibile; il campionamento basato sul rischio e la calibrazione nell'ambito della garanzia della qualità.