Segnalazione di attività sospette · Lezione 2 di 5
Redigere una segnalazione efficace
9 min di lettura
Una segnalazione di operazione sospetta è utile solo nella misura in cui un analista della FIU riesce a comprenderne il contenuto in pochi minuti. Molte segnalazioni vengono presentate senza che vi sia dato seguito perché la descrizione narrativa copia il testo dell'allerta, nasconde il motivo del sospetto o elenca centinaia di hash di transazioni senza spiegare che cosa dimostrino. Redigere una segnalazione chiara e supportata da evidenze è una competenza fondamentale per chiunque inoltri casi a un livello superiore o approvi la presentazione delle segnalazioni.
Chi legge la segnalazione e di che cosa ha bisogno
Il primo lettore è solitamente un analista della FIU, spesso supportato da un sistema automatizzato di valutazione preliminare che assegna un punteggio alle segnalazioni in entrata. Le segnalazioni possono successivamente essere trasmesse alla polizia, ai pubblici ministeri, alle autorità fiscali o competenti in materia di sanzioni, oppure a una FIU estera; alcune parti possono essere lette anni dopo nell'ambito di procedimenti giudiziari. Nessuno di questi lettori può accedere al sistema di gestione dei casi o allo strumento di analisi dell'impresa. La segnalazione deve essere autosufficiente.
La maggior parte delle FIU raccoglie le segnalazioni tramite un modulo strutturato o un formato di file, con campi dedicati a soggetti, conti, transazioni e indicatori, oltre a una descrizione narrativa a testo libero. Molte utilizzano sistemi di segnalazione basati su XML, come goAML, sviluppato da UNODC. I campi strutturati consentono alla FIU di collegare segnalazioni provenienti da imprese diverse; la descrizione narrativa spiega perché i fatti siano sospetti. I due elementi devono essere coerenti: un indirizzo presente nella descrizione narrativa ma assente dai campi relativi alle transazioni non può essere abbinato automaticamente.
I moduli e le definizioni dei campi sono stabiliti a livello nazionale, pertanto il metodo seguente si concentra sui contenuti di cui ogni FIU ha bisogno.
Struttura: chi, che cosa, quando, dove, perché e come
Una descrizione narrativa affidabile risponde a sei domande, normalmente in questo ordine dopo una breve sintesi iniziale.
| Domanda | Contenuto per un caso relativo alle criptovalute |
|---|---|
| Chi | Soggetti con gli identificativi disponibili: nomi, date di nascita, ID cliente, conti collegati, dispositivi, indirizzi IP; controparti, per quanto note (un altro VASP, un wallet non custodial, un servizio identificato mediante attribuzione) |
| Che cosa | Asset, importi nelle unità native e in valuta fiat al momento della transazione, tipi di transazione (deposito, scambio, prelievo, erogazione in valuta fiat) |
| Quando | Periodo considerato e timestamp principali, in UTC |
| Dove | Blockchain e reti, VASP delle controparti e relativi paesi, conti in valuta fiat, ubicazioni del cliente e degli accessi |
| Perché | Il motivo del sospetto: quali fatti, considerati congiuntamente, non trovano spiegazione e a quali indicatori di anomalia corrispondono |
| Come | Il meccanismo: come i fondi sono entrati, sono stati movimentati e sono usciti; il percorso on-chain; che cosa ha dichiarato il cliente quando è stato interpellato |
Iniziare con due o tre frasi che presentino subito la conclusione: chi ha fatto che cosa, per quale importo, in quale periodo e perché l'impresa nutre sospetti. Un lettore che si fermi a quel punto dovrebbe comunque sapere se il caso è rilevante per le proprie attività.
Proseguire poi in ordine cronologico o seguendo il flusso, non nell'ordine in cui l'investigatore ha scoperto i vari elementi. Concludere indicando le misure adottate dall'impresa (limitazioni, cessazione del rapporto, prosecuzione del monitoraggio) e le eventuali segnalazioni precedenti collegate, citandone i numeri di riferimento della FIU.
Presentare le evidenze on-chain
I fatti on-chain sono verificabili da chiunque, il che li rende evidenze solide, purché siano presentati con precisione.
- Identificativi completi. Fornire txid e indirizzi completi nei campi strutturati o in un allegato, specificando la blockchain. Un hash troncato non può essere verificato. (Questo corso tronca gli identificativi solo perché sono fittizi.)
- Altezza del blocco e ora. Registrare l'altezza del blocco e il timestamp UTC delle transazioni principali, in modo che il lettore possa individuarle.
- Importi. Indicare l'importo nativo e il valore in valuta fiat, con la relativa fonte e il momento di riferimento. Per i token, specificare il contratto del token: "USDT" esiste su più blockchain.
- Esposizione, con il metodo. Indicare se l'esposizione è diretta o indiretta, il numero di passaggi, la percentuale, la categoria attribuita e la data in cui è stato prodotto il risultato dell'analisi. Le etichette cambiano e il lettore deve sapere su quale versione ci si è basati (si veda la lezione Analisi blockchain per la conformità).
- Sintesi, non elenchi indiscriminati. Inserire l'elenco completo delle transazioni in un allegato; nella descrizione narrativa, aggregare i dati ("41 depositi per un totale di 186.400 USDT provenienti da 29 indirizzi") e selezionare le poche transazioni che dimostrano lo schema.
- Un diagramma di flusso. Laddove siano accettati allegati, un semplice diagramma del flusso dei fondi, con importi e date su ogni arco, fa risparmiare ore all'analista. La lezione di IDFE-CF Visualizzare i flussi e le evidenze visive per i tribunali spiega come realizzarne uno senza ricorrere a disposizioni grafiche fuorvianti.
Un breve allegato con semplici colonne è compatibile con quasi tutti i sistemi di segnalazione:
seq ora_utc blockchain direzione importo controparte txid
01 2026-09-02 14:07:51 TRON ENTRATA 9,800 USDT T9xQ…4hRk (non custodial) 7c1e…a90b
02 2026-09-02 15:31:09 TRON ENTRATA 12,500 USDT TLm2…Vw8P (non custodial) e44d…0f17
03 2026-09-02 16:02:44 - USCITA FIAT 21,950 USD conto banc. terminante 3301 erogazione P-55120
04 2026-09-04 09:12:30 TRON ENTRATA 14,000 USDT TQa7…r2Nd (non custodial) 19b0…cc5eOgni riga rappresenta un movimento, in ordine temporale, con la controparte così come è nota all'impresa e l'identificativo necessario alla FIU per recuperarlo. Le erogazioni in valuta fiat riportano il riferimento interno dell'impresa anziché un txid. La descrizione narrativa spiega poi che cosa mostrano le righe, anziché ripeterle.
Linguaggio del grado di confidenza
Le segnalazioni combinano tre tipi di affermazioni, che la descrizione narrativa dovrebbe mantenere chiaramente distinti:
- Fatti: ciò che risulta dalle registrazioni. "Il 2 settembre 2026 il conto ha ricevuto 9.800 USDT dall'indirizzo T9xQ…4hRk nella transazione 7c1e…a90b."
- Inferenze: conclusioni derivanti da un metodo. "L'analisi blockchain attribuisce l'indirizzo mittente, risalendo di due passaggi, a un cluster associato a un'attività di frode negli investimenti; l'attribuzione è stata prodotta il 20 settembre 2026."
- Valutazioni: il giudizio dell'impresa. "Sospettiamo che il cliente stia ricevendo proventi di frode per conto di terzi."
Usare parole semplici e coerenti: "osservato" per i fatti, "attribuito" o "indica", accompagnati dal metodo, per le inferenze, "sospettiamo" o "riteniamo" per i giudizi. Evitare di presentare un'etichetta come un fatto ("l'indirizzo appartiene a un truffatore") ed evitare accuse che le evidenze non possono sostenere ("il cliente è un truffatore"). Dichiarare i limiti: un tracciamento che si interrompe presso un altro exchange, un'attribuzione proveniente da un'unica fonte, una spiegazione del cliente che non è stato possibile verificare. La lezione di IDFE-CF Redigere la relazione forense: grado di confidenza e linguaggio spiega come collegare le espressioni di probabilità a una scala definita.
Carenze comuni
| Carenza | Perché è dannosa | Correzione |
|---|---|---|
| La descrizione narrativa ripete il nome dell'allerta ("attivata per rapida entrata e uscita") | Indica ciò che il sistema ha rilevato, non perché sia sospetto | Spiegare i fatti e perché non trovano spiegazione |
| Nessuna conclusione all'inizio | L'analista deve leggere tutto per valutarne la rilevanza | Iniziare con una sintesi di due o tre frasi |
| Gergo e punteggi interni ("rischio 87, inoltrato a L2") | Non hanno significato al di fuori dell'impresa | Usare descrizioni semplici dei fatti e degli indicatori di anomalia |
| Identificativi mancanti, troncati o blockchain non specificata | Le transazioni non possono essere recuperate o abbinate | Txid e indirizzi completi, blockchain e contratto del token |
| Esposizione senza metodo o data | Il lettore non può valutarne il peso | Diretta o indiretta, passaggi, percentuale, data |
| Spiegazione del cliente omessa | Nasconde il fatto fondamentale che non è risultata convincente | Riportare le domande poste, le risposte ricevute e le verifiche effettuate |
| Segnalazione difensiva senza un sospetto reale | Aggiunge rumore e fa perdere tempo alla FIU | Segnalare sulla base di un sospetto motivato e documentato |
| Speculazioni che vanno oltre le evidenze | Compromettono la credibilità | Separare fatti, inferenze e valutazioni |
Un esempio fittizio di descrizione narrativa
La seguente descrizione narrativa, relativa a un caso inventato, mostra la struttura nella pratica.
Sintesi. Tra il 2 e il 18 settembre 2026, il nostro cliente M-4471, una persona fisica registrata come traduttore libero professionista, ha ricevuto 186.400 USDT sulla rete TRON da 29 indirizzi non custodial non collegati tra loro e ne ha convertito la quasi totalità in USD, erogati su un conto bancario intestato al cliente. Sospettiamo che il cliente stia ricevendo e trasferendo proventi di frodi negli investimenti per conto di terzi.
Soggetto. Il rapporto con M-4471 è stato avviato nel marzo 2026; il cliente ha dichiarato un'operatività prevista di circa USD 2.000 al mese derivante da acquisti occasionali di criptovalute. I dati identificativi, gli identificativi dei dispositivi e gli indirizzi IP di accesso sono riportati nei campi strutturati. Il conto non aveva registrato un'operatività significativa prima di settembre 2026.
Operatività. I 41 depositi avevano importi compresi tra 3.100 e 14.000 USDT e sono arrivati in gruppi ravvicinati; ciascun gruppo è stato convertito ed erogato entro due ore (si veda l'allegato 1). Le erogazioni complessive in valuta fiat sono state pari a USD 183.950.
Motivi del sospetto. L'analisi blockchain indica che 23 dei 29 indirizzi mittenti hanno ricevuto fondi, direttamente o entro due passaggi, da cluster attribuiti ad attività di frode negli investimenti (analisi del 20 settembre 2026; l'allegato 2 mostra il diagramma di flusso). Il volume è circa 90 volte l'operatività dichiarata. Nell'agosto 2026 altri due clienti ci hanno riferito di aver effettuato pagamenti a una piattaforma di trading fraudolenta; i loro pagamenti hanno raggiunto tre degli stessi indirizzi mittenti.
Contatto con il cliente. Il 10 settembre abbiamo chiesto al cliente di spiegare i depositi. Il cliente ha dichiarato che i fondi erano "profitti di trading di amici" e non ha fornito documentazione a supporto. Dopo la richiesta sono arrivati ulteriori depositi.
Misure adottate. I prelievi in valuta fiat sono stati limitati il 19 settembre 2026 in attesa della verifica. Non erano state presentate segnalazioni precedenti su questo cliente.
La descrizione narrativa presenta subito la conclusione, mantiene distinti fatti, inferenze e valutazione, indica la data dell'analisi e lascia agli allegati il dettaglio completo delle transazioni.
Focus sull'esame: le esigenze del lettore (un analista della FIU che non può accedere ai sistemi interni e i destinatari successivi); la necessaria coerenza tra campi strutturati e descrizione narrativa; la struttura chi-che cosa-quando-dove-perché-come con la conclusione all'inizio; la presentazione delle evidenze on-chain (txid e indirizzi completi, blockchain e contratto del token, altezza del blocco e ora UTC, importi nativi e in valuta fiat, esposizione con metodo e data, sintesi accompagnate da allegati, un diagramma di flusso); la separazione tra fatti, inferenze e valutazioni con parole semplici; le carenze comuni e le relative correzioni; l'inclusione della spiegazione del cliente e delle misure adottate.