Know Your Customer (KYC): Global Panorama normativo and Compliance Standards

Conosci il tuo cliente (KYC) La KYC (Know Your Customer) è un processo di due diligence implementato dalle aziende, in particolare quelle del settore bancario, fintech e dei servizi finanziari, per verificare l'identità dei propri clienti, valutare la legittimità dei loro fondi e il loro profilo di rischio complessivo. Ciò avviene attraverso la raccolta e la convalida di informazioni chiave come documenti di identità, prova di residenza, estratti conto e, talvolta, la provenienza del patrimonio. La KYC va oltre la fase di onboarding e include il monitoraggio continuo delle transazioni finanziarie e la revisione periodica del rischio del cliente, in modo da poter individuare tempestivamente comportamenti sospetti e intraprendere le azioni appropriate.

Il KYC è la pietra angolare della lotta globale al riciclaggio di denaro (AML) e al terrorismo. 

Il finanziamento delle iniziative di contrasto al finanziamento del terrorismo (CTF) consente alle aziende di impedire l'uso improprio delle proprie piattaforme e di conformarsi alle normative nazionali e internazionali stabilite da organizzazioni come la Financial Action Task Force (FATF). La mancata implementazione di procedure KYC adeguate può esporre le istituzioni a sanzioni normative, danni alla reputazione e una significativa perdita di fiducia da parte dei consumatori.

Sebbene l'implementazione di procedure KYC conformi possa essere complessa e richiedere molte risorse, è essenziale per una crescita sostenibile sia a livello nazionale che internazionale. Pratiche KYC ben implementate sono in grado sia di prevenire le frodi che di proteggere i dati dei clienti, consentendo servizi più personalizzati e relazioni commerciali più solide. Con la crescente interconnessione digitale del mondo, innovazioni come l'e-KYC, la verifica biometrica e la valutazione del rischio basata sull'intelligenza artificiale vengono sempre più utilizzate per semplificare la conformità e migliorare l'esperienza del cliente, rendendo il KYC non solo un requisito normativo, ma anche un vantaggio competitivo!

Quadro normativo KYC

Il quadro normativo per la conformità KYC è in gran parte dettato dal Gruppo d'azione finanziaria internazionale (GAFI), un organismo intergovernativo istituito nel 1989 che definisce gli standard antiriciclaggio e antiterrorismo a livello mondiale. Oltre 200 giurisdizioni hanno adottato le 40 raccomandazioni del GAFI, che sono state continuamente aggiornate nel corso degli anni, e le hanno integrate a livello nazionale.

L'organizzazione conduce valutazioni reciproche per valutare i paesi membri sia in termini di conformità tecnica delle loro leggi antiriciclaggio e antiterrorismo, sia in termini di efficacia della loro attuazione. I paesi che non superano queste valutazioni possono essere inseriti nella lista grigia o nella lista nera del GAFI, limitando così drasticamente il loro accesso ai mercati finanziari internazionali. L'inserimento in queste liste può avere un impatto straordinario sul benessere finanziario di una regione, spingendo i paesi ad adottare e applicare leggi in materia.

Sebbene alcuni principi generali siano universali, come la dovuta diligenza nei confronti della clientela (CDD), la dovuta diligenza rafforzata (EDD) per i clienti ad alto rischio e il monitoraggio continuo, le norme specifiche possono variare significativamente da paese a paese. Le normative nazionali sono in grado di interpretare le linee guida del GAFI attraverso valutazioni del rischio locali, la maturità del settore finanziario e le capacità di applicazione. La maggior parte delle giurisdizioni dispone di organismi di regolamentazione dedicati che garantiscono la conformità alle normative KYC e AML e possono imporre sanzioni o richiedere riforme in caso di violazioni.

A causa della natura incentrata sul digitale del moderno sistema finanziario, a livello internazionale vengono introdotte nuove disposizioni in materia di onboarding a distanza, verifica dell'identità digitale e monitoraggio automatizzato delle transazioni. In alcune parti del mondo, l'ambito di applicazione della regolamentazione si è esteso anche a istituzioni non bancarie come i fornitori di servizi di asset virtuali (VASP), le startup fintech, le piattaforme di scambio di criptovalute, i professionisti del settore immobiliare e persino avvocati e commercialisti. Ciò riflette la crescente consapevolezza che il riciclaggio di denaro e le frodi possono estendersi oltre i tradizionali canali finanziari. 

Di seguito viene presentata una panoramica, giurisdizione per giurisdizione, dei principali enti regolatori in materia di KYC, delle tendenze nazionali in materia di applicazione delle normative e delle azioni di conformità di alto profilo degli ultimi anni, evidenziando come i principi globali vengano applicati nei contesti locali.

Stati Uniti

Gli Stati Uniti vantano uno dei sistemi più ampi e completi per la conformità alle normative KYC (Know Your Customer) e AML (Anti-Money Laundering). Tale sistema si basa sul Bank Secrecy Act (BSA) del 1970, che ha subito una significativa evoluzione nel corso degli anni per far fronte alla crescente complessità dei reati finanziari, tra cui l'USA PATRIOT Act del 2001 e l'Anti-Money Laundering Act del 2020.

FinCEN (Rete per l'applicazione dei reati finanziari)

FinCEN è un ufficio del Dipartimento del Tesoro degli Stati Uniti che applica il Bank Secrecy Act (BSA) e sovrintende alla conformità KYC/AML (Know Your Customer/Anti-Money Laundering) per aziende come banche, società di servizi finanziari, casinò, società di intermediazione mobiliare e un numero crescente di fintech e fornitori di servizi di asset virtuali (VASP). Si occupa inoltre della presentazione delle segnalazioni di attività sospette (SAR), degli obblighi di due diligence della clientela (CDD) e della trasparenza sulla titolarità effettiva, come previsto dal Corporate Transparency Act del 2024.

OFAC (Ufficio per il controllo dei beni esteri)

L'OFAC amministra e applica le sanzioni economiche e commerciali statunitensi in linea con gli obiettivi di sicurezza nazionale e di politica estera, come indicato dal Presidente e stabilito da leggi del Congresso. Nell'ambito degli obblighi KYC (Know Your Customer), gli istituti finanziari devono verificare i clienti confrontandoli con l'elenco dei soggetti designati come Specialmente (SDN) e con l'elenco delle persone bloccate dell'OFAC. 

Recenti provvedimenti di applicazione della legge 

TD Bank (ottobre 2024)

In una delle più grandi azioni di contrasto al riciclaggio di denaro degli ultimi tempi, TD Bank si è dichiarata colpevole di violazioni del Bank Secrecy Act (BSA) e ha accettato di pagare una sanzione di 3 miliardi di dollari. Ciò è stato il risultato della mancata adeguata sorveglianza e segnalazione di oltre 670 miliardi di dollari di transazioni sospette, effettuate nell'arco di diversi anni e indice di carenze sistemiche nei controlli interni, nel monitoraggio delle transazioni e nella presentazione delle segnalazioni di operazioni sospette (SAR). Come parte dell'accordo, TD Bank è stata tenuta a nominare un supervisore indipendente per la conformità, incaricato di monitorare le sue attività di adeguamento alle normative antiriciclaggio per un periodo di tre anni. 

Regno Unito

Da quando ha lasciato l'Unione Europea, il Regno Unito ha mantenuto e ampliato i propri mandati in materia di antiriciclaggio e contrasto al finanziamento del terrorismo, perlopiù in linea con il Regolamento antiriciclaggio del 2017, e modificandoli ove necessario.

Autorità di Gestione Finanziaria (FCA)

La FCA ha ampi poteri di vigilanza sulle società di servizi finanziari e di applicazione delle normative antiriciclaggio e di identificazione del cliente (AML/KYC), valutando come gestiscono i rischi di criminalità finanziaria, comprese le modalità di verifica dell'identità dei clienti, di mantenimento della dovuta diligenza e di monitoraggio delle transazioni. Ha inoltre il potere di imporre sanzioni pecuniarie, limitare le attività commerciali o, in casi estremi, revocare le licenze. 

Recenti provvedimenti di applicazione della legge 

Equifax Limited (ottobre 2023)

Equifax Limited è stata recentemente multata di 11.16 milioni di sterline dalla FCA per gravi carenze nella gestione di un attacco informatico avvenuto nel 2017 che ha colpito la sua società madre statunitense, portando all'esposizione dei dati personali di 14 milioni di clienti nel Regno Unito. La FCA ha stabilito che Equifax UK non ha esercitato una supervisione sufficiente sulla gestione dei dati personali sensibili da parte della sua società madre e, nonostante il processo si sia svolto all'estero, Equifax Limited è rimasta responsabile ai sensi della normativa britannica. Tra le carenze riscontrate figurano le debolezze nella gestione del rischio, nelle misure di sicurezza e nelle procedure di governance di Equifax, fattori che hanno contribuito direttamente all'impatto della violazione sui clienti del Regno Unito.

Unione europea (UE)

L'Unione europea ha adottato un approccio progressivo e stratificato per combattere la criminalità finanziaria, ponendo l'accento sulla coerenza transfrontaliera nelle modalità con cui le istituzioni identificano i clienti, valutano il rischio e segnalano le attività sospette.  

Direttive antiriciclaggio (AMLD)

Istituite nel 1991, le Direttive Antiriciclaggio (AML) si propongono di perfezionare e rafforzare gli standard di conformità in tutta Europa. La Quarta Direttiva AML (2015) ha stabilito requisiti minimi di KYC (Know Your Customer) e di due diligence per banche, agenti immobiliari, commercialisti e altri fornitori di servizi finanziari, mentre la Quinta Direttiva AML (2018) ha ampliato l'ambito di applicazione includendo le piattaforme di criptovalute e gli emittenti di carte prepagate. 

Più recentemente, la sesta direttiva antiriciclaggio (2021) ha esteso la responsabilità penale per i reati di riciclaggio di denaro anche alle persone giuridiche, il che significa che le aziende stesse possono essere ritenute responsabili per le violazioni delle norme antiriciclaggio commesse dai propri dipendenti.

Recenti provvedimenti di applicazione della legge 

Banca Euram (ottobre 2024)

Nell'ottobre del 2024, l'Autorità austriaca per i mercati finanziari (FMA) ha ordinato alla banca d'investimento euroamericana EURAM Bank AG (Euram Bank) di sospendere immediatamente le operazioni a causa di controlli antiriciclaggio inadeguati. L'FMA aveva già avvertito EURAM Bank all'inizio dell'anno di conformarsi alle direttive antiriciclaggio per prevenire il riciclaggio di denaro, ma si è constatato che la banca non aveva affrontato adeguatamente tali problematiche.

Cina

La Cina adotta una struttura di doppia regolamentazione per la supervisione finanziaria nazionale e l'applicazione delle norme antiriciclaggio, con responsabilità suddivise tra la banca centrale del paese e l'autorità di regolamentazione finanziaria designata. Negli ultimi anni, la Cina ha ampliato il suo impegno per allineare le iniziative interne agli standard internazionali, affrontando al contempo sfide interne specifiche come le transazioni in contanti su larga scala e le reti bancarie clandestine.

Banca Popolare Cinese (PBC)

Ai sensi della legge antiriciclaggio della Repubblica Popolare Cinese, la Banca Popolare Cinese (PBC) è responsabile della stesura delle politiche antiriciclaggio, della definizione dei requisiti normativi per la verifica dell'identità dei clienti e delle indagini sugli istituti finanziari sospettati di violazioni delle norme. La PBC sovrintende inoltre al Centro cinese di monitoraggio e analisi antiriciclaggio (CAMLMAC), che, come altre unità di informazione finanziaria (FIU), raccoglie e analizza i dati delle transazioni per individuare comportamenti sospetti nell'intero sistema finanziario.

Commissione di regolamentazione bancaria e assicurativa cinese (CBIRC)

Il CIBRC garantisce che le istituzioni implementino correttamente gli standard antiriciclaggio stabiliti dalla Banca Popolare Cinese (PBC) attraverso la revisione dei meccanismi di controllo interno, delle procedure di onboarding e delle attività di due diligence continue. Dalla sua istituzione nel 2018, il CIBRC ha contribuito a migliorare i protocolli KYC (Know Your Customer) in Cina, in particolare tra le istituzioni finanziarie statali e rurali, che storicamente hanno mostrato ritardi in termini di conformità.

Recenti provvedimenti di applicazione della legge

Gruppo Ant (luglio 2023)

Dopo la conclusione di un'indagine pluriennale, la PBC ha imposto una multa di Ant Group è stata multata per 7.123 miliardi di yuan (circa 984 milioni di dollari USA) per una serie di infrazioni, tra cui violazioni delle normative antiriciclaggio, pratiche di tutela dei consumatori inadeguate e una governance aziendale carente. Con questa sanzione, le autorità di regolamentazione hanno lanciato un messaggio chiaro: le società fintech, indipendentemente dalle dimensioni o dall'influenza, devono rispettare le normative KYC (Know Your Customer) allo stesso modo delle banche tradizionali, al fine di prevenire l'abuso dei loro prodotti finanziari. 

India

La principale legge indiana in materia di antiriciclaggio è la Legge sulla prevenzione del riciclaggio di denaro, emanata nel 2002, che fornisce il fondamento giuridico per un'ampia gamma di obblighi di conformità implementati negli ultimi due decenni.

Reserve Bank of India (RBI)

La RBI, la banca centrale indiana, emana direttive generali e aggiornamenti periodici che specificano come gli istituti finanziari devono verificare l'identità dei clienti, tenere la contabilità e valutare il rischio. Oltre all'emanazione di norme, la RBI effettua anche audit, ispezioni in loco e revisioni tematiche per garantire che gli istituti non solo adottino politiche adeguate sulla carta, ma le implementino effettivamente. Il suo potere di controllo include l'imposizione di sanzioni pecuniarie e restrizioni alle attività commerciali in caso di persistente inadempienza.

Unità di informazione finanziaria (UIF-IND)

L'FIU-IND funge da agenzia centrale indiana per la ricezione, l'elaborazione e l'analisi delle segnalazioni di operazioni sospette (STR) presentate dagli enti segnalanti e si impegna a facilitare la cooperazione interagenzie e a supportare le indagini delle forze dell'ordine. Negli ultimi anni, l'FIU-IND ha posto sempre maggiore enfasi sul monitoraggio basato sui dati, sulla condivisione di informazioni tra i diversi settori e su tempi di risposta più rapidi in caso di carenze di conformità (soprattutto con l'espansione dei servizi finanziari in ambito digitale).

Recenti provvedimenti di applicazione della legge

HDFC Bank e Punjab & Sind Bank (marzo 2025)

Nel marzo 2025, la RBI ha imposto sanzioni per un importo di 75 lakh di rupie (circa 87,000 dollari USA) e 68.20 lakh di rupie (circa 80,000 dollari USA) rispettivamente a HDFC Bank e Punjab & Sind Bank. Queste sanzioni sono state inflitte a causa di lacune nelle procedure di identificazione dei clienti e della mancata applicazione di protocolli coerenti di classificazione del rischio. Pur riconoscendo che tali sanzioni erano dovute a carenze procedurali e non a dolo, le autorità di regolamentazione hanno comunque sottolineato l'importanza di un rigoroso controllo, soprattutto con la crescente diffusione delle procedure di onboarding digitale.