Consultazione pubblica sugli Orientamenti AMLA in materia di ongoing monitoring

[*] Il contributo si sofferma sul contenuto degli orientamenti dell’AMLA attualmente in consultazione, relativi alle modalità di esercizio, da parte dei soggetti obbligati, del controllo costante sui rapporti d’affari continuativi (ongoing monitoring), nell’ambito delle misure di adeguata verifica antiriciclaggio della clientela.

1. Il rilievo dell’attività di ongoing monitoring nella nuova regolamentazione AML

Come noto l’articolo 20 del Regolamento UE 2024/1624 (d’ora innanzi “AMLR”), rubricato “Misure di adeguata verifica della clientela” stabilisce che ai fini dell’obbligo di customer due diligence i soggetti obbligati debbano svolgere 9 distinte macro-attività di seguito sommariamente elencate:

1. identificare il cliente e verificarne l’identità;
2. identificare i titolari effettivi e adottare misure ragionevoli per verificarne l’identità;
3. valutare e, se necessario, ottenere informazioni sullo scopo e sulla natura prevista del rapporto d’affari o delle operazioni occasionali;
4. verificare se il cliente o i titolari effettivi, sono oggetto di sanzioni finanziarie mirate e – nel caso in cui il cliente sia un ente – se vi siano persone fisiche o giuridiche oggetto di sanzioni finanziarie mirate che controllano l’ente o detengano oltre il 50 % dei diritti di proprietà o una partecipazione di maggioranza in tale ente, individualmente o collettivamente;
5. valutare e, se del caso, ottenere informazioni sulla natura dell’attività dei clienti;
6. svolgere un controllo costante del rapporto d’affari (“conducting ongoing monitoring of the business relationship…”);
7. determinare se il cliente e il titolare effettivo sono persone politicamente esposte;
8. identificare e verificare l’identità delle persone che agiscono per conto o a beneficio di persone fisiche diverse dal cliente;
9. verificare che chiunque sostenga di agire per conto del cliente sia autorizzato in tal senso.

In particolare, l’articolo 26 AMLR, rubricato “Controllo costante del rapporto d’affari e controllo delle operazioni effettuate dai clienti”, impone ai soggetti obbligati il dovere di esercitare un controllo costante sui rapporti continuativi, comprese le operazioni effettuate in tale ambito, descrivendo, altresì, la finalità di questa attività ovvero consentire al soggetto obbligato la formulazione di un giudizio di coerenza (o meno) delle operazioni poste in essere rispetto a 2 distinti parametri

• la conoscenza che il soggetto obbligato ha del proprio cliente, della sua attività commerciale e del suo profilo di rischio;
• le informazioni sull’origine e la destinazione dei fondi.

Il risultato di questa valutazione potrà:

• condurre a considerare l’operatività del cliente come meramente “inusuale/anomala”, eventualmente dopo aver implementato le informazioni mediante ulteriori richieste documentali anche rivolte al cliente stesso, se del caso riclassificando il cliente in una fascia di rischio più appropriata, ma potrà, altresì,
• indurre il destinatario degli obblighi AML/CFT a ritenere che i fattori (oggettivi o soggettivi) che sono alla base del giudizio di incoerenza, rappresentino elementi di sospetto determinando, conseguentemente, l’obbligo segnaletico ai sensi dell’articolo 69, par.1, AMLR.

Peraltro, l’incoerenza eventualmente registrata fra il quadro conoscitivo del cliente e le caratteristiche dell’operatività è solo uno degli elementi dai quali può scaturire il sospetto e, quindi, l’obbligo segnaletico: l’articolo 69 AMLR, “Segnalazione di sospetti”, stabilisce, infatti, che il sospetto si basa su una serie di fattori (caratteristiche del cliente e delle sue controparti, dimensioni e natura dell’operazione o dell’attività, sui relativi metodi e modelli, legame tra diverse operazioni o attività, origine, destinazione o uso dei fondi, qualsiasi altra circostanza nota al soggetto obbligato) fra i quali è compresa anche la coerenza dell’operazione o dell’attività del cliente con le informazioni ottenute in sede di adeguata verifica.

Da ciò si desume che, così come l’eventuale incoerenza non legittima di per sé stessa l’inoltro di una segnalazione di operazione sospetta, neanche un giudizio di coerenza potrebbe essere idoneo a escludere il sospetto, nel senso che un’operazione pur coerente con il quadro conoscitivo del cliente può divenire sospetta in base ad altre considerazioni, ad esempio nel caso di sopraggiunte negative news.

In ogni caso, il controllo costante e gli strumenti attraverso i quali esso si declina rappresentano una componente complessa del processo aziendale AML/CFT nell’ambito del quale la “complessità” viene ben rappresentata dalla precisazione contenuta nell’articolo 26 AMLR, laddove si sottolinea che l’attività di ongoing monitoring – qualora il soggetto obbligato appartenga a un gruppo e il proprio cliente abbia rapporti d’affari con soggetti all’interno del medesimo gruppo – dovrà includere anche le informazioni relative a tali altri rapporti pur se intrattenuti con imprese non sottoposte agli obblighi in materia di AML/CFT.

Sul punto, considerato il carattere di core requirement del monitoraggio continuo, l’articolo 26, par.5 AMLR ha previsto l’emanazione di orientamenti ad hoc da parte dell’Authority for Anti-Money Laundering and Countering the Financing of Terrorism (di seguito “AMLA” o Authority) che il 3 giugno 2026 ha posto in consultazione, fino al 3 settembre, il documento “Draft Guidelines on ongoing monitoring of a business relationship under Article 26(5) of Regulation (EU) 2024/1624” invitando tutte le parti interessate e, in particolare, i soggetti obbligati dei settori finanziario e non finanziario, a fornire i propri contributi.

Le scelte riflesse nel progetto in consultazione sono guidate da quattro principi generali: approccio basato sul rischio[1], proporzionalità[2], applicabilità orizzontale al settore finanziario e non finanziario e neutralità tecnologica[3]. Attraverso questi principi l’AMLA fronteggia il rischio connesso a pratiche nazionali divergenti e aspettative di vigilanza disomogenee.

L’architrave del sistema delineato dall’AMLA nel documento in consultazione è l’obbligo dei destinatari di disporre di meccanismi che assicurino la disponibilità di dati aggiornati sui clienti o sui peer group (nell’ipotesi in cui nella loro attività di monitoraggio facciano ricorso a questi ultimi.

Questi meccanismi si sostanziano in un complessivo assetto che consenta, a prescindere dalla previsione di periodic review del cliente, di rilevare cambiamenti significativi (“material change”) nel rischio, nel comportamento e nei modi di utilizzo del servizio prestato: dalla individuazione del cambiamento discende l’obbligo di “revisione” cioè di riesaminare il complessivo patrimonio informativo che riguarda il cliente per verificare se, in base al cambiamento rilevato sia necessario procedere ad aggiornare tale patrimonio (“reviewing, and where necessary, updating”).

La versione definitiva degli Orientamenti sarà pubblicata nel quarto trimestre del 2026.

2. L’orientamento 1: mantenere aggiornati i documenti, i dati o le informazioni sui clienti

Gli Orientamenti sono due (figura 1).

Fig.1

Elaborazione dell’autore

Il primo, rubricato “Keeping customer documents, data or information up to date”, descrive in che modo i soggetti obbligati devono garantire che le informazioni sui clienti siano corrette e vengano aggiornate per tutta la durata del rapporto.

L’Authority sottolinea che l’aggiornamento delle informazioni è un processo continuo non circoscritto al monitoraggio delle transazioni, ma valutativo anche dei comportamenti e degli eventi riferibili al cliente durante l’intero rapporto o attività svolta in suo favore.

Peraltro, ai fini della “continuità” del processo vengono distinte revisioni periodiche e aggiornamenti determinati da eventi specifici definiti “triggering events” (figura 2).

Fig.2

Elaborazione dell’autore

A. Le revisioni periodiche o “periodic review” sono quelle condotte al termine di lassi temporali predefiniti dal soggetto obbligato nell’ambito dei termini massimi fissati dall’articolo 26, par.2 AMLR che, come noto, stabilisce periodi non superiori a uno o cinque anni a seconda che i dati da aggiornare riguardino clienti ad alto rischio o clienti altrimenti profilati.

Secondo la bozza in consultazione, nel decidere se e come adeguare la profondità e l’intensità di una revisione periodica, i soggetti obbligati dovrebbero tenere presenti 3 fattori (ma l’elenco non è esaustivo secondo la bozza stessa):

1. il livello di rischio del cliente;
2. le eventuali nuove attività o transazioni o se siano stati offerti al cliente nuovi servizi/prodotti[4];
3. il tipo e il livello di rischio dei prodotti o servizi forniti al cliente.

E tuttavia, il richiamo al parametro dell’eventuale “nuova attività o nuovo prodotto” per commisurare profondità e intensità di una revisione periodica risulta sostanzialmente in contraddizione con la prescrizione dell’estensore della bozza di effettuare la revisione senza indugio laddove una nuova attività è stata avviata o una transazione effettuata[5] individuando questo frangente come un “trigger event”

Oltre a richiamare il principio secondo cui la frequenza e la profondità degli aggiornamenti devono tener conto del livello di rischio del soggetto obbligato, di quello del cliente e delle informazioni già acquisite, l’orientamento indica quali fonti si possono utilizzare per aggiornare le informazioni sul cliente (ad esempio, registri ufficiali o banche dati del governo e delle autorità competenti, organizzazioni commerciali affidabili, altri soggetti obbligati) includendovi anche il cliente stesso che, per iscritto o tramite mezzi digitali, potrà confermare le informazioni già fornite o produrne di nuove.

La bozza chiarisce che, qualora un cliente fornisca una dichiarazione scritta contenente nuove informazioni o confermi informazioni, documenti o dati raccolti in precedenza, il soggetto obbligato, a seconda del livello e della natura del rischio, deve valutare se sia necessario verificare l’affidabilità di tale dichiarazione ricorrendo a fonti affidabili e indipendenti[6].

Sul punto la bozza chiarisce altresì che, nei casi in cui il cliente sia rappresentato da altra persona, il soggetto obbligato debba valutare se il soggetto agente, cioè colui che conferma o fornisce le informazioni per conto del cliente, abbia effettiva conoscenza delle stesse e i poteri di rappresentanza necessari.

Durante il processo di aggiornamento, che sia periodico o dovuto al realizzarsi di un trigger event, i soggetti obbligati devono valutare se i documenti di identità, i passaporti o documenti equivalenti eventualmente scaduti debbano essere aggiornati.

Qualora i soggetti obbligati concludano che un documento scaduto debba essere nuovamente raccolto, o qualora vi siano nuovi o ulteriori titolari effettivi di una persona giuridica o una nuova persona che dichiari di agire per conto del cliente e che debba essere identificata e verificata, è possibile ricorrere a diversi metodi di verifica, quali i mezzi di identificazione elettronica di cui all’articolo 22, paragrafo 6, lettera b), e, per i titolari effettivi, all’articolo 22, paragrafo 7, dell’AMLR.

La bozza sulla base di questo principio, ovvero la non obbligatorietà della acquisizione di un nuovo documento in luogo di quello scaduto, suggerisce ai soggetti obbligati una serie di parametri di cui tener conto per valutare l’opportunità di procedere o meno all’aggiornamento.

Alcuni di questi fanno riferimento al livello di rischio: è il caso in cui al cliente sia associato un rischio elevato o il rinnovo sia opportuno sulla base del rischio associato al paese di rilascio del documento.

Altri parametri attengono alle caratteristiche stesse del documento scaduto, come la presenza di caratteristiche di sicurezza e la risalenza nel tempo della data di scadenza.

Infine, altri parametri hanno una valenza talmente lapalissiana da lasciare poco margine di interpretazione al lettore: in sostanza, secondo l’estensore della bozza il soggetto obbligato dovrebbe chiedere al proprio cliente un documento in corso di validità nell’ipotesi in cui il documento di nuova emissione possa fornire informazioni rilevanti per la verifica dell’identità del cliente o per la valutazione del rischio del cliente, oppure nell’ipotesi in cui sussistano dubbi circa l’autenticità dei dati identificativi precedentemente ottenuti.

Una volta che il soggetto obbligato abbia deciso in quali casi procedere al rinnovo del documento scaduto dovrà determinare, in base al livello di rischio, se l’aggiornamento debba essere effettuato senza indugio oppure nei tempi della revisione programmata o alla prima occasione in cui il cliente interagisca con l’ente obbligato, ad esempio quando richieda un nuovo servizio o prodotto.

B. La revisione in seguito a eventi o “event-driven review” è il riesame della documentazione, seguita da eventuali aggiornamenti delle informazioni sui clienti e dei relativi profili di rischio, determinata da eventi specifici predefiniti dalla policy del soggetto obbligato o rientranti fra quelli previsti dall’articolo 26, par.3, AMLR.

Quest’ultimo individua tre tipologie di eventi trigger:

1. la conoscenza di cambiamenti nelle circostanze pertinenti al cliente (nel testo ufficiale in lingua inglese utilizza l’espressione “change in the relevant circumstances of a customer”), in cui con il termine “circostanze” si fa verosimilmente riferimento alla condizione o stato del cliente o al contesto in cui lo stesso operi;
2. il dovere di rispettare obblighi legati alla Direttiva 2011/16/UE (DAC) di raccogliere dati necessari per lo scambio automatico di informazioni fiscali, verificare la residenza fiscale, ottenere informazioni da trasmettere alle autorità fiscali comprensive di quelle relative ai titolari effettivi;
3. la conoscenza di un fatto, sopravvenuto, che riguarda il cliente.

A questo elenco la bozza aggiunge “qualsiasi altro evento o condizione rilevante ai fini del rischio”[7] (figura 3).

Fig.3

Elaborazione dell’autore

Il documento in consultazione riporta, inoltre alcuni esempi di eventi che potrebbero rientrare fra quelli ex articolo 26, par.3 AMLR:

1. modifiche della forma giuridica, dell’assetto proprietario, degli amministratori, dei soggetti incaricati o rappresentanti, incluse modifiche dei dati identificativi, della nazionalità o della residenza;
2. rilevazione di transazioni inusuali/anomale, comportamenti incoerenti, cambiamenti frequenti e inspiegabili dei fornitori di servizi professionali, cambiamenti ripetuti o insoliti dell’indirizzo IP o qualsiasi attività che si discosti dal profilo del cliente o dallo scopo previsto e dalla natura prevista del rapporto d’affari. A tal fine la bozza richiama anche l’articolo 69, par.5 AMLR che stabilisce “Entro il 10 luglio 2027, l’AMLA emana orientamenti sugli indicatori di attività o comportamenti sospetti”;
3. acquisizione di negative news, assunzione dello status di PEP, procedimenti giudiziari relativi a violazioni in materia di ML/FT, comunicazioni provenienti dalle autorità competenti;
4. variazioni significative della situazione finanziaria, delle fonti di finanziamento, della composizione del patrimonio, utilizzo di nuovi prodotti o servizi o rapporti con giurisdizioni o controparti a più alto rischio.

Pertanto, l’Authority prevede che il soggetto obbligato si doti di un sistema di monitoraggio costituito da policy, procedure, controlli e processi automatizzati o semiautomatizzati, non esclusi strumenti analitici avanzati che consentano, rispetto al quadro informativo già acquisito, di individuare gli eventi trigger rappresentati da cambiamenti nel comportamento del cliente, o derivare da informazioni esterne che indichino un potenziale cambiamento nel profilo di rischio del cliente[8].

Tali processi e controlli, secondo la bozza in consultazione, dovranno essere documentati in modo chiaro, presentare un livello di sofisticatezza calibrato rispetto al risultato dell’autovalutazione ed essere proporzionati alla complessità dell’attività e alle dimensioni del soggetto obbligato[9].

2.1 Suspension or restriction in mancanza di informazioni aggiornate dal cliente

Ai sensi dell’articolo 21 AMLR, (Incapacità di rispettare l’obbligo di applicare misure di adeguata verifica della clientela) qualora un soggetto obbligato non sia in grado di mantenere aggiornati i documenti, i dati o le informazioni rilevanti relativi al cliente, deve astenersi dall’effettuare operazioni e deve interrompere il rapporto d’affari, vagliando se ricorra il sospetto ex articolo 69 AMLR a fini dell’inoltro di una segnalazione.

Sul punto la bozza prevede che, qualora un soggetto obbligato abbia bisogno di ottenere documenti, dati o informazioni aggiornati dal cliente e non riceva alcuna risposta, e ciò impedisca temporaneamente il rispetto dell’obbligo di controllo costante, si potrà, prima di interrompere il rapporto d’affari, sospendere o limitare temporaneamente le operazioni o i servizi.

Tali misure, in luogo della cessazione del rapporto, dovrebbero essere applicate solo laddove funzionali ad una gestione efficace dei rischi AML/CFT e tenendo conto di 4 fattori:

1. ricorrenza o meno di un trigger event fra quelli indicati dall’articolo 26, par.3 AMLR[10];
2. livello di rischio del cliente;
3. natura dei prodotti o dei servizi forniti al cliente e se la sospensione o la limitazione sia sufficiente a mitigare efficacemente i rischi ML/FT connessi al rapporto, giustificando così un intervallo più lungo tra gli aggiornamenti;
4. possesso di documenti, dati o informazioni comunque sufficienti per gestire i rischi, tenendo conto della portata della sospensione o della limitazione operativa applicata.

In ogni caso, sottolinea il documento in consultazione, i soggetti obbligati tengono conto del fatto che l’assenza di operazioni non elimina di per sé i rischi ML/FT che possono comunque sorgere, in particolare quando vengono detenuti o custoditi beni e si verificano cambiamenti nella titolarità effettiva o nel controllo del cliente.

Tra l’altro, la sospensione o le limitazioni operative devono essere intese come misure temporanee, da applicare solo qualora un soggetto obbligato abbia ripetutamente chiesto al cliente dati o informazioni aggiornati e solo fino a quando questi non siano ottenuti.

Per converso, alla cessazione del rapporto deve pervenire qualora il soggetto obbligato sia in definitiva “…unable to comply with its obligations” e salvo sempre il dovere di conservare, ex articolo 21, par.3 AMLR, la documentazione relativa agli sforzi compiuti per adempiere ai propri obblighi di adeguata verifica, comprese le azioni intraprese e le decisioni adottate che hanno portato alla cessazione del rapporto d’affari.

Sul punto, inoltre, la bozza richiama la Direttiva 2014/92/UE (Payment Accounts Directive “PAD”) “sulla comparabilità delle spese relative al conto di pagamento, sul trasferimento del conto di pagamento e sull’accesso al conto di pagamento con caratteristiche di base”, recepita nel nostro Ordinamento tramite il d.lgs 15 marzo 2017, n. 37, che ha modificato il Testo Unico Bancario (TUB) introducendo l’articolo 126-quinquiesdecies (Servizio di trasferimento) che consente ai consumatori cioè alle persone che agiscono per scopi estranei all’attività imprenditoriale, commerciale, artigianale o professionale, di spostare gratuitamente e in modo automatizzato tutti i servizi di pagamento (bonifici, addebiti diretti, stipendio) e il saldo del conto presso un nuovo intermediario con l’opzione di estinguere il conto originario[11].

3. L’orientamento 2: il sistema di monitoraggio

L’orientamento 2, rubricato “Transaction and activity monitoring framework” definisce le modalità con cui i soggetti obbligati devono progettare e gestire un sistema di monitoraggio idoneo a individuare transazioni e attività anomale o sospette.

La scelta del sistema di monitoraggio con il conseguente utilizzo di processi e controlli manuali[12], automatizzati o semi-automatizzati, dipende da una serie di variabili (dimensioni del soggetto, natura e complessità dell’attività, volumi, frequenza delle transazioni, esposizione al rischio ML/FT) e dovrà essere motivata e documentata in modo che il soggetto obbligato possa spiegarne la funzionalità, la logica e l’efficacia alle autorità competenti su loro richiesta.

Il punto di partenza della scelta del monitoring framework da adottare è rappresentato dall’esito dell’esercizio di autovalutazione: infatti, i risultati del risk assesment aziendale dovranno essere espressi in modo tale da consentire l’individuazione, fra quelli disponibili, di un sistema di monitoraggio che includa tutti i prodotti e servizi, permetta una comprensione olistica del comportamento del cliente e, quindi, la rilevazione di operazioni e attività, inclusi new ML/TF methods, trends and typologies, che eventualmente si discostino in modo significativo (materially deviate) dal comportamento atteso.

Il documento dell’Authority opera anche un richiamo alla possibilità che il sistema di monitoraggio adottato si avvalga di peer groups raccomandando che ciò non si traduca in una valutazione del cliente solo nell’ipotesi di scostamento dal modello del gruppo, disapplicando o ignorando eventuali indicatori di rischio a livello del singolo cliente: in sostanza, l’utilizzo di peer group deve supportare e non sostituire la comprensione del singolo cliente e dello scopo del rapporto[13].

La bozza contiene anche uno specifico richiamo al rischio di mancata applicazione o elusione di sanzioni finanziarie mirate (risks related to the non-implementation or evasion of targeted financial sanctions), prescrivendo che il sistema di monitoraggio debba essere in grado di cogliere modelli, comportamenti o collegamenti che possano indicare tale rischio anche tramite l’esame delle strutture proprietarie o di controllo del cliente, le controparti e le transazioni.

Secondo le indicazioni dell’Authority, il monitoraggio non deve concentrarsi sulle singole transazioni e attività, specie in presenza di prodotti e servizi complessi, ma si deve realizzare anche attraverso l’analisi di flussi aggregati, di eventuali patterns, di documenti e dei cambiamenti della forma o nella struttura degli asset oggetto del rapporto[14].

A tal fine, il monitoring framework dovrà essere in grado di attingere ad ogni fonte informativa interna o esterna (purché affidabile e indipendente), comprese le informazioni disponibili a livello di gruppo scambiate ai sensi dell’articolo 16 (Obblighi e requisiti a livello di gruppo), par.3, AMLR[15] essere fondata su una logica decisionale comprensibile e documentabile, e includere una regolamentazione dell’attività di monitoraggio adeguatamente chiara ivi inclusa la descrizione dei meccanismi di escalation in modo da consentire ai soggetti obbligati di spiegare su richiesta delle autorità in che modo i risultati di tale attività sono stati valutati e gestiti, inclusa la motivazione delle decisioni conseguentemente assunte.

Su quest’ultimo punto l’AMLA sottolinea l’importanza che i risultati del sistema di monitoraggio adottato, tanto che derivino da processi automatici quanto che risultino da estrazioni manuali, vengano classificati in base al rischio e, qualora sia necessaria un’ulteriore analisi, inoltrati a chi sia in possesso di un’adeguata conoscenza del cliente e di competenze necessarie per la valutazione del rilievo emerso e delle scelte da adottare.

I risultati dell’attività di monitoraggio dovranno, infatti, informare i processi interni attraverso azioni di mitigazione e, se del caso, indurre ad aggiornare le informazioni sul cliente nonché la sua classe di rischio.

Riguardo a quest’ultimo argomento la bozza attribuisce enfasi all’attività di profilatura rimarcando anche l’ovvio, laddove stabilisce che i soggetti obbligati devono utilizzare i profili dei clienti per il proprio quadro di monitoraggio e garantire che tali profili si basino su informazioni verificate tratte dall’attività di customer due diligence.

La bozza, inoltre, interviene sulla tematica della eventuale esternalizzazione del sistema di monitoraggio stabilendo che, laddove ci si avvalga di tool predisposti o sviluppati da soggetti esterni è essenziale la calibrazione delle impostazioni e la comprensione delle modalità per un utilizzo appropriato.

Tra l’altro, vale sempre il principio secondo il quale, qualora il soggetto obbligato si avvalga di agenti, intermediari, reti di distribuzione, resta, comunque, responsabile dell’efficacia del proprio sistema di monitoraggio. Sul punto, tuttavia, la bozza richiama altre disposizioni che l’Authority, ai sensi dell’AMLR, dovrà adottare entro il 10 luglio 2027. Si tratta, in particolare, degli orientamenti previsti dagli articoli 18, par.8 in materia instaurazione di rapporti di esternalizzazione[16] e 50 AMLR “sul ricorso ad altri soggetti obbligati”[17].

4. Pre-transaction checks, real-time monitoring, post-transaction reviews

Secondo la bozza in consultazione, a seconda del modello di business e dei prodotti e dei servizi offerti l’attività di ongoing monitorig può sostanziarsi in controlli pre-transazione, monitoraggio in tempo reale, revisioni post-transazione.

Ove possibile, in relazione al modello di business, i soggetti obbligati dovrebbero attrezzarsi per essere in grado di individuare transazioni anomale o sospette mediante un approccio pre-transaction o pre-activity monitoring[18].

La bozza, tra l’altro, distingue tra valutazioni “…prior to a transaction or activity being carried out or completed” da quelle “…immediately before a transaction or activity is carried out or completed”, cioè fra pre-transaction monitoring e real‑time monitoring.

La stessa Authority definisce:

• pre-transaction monitoring come la valutazione e, se del caso, l’approfondimento posti in essere prima dell’esecuzione della transazione, per determinare se la stessa debba avere luogo, o essere sospesa, o subire un’escalation per un giudizio di livello superiore;
• real‑time monitoring come l’analisi delle transazioni al momento dell’esecuzione per consentire l’individuazione immediata di attività inusuali/anomale o sospette e, quindi, agire prima o poco dopo il completamento della transazione[19] (figura 4).

Fig.4

Elaborazione dell’autore

Tra l’altro l’estensore della bozza parrebbe intervenire sulle caratteristiche stesse dei prodotti e servizi offerti: se infatti, si sottolinea che

“…laddove, a causa della natura del modello di business o di oggettivi vincoli giuridici o tecnici al di fuori del controllo del soggetto obbligato, non sia possibile applicare un’efficace pre-transaction, pre-activity or real-time monitoring, comunque il soggetto obbligato dovrebbe garantire che tali limitazioni non creino lacune nella sua capacità di identificare, valutare e segnalare i rischi ML/FT” (trad. dell’a.)[20],

si soggiunge che neanche le caratteristiche dei prodotti e dei servizi offerti (the design of products, services or business practices) devono determinare o rafforzare tali limitazioni ma anzi dovrebbero favorire l’efficace applicazione delle misure di monitoraggio e non limitarla indebitamente.

Il monitoraggio post-transaction risulta, nel quadro delineato dalla bozza, come un approccio residuale confinato “…ai settori non finanziari e, più in generale, laddove i soggetti obbligati non eseguono o controllano transazioni o laddove i rapporti d’affari non sono continuativi…” (trad. dell’a.)[21]: in tali casi il monitoraggio pre-transazione o in tempo reale potrebbe non essere applicabile e quindi il monitoraggio si realizzerà principalmente attraverso event-driven or post-activity reviews calibrate in base all’esposizione al rischio del soggetto obbligato (figura 4).

4.1 Post-activity review e operazioni occasionali

In sede di post-activity review l’estensore della bozza stabilisce che, quando attraverso il compimento di una serie di operazioni occasionali possa di fatto prefigurarsi un rapporto continuativo[22] i soggetti obbligati devono essere in grado di valutare tali operazioni (occasionali) attraverso un’attività di post-activity review per individuare eventuali operazioni anomale o sospette sulle quali porre in essere le conseguenti attività.

Sul punto va rilevato come l’AMLR non contenga una definizione di “operazione occasionale” stabilendo, invece, il principio generale secondo il quale i soggetti obbligati non dovrebbero essere tenuti ad applicare misure di adeguata verifica nei confronti dei clienti che effettuano operazioni occasionali o collegate al di sotto di un determinato valore, a meno che vi sia un sospetto di riciclaggio o finanziamento del terrorismo[23].

Tale principio si è tradotto nella norma dell’articolo 19, par.1, lett.b, AMLR laddove è stabilito che le misure di adeguata verifica trovino applicazione, oltre che nel caso di instaurazione di un rapporto d’affari[24], anche quando si proceda a un’operazione occasionale il cui valore è pari ad almeno € 10.000 “…indipendentemente dal fatto che l’operazione sia eseguita con un’unica operazione o mediante operazioni collegate, o a un valore inferiore stabilito a norma del paragrafo 9” del medesimo articolo 19 AMLR.

Quest’ultimo ha demandato all’Authority il compito elaborare e presentare alla Commissione i progetti di norme tecniche di regolamentazione (RTS) diretti a specificare, tra l’altro, i criteri da prendere in considerazione per individuare le operazioni occasionali e quelle collegate e quali fra i soggetti obbligati, settori o tipologie di operazioni sono associati a un rischio AML/CFT elevato a un livello tale da rendersi necessario il rispetto dell’obbligo di adeguata verifica per le operazioni occasionali anche di valore inferiore a € 10.000[25].

Questo progetto di RTS, pubblicato il 9 febbraio 2026 e posto in consultazione fino all’8 maggio[26], specifica che il rapporto d’affari e l’operazione occasionale si escludono a vicenda, nel senso che le operazioni occasionali sono definite come operazioni non effettuate nell’ambito di un rapporto d’affari e quindi nelle quali è assente il carattere della ripetitività e della durata.

Questo principio è poi variamente declinato con la previsione di diversi caveat: ad esempio,

• nel caso di servizi on line, il progetto di RTS ex articolo 19, par.9 pone l’accento, ai fini della individuazione dell’elemento della continuità, sull’avvenuta registrazione che garantisca un accesso continuativo[27];
• nelle ipotesi di operazioni per le quali trova applicazione il Regolamento (UE) 2023/1114 (Regolamento MiCAR, Markets in Crypto-Assets Regulation). In questi casi, il progetto di RTS stabilisce, che, ai fini delle attività di:

1. 1. scambio di cripto-attività con fondi,
   2. scambio di cripto-attività con altre cripto-attività e
   3. collocamento di cripto-attività,

per distinguere un rapporto d’affari da una transazione occasionale si deve tener conto dell’effettuazione di tre o più transazioni nell’arco di un periodo mobile di 12 mesi come criterio per valutare l’elemento di ripetitività incluso nella definizione di rapporto d’affari.

Quanto alla nozione di operazioni collegate, poiché gli obblighi di adeguata verifica della clientela nel contesto delle operazioni occasionali si applicano solo al di sopra di una determinata soglia è essenziale che i soggetti obbligati siano in grado di individuare quando diverse operazioni sono collegate in modo tale da dover essere considerate nel loro insieme.

L’articolo 2, par.1, n.20 AMLR ha introdotto una definizione uniforme di “operazioni collegate” come “due o più operazioni con origine, destinazione e finalità, o altre caratteristiche pertinenti, identiche o simili nell’arco di un periodo determinato”. Questa definizione generica trova la propria declinazione nel già citato progetto di RTS che, all’articolo 3 (Criteria for identifying linked transactions) prevede si tenga conto al fine di identificare le operazioni collegate, di una serie di criteri.

A mero titolo di esempio, sono da considerarsi operazioni con origine e destinazione “identiche o simili” le operazioni effettuate o ricevute dalla stessa persona fisica o giuridica, o quelle in cui il soggetto che le effettua e quello che le riceve appartengano alla stessa famiglia. Ancora, sono operazioni che hanno uno scopo identico o simile quelle poste in essere per effettuare un medesimo acquisto.

Ciò non basta: affinché due o più operazioni possano definirsi collegate, la definizione fornita dall’AMLR prevede che si debbano collocare in un lasso temporale determinato. Orbene, il progetto di RTS ex articolo 19 AMLR non prevede un lasso temporale declinato in giorni, settimane o mesi ma si limita, ai fini della definizione di “operazioni collegate”, a far riferimento a operazioni effettuate in un lasso di tempo breve (transactions performed within a short timeframe), tenuto conto anche della complessità e dimensioni del soggetto obbligato.

Alcuni esempi:

• bonifici multipli verso lo stesso beneficiario da un medesimo ordinante: la società A invia al fornitore B tre bonifici nell’arco di pochi giorni, per il pagamento della stessa fattura o dello stesso contratto. Le operazioni possono essere considerate collegate in quanto sostanzialmente unitarie;
• acquisto immobile per €250.000: caparra €20.000, acconto €180.000, saldo €50.000. Pur essendo pagamenti distinti, fanno parte della medesima operazione economica;
• utilizzo di soggetti diversi: un cliente consegna €1.000 tramite il coniuge, €6.000 tramite un figlio, €4.000 personalmente per alimentare lo stesso conto. Se emerge un’unica finalità, le operazioni possono essere considerate collegate.

5. Le domande oggetto della consultazione

La consultazione consiste nel fornire entro il 3 settembre 2026 risposte a una o più delle 7 seguenti domande:

Domanda 1:

Ritenete che l’orientamento 1 sostenga un approccio basato sul rischio e definisca chiaramente i principi fondamentali che i soggetti obbligati dovrebbero applicare per mantenere aggiornate le informazioni sui clienti? Se ritenete che siano necessari ulteriori chiarimenti, chiediamo di:

1. specificare il paragrafo in questione;
2. spiegare le ragioni della risposta; e
3. valutare la possibilità di presentare una proposta di modifica.

Domanda 2:

Prevedete difficoltà nell’applicazione dell’orientamento 1, tenendo conto delle differenze nella natura dei soggetti obbligati, nei rischi e nella complessità delle loro attività, nonché delle loro dimensioni? Se ritenete che siano necessari ulteriori chiarimenti, chiediamo di:

1. indicare il paragrafo in questione;
2. spiegare le motivazioni; e
3. valutare la possibilità di presentare una proposta di modifica.

Domanda 3:

Rispetto al vostro attuale processo di monitoraggio, quale impatto avrebbe l’orientamento 1 sui vostri costi di conformità e sui vostri processi operativi?

1. Si chiede di fornire la percentuale stimata di aumento o riduzione dei costi annuali di conformità (aumento/riduzione/nessun effetto: inferiore al 25%; dal 25% al 50%; dal 50% al 75%; superiore al 75%). Si chiede di spiegare la base della valutazione, inclusa la metodologia utilizzata ed eventuali prove a sostegno.
2. Si chiede di valutare l’impatto previsto (molto positivo; positivo; neutro; negativo; molto negativo) sui seguenti processi operativi:
   • revisione periodica delle informazioni sui clienti, compresa la raccolta dei documenti;
   • revisioni in base agli eventi;
   • implicazioni per il personale;
   • altro (specificare).
3. Se l’impatto previsto è “negativo” o “molto negativo” per una delle voci sopra indicate al punto (b), chiediamo di spiegare le ragioni della valutazione, compresa la metodologia utilizzata ed eventuali prove a sostegno, e di indicare la distinzione tra costi di investimento una tantum e costi ricorrenti.

Domanda 4:

Prevedete difficoltà nell’applicazione dell’orientamento 2? A vostro avviso fornisce sufficiente chiarezza ed è applicabile a tutti i vostri prodotti e servizi per supportare un monitoraggio efficace e basato sul rischio di transazioni e attività inusuali/anomale o sospette? Se ritenete che siano necessari ulteriori chiarimenti, chiediamo di:

1. specificare il paragrafo in questione;
2. spiegare le ragioni; e
3. valutare la possibilità di presentare una proposta di modifica.

Domanda 5:

Ritenete che le disposizioni relative all’uso di strumenti analitici automatizzati o avanzati siano sufficientemente flessibili e non favoriscano tecnologie specifiche?

Se ritenete che siano necessari ulteriori chiarimenti, vi chiediamo di:

1. specificare il paragrafo in questione;
2. spiegare le ragioni della sua scelta; e
3. valutare la possibilità di presentare una proposta di emendamento.

Domanda 6:

Quale impatto avrebbero la progettazione e l’attuazione del quadro di monitoraggio delle operazioni e delle attività descritto nell’orientamento 2 sui vostri costi di conformità? Si chiede di spiegare le basi della vostra valutazione, compresa la metodologia utilizzata ed eventuali prove a sostegno.

1. Aumento o riduzione stimati in percentuale dei costi di conformità annuali (aumento/riduzione/nessun effetto: inferiore al 25%; dal 25% al 50%; dal 50% al 75%; superiore al 75%). Si chiede di spiegare le basi della valutazione, inclusa la metodologia utilizzata ed eventuali prove a sostegno
2. Si chiede di valutare i cambiamenti previsti nei seguenti processi operativi (molto positivi; positivi; neutri; negativi; molto negativi):
   • implicazioni sul personale;
   • processi e controlli;
   • altro (specificare).
3. Se avete selezionato “negativo” o “molto negativo” per una delle voci di cui al punto (b), spiegate le ragioni della vostra valutazione, indicando la metodologia utilizzata ed eventuali prove a sostegno, e specificate la distinzione tra costi di investimento una tantum e costi ricorrenti.

Domanda 7:

Individuate ulteriori opportunità di semplificazione o misure che potrebbero sostenere ulteriormente la proporzionalità nell’ambito degli orientamenti? In tal caso, vogliate fornire proposte concrete di redazione e spiegare perché le misure specifiche proposte sarebbero più appropriate.

6. Considerazioni conclusive e “key concepts”

Insieme ai documenti posti in consultazione dall’AMLA ex articoli 19, par.9 e 28, par.1 AMLR, il draft in commento ha un peso importante in termini di impegni e costi che i soggetti obbligati dovranno sostenere.

Ne è consapevole anche l’Authority: basta scorrere le domande poste agli stakeholder.

Gli orientamenti, non solo determinano la necessità di ricalibrare le disposizioni di governance, comprese le policy e le procedure in modo tale da consentire al personale di comprendere, anche in maniera critica, gli strumenti di monitoraggio e i loro risultati ma, rendono indispensabile il riesame di prodotti e servizi offerti affinché la loro configurazione non interferisca con i pre-transaction checks e sul real-time monitoring.

Occorrerà testare, acquistare e adattare (non necessariamente in quest’ordine) strumenti automatizzati o semi-automatizzati, formare il personale e responsabilizzarlo anche con riferimento alla possibilità di eventuali interventi manuali (figura 5).

A ciò si aggiungono questioni di carattere tecnico come la scelta di sistemi di aggregazione di operazioni per l’individuazione di transazioni occasionali o collegate.

Significativo l’impatto sul sistema dei controlli interni considerato il riferimento alla necessità che i soggetti obbligati riesaminino e testino periodicamente il proprio monitoring framework per garantire che rimanga efficace e allineato ai rischi identificati nell’autovalutazione, che ancora una volta risulta centrale.

La valutazione dell’efficacia del sistema di ongoing monitoring non dovrebbe essere misurata esclusivamente in riferimento agli alert, ai volumi delle segnalazioni inoltrate o all’ampiezza della copertura tipologica, ma in termini di individuazione di operazioni effettivamente sospette (evidentemente attingendo ai feedback forniti dalla FIU) e di funzionamento e tempestività dei meccanismi di escalation.

A monte, i soggetti obbligati dovrebbero implementare i controlli sulla qualità dei dati attuando processi di convalida e una regolare attività di data cleansing per identificare e correggere gli errori nei set di dati.

Fig.5

Elaborazione dell’autore

[*] Le opinioni espresse non impegnano l’Istituto di appartenenza.

[1] Più volte negli orientamenti viene richiamato l’approccio basato sul rischio: il monitoraggio continuo, così come descritto negli orientamenti, è concepito per garantire che i soggetti obbligati mantengano una comprensione accurata e aggiornata dei propri clienti e siano in grado di identificare scostamenti rilevanti che possano indicare senza indebiti ritardi, rischi di ML/TF. L’AMLA ha quindi cercato di promuovere risultati basati sul rischio, piuttosto che incoraggiare una conformità formalistica, puramente procedurale o “tick-the-box compliance”.

[2] In questo contesto la proporzionalità deve essere intesa come relazione fra la progettazione e calibrazione delle misure di monitoraggio continuo e la natura, la complessità dell’attività e le dimensioni dei soggetti obbligati. La proporzionalità non deve essere intesa come il benestare a standard inferiori per i soggetti di dimensioni più ridotte, ma essa richiede ai soggetti obbligati di valutare una serie di fattori fra i quali le dimensioni.

[3] Gli orientamenti proposti non prescrivono l’uso di determinati strumenti e non impongono l’uso di sistemi automatizzati. I soggetti obbligati possono scegliere gli strumenti, i processi e i controlli da utilizzare, siano essi manuali, automatizzati o semiautomatizzati, a condizione che garantiscano l’efficace identificazione dei rischi ML/FT in linea con l’articolo 26 dell’AMLR.

[4] Nella bozza è utilizzata l’espressione “monitoring of transactions and activities”, una formula “standard” introdotta dall’AMLA per rappresentare la diversità dei servizi e dei modelli di business contemplati dalla normativa antiriciclaggio in relazione alle diverse categorie di soggetti obbligati. “The reference to “monitoring of activities” has been introduced by AMLA to reflect the diversity of services and business models covered by AMLR, in which activity monitoring constitutes a central element for certain categories of obliged entities”, (Consultation paper), Draft Guidelines on ongoing monitoring of a business relationship under Article 26(5) of Regulation (EU) 2024/1624”, 3 Background and rationale, 3.1 General considerations, Monitoring of transactions and activities, p.6.

[5] “Obliged entities should consider, amongst others, the following non exhaustive list of factors when deciding whether and how to adjust the depth and intensity of a periodic review:…e) Whether a new activity or transaction is initiated by the customer or by third parties; in such cases, a review should be carried out without delay”. Draft Guidelines on ongoing monitoring of a business relationship under Article 26(5) of Regulation (EU) 2024/1624”, Guideline 1: keeping customer documents, data or information up to date, 2.3 Periodic customer information reviews, p.24.

[6] Vale la pena ricordare che sulle caratteristiche di affidabilità ed indipendenza delle fonti l’articolo 28, par.1 AMLR prevede l’adozione di specifiche RTS il cui progetto è stato pubblicato e posto in consultazione dall’Authority il 9 febbraio 2026. Sul punto si veda anche, G. Estrafallaces, Adeguata verifica: le RTS AMLA di attuazione del Regolamento AMLR, in questa rivista, aprile 2026.

[7] “Triggering events: means an event or condition as stipulated in Article 26(3) points (a), (b) and (c) of AMLR or any other risk relevant event or condition”, Draft Guidelines on ongoing monitoring, cit., 1 Subject matter, scope and definitions, Definitions, p.18.

[8] Il documento posto in consultazione, anche in questo caso, accanto all’utilizzo di informazioni provenienti da fonti esterne (come quelle provenienti dalla FIU), rimarca l’importanza dei dati e delle informazioni già presenti nel patrimonio informativo del soggetto obbligato, come quelle che possono essere tratte dalla condivisione organica di dati fra la funzione AML, i team di front-office e la funzione di compliance, ma anche tra entità appartenenti allo stesso gruppo.

[9] “The type and level of sophistication of these processes and controls should be based on the obliged entities’ business-wide risk assessment and should be proportionate to the nature, risks and complexity of their business, as well as the size of the obliged entity”, Draft Guidelines on ongoing monitoring, cit., Guideline 1: keeping customer documents, data or information up to date, 2.4 event driven reviews, p.25.

[10] La bozza, in questo caso, inspiegabilmente non richiama la definizione che essa stessa fornisce di “triggering events” che include, oltre agli eventi ex articolo 26, par.3 AMLR, anche “…any other risk relevant event or condition”.

[11] Ai sensi dell’articolo 126-quinquiesdecies, l’intermediario che riceva la richiesta di trasferimento da parte del consumatore deve assicurare che il trasferimento sia eseguito entro dodici giorni lavorativi dalla ricezione della richiesta e deve assicurare al consumatore la fruizione dei servizi di pagamento fino al giorno precedente la data indicata dal consumatore stesso per il trasferimento. L’intermediario ricevente deve, invece, assicurare la fruizione dei servizi di pagamento a partire dalla data indicata nella predetta richiesta di trasferimento.

[12] L’Authority non esclude la possibilità di controlli manuali, purché siano sufficienti per ottenere risultati efficaci. Cfr. Draft Guidelines on ongoing monitoring, cit., Guideline 2: transaction and activity monitoring framework, 2.7 Monitoring framework using manual, automated or semi-automated processes and controls, manual processes and controls, p.32. Per contro, l’estensore della bozza sottolinea che gli strumenti automatizzati, inclusi algoritmi, intelligenza artificiale e altre tecnologie innovative, non dovrebbero, di per sé, essere considerati indicatori di efficacia ma questa dovrebbe essere comprovata dal fatto che tali strumenti consentano di individuare e segnalare i rischi ML/FT senza indebiti ritardi. Sempre dalla bozza si desume che la policy aziendale dovrebbe prevedere che i risultati emersi in seguito all’utilizzo di tali strumenti automatizzati vengano esaminati e, se necessario, sottoposti a test di tenuta, e che la responsabilità delle decisioni conseguentemente assunte sia sempre chiaramente individuata.

[13] “Obliged entities using reference or peer groups should ensure it supports, and not replace, their understanding of the individual customer and the purpose of the business relationship”, Draft Guidelines on ongoing monitoring, cit., Guideline 2: transaction and activity monitoring framework, Link between customer due diligence and the ongoing monitoring framework, p.34.

[14] “…monitoring should not focus solely on individual transactions and activities, but may also involve the analysis of aggregated flows, activity patterns, documentary information or changes in the form or structure of value…”, Draft Guidelines on ongoing monitoring, cit., Guideline 2: Transaction and activity monitoring framework, 2.6 general principles, p.31.

[15]Secondo l’articolo 16 AMLR la capogruppo deve mettere in atto politiche, procedure e controlli a livello di gruppo anche in materia di condivisione delle informazioni che impongano “…ai soggetti obbligati all’interno del gruppo di scambiarsi informazioni qualora tale condivisione sia pertinente ai fini dell’adeguata verifica della clientela e della gestione dei rischi di riciclaggio e finanziamento del terrorismo. La condivisione delle informazioni all’interno del gruppo riguarda in particolare l’identità e le caratteristiche del cliente, i suoi titolari effettivi o la persona per conto della quale agisce il cliente, la natura e lo scopo del rapporto d’affari e delle operazioni occasionali e i sospetti, corredati di analisi sottostanti e segnalati alla FIU a norma dell’articolo 69 salvo diversa istruzione di quest’ultima, che i fondi provengano da attività criminose o siano connessi al finanziamento del terrorismo”.

[16] “Entro il 10 luglio 2027 l’AMLA emana orientamenti sugli aspetti seguenti:

1. l’instaurazione di rapporti di esternalizzazione, compresi i rapporti di esternalizzazione successivi, a norma del presente articolo, la loro governance e le procedure per monitorare l’attuazione delle funzioni da parte del prestatore di servizi, in particolare quelle funzioni che devono essere considerate essenziali;
2. i ruoli e le responsabilità del soggetto obbligato e del prestatore di servizi nell’ambito di un accordo di esternalizzazione;
3. approcci di supervisione all’esternalizzazione e aspettative di supervisione per quanto riguarda l’esternalizzazione di funzioni essenziali”.

[17]“Entro il 10 luglio 2027, l’AMLA emana orientamenti sugli aspetti seguenti:

1. le condizioni che sono accettabili per i soggetti obbligati per fare affidamento sulle informazioni raccolte da un altro soggetto obbligato, anche nel caso di adeguata verifica della clientela a distanza;
2. i ruoli e le responsabilità dei soggetti obbligati coinvolti in una situazione di ricorso a un altro soggetto obbligato;
3. gli approcci di supervisione al ricorso ad altri soggetti obbligati”.

[18] “…they should apply pre – transaction and pre – activity monitoring to detect unusual or suspicious transactions and activities”, Draft Guidelines on ongoing monitoring, cit., Guideline 2: Transaction and activity monitoring framework, 2.9 Implementation of the monitoring framework, pre – transaction and pre – activity monitoring, p.35.

[19] Draft Guidelines on ongoing monitoring, cit., Definitions, p.18.

[20] “Where, due to the nature of the business model or objective legal or technical constraints beyond the obliged entity’s control, effective pre-transaction, pre-activity or real-time monitoring cannot be applied in line with the principles set out above, obliged entities should ensure that such limitations do not create gaps in their ability to identify, assess and escalate ML/TF risks”, Draft Guidelines on ongoing monitoring, cit., Guideline 2: Transaction and activity monitoring framework, 2.9 Implementation of the monitoring framework, pre – transaction and pre – activity monitoring, p.36.

[21] “In non-financial sectors, and more generally where obliged entities do not execute or control transactions or where business relationships are not continuous, pre-transaction or real-time monitoring may not be applicable. In such cases, monitoring is primarily achieved through customer due diligence measures, the assessment of instructions, mandates or assets prior to engagement, and through event-driven or post-activity reviews, in line with the obliged entity’s role, and risk exposure”, (Consultation Paper), Draft Guidelines on ongoing monitoring of a business relationship under Article 26(5) of Regulation (EU) 2024/1624, 3 Background and rationale, 3.4 Guidelines structure, p.11.

[22] “Where a business relationship is determined to be established after a series of occasional transactions that have been carried out,…”, Draft Guidelines on ongoing monitoring, cit., Guideline 2: Transaction and activity monitoring framework, 2.9 Implementation of the monitoring framework, Post-transaction and post-activity monitoring, p.37

[23] AMLR, Considerando 51.

[24] Il rapporto continuativo o, meglio, d’affari, viene definito dall’articolo 2 AMLR come un rapporto professionale o commerciale stabilito “…tra un soggetto obbligato e un cliente, anche in assenza di un contratto scritto e del quale si presuma, al momento in cui viene instaurato, o che acquisisce successivamente, una certa ripetitività o durata”.

[25] Su questo punto l’AMLA ha preferito mantenere le soglie già definite dall’AMLR senza introdurre soglie aggiuntive nel progetto di RTS. L’abbassamento delle soglie per le operazioni occasionali avrebbe rappresentato un intervento normativo significativo, in quanto avrebbe ampliato l’ambito di applicazione degli obblighi di adeguata verifica della clientela, comportando un onere operativo e amministrativo aggiuntivo per i soggetti obbligati. Nel documento posto in consultazione il 9 febbraio 2026 l’Authority ha previsto che qualora in futuro risultasse evidente che la mitigazione dei rischi mediante l’introduzione di soglie più basse sia necessaria per determinati soggetti obbligati, settori o operazioni, sarà presentata una proposta di modifica delle RTS ex articolo 19, par.9.

[26] La presentazione del progetto deve avvenire alla Commissione entro il 10 luglio c.a.

[27] (Consultation paper) Draft Regulatory Technical Standards on criteria for business relationships, occasional transactions and linked transactions as well as lower thresholds under Article 19(9) of Regulation (EU) 2026/1624, Commission delegated regulation (EU), Article 2 – Criteria for distinguishing a business relationship from an occasional transaction.