Autovalutazione del rischio ML/TF: raccomandato approccio integrato

L'autovalutazione dei rischi prevista dall'art. 15 del D.Lgs. 231/2007 costituisce il fulcro del risk-based approach e uno strumento di governo strategico per la prevenzione dei rischi di riciclaggio e di finanziamento del terrorismo. Le Raccomandazioni pubblicate dalla Banca d'Italia il 23 ottobre 2025 confermano la centralità di questo esercizio, orientandolo a una logica di integrazione tra funzione antiriciclaggio, compliance, risk management e audit interno. L'obiettivo è garantire una conoscenza effettiva dell'esposizione ai rischi ML/TF e una capacità di risposta coerente con la complessità operativa dell'intermediario.

Il documento sottolinea che l'autovalutazione non è un adempimento formale, ma un processo dinamico, basato su un'analisi qualitativa e quantitativa dei rischi inerenti e residui. La Banca d'Italia evidenzia, in particolare, la necessità di un approccio documentato e tracciabile, che consenta di collegare i risultati dell'autovalutazione alle misure di mitigazione adottate e alla pianificazione degli interventi correttivi. Viene rafforzato il principio di proporzionalità, secondo cui la profondità dell'analisi deve essere commisurata alle dimensioni, alla natura e alla complessità delle attività svolte.

Autovalutazione rischi ML/TF e rischio aziendale complessivo

Un'importante innovazione riguarda l'esplicita connessione tra l'autovalutazione dei rischi ML/TF e il sistema di gestione dei rischi aziendali complessivi. L'esercizio non può più essere confinato alla funzione antiriciclaggio, ma deve rientrare nel framework di governance del rischio complessivo, con un coinvolgimento attivo degli organi aziendali e delle funzioni di controllo di secondo e terzo livello.

Le Raccomandazioni individuano quattro fasi fondamentali:

1. identificazione delle aree di rischio;
2. valutazione del rischio inerente;
3. analisi dell'efficacia dei presidi;
4. stima del rischio residuo.

L'approccio suggerito è coerente con gli Orientamenti EBA/GL/2021/02 relativi ai fattori di rischio di riciclaggio e di finanziamento del terrorismo, da cui discendono ulteriori indicazioni sulle modalità di conduzione della valutazione.

Particolare rilievo, quindi, è attribuito alla definizione dei fattori di rischio connessi ai clienti, ai prodotti, ai canali operativi e alle aree geografiche. La Banca d'Italia incoraggia l'utilizzo di metriche oggettive e indicatori quantitativi, ma sottolinea che l'analisi deve mantenere una componente qualitativa, capace di cogliere evoluzioni di scenario e rischi emergenti.

Responsabilità

Le Raccomandazioni precisano, poi, che la responsabilità ultima dell'autovalutazione ricade sul Consiglio di amministrazione, cui spetta approvare la metodologia, esaminare i risultati e definire i piani di intervento. La funzione antiriciclaggio, invece, mantiene un ruolo di presidio tecnico, curando la raccolta delle informazioni, la misurazione dei rischi e la redazione del report finale. Il collegio sindacale e la funzione di internal audit sono chiamati a verificare la coerenza metodologica e la trasparenza dell'intero processo.

Nel documento viene avvalorato l'obbligo implicito di coerenza temporale: l'autovalutazione deve essere svolta con cadenza almeno annuale e aggiornata ogniqualvolta intervengano mutamenti significativi nei fattori di rischio, nei prodotti offerti o nell'assetto organizzativo. In questo senso, la Banca d'Italia pone l'accento sulla necessità di garantire continuità informativa e di conservare evidenza documentale delle scelte effettuate e delle relative motivazioni.

Impatti operativi su governance del rischio

Rispetto alla Comunicazione del 26 marzo 2019, le Raccomandazioni del 2025 presentano un'impostazione più organica e sistemica. Mentre il documento del 2019 si concentrava prevalentemente sulle modalità di compilazione del questionario di autovalutazione, le nuove indicazioni adottano una prospettiva di “governance del rischio”, che mira a collegare la valutazione AML alla strategia aziendale e al RAF (Risk Appetite Framework).

La Banca d'Italia, in linea con le Linee guida EBA e con il nuovo Reg. UE 2024/1624, enfatizza la necessità di utilizzare i risultati dell'autovalutazione come input per la definizione del profilo di rischio complessivo dell'intermediario e per l'aggiornamento delle politiche di accettazione della clientela e dei sistemi di scoring. Tale approccio risponde anche alle raccomandazioni del GAFI, che richiedono una piena integrazione tra risk management e funzioni AML.

Dal punto di vista operativo, le Raccomandazioni comportano un rafforzamento dei flussi informativi interni e della capacità di monitoraggio continuo. Gli intermediari dovranno dotarsi di strumenti analitici integrati, in grado di correlare le informazioni provenienti dalle funzioni di business, antiriciclaggio e compliance. Particolare attenzione dovrà essere riservata alla qualità dei dati, elemento imprescindibile per un'autovalutazione attendibile e difendibile in sede ispettiva.

Prospettive e implementazione

Le indicazioni della Banca d'Italia anticipano il futuro assetto europeo: con la costituzione dell'AMLA (Anti-Money Laundering Authority), l'autovalutazione diventerà parte integrante del ciclo di vigilanza basato sui rischi, comune a tutti gli Stati membri. Ciò implicherà una crescente armonizzazione delle metodologie e un confronto diretto tra autorità nazionali e AMLA nella definizione dei criteri di risk assessment.

Le Raccomandazioni segnano, concretamente, un'evoluzione significativa verso una cultura della gestione integrata del rischio ML/FT. La Banca d'Italia, pur non introducendo obblighi formali nuovi, richiede un salto qualitativo nella capacità degli intermediari di analizzare, documentare e utilizzare in chiave gestionale le proprie valutazioni di rischio. L'autovalutazione si consolida, così, come strumento di “accountability organizzativa”, destinato a diventare elemento di misurazione della maturità dei presidi di compliance. Nel nuovo contesto europeo, tale esercizio non rappresenta più un mero adempimento periodico, ma una leva strategica per garantire trasparenza, proporzionalità e coerenza nell'azione preventiva contro il riciclaggio e il finanziamento del terrorismo.

L'applicazione concreta delle Raccomandazioni della Banca d'Italia impone agli intermediari vigilati e ai soggetti obbligati di rivedere l'impianto organizzativo e informativo alla base dell'autovalutazione AML/CFT. La prospettiva operativa suggerita dall'Autorità non si limita alla dimensione metodologica, ma coinvolge in modo diretto la governance, le funzioni di controllo interno e l'infrastruttura tecnologica dei sistemi informativi.

Per gli intermediari bancari e finanziari, la priorità sarà integrare la valutazione dei rischi ML/TF nel Risk Appetite Framework (RAF), assicurando coerenza con le metriche di rischio complessive. L'autovalutazione dovrà essere sostenuta da modelli di scoring interni e da indicatori dinamici di rischio capaci di intercettare variazioni comportamentali dei clienti, nuove tipologie di operatività digitale e schemi complessi di trasferimento di fondi.  Le funzioni antiriciclaggio e compliance sono chiamate a rafforzare la propria capacità di presidio analitico e di data governance, predisponendo procedure di validazione interna e di verifica periodica dei modelli di valutazione. Ciò comporta l'esigenza di istituire un ciclo di autovalutazione continuo, fondato su aggiornamenti trimestrali o semestrali delle informazioni di rischio e su un maggiore coinvolgimento del vertice aziendale. 

Tecnologia

Sul piano tecnologico, la Banca d'Italia incoraggia, implicitamente, lo sviluppo di sistemi RegTech e AML analytics, capaci di automatizzare la raccolta e la correlazione dei dati, riducendo l'onere manuale dell'autovalutazione e migliorandone l'affidabilità. L'impiego di tecniche di machine learning e di analisi predittiva, se adeguatamente governato, potrà rappresentare un fattore evolutivo determinante per la prevenzione dei rischi ML/TF e per l'allineamento alle best practice europee. 
In prospettiva, l'armonizzazione delle metodologie nazionali con gli standard dell'AMLA condurrà a un modello uniforme di supervisione basata sui rischi, in cui l'autovalutazione diverrà elemento strutturale del ciclo di vigilanza. Gli intermediari dovranno quindi orientarsi verso un approccio sempre più integrato, in grado di coniugare rigore tecnico, proporzionalità e capacità di rendicontazione verso le Autorità.

Fonte: Raccomandazioni della Banca d'Italia sull'esercizio  di autovalutazione dei rischi di riciclaggio e finanziamento del terrorismo - 23 ottobre 2025