1. In sintesi
Il 27 maggio 2025 è stato pubblicato l’aggiornamento dell’Analisi nazionale dei rischi di riciclaggio di denaro e finanziamento del terrorismo, documento di riferimento per i soggetti obbligati agli adempimenti antiriciclaggio, tra cui i commercialisti. Alla luce di tale aggiornamento vengono illustrate le modalità operative per effettuare l’autovalutazione del rischio in conformità alla Regola tecnica n. 1 del Cndcec, approfondendo le fasi del processo valutativo, i criteri di misurazione del rischio e i presìdi di mitigazione eventualmente richiesti.
2. L’aggiornamento dell’Analisi nazionale dei rischi
Il 27 maggio 2025, il ministero dell’Economia e delle Finanze ha pubblicato l’aggiornamento dell’Analisi nazionale dei rischi di riciclaggio di denaro e finanziamento del terrorismo, approvata dal Comitato di Sicurezza Finanziaria (Csf) il 14 novembre 2024, in attuazione dell’articolo 5, comma 6, Dlgs 231/2007.
Il nuovo documento riveste particolare rilievo per l’autovalutazione del rischio da parte dei soggetti obbligati, inclusi i professionisti.
L’Analisi, elaborata con il contributo delle autorità del Csf e dei rappresentanti del settore privato, riguarda il periodo 2019-2023 e utilizza la metodologia già adottata nelle edizioni del 2014 e 2018, focalizzandosi su due aspetti:
- la valutazione del rischio intrinseco del sistema, analizzando minacce e criticità economico-sociali;
- l’esame dell’efficacia delle misure di prevenzione, investigazione e repressione, con analisi settoriali per ciascuna categoria di soggetti obbligati e la valutazione della “vulnerabilità relativa”.
Tra i fattori critici emergono l’uso diffuso del contante e l’economia sommersa, che incidono in modo rilevante sul livello di rischio nazionale.
Le principali minacce al sistema antiriciclaggio includono corruzione, estorsione, evasione fiscale, narcotraffico e reati societari, aggravati dalla crisi economica. Reati come gioco d’azzardo illecito, contraffazione, tratta di esseri umani e truffa presentano, invece, un rischio “abbastanza significativo” (3 su 4); il livello complessivo del rischio di riciclaggio è classificato come “molto significativo” (4 su 4).
Per quanto riguarda il finanziamento del terrorismo, l’uso del contante e dei servizi di money transfer informali (es. sistema hawala) si rende difficile tracciare i flussi finanziari. Il rischio in questo ambito è valutato come “abbastanza significativo”.
Per notai e commercialisti le attività maggiormente esposte includono operazioni immobiliari e societarie, gestione di rifiuti, compro oro, gioco d’azzardo, trust, crypto asset e fondi pubblici.
Con riferimento specifico ai commercialisti, nonostante l’aumento delle segnalazioni di operazioni sospette, persiste una vulnerabilità molto significativa, per via di presìdi ancora poco efficaci.
Per i revisori legali, il rischio specifico è medio, con una vulnerabilità contenuta per chi opera su Enti di interesse pubblico (Eip) o sottoposti a regime intermedio (Eri), ma “abbastanza significativa” per gli altri.
Infine, avvocati e consulenti del lavoro mostrano rispettivamente livelli di vulnerabilità “molto significativo” e “abbastanza significativo”.
3. I principali indicatori di rischio di riciclaggio per i professionisti
Nell’ambito della normativa antiriciclaggio, i professionisti svolgono una funzione fondamentale nel presidio della legalità del sistema economico-finanziario. Le loro competenze tecniche e la natura fiduciaria delle relazioni con la clientela li pongono in una posizione privilegiata, ma anche vulnerabile, rispetto a possibili tentativi di riciclaggio di proventi illeciti o finanziamento del terrorismo.
Proprio per questo, la normativa vigente impone obblighi specifici di adeguata verifica della clientela, conservazione dei documenti e segnalazione di operazioni sospette (Sos).
Per adempiere efficacemente a tali obblighi, i professionisti devono saper riconoscere i segnali di anomalia che possono emergere nel corso dell’attività professionale. Tali segnali, detti indicatori di rischio, sono elencati e periodicamente aggiornati dalle Autorità competenti (come Uif, Mef e Guardia di Finanza), e rappresentano elementi da valutare con attenzione.
Di seguito, si riportano schematicamente alcuni importanti indicatori connessi all’attività professionale, evidenziati nella recente Analisi nazionale del rischio, di natura soggettiva (relativi al cliente o alla controparte) e oggettiva (relativi alla prestazione professionale).
4. Commercialisti e obbligo di autovalutazione del rischio
Con l’Informativa n. 85 del 30 maggio 2025, il Cndcec ha richiamato l’attenzione sull’aggiornamento dell’Analisi nazionale dei rischi.
Nel documento si sottolinea che, in linea con quanto stabilito dalla nuova versione della Regola tecnica n. 1, recentemente adottata dal Cndcec (Informativa n. 6/2025), gli iscritti sono obbligati ad aggiornare la propria autovalutazione del rischio, come previsto dagli articoli 15 e 16 Dlgs 231/2007.
In particolare, la modifica alla Regola tecnica ha rimosso la scadenza triennale per l’aggiornamento, prevedendo invece che la rivalutazione del rischio debba avvenire:
- ogni qualvolta il professionista lo ritenga necessario, in presenza di cambiamenti significativi nei fattori di rischio;
- o, comunque, entro un anno dalla pubblicazione di un aggiornamento ufficiale dell’Analisi nazionale dei rischi.
Considerata la recente pubblicazione dell’Analisi, gli iscritti sono ora tenuti ad effettuare l’aggiornamento della propria valutazione del rischio professionale entro il 27 maggio 2026.
Attenzione
Per i commercialisti di nuova iscrizione, la prima autovalutazione dovrà essere completata entro il 31 dicembre dell’anno successivo all’inizio dell’attività.
5. La procedura di autovalutazione (Regola tecnica Cndcec n. 1)
L’autovalutazione è uno strumento di autocontrollo e prevenzione che consente al professionista di calibrare i presìdi antiriciclaggio in modo efficace, proporzionale e conforme alla normativa.
La metodologia di autovalutazione si sviluppa nelle seguenti attività:
1) Identificazione del rischio inerente
Il professionista raccoglie le informazioni, identifica e valuta i rischi di riciclaggio/finanziamento del terrorismo (Aml/Fdt) a cui è esposto in ragione dell’attività svolta. A tal fine è necessario prendere in considerazione anche le risultanze, in termini di individuazione del livello di rischio, delle procedure di adeguata verifica effettuate nei confronti di ciascun cliente.
2) Analisi delle vulnerabilità
In questa fase il professionista individua le eventuali vulnerabilità dei presìdi organizzativi, procedurali e di controllo concretamente implementati rispetto ai rischi precedentemente identificati.
3) Determinazione del rischio residuo
Sulla scorta del rischio inerente identificato e dell’analisi delle vulnerabilità, il professionista determina il rischio residuo a cui è esposto e, se necessario, individua le azioni correttive da intraprendere ai fini della gestione e mitigazione dello stesso.
In relazione a ciascuna delle tre fasi descritte, il livello di intensità degli elementi oggetto di valutazione è quantificato secondo la seguente scala graduata:
6. Il rischio inerente
Il rischio inerente può essere definito quale rischio correlato alla probabilità che l’evento possa verificarsi e alle sue conseguenze; nel contesto di riferimento, esso rappresenta il rischio attuale e potenziale cui il professionista è esposto in ragione dell’attività concretamente svolta nel suo complesso.
Ai sensi dell’articolo 15 del decreto antiriciclaggio, i fattori che determinano il livello di rischio inerente sono associati:
- alla tipologia di clientela;
- all’area geografica di operatività;
- ai canali distributivi;
- ai prodotti/servizi offerti.
Il parametro “canali distributivi”, inteso quale fattore riferito alla modalità di esplicazione della prestazione professionale, anche tramite collaborazioni esterne, corrispondenze, canali di pagamento, ecc., di norma è difficilmente associabile all’attività professionale: di conseguenza, la valutazione del rischio allo stesso correlata assume carattere residuale (cioè pari a 1).
Ai fini della misurazione del livello di rischio inerente, occorre attribuire ad ogni elemento relativo ai fattori di rischio individuati nei punti da 1) a 4) l’indice di rischiosità di cui alla scala graduata sopra riportata (1 = non significativo; 2 = poco significativo; 3 = abbastanza significativo; 4 = molto significativo).
La media aritmetica semplice degli indici di rischiosità attribuiti ai singoli fattori di rischio determina il valore puntuale del rischio inerente.
7. La vulnerabilità
La vulnerabilità dello studio professionale è determinata dalle carenze dell’assetto organizzativo e dei presìdi adottati rispetto al rischio inerente (come precedentemente individuato): in presenza di tali carenze aumenta la probabilità che il rischio inerente si concretizzi in fenomeni Aml/Fdt non rilevati.
Al contrario, è evidente che tanto più efficaci sono i presìdi tanto minori sono le vulnerabilità.
In ragione di ciò, la Regola tecnica n. 1 ricollega il grado di vulnerabilità dello studio professionale nel suo complesso all’efficacia dei seguenti elementi:
1) formazione;
2) organizzazione degli adempimenti di adeguata verifica della clientela;
3) organizzazione degli adempimenti relativi alla conservazione dei documenti, dati e informazioni;
4) organizzazione in materia di segnalazione di operazioni sospette e comunicazione delle violazioni alle norme sull’uso del contante.
In altre parole, è necessario che il professionista valuti gli aspetti connessi all’organizzazione dello studio e, in particolare, l’idoneità delle misure adottate per adempiere ai vari obblighi: dalla completezza della modulistica per l’adeguata verifica della clientela all’implementazione di un sistema di conservazione dei dati, documenti e informazioni, fino all’individuazione di una procedura per la rilevazione delle anomalie riconducibili a operazioni sospette.
La misurazione del livello di vulnerabilità si ottiene attribuendo ad ogni elemento relativo ai fattori che la influenzano, individuati nei punti da 1) a 4), l’indice di rischiosità di cui alla suddetta scala graduata (1 = non significativo; 2 = poco significativo; 3 = abbastanza significativo; 4 = molto significativo).
La media aritmetica semplice degli indici di rischiosità attribuiti ai singoli fattori determina il valore puntuale del livello di vulnerabilità.
8. Il rischio residuo
Determinato il rischio inerente e la vulnerabilità, il professionista procede a misurare il rischio residuo, che scaturisce dall’interrelazione tra i due fattori considerati, illustrata graficamente in una matrice costruita con una ponderazione maggiormente orientata sul grado di vulnerabilità (60%) che sul livello di rischio inerente (40%), nella considerazione che la componente di vulnerabilità debba avere maggiore rilevanza nel determinare il livello di rischio residuo.
Sotto il profilo metodologico, la Regola tecnica perviene alla determinazione del rischio residuo attraverso i seguenti passaggi:
1) individuazione del rischio inerente;
2) individuazione del livello di vulnerabilità;
3) determinazione del rischio residuo quale somma del rischio inerente ponderato e del livello di vulnerabilità ponderato.
La somma dei valori ponderati del rischio inerente e della vulnerabilità consente di determinare il livello di rischio residuo secondo la seguente scala graduata:
9. I presìdi di mitigazione del rischio
In funzione del livello di rischio residuo stimato, il professionista dovrà individuare e attivare le procedure e i presìdi necessari per la gestione/mitigazione del medesimo, ai sensi dell’articolo 16 Dlgs 231/2007.
Sotto l’aspetto operativo, la Regola tecnica evidenzia che l’attivazione dei presidi di mitigazione del rischio è solo “eventuale”, nel senso che è limitata all’ipotesi in cui ci sia un rischio residuo da mitigare.
Se ne desume in via interpretativa che le azioni mitigatrici si rendono necessarie in caso di rischio residuo “abbastanza” o “molto” significativo; al contrario, a fronte di un rischio residuo “non” ovvero “poco” significativo, il professionista può limitarsi alla gestione del medesimo, ovvero al mantenimento del relativo livello. Il principio di fondo è quello secondo cui quanto più alto è il livello di rischio residuo, tanto maggiore deve essere l’implementazione di sistemi e procedure per la mitigazione del rischio, nonché la frequenza delle attività di verifica della loro concreta applicazione.
Inoltre, in virtù di quanto prescritto dall’articolo 16, le azioni mitigatrici devono essere predisposte tenendo conto delle dimensioni della struttura, del numero dei componenti dello studio (professionisti, collaboratori e dipendenti) e del numero delle sedi in cui viene svolta l’attività.
Alla luce di quanto sopra, la Regola tecnica individua i seguenti presìdi.
10. La funzione antiriciclaggio, di revisione indipendente e la formazione
La funzione antiriciclaggio, se istituita, verifica l’efficacia delle procedure interne in ambito Aml/Fdt (valutazione del rischio, adeguata verifica, conservazione dati, segnalazioni sospette, uso del contante) e gestisce la formazione continua del personale.
Nella maggior parte degli studi professionali coincide con il responsabile della funzione, che assiste il soggetto obbligato nella gestione del rischio residuo.
Il responsabile antiriciclaggio è tenuto solo alla corretta attuazione delle procedure interne e risponde di eventuali obblighi contrattuali o disciplinari, ma la piena responsabilità per gli adempimenti antiriciclaggio resta in capo al professionista.
La funzione di revisione indipendente, se prevista, ha il compito di controllare in modo continuativo l’adeguatezza dell’organizzazione e l’efficacia dei presìdi antiriciclaggio; può essere svolta anche internamente, a condizione che sia garantita l’indipendenza del soggetto incaricato, che non deve avere ruoli operativi nello studio.
In attuazione di quanto previsto dall’articolo 16 del Decreto, la Regola tecnica ribadisce che nell’ambito dei presìdi per la gestione e la mitigazione del rischio rileva la formazione del personale con carattere di programmazione e permanenza.
La formazione, dunque, diviene presidio centrale di mitigazione del rischio in quanto una preparazione adeguata, completa e costantemente aggiornata mette il personale in condizione di riconoscere, nelle varie fasi lavorative, le eventuali anomalie e reagire prontamente segnalandole agli organi preposti.
11. Le modalità
L’autovalutazione deve essere documentata e messa a disposizione delle Autorità di vigilanza (Mef, Uif, GdF, ecc.) e degli organismi di autoregolamentazione.
Al fine di agevolare l’esercizio di autovalutazione, la modulistica allegata alle Linee guida emanate dal Cndcec nel 2019 - attualmente in corso di revisione - prevede un apposito modulo (AV.0) che, opportunamente compilato, datato e sottoscritto dal soggetto obbligato, deve essere conservato al fine di consentire la tracciabilità dell’adempimento.
L’autovalutazione del rischio può essere più agevolmente effettuata attraverso l’utilizzo di una scheda in formato excel, anch’essa disponibile tra gli allegati alle Linee guida.
12. Applicazione delle Regole tecniche sulle sanzioni antiriciclaggio
La corretta compilazione ovvero la mancata o non corretta compilazione del documento di autovalutazione del rischio da parte del professionista possono comportare, rispettivamente, effetti premiali e aggravanti sull’applicazione delle sanzioni antiriciclaggio.
È infatti evidente che, non essendo presente una norma sanzionatoria specifica, la mancata compilazione del documento di autovalutazione del rischio non potrà mai comportare la contestazione e l’irrogazione di sanzioni dirette. Di contro, però, la sua corretta o mancata redazione potrà incidere positivamente ovvero negativamente ai fini della determinazione quantitativa della sanzione in caso di ispezione e contestazione.
Una corretta autovalutazione, infatti, potrà dimostrare agli accertatori che lo studio ha adottato adeguate procedure di valutazione e mitigazione del rischio e questa circostanza potrà influire sulla eventuale graduazione della sanzione.
Secondo l’articolo 15 Dlgs 231/2007, gli organismi di autoregolamentazione dettano criteri e metodologie, commisurati alla natura dell’attività svolta e alle dimensioni dei soggetti obbligati, per l’analisi e la valutazione dei rischi di riciclaggio e di finanziamento del terrorismo, cui questi ultimi sono esposti nell’esercizio della loro attività. I soggetti obbligati devono quindi adottare procedure oggettive e coerenti rispetto ai criteri e alle metodologie per l’analisi e la valutazione dei rischi di riciclaggio e di finanziamento del terrorismo.
L’adempimento ai precetti contenuti nell’articolo 15 è richiamato espressamente nell’articolo 67, secondo cui, nell’applicazione delle sanzioni amministrative pecuniarie e delle sanzioni accessorie previste, il ministero dell’Economia e delle Finanze e le autorità di vigilanza di settore, per i profili di rispettiva competenza, considerano ogni circostanza rilevante e, in particolare, tenuto conto del fatto che il destinatario della sanzione sia una persona fisica o giuridica:
a) la gravità e durata della violazione;
b) il grado di responsabilità della persona fisica o giuridica;
c) la capacità finanziaria della persona fisica o giuridica responsabile;
d) l’entità del vantaggio ottenuto o delle perdite evitate per effetto della violazione, nella misura in cui siano determinabili;
e) l’entità del pregiudizio cagionato a terzi per effetto della violazione, nella misura in cui sia determinabile;
f) il livello di cooperazione con le autorità prestato della persona fisica o giuridica responsabile;
g) l’adozione di adeguate procedure di valutazione e mitigazione del rischio di riciclaggio e di finanziamento del terrorismo, commisurate alla natura dell’attività svolta e alle dimensioni dei soggetti obbligati;
h) le precedenti violazioni delle disposizioni di cui al Dlgs 231/2007.
Infine, è previsto un regime di favore a fronte di violazioni ritenute di minore gravità, qualora venga riscontrata l’applicazione dei criteri di cui sopra. Infatti, secondo l’ultimo comma dell’articolo 67 citato, in questi casi la sanzione amministrativa pecuniaria prevista per violazione delle norme sull’adeguata verifica e degli obblighi di conservazione potrà essere ridotta da un terzo a due terzi.
