Il 16 gennaio scorso, il Consiglio nazionale dell’ordine dei dottori commercialisti ed esperti contabili ha approvato il documento “Obblighi di valutazione del rischio, adeguata verifica della clientela, conservazione dei documenti, dei dati e delle informazioni: regole tecniche ai sensi dell’art. 11, co. 2, del d.lgs. 231/2007 come modificato dal d.lgs. 25 maggio 2017, n. 90”, con cui vengono definite le regole tecniche che i commercialisti dovranno rispettare ai fini degli adempimenti in materia di antiriciclaggio. A tal proposito, per i prossimi sei mesi, il CNDCEC promuoverà a favore dei propri iscritti attività formative in modalità e-learning finalizzate alla corretta comprensione delle regole tecniche.
Decorso tale periodo, le regole saranno ritenute vincolanti per tutti i professionisti iscritti all’albo.
Tale documento è teso a fornire indicazioni più dettagliate ai commercialisti, al fine di supportarli e facilitare gli adempimenti cui sono tenuti nell’ambito della propria attività in materia di antiriciclaggio e contrasto al terrorismo, adempimenti formali giudicati anche dal Presidente del Consiglio Nazionale dell’Ordine, particolarmente gravosi e penalizzanti per la categoria.
Le regole tecniche sono state emanate in adempimento a quanto stabilito dal D. Lgs. n. 231/2007 che all’art. 11 comma 2 demanda agli organismi di autoregolamentazione il compito di elaborare e aggiornare regole tecniche attuative del d.lgs. 231/2007, in materia di procedure e metodologie di analisi e valutazione del rischio di riciclaggio e finanziamento del terrorismo cui i professionisti sono esposti nell’esercizio della propria attività, di controlli interni, di adeguata verifica, anche semplificata della clientela e di conservazione, sentito, previamente, il Comitato di sicurezza finanziaria.
Le tematiche affrontate dalle nuove regole tecniche riguardano sostanzialmente:
- la valutazione del rischio (artt. 15-16 d.lgs. 231/2007);
- l’adeguata verifica della clientela (artt. 17-30 d.lgs. 231/2007);
- la conservazione dei documenti, dei dati e delle informazioni (artt. 31, 32 e 34 d.lgs. 231/2007).
Autovalutazione del Rischio
Con riferimento alle operazioni di autovalutazione del rischio, le regole tecniche chiariscono come ciascun professionista deve analizzare il rischio che va valutato in termini di:
- probabilità di accadimento;
- conseguenze;
- adeguatezza dell’assetto organizzativo e dei presidi (vulnerabilità)
al fine di determinare il livello di rischio residuo e adottare procedure per la gestione e la mitigazione del medesimo.
Si tratta di un’attività che ciascun professionista deve svolgere in proprio e non può delegare a terzi, salvo la nomina di un soggetto interno definito Responsabile Antiriciclaggio che potrà avere unicamente un compito di supporto sulla gestione e mitigazione del rischio residuo.
Le regole tecniche suggeriscono di analizzare il rischio in termini di rilevanza, che viene classificata in base a quattro livelli: da un livello elevato (molto significativo) sino ad un livello di scarsa rilevanza (non significativo) correlato a valori di intensità indicati con numeri da uno a quattro.
Nella valutazione devono essere considerati i seguenti fattori di rischio: tipologia di clientela; area geografica di operatività; i canali distributivi (riferito alla modalità di esplicazione della prestazione professionale, anche tramite
collaborazioni esterne, corrispondenze, canali di pagamento, ecc.); servizi offerti.
La media aritmetica dei punteggi dei singoli fattori di rischio determina il valore del rischio inerente.
In base all’efficacia di alcuni fattori legati alla formazione e all’organizzazione dello studio, dovrà essere valutato il grado di vulnerabilità, anche qui l’operazione va svolta in base ad una media aritmetica.
Intersecando i valori di rischio e il grado di vulnerabilità, mediante una media ponderata si ottengono valori legati al livello di rischio residuale; in relazione a tale risultato, il professionista dovrà poi intervenire con azioni concrete per mitigare il rischio.
Con riferimento alle dimensioni della struttura, le regole tecniche stabiliscono che:
- per uno studio composto da due o più professionisti (stessa sede o sedi diverse) occorre introdurre la funzione antiriciclaggio e nominare il relativo responsabile;
- per uno studio composto da più di 30 professionisti e più di 30 collaboratori, che operano nello stesso studio (una sede o più), occorre introdurre la funzione antiriciclaggio, nominare il responsabile antiriciclaggio e introdurre una funzione di revisione indipendente per la verifica dei presidi di controllo. Tale soglia va individuata con riferimento al 31 dicembre dell’anno precedente.
Nell’ambito dei presidi per la gestione e la mitigazione del rischio importante risulta altresì la formazione del personale con carattere di programmazione e permanenza.
L’autovalutazione del rischio dovrà essere compiuta ogni tre anni.
Tutta la documentazione dovrà essere conservata e messa a disposizione delle Autorità e degli Ordini.
Adeguata verifica della clientela
Per quanto concerne l’adeguata verifica della clientela, le regole tecniche elencano quelle attività svolte dai professionisti considerate non significative a livello di rischio inerente con l’attività di riciclaggio e finanziamento al terrorismo. Per ciascuna di queste attività viene individuata la motivazione e la regola tecnica basilare da seguire (sostanzialmente il comportamento minimo, vista la scarsa rilevanza in termini di rischio, da adottare ai fini dell’adempimento dell’obbligo di adeguata verifica della clientela).
Tra le attività considerate non significative a livello di rischio, sono menzionate anche:
- Apposizione del visto di conformità su dichiarazioni fiscali;
- Predisposizione di interpelli con richiesta di chiarimenti interpretativi circa l’applicazione di norme, ancorché contestualizzati a casi concreti con inoltro a Ministeri e Agenzie fiscali;
- Risposte a quesiti di carattere fiscale/societario e pareri pro veritate;
- Diversi incarichi che derivano da nomine giudiziali (es. curatore, commissario giudiziale, liquidatore, incaricato del giudice ai fini di redigere perizie);
- Docenze, attività editoriale anche online, gestione o direzione di riviste anche telematiche, pareri e consigli anche orali;
- Componente di OdV, ex decreto n. 231/2001;
- Invio telematico di bilanci;
- Pratiche presso enti amministrativi, come registrazione marchi, brevetti, opere d’ingegno presso SIAE.
Successivamente, vengono invece individuate le attività con rischio significativo e suddivise in diversi livelli di importanza del rischio. A tal proposito, viene chiarito come procedere in pratica alla valutazione del rischio specifico e i fattori da considerare per ciascun cliente.
Viene chiarito, inoltre, che se l’obbligo di adeguata verifica attiene a più parti deve essere svolto unicamente verso il cliente che conferisce l’incarico, verificando l’identità del cliente e/o dell’esecutore, nonché del titolare effettivo.
Per gli studi associati o le società tra professionisti, l’obbligo incombe sul professionista che ha ricevuto l’incarico o che viene incaricato della prestazione, sebbene gli adempimenti amministrativi inerenti all’identificazione possano essere delegati anche ai dipendenti e ai collaboratori dello studio associato/società tra professionisti.
Vengono precisati i casi in cui è possibile procedere all’adeguata verifica semplificata e rafforzata, con particolare accento sugli studi associati e sulle società tra professionisti, nelle quali con le opportune cautele i relativi obblighi possono essere espletati in modalità centralizzata.
Possibilità di esternalizzare le operazioni di adeguata verifica, ma non la responsabilità
Gli obblighi di adeguata verifica possono essere conferiti a terzi, pur restando sempre in capo al professionista la responsabilità. I professionisti possono richiedere il rilascio dell’attestazione di adempimento dell’adeguata verifica ai soggetti terzi elencati dall’art. 26, co. 2 del d.lgs. 231/2007, mentre possono rilasciare tale attestazione solo ad altri professionisti.
Conservazione dei dati e delle informazioni
Per quanto riguarda infine la conservazione dei dati e delle informazioni raccolte, le regole tecniche chiariscono che essa può essere effettuata sia in modalità cartacea che elettronica, purché sia garantito il rispetto della normativa in materia di protezione dei dati personali e il loro trattamento esclusivamente per le finalità di cui al d.lgs. 231/2007.
I professionisti possono continuare ad alimentare l’archivio cartaceo o informatico già creato in occasione del decreto legislativo n. 90/2017, aggiornandolo in base alle nuove disposizioni.
Necessario è nominare i soggetti autorizzati al trattamento dei dati per tale finalità di conservazione. La conservazione cartacea o informatica deve consentire almeno di ricostruire univocamente: nel caso di prestazioni professionali:
- la data del conferimento dell’incarico;
- i dati identificativi del cliente, del titolare effettivo e dell’esecutore e le informazioni sullo scopo e la natura del rapporto o della prestazione; nel caso di operazioni:
- la data, l’importo e la causale dell’operazione;
- i mezzi di pagamento utilizzati (necessario conservare copia dei mezzi di pagamento).
Dovrà essere individuato uno o più responsabile/i della conservazione, obbligati al rispetto della normativa in materia di dati personali. Il sistema di conservazione deve garantire l’accesso ai documenti, alle informazioni e ai dati cartacei per il periodo prescritto. Anche in tal caso, occorrerà adottare misure organizzative e di sicurezza a protezione degli archivi rapportate al rischio.
Conservazione cartacea
Se si opta per la conservazione cartacea, tutti i documenti devono recare la data e la sottoscrizione del professionista o di un suo delegato. Il fascicolo cartaceo del cliente può rimandare ad alcuni documenti conservati in formato elettronico non modificabile all’interno del sistema informatico dello studio professionale (ad es. visure estratte da pubblici registri).
Il fascicolo del cliente, tenuto in conformità agli articoli 31 e 32 del d.lgs.231/2007, costituisce idonea modalità di conservazione dei dati e delle informazioni assunte ai fini del rispetto della normativa antiriciclaggio e di contrasto al finanziamento del terrorismo.
Conservazione informatica
Per quanto concerne la conservazione informatica, è possibile optare (come per la conservazione dei documenti informatici) per un modello in house o esternalizzato, affidando il processo/sistema di conservazione, in modo totale o parziale, a soggetti terzi pubblici o privati che offrono idonee garanzie organizzative e tecnologiche, in conformità con quanto stabilito dal CAD.
I documenti informatici, i dati e le informazioni possono essere conservati in cartelle intestate a ciascun cliente. Anche in caso di conservazione informatica, il sistema adottato può rimandare ad alcuni documenti conservati in formato cartaceo all’interno dello studio professionale.
Negli studi associati e nelle società tra professionisti è possibile predisporre procedure interne regolamentate che prevedano un sistema generale e accentrato di conservazione rivolto a tutti i professionisti associati, legate a tutte le informazioni e ai dati raccolti per ciascun cliente, raccolte dal singolo professionista che riceve l’incarico ovvero dal responsabile della funzione antiriciclaggio.