Recupero Password
L'esponente della governance degli organismi vigilati responsabile antiriciclaggio: il mito di Heimdallr e le nuove sfide digitali
11 agosto 2026
Nella mitologia norrena Heimdallr è il guardiano del Bifröst, il ponte arcobaleno che collega Midgard (il mondo degli uomini) ad Asgard (la dimora degli dèi). Le sue capacità sensoriali sono superiori: Heimdallr vede in tutte le direzioni, di giorno e di notte, a distanze di centinaia di miglia. Il suo strumento è il Gjallarhorn, il corno risonante che suonerà per avvertire gli dèi dell'arrivo del Ragnarök, la fine del mondo. Non è un'arma offensiva: è un sistema di allerta. Presidia il punto di accesso, chi entra e chi esce da Asgard passa sotto il suo sguardo. La sentinella non abbandona il posto neppure durante l’estremo pericolo. Il suo nemico ultimo non è la forza bruta, ma l'inganno, chi cambia forma, chi si traveste, chi usa identità false[1]. Mi sembra che difficilmente avremmo potuto trovare una simbologia più adeguata.

La Banca d’Italia ha emanato un provvedimento il 1° agosto 2023[2], entrato in vigore il 14 novembre di quell’anno, con il quale ha imposto ad ogni organismo vigilato[3] di individuare, comunque entro il 30 giugno 2026, una figura professionale esperta ed indipendente, preferibilmente tra i componenti l’organo di governo e, in casi particolari, nella direzione generale, per attribuire la responsabilità dell’attività di contrasto al riciclaggio e al finanziamento del terrorismo.

Sgombriamo subito il campo da un possibile fraintendimento. L’incarico, indubbiamente prestigioso, non può e non deve essere formale o di facciata[4]: l'esponente responsabile per l'antiriciclaggio deve possedere adeguate conoscenze, competenze ed esperienze in materia, con specifico riferimento ai rischi, alle politiche, ai controlli, alle procedure antiriciclaggio e allo specifico modello di business dell'intermediario.

Non bastano, dunque, competenze giuridiche generiche o una formazione solo teorica; servono esperienza diretta nella valutazione del rischio di riciclaggio, familiarità con gli schemi operativi illeciti, padronanza dei flussi informativi e dei sistemi di monitoraggio. Soprattutto, l'esponente deve disporre e deve assicurare alla funzione, sia direttamente, sia tramite le risorse impiegate, in misura e modalità adeguata, continua e coerente, tempo, personale e tecnologie.

Nei prossimi mesi la Banca d’Italia intende comunque condurre una indagine conoscitiva sulle soluzioni concretamente adottate per garantire efficacia e funzionalità all’incarico e al ruolo dell’esponente designato[5].

I compiti dell'esponente si articolano su diverse direttrici.

Il monitoraggio strategico: consiste nella verifica che le politiche, le procedure e le misure antiriciclaggio siano adeguate e proporzionate al profilo di rischio dell'ente, e che vengano effettivamente attuate. La proporzionalità è esplicita: più l'intermediario è grande e complesso, più i contesti operativo ed ambientale[6] sono a rischio potenziale di infiltrazione, più elevati devono essere i requisiti e i presidi posti in essere.

Il Responsabile si interfaccia per lo svolgimento dei propri compiti, all'interno dell'intermediario, con il titolare della funzione antiriciclaggio e, se diverso, con chi è preposto alle segnalazioni di operazioni sospette (SOS), con la funzione di revisione interna (internal audit) e con l'organo con funzioni di supervisione strategica.

Inoltre, l'esponente è il tramite con gli organi di vertice dell'intermediario, nell’importantissimo compito di assicurare che le informazioni rilevanti in materia vengano a consapevolezza piena e sottoposte all’esame puntuale dell’organo di governo aziendale e che nessuna decisione, strategica, tattica o puntuale, sia presa senza la conoscenza sostanziale dei rischi concreti che l’organismo può essere chiamato a fronteggiare.

Quell’esponente ha altresì mansioni essenziali ed importantissime di raccordo con l’esterno, con Istituzioni, Autorità, Forze dell’ordine, Organi giudiziari, sia dello Stato, che Internazionali, preposti al contrasto del riciclaggio e del finanziamento del terrorismo.

Uno dei canali principali e più robusti di collaborazione è sicuramente con l’UIF (Unità di Informazione Finanziaria presso la Banca d'Italia) e, per il suo tramite, con la rete globale delle corrispondenti FIU (Financial Intelligence Unit) estere[7].  

È qui che entra in gioco uno dei più significativi recenti cambiamenti; infatti, uno dei principali campi nel quale la sentinella dovrà misurarsi è proprio quello delle segnalazioni di operazioni sospette (SOS).

Con il provvedimento del 18 dicembre 2025, operativo dal 1° luglio 2026, la UIF ha riscritto organicamente le istruzioni per la rilevazione e la segnalazione delle SOS, sostituendo il provvedimento del 2011[8], e chiedendo a tutti gli intermediari un ulteriore sforzo di sostanzialità.

Il messaggio è netto: basta segnalazioni "fotocopia", basta alert automatici trasmessi senza analisi umana. Ogni SOS deve contenere la ricostruzione del percorso logico che ha condotto al sospetto; gli indicatori di anomalia restano strumenti di supporto, ma senza valore automatico: non basta che un algoritmo generi un alert per giustificare una segnalazione, né la sua assenza per escluderla. Gli strumenti informatici, intelligenza artificiale inclusa, che le Istruzioni citano espressamente, devono poggiare su dati oggettivi e verificabili ed essere accompagnati da validazione umana. E anche il non segnalare va documentato: delle valutazioni negative che hanno escluso il sospetto occorre conservare traccia, presidio di autotutela da esibire ex post.

I numeri dicono quanto la posta sia alta. Nel 2025 la UIF ha ricevuto circa 162.000 SOS, per un controvalore di poco più di 100 miliardi di euro, segnando un aumento dell'11,5% rispetto al 2024 e con la quota a rischio basso o nullo scesa sotto il 19%. Le segnalazioni sono state trainate dal riciclaggio di proventi di truffe e frodi informatiche; più della metà sono state analizzate e trasmesse agli organi investigativi entro sette giorni[9]. A questa evoluzione qualitativa del sistema di segnalazioni non è certo estranea l’azione dei responsabili AML designati.

 

Le segnalazioni provengono perlopiù da banche, Poste e altri intermediari finanziari, seguiti dai notai; fanalino di coda la Pubblica Amministrazione, con una partecipazione del tutto residuale, che potrebbe essere in astratto anche un buon segno… oppure un sintomo di contenuta collaborazione. Pure sotto il profilo territoriale si evidenzia un significativo addensamento in Lombardia e Campania, rispettivamente in testa per valore assoluto e, secondo nostra elaborazione, in relazione alla popolazione. La Puglia è al 9° posto per valore assoluto, ma scenderebbe al 14° in rapporto alla popolazione.

La supervisione strategica e il monitoraggio operativo posti in essere dall'esponente designato sono importanti per l’efficace funzionamento della macchina, anche per evitare le sanzioni severe, previste in caso di omessa o di tardiva segnalazione; ma sono essenziali soprattutto se consideriamo che l’odierna evoluzione delle minacce ha assunto aspetti estremamente rilevanti nell’ambito della sicurezza informatica.

I sistemi di monitoraggio antiriciclaggio (transaction monitoring, screening delle liste sanzionatorie, profilatura e analisi comportamentale della clientela) sono basati su sistemi informatici che, se compromessi, per errore, incidente o attacco hacker, potrebbero rendere cieco e del tutto inutile l’intero apparato.  

Purtroppo non è solo ipotesi accademica. Il caso Garantex, l'exchange russo sanzionato, i cui wallet venivano sistematicamente sostituiti per eludere i software di tracciamento, mostra come l'evasione dei presidi sia ormai un'operazione tecnologica prima che finanziaria; il furto di 1,46 miliardi di dollari sottratti a ByBit dal gruppo nordcoreano Lazarus, nel febbraio 2025, segnala che nessun sistema è inviolabile[10].

Di conseguenza è precipuo dovere dell’esponente designato assicurarsi che l’azienda abbia protetto i sistemi di monitoraggio, e che le protezioni siano aggiornate, sottoposte a test di resilienza, anche a fronte di attacchi malevoli, nonché che esista un efficace piano di continuità per gli scenari di compromissione, applicando in merito le prescrizioni del regolamento europeo DORA sulla resilienza operativa digitale[11].

I dati convergono nell’identificare un innovativo segmento potenzialmente a rischio infiltrazione: le crypto-asset e, specificatamente, le stablecoins. La VDG della Banca d’Italia, Chiara Scotti, in un recente intervento[12], ha quantificato il valore della capitalizzazione globale delle cryptoasset, arrivata, nel picco di metà 2025, fino a circa 4 mila miliardi di dollari, di cui le stablecoin rappresenterebbero, secondo una recente valutazione, ancora un quota minoritaria, ma in rapida espansione (stimata a fine I quadrimestre 2026, quando le “altre” avevano perso ormai quasi il 40%, in circa 315 miliardi di dollari, registrando in pochi mesi un incremento di oltre il 14%[13]).

In Italia, le segnalazioni 2025 provenienti dagli operatori in asset virtuali (VASP/CASP), pur restando su quote inferiori al 4% del totale, sono quasi raddoppiate. Inoltre, il rapporto GAFI del marzo 2026[14] attribuisce a quel tipo di asset virtuale l'84% del volume delle transazioni illecite in cripto-attività; TRM Labs[15] stima in 141 miliardi di dollari i fondi ricevuti da entità illecite attraverso questi token, il livello più alto degli ultimi cinque anni. La stessa UIF registra segnalazioni in cui le stablecoin ancorate al dollaro sostituiscono le criptovalute volatili come mezzo di pagamento "alternativo", riducendo o eliminando l'esigenza di convertire i flussi criminali in valute ufficiali.

C’è un'aggravante geopolitica, in più,  che non va assolutamente trascurata: la quasi totalità (99%) delle stablecoin in circolazione è denominata o agganciata al valore del dollaro; le sole Tether (USDT) e Circle (USDC), di fatto, dominano con assoluta prevalenza (81%) lo specifico segmento di mercato.

In Europa USDT non può essere negoziata dai CASP e i suoi scambi godono di presidi AML limitati (solo trasferimento e custodia); USDC invece rispetta MiCAR, ma i presidi si applicano solo quando le transazioni passano per un CASP. USDC è altresì emessa con schema "multi-emittente" dalla statunitense Circle Internet Financial LLC e dalla francese Circle Internet Financial Europe SAS, soggetta a MiCAR e vigilata dall'ACPR: europea come emittente, ma ancorata al dollaro.

Visa e Mastercard hanno avviato iniziative "card-based" che permettono di alimentare pagamenti con carta da un saldo in stablecoin, convertito in valuta locale al punto vendita e processato sull'infrastruttura di accettazione esistente: per l'esercente è un pagamento carta normale. Le Fintech: Stripe processa pagamenti in stablecoin per gli esercenti online, PayPal ha addirittura emesso una propria stablecoin (PYUSD). I Circuiti Cripto-Nativi: Binance Pay, Oobit e simili, collegano wallet in stablecoin a milioni di esercenti convenzionati, con presidi AML variabili a seconda della giurisdizione del gestore.

Le Big Tech e le grandi reti di pagamento sembrano diffusamente orientate ad accettare stablecoin in dollari come mezzo di pagamento; di talchè, gli strumenti sovrani tradizionali potrebbero essere spiazzati e perdere centralità anche nel proprio paese, innescando un rischio di sovranità pericoloso e difficilmente fronteggiabile dalla singola nazione.

Tutti questi circuiti comunque prevedono un intermediario che, almeno in linea di principio, è aggredibile dai presidi AML. Il regolamento europeo MiCAR e la Travel Rule[16] agiscono sull’interfaccia tra mondo fiat (le monete sovrane, non aes, sed fides) e mondo cripto, ma non dentro il circuito chiuso.

Il meccanismo che rende le stablecoin un cavallo di Troia per il riciclaggio è strutturale; la Banca d'Italia lo ha definito senza giri di parole un "rischio rosso"[17]: un portafoglio auto-custodito è una valigetta elettronica che può contenere importi elevatissimi e di valore stabile, certo e liquido (quasi moneta), trasportabile su una chiavetta o un cellulare.

Cerchiamo di spiegare bene questo passaggio cruciale. I flussi finanziari illeciti (estorsioni, ransomware, vendite darkweb, frodi, evasioni fiscali…) possono entrare nel circuito senza on-ramp regolamentato (CASP): incassando direttamente in stablecoin, oppure tramite exchange offshore non vigilati. Una volta dentro, le stablecoin si muovono wallet-to-wallet su blockchain pubbliche tra portafogli auto-custoditi (unhosted): nessun intermediario, nessun soggetto obbligato, nessuna adeguata verifica.

C'è un caso limite ancora più radicale: la cessione fisica della chiave privata, la "valigetta elettronica" che passa di mano e che trasferisce il valore senza nemmeno una scrittura sulla blockchain: invisibile perfino all'analisi forense on-chain.

Altra novità da annoverare tra i pericoli di questo genere di transazioni, che possono assumere carattere strutturale, è che l'off-ramp, ovvero la conversione delle crypto in moneta sovrana, dove la catena illegale torna visibile ai presidi AML e può essere intercettata, sta diventando una opzione: se USDT è stabile come il dollaro ed è spendibile presso milioni di esercenti (circuiti cripto-nativi, carte alimentate da saldi stablecoin), il bisogno di riconversione si attenua o addirittura viene meno.

La blockchain pubblica è uno dei registri più trasparenti mai inventati; ogni transazione è scritta per sempre e visibile a chiunque. Le operazioni sono registrate, ma non censite: sono pseudonime (indirizzi, non identità) e soprattutto manca l'osservatore obbligato che colleghi indirizzo e persona e abbia il dovere di sospettare. Il presidio AML tradizionale è costruito sull'intermediario; le stablecoin costruiscono un sistema di pagamento senza intermediari. MiCAR e Travel Rule presidiano le porte d'ingresso e d'uscita, ma dentro il castello  non c'è nessun guardiano. Se una transazione non transita mai per un soggetto obbligato, non è che sfugga al radar: è che il radar non esiste proprio.

Ciò significa che tutti gli operatori che si interfacciano con il sistema di trasmissione dei flussi finanziari devono porre in essere almeno  sistemi di monitoraggio capaci di intercettare l'esposizione — anche indiretta — della clientela sul segmento crypto, nonché di attivare procedure di adeguata verifica che ne tengano conto.

I rimedi potrebbero essere anche su un altro livello: poteri di blocco/congelamento in capo agli emittenti (che vedono il registro e, su blockchain, possono congelare token anche in wallet auto-custoditi[18]), analisi forense on-chain da parte delle FIU, nonché, come la UIF stessa la indica nella Newsletter 4-2025, un euro digitale emesso dalla BCE, su infrastruttura pubblica controllata dall'Eurosistema, con presidi AML/CFT nativi incorporati nel protocollo. A differenza delle stablecoin private, ogni transazione (anche peer-to-peer) sarebbe tracciabile dall'autorità emittente. Non si tratterebbe di inseguire le falle di un ecosistema privato, frammentato e globalizzato, ma di costruire un sistema con la tracciabilità come elemento costitutivo.

Per citare ancora il DG di Bankit, Paolo Angelini: la UE deve restare aperta alle stablecoin conformi a MiCAR ma pronta a correggere le falle appena emergono[19].

Il Regolamento AMLR, con la supervisione pregnante dell’AMLA[20], alzerà ulteriormente l'asticella: dall’anno prossimo, il Regolamento AMLR prevede la doppia figura del compliance manager e del compliance officer. Chi ha scelto bene il proprio esponente nel 2023 si troverà avvantaggiato; chi ha optato per una nomina di facciata dovrà ripensarla.

Da pochi giorni sono trascorsi tre anni. Un tempo sufficiente per un primo bilancio, ma soprattutto per chiedersi se la sentinella sia davvero in posizione ed in grado di intercettare ogni tipo di assalto e ogni tentativo di infiltrazione ed abbia strumenti adeguati ed aggiornati a presidiare i rischi e le minacce sempre più subdole e attrattive che provengono dal coacervo del malaffare.

La logica delle "finestre rotte" [21] vale anche dentro le organizzazioni: ogni carenza nei presidi, ogni ritardo nella formazione, ogni sistema di monitoraggio non aggiornato è una finestra rotta che il denaro sporco e chi lo muove saprà trovare e piegare ai propri traffici. La individuazione dell'esponente responsabile antiriciclaggio non è un mero adempimento burocratico da assolvere alla meglio; la domanda per ogni consiglio di amministrazione, per ogni organo di governo aziendale non è se la sentinella sia stata nominata, ma se sia allerta!

 

 

[1] Snorri Sturluson, Edda in prosa, Gylfaginning, cap. XXVII.

[2] Banca d'Italia, Provvedimento del 1° agosto 2023, recante modifiche alle Disposizioni del 26 marzo 2019 in materia di organizzazione, procedure e controlli interni antiriciclaggio. Il Provvedimento  recepisce gli Orientamenti EBA del giugno 2022 (EBA/GL/2022/05).

[3] banche; SIM; SGR; SICAV e SICAF; intermediari iscritti all'albo ex art. 106 TUB; IMEL; istituti di pagamento; prestatori di servizi per le cripto-attività (CASP), ora aggiunti; succursali italiane di intermediari esteri (UE o paesi terzi); società fiduciarie iscritte all'albo ex art. 106; soggetti erogatori di microcredito ex art. 111 TUB; Poste Italiane S.p.A. per l'attività di bancoposta; Cassa Depositi e Prestiti S.p.A; L'IVASS, con il Provvedimento n. 144 del 4 giugno 2024, ha introdotto il consigliere responsabile antiriciclaggio per le imprese assicurative; dal 1° luglio 2026 le nuove Istruzioni UIF impongono il referente SOS obbligatorio per gli studi professionali.

[4]Giuseppe Siani,  L'attività di compliance. Evoluzione della funzione e appunti di vigilanza, intervento all'AICOM, Roma, 27 novembre 2025: “la sola nomina di un consigliere referente AML non basta: perché questo ulteriore presidio funzioni davvero e porti a interventi concreti per ridurre i rischi e migliorare i processi di controllo, è essenziale che l'esponente individuato abbia competenze adeguate, esperienza, sia proattivo e abbia tempo sufficiente da dedicare al ruolo”.

[5] M. Laviola, intervento al Seminario annuale ABI sull'antiriciclaggio, 2 luglio 2026.

[6] La bibliografia in materia è potenzialmente ricchissima e densa. Mi piace ricordare personalmente alcuni lavori: Masciandaro, Roberti, Vigna “Quale economia contro la criminalità? Il caso Basilicata”, Milano, Università Bocconi, 1999, in cui si descriveva l’isola (immune) che non c’è; Paolo Pinotti, "The Economic Costs of Organised Crime: Evidence from Southern Italy", Temi di discussione Banca d'Italia n. 868, 2012, che stimava statisiticamente la perdita di reddito di un territorio infiltrato diffusamente; Mirenda, Mocetti e Rizzica, "The Economic Effects of Mafia: Firm Level Evidence", Temi di discussione Banca d'Italia n. 1235, 2019, che tracciava il destino delle imprese infiltrate, soprattutto dalla 'ndrangheta, nel centro-nord del Paese.

[7] Val la pena soffermarci  brevemente sulla struttura degli organi di contrasto AMLFT, di cui abbiamo fatto cenno in precedenti scritti: tutte le FIU (compresa la UIF presso BI) sono istituzioni indipendenti per requisito internazionale (Raccomandazione 29 GAFI, ora ribadita dalla direttiva AMLD6); La UIF trasmette esiti delle indagini e analisi al  Nucleo Speciale Polizia Valutaria della GdF e DIA e collabora con DNA e autorità giudiziaria. L’AMLA – UE esercita un "meccanismo di sostegno e coordinamento" (Reg. UE 2024/1620), distinto dalla vigilanza sugli intermediari. Gruppo Egmont è una  Rete nata nel 1995, oggi conta oltre 170 FIU: è più un club con regole di ingaggio che non un'organizzazione sovraordinata. GAFI/FATF è un Organismo intergovernativo globale che detta le Raccomandazioni: non ha poteri diretti sulle FIU, ma esercita  la potentissima leva reputazionale (liste grigie e nere dei paesi).  

[8] Provvedimento del 4 maggio 2011, Istruzioni sui dati e le informazioni da inserire nelle segnalazioni di operazioni sospette, emanato ai sensi dell'art. 6, comma 4, lett. d), D.lgs. 231/2007, sostituito, come detto, da quello del dicembre 2025.

[9] UIF, Rapporto annuale n. 18 sull'attività svolta nel 2025 e Presentazione del Direttore, E. Serata, Roma, 16 giugno 2026.

[10] 1) Exchange russo sanzionato dall'OFAC nell'aprile 2022 per i legami con ransomware e mercato Hydra; nel marzo 2025 operazione congiunta Secret Service-DoJ-FBI-Europol; 2) FBI, Public Service Announcement IC3 del 26 febbraio 2025: attribuzione alla Corea del Nord (attività «TraderTraitor», alias Lazarus Group)

[11] Regolamento (UE) 2022/2554 sulla resilienza operativa digitale del settore finanziario (DORA), applicabile dal 17 gennaio 2025: test di resilienza, gestione del rischio ICT e dei fornitori terzi anche per i sistemi che supportano i presidi antiriciclaggio; ne abbiamo già scritto in precedenza.

[12] C.Scotti: audizione alla Commissione parlamentare d'inchiesta sul sistema bancario, Euro digitale, cripto-attività e finanza digitale, 24 luglio 2025.

[13] Angelini, DLT and Stablecoins: Where Do We Stand?, simposio Banca d'Italia-NABE, 20 aprile 2026

[14] GAFI/FATF, Targeted Update on Stablecoins and Unhosted Wallets, marzo 2026, su dati Chainalysis.

[15]TRM Labs, febbraio 2026: circa 141 miliardi di dollari ricevuti da entità illecite via stablecoin, di cui l'86% riconducibile a evasione delle sanzioni internazionali (rete A7 e token A7A5 ancorato al rublo).

[16] Regolamento (UE) 2023/1114 (MiCAR) e Regolamento (UE) 2023/1113 sul trasferimento di fondi e cripto-attività (Travel Rule, applicabile dal 30 dicembre 2024). Sul divieto di offerta di ART ed EMT non autorizzati cfr. Comunicazione congiunta Banca d'Italia-Consob del 30 gennaio 2025. Sulla rilocalizzazione dei prestatori di servizi in altre giurisdizioni UE e sul tema del punto di contatto centrale: UIF, Presentazione del Direttore, 16 giugno 2026.

 

[17] P. Angelini, Criptoattività, stablecoin e antiriciclaggio, intervento introduttivo al V Workshop UIF-Bocconi, 28 novembre 2025.

[18] previsione presente nel Genius Act USA ma stranamente assente in MiCAR (cfr Angelini, cit.).

[19] Parafrasato da Angelini, 2026, cit.: the European Union should remain market-friendly towards stablecoin initiatives compliant with EU regulation... retain the flexibility needed to remedy weaknesses and address risks as they emerge.

[20] l'AMLR (Reg. UE 2024/1624, art. 11): Il Single Rulebook si applica dal 10 luglio 2027, generalizza il modello a tutti i soggetti obbligati; quello che oggi è un unicum del settore vigilato diventerà, tra un anno, la regola per l'intero sistema. Dal 2028 l'AMLA, la nuova autorità antiriciclaggio europea con sede a Francoforte eserciterà la vigilanza diretta su un massimo di quaranta gruppi ad alto rischio

[21] J.Q. Wilson, G.L. Kelling, Broken Windows, The Atlantic Monthly, marzo 1982
Autore: Sergio Magarelli
Nominativo
Email
Messaggio
Non verranno pubblicati commenti che:
  • Contengono offese di qualunque tipo
  • Sono contrari alle norme imperative dell’ordine pubblico e del buon costume
  • Contengono affermazioni non provate e/o non provabili e pertanto inattendibili
  • Contengono messaggi non pertinenti all’articolo al quale si riferiscono
  • Contengono messaggi pubblicitari
""
Quindici OnLine - Tutti i diritti riservati. Copyright © 1997 - 2026
Editore Associazione Culturale "Via Piazza" - Viale Pio XI, 11/A5 - 70056 Molfetta (BA) - P.IVA 04710470727 - ISSN 2612-758X
powered by PC Planet