Regolamento (UE) 2024/1624

Oggetto e struttura del regolamento

L’articolo 1 stabilisce tre blocchi normativi: misure che i soggetti obbligati devono applicare per prevenire riciclaggio e finanziamento del terrorismo; obblighi di trasparenza della titolarità effettiva per soggetti giuridici, trust espressi e istituti giuridici affini; misure per limitare l’abuso di strumenti anonimi.

Definizioni chiave

L’articolo 2 definisce riciclaggio, finanziamento del terrorismo, attività criminosa, fondi o beni, ente creditizio, ente finanziario, cripto-attività, servizi e prestatori di servizi per le cripto-attività, gruppi, titolare effettivo, trust espresso, istituto giuridico, persone politicamente esposte, sanzioni finanziarie mirate, sanzioni finanziarie ONU e ONU per la proliferazione, beni di valore elevato e partenariato per la condivisione delle informazioni.

Soggetti obbligati e principali esclusioni

L’articolo 3 individua i soggetti obbligati, includendo oltre al settore bancario e finanziario numerose categorie professionali e commerciali. Sono rilevanti, tra le altre, le attività notarili e forensi in operazioni finanziarie o immobiliari, i prestatori di servizi societari e fiduciari, gli operatori immobiliari, i commercianti di metalli/pietre preziosi e di beni di valore elevato, i prestatori di gioco d’azzardo, crowdfunding, credito, migrazione degli investimenti e calcio professionistico. L’articolo 3 chiarisce anche che taluni intermediari assicurativi non sono soggetti obbligati se non gestiscono fondi e operano sotto la responsabilità di imprese o intermediari assicurativi.

Esenzioni nazionali limitate per gioco d’azzardo, calcio e attività finanziarie occasionali

Gli articoli 4, 5 e 6 consentono esenzioni solo in presenza di basso rischio comprovato e sotto controllo della Commissione. Per il gioco d’azzardo sono escluse case da gioco e attività online/scommesse sportive, salvo specifiche forme gestite o disciplinate dallo Stato. Per le società calcistiche professionistiche l’esenzione può riguardare solo club a basso rischio; per la massima divisione il fatturato annuo dei due anni precedenti deve essere inferiore a 5.000.000 EUR. Per talune attività finanziarie occasionali o su scala molto limitata l’esenzione richiede, tra l’altro, fatturato accessorio, limite operativo non superiore a 1.000 EUR per cliente e operazione, e attività non principale. L’articolo 7 impone la notifica preventiva alla Commissione e la pubblicazione annuale delle esenzioni.

Operazioni transfrontaliere e applicazione del diritto nazionale

L’articolo 8 disciplina la notifica ai supervisori dello Stato membro d’origine quando il soggetto obbligato intende operare per la prima volta in un altro Stato membro, con preavviso di almeno tre mesi per gli stabilimenti. Le attività devono conformarsi, a seconda dei casi, alle norme dello Stato membro ospitante o a quelle dello Stato di stabilimento, e il punto di contatto centrale deve garantire il rispetto della disciplina applicabile.

Politiche, procedure e controlli interni

Gli articoli 9-13 impongono un sistema interno strutturato, scritto e approvato a livello dirigenziale, comprensivo di valutazione del rischio, adeguata verifica, segnalazioni, esternalizzazione, conservazione dati, formazione, controlli indipendenti, verifica dell’onorabilità del personale e gestione dei conflitti di interesse. L’AMLA deve emanare orientamenti e norme tecniche, in particolare entro il 10 luglio 2026, su contenuto minimo, portata e organizzazione dei controlli interni e sulle funzioni di compliance.

Obblighi a livello di gruppo

L’articolo 16 richiede che l’impresa madre assicuri l’applicazione uniforme di politiche, procedure, controlli, valutazione del rischio e condivisione delle informazioni in tutto il gruppo, comprese succursali e filiazioni nell’Unione e, se la sede è nell’UE, anche nei paesi terzi. Sono previste norme per gruppi con sede fuori UE, gruppi complessi e strutture equivalenti, con interventi tecnici dell’AMLA e poteri delegati alla Commissione. L’articolo 17 impone misure supplementari per succursali e filiazioni in paesi terzi quando il diritto locale non consente il rispetto delle regole UE.

Esternalizzazione e ricorso a terzi

L’articolo 18 consente l’esternalizzazione di taluni compiti AML/CFT, ma la responsabilità resta integralmente in capo al soggetto obbligato. Non possono essere esternalizzate le decisioni chiave su valutazione del rischio, politiche interne, profilo di rischio del cliente, avvio del rapporto, segnalazioni sospette e criteri di rilevazione. Sono previsti limiti specifici per paesi terzi e un regime particolare per organismi di investimento collettivo in casi tassativi.

Adeguata verifica della clientela: quando si applica

L’articolo 19 elenca i casi di applicazione della CDD: instaurazione del rapporto d’affari, operazioni occasionali pari o superiori a 10.000 EUR, creazione di soggetti/istituti giuridici, sospetto di riciclaggio o finanziamento del terrorismo, dubbi sui dati identificativi o sulla qualità del cliente/intermediario. Sono previste soglie specifiche per trasferimenti di fondi, cripto-attività, contante e gioco d’azzardo. L’articolo indica anche quali soggetti devono essere considerati clienti in operazioni particolari (ad esempio, entrambe le parti nell’atto notarile o immobiliare, il commerciante nei servizi di payment order, il titolare del progetto nel crowdfunding).

Misure standard di adeguata verifica

L’articolo 20 impone l’identificazione e verifica del cliente, dei titolari effettivi, dello scopo e natura del rapporto, del controllo su sanzioni finanziarie mirate, della natura dell’attività, del monitoraggio continuo e dell’individuazione di PEP, familiari e soggetti con stretti legami. La portata delle misure è determinata con approccio basato sul rischio, tenendo conto di variabili e fattori indicati negli allegati I-III. L’AMLA deve emanare orientamenti entro il 10 luglio 2026.

Mancata applicazione della CDD

L’articolo 21 impone di non avviare o cessare il rapporto se la CDD non può essere eseguita, valutando anche l’eventuale segnalazione alla FIU. Sono previste eccezioni e cautele per professionisti legali, revisori e consulenti fiscali quando operano nell’ambito di difesa, rappresentanza o esame della posizione giuridica del cliente. Devono essere conservate le registrazioni delle decisioni e delle motivazioni.

Identificazione di cliente, titolare effettivo e soggetti collegati

L’articolo 22 elenca le informazioni minime da raccogliere per persone fisiche, soggetti giuridici, trust e altre organizzazioni; disciplina i mezzi di identificazione, inclusi mezzi elettronici conformi al regolamento eIDAS; impone verifiche sul titolare effettivo tramite documenti, fonti affidabili e registri centrali; e regola casi particolari come IBAN virtuali, trust discrezionali e beneficiari determinati per classi.

Tempistica della verifica e registri dei titolari effettivi

L’articolo 23 stabilisce che la verifica identitaria avvenga, di regola, prima dell’instaurazione del rapporto o dell’operazione, con deroghe limitate per basso rischio o per l’apertura di conti bancari/finanziari prima dell’esecuzione. Per nuovi rapporti con soggetti giuridici o trustee va acquisita prova di registrazione nel registro centrale dei titolari effettivi.

Difformità tra registri e informazioni acquisite

L’articolo 24 obbliga a comunicare senza indebito ritardo, e comunque entro 14 giorni, le difformità tra registro centrale e dati acquisiti in CDD, salvo errori meramente materiali o dati obsoleti senza sospetti. In caso di mancato aggiornamento del cliente, il soggetto obbligato comunica la difformità al registro centrale. Le eccezioni per il privilegio legale sono preservate.

Scopo e natura del rapporto e controllo costante

L’articolo 25 impone di comprendere lo scopo e la natura prevista del rapporto o dell’operazione, ottenendo se necessario dati su motivazione economica, importo, origine e destinazione dei fondi, attività o professione del cliente. L’articolo 26 prevede controllo costante del rapporto, aggiornamento dei dati entro un massimo di 1 anno per clienti ad alto rischio e 5 anni per gli altri, più aggiornamenti straordinari in caso di cambiamenti rilevanti o obblighi fiscali. Il controllo comprende anche la verifica periodica delle condizioni di applicazione delle sanzioni finanziarie mirate.

Misure temporanee per sanzioni ONU

L’articolo 27 prevede la conservazione delle registrazioni di fondi, tentativi di operazione e operazioni eseguite per clienti colpiti da sanzioni finanziarie delle Nazioni Unite, nel periodo compreso tra la pubblicazione delle sanzioni ONU e l’entrata in applicazione delle corrispondenti sanzioni UE.

Norme tecniche sulla CDD

L’articolo 28 incarica l’AMLA di proporre norme tecniche di regolamentazione sui contenuti minimi della CDD, sulle misure semplificate, sugli strumenti di moneta elettronica esentabili, sulle fonti affidabili per la verifica e sugli attributi dei mezzi di identificazione elettronica. La Commissione le adotta tramite atti delegati.

Paesi terzi ad alto rischio, a carenze di conformità o con minacce specifiche

Gli articoli 29-32 disciplinano l’identificazione dei paesi terzi ad alto rischio, dei paesi terzi con carenze di conformità e dei paesi terzi che rappresentano una minaccia specifica e grave per il sistema finanziario UE. La Commissione interviene con atti delegati, tenendo conto del GAFI e delle valutazioni AMLA, e può imporre contromisure o misure rafforzate specifiche; gli Stati membri possono imporre misure aggiuntive in casi specifici, con notifica alla Commissione.

Orientamenti sui rischi esterni all’Unione

L’articolo 32 impone all’AMLA di pubblicare entro il 10 luglio 2027 orientamenti su rischi, tendenze e metodi di riciclaggio/finanziamento del terrorismo relativi ad aree geografiche esterne all’Unione, aggiornandoli almeno ogni due anni.

Misure semplificate di adeguata verifica

L’articolo 33 consente, in situazioni a basso rischio, misure semplificate come verifica differita entro 60 giorni, minore frequenza degli aggiornamenti, raccolta ridotta di informazioni sullo scopo/natura e controllo meno intenso. Sono previste condizioni di sistema e divieti di utilizzo se emergono dubbi, rischi o sospetti di elusione delle sanzioni finanziarie mirate.

Misure rafforzate di adeguata verifica

L’articolo 34 richiede misure rafforzate nei casi di paesi terzi ad alto rischio o con carenze di conformità, in altre situazioni ad alto rischio e in presenza di specifici fattori indicativi. Le misure possono includere informazioni supplementari su cliente/titolare effettivo, origine dei fondi e del patrimonio, approvazione dell’alta dirigenza, controllo rafforzato e primo pagamento tramite conto intestato al cliente. Per i servizi su misura ad alta ricchezza sono previste misure speciali quando il cliente detiene almeno 50.000.000 EUR di asset e il rapporto coinvolge almeno 5.000.000 EUR. Gli Stati membri possono imporre misure rafforzate ulteriori in casi specifici.

Contromisure per minacce provenienti dall’esterno dell’Unione

L’articolo 35 elenca possibili contromisure: requisiti aggiuntivi di CDD, segnalazione rafforzata o sistematica, limitazioni di rapporti e operazioni, restrizioni alla costituzione di succursali/filiazioni o uffici di rappresentanza, maggiori controlli e revisione dei rapporti di corrispondenza.

Rapporti di corrispondenza transfrontalieri bancari e cripto

L’articolo 36 richiede per i rapporti di corrispondenza con enti rispondenti di paesi terzi raccolta di informazioni, valutazione dei controlli AML/CFT, autorizzazione dell’alta dirigenza, definizione delle responsabilità e presidi per i conti di passaggio. L’articolo 37 prevede un regime specifico per i rapporti di corrispondenza in servizi cripto con controparti extra-UE, con obbligo di verificare autorizzazione/registrazione del soggetto rispondente e aggiornamento continuo della due diligence. L’AMLA deve emanare orientamenti entro il 10 luglio 2027.

Misure specifiche su singoli enti rispondenti di paesi terzi

L’articolo 38 prevede raccomandazioni AMLA e misure conseguenti per enti rispondenti esteri con violazioni gravi, ripetute o sistematiche o con controlli interni inadeguati. Gli enti creditizi/finanziari devono riesaminare i rapporti, astenersi dall’avvio o cessarli salvo mitigazione adeguata e documentare le decisioni.

Divieto di rapporti con enti di comodo e controlli sugli indirizzi auto-ospitati

L’articolo 39 vieta rapporti di corrispondenza con enti di comodo e impone controlli per evitare uso dei conti da parte di tali entità. L’articolo 40 impone ai prestatori di servizi per le cripto-attività di valutare i rischi connessi agli indirizzi auto-ospitati e di adottare misure di mitigazione, come identificazione del cedente/beneficiario, informazioni aggiuntive, monitoraggio rafforzato e altre misure per evitare anche l’evasione di sanzioni mirate.

Programmi per investitori e persone politicamente esposte

L’articolo 41 impone misure rafforzate minime per i cittadini di paesi terzi che chiedono soggiorno in cambio di investimenti. L’articolo 42 richiede per le PEP autorizzazione dell’alta dirigenza, verifica dell’origine del patrimonio e dei fondi e controllo rafforzato continuativo. Gli articoli 43-46 disciplinano l’elenco delle cariche pubbliche, i beneficiari di polizze assicurative, il periodo minimo di 12 mesi dopo la cessazione della carica e l’estensione ai familiari e ai soggetti con stretti legami.

Settore assicurativo vita e investimenti

L’articolo 47 impone di identificare i beneficiari delle polizze vita o di altre assicurazioni legate a investimenti e, se del caso, i loro titolari effettivi, al momento del pagamento o della cessione.

Ricorso ad altri soggetti obbligati

Gli articoli 48-50 consentono di fare affidamento su altro soggetto obbligato per la CDD, anche nel gruppo, purché vi siano condizioni equivalenti, supervisione e disponibilità tempestiva dei dati. La responsabilità finale resta del soggetto che si avvale dell’altro soggetto obbligato. L’AMLA deve adottare orientamenti sulle condizioni del ricorso a terzi entro il 10 luglio 2027.

Trasparenza della titolarità effettiva: principi generali

Gli articoli 51-62 definiscono la titolarità effettiva per soggetti giuridici, trust espressi, istituti giuridici affini e organismi di investimento collettivo. Regola generale è la soglia del 25% delle azioni, dei diritti di voto o di altra partecipazione, o il controllo con altri mezzi. Sono previste regole per catene a più livelli, soglie inferiori per categorie ad alto rischio, definizione di controllo, trust discrezionali, beneficiari potenziali e di default, e requisiti di contenuto minimo delle informazioni da raccogliere (dati anagrafici completi, residenza, cittadinanza, documenti, natura e ampiezza dell’interesse, assetto proprietario/di controllo, classe di beneficiari, ecc.).

Obblighi di registrazione e aggiornamento

Gli articoli 63 e 64 impongono ai soggetti giuridici e ai trustee di ottenere, mantenere, aggiornare e registrare le informazioni sulla titolarità effettiva entro 28 giorni dalla costituzione o da ogni cambiamento, con aggiornamento almeno annuale. Devono essere conservate le tracce delle azioni compiute per identificare il titolare effettivo, e in caso di impossibilità possono essere registrati i dirigenti di alto livello come misura di ultima istanza, con motivazione e documentazione.

Fiduciari, soggetti giuridici stranieri e sanzioni sulla titolarità effettiva

L’articolo 66 impone agli azionisti fiduciari e amministratori fiduciari di comunicare fiduciante e titolare effettivo del fiduciante; l’articolo 67 estende gli obblighi ai soggetti giuridici stranieri e ai trust/istituti giuridici esteri che instaurano rapporti d’affari, acquistano immobili o determinati beni di elevato valore, o partecipano a gare pubbliche nell’UE. Sono previsti termini di trasmissione e, per i soggetti esteri già esistenti al 10 luglio 2027, l’obbligo di trasmissione entro il 10 gennaio 2028 salvo eccezioni. L’articolo 68 impone sanzioni nazionali effettive, proporzionate e dissuasive, da notificare alla Commissione entro il 10 gennaio 2025.

Segnalazione delle operazioni sospette e astensione

L’articolo 69 impone la segnalazione alla FIU di qualsiasi sospetto, anche tentato, senza soglia di importo, e la risposta tempestiva alle richieste di informazioni; le FIU possono imporre termini anche inferiori a 24 ore in casi urgenti. L’AMLA deve adottare entro il 10 luglio 2026 norme tecniche sul formato di segnalazione e, entro il 10 luglio 2027, orientamenti sugli indicatori sospetti. L’articolo 71 richiede di non eseguire l’operazione prima della segnalazione, salvo esecuzione per ragioni eccezionali e salvo diverse istruzioni FIU. L’articolo 72 tutela la buona fede del segnalante; l’articolo 73 vieta la comunicazione al cliente o a terzi, con limitate eccezioni per gruppo, professione legale e indagini.

Segnalazioni basate su soglia per beni di valore elevato

L’articolo 74 impone ai commercianti di beni di valore elevato e agli enti creditizi/finanziari che agevolano l’acquisto/trasferimento di tali beni di segnalare alla FIU operazioni relative alla vendita di veicoli a motore, natanti e aeromobili acquistati a fini non commerciali sopra determinate soglie (250.000 EUR per i veicoli, 7.500.000 EUR per natanti e aeromobili).

Condivisione delle informazioni

Gli articoli 75-75 prevedono i partenariati per la condivisione delle informazioni, consentendo scambi limitati e necessari tra soggetti obbligati e, se del caso, autorità competenti, con approvazione preventiva dei supervisori, valutazione d’impatto GDPR, restrizioni su contenuti, trasmissione ulteriore, uso di pseudonimizzazione e limiti stringenti per i dati sui sospetti. L’accesso ai servizi finanziari di base non può essere negato sulla sola base delle informazioni scambiate nel partenariato.

Protezione dei dati e conservazione

L’articolo 76 consente il trattamento di categorie particolari di dati e dati relativi a condanne e reati solo nei limiti strettamente necessari, con adeguate garanzie e divieto di uso commerciale. È ammesso il ricorso a processi automatizzati e IA solo con intervento umano significativo e con diritto del cliente a spiegazione e contestazione, salvo la segnalazione sospetta. L’articolo 77 prevede conservazione per 5 anni dalla cessazione del rapporto o dall’operazione/rifiuto, con possibili proroghe fino a 5 anni su richiesta dell’autorità competente e regola la conservazione di documenti relativi a procedimenti pendenti al 10 luglio 2027. L’articolo 78 impone sistemi per rispondere rapidamente e in modo riservato alle richieste delle autorità.

Strumenti anonimi e limiti ai pagamenti in contanti

L’articolo 79 vieta conti anonimi, cassette di sicurezza anonime, conti cripto anonimi e conti che anonimizzano o offuscano le operazioni; vieta l’uso di carte prepagate anonime emesse in paesi terzi salvo casi di basso rischio e regole tecniche; impone la conversione o il deposito delle azioni al portatore entro il 10 luglio 2029, con sospensione dei diritti e annullamento al 10 luglio 2030 per quelle non regolarizzate, salvo società quotate o con titoli dematerializzati. L’articolo 80 fissa un limite generale di 10.000 EUR per i pagamenti in contanti tra operatori economici, con possibilità per gli Stati membri di imporre limiti inferiori; esclusi i pagamenti tra privati non professionali e i pagamenti/depositi presso istituti finanziari, che se sopra soglia devono essere segnalati alla FIU.

Cooperazione con EPPO e OLAF

Gli articoli 81-84 disciplinano il flusso di informazioni dalle FIU all’EPPO e all’OLAF e viceversa, con obblighi di risposta tempestiva, possibile rinvio o rifiuto se sono compromesse indagini o riservatezza, e con il supporto di norme tecniche di attuazione sul formato di comunicazione.

Potere delegato, comitato e riesami della Commissione

L’articolo 85 conferisce alla Commissione deleghe permanenti per numerose materie, tra cui paesi terzi, contromisure, situazioni ad alto rischio, cariche pubbliche, soglie di titolarità effettiva e sanzioni; sono previsti termini di obiezione di 1 o 3 mesi a seconda della materia. L’articolo 86 istituisce il comitato AML/CFT. L’articolo 87 impone una revisione generale entro il 10 luglio 2032 e poi ogni tre anni; l’articolo 88 prevede relazioni entro il 10 luglio 2030 su possibili future estensioni o modifiche, inclusi soglie di titolarità effettiva, beni di valore elevato e limite ai contanti.

Entrata in vigore e applicazione

L’articolo 90 dispone l’entrata in vigore il ventesimo giorno successivo alla pubblicazione e l’applicazione generale dal 10 luglio 2027, con rinvio al 10 luglio 2029 per agenti calcistici e società calcistiche professionistiche. Il regolamento è direttamente applicabile in tutti gli Stati membri.