Regolamento (UE) 2019/758

Regolamento delegato (UE) 2019/758: misure supplementari antiriciclaggio nei paesi terzi

Il regolamento integra la direttiva (UE) 2015/849 definendo un insieme di misure minime e supplementari che gli enti creditizi e gli istituti finanziari devono adottare quando operano tramite succursali o filiazioni controllate a maggioranza in paesi terzi. La disciplina risponde al problema degli ostacoli giuridici locali che possono impedire l’applicazione coerente delle politiche di gruppo in materia di prevenzione del riciclaggio e del finanziamento del terrorismo.

Finalità e contesto normativo

Dai considerando emerge che l’obiettivo è garantire una risposta uniforme a livello dell’Unione nei casi in cui leggi straniere, ad esempio in materia di protezione dei dati o segreto bancario, limitino l’accesso, il trattamento o la condivisione delle informazioni necessarie al controllo antiriciclaggio. Il regolamento vuole assicurare che il gruppo mantenga una gestione del rischio efficace e dimostrabile verso l’autorità competente, lasciando impregiudicati i poteri di vigilanza supplementare dello Stato membro d’origine e le misure rafforzate previste per i paesi terzi ad alto rischio ai sensi dell’articolo 9 della direttiva (UE) 2015/849.

Ambito soggettivo e oggettivo

La disciplina si applica agli enti creditizi e agli istituti finanziari che abbiano, o intendano avere, succursali o filiazioni controllate a maggioranza in paesi terzi. Il regolamento interviene quando il diritto del paese terzo impedisce o limita l’attuazione, a livello di gruppo, delle politiche e procedure antiriciclaggio e di contrasto al finanziamento del terrorismo previste dall’articolo 45, paragrafi 1 e 3, della direttiva (UE) 2015/849.

Obblighi generali per ciascun paese terzo

Per ogni paese terzo interessato, gli intermediari devono almeno:

• valutare il rischio di riciclaggio e finanziamento del terrorismo a cui è esposto il gruppo;
• registrare, aggiornare e conservare la valutazione per poterla condividere con l’autorità competente;
• integrare tale rischio nelle politiche e procedure di gruppo;
• ottenere l’autorizzazione dell’alta dirigenza di gruppo;
• garantire formazione mirata ed efficace al personale locale sui segnali di rischio.

Gestione delle limitazioni all’accesso alle informazioni e uso del consenso

Quando il paese terzo vieta o limita l’individuazione e la valutazione del rischio per un rapporto d’affari o un’operazione occasionale, perché ostacola l’accesso o l’uso di informazioni su clienti e titolari effettivi, il gruppo deve comunicare il caso all’autorità competente dello Stato membro d’origine entro 28 giorni di calendario dall’individuazione del paese terzo. Deve inoltre verificare se il consenso del cliente, e ove applicabile del titolare effettivo, possa legittimamente superare la restrizione e richiedere tale consenso nella misura consentita dal diritto locale.

Se il consenso non è ottenibile, devono essere adottate misure supplementari di gestione del rischio; se neppure tali misure sono sufficienti, la struttura nel paese terzo deve cessare il rapporto d’affari, non eseguire l’operazione occasionale oppure, in tutto o in parte, cessare l’operatività locale. La portata delle misure deve essere proporzionata al rischio e difendibile davanti all’autorità competente.

Condivisione interna dei dati dei clienti

L’articolo 4 disciplina i casi in cui il diritto del paese terzo impedisce o limita la circolazione, all’interno del gruppo, dei dati dei clienti per finalità antiriciclaggio. Anche qui è richiesta la comunicazione all’autorità competente entro 28 giorni e la verifica del possibile ricorso al consenso. In mancanza di consenso, devono essere adottate misure supplementari di gestione del rischio, tra cui almeno una delle misure dell’articolo 8, lettera a) o c), e, se il rischio lo richiede, ulteriori misure tra quelle previste dall’articolo 8, lettere da a) a c). Se il rischio permane non gestibile, l’operatività nel paese terzo deve cessare parzialmente o totalmente.

Comunicazione di operazioni sospette e flussi informativi verso la direzione

Quando il paese terzo impedisce la condivisione, con gli altri soggetti del gruppo, delle informazioni di cui all’articolo 33, paragrafo 1, della direttiva (UE) 2015/849, la struttura locale deve informare l’autorità competente entro 28 giorni e trasmettere all’alta dirigenza del gruppo i dati necessari per valutare il rischio, inclusi almeno il numero di segnalazioni di operazioni sospette e dati statistici aggregati sulle circostanze che le hanno generate.

In aggiunta alle normali misure antiriciclaggio, occorre adottare misure supplementari tra quelle dell’articolo 8, lettere da a) a c) e da g) a i). Se ciò non basta, deve cessare l’operatività locale, in tutto o in parte.

Trasferimento dei dati ai fini di vigilanza

L’articolo 6 affronta il caso in cui il diritto del paese terzo vieti o limiti il trasferimento dei dati dei clienti verso uno Stato membro ai fini della vigilanza antiriciclaggio. Oltre alla comunicazione entro 28 giorni, il gruppo deve effettuare verifiche rafforzate, comprese ispezioni in loco o audit indipendenti quando proporzionati al rischio, per verificare che la succursale o filiazione applichi effettivamente le politiche di gruppo e gestisca correttamente i rischi.

Su richiesta, i risultati di tali verifiche devono essere comunicati all’autorità competente. Inoltre, la struttura locale deve inviare periodicamente alla direzione informazioni rilevanti, almeno sul numero di clienti ad alto rischio, sulle motivazioni della classificazione e sulle operazioni sospette individuate e segnalate; tali informazioni devono essere rese disponibili all’autorità competente su richiesta.

Conservazione dei documenti

Quando il paese terzo impedisce l’applicazione di misure di conservazione documentale equivalenti a quelle del capo V della direttiva (UE) 2015/849, il regolamento richiede una comunicazione all’autorità competente entro 28 giorni, la verifica della possibilità di usare il consenso per superare la restrizione e, se possibile, la richiesta di tale consenso. Se il consenso non è ottenibile, devono essere adottate misure supplementari, tra cui una o più misure dell’articolo 8, lettere da a) a c) e j), calibrate sul rischio.

Catalogo delle misure supplementari

L’articolo 8 contiene l’elenco delle misure supplementari utilizzabili nei diversi scenari:

• limitare l’offerta a prodotti e servizi finanziari a basso rischio;
• impedire agli altri soggetti del gruppo di fare affidamento sull’adeguata verifica svolta dalla struttura nel paese terzo;
• effettuare verifiche rafforzate, incluse ispezioni in loco o audit indipendenti;
• subordinare i rapporti o le operazioni ad alto rischio all’autorizzazione dell’alta dirigenza;
• identificare origine e, se del caso, destinazione dei fondi;
• rafforzare il monitoraggio continuo del rapporto e delle operazioni;
• condividere le informazioni alla base delle segnalazioni di operazioni sospette;
• sottoporre a monitoraggio continuo e rafforzato i clienti già segnalati da altri soggetti del gruppo;
• dotare le strutture locali di sistemi e controlli efficaci per individuare e segnalare operazioni sospette;
• conservare in modo sicuro, aggiornato e per il periodo più lungo consentito dalla legge, comunque almeno per la durata del rapporto, il profilo di rischio e le informazioni di adeguata verifica.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 3 settembre 2019. È direttamente applicabile in tutti gli Stati membri e non richiede misure di recepimento.