Requisiti KYC per le società: documenti e conformità

I requisiti KYC per le aziende servono a verificare chi sia realmente un’impresa e chi vi stia effettivamente dietro — non solo il nome riportato sul certificato di registrazione. Per qualsiasi istituto finanziario o piattaforma regolamentata che accetti un cliente aziendale, si tratta di un passo obbligatorio, non di una cortesia facoltativa. E la portata di ciò che occorre per farlo correttamente è significativa: si stima che la conformità alle norme KYC costerà agli istituti finanziari statunitensi circa $51,7 miliardi entro il 2028. La presente guida illustra la documentazione richiesta, i quadri normativi di riferimento, gli obblighi di monitoraggio continuo che seguono l’onboarding e le modalità con cui conformità integrata Le infrastrutture sono in grado di assorbire gran parte di tale onere.

Che cos’è il KYC aziendale?

Il KYC aziendale è il processo di verifica dell'identità e della struttura proprietaria di un'azienda prima che questa venga accettata come cliente di un istituto finanziario o di una piattaforma regolamentata. È l'equivalente aziendale del controllo dei documenti d'identità di una persona — con la differenza che in questo caso quella “persona” può essere una holding situata al terzo livello di una struttura societaria.

Il KYC per le persone fisiche e quello per le persone giuridiche risolvono lo stesso problema di fondo, ma il secondo è significativamente più complesso nella pratica. È proprio per questo che il KYC per le persone giuridiche è più complesso di quello per le persone fisiche. Per una persona fisica basta verificare un’unica identità. Per un’azienda, invece, possono esserci:

• Più titolari effettivi, ciascuno dei quali richiede una verifica separata
• Strutture proprietarie articolate su più livelli che coinvolgono diverse entità
• Forme giuridiche diverse a seconda della giurisdizione — una LLC, una plc, una GmbH — ciascuna con i propri standard documentali

Perché questo livello di controllo è così importante? Perché il KYC aziendale è uno degli strumenti principali per prevenire il riciclaggio di denaro e le frodi a livello di entità. Se viene tralasciato o eseguito in modo inadeguato, le sanzioni e il danno reputazionale che ne derivano tendono ad essere gravi, non proporzionati a quanto insignificante potesse sembrare la negligenza in quel momento.

Una cosa che vale la pena sottolineare fin da subito: il processo KYC per un cliente aziendale non è una procedura una tantum da espletare al momento dell’onboarding. Richiede un monitoraggio continuo del conto per tutta la durata del rapporto — un dettaglio che mette in difficoltà le aziende che si aspettano di spuntare la casella una volta sola e andare avanti. Per approfondire come vengono individuate le frodi in particolare dopo l’onboarding, questa panoramica sulla prevenzione delle frodi vale la pena leggerlo insieme a questa guida.

Requisiti legali in materia di KYC aziendale

A livello globale, la maggior parte degli obblighi aziendali in materia di KYC è disciplinata da una serie di quadri normativi:

1. Il Patriot Act degli Stati Uniti — impone agli istituti finanziari di adottare procedure formali di KYC come requisito minimo, non come misura facoltativa. È stato proprio questo quadro normativo a trasformare per la prima volta la verifica dell’identità da “best practice” a requisito legale inderogabile in tutti i servizi finanziari statunitensi.
2. Norma del FinCEN sulla due diligence sui clienti (CDD) — impone specificatamente di identificare i titolari effettivi di una società, non solo la società stessa. Questa è la norma che sta alla base, in modo più diretto, della soglia di partecipazione del 25% che ricorre in tutti i processi KYC aziendali.
3. La legge statunitense sulla trasparenza aziendale — prevede l’obbligo di presentare una rendicontazione dettagliata sulla titolarità effettiva, con scadenza per l'adeguamento fissata al 2024 ciò ha spinto molte imprese a formalizzare i processi di rendicontazione che in precedenza gestivano in modo informale. Le aziende più piccole, in particolare, si sono trovate per la prima volta nella necessità di disporre di registri strutturati relativi alla titolarità effettiva.
4. La sesta direttiva antiriciclaggio dell’UE (6AMLD) — estende le norme antiriciclaggio alle criptovalute e stabilisce specifici obblighi aziendali in materia di KYC in tutti gli Stati membri, colmando le lacune lasciate dalle precedenti direttive antiriciclaggio in materia di asset digitali.
5. Standard del GAFI — stabilite a livello internazionale e utilizzate dalla maggior parte delle giurisdizioni come punto di riferimento per definire le proprie normative locali in materia di KYC. La stessa FATF non impone direttamente alcuna misura, ma le sue raccomandazioni influenzano il modo in cui le autorità di regolamentazione nazionali redigono le proprie norme.
6. L'Autorità di vigilanza finanziaria del Regno Unito (FCA) — definisce i propri obblighi specifici in materia di KYC per gli istituti finanziari che operano nel mercato britannico o che forniscono servizi a tale mercato, in gran parte in linea con i principi del GAFI ma attuati attraverso normative specifiche per il Regno Unito.

Questi quadri normativi variano a seconda della giurisdizione e del settore per quanto riguarda i dettagli specifici, ma convergono su uno stesso requisito fondamentale: verificare l’esistenza legale e verificare la titolarità. Un dettaglio operativo che vale la pena conoscere a prescindere dalla giurisdizione è che le segnalazioni di attività sospette devono generalmente essere presentate entro 30 giorni dall’individuazione, il che impone un limite di tempo rigoroso alla rapidità con cui un team di conformità deve agire non appena si riscontra qualcosa di anomalo. Per ulteriori informazioni su come questi quadri normativi interagiscono nella pratica, questa guida alla conformità nel settore dei servizi finanziari è un'opera complementare molto utile.

Sei pronto a potenziare la tua infrastruttura di pagamento?

Smettila di fare i conti con flussi di pagamento frammentati. Accedi a IBAN dedicati, SEPA Instant e integrazioni API senza soluzione di continuità, il tutto da un’unica piattaforma unificata.

Contatta l'ufficio vendite Scopri i nostri prodotti

Documenti KYC richiesti per le società

Ecco la checklist pratica a cui fanno riferimento la maggior parte dei team di compliance quando si occupa dell’onboarding di un cliente aziendale:

1. Documenti per la costituzione di una società — Certificato di costituzione e statuto societario, a conferma dell’esistenza legale dell’impresa.
2. Codice fiscale — un numero di identificazione fiscale valido per l'ente.
3. Prova della residenza — bollette, estratti conto bancari o corrispondenza ufficiale che confermino la sede effettiva dell’attività.
4. Documentazione relativa alla struttura azionaria — registri degli azionisti e schemi della struttura societaria, particolarmente importanti per le imprese con una struttura proprietaria articolata.
5. Informazioni sulla titolarità effettiva — documento di identità per chiunque possieda almeno 25% della società.
6. Identificazione degli amministratori e dei dirigenti — documenti di identità rilasciati dalle autorità competenti, oltre a un documento che attesti l’indirizzo di residenza delle persone chiave che gestiscono l’attività.
7. Bilancio — richiesto specificatamente per i rapporti ad alto rischio o di alto valore, non per ogni procedura di onboarding.

I documenti costitutivi e la prova di residenza costituiscono la base per ogni cliente aziendale, indipendentemente dal profilo di rischio. Tuttavia, quando un cliente viene segnalato come ad alto rischio, gli standard si inaspriscono notevolmente: entra in gioco una due diligence rafforzata, il che comporta un esame più approfondito che include la documentazione relativa alla provenienza dei fondi e del patrimonio. Si tratta di un processo significativamente più approfondito rispetto alla procedura standard di onboarding, ed è opportuno prevedere in anticipo più tempo a tale scopo, piuttosto che farsi cogliere alla sprovvista nel bel mezzo della verifica.

La qualità dei documenti è importante tanto quanto la loro quantità. Un registro degli azionisti non aggiornato da un anno o un atto costitutivo di un’entità che nel frattempo è stata ristrutturata possono bloccare il processo di onboarding con la stessa efficacia di un documento mancante: i team addetti alla conformità tendono a respingere i documenti obsoleti con la stessa prontezza con cui respingono quelli mancanti, poiché entrambi rendono poco chiaro il quadro effettivo della proprietà.

I 5 elementi principali del KYC per le aziende

Allargando la prospettiva, il processo di KYC aziendale si articola in cinque elementi distinti:

1. Programma di identificazione dei clienti — verificare l’effettiva esistenza legale dell’azienda, attraverso i documenti costitutivi e i registri ufficiali. Si tratta del passo fondamentale su cui si basa tutto il resto; se si commette un errore nell’identificazione giuridica dell’entità, ogni verifica successiva risulta compromessa.
2. Verifica della clientela — valutare il rischio connesso alla relazione, tenendo conto del settore, dell’area geografica e del tipo di operazioni previste. Le valutazioni del rischio devono in particolare considerare congiuntamente sia i fattori geografici che quelli settoriali, non solo l’uno o l’altro: un settore a basso rischio in una giurisdizione ad alto rischio richiede comunque un controllo più approfondito.
3. Due diligence rafforzata — un livello di controllo più approfondito riservato ai clienti ad alto rischio, che comprende la verifica della provenienza dei fondi e il controllo incrociato con gli elenchi delle persone politicamente esposte (PEP). È proprio in questa fase che si concentra la maggior parte del tempo e dei costi legati al processo KYC aziendale.
4. Verifica della titolarità effettiva — identificare i proprietari effettivi dell’azienda, in particolare chiunque detenga una quota pari o superiore a 25%. Questo è spesso l’aspetto più difficile da chiarire in modo definitivo, vista la complessità delle strutture societarie.
5. Monitoraggio continuo — monitoraggio continuo delle transazioni finanziarie, poiché la conformità alle norme KYC non termina con la conclusione della procedura di onboarding. Un cliente che all’atto dell’onboarding appariva a basso rischio può comunque assumere un profilo di rischio più elevato mesi dopo, a seguito di cambiamenti nella propria attività.

Ciascuna di queste attività svolge un ruolo ben definito, ma non si tratta di fasi sequenziali che, una volta completate, vengono archiviate: molte di esse, in particolare la due diligence e il monitoraggio continuo, si svolgono in parallelo per tutta la durata del rapporto con il cliente.

È richiesto il KYC per le piccole imprese?

Sì — e questo coglie di sorpresa molti titolari di piccole imprese. I requisiti KYC si applicano alle aziende di qualsiasi dimensione quando aprono conti o accedono a servizi finanziari regolamentati. Il livello di controllo varia in base al rischio, non alle sole dimensioni dell’azienda.

In pratica, ciò significa che:

• Le piccole imprese sono generalmente soggette a una procedura standard di verifica della clientela, non a una procedura rafforzata, a meno che non operino in un settore o in una giurisdizione ad alto rischio
• La legge statunitense sulla trasparenza societaria (Corporate Transparency Act) e la norma CDD del FinCEN si applicano alle piccole imprese esattamente allo stesso modo in cui si applicano alle grandi società per quanto riguarda la segnalazione dei titolari effettivi
• Le dimensioni non esentano un'azienda da tale procedura: di solito comportano semplicemente un approccio meno rigoroso

Anche una società di consulenza composta da due persone che apre un conto aziendale sarà comunque sottoposta alla verifica della titolarità effettiva. Semplicemente, in genere ciò non comporterà la richiesta della documentazione relativa alla provenienza dei fondi, come invece avverrebbe per un’impresa ad alto rischio. Per ulteriori informazioni su come ciò si concretizzi direttamente con gli istituti finanziari, questa rassegna delle app di online banking è una lettura utile per i titolari di piccole imprese che stanno valutando le diverse opzioni.

Verifica della titolarità effettiva nell’ambito del KYC aziendale

È proprio qui che il KYC aziendale diventa davvero complesso, e merita una sezione a sé stante piuttosto che un semplice punto elencato sepolto altrove.

Il requisito fondamentale consiste nell’identificare i titolari effettivi finali, ovvero chiunque detenga una quota pari o superiore a 25% dell’entità. La norma CDD del FinCEN lo impone direttamente negli Stati Uniti, mentre le direttive antiriciclaggio dell’UE stabiliscono soglie e requisiti molto simili in tutti gli Stati membri.

Ciò che rende difficile tutto questo nella pratica è la struttura. Gli schemi a più livelli — holding che controllano altre holding, trust, azionisti prestanome che sostituiscono il vero proprietario — possono trasformare quella che dovrebbe essere una semplice verifica della proprietà in un’indagine davvero dispendiosa in termini di tempo. Non è raro che un team addetto alla conformità debba risalire alla proprietà attraverso tre o quattro entità intermedie prima di arrivare alla persona effettiva.

È proprio in questo tipo di complessità che l’apprendimento automatico ha iniziato a dimostrare il proprio valore: l’individuazione di schemi ricorrenti all’interno delle strutture aziendali viene ora utilizzata per segnalare configurazioni proprietarie che un analista umano impiegherebbe molto più tempo a districare manualmente.

Un altro aspetto che vale la pena integrare in qualsiasi processo: la proprietà non è statica. I cambiamenti nella proprietà o nella gestione comportano una nuova verifica completa dei dati KYC, non solo un aggiornamento del fascicolo. Un’azienda che viene acquisita o che accoglie un nuovo azionista di maggioranza azzerano il conteggio dei tempi di verifica — e per un’analisi più approfondita di come l’abuso della proprietà si manifesti specificamente nella criminalità finanziaria, questo articolo sul money muling è una lettura complementare utile.

Monitoraggio continuo nel KYC aziendale

La procedura iniziale di onboarding rappresenta la parte visibile del processo KYC aziendale. Il monitoraggio continuo è invece la parte che garantisce effettivamente il funzionamento del programma di conformità nel tempo — ed è proprio quella in cui, più spesso, si investe meno del necessario.

Gli obblighi fondamentali in questo contesto sono i seguenti:

1. Monitoraggio continuo dei conti — Il KYC non è una procedura una tantum; richiede un’attenzione costante per tutta la durata del rapporto, non una singola verifica al momento della registrazione.
2. Aggiornamenti regolari del profilo — I profili KYC devono essere aggiornati periodicamente, non devono rimanere un insieme di documenti congelato al momento dell’onboarding.
3. Monitoraggio delle transazioni — Gli istituti finanziari devono monitorare costantemente le attività sospette, non limitandosi a una revisione trimestrale programmata.
4. Condizioni che attivano la reverifica — qualsiasi cambiamento nella proprietà o nella gestione azzerano i tempi e richiedono un nuovo ciclo di verifica.
5. Scadenze per la presentazione delle relazioni — Le segnalazioni di attività sospette devono essere presentate entro 30 giorni dalla loro individuazione; si tratta di una scadenza inderogabile che non può essere prorogata a causa di ritardi dovuti a procedure interne.
6. Conservazione dei documenti — I documenti relativi alla verifica dell’identità (KYC) devono generalmente essere conservati per cinque anni dalla chiusura del conto, non per cinque anni dalla data di apertura dello stesso.

Se condotto correttamente, il monitoraggio continuo non è solo una formalità da spuntare per adempiere agli obblighi di conformità: è davvero il modo in cui è possibile individuare i rischi in evoluzione in un rapporto con il cliente prima che diventino un problema più grave. Le aziende che lo considerano un aspetto secondario sono solitamente le stesse che, mesi dopo, vengono colte di sorpresa da una verifica che segnala un rapporto che ritenevano fosse stato definito in fase di onboarding e mai più riesaminato.

Come la tecnologia sta trasformando la conformità KYC nelle aziende

Il processo manuale di KYC aziendale non è facilmente scalabile, e i dati sui costi lo confermano: la conformità alle norme KYC costa in media circa $60 milioni all’anno alle banche. Questa cifra, da sola, spiega perché l’automazione sia passata dall’essere un “plus” a diventare, di fatto, una pratica standard.

Alcuni cambiamenti specifici che vale la pena conoscere:

• Controlli automatizzati tramite IA ridurre gli errori manuali che in passato sfuggivano al controllo umano
• Onboarding automatizzato accelera notevolmente il processo rispetto alla raccolta e alla revisione manuale dei documenti
• Segnalazione delle anomalie in tempo reale individua i problemi man mano che si verificano, anziché nel corso di un audit periodico
• Video KYC utilizza l'intelligenza artificiale per la verifica istantanea dei documenti, riducendo in molti casi i tempi di registrazione da giorni a minuti
• Rilevamento di modelli tramite apprendimento automatico gestisce esattamente la complessità della proprietà a più livelli descritta sopra, a una velocità che nessun processo manuale può eguagliare

Nessuna di queste tecnologie sostituisce completamente il giudizio umano: un’analisi approfondita di una struttura proprietaria realmente complessa trae ancora vantaggio dall’occhio esperto di un analista. L’automazione serve a eliminare il lavoro ripetitivo e di grande volume, in modo che l’attenzione umana possa concentrarsi sui casi che ne hanno effettivamente bisogno.

La piattaforma di ConnectPay integra questa funzionalità direttamente nella propria infrastruttura: i requisiti AML e KYC vengono gestiti come parte integrante della piattaforma stessa, il che significa che le aziende e le piattaforme finanziarie che utilizzano ConnectPay adempiono agli obblighi aziendali in materia di KYC senza dover creare da zero un’infrastruttura di verifica. Si tratta di un punto di partenza significativamente diverso rispetto a gestione della conformità come servizio aggiuntivo superposto in modo goffo su una piattaforma generica. Si può notare come il piattaforma ConnectPay completa si occupa di tutto, dall'inizio alla fine.