Di Antonio Pezzuto, ex Dirigente della Banca d’Italia
Il 14 novembre 2024 l’Autorità bancaria europea (European Banking Authority, EBA) ha pubblicato gli Orientamenti in materia di politiche, procedure e controlli interni (Guidelines on Internal Policies, Procedures and Controls to Ensure the Implementation of Union and National Restrictive measures), al fine di garantire l’attuazione delle misure restrittive varate dall’UE e dagli stati membri[1] (EBA/GL/2024/14)[2].
Tali Orientamenti, che si applicano dal 30 dicembre 2025, definiscono aspettative comuni in merito alle politiche aziendali e ai controlli interni da porre in essere, nonché al ruolo da attribuire agli organi di governo societario e alla funzione di secondo livello, per garantire l’efficace attuazione delle misure restrittive.
Con nota n. 48 dell’8 aprile 2025 la Banca d’Italia ha reso nota l’intenzione di conformarsi alle suddette linee guida, che assumono il valore di orientamenti di vigilanza per gli intermediari sottoposti alla sua supervisione.
Le linee guida dell’EBA sono rivolte agli enti finanziari vigilati dalla Banca d’Italia ai sensi della Direttiva 2013/36/UE, della Direttiva (UE) 2015/2366 e della Direttiva 2009/110/CE, e cioè le banche, le società di intermediazione mobiliare (SIM) di classe 1 e di classe 1-minus, gli istituti di moneta elettronica (IMEL) e gli istituti di pagamento (IP).
Gli Orientamenti impongono agli istituti finanziari di individuare e analizzare i settori operativi che sono particolarmente vulnerabili o esposti a misure restrittive e all’elusione delle stesse. Sulla base di quest’attività propedeutica, gli enti dovrebbero predisporre, attuare e tenere aggiornati politiche, procedure e controlli per il rispetto delle misure restrittive.
Secondo le linee guida, gli enti finanziari dovrebbero dotarsi di un quadro di governance specifico per garantire che le politiche, le procedure e i controlli siano efficaci e proporzionati alla natura, alle dimensioni e alla complessità operativa. L’Organo di gestione è chiamato pertanto ad approvare una strategia volta all’osservanza delle misure restrittive e a verificarne la puntuale attuazione.
Se l’ente finanziario è la capogruppo di un gruppo come definito dalla Direttiva 2013/34/CE, l’Organo di gestione della capogruppo dovrebbe garantire che tutti gli organi di gestione, le linee di attività e le unità interne dispongano delle informazioni necessarie per poter osservare le misure restrittive. Se un ente finanziario è la capogruppo di un gruppo, l’Organo gestorio della capogruppo dovrebbe garantire che le filiazioni del gruppo effettuino la valutazione dell’esposizione a misure restrittive (cfr. infra) coordinandosi tra loro e sulla base di una metodologia comune che rispecchi la specificità del gruppo.
Nella sua funzione di supervisione strategica, l’Organo di gestione dovrebbe:
- essere reso edotto degli esiti della valutazione dell’esposizione a misure restrittive;
- vigilare e monitorare, mediante la funzione di controllo interno, l’adeguatezza e l’efficacia delle politiche e delle procedure poste in atto, e predisporre misure adeguate a garantire che, ove necessario, siano adottati interventi correttivi;
- valutare, con cadenza almeno annuale, l’efficacia della funzione di controllo dell’osservanza di misure restrittive, anche in termini di adeguatezza delle risorse umane e tecniche destinate al rispetto delle suddette misure.
Nella sua funzione di gestione, l’Organo gestorio dovrebbe altresì:
- assicurarsi di essere informato degli esiti della valutazione dell’esposizione a misure restrittive;
- adottare un quadro di gestione del rischio e un sistema di controlli interni adeguati e sufficientemente indipendenti;
- approvare politiche, procedure e controlli proporzionati all’esposizione dell’ente a misure restrittive;
- garantire l’efficace attuazione dei processi aziendali finalizzati al rispetto delle misure restrittive;
- definire la struttura organizzativa e operativa necessaria per conformarsi alla strategia adottata in materia di misure restrittive;
- garantire che le risorse umane e tecniche destinate all’osservanza delle misure restrittive siano adeguate e commisurate all’esposizione alle misure restrittive;
- in caso di esternalizzazione delle funzioni preposte all’osservanza delle misure restrittive, assicurarsi che tali disposizioni siano conformi agli Orientamenti EBA in materia di outsourcing e farsi trasmettere dal fornitore di servizi relazioni periodiche sull’efficacia del sistema per informare l’Organo di gestione.
Al fine di garantire il costante monitoraggio delle operazioni di compliance sopra descritte, le linee guida prevedono l’obbligo in capo all’Organo di gestione di nominare un membro del personale di alto livello (senior staff member), incaricato di svolgere una serie di compiti, tra cui:
- adottare misure volte a garantire la compliance alle disposizioni relative alla valutazione dell’esposizione a misure restrittive e all’efficacia delle politiche, delle procedure e dei controlli in materia di misure restrittive;
- fornire periodicamente informazioni adeguate all’Organo di gestione sulle modifiche all’esposizione dell’ente a misure restrittive e sull’esito della valutazione di tale esposizione;
- segnalare le violazioni di misure restrittive alle autorità nazionali competenti;
- collaborare in modo efficace e costruttivo con le autorità nazionali competenti.
Tale funzione può essere assegnata anche a una figura dirigenziale che già svolge altri compiti all’interno dell’ente, come il responsabile in materia di contrasto al riciclaggio e al finanziamento del terrorismo o il responsabile della compliance, a patto che: i) la nomina sia giustificata dalle dimensioni e dalla complessità operativa dell’ente e dall’esito della valutazione dell’esposizione a misure restrittive; ii) la nomina non pregiudichi la capacità del dirigente di svolgere efficacemente i propri compiti; iii) l’attribuzione di compiti non dia origine a conflitti di interesse.
Nella scelta del senior staff member, l’Organo di gestione dovrà in ogni caso assicurarsi che tale soggetto sia in possesso delle competenze necessarie a svolgere detto incarico e che sia indipendente rispetto alle altre funzioni aziendali.
L’Organo di gestione potrà decidere di delegare i compiti di cui sopra ad altri membri del personale che operano sotto la direzione del senior staff member, fermo restando che la responsabilità ultima per l’effettivo svolgimento di tali compiti rimanga in capo al membro del personale di alto livello.
Gli enti finanziari dovrebbero garantire che il membro del personale di alto livello possa coordinarsi e cooperare efficacemente con le funzioni di controllo interno e sia in grado di riferire direttamente all’Organo gestorio.
La valutazione dell’esposizione a misure restrittive – che deve basarsi su una gamma sufficientemente diversificata di fonti di informazioni – è mirata a consentire agli enti finanziari di individuare e valutare, tra l’altro, la probabilità di una mancata attuazione e/o elusione di misure restrittive, le conseguenze di eventuali violazioni di misure restrittive e i fattori di rischio (per esempio, quello geografico).
Gli istituti finanziari dovrebbero assicurarsi che la valutazione dell’esposizione a misure restrittive sia costantemente “aggiornata e pertinente”. A tal fine, gli Orientamenti richiedono che tale valutazione sia riesaminata almeno una volta l’anno e, se necessario, aggiornata. Il riesame andrebbe comunque effettuato al verificarsi di determinate situazioni, come, ad esempio, in caso di adozione di nuove misure restrittive e di modifiche significative alle misure in essere o in caso di constatazione di una mancata attuazione di misure restrittive e/o dell’elusione delle stesse.
In parallelo alle nuove responsabilità organizzative previste dagli Orientamenti EBA, il legislatore europeo ha anche introdotto un nuovo quadro giuridico per sanzionare le violazioni delle misure restrittive: si tratta della Direttiva (UE) 2024/1226, che si esamina qui di seguito.
Focus: la Direttiva (UE) 2024/1226
A completamento del quadro normativo, la Direttiva (UE) 2024/1226 introduce la definizione di reati e sanzioni per le violazioni delle misure restrittive, rafforzando così l’efficacia delle linee guida EBA sotto il profilo penal-sanzionatorio.
Il 24 aprile 2024 è stata pubblicata nella Gazzetta Ufficiale dell’UE la Direttiva (UE) 2024/1226 relativa alla definizione dei reati e delle sanzioni per la violazione delle misure restrittive dell’Unione, che modifica la Direttiva (UE) 2018/1673 sulla lotta al riciclaggio mediante il diritto penale[3].
Obiettivo principale dell’atto comunitario è stabilire norme minime comuni cui gli Stati membri dovranno attenersi per la definizione dei reati connessi con la violazione delle misure restrittive decise dall’Unione.
Tali misure, quali, ad esempio, il congelamento di fondi, i divieti di ingresso e transito e gli embarghi sulle armi, costituiscono uno strumento essenziale per la promozione degli obiettivi della politica estera e di sicurezza comune previsti dall’art. 21 del TFUE (Considerando n. 2). Si tratta, in altri termini, di sanzioni che l’UE applica ai governi di paesi terzi o entità non statali, per contrastare pratiche o condotte che mettano a rischio il perseguimento dei valori fondanti dell’Unione.
Entro il 20 maggio 2025 gli Stati membri dovranno qualificare come reato, ed assoggettare quindi a sanzione, anche penale, tutti quei comportamenti che costituiscano una violazione dolosa, o commessa per grave negligenza, di un divieto o di un obbligo raffigurante una misura restrittiva dell’Unione.
Dovranno dunque essere oggetto di reato, ad esempio, le seguenti fattispecie: omettere il congelamento di fondi di una persona, entità od organismo o ad essi riconducibili; concludere o portare avanti operazioni con uno Stato terzo, o con organismi o entità a esso riconducibili, qualora tali operazioni siano oggetto di misure restrittive; commerciare, importare, esportare, vendere, acquistare, trasferire, far transitare o trasportare beni oggetto di misure restrittive; prestare servizi finanziari e altri servizi in violazione di misure restrittive.
Gli Stati membri possono prevedere la non punibilità di condotte relative a operazioni di valore inferiore a 10 mila euro, a meno che tale soglia non sia raggiunta con più condotte che siano connesse e riferibili allo stesso autore.
I paesi membri adottano le misure necessarie affinché alle persone fisiche possano essere applicate sanzioni accessorie, penali o non penali, quali, ad esempio, sanzioni pecuniarie e ritiro di permessi o autorizzazioni all’esercizio delle attività nell’ambito delle quali è stato commesso il reato.
la Direttiva richiede che gli Stati membri prevedano, accanto a quella delle persone fisiche, la responsabilità delle persone giuridiche per le violazioni commesse a loro vantaggio da soggetti apicali, nonché da persone soggette all’autorità di questi ultimi, qualora la mancata supervisione o il mancato controllo abbia reso possibile la commissione del reato.
A carico delle persone giuridiche devono essere previste sanzioni pecuniarie, penali o non penali, il cui importo sia proporzionato alla gravità della condotta e alla situazione della persona giuridica e possono essere previste sanzioni accessorie, come, ad esempio, l’esclusione da benefici, aiuti o finanziamenti pubblici.
Viene previsto che gli Stati membri adottino le misure più opportune, in conformità del diritto nazionale, affinché possano essere considerate una o più delle circostanze aggravanti (commissione del reato nell’ambito di organizzazioni criminali, uso di documenti falsi o contraffatti, distruzione di prove, ecc.) e attenuanti (ad esempio, attività collaborativa dell’autore del reato con le autorità inquirenti).
Gli Stati membri devono adottare misure per il congelamento e la confisca dei beni strumentali e dei proventi del reato nonché dei fondi e delle risorse oggetto della violazione delle misure restrittive.
È prevista la designazione da parte di ciascuno Stato membro, fatta salva l’indipendenza della magistratura, di un organismo di coordinamento e cooperazione fra le autorità competenti dello Stato medesimo, con il compito di promuovere il coordinamento fra l’attività di contrasto in ambito penale e quella in ambito amministrativo, lo scambio di informazioni e la consulenza nell’ambito di singole indagini.
Si prevede che gli Stati membri, in caso di reati transfrontalieri, valutino la trasmissione di informazioni nonché la cooperazione fra gli Stati membri, la Commissione, Europol, Eurojust e la Procura europea.
Si richiede agli Stati membri di predisporre un sistema di rilevazione statistica in forma anonima, nonché un obbligo di trasmissione annuale alla Commissione di dati statistici (numero di reati registrati e giudicati, numero di procedimenti giudiziari archiviati, tipi e livelli di sanzioni inflitte, ecc.), la cui revisione consolidata deve essere pubblicata ogni tre anni.
Come anticipato, gli Stati membri sono chiamati ad adeguare gli ordinamenti nazionali alle indicazioni del legislatore europeo entro il 20 maggio 2025, prevedendo specifiche sanzioni, anche penali, a carico di persone fisiche o giuridiche. Invero, l’ordinamento nazionale già oggi qualifica come reati, secondo le disposizioni contenute nell’art. 18 e seguenti del d.lgs. 231/2001, molte delle condotte individuate nella Direttiva 2024/1226, ma solo con riferimento alla responsabilità di persone fisiche.
Con ogni probabilità , il legislatore nazionale interverrà dunque sul richiamato decreto legislativo per introdurre, all’interno del catalogo dei reati presupposto, la responsabilità delle persone giuridiche per i reati collegati alla violazione delle misure restrittive dell’Unione.
Note:
[1] Per misure restrittive si intendono le misure restrittive dell’Unione di cui all’art. 2, punto 1, della Direttiva (UE) 2024/1226 e le misure restrittive nazionali adottate dagli Stati membri in conformità del relativo ordinamento giuridico nazionale, applicabili agli enti finanziari (cfr. Focus).
[2]Analoghi Orientamenti sono stati pubblicati, in pari data, per i prestatori di servizi di pagamento (payment service providers, PSP) e per prestatori di servizi per le cripto-attività (crypto-asset service providers, CASP), a norma del Regolamento (UE) 2023/1113 riguardante i dati informativi che accompagnano i trasferimenti di fondi e determinate cripto-attività (EBA/GL/2024/15).
[3] Già nel 2022, con Decisione n. 2332, il Consiglio europeo ha stabilito che la violazione delle misure restrittive adottate dall’Unione si configura come un reato che rientra nei criteri dell’art. 83, paragrafo 1, del TFUE.
Antonio Pezzuto, “Gli Orientamenti EBA su processi e controlli interni per l’attuazione delle misure restrittive”, Magistra Banca e Finanza, 8 maggio 2025, ISSN 2039-7410, https://www.tidona.com/gli-orientamenti-eba-su-processi-e-controlli-interni-per-lattuazione-delle-misure-restrittive/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione preferita è quella indicata sopra, con collegamento all’URL originale dell’articolo.