Di Maurizio Tidona, Avvocato
___
Quando una banca nega un credito o recede da un rapporto, la motivazione è parte della fisiologia del rapporto: serve a rendere la decisione comprensibile e difendibile. In materia antiriciclaggio, la motivazione può invece facilmente sconfinare nell’illecito, trasformandosi in una comunicazione vietata. L’art. 39 del D.Lgs. 231/2007, che è divieto presidiato anche penalmente, impone alla banca, difatti, di separare ciò che decide da ciò che può rivelare a terzi: decisione e comunicazione non coincidono più, e questa frattura incide sugli obblighi di trasparenza verso la clientela e, soprattutto, sui flussi informativi interni e sulla catena delle responsabilità interna alla banca.
Questo produce una tensione evidente. Da un lato, l’ordinamento bancario e la disciplina di trasparenza spingono verso motivazioni chiare e tempestive, soprattutto in caso di contestazione. Dall’altro, il sistema AML impone un silenzio qualificato, che non può essere colmato né attenuato con formule allusive o giustificazioni apparenti. Il rischio non è solo il tipping-off penalmente rilevante, ma anche la rivelazione indiretta: all’interno e verso l’esterno, il linguaggio della banca e il contesto possono rendere riconoscibile, al segnalato o a terzi, ciò che la legge impone di non rivelare.
La criticità principale, per la banca, riguarda la circolazione interna all’organizzazione. In questa direzione, il Provvedimento della Banca d’Italia del 26 marzo 2019, recante le “Disposizioni in materia di organizzazione, procedure e controlli interni volti a prevenire l’utilizzo degli intermediari a fini di riciclaggio e di finanziamento del terrorismo”, nell’aggiornamento al 1° agosto 2023, ha ristretto in modo significativo il perimetro dei soggetti che possono conoscere l’esistenza di una segnalazione, confinando l’informazione ai soli “responsabili delle strutture competenti per l’attribuzione o l’aggiornamento del profilo di rischio“, eliminando nel testo il riferimento alle “diverse strutture operative aziendali“.
Se l’informazione relativa a una SOS viene trattata come un dato “circolante”, finisce per essere usata, ripetuta, annotata e inserita nelle micro-decisioni quotidiane, anche e soprattutto in materia di credito. Il rischio, a quel punto, non è più soltanto esterno verso la clientela; si sposta all’interno dell’organizzazione. Un perimetro di conoscibilità troppo ampio moltiplica le occasioni di disclosure, anche involontarie, e amplia l’area delle responsabilità della banca.
In questa prospettiva, per la Banca d’Italia, la SOS non deve trasformarsi in un’informazione operativa diffusa. Deve restare nella procedura dedicata e riflettersi altrove solo attraverso l’aggiornamento del “profilo di rischio“; in altre parole, l’informazione può entrare nel corredo di “dati” utilizzabile da altre funzioni per l’analisi e la gestione dei rischi solo quando è incorporata nel “profilo di rischio” del cliente.
Tutto questo impone un cambiamento culturale. La segnalazione non è più un “dato” da condividere dentro la banca, ma un’informazione che deve essere metabolizzata nel sistema di rischio, depurata della sua origine e tradotta in decisione gestionale. Solo così può diventare operativa senza generare violazioni, fughe di informazioni o responsabilità penali.
Vi è poi un altro fronte, meno evidente ma altrettanto critico: il rapporto tra segreto AML e dati personali. La tentazione di opporre automaticamente il divieto di comunicazione a qualsiasi richiesta di accesso è forte, ma espone la banca a risposte standard incoerenti e, quindi, più facilmente contestabili. L’Autorità Garante per la protezione dei dati personali ha richiamato la necessità di un “giusto bilanciamento” e del principio di proporzionalità della limitazione (Parere – Autorità Garante per la Protezione dei dati personali – 13 aprile 2023 – n. 9888457).
In quel caso, l’invocazione indistinta del segreto AML da parte di due banche è stata ritenuta illegittima in quanto le informazioni erano già pubbliche o direttamente conoscibili dall’interessato (notizie diffuse dalla stampa e sentenze pubblicate nella banca-dati della Cassazione), e la loro comunicazione non avrebbe arrecato il pregiudizio richiesto dalla legge.
Ne emerge un quadro che non ammette soluzioni standard. La gestione dei dati AML è un’esigenza strategica per la banca. Richiede procedure, formazione, linguaggio controllato, tracciabilità interna e un coordinamento effettivo tra Funzioni AML, Legale, Crediti, Privacy e Direzione, perché la vulnerabilità nasce spesso nei passaggi: chi sa, cosa sa, quando lo sa e quale parte di quel sapere può legittimamente diventare flusso informativo.
Senza una precisa architettura, la banca alterna silenzi impropri e spiegazioni troppo esposte. Inoltre, può produrre diffusioni interne non coerenti o, all’opposto, negare informazioni a chi dovrebbe invece sapere, all’interno della banca o del gruppo di appartenenza. In entrambi i casi, la gestione del rischio diventa non governata.
Occorre pertanto affidare il “perimetro SOS” a un presidio che abbia potere effettivo su accessi e sistemi, e non soltanto una responsabilità di funzione. Senza un mandato trasversale (processi–IT–controlli) la regola resta teorica. La soglia minima è che ogni accesso e ogni passaggio informativo siano ricostruibili e giustificabili, sia prima della decisione che a posteriori.
In parallelo, va fissata una regola di comportamento netta: fuori dal circuito autorizzato non si discute la segnalazione, ma si governa solo il rischio che ne consegue. Ciò che deve circolare è cioè l’esito della valutazione del profilo, non la notizia della SOS; ed è su questa distinzione che si misura la tenuta della banca quando arrivano ispezioni, reclami, richieste di accesso o contenziosi.
Maurizio Tidona, “Antiriciclaggio e divieto di comunicazione della SOS: limiti informativi e responsabilità della banca”, Magistra Banca e Finanza, 22 gennaio 2026, ISSN 2039-7410, https://www.tidona.com/il-divieto-di-comunicazione-antiriciclaggio-rischio-e-governance-delle-decisioni-in-banca/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione è quella indicata sopra, con collegamento all’URL originale dell’articolo.