Di Maurizio Tidona, Avvocato
___
Per una banca il KYC non è solo un adempimento di adeguata verifica, ma un presidio di governo del rischio antiriciclaggio che deve reggere sul piano probatorio. Quando il dato è carente, non aggiornato o messo in discussione, la banca non perde soltanto informazioni: perde anche la capacità di dimostrare di aver governato il rischio. Il presidio funziona solo se l’intermediario è in grado di sostenere, con evidenze, di aver raccolto e conservato dichiarazioni attribuibili al cliente, integre e difficilmente contestabili a posteriori.
Questa fragilità emerge con maggiore evidenza nel canale digitale, dove si è progressivamente affermata una deriva culturale: si confonde la compilazione con la dichiarazione. Un questionario privo di un robusto ancoraggio all’identità del dichiarante, di verifiche minime di coerenza del contenuto e di una forma idonea di sottoscrizione si presta sia al disconoscimento della paternità sia alla contestazione del contenuto.
In questo contesto, il baricentro della discussione si sposta. Il tema non è più soltanto l’adeguata verifica in sé, ma la riferibilità e la tenuta documentale della dichiarazione, ossia la prova che il questionario sia effettivamente riconducibile al cliente e correttamente conservato nel tempo.
Il d.lgs. 231/2007 pone un requisito chiaro. L’art. 22, comma 1, stabilisce: “I clienti forniscono per iscritto, sotto la propria responsabilità, tutte le informazioni necessarie e aggiornate per consentire ai soggetti obbligati di adempiere agli obblighi di adeguata verifica”.
L’espressione “per iscritto” non è un dettaglio redazionale. Segna la linea di confine tra ciò che, in caso di contestazione, conserva consistenza probatoria e ciò che diventa materiale fragile, rimesso alla dialettica del contenzioso e alla valutazione ex post.
Nel canale digitale, il requisito del “per iscritto” non può essere automaticamente degradato a una mera spunta in home banking. La spunta, di per sé, non equivale a una sottoscrizione. Quando il questionario contiene dichiarazioni sensibili – titolare effettivo, PEP, scopo del rapporto, provenienza dei fondi – l’assenza di una forma di sottoscrizione idonea espone il documento al disconoscimento della paternità e alla contestazione della sua riferibilità e integrità.
Il Codice dell’amministrazione digitale fornisce un criterio operativo: quando la banca intende trasformare un contenuto digitale in un documento destinato a reggere nel tempo, deve adottare una forma che consolidi attribuzione e integrità.
L’art. 20, comma 1-bis, CAD prevede: “Il documento informatico soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’articolo 2702 del Codice civile quando vi è apposta una firma digitale, altro tipo di firma elettronica qualificata o una firma elettronica avanzata o, comunque, è formato, previa identificazione informatica del suo autore, attraverso un processo avente i requisiti fissati dall’AgID ai sensi dell’articolo 71 con modalità tali da garantire la sicurezza, integrità e immodificabilità del documento e, in maniera manifesta e inequivoca, la sua riconducibilità all’autore. In tutti gli altri casi, l’idoneità del documento informatico a soddisfare il requisito della forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio, in relazione alle caratteristiche di sicurezza, integrità e immodificabilità”.
Il discrimine è netto: o il documento è formato e conservato in modo da garantire riconducibilità, integrità e immodificabilità, oppure il suo valore probatorio è rimesso a una valutazione ex post. Per un presidio antiriciclaggio, questa incertezza si traduce in esposizione al rischio.
Il KYC incide direttamente sull’operatività. L’art. 42, comma 1, del d.lgs. 231/2007 impone l’astensione quando l’adeguata verifica non è completabile: “I soggetti obbligati che si trovano nell’impossibilità oggettiva di effettuare l’adeguata verifica della clientela, ai sensi delle disposizioni di cui all’articolo 19, comma 1, lettere a), b) e c), si astengono dall’instaurare, eseguire ovvero proseguire il rapporto, la prestazione professionale e le operazioni e valutano se effettuare una segnalazione di operazione sospetta alla UIF a norma dell’articolo 35”.
Il KYC non è quindi una raccolta iniziale di dati, ma un obbligo che si rinnova nel tempo. Se l’aggiornamento non è più conseguibile e l’adeguata verifica non può essere completata, si attiva la disciplina dell’astensione, con effetti immediati sull’operatività del cliente.
A ciò si aggiunge l’obbligo, per la banca, di preavvisare il cliente circa la necessità di aggiornamento del KYC e le conseguenze dell’inerzia. In questo ambito, l’ABF ha valorizzato la necessità di un preavviso effettivo e dimostrabile, censurando condotte in cui l’intermediario non ha fornito prova di un avviso con congruo anticipo prima del blocco o del recesso (ABF n. 12094/2022; ABF n. 8292/2024).
La valutazione dell’idoneità dei canali non è univoca. In un caso l’ABF ha ritenuto sufficiente l’avviso veicolato tramite canali digitali e ATM (Decisione n. 1521/2021); in un altro ha giudicato inidoneo un pop-up informativo e insufficiente l’avviso riportato in estratto conto (Decisione n. 723/2023). Per la banca ciò impone di progettare il processo in modo da reggere anche valutazioni ex post non prevedibili, assicurando evidenze solide, tracciabili e ripetibili.
Per la funzione AML e per gli organi apicali, l’evidenza non è un dettaglio tecnologico del canale digitale, ma il cuore della difesa della banca. Nel digitale, la mera consultazione e la spunta in app non costituiscono, di per sé, un presidio sufficiente.
Il questionario KYC deve reggere quando serve: in sede di valutazione della SOS e quando viene contestato. La banca deve poter dimostrare attribuzione e integrità della dichiarazione, conservazione coerente, tracciabilità delle comunicazioni e governo del blocco, con tempi e motivazioni documentate. In assenza di queste evidenze, il presidio resta, evidentemente, esposto strutturalmente.
Approfondimento ulteriore riservato
Per le banche che desiderino approfondire ulteriormente questo tema, sono disponibili materiali riservati. Per informazioni, scrivere a pareristica@tidona.com.
Maurizio Tidona, “KYC nell’onboarding digitale: profili di imputabilità della dichiarazione, tenuta probatoria e responsabilità di governo”, Magistra Banca e Finanza, 30 gennaio 2026, ISSN 2039-7410, https://www.tidona.com/kyc-nellonboarding-digitale-profili-di-imputabilita-della-dichiarazione-tenuta-probatoria-e-responsabilita-di-governo/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione preferita è quella indicata sopra, con collegamento all’URL originale dell’articolo.