Quali documenti servono per l'adeguata verifica antiriciclaggio

Per una persona fisica servono tre cose: un documento d'identità in corso di validità, il codice fiscale e una dichiarazione firmata su scopo del rapporto ed eventuale qualifica di persona politicamente esposta. Per una società l'elenco si allunga: visura camerale aggiornata, statuto, prova dei poteri di chi firma, documento del legale rappresentante e dati anagrafici del titolare effettivo con relativo documento.

L'obbligo non scatta sempre. Si applica all'apertura di un rapporto continuativo o al conferimento di un incarico professionale, alle operazioni occasionali da 15.000 euro in su, ai trasferimenti di fondi sopra 1.000 euro fuori dai circuiti SEPA, e a qualunque importo quando c'è un sospetto di riciclaggio o un dubbio sulla veridicità dei dati ricevuti.

La soglia dei 15.000 euro e l'operazione frazionata

Chi vuole restare sotto la soglia divide l'importo, e la norma lo aveva previsto. L'articolo 1, comma 2, lettera v) del D.Lgs. 231/2007 definisce operazione frazionata quella che è unitaria sotto il profilo economico ma viene eseguita con più operazioni singolarmente inferiori al limite, in momenti diversi e dentro un periodo circoscritto fissato in sette giorni.

I sette giorni non sono una franchigia. La stessa definizione precisa che l'operazione resta frazionata anche fuori da quella finestra, quando ricorrono elementi per ritenerla tale. Il termine funziona come soglia automatica di attenzione, non come confine oltre il quale il controllo si spegne.

Le operazioni dello stesso cliente vanno quindi sommate prima di decidere se la verifica è dovuta. Tre versamenti da 6.000 euro in quattro giorni sono un'operazione da 18.000 euro, e fanno scattare l'elenco documentale completo. Questo funziona solo se l'archivio permette di raggruppare i movimenti per cliente: quando i dati restano su operazioni isolate, il frazionamento non si vede e la verifica non parte.

Persona fisica: cosa raccogliere

Documento	A cosa serve	Note operative
Documento d'identità non scaduto	Verifica dell'identità ex art. 19	Carta d'identità, passaporto o patente. Va acquisita copia, non solo gli estremi
Codice fiscale o tessera sanitaria	Dato identificativo obbligatorio	Per gli stranieri, codice fiscale rilasciato dall'Agenzia delle Entrate
Permesso di soggiorno (clienti extra UE)	Verifica della regolarità	Con data di scadenza, va rinnovato nel fascicolo
Dichiarazione PEP	Individua le persone politicamente esposte	Attiva la verifica rafforzata dell'art. 25
Dichiarazione su scopo e natura del rapporto	Requisito autonomo dell'art. 18	Deve essere specifica, non una formula generica
Informazioni sull'origine dei fondi	Profilo di rischio	Obbligatoria nelle situazioni a rischio elevato

Il documento acquisito deve essere valido nel momento in cui si esegue la verifica. Un documento scaduto in archivio non regge un controllo ispettivo, e la scadenza va monitorata nel tempo perché il controllo costante è parte dell'obbligo, non un adempimento iniziale che si esaurisce.

Se il cliente agisce tramite un delegato serve la documentazione di entrambi: identità dell'esecutore, identità del cliente e prova del potere di rappresentanza.

Società ed enti: l'elenco completo

Documento	Cosa dimostra
Visura camerale aggiornata	Esistenza, sede, oggetto sociale, organi in carica
Atto costitutivo e statuto	Assetto proprietario e regole di governance
Delibera o procura	Che chi firma ha il potere di impegnare la società
Documento e codice fiscale del legale rappresentante	Identità di chi opera materialmente
Dati anagrafici e documento del titolare effettivo	Chi controlla davvero l'ente
Dichiarazione scritta del cliente sul titolare effettivo	Adempimento dell'art. 22, con responsabilità penale in caso di falsità
Struttura di gruppo, se la catena è articolata	Consente di risalire oltre il primo livello societario

La visura serve aggiornata, non archiviata da mesi: gli assetti cambiano e la verifica fotografa il momento in cui si instaura il rapporto. Una visura camerale ordinaria copre la parte anagrafica e gli organi in carica.

Per trust e fondazioni la documentazione riguarda l'atto istitutivo e i dati di disponente, trustee, guardiano e beneficiari, anche quando questi ultimi sono individuati per categoria e non per nome.

Il titolare effettivo è il punto in cui si sbaglia di più

L'articolo 20 fissa una gerarchia di criteri che va seguita in ordine. Il primo è la proprietà: titolare effettivo è chi possiede più del 25% del capitale, direttamente o attraverso società controllate, società fiduciarie o interposta persona.

Quando la partecipazione non basta a individuare nessuno, si passa al criterio del controllo: chi dispone della maggioranza dei voti in assemblea ordinaria, chi ha voti sufficienti a esercitare un'influenza dominante, chi controlla in virtù di vincoli contrattuali. Solo se anche questa strada non porta a un nome si ricade sul criterio residuale, cioè sui poteri di amministrazione o direzione, e quindi in genere sul legale rappresentante.

Il criterio residuale è l'ultima spiaggia, non una scorciatoia. Indicare l'amministratore quando esiste un socio al 40% è un errore che l'ispezione rileva subito, perché il confronto con la visura lo rende evidente.

La dichiarazione del cliente non chiude la questione. L'articolo 22 obbliga il cliente a fornire le informazioni per iscritto e punisce penalmente le dichiarazioni false, ma il soggetto obbligato deve comunque adottare misure ragionevoli per verificarle. In pratica: incrociare la dichiarazione con la visura e con l'assetto societario prima di archiviarla. La guida su come si individua il titolare effettivo di una società entra nel dettaglio dei casi a catena multipla, e il servizio titolare effettivo (UBO) ricostruisce la catena partendo dalla partita IVA.

Il registro dei titolari effettivi, allo stato attuale

Il registro istituito dal D.M. 55/2022 presso il Registro delle Imprese ha avuto una storia travagliata. Nel maggio 2024 il Consiglio di Stato ha sospeso l'operatività delle norme su accreditamento e consultazione, e da allora la comunicazione dei dati è rimasta possibile mentre l'accesso è rimasto fermo.

Il D.Lgs. 122/2026, in vigore dal 23 luglio 2026, ha riscritto le regole di accesso su tre livelli: autorità pubbliche con consultazione diretta e non filtrata, soggetti obbligati previo accreditamento telematico presso la Camera di Commercio, portatori di un interesse legittimo dimostrato. Il nuovo sistema però non è ancora utilizzabile: serve un provvedimento del MIMIT che ne dichiari l'operatività, dopo l'aggiornamento delle specifiche tecniche e il parere del Garante privacy.

La conseguenza pratica per chi svolge adeguata verifica oggi è che il registro non è una fonte su cui contare. La ricostruzione della catena societaria va fatta con visure e documentazione del cliente, come si faceva prima del 2022.

Verifica ordinaria, semplificata, rafforzata

Livello	Quando si applica	Cosa cambia nei documenti
Semplificata	Rischio basso: clienti vigilati, PA, società quotate su mercati regolamentati	Meno approfondimenti, ma identità e titolare effettivo restano obbligatori
Ordinaria	Situazione standard	Elenco base descritto sopra
Rafforzata	PEP, paesi terzi ad alto rischio, rapporti a distanza anomali, operazioni senza giustificazione economica	Origine di fondi e patrimonio, autorizzazione di un livello gerarchico superiore, monitoraggio più frequente

La verifica semplificata non è un'esenzione. Riduce l'ampiezza dei controlli, ma non permette di saltare l'identificazione né di lasciare vuoto il campo del titolare effettivo.

Lo screening su liste sanzionatorie e su banche dati di persone politicamente esposte va ripetuto nel tempo, perché una posizione può cambiare dopo l'apertura del rapporto. Il servizio di screening AML su PEP e liste sanzioni copre questo controllo, e la guida su cos'è lo screening AML e chi deve farlo chiarisce quali categorie sono soggette all'obbligo.

Identificazione a distanza: cosa vale

Il cliente non deve necessariamente presentarsi di persona. L'identificazione senza presenza fisica è ammessa se avviene con uno degli strumenti previsti:

1. SPID di livello adeguato, CIE o carta nazionale dei servizi. È la via più lineare e lascia una prova conservabile.
2. Firma elettronica qualificata o digitale, purché il certificato risulti in corso di validità e non revocato.
3. Video-identificazione condotta da personale incaricato, con registrazione della sessione e acquisizione del documento.
4. Bonifico proveniente da un conto già intestato al cliente presso un intermediario obbligato con sede nell'Unione, che ha quindi già svolto la propria verifica.
5. Identità digitale rilasciata in un altro Stato membro e notificata ai sensi di eIDAS.

Quello che non basta è la copia di un documento inviata via email senza alcun elemento di riscontro: non c'è modo di collegare quel documento alla persona che lo ha trasmesso. La verifica identità su documento automatizza il controllo formale e il confronto con le banche dati, e la guida su come funziona la verifica dell'identità KYC descrive il flusso completo di onboarding a distanza.

Conservazione: dieci anni, in modo ricostruibile

I documenti e le informazioni raccolte vanno conservati per dieci anni dalla fine del rapporto o dall'esecuzione dell'operazione occasionale. Il formato può essere cartaceo o elettronico, ma il fascicolo deve permettere di ricostruire chi era il cliente, chi ha operato, quando e per quale importo, senza ricerche a campione.

Conta anche la tracciabilità delle date: quando è stato acquisito il documento, quando è stata firmata la dichiarazione sul titolare effettivo, quando è stato ripetuto lo screening. Un fascicolo completo ma privo di date è difficile da difendere davanti a un ispettore, perché non dimostra che la verifica è avvenuta prima dell'operazione.

Le violazioni degli obblighi di adeguata verifica sono sanzionate dall'articolo 56, con una sanzione fissa di 2.000 euro nei casi ordinari e un intervallo tra 2.500 e 50.000 euro per le violazioni gravi, ripetute o sistematiche.

Cosa cambia con il regolamento europeo

Il Regolamento (UE) 2024/1624 è in vigore dal 9 luglio 2024 ma si applica dal 10 luglio 2027. Essendo un regolamento vale direttamente, senza recepimento, e sostituirà buona parte della disciplina nazionale.

Le novità che toccano da vicino la raccolta documentale sono l'elenco standardizzato delle informazioni da acquisire, valido in tutta l'Unione, e le nuove attività previste dall'articolo 20 dell'AMLR, tra cui la verifica esplicita che cliente e titolari effettivi non siano destinatari di sanzioni finanziarie mirate. L'articolo 80 fissa inoltre un tetto europeo di 10.000 euro ai pagamenti in contanti per beni e servizi: l'Italia resta libera di mantenere il proprio limite di 5.000 euro, che è più basso.

Fino al 10 luglio 2027 il riferimento operativo resta il D.Lgs. 231/2007. Chi sta ridisegnando le procedure adesso ha però senso che le costruisca già compatibili con l'impianto dell'AMLR, per evitare una seconda revisione a distanza di pochi mesi.

Domande frequenti

Basta la fotocopia della carta d'identità? No. La copia è la prova documentale, ma la verifica richiede un riscontro sull'identità di chi la presenta: presenza fisica, oppure uno degli strumenti a distanza ammessi. Una copia arrivata via email non soddisfa da sola l'obbligo.

Il cliente rifiuta di indicare il titolare effettivo. Cosa faccio? Scatta l'obbligo di astensione: il rapporto non si instaura e l'operazione non si esegue. Se il rifiuto genera un sospetto va valutata anche la segnalazione di operazione sospetta alla UIF.

Ogni quanto va rifatta la verifica? Non c'è una scadenza fissa. L'obbligo di controllo costante impone di aggiornare i dati quando cambia qualcosa di rilevante o quando il documento scade, con frequenza proporzionata al rischio del cliente.

Tre bonifici da 6.000 euro nello stesso mese fanno scattare la verifica? Se sono economicamente un'unica operazione, sì. Dentro i sette giorni il collegamento si presume per definizione di legge; oltre quel termine va valutato in base agli elementi disponibili. La soglia si calcola sul totale, non sul singolo movimento.

Serve l'adeguata verifica anche sotto i 15.000 euro? Sì, quando esiste un rapporto continuativo o un incarico professionale, perché in quel caso la soglia non conta. E si applica comunque a qualsiasi importo in presenza di sospetto di riciclaggio o di dubbi sui dati forniti.

Una società quotata è esente? Non è esente, rientra nei casi di verifica semplificata. Identificazione e individuazione del titolare effettivo restano dovute, con approfondimenti proporzionati al rischio ridotto.

Fonti ufficiali

Gli obblighi di adeguata verifica, i criteri di individuazione del titolare effettivo, i termini di conservazione e il quadro sanzionatorio sono nel D.Lgs. 231/2007. Il registro dei titolari effettivi e le sue regole di accesso derivano dal D.M. 55/2022 e dalle modifiche introdotte nel 2026. La disciplina europea che si applicherà dal 10 luglio 2027 è nel Regolamento (UE) 2024/1624. La UIF pubblica indicatori di anomalia e istruzioni operative per le segnalazioni. I riferimenti puntuali sono in fondo alla pagina.

Disclaimer

Questa guida ha scopo informativo e non sostituisce la consulenza professionale in materia antiriciclaggio. L'ampiezza degli obblighi varia in base alla categoria di soggetto obbligato e al profilo di rischio del cliente, e va verificata con un consulente rispetto al caso concreto. Vedi il disclaimer YMYL.