Modifiche al Regolamento Generale della LFPIORPI

Il 7 agosto 2026 il Ministero delle Finanze e del Credito Pubblico ha pubblicato nella Gazzetta Ufficiale (“DOF”) l’Accordo che modifica il Regolamento Generale della Legge Federale in materia di Prevenzione e Identificazione di Operazioni con Risorse di Provenienza Illecita (“LFPIORPI”). L’entrata in vigore in via generale è prevista per il 30 novembre 2026, con uno specifico calendario di attuazione graduale che si realizzerà nel corso del 2027 e del 2028.

L’Accordo dà attuazione alla riforma legislativa pubblicata il 16 luglio 2025 e stabilisce il contenuto e le scadenze degli obblighi previsti dall’articolo 18, la cui esigibilità era rimasta subordinata all’emanazione di tale Regolamento.

Cosa cambia per chi svolge Attività Vulnerabili?

Gli adempimenti non saranno più concentrati solamente sulla predisposizione dei fascicoli e sulla presentazione degli Avvisi, ma richiederanno ora l’adozione di un sistema integrato basato sul livello di rischio. I soggetti obbligati dovranno elaborare una metodologia documentata per identificare, misurare, comprendere e mitigare i rischi a cui vanno incontro, prendendo in considerazione quantomeno gli atti o le operazioni effettuate, la tipologia di clienti, le aree geografiche, le transazioni e i canali utilizzati. La metodologia dovrà basarsi, in linea di principio, su informazioni relative ad un periodo di almeno dodici mesi, dovrà tenere conto della Valutazione Nazionale dei Rischi e dovrà essere rivalutata qualora emergano nuovi rischi o, in ogni caso, con cadenza annuale.

Sulla base di tale metodologia dovrà essere adottato un modello che consenta di classificare individualmente ciascun Cliente o Utente come a rischio basso, medio o alto; definirne il profilo transazionale; rivalutarlo almeno ogni sei mesi; nonché mettere in pratica appositi sistemi di allerta e misure rafforzate di adeguata verifica. Le Persone Politicamente Esposte (PEP) di nazionalità straniera saranno considerate ad alto rischio e, qualora una PEP sia  classificata ad alto rischio, l’operazione che la vede coinvolta dovrà essere approvata da un dirigente.

I soggetti obbligati dovranno inoltre dotarsi di un solido Manuale di Politiche Interne, che contempli delle procedure di selezione del personale e di formazione annuale; meccanismi automatizzati per la verifica delle operazioni, l’aggregazione degli importi, il monitoraggio degli scostamenti rispetto al profilo transazionale e la generazione di segnalazioni di allerta; nonché lo svolgimento di un audit annuale. L’audit potrà essere interno per i soggetti a rischio basso o medio, mentre dovrà essere esterno e indipendente qualora il rischio sia alto. Nei gruppi societari, tali politiche dovranno essere applicate anche alle succursali e alle società controllate, fermo restando la responsabilità individuale di ciascuna entità.

Identificazione del Titolare Effettivo

La riforma della LFPIORPI del 2025 aveva già sostituito l’approccio meramente dichiarativo relativo all’identificazione del Titolare Effettivo. Quando il Cliente o l’Utente è una persona giuridica, un trust o un’altra entità giuridica, il soggetto obbligato deve acquisire documenti o altri mezzi di riconoscimento ufficiale che consentano di identificarne il Titolare Effettivo; una semplice attestazione fornita dal cliente non è più sufficiente. Il nuovo Regolamento specifica ora la procedura da seguire per adempiere a tale obbligo.

Per le persone giuridiche dovrà essere seguito il seguente ordine di priorità: (i) identificare innanzitutto la persona fisica o il gruppo di persone fisiche che detenga, direttamente o indirettamente, almeno il 25% del capitale; (ii) in secondo luogo, identificare chi eserciti il controllo con altri mezzi sulla definizione della strategia, sulle decisioni o sulle principali politiche dell’entità giuridica; e, come criterio di carattere residuale, (iii) identificare il funzionario amministrativo di grado più elevato. Nel caso dei trust, dovranno essere presi in considerazione i disponenti, i beneficiari, i trustee, i protector, i membri del comitato tecnico e qualsiasi altra persona che eserciti un controllo effettivo, risalendo lungo l’intera catena di titolarità fino a individuare una persona fisica. La procedura dovrà essere documentata, aggiornata per tutta la durata del rapporto d’affari in questione e conservata per dieci anni.

Tale obbligo — identificare il Titolare Effettivo dei Clienti o degli Utenti di un’Attività Vulnerabile — deve essere distinto dagli obblighi societari previsti dagli articoli 33 Bis e 33 Ter della LFPIORPI, applicabili a tutte le società commerciali ai fini dell’identificazione, conservazione e registrazione, nel sistema elettronico gestito dal Ministero dell’Economia, delle informazioni relative al proprio Titolare Effettivo, nonché della comunicazione dei trasferimenti di azioni o quote sociali. L’Accordo del 7 agosto disciplina l’obbligo gravante sui soggetti che svolgono Attività Vulnerabili, ma non sostituisce l’ulteriore obbligo previsto in materia societaria, applicabile alle aziende in generale, di identificare il proprio Titolare Effettivo.

Tale evoluzione normativa produrrà effetti anche per le aziende che non svolgono direttamente Attività Vulnerabili. È prevedibile che i fornitori, i locatori, gli operatori immobiliari, i pubblici ufficiali, gli intermediari, i prestatori di servizi e le altre controparti soggette alla LFPIORPI formulino richieste più ampie e ricorrenti al fine di identificare e verificare i Titolari Effettivi dei propri clienti.

Tali richieste potranno includere: strutture societarie, catene di partecipazione al capitale, libri o registri dei soci e degli azionisti, atti pubblici, accordi che attribuiscono diritti di controllo, documenti di identità e documentazione relativa alle persone fisiche situate al termine della catena di titolarità. Pertanto, le imprese dovranno assicurarsi che la propria documentazione societaria sia aggiornata e che i propri Titolari Effettivi siano correttamente identificati.

Date chiave

Raccomandiamo ai nostri clienti di effettuare un’analisi preliminare per verificare se svolgano una qualsiasi Attività Vulnerabile, anche tramite trust o altre strutture giuridiche collegate. Ove applicabile, raccomandiamo inoltre di: (i) individuare i responsabili e assegnare il relativo budget; (ii) aggiornare i fascicoli e i contratti con i clienti; (iii) definire il modello di rischio; (iv) definire gli scenari di allerta; (v) individuare i requisiti tecnologici necessari per l’implementazione dei sistemi automatizzati; nonché (vi) pianificare la formazione, (vii) l’audit e (viii) l’aggiornamento della documentazione.

Per considerare le implicazioni specifiche di tali riforme per la vostra azienda e definire una strategia di implementazione efficace, vi invitiamo a contattare il team di Compliance di Cannizzo.

Cordiali saluti.

Cannizzo