Ogni impresa finanziaria autorizzata nell’Unione europea necessita di una persona designata responsabile dei suoi controlli antiriciclaggio e contro il finanziamento del terrorismo (AML/CFT). Le leggi nazionali la definiscono persona di contatto, dipendente senior o compliance officer; il mercato la chiama MLRO o AML officer. Qualunque sia l’etichetta, la nomina è una condizione per l’autorizzazione, non una formalità interna, e il regolatore valuta la persona che la ricopre.
Questa pagina spiega cosa comporta il ruolo, cosa richiede il diritto UE, quali requisiti deve soddisfare un candidato e come Eesti Firma aiuta le società regolamentate in tutta Europa a trovare, assumere e formare lo specialista giusto.
MLRO, AML officer, compliance officer: un ruolo, molti nomi
La funzione è la stessa in tutta l’UE; cambia solo la terminologia. La prassi internazionale preferisce money laundering reporting officer, abbreviato in MLRO. Il Regolamento UE antiriciclaggio parla di compliance officer. Le leggi nazionali usano proprie denominazioni: persona di contatto per l’unità di informazione finanziaria, dipendente senior responsabile dell’organizzazione delle misure antiriciclaggio, responsabile antiriciclaggio con sostituto obbligatorio, nominated officer. Nell’uso quotidiano il ruolo è semplicemente AML officer, AML compliance officer o anti-money laundering officer.
Un MLRO coincide con un compliance officer? In un grande istituto, no: il compliance officer ha un mandato regolamentare più ampio e l’MLRO è responsabile dell’obbligo legale di esaminare e presentare segnalazioni di attività sospette (SAR o STR, secondo la giurisdizione). Nella maggior parte delle fintech e delle società crypto, entrambe le funzioni sono svolte dalla stessa persona, indicata nell’autorizzazione. Per questo questa pagina usa i termini in modo intercambiabile.
Due caratteristiche del ruolo ricorrono in ogni regime e sono ora fissate dal diritto UE. Il compliance officer riferisce direttamente all’organo di amministrazione, non a un responsabile di linea, e la società deve fornirgli competenze, mezzi e accesso alle informazioni necessari in ogni unità aziendale. Un MLRO che non può vedere i dati delle transazioni o bloccare un onboarding non soddisfa la definizione legale.
Responsabilità dell’MLRO: cosa fa un money laundering reporting officer
Le leggi nazionali elencano i compiti essenziali; le regole interne della società e le condizioni dell’autorizzazione vi aggiungono ulteriori obblighi. In pratica, l’MLRO si occupa di quanto segue:
- organizza la raccolta e l’analisi di informazioni su operazioni e circostanze insolite o sospette nell’attività della società;
- presenta segnalazioni di operazioni sospette e altre comunicazioni all’unità nazionale di informazione finanziaria (FIU) e funge da punto di contatto per l’autorità competente;
- richiede alle unità aziendali di porre rimedio alle carenze nelle procedure antiriciclaggio entro un termine ragionevole;
- riferisce periodicamente all’organo di amministrazione sulla conformità alla legge;
- gestisce quotidianamente il programma AML: KYC e adeguata verifica della clientela nell’onboarding, monitoraggio delle transazioni, controllo delle sanzioni, conservazione dei registri, formazione del personale e aggiornamento delle regole interne e della valutazione del rischio a livello aziendale.
Il peso di ciascun compito dipende dal modello di business; due settori meritano un approfondimento separato.
AML officer per un prestatore di servizi per crypto-asset (CASP)
Una società che possiede o richiede una licenza crypto in Europa opera nel quadro MiCA e risponde a un’autorità di vigilanza finanziaria, non soltanto a una FIU. L’AML officer di una società crypto deve saper leggere le analisi blockchain, applicare la Travel Rule che associa i dati dell’ordinante e del beneficiario a ogni trasferimento crypto e soddisfare l’autorità competente, che valuta l’intero organo di amministrazione per reputazione e conoscenze. Le domande MiCA indicano l’MLRO tra i titolari di funzioni chiave i cui CV e dichiarazioni di reputazione entrano nel dossier; il candidato viene quindi scelto prima del deposito della domanda, non dopo. Chi conosce la legge ma non ha mai tracciato una transazione on-chain incontrerà difficoltà.
MLRO per istituto di pagamento, EMI o fintech
Gli istituti di pagamento, gli istituti di moneta elettronica (EMI), i creditori e gli altri titolari di una licenza di istituto finanziario elaborano elevati volumi in tempo reale. L’MLRO di una società di pagamenti è valutato sul disegno del monitoraggio: le regole che segnalano una transazione, le soglie che attivano l’adeguata verifica rafforzata, il percorso di escalation verso una segnalazione. Le banche corrispondenti e i partner acquirer svolgono propri controlli sulla funzione AML della fintech, aggiungendo una dimensione commerciale al ruolo.
Il quadro minimo UE: compliance manager e compliance officer
Il Regolamento UE antiriciclaggio sostituisce i recepimenti nazionali delle direttive AML con un corpus unico di regole direttamente applicabile in ogni Stato membro. Per la funzione di compliance prescrive una struttura a due livelli che la maggior parte dei regimi nazionali già riflette: un compliance manager scelto nell’organo di amministrazione, responsabile della politica e delle relative risorse, e un compliance officer nominato da tale organo, che gestisce i controlli quotidiani, presenta segnalazioni alla FIU e agisce da punto di contatto per le autorità di vigilanza.
Quattro aspetti sono rilevanti per l’assunzione. Il compliance officer deve avere un livello gerarchico sufficientemente elevato, riferire direttamente all’organo di amministrazione ed essere libero di sollevare dubbi di propria iniziativa; il Regolamento lo tutela da ritorsioni e pressioni commerciali. La società deve dotare la funzione di personale e tecnologia proporzionati alle sue dimensioni e al rischio. Quando il senior management è soggetto a verifiche fit and proper, il compliance officer è valutato secondo lo stesso standard. Inoltre, la rimozione di un compliance officer richiede preavviso all’organo di amministrazione e una comunicazione all’autorità di vigilanza, quindi una nomina inadeguata è difficile da annullare in silenzio.
Gli Stati membri mantengono proprie modalità di nomina oltre questa soglia minima: requisiti di residenza, notifica alla FIU o all’autorità di vigilanza, approvazione preventiva del candidato. Verifichiamo tali regole per ogni giurisdizione prima di proporre un nominativo.
Due ruoli, non uno
Ai sensi del Regolamento, e dei regimi nazionali che lo rispecchiano, il manager a livello di consiglio e il responsabile operativo sono funzioni distinte. Il primo è responsabile della politica e delle risorse; il secondo gestisce i controlli e firma le segnalazioni. Una sola persona può ricoprire entrambi i ruoli solo quando natura, rischi, complessità e dimensioni dell’attività lo giustificano.
Requisiti dell’MLRO: cosa si aspettano i regolatori da un candidato
Il diritto UE non prescrive un diploma o certificato per il ruolo e le leggi nazionali richiedono in genere istruzione, idoneità, esperienza e reputazione anziché una qualifica specifica. I requisiti dell’MLRO sono qualitativi: un test fit and proper applicato dall’autorità competente o dalla FIU quando la nomina viene coordinata oppure quando una domanda di licenza indica il responsabile previsto. Gli elementi sono sostanzialmente gli stessi ovunque:
- istruzione pertinente ai compiti, tipicamente in diritto, finanza o revisione;
- esperienza professionale in una funzione AML/CFT, idealmente in un istituto vigilato;
- qualità personali e capacità di agire indipendentemente dal lato commerciale dell’attività;
- reputazione impeccabile, verificata tramite casellario giudiziale e precedenti di vigilanza;
- presenza nella giurisdizione quando richiesta dalla legge e capacità effettiva di svolgere l’incarico.
La continuità è parte della valutazione. Diversi regimi nazionali richiedono un MLRO sostituto e ogni autorità di vigilanza chiede cosa accade quando il responsabile è in congedo o si dimette. Nominare un sostituto o organizzare una copertura temporanea risponde alla domanda prima che venga posta.
La capacità viene valutata, non presunta
I regolatori valutano se il candidato possa realmente svolgere il lavoro: ore disponibili, altri incarichi ricoperti, distanza tra la persona e il flusso delle transazioni. Un AML officer che serve più società non collegate, o risiede all’estero e visita solo occasionalmente, suscita proprio le domande che un richiedente di licenza desidera evitare.
MLRO interno, esternalizzato o frazionario: cosa accettano i regolatori
Alla maggior parte delle società che cercano un MLRO viene dapprima offerto un modello di outsourcing: un MLRO virtuale, un responsabile frazionario condiviso tra più start-up, una società che presta un nominativo. La praticabilità dipende dai requisiti della licenza e della legge nazionale, e la risposta varia secondo il modello.
| Modello | Come funziona | Dove i regolatori sollevano obiezioni |
|---|---|---|
| MLRO interno | Dipendente nominato dal consiglio, indicato nella licenza e raggiungibile dalla FIU | Solo sulla persona: istruzione, esperienza, reputazione, capacità |
| MLRO esternalizzato | Una società esterna fornisce una persona designata in base a un accordo di outsourcing | Consentito in alcuni Stati, escluso in altri; ove ammesso, vengono esaminati l’accordo, l’idoneità della persona e la responsabilità mantenuta dal consiglio |
| MLRO frazionario | Un responsabile serve part-time più società non collegate | Capacità e conflitti di interesse; le autorità crypto e dei pagamenti si aspettano sempre più un responsabile per licenza |
| MLRO ad interim | Responsabile temporaneo mentre si cerca un’assunzione permanente o durante un’assenza | Accettato come soluzione ponte se il regolatore è informato; non come struttura permanente |
Eesti Firma opera con tutti e quattro i modelli. Selezioniamo responsabili interni, forniamo servizi MLRO esternalizzati o un responsabile frazionario ove consentiti dalla giurisdizione e dalla licenza e organizziamo un MLRO ad interim quando una società necessita di una soluzione ponte. Se avete già un candidato in mente, lo valutiamo rispetto ai criteri del regolatore prima che il nominativo sia inviato all’autorità.
Selezione di MLRO e servizi AML officer di Eesti Firma
Eesti Firma supporta progetti crypto e fintech dalla prima ondata di autorizzazioni europee e la questione di chi assumere come MLRO emerge in quasi tutti. Gestiamo una pratica dedicata alla ricerca, valutazione, assunzione e formazione di AML compliance officer per società regolamentate in qualsiasi giurisdizione UE, collaborando con partner locali quando la nomina deve essere effettuata sul posto.
Ricerca MLRO e valutazione dei candidati
Selezioniamo i candidati in base alle esigenze del cliente e alle aspettative del regolatore contemporaneamente. Nella valutazione consideriamo anzitutto:
- istruzione ed esperienza pratica AML, idealmente presso un istituto regolamentato;
- conoscenza operativa della legge nazionale, del quadro UE AML/CFT e degli standard FATF;
- reputazione professionale, verificata prima di presentare un nominativo;
- effettiva disponibilità a lavorare nella giurisdizione e a essere raggiungibile dalla FIU.
La stessa valutazione è disponibile come verifica autonoma per un candidato trovato dal cliente: esaminiamo il dossier come farà il regolatore, segnaliamo ciò che probabilmente susciterà domande e diciamo chiaramente se valga la pena presentare la nomina. Una volta scelto il candidato, prepariamo il pacchetto di nomina: delibera del consiglio, descrizione del ruolo e della linea di riporto, documenti che la FIU o l’autorità di vigilanza esamina durante il coordinamento e registrazione dell’assunzione.
Formazione AML officer e corsi di aggiornamento
Un compliance officer appena nominato raramente conosce già a fondo l’attività. Forniamo formazione di onboarding per il nuovo AML officer basata sulla valutazione del rischio e sulle regole interne del cliente, corsi di aggiornamento quando cambiano legge o orientamenti di vigilanza e il programma di formazione AML del personale richiesto dalla legge per i dipendenti che effettuano onboarding della clientela o concludono operazioni.
Supporto continuativo alla compliance AML per l’MLRO
Oltre all’assunzione, i nostri avvocati supportano concretamente il compliance officer: redazione e revisione delle regole interne e della valutazione del rischio, esame degli scenari di monitoraggio, preparazione della corrispondenza con la FIU o l’autorità di vigilanza finanziaria e consulenza su strumenti KYC e di monitoraggio delle transazioni. Se un responsabile lascia l’incarico con breve preavviso, aiutiamo la società a colmare il vuoto senza violare le condizioni della licenza.
A chi è rivolto questo servizio
Prestatori di servizi per crypto-asset, istituti di pagamento e di moneta elettronica, creditori, piattaforme di crowdfunding, prestatori di servizi fiduciari e societari e qualsiasi società che prepari una domanda di licenza in uno Stato membro UE e debba indicare il proprio compliance officer prima del deposito.
Se il vostro progetto necessita di un MLRO, di un AML officer o di un intero team di compliance, descrivete il modello di business, la giurisdizione e la licenza posseduta o richiesta e vi ricontatteremo con profili di candidati e un piano.
Domande frequenti
No. L’obbligo si applica ai soggetti obbligati ai sensi della normativa antiriciclaggio: istituti di credito e finanziari, prestatori di servizi per crypto-asset, prestatori di servizi fiduciari e societari e attività analoghe. Alcune leggi nazionali consentono ad altri soggetti obbligati di nominarne uno volontariamente, altrimenti lasciando i compiti al consiglio di amministrazione; il Regolamento UE richiede una funzione di compliance a ogni soggetto obbligato, proporzionata alle sue dimensioni.
Di norma sì, purché la persona abbia tempo, indipendenza e competenza per gestire la funzione e l’autorità di vigilanza accetti il cumulo. Il manager a livello di consiglio responsabile della politica AML rimane una designazione separata in ogni regime.
Dipende dalla giurisdizione. Alcuni Stati membri richiedono che il responsabile lavori stabilmente nel Paese, altri collegano un requisito di residenza a un senior manager anziché al responsabile e alcuni non ne impongono affatto. Anche in assenza di una regola, il regolatore chiede se un responsabile remoto abbia accesso effettivo all’attività e sia raggiungibile dalla FIU.
La ricerca e la valutazione richiedono da pochi giorni a qualche settimana, a seconda della giurisdizione, della lingua richiesta e del settore. Il coordinamento con la FIU o l’autorità di vigilanza segue poi i tempi dell’autorità; per questo il candidato dovrebbe essere pronto prima del deposito della domanda di licenza, non dopo.
In alcuni Stati membri sì, mediante un accordo scritto di outsourcing e con il consiglio che mantiene la responsabilità; in altri il responsabile designato deve essere un dipendente. In ogni caso, la persona deve soddisfare personalmente i requisiti di legge e riferire all’organo di amministrazione. Forniamo responsabili esternalizzati e frazionari quando le norme lo consentono e selezioniamo un dipendente quando non lo consentono.
La nomina non viene coordinata e, per chi richiede una licenza, la domanda può essere respinta per questo motivo. La società deve trovare un sostituto che soddisfi i requisiti. La pre-valutazione dei candidati rispetto ai criteri del regolatore prima del deposito evita il ritardo.
Nessun certificato è prescritto dal diritto UE e le leggi nazionali richiedono generalmente istruzione, idoneità ed esperienza anziché una qualifica specifica. Le certificazioni AML riconosciute rafforzano il dossier del candidato e riducono le domande del regolatore, ma non sostituiscono l’esperienza in un’attività vigilata.
