Adeguata verifica della clientela (CDD): cos’è, obblighi normativi e come si applica in ambito aziendale

L’adeguata verifica della clientela (in inglese Customer Due Diligence, o CDD) è il processo con cui i soggetti obbligati raccolgono, verificano e aggiornano le informazioni sulle proprie controparti per prevenire il riciclaggio di denaro e il finanziamento del terrorismo. In Italia, l’obbligo di adeguata verifica della clientela è disciplinato dal D.Lgs. 231/2007, modificato dal D.Lgs. 90/2017, e dalle Disposizioni attuative della Banca d’Italia del 2019. L’intensità del processo varia in funzione del profilo di rischio attribuito alla controparte: adeguata verifica semplificata, ordinaria o rafforzata.

In breve:

L’adeguata verifica della clientela (o adeguata verifica clientela antiriciclaggio) indica l’insieme delle procedure con cui un soggetto obbligato accerta l’identità della propria controparte, ne valuta il profilo di rischio e sorveglia il rapporto nel tempo. Non si riduce alla raccolta di un documento di identità: include l’identificazione del titolare effettivo nelle strutture societarie complesse, il controllo sulle liste di sanzioni internazionali e la verifica della coerenza tra l’operatività osservata e il profilo dichiarato.
Il termine CDD (acronimo di Customer Due Diligence) è spesso usato come sinonimo di adeguata verifica clientela, benché i due concetti non coincidano esattamente. Il significato di customer due diligence in senso stretto indica il processo operativo di raccolta e valutazione delle informazioni che dà attuazione agli obblighi normativi di Know Your Customer (KYC). La CDD rappresenta il livello standard di verifica; sopra e sotto di essa si collocano rispettivamente la verifica rafforzata (EDD, Enhanced Due Diligence) e la verifica semplificata (SDD, Simplified Due Diligence).

Il KYC (Know Your Customer) è il framework normativo e l’insieme degli obblighi che impongono di conoscere la propria controparte. La CDD è il processo operativo con cui si dà attuazione a quegli obblighi. L’AML (Anti-Money Laundering, antiriciclaggio) è il sistema più ampio in cui KYC e CDD si inseriscono, insieme al monitoraggio delle transazioni, alla segnalazione delle operazioni sospette alla UIF e al controllo delle liste di sanzioni. Senza una corretta adeguata verifica della clientela, i sistemi di monitoraggio transazionale operano su dati incompleti e il tasso di falsi negativi aumenta.

L’obbligo di adeguata verifica della clientela si attiva al verificarsi di specifiche condizioni previste dall’ art. 17 del D.Lgs. 231/2007. In sintesi, l’obbligo sorge:

In ambito aziendale, una casistica spesso sottovalutata riguarda le modifiche all’anagrafica fornitore: ogni richiesta di aggiornamento dell’IBAN o dei dati bancari di una controparte deve essere trattata come un evento di adeguata verifica a tutti gli effetti, con verifica dell’identità del richiedente e controllo della corrispondenza tra conto e intestatario tramite il servizio di Verification of Payee (VoP), oggi obbligatorio per i bonifici in euro ai sensi del Regolamento UE 2024/886 sui bonifici istantanei.

Il D.Lgs. 231/2007 prevede tre livelli di adeguata verifica clientela, determinati dall’analisi del rischio associato alla specifica controparte e alla tipologia di rapporto. La scelta del livello non è discrezionale: si fonda su una valutazione documentata che deve considerare il tipo di cliente, il Paese di residenza o operatività, il canale attraverso cui si instaura il rapporto e la natura dell’ operazione.

Un errore nella classificazione del rischio può esporre il soggetto obbligato a contestazioni in sede ispettiva, indipendentemente dall’assenza di operazioni illecite effettive.

La verifica rafforzata è obbligatoria nei confronti di controparti classificate ad alto rischio. Rientrano in questa categoria le Persone Esposte Politicamente (PEP) e i loro familiari e stretti collaboratori, le controparti con sede o operatività in Paesi terzi ad alto rischio identificati dalla Commissione UE o dal GAFI/FATF, le operazioni complesse o di importo insolitamente elevato prive di una chiara ragione economica, e i rapporti instaurati attraverso canali ad alto rischio (es. canale non face-to-face senza strumenti di identificazione digitale certificati). Nella verifica rafforzata è richiesta l’approvazione del senior management prima dell’avvio o del mantenimento del rapporto, nonché la sorveglianza intensificata delle transazioni.

Gli adempimenti previsti per l’adeguata verifica della clientela si articolano in tre fasi sequenziali, definite dal D.Lgs. 231/2007 e dalle Disposizioni Banca d’Italia del 2019.

La prima fase consiste nella raccolta dei dati identificativi della controparte. Per le persone fisiche: nome, cognome, data e luogo di nascita, codice fiscale, documento di identità in corso di validità. Per le persone giuridiche: denominazione sociale, sede legale, codice fiscale o numero di registrazione, natura giuridica, oggetto sociale, poteri di rappresentanza. Per gli enti con strutture societarie complesse, è obbligatoria l’identificazione del titolare effettivo, ovvero della persona fisica che in ultima istanza possiede o controlla l’entità (soglia: partecipazione diretta o indiretta superiore al 25%).

La verifica consiste nel riscontro dei dati dichiarati attraverso fonti indipendenti e affidabili. Nell’adeguata verifica ordinaria, è sufficiente il controllo del documento di identità originale. Nella verifica rafforzata (EDD), si richiedono fonti aggiuntive: visura camerale aggiornata, controllo incrociato su banche dati pubbliche, screening su liste di sanzioni internazionali (ONU, UE, OFAC), verifica dello status di PEP e dei relativi familiari e stretti collaboratori. Il controllo delle liste di sanzioni non è facoltativo: è obbligatorio per tutti i soggetti obbligati prima di qualsiasi operazione con nuove controparti.

L’adeguata verifica della clientela non si esaurisce all’onboarding. L’obbligo di monitoraggio continuativo richiede la sorveglianza delle transazioni nel tempo, la verifica della coerenza tra l’operatività osservata e il profilo atteso della controparte, e l’aggiornamento periodico dei dati identificativi. Qualsiasi variazione significativa nel comportamento transazionale o nell’assetto proprietario della controparte può richiedere una nuova verifica approfondita. In presenza di operazioni sospette, il soggetto obbligato è tenuto alla segnalazione alla UIF secondo i tempi e le modalità previsti dal D.Lgs. 231/2007.

In Italia, l’obbligo di adeguata verifica della clientela antiriciclaggio ricade sui soggetti indicati dal D.Lgs. 231/2007, modificato e integrato dal D.Lgs. 90/2017, che ha recepito la IV Direttiva AML europea (2015/849). Le disposizioni attuative della Banca d’Italia del 28 agosto 2019 hanno ulteriormente specificato i soggetti obbligati e le modalità operative. I soggetti obbligati comprendono: intermediari bancari e finanziari (banche, SIM, SGR, istituti di pagamento, IMEL), professionisti (notai, avvocati, dottori commercialisti, revisori), operatori non finanziari (agenti immobiliari, commercianti di beni di valore elevato, prestatori di servizi di gioco). Con il nuovo AML Package 2024, l’ambito si allarga a piattaforme di cripto-attività, operatori di crowdfunding, agenti calcistici e commercianti di beni di lusso.

Il 19 giugno 2024 è stato pubblicato sulla Gazzetta Ufficiale dell’UE il pacchetto normativo antiriciclaggio noto come AML Package, adottato dal Parlamento Europeo il 24 aprile 2024. Il pacchetto si articola in tre strumenti principali: il Regolamento UE 2024/1624 (Single Rulebook), che unifica le regole di identificazione della clientela applicabili direttamente in tutti gli Stati membri; il Regolamento UE 2024/1620, che istituisce l’AMLA (Anti-Money Laundering Authority), con sede a Francoforte, operativa dal 1° luglio 2025; la Direttiva UE 2024/1640, che disciplina le autorità nazionali di vigilanza con termine di recepimento per l’Italia fissato al 10 luglio 2027 (fonti: Parlamento Europeo, maggio 2024). A partire dal 1° gennaio 2026, l’EBA ha trasferito all’AMLA tutti i mandati relativi all’antiriciclaggio, con impatti sulle procedure interne dei soggetti obbligati a partire dal biennio 2026-2027.

La mancata applicazione dell’adeguata verifica della clientela espone il soggetto obbligato a conseguenze su tre piani distinti. Sul piano sanzionatorio amministrativo, il D.Lgs. 231/2007 prevede sanzioni pecuniarie il cui importo varia in funzione della gravità della violazione e della dimensione del soggetto obbligato, nonché interdizioni dall’attività. Sul piano penale, nei casi più gravi si configurano responsabilità individuali in capo ai soggetti che hanno omesso i controlli. Sul piano operativo, la UIF (Unità di Informazione Finanziaria per l’Italia, Banca d’Italia) può avviare procedimenti amministrativi e trasmettere segnalazioni agli organi investigativi. Secondo i dati della UIF, nel 2024 sono state ricevute 145.401 segnalazioni di operazioni sospette, con un incremento delle segnalazioni complesse che richiedono approfondimenti avanzati (fonte: UIF, Rapporto annuale n.17/2025). Un’organizzazione con procedure di adeguata verifica clientela lacunose tende a generare segnalazioni tardive o incomplete, con il rischio di coinvolgimento involontario in flussi illeciti.

La normativa sulla conservazione dei dati raccolti durante l’adeguata verifica della clientela è disciplinata dall’art. 31 del D.Lgs. 231/2007. I soggetti obbligati devono conservare i documenti, i dati e le informazioni acquisiti per un periodo di dieci anni dalla conclusione del rapporto continuativo o dall’esecuzione dell’operazione occasionale. Questo obbligo si applica sia ai dati identificativi della controparte sia alla documentazione relativa alle operazioni effettuate. La conservazione deve garantire la ricostruzione delle singole operazioni e la loro attribuzione alla controparte, anche ai fini di eventuali accertamenti da parte dell’Autorità giudiziaria o delle autorità di vigilanza. Il mancato rispetto degli obblighi di conservazione costituisce autonoma violazione normativa, indipendentemente dall’esistenza di operazioni sospette.

Le procedure di adeguata verifica della clientela producono il massimo effetto quando vengono integrate con i controlli operativi sui pagamenti. La verifica dell’IBAN della controparte prima di ogni bonifico, in conformità al Regolamento UE 2024/886, è il complemento naturale del processo CDD: consente di accertare che le coordinate bancarie appartengano effettivamente all’intestatario atteso, neutralizzando le frodi da sostituzione IBAN che colpiscono le aziende nelle fasi di onboarding fornitore e di modifica anagrafica.

Sis ID supporta le aziende nell’automazione di questi controlli attraverso la propria soluzione di verifica IBAN e controllo delle controparti, con integrazione nei sistemi ERP e nei processi P2P, in linea con i requisiti normativi vigenti.

Scopri la soluzione antifrode di Sis ID.