Know Your Customer (KYC): significato, obblighi normativi e processo di verifica

Il Know Your Customer (KYC) è l’insieme delle procedure con cui un soggetto obbligato verifica l’identità della propria controparte, ne valuta il profilo di rischio e monitora il rapporto nel tempo, in conformità alle normative antiriciclaggio (AML). In ambito B2B, il KYC non riguarda solo l’onboarding di nuovi clienti: si estende ai fornitori, ai partner commerciali e a qualsiasi soggetto coinvolto in flussi di pagamento rilevanti. Ignorare o applicare superficialmente le procedure KYC espone l’ organizzazione a sanzioni amministrative, rischi penali e perdite finanziarie dirette.ra elettronica genuina viene intercettata e alterata nei dati di pagamento.
In breve:

Il KYC (acronimo di know your customer, in italiano ‘conosci il tuo cliente’) indica il processo normativo e operativo con cui istituzioni finanziarie, intermediari e altri soggetti obbligati raccolgono, verificano e aggiornano le informazioni sulla propria clientela e sulle proprie controparti commerciali. L’obiettivo è accertare chi siano effettivamente i soggetti con cui si opera e quali rischi di riciclaggio, finanziamento al terrorismo o attività illecite possano derivare dal rapporto.
Il significato di KYC si estende ben oltre la semplice raccolta di documenti: include la valutazione del profilo di rischio, l’identificazione del titolare effettivo nelle strutture societarie complesse e la sorveglianza continuativa nel tempo. In un contesto B2B, questo si traduce in verifiche su fornitori, partner e istituti bancari controparte che possono incidere direttamente sui processi di pagamento e di gestione del rischio finanziario.

Il termine KYC è spesso usato in modo interscambiabile con Customer Due Diligence (CDD), ma i due concetti non coincidono esattamente. Il KYC è il framework normativo e l’insieme degli obblighi; la CDD è il processo operativo di raccolta e valutazione delle informazioni che dà attuazione a quegli obblighi. La CDD può essere semplificata (SDD, per controparti a basso rischio), ordinaria (per il profilo standard) o rafforzata (EDD, Enhanced Due Diligence), obbligatoria per soggetti classificati ad alto rischio, come le Persone Esposte Politicamente (PEP) o controparti con sede in Paesi terzi ad alto rischio.

Il KYC è un componente del più ampio sistema AML (Anti-Money Laundering, antiriciclaggio). L’AML include anche il monitoraggio delle transazioni, la segnalazione delle operazioni sospette all’Unità di Informazione Finanziaria (UIF) e i controlli sulle liste di sanzioni. In pratica, il Know Your Customer fornisce la base informativa su cui si costruisce l’intera architettura di presidio: senza una corretta identificazione della controparte, i sistemi di monitoraggio transazionale operano su dati incompleti e i falsi negativi aumentano.

Il KYC è rilevante per le aziende su tre livelli distinti: normativo, operativo e reputazionale. Sul piano normativo, i soggetti obbligati che non applicano correttamente le procedure KYC rischiano sanzioni amministrative pecuniarie, interdizioni dall’attività e, nei casi più gravi, responsabilità penali. Sul piano operativo, un processo KYC strutturato riduce l’esposizione a frodi identitarie, a fornitori fittizi e a schemi di pagamento anomali. Sul piano reputazionale, la capacità di dimostrare la conformità alle norme antiriciclaggio è diventata un requisito nei rapporti con banche corrispondenti, assicuratori e partner internazionali.

Secondo i dati della UIF (Unità di Informazione Finanziaria per l’Italia, Banca d’Italia), nel 2024 sono state ricevute 145.401 segnalazioni di operazioni sospette, con un aumento delle segnalazioni complesse che richiedono approfondimenti avanzati (fonte: UIF, Rapporto annuale n. 17/2025). Questo dato non misura solo il volume delle anomalie rilevate: riflette anche la qualità dei presidi KYC adottati dai soggetti segnalanti. Un’organizzazione con procedure KYC lacunose tende a generare segnalazioni tardive o incomplete, con conseguente rischio di coinvolgimento involontario in flussi illeciti.
A livello europeo, nel 2022 le sanzioni al settore bancario per non conformità alle normative antiriciclaggio hanno superato i 2 miliardi di dollari a livello globale (fonte: dati aggregati istituzionali, Fonte non disponibile per disaggregazione geografica aggiornata). Questi numeri evidenziano che la non conformità non è un rischio teorico ma un costo operativo reale.

In Italia, gli obblighi di Know Your Customer per l’antiriciclaggio derivano principalmente dal D.Lgs. 231/2007, modificato e integrato dal D.Lgs. 90/2017, che ha recepito la IV Direttiva AML europea (2015/849). Dal 28 agosto 2019 le disposizioni attuative della Banca d’Italia hanno ulteriormente specificato i soggetti obbligati e le modalità operative di adeguata verifica della clientela.
I soggetti obbligati comprendono: intermediari bancari e finanziari (banche, SIM, SGR, istituti di pagamento, IMEL), professionisti (notai, avvocati, dottori commercialisti, revisori), operatori non finanziari (agenti immobiliari, commercianti di beni di valore elevato, prestatori di servizi di gioco). Con il nuovo pacchetto AML Package 2024, l’ambito si allarga ulteriormente a piattaforme di cripto-attività, operatori di crowdfunding, agenti calcistici e commercianti di beni di lusso.

Il 19 giugno 2024 è stato pubblicato sulla Gazzetta Ufficiale dell’UE il pacchetto normativo antiriciclaggio noto come AML Package, adottato dal Parlamento Europeo il 24 aprile 2024. Il pacchetto si articola in tre strumenti principali: il Regolamento UE 2024/1624 (Single Rulebook), che unifica le regole di identificazione della clientela applicabili direttamente in tutti gli Stati membri; il Regolamento UE 2024/1620, che istituisce l’AMLA (Anti-Money Laundering Authority), con sede a Francoforte, operativa dal 1° luglio 2025; la Direttiva UE 2024/1640, che disciplina le autorità nazionali di vigilanza con termine di recepimento per l’Italia fissato al 10 luglio 2027 (fonti: Parlamento Europeo, maggio 2024; Transparency International Italia, ottobre 2024).
A partire dal 1° gennaio 2026, l’EBA (Autorità Bancaria Europea) ha trasferito all’AMLA tutti i mandati relativi all’antiriciclaggio. Questo significa che le linee guida e i technical standards in materia di KYC e CDD saranno progressivamente aggiornati dall’AMLA, con impatti sulle procedure interne dei soggetti obbligati a partire dal 2026-2027.

A livello internazionale, il quadro KYC si fonda sulle 40 Raccomandazioni del GAFI/FATF (Gruppo di Azione Finanziaria Internazionale), aggiornate periodicamente dall’organismo intergovernativo. Le raccomandazioni GAFI definiscono gli standard globali per la Customer Due Diligence, l’identificazione del titolare effettivo e il monitoraggio delle transazioni. L’Italia ha presieduto il GAFI nel 2011-2012 e i propri sistemi nazionali vengono valutati periodicamente sulla base degli 11 Immediate Outcomes del GAFI (fonte: MEF, Dipartimento del Tesoro).
Principali riferimenti normativi KYC applicabili in Italia:

Il processo di Know Your Customer si articola in tre fasi sequenziali, ciascuna con requisiti specifici definiti dalla normativa e dalle disposizioni attuative. L’intensità di ogni fase varia in funzione del profilo di rischio attribuito alla controparte.

La prima fase consiste nella raccolta dei dati identificativi della controparte. Per le persone fisiche: nome, cognome, data e luogo di nascita, codice fiscale, documento di identità in corso di validità. Per le persone giuridiche: denominazione sociale, sede legale, codice fiscale o numero di registrazione, natura giuridica, oggetto sociale, poteri di rappresentanza. Per gli enti con strutture societarie complesse, è obbligatoria l’identificazione del titolare effettivo, ovvero della persona fisica che in ultima istanza possiede o controlla l’entità (soglia: partecipazione diretta o indiretta superiore al 25%).

La verifica consiste nel riscontro dei dati dichiarati attraverso fonti indipendenti e affidabili. Nella verifica ordinaria, è sufficiente il controllo del documento di identità originale. Nella verifica rafforzata (EDD), si richiedono fonti aggiuntive: visura camerale aggiornata, controllo incrociato su banche dati pubbliche, screening su liste di sanzioni internazionali (ONU, UE, OFAC), verifica dello status di PEP (Persona Esposta Politicamente) e dei relativi familiari e stretti collaboratori. Il controllo delle liste di sanzioni non è facoltativo: è obbligatorio per tutti i soggetti obbligati prima di qualsiasi operazione con nuove controparti.

Il KYC non si esaurisce all’onboarding. L’obbligo di monitoraggio continuativo richiede la sorveglianza delle transazioni nel tempo, la verifica della coerenza tra l’operatività osservata e il profilo atteso della controparte, e l’aggiornamento periodico dei dati identificativi. Qualsiasi variazione significativa nel comportamento transazionale o nell’assetto proprietario della controparte può richiedere una nuova verifica approfondita. In presenza di operazioni sospette, il soggetto obbligato è tenuto alla segnalazione alla UIF secondo i tempi e le modalità previsti dal D.Lgs. 231/2007.

Per le funzioni CFO, tesoreria e compliance, il processo KYC si traduce concretamente nella gestione del rischio di controparte nei flussi di pagamento. La verifica Know Your Customer applicata ai fornitori e ai partner commerciali richiede l’integrazione tra i sistemi di onboarding, i database di compliance e i processi P2P (Procure-to-Pay). Un fornitore non identificato correttamente è un vettore di rischio tanto sul piano della frode (sostituzione IBAN, fatture false) quanto su quello normativo (complicità involontaria in operazioni illecite). Un aspetto spesso sottovalutato in ambito B2B riguarda le modifiche all’anagrafica fornitore: ogni richiesta di aggiornamento dell’IBAN o dei dati bancari di una controparte deve essere trattata come un evento KYC a tutti gli effetti, con verifica dell’identità del richiedente e controllo della corrispondenza tra conto e intestatario tramite servizio di Verification of Payee (VoP), oggi obbligatorio per i bonifici in euro in applicazione del Regolamento UE 2024/886.

Il D.Lgs. 231/2007 prevede tre livelli di Due Diligence della clientela, determinati dall’analisi del rischio associato alla specifica controparte e alla tipologia di rapporto.

La scelta del livello di verifica non è discrezionale ma si fonda su una valutazione documentata del rischio, che deve considerare il tipo di cliente, il Paese di residenza o operatività, il canale attraverso cui si instaura il rapporto e la natura dell’operazione. Un errore nella classificazione del rischio può esporre il soggetto obbligato a contestazioni in sede ispettiva.

L’eKYC (electronic Know Your Customer) indica i processi di verifica dell’identità condotti in modalità digitale, attraverso strumenti come il riconoscimento ottico dei documenti (OCR), la biometria facciale, la firma elettronica qualificata e i sistemi di identità digitale eIDAS. In Italia, l’utilizzo dell’identità digitale SPID o della CIE come strumento di identificazione remota è riconosciuto dalla normativa antiriciclaggio per alcune categorie di soggetti e operazioni.
Per le aziende, la digitalizzazione del processo KYC produce benefici concreti: riduzione dei tempi di onboarding da settimane a ore, abbattimento dei costi operativi di gestione documentale, miglioramento della qualità dei dati raccolti e tracciabilità completa del processo per le verifiche ispettive. Tuttavia, il passaggio all’eKYC richiede anche un adeguamento dei controlli sui rischi specifici del canale digitale, in particolare la verifica dell’integrità dei documenti e la prevenzione delle frodi da deepfake.

Le aziende non sono solo soggetti che applicano il KYC verso i propri clienti e fornitori: sono a loro volta oggetto di verifica da parte degli istituti bancari con cui intrattengono rapporti. L’intensità della due diligence che una banca esegue su un cliente aziendale dipende dal profilo di rischio, dalla complessità della struttura societaria e dall’operatività transazionale. Le aziende con assetti proprietari opachi, trasferimenti frequenti verso Paesi ad alto rischio o cambiamenti improvvisi nell’operatività rischiano misure di adeguata verifica rafforzata che possono rallentare l’operatività bancaria o, nei casi estremi, portare alla chiusura dei conti.
La capacità di presentare documentazione KYC aggiornata e strutturata (visura camerale, organigramma societario, identificazione del titolare effettivo, politiche AML interne) è diventata un elemento di gestione del rapporto bancario, non solo un adempimento burocratico.
Per approfondire come Sis ID supporta le aziende nel controllo delle controparti e nella prevenzione delle frodi sui bonifici, scopri la nostra soluzione antifrode.