Secondo i dati del 2024 forniti dal servizio esecutivo della Commissione per la prevenzione del riciclaggio di denaro e dei reati Monetari (SEPBLAC), in Spagna sono state rilevate oltre 24.000 segnalazioni di operazioni sospette a seguito dell'adeguata verifica della clientela (KYC). La maggior parte delle segnalazioni (86%) proveniva da istituzioni finanziarie, seguite da istituzioni non finanziarie (11,6%) e altri tipi di entità (2,6%).

In Spagna, alcune persone giuridiche specifiche hanno l'obbligo legale di implementare controlli di adeguata verifica della clientela. Tuttavia, qualsiasi azienda che desideri migliorare l'individuazione e la prevenzione delle frodi può farlo anche volontariamente. Indipendentemente dal fatto che l'adeguata verifica della clientela sia obbligatoria o meno per la tua attività, è importante sapere come implementarla. In questo articolo spieghiamo l'adeguata verifica della clientela, compresi scopo e procedure.

Contenuto dell'articolo

• Significato dell'adeguata verifica della clientela (KYC)
  
• I vantaggi di un'adeguata verifica della clientela
  
• Chi ha l'obbligo di implementare le procedure di KYC in Spagna
  
• Requisiti legali per le procedure di KYC in Spagna
  
• Esempio di adeguata verifica della clientela in Spagna
  
• Come Stripe Identity semplifica le procedure di KYC
  
• Domande frequenti sull'adeguata verifica della clientela in Spagna
  

Significato dell'adeguata verifica della clientela

Le procedure di adeguata verifica della clientela sono concepite per verificare l'identità dei clienti prima di stipulare contratti di servizi o completare acquisti online. Il suo obiettivo è ridurre il rischio di frodi e altri reati finanziari, come il riciclaggio di denaro.

Per verificare l'identità dei clienti e mitigare le minacce alla sicurezza, tra cui il furto di identità e il furto di dati personali, le attività possono utilizzare meccanismi quali l'autenticazione a due fattori e le firme digitali.

I vantaggi di un'adeguata verifica della clientela

L'implementazione dell'adeguata verifica della clientela, oltre a essere un requisito obbligatorio in alcuni settori, offre vantaggi a livello operativo e strategico per le aziende che operano in ambienti digitali. Questi sono i principali benefici dell'integrazione delle procedure di KYC:

• Protezione contro le frodi
  L'adeguata verifica dell'identità dei clienti rende più difficile l'accesso ai soggetti fraudolenti. Infatti costituisce la prima barriera che verifica ogni cliente. Ciò è particolarmente importante in un ambiente digitale in cui i casi di furto d'identità rappresentano il 14% delle richieste di intervento rivolte all'Istituto nazionale per la sicurezza informatica (INCIBE).
  
• Stabilità operativa
  Il rigoroso rispetto della legge sulla prevenzione del riciclaggio di denaro è fondamentale per garantire la continuità delle attività dell'azienda. Oltre alle sanzioni pecuniarie, un sistema carente di adeguata verifica della clientela può comportare la sospensione delle attività dell'azienda o la revoca dell'incarico degli amministratori.
  
• Automazione e precisione nell'elaborazione dei dati
  La maggior parte delle soluzioni di adeguata verifica della clientela moderne utilizza funzionalità di riconoscimento ottico dei caratteri (OCR) e intelligenza artificiale (IA) per estrarre informazioni dai documenti con elevata precisione. Queste soluzioni di adeguata verifica della clientela, eliminando la necessità di inserire manualmente i dati, riducono al minimo gli errori umani. Ciò consente di ottenere registrazioni dei clienti affidabili e standardizzate.
  
• Attivazione rapida
  Uno dei motivi principali dell'abbandono durante il processo di registrazione è una procedura di attivazione lenta o complessa. L'integrazione di un sistema di adeguata verifica della clientela flessibile può trasformare questa esperienza. Ad esempio, un processo che in precedenza richiedeva documentazione cartacea e lunghi tempi di attesa può ora essere completato in pochi secondi. Inoltre, alcune soluzioni di adeguata verifica della clientela sono compatibili con i documenti di identità di decine di Paesi, rendendo più facile il loro lancio in nuovi mercati.
  

Chi ha l'obbligo di implementare le procedure di KYC in Spagna

Il regolamento (UE) 2024/1624 stabilisce il quadro normativo che disciplina l'applicazione delle politiche e delle procedure di adeguata verifica della clientela nell'Unione Europea. Tuttavia, ogni Stato membro ha la facoltà di introdurre le proprie sfumature giuridiche.

In Spagna, la legge 10/2010 sulla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo disciplina principalmente l'adeguata verifica della clientela. Di seguito forniamo un elenco delle entità che hanno l'obbligo legale di effettuare la riscossione e la verifica delle informazioni identificative quando instaurano o mantengono una relazione commerciale in Spagna.

Istituti finanziari

Gli istituti finanziari sono esposti a un rischio maggiore di transazioni fraudolente poiché si concentrano sulla gestione delle risorse finanziarie dei clienti. Ciò è confermato dai dati SEPBLAC, che indicano che nel 2024\ il maggior numero di report basati su indizi ha riguardato banche, casse di risparmio, istituti di pagamento e altri istituti di credito. Di seguito è riportato un elenco completo degli istituti finanziari tenuti a implementare le procedure di KYC:

• Istituti di credito
  
• Compagnie di assicurazione sulla vita o sugli investimenti
  
• Società di servizi di investimento
  
• Gestori e società di fondi comuni
  
• Gestori di fondi pensione
  
• Gestori e aziende di venture capital
  
• Società di mutua garanzia (ovvero organizzazioni non profit che finanziano le piccole e medie imprese spagnole [PMI]\ e sono disciplinate dalla Legge 1/1994)
  
• Istituti di moneta elettronica e di pagamento
  
• Operatori del cambio valuta
  
• Fornitori di servizi di criptovaluta
  

Istituzioni non finanziarie

Anche alcuni soggetti esterni al settore finanziario sono coinvolti in operazioni ad alto rischio. Secondo SEPBLAC, nel 2024 gli amministratori di lotterie, i cancellieri dei registri e i notai hanno effettuato il maggior numero di segnalazioni basate su indizi. Di seguito sono elencati le istituzioni non finanziarie che devono attuare procedure di KYC:

• Fornitori di servizi di trasferimento di denaro, purché le loro attività principali riguardino la logistica e non quelle tipiche degli istituti di pagamento
  
• Intermediari e finanziatori che operano senza licenza bancaria e che non sono legalmente considerati istituti di credito o enti di credito finanziario
  
• Promotori e agenti immobiliari con transazioni di locazione pari o superiori a 10.000 euro al mese o 120.000 euro all'anno
  
• Revisori dei conti, contabili esterni e commercialisti
  
• Notai e ufficiali dei registri immobiliari, dei registri dei beni mobili e dei registri delle imprese
  
• Avvocati e procuratori legali in determinate transazioni per conto dei clienti, quali transazioni finanziarie o immobiliari
  
• Professionisti che forniscono servizi a società e trust
  
• Casinò
  
• Commercianti di gioielli, pietre preziose o metalli preziosi
  
• Commercianti o intermediari di opere d'arte o oggetti d'antiquariato
  
• Venditori di beni con offerte di riacquisto
  
• Operatori di lotterie e giochi d'azzardo al momento del pagamento delle vincite
  
• I venditori di beni con acquisti da parte di soggetti non residenti in Spagna di valore superiore a 10.000 euro e pagati con metodi di pagamento ad alto rischio, come il contante
  
• Fondazioni e associazioni quando versano o ricevono fondi
  
• Gestori di sistemi di regolamento titoli e di pagamento
  

Anche se un'attività non è tenuta per legge ad adottare un sistema di adeguata verifica della clientela, se ne raccomanda l'implementazione per migliorare la gestione del rischio di frode. Dato che l'adeguata verifica della clientela comporta la verifica dell'identità e delle attività finanziarie dei clienti, questo processo può contribuire a mitigare minacce come il furto di identità.

Requisiti legali per le procedure di KYC in Spagna

La legge 10/2010 stabilisce inoltre i requisiti che tutti i soggetti tenuti ad attuare procedure di KYC devono soddisfare. I requisiti sono classificati in misure di due diligence e misure di controllo. Di seguito descriviamo i requisiti più rilevanti.

Due diligence

La due diligence comporta la raccolta di informazioni sull'identità e sulle attività economiche dei clienti. Le misure di due diligence sono applicate in proporzione al livello di rischio del cliente, al tipo di prodotto o alla natura della transazione. Tale analisi dei rischi deve essere formalizzata per iscritto in anticipo al fine di determinare il profilo di rischio e, in ultima analisi, i requisiti applicabili.

Requisiti di due diligence per i profili a basso rischio

Nei casi in cui l'analisi determini che il profilo di rischio è basso, le normative consentono l'applicazione di misure di due diligence semplificate. Ciò semplifica le procedure senza compromettere la conformità normativa. I requisiti più importanti sono descritti di seguito:

• Identifica il cliente
  Il primo passo per le aziende o i professionisti che implementano procedure di KYC è identificare formalmente il cliente. Se si tratta di una persona giuridica (ad esempio, un'azienda che desidera acquistare un ufficio), è necessario identificare il beneficiario effettivo (ovvero la persona fisica che possiede più del 25% dell'azienda o la controlla).
  
• Verifica l'attività professionale o commerciale
  L'ente responsabile della procedura di adeguata verifica della clientela deve verificare che l'attività professionale o commerciale del cliente sia veritiera (ad esempio, attraverso le buste paga o i profitti dell'azienda). Tale verifica deve essere ragionevole (ovvero proporzionata al livello di rischio dell'operazione).
  
• Determina lo scopo della transazione
  Successivamente, è necessario comprendere lo scopo del cliente nel perseguire la transazione finanziaria. Questo deve essere coerente con l'attività professionale o commerciale precedentemente verificata. Ad esempio, se lo scopo dell'operazione è quello di destinare parte dei risparmi dell'entità all'investimento in criptovalute, un acquisto di 500.000 euro in Bitcoin può essere ragionevole se l'azienda ha ricavi annui di diversi milioni. Tuttavia, non sarebbe ragionevole per una persona fisica con uno stipendio mensile di 1.500 euro.
  
• Implementa il monitoraggio continuo
  Il sistema di adeguata verifica della clientela non si limita all'inizio del rapporto commerciale, ma prevede un monitoraggio continuo. Ad esempio, se un cliente percepiva uno stipendio di 2.900 euro quando ha investito in un fondo, ma ora è disoccupato e senza reddito, è fondamentale che l'istituto finanziario sia a conoscenza di tale informazione. Pertanto, è importante aggiornare i dati dei clienti quando si verificano cambiamenti significativi nei loro profili.
  

Requisiti di due diligence per i profili a rischio elevato

Se dall'analisi risulta che il profilo del cliente, la transazione o l'attività acquisita presentano un rischio elevato, saranno applicate misure di due diligence rafforzate. Queste si aggiungono ai requisiti previsti per i profili a basso rischio. Di seguito illustriamo alcune delle misure più comuni in Spagna:

• Individua l'origine dei fondi
  Questa misura rafforzata si applica, ad esempio, quando il cliente ricopre una carica pubblica, come quella di ministro o di alto dirigente di un partito politico con rappresentanti in parlamento.
  
• Richiedi la firma elettronica
  Se la transazione avviene elettronicamente, l'ente deve verificare l'identità del cliente con una firma elettronica che soddisfi i requisiti stabiliti dal Regolamento (UE) 910/2014.
  
• Richiedi un'autorizzazione espressa
  In alcuni pagamenti transfrontalieri da una banca spagnola a una banca estera, è necessaria l'autorizzazione esplicita da parte della dirigenza senior prima di procedere al trasferimento di fondi.
  

Misure di controllo e informazione

Se i risultati della due diligence indicano una possibile attività illecita, l'azienda responsabile dell'adeguata verifica della clientela deve attuare le seguenti misure di controllo e informazione:

• Verifica straordinaria
  L'entità deve attuare i propri protocolli di controllo interno per indagare sul caso specifico e redigere un report che descriva in dettaglio i motivi del sospetto e le conclusioni raggiunte.
  
• Report sistematici o basati su indicazioni
  Se l'esito dell'esame speciale conferma o rafforza il sospetto iniziale, l'azienda è tenuta a inviare un report alla SEPBLAC indicando l'identità del cliente, l'attività svolta e la transazione sospetta. Anche in assenza di prove che giustifichino il sospetto, è obbligatorio inviare un report sistematico delle transazioni con origine o destinazione in Paesi ad alto rischio di riciclaggio di denaro.
  
• Annullamento della transazione
  L'azienda non deve effettuare la transazione, a meno che ciò non sia impossibile o che possa ostacolare il corso dell'indagine.
  
• Divieto di divulgazione
  L'entità ha il divieto di informare il cliente o terze parti in merito al report alla SEPBLAC, indipendentemente dal fatto che si tratti di un report basato su indizi o sistematico.
  
• Cooperazione con le autorità
  Qualora le autorità competenti richiedano ulteriori informazioni, l'entità è tenuto a fornirle in modo tempestivo e accurato al fine di agevolare lo svolgimento delle indagini.
  
• Conservazione dei documenti
  L'azienda è tenuta a conservare per 10 anni tutta la documentazione che attesta la conformità ai requisiti legali relativi alle procedure di KYC in Spagna.
  

Esempio di adeguata verifica della clientela in Spagna

Sebbene le verifiche di due diligence per l'adeguata verifica della clientela varino a seconda del profilo di rischio e del tipo di business, nella maggior parte dei casi, le fasi fondamentali sono simili. Di seguito è riportato un esempio di procedura di adeguata verifica della clientela in Spagna:

• Accedi al modulo
  Booking.com è il sistema di prenotazione di alloggi più utilizzato nell'ambiente B2C in Spagna, superando anche le prenotazioni dirette con gli hotel. La direzione di un hotel tradizionale decide di avviare una collaborazione con questa agenzia di viaggi online nell'ambito della propria strategia di trasformazione digitale. Per operare sulla piattaforma, deve prima compilare il modulo per l'adeguata verifica della clientela di Booking.com.
  
• Determina il tipo di entità
  Booking.com applica requisiti diversi a seconda del tipo di entità. Ad esempio, i lavoratori autonomi devono solo inserire i propri dati personali e le informazioni relative al conto bancario. Tuttavia, dato l'hotel è registrato nel Registro delle Imprese come società a responsabilità limitata (S.r.l.), i gestori dell'hotel selezionano l'opzione "Entità commerciale".
  
• Compila il modulo
  Il rappresentante compila il modulo per conto della S.r.l. Per operare come azienda partner, Booking.com richiede alcune informazioni, quali la ragione sociale, la data di costituzione e il numero di conto bancario internazionale (codice IBAN) dell'azienda.
  
• Verifica le informazioni e analizza il rischio
  Dopo aver ricevuto il modulo, Booking.com avvia il processo di verifica, che comprende diverse fasi, quali l'identificazione dei titolari della S.r.l. e la verifica della corrispondenza delle informazioni con quelle presenti nel Registro delle imprese. Successivamente, effettua un'analisi dei rischi e, se l'esito è favorevole, avvia un rapporto commerciale con l'hotel.
  
• Attua un'adeguata verifica della clientela per le prenotazioni
  È prassi comune per piattaforme come Booking.com estendere questa procedura ai clienti che effettuano prenotazioni alberghiere per rafforzare i propri protocolli di adeguata verifica della clientela. In questo video, illustriamo il processo di verifica dell'identità con Stripe Identity e i passaggi che i clienti devono completare durante il processo di prenotazione.
  

Come Stripe Identity semplifica le procedure di KYC

Se per legge hai l'obbligo di attuare un sistema di adeguata verifica della clientela in Spagna, devi garantire che le procedure di raccolta delle informazioni siano conformi al Regolamento generale sulla protezione dei dati (GDPR). Stripe Identity facilita questo compito semplificando la verifica dell'identità durante il processo di attivazione e garantendo la conformità alle normative di adeguata verifica della clientela spagnole.

Identity ti consente di verificare l'identità dei clienti e ridurre il rischio di fughe di dati riservati. Inoltre, semplifica il carico di lavoro dei team antifrode riducendo le attività manuali, aiutando al contempo i clienti legittimi a beneficiare di processi di verifica più rapidi e semplici.

Inoltre, l'integrazione di Stripe Payments, la piattaforma di pagamento online di Stripe, con Stripe Radar, il suo strumento antifrode, può contribuire a prevenire attacchi fraudolenti. Ciò è possibile grazie alle misure di sicurezza di questi sistemi e alla prevenzione dei falsi positivi che potrebbero influire sulla conversione.

Per le piattaforme e i marketplace, Stripe Connect può semplificare le procedure di KYC relative alla gestione dei pagamenti multiparte. Integra le verifiche di adeguata verifica della clientela per i clienti, oltre alla verifica per le attività e i professionisti che offrono i loro prodotti e servizi sul tuo sito web.

Domande frequenti sull'adeguata verifica della clientela in Spagna

È obbligatorio eseguire le procedure di KYC per tutte le transazioni?

L'obbligatorietà delle procedure di KYC dipende dal tipo di entità. Gli istituti finanziari (ad esempio, istituti di credito e fornitori di servizi di criptovaluta) devono applicare le procedure di KYC a tutte le transazioni. Tuttavia, alcune entità non finanziarie sono tenute a eseguire tali verifiche solo in casi specifici. Ad esempio, i negozi e i professionisti devono eseguire la procedura di KYC per le transazioni con soggetti non residenti per importi superiori a 10.000 euro pagati con metodi di pagamento ad alto rischio.

Che cosa accade se la procedura di adeguata verifica della clientela non viene implementata nonostante l'obbligo?

Se un'azienda non adempie all'obbligo di attuare le procedure di KYC, dovrà accettare le sanzioni in vigore. Le infrazioni minori, come la mancata identificazione di un cliente in una singola transazione, possono comportare richiami privati o multe fino a 60.000 euro. In caso di infrazioni gravi, come la mancata identificazione del cliente in presenza di indizi o certezze di riciclaggio di denaro o finanziamento del terrorismo, la multa minima è di 60.000 euro. Per le violazioni molto gravi, comprese le recidive, la sanzione minima è di 150.000 euro. Oltre alle ammende, le violazioni gravi e molto gravi possono comportare altre conseguenze, come la sospensione temporanea dell'autorizzazione amministrativa all'esercizio dell'attività e l'interdizione dei dirigenti.

È consigliabile implementare le procedure di KYC per un'attività di e-commerce?

Anche se le aziende di e-commerce non sono legalmente obbligate ad adottare un sistema di adeguata verifica della clientela, tale procedura è consigliata per individuare e prevenire le frodi nel commercio elettronico. Acquisendo informazioni sui clienti e sulle loro attività economiche, puoi determinare il livello di rischio nelle relazioni commerciali e, se necessario, adottare ulteriori precauzioni per evitare minacce come il furto di identità. L'adozione della procedura di KYC senza che vi sia l'obbligo di farlo è particolarmente consigliata per le attività che accettano metodi di pagamento più rischiosi, come le aziende di e-commerce che accettano pagamenti in criptovaluta o pagamenti rateali.