EDD (Enhanced Due Diligence): Guida alla procedura di due diligence rafforzata

Cosa significa EDD? L'acronimo sta per Enhanced Due Diligence (Due Diligence Avanzata ) ed è il processo di verifica che le banche eseguono quando nome, indirizzo e foto del passaporto non sono sufficienti per avere la certezza dell'identità della persona con cui hanno a che fare.

Non tutti i clienti ne hanno bisogno. Un dipendente con stipendio fisso che apre un conto di risparmio nel proprio paese d'origine raramente desta sospetti. Ma una società estera con una struttura proprietaria complessa che trasferisce ingenti somme da una giurisdizione presente nella lista di controllo del FATF? In questo caso, la situazione è diversa. La procedura EDD (Employee Due Diligence) è il modo in cui tale procedura viene documentata.

Le sanzioni per chi non rispetta questi obblighi sono ben note. Nel 2023 Binance ha pagato 4,3 miliardi di dollari per risolvere violazioni delle normative antiriciclaggio e KYC (Know Your Customer). Nel 2012 HSBC ha dovuto pagare una multa di 1,9 miliardi di dollari. Nel 2017 Deutsche Bank ha raggiunto un accordo da 630 milioni di dollari. Al di là dei dettagli, ogni caso racconta la stessa storia: qualcuno che necessitava di un controllo più approfondito non lo ha ricevuto. L'EDD (Employment Development Department) esiste proprio per evitare che ciò accada.

Che cos'è EDD nel settore bancario e cosa significa l'acronimo?

Nel settore bancario, l'acronimo EDD sta per Enhanced Due Diligence (Due Diligence Rafforzata) . Occupa il livello più alto del quadro di due diligence della clientela utilizzato dagli istituti finanziari per valutare e gestire il rischio.

La struttura si articola su tre livelli:

• Due Diligence semplificata (SDD) — per clienti a basso rischio con attività prevedibili e di basso valore, come i conti di risparmio di base
• Due Diligence del Cliente (CDD) — il controllo standard applicato alla maggior parte dei clienti: identità, indirizzo, valutazione di base del rischio
• Due Diligence Rafforzata (EDD) — riservata a clienti o transazioni che comportano un rischio elevato di riciclaggio di denaro, finanziamento del terrorismo o altri reati finanziari.

L'EDD non è un prodotto. Si tratta di un insieme di procedure di conformità imposte dalla legge. Il fondamento giuridico si basa su diversi quadri normativi principali:

• Raccomandazione n. 10 del GAFI : richiede agli istituti finanziari di applicare misure rafforzate alle relazioni commerciali ad alto rischio.
• Quarta, quinta e sesta direttiva antiriciclaggio (AMLD) dell'UE : la sesta direttiva AMLD è entrata in vigore nel 2021 e ha progressivamente inasprito i requisiti di due diligence rafforzata (EDD) in tutti gli Stati membri dell'UE.
• Il Bank Secrecy Act (BSA) e il USA PATRIOT Act richiedono un maggiore controllo sulle attività di correspondent banking, sulle persone politicamente esposte (PEP) e sulle giurisdizioni ad alto rischio.
• Direttiva generale della RBI sul KYC (India) — impone la due diligence rafforzata (EDD) per i clienti classificati ad alto rischio secondo le sue regole di categorizzazione del rischio.

Una volta che un istituto segnala un cliente o una transazione che supera la soglia di rischio, l'applicazione della procedura di due diligence rafforzata (EDD) non è una questione di discrezionalità. Si tratta di un obbligo normativo e la documentazione del processo è tanto importante quanto la sua esecuzione.

EDD vs CDD: Comprendere le differenze principali

Spesso si parla di due diligence rafforzata (Enhanced Due Diligence, EDD) e di due diligence rafforzata (Enhanced Due Diligence, CDD), ma la integra quando la situazione richiede un'analisi più approfondita.

Il passaggio dalla CDD alla EDD segue una valutazione del rischio. Se il profilo di un cliente, il suo comportamento transazionale o la sua esposizione geografica superano la soglia di rischio dell'istituto, il processo CDD alimenta direttamente una revisione EDD. Si può pensare alla CDD come a una fase di screening iniziale, mentre la EDD è l'indagine dettagliata che segue un segnale di allarme.

Quando è richiesta una due diligence rafforzata?

La procedura di due diligence rafforzata non si attiva in modo casuale. Si innesca quando emergono specifici fattori di rischio. La Raccomandazione 10 del GAFI e la maggior parte delle leggi nazionali antiriciclaggio definiscono chiaramente le circostanze. A partire dal 2024, il GAFI elenca oltre 23 giurisdizioni sottoposte a monitoraggio rafforzato o soggette a un invito all'azione: qualsiasi cliente con legami significativi con tali paesi fa in genere scattare la procedura di due diligence rafforzata.

I fattori scatenanti più comuni:

1. Persone politicamente esposte (PEP) — funzionari governativi di alto livello, attuali o ex, capi di Stato, comandanti militari e i loro familiari diretti o stretti collaboratori. Le PEP comportano un rischio elevato a causa del loro accesso ai fondi pubblici e del potenziale di corruzione, non per una presunzione di colpevolezza.
2. Clienti provenienti da giurisdizioni ad alto rischio : paesi presenti nella lista grigia o nera del GAFI, oppure luoghi con controlli antiriciclaggio deboli, punteggi elevati in materia di corruzione o regimi sanzionatori attivi.
3. Transazioni insolite o inspiegabili : ingenti depositi in contanti, rapidi movimenti di fondi tra conti, trasferimenti che non corrispondono al reddito dichiarato o all'attività commerciale del cliente.
4. Società di comodo e strutture proprietarie complesse : entità con più livelli di partecipazione, azionisti fiduciari o titolari effettivi finali non chiari.
5. Rapporti di corrispondenza bancaria : quando una banca fornisce servizi a un'altra banca in una giurisdizione estera, l'esposizione indiretta alla clientela di tale istituto amplifica significativamente il rischio.
6. Settori ad alto rischio : criptovalute, gioco d'azzardo, armi e difesa, metalli preziosi, settore immobiliare e attività che fanno ampio uso di contanti, come concessionarie auto e settore alberghiero.
7. Notizie negative sui media : copertura mediatica negativa che collega un cliente a frodi, corruzione, traffico di stupefacenti o attività criminali riscontrate durante la fase di verifica.
8. Scopo aziendale incoerente : quando ciò che un cliente dichiara di fare non corrisponde al modo in cui effettivamente movimenta denaro.

Un singolo evento scatenante è sufficiente per avviare la procedura EDD. In pratica, la presenza contemporanea di più segnali di allarme fa aumentare rapidamente il livello di urgenza.

Chi sono i clienti ad alto rischio ai fini della conformità AML?

Nel contesto dell'antiriciclaggio, per "cliente ad alto rischio" si intende qualsiasi individuo o entità il cui profilo, comportamento o frequentazioni aumentino la probabilità di reati finanziari al di sopra della soglia normale. Queste categorie aiutano i team di compliance a costruire efficaci modelli di valutazione del rischio.

• Persone politicamente esposte (PEP): questo gruppo comprende alti funzionari politici, giudici, ufficiali militari, dirigenti di imprese statali, le loro famiglie e i loro stretti collaboratori. Il rischio deriva dal loro accesso alle risorse pubbliche e al potere decisionale, non da un'eventuale ipotesi di cattiva condotta. La due diligence rafforzata (EDD) per le PEP in genere prevede la verifica della provenienza del patrimonio, un monitoraggio continuo rafforzato e l'approvazione del rapporto da parte dell'alta dirigenza.
• Clienti non residenti e transfrontalieri: le persone che aprono conti in giurisdizioni in cui non risiedono, in particolare quelle provenienti da paesi ad alto rischio, sono soggette a un controllo più rigoroso. I flussi di denaro transfrontalieri sono più difficili da monitorare e offrono maggiori possibilità di occultare la reale provenienza dei fondi.
• Entità societarie con proprietà opaca: trust, holding offshore e strutture societarie multilivello vengono spesso utilizzati come veicoli per il riciclaggio di fondi illeciti. L'EDD (Employment Development Due Diligence) mappa la titolarità effettiva fino al titolare effettivo finale (UBO), ovvero la persona fisica che controlla effettivamente l'entità, generalmente chiunque detenga una quota di proprietà superiore al 25% o eserciti un controllo effettivo.
• Utenti di criptovalute con volumi elevati: portafogli che movimentano volumi ingenti o irregolari senza una chiara giustificazione commerciale, indirizzi collegati a mixer o criptovalute incentrate sulla privacy e utenti che effettuano trasferimenti peer-to-peer rapidi sono tutti candidati a essere sottoposti a due diligence rafforzata (EDD) presso qualsiasi fornitore di servizi di asset virtuali o exchange di criptovalute.
• Attività ad alta intensità di contante: ristoranti, autolavaggi, parcheggi e negozi al dettaglio che gestiscono ingenti quantità di denaro contante sono classici vettori di riciclaggio di denaro. Rintracciare il denaro contante è più difficile, il che rende la verifica della provenienza dei fondi particolarmente importante.

In tutte le categorie, la verifica della titolarità effettiva è fondamentale per qualsiasi revisione EDD significativa. Senza sapere chi controlla effettivamente un'entità, il quadro del rischio è incompleto.

Come condurre una due diligence rafforzata: passo dopo passo

Un processo di due diligence rafforzata (EDD) adeguato deve essere documentato e ripetibile. Saltare dei passaggi o non registrare le motivazioni alla base delle decisioni costituisce di per sé un rischio di non conformità. Ecco come le banche e le piattaforme fintech regolamentate lo gestiscono in genere:

1. Identificazione del trigger : contrassegna il cliente o la transazione utilizzando regole basate sul rischio: esposizione geografica, stato PEP, dimensione della transazione, settore o allerta negativa da parte dei media. Annota il motivo specifico per cui è stata avviata la due diligence rafforzata (EDD).
2. Verifica dell'identità avanzata : raccogli ulteriori prove di identità rispetto a quelle richieste dalla procedura KYC standard. Queste potrebbero includere una copia autenticata del passaporto, un secondo documento d'identità rilasciato dal governo, la verifica biometrica o una videochiamata in diretta. Per le aziende, richiedi i documenti di costituzione, i registri degli azionisti e i registri degli amministratori.
3. Verifica della provenienza dei fondi : accertatevi con precisione da dove provengono i fondi utilizzati nella specifica transazione. Estratti conto bancari, buste paga, contratti di compravendita immobiliare o estratti conto di investimenti sono tutti documenti validi. L'obiettivo è ottenere una documentazione chiara che colleghi la fonte di reddito al trasferimento dei fondi.
4. Verifica della provenienza del patrimonio : determinare come il cliente ha accumulato il proprio patrimonio complessivo nel tempo. Si tratta di una questione più ampia rispetto alla semplice provenienza dei fondi. Per i clienti con un patrimonio elevato, spesso implica l'analisi della storia aziendale, dei documenti relativi alle eredità o delle dichiarazioni dei redditi precedenti.
5. Analisi della copertura mediatica negativa : ricerca in banche dati di notizie, registri delle autorità di controllo e documenti legali per individuare eventuali notizie negative. Verifica la presenza di collegamenti con frodi, corruzione, traffico di stupefacenti o tratta di esseri umani. Registra i risultati, sia positivi che negativi, anche in assenza di elementi rilevanti.
6. Controllo delle PEP e delle liste di sanzioni : confronta il cliente con la lista SDN dell'OFAC, la lista consolidata del Consiglio di sicurezza delle Nazioni Unite, le liste di sanzioni dell'UE, la lista OFSI del Tesoro britannico e qualsiasi equivalente locale. Nel caso di PEP, controlla anche i loro collaboratori diretti.
7. Mappatura della titolarità effettiva : per i clienti aziendali, si crea un diagramma di proprietà che identifica tutti i titolari effettivi al di sopra della soglia e si verifica ciascuno di essi utilizzando i passaggi da 2 a 6.
8. Approvazione del management di alto livello : ottenere una firma documentata da un responsabile senior della conformità prima di procedere con l'inserimento o l'approvazione della transazione. Ciò garantisce sia la responsabilità che la tracciabilità delle verifiche.
9. Monitoraggio continuo : sposta l'account in un profilo di monitoraggio ad alta frequenza. Rivedilo ogni 6-12 mesi per individuare relazioni ad alto rischio, oppure immediatamente in caso di cambiamenti: nuove notizie negative sui media, trasferimenti insoliti, cambi di proprietà.

La due diligence rafforzata (EDD) non è un'autorizzazione da rilasciare una tantum. Un cliente il cui profilo di rischio cambia – ad esempio, a seguito di una nuova associazione con una persona politicamente esposta (PEP), di un trasferimento inatteso di ingenti somme di denaro o di un cambio di titolarità effettiva – necessita di una nuova valutazione, anche se ha superato senza problemi la procedura EDD in fase di onboarding.

Requisiti e lista di controllo per una due diligence rafforzata

Gli ispettori delle autorità di regolamentazione cercano prove che la D&D (Due verifiche anticipate) sia stata eseguita, documentata e approvata. Un fascicolo D&D completo deve mostrare la prova di ogni controllo, non solo la conclusione finale. Di seguito sono riportati i requisiti minimi previsti dalla maggior parte dei principali quadri normativi antiriciclaggio:

• [ ] Identità del cliente verificata con documentazione avanzata
• [ ] Copie certificate dei documenti di identità ottenute e conservate
• [ ] La fonte dei fondi è documentata con prove a supporto
• [ ] Fonte di ricchezza valutata e documentata
• [ ] Screening PEP completato e risultati registrati
• [ ] Verifica delle sanzioni completata (OFAC, ONU, UE, Ministero del Tesoro britannico)
• [ ] Screening delle notizie negative completato e documentato
• [ ] Mappatura della struttura di proprietà effettiva e identificazione dei titolari effettivi.
• [ ] Identità UBO verificate
• [ ] Scopo aziendale e logica della transazione documentati
• [ ] Approvazione del responsabile senior della conformità ottenuta e registrata
• [ ] Valutazione del rischio assegnata e giustificata
• [ ] La frequenza di monitoraggio è stata elevata a un profilo ad alto rischio
• [ ] Programma di revisione confermato (6-12 mesi o in base agli eventi)

Omettere informazioni o documentarle senza fondamento comporta conseguenze reali. Le sanzioni normative per violazioni delle norme antiriciclaggio e di due diligence rafforzata hanno raggiunto livelli record.

Lo schema è coerente: il costo di una corretta esecuzione della procedura EDD è sempre inferiore al costo di non eseguirla.

La due diligence rafforzata (EDD) nel settore delle criptovalute: si applica anche agli asset digitali?

In passato, le criptovalute erano escluse dalla maggior parte dei tradizionali quadri normativi antiriciclaggio. Questa situazione è cambiata con l'aggiornamento delle linee guida del FATF sugli asset virtuali e con l'entrata in vigore a livello globale della Travel Rule.

In breve: sì, la due diligence rafforzata (EDD) si applica pienamente alle aziende del settore delle criptovalute e ai loro utenti ad alto rischio.

In base alla Raccomandazione 16 del GAFI, nota come Travel Rule, i fornitori di servizi di asset virtuali (VASP), inclusi gli exchange di criptovalute, i processori di pagamento e i fornitori di wallet di custodia, devono raccogliere e trasmettere le informazioni del mittente e del beneficiario per le transazioni superiori alla soglia stabilita. Qualsiasi VASP che si occupi di clienti con un profilo ad alto rischio deve applicare la Due Diligence rafforzata (EDD), e non solo la verifica standard.

Fattori scatenanti specifici per la D&D nel settore delle criptovalute:

• Trasferimenti on-chain di grandi dimensioni o rapidi : volumi significativamente superiori alla norma per il profilo di quel cliente.
• Utilizzo di servizi di mixing o tumbling : instradamento dei fondi attraverso protocolli come Tornado Cash che oscurano la cronologia delle transazioni.
• Interazione con indirizzi di portafoglio segnalati : portafogli collegati da società di analisi blockchain (Chainalysis, Elliptic, TRM Labs) a mercati del dark web, ransomware o entità sanzionate.
• Trasferimenti da portafogli non ospitati : spostamento di fondi da o verso portafogli esterni a un custode regolamentato, aggirando il monitoraggio standard da VASP a VASP.
• Modelli di transazione incoerenti : piccoli trasferimenti ad alta frequenza o depositi ingenti senza una chiara motivazione aziendale.

Il regolamento UE sui mercati delle criptovalute (MiCA), entrato in vigore nel 2024, rafforza questi requisiti per le piattaforme che operano in Europa. Normative simili sono attive o in fase di sviluppo nel Regno Unito, negli Emirati Arabi Uniti, a Singapore e negli Stati Uniti.

Per i commercianti e gli operatori di e-commerce che accettano pagamenti in criptovalute, la configurazione di conformità del loro gateway di pagamento è fondamentale. Plisio integra i processi di screening AML e di conformità basati sul rischio direttamente nella sua infrastruttura, alleggerendo significativamente l'onere di conformità EDD per i commercianti che utilizzano la sua piattaforma.

L'EDD (Enhanced Due Diligence) è il metodo con cui il sistema finanziario individua ciò che la verifica standard non riesce a rilevare. Per i team di compliance di banche, fintech e piattaforme di criptovalute, l'acronimo EDD nel settore bancario, Enhanced Due Diligence, descrive esattamente ciò che richiede: più documentazione, verifiche più approfondite e un monitoraggio continuo più rigoroso rispetto a quanto previsto dalla sola due diligence della clientela. Se la procedura è corretta sulla carta, la traccia di audit protegge l'istituto. Se invece viene trascurata, la tabella delle sanzioni riportata sopra illustra le conseguenze.

Simon Chartan

A journalist with a strong technical background and a passion for decentralized finance. With degrees in MBA and Master of Engineering in Data Science, the author combines analytical expertise with a clear, engaging writing style. At Plisio, they cover topics such as cryptocurrency, blockchain, DeFi, and digital finance—helping readers make sense of a rapidly evolving fintech landscape.