Un nome compare in una lista e il sistema genera un alert. Da quel momento comincia la parte più delicata del controllo: capire se quella corrispondenza riguarda davvero la persona che stiamo cercando e, solo dopo, stabilire quale significato attribuirle.

È intorno a questa distanza tra match e decisione che si è sviluppato il talk “Quando il nome non basta. Omonimie e falsi positivi nei controlli di compliance”, organizzato da ComplianceDesign.it e Cheope Risk Management, con Alfredo Lori e Silvia Mazza e Joseph Malvisini, Risk & Compliance Director di Multiversity Group. Un confronto che ha incrociato l’esperienza di chi lavora sugli screening con quella di chi deve utilizzarne i risultati nei processi aziendali.

Le omonimie rappresentano bene la complessità di questo spazio. Liste sanzionatorie, PEP, notizie giudiziarie e adverse media raccolgono informazioni con livelli di dettaglio molto differenti. Il nome è quasi sempre disponibile; data e luogo di nascita, residenza, professione e altri identificativi lo sono molto meno. Proprio il dato dal quale parte più frequentemente la ricerca è spesso insufficiente per stabilire chi ci sia realmente dietro il risultato.

I numeri presentati da Cheope rendono concreta questa distanza. Nel campione medio dell’Osservatorio, su mille posizioni sottoposte a screening circa 150 producono una possibile corrispondenza, mentre soltanto 20 vengono successivamente confermate. In mezzo ci sono oltre cento posizioni che devono essere lavorate, verificate e infine escluse.

Si potrebbe pensare di intervenire sulla sensibilità dei sistemi per ridurre il numero degli alert. Una soglia più selettiva alleggerisce il lavoro, ma aumenta la possibilità di lasciare fuori una corrispondenza rilevante. Il problema non si risolve scegliendo semplicemente quanto allargare o restringere le maglie: richiede la capacità di qualificare ciò che rimane dentro.

Anche perché un falso positivo non è soltanto tempo perso. Una notizia riferita a un omonimo può determinare richieste di approfondimento, rallentare un onboarding e arrivare a influenzare una decisione sulla persona sbagliata. Il costo operativo degli alert inutili esiste ed è significativo, ma la conseguenza più delicata riguarda l’affidabilità stessa del controllo: attribuire correttamente un’informazione prima di utilizzarla per decidere.

Da qui prende forma un lavoro che va molto oltre la verifica del nome. Età, territorio, residenza, professione, cariche e collegamenti possono progressivamente rafforzare o indebolire una possibile corrispondenza. Fonti anagrafiche, camerali o catastali affiancano le liste e consentono di aggiungere profondità a un dato che, preso isolatamente, potrebbe essere ambiguo.

Non sempre un singolo elemento è risolutivo. È spesso la combinazione delle informazioni a permettere di passare dalla somiglianza anagrafica all’identificazione. Ed essere arrivati alla persona corretta non significa ancora aver concluso il lavoro. Una notizia giudiziaria deve essere letta anche alla luce dei suoi sviluppi successivi; un’esposizione politica richiede di comprenderne natura e relazioni; altre informazioni devono essere contestualizzate rispetto al rischio e al rapporto che si sta valutando.

Il metodo illustrato durante il talk segue questa progressione: identificare, valutare, arrivare a un esito che possa essere motivato e ricostruito. Non conta soltanto sapere che un alert sia stato chiuso o confermato. Conta poter spiegare quali informazioni siano state considerate e perché abbiano portato a quella conclusione.

Quando questa logica entra nell’operatività aziendale incontra inevitabilmente un altro problema: la qualità del processo dipende anche dalla qualità dei dati sui quali lavora. Joseph Malvisini ha richiamato l’attenzione sulla necessità di mantenere pulite e aggiornate le basi informative e di calibrare nel tempo strumenti e matrici di rischio sulle caratteristiche dell’organizzazione, del settore e delle controparti effettivamente analizzate. Un sistema sofisticato alimentato da informazioni incomplete o non affidabili continua a produrre un problema, semplicemente più velocemente.

Lo stesso vale per la capacità di gestire i volumi. Monitoraggi periodici, acquisizioni o l’ingresso di nuove controparti possono concentrare grandi quantità di verifiche in poco tempo. Anche il ricorso a competenze esterne, nell’esperienza raccontata da Malvisini, risponde a questa esigenza, purché non si limiti ad aggiungere capacità operativa: lavorare i falsi positivi richiede persone già in grado di leggere, collegare e interpretare informazioni provenienti da fonti differenti.

È proprio su questo terreno che l’evoluzione tecnologica può incidere maggiormente. Automazione e intelligenza artificiale possono velocizzare la ricerca, correlare basi informative, far emergere relazioni e portare all’attenzione dell’analista ciò che merita un approfondimento. Più cresce questa capacità, però, più diventa importante distinguere ciò che può essere automatizzato da ciò che richiede interpretazione.

Automatizzare il match non significa automatizzare la decisione.

Il valore della tecnologia sta anche nel liberare competenze dalle attività più ripetitive per concentrarle nei punti nei quali serve comprendere il contesto, valutare informazioni non univoche e assumere una responsabilità.

Una dinamica che ormai supera il tradizionale perimetro AML. La stessa esigenza di sapere chi ci sia realmente dietro un nominativo riguarda sempre più fornitori, partner e altre controparti. Il Know Your Customer si allarga al Know Your Third Party, portando l’analisi verso titolarità effettiva, partecipazioni e catene di controllo.

Cambia il perimetro, non il problema di fondo. Liste più estese, database più ricchi e tecnologie più evolute moltiplicano le informazioni disponibili, ma la quantità non coincide necessariamente con una migliore conoscenza del rischio.

La qualità del controllo si costruisce nello spazio che separa ciò che il sistema trova da ciò che l’organizzazione decide. È lì che il dato deve diventare informazione, l’informazione deve essere attribuita alla persona corretta e la verifica deve trasformarsi in una decisione motivata e documentabile.

Il match può essere automatico. Capire chi abbiamo realmente davanti e che cosa quell’informazione significhi resta il passaggio che dà valore alla compliance.