Ne abbiamo approfondito le implicazioni con Giuseppe Sciarretta, Head of AML, e Vincenzo Bollino, Sanctions Specialist di Unipol Assicurazioni.

Le sanzioni sono europee, ma la loro applicazione continua a confrontarsi con 27 sistemi nazionali. Un assetto che, soprattutto nelle operazioni transfrontaliere, può produrre interpretazioni differenti, prassi di controllo non omogenee e margini di incertezza per gli intermediari. Differenze che, nei casi più critici, possono trasformarsi in opportunità di elusione. L’annuncio del 5 novembre della Commissaria europea Maria Luís Albuquerque, relativo alla creazione dell’EU Sanctions Office e della EU Crypto Sanctions Task Force, interviene proprio su questa frammentazione, con l’obiettivo di rafforzare il coordinamento tra autorità e rendere più uniforme l’attuazione delle misure restrittive.

«Per gli intermediari, una maggiore uniformità interpretativa potrebbe rappresentare un beneficio concreto. Oggi la complessità non deriva soltanto dalle disposizioni da applicare, ma anche dalla necessità di confrontarsi con approcci e aspettative di supervisione differenti», osserva Sciarretta.

Meno frammentazione, controlli più incisivi

Il nuovo ufficio europeo sarà chiamato a intervenire lungo l’intero ciclo di vita delle sanzioni, dal supporto interpretativo agli Stati membri alla collaborazione internazionale, fino al monitoraggio dei fenomeni di elusione. «Per gli operatori finanziari, un coordinamento più strutturato potrebbe tradursi in indicazioni più tempestive e criteri applicativi maggiormente condivisi. Un beneficio non secondario in un ambito nel quale le incertezze interpretative assorbono risorse e rendono più complessa la gestione dei controlli», sottolinea Bollino.

Accanto all’EU Sanctions Office, la Crypto Sanctions Task Force concentrerà l’attenzione sui tentativi di aggiramento delle restrizioni attraverso le cripto-attività. La rapidità dei trasferimenti, la dimensione transfrontaliera delle operazioni e il coinvolgimento di soggetti appartenenti a giurisdizioni differenti richiedono capacità di analisi e cooperazione difficilmente riconducibili ai soli confini nazionali. L’utilizzo delle cripto-attività nei fenomeni di elusione rende, infatti, ancora più importante la capacità di ricostruire collegamenti tra soggetti e operazioni. La condivisione delle informazioni e delle competenze tra autorità può contribuire a rendere più efficaci anche i presidi degli intermediari.

Dallo screening alla capacità di intercettare l’elusione

Il rafforzamento del coordinamento europeo potrebbe riflettersi anche sulle aspettative nei confronti dei sistemi di compliance.L’aggiornamento delle liste sanzionatorie, la qualità dello screening, le verifiche su clienti, controparti e titolari effettivi, la gestione degli alert e il testing dei controlli assumono un rilievo crescente, soprattutto rispetto alla capacità di individuare operazioni costruite per aggirare le restrizioni.

La disponibilità di strumenti e procedure, da sola, non garantisce, infatti, che un sistema riesca a riconoscere collegamenti indiretti, anomalie o comportamenti elusivi. Qualità dei dati, tempestività e capacità di analisi incidono direttamente sull’efficacia dei presidi. «Non basta dimostrare che uno screening è stato effettuato. Occorre poter valutare quanto il sistema sia effettivamente capace di intercettare il rischio, anche attraverso il monitoraggio continuo, la gestione degli alert e la verifica periodica dell’efficacia dei controlli», evidenzia Bollino.

In conclusione, l’evoluzione annunciata da Bruxelles lascia intravedere un duplice effetto: aspettative più elevate sulla qualità dei presidi sanzionatori, accompagnate dalla possibilità di operare in un quadro interpretativo più chiaro e coerente. «Per gli intermediari, il risultato più significativo potrebbe non essere un aumento dei controlli, ma una migliore capacità di indirizzarli dove il rischio di elusione è realmente presente», conclude Sciarretta.

L'articolo Sanzioni uguali, controlli diversi. Bruxelles prova a chiudere il divario proviene da ComplianceDesign.it.

La certificazione si inserisce nel sistema di compliance integrata adottato da Logista Italia, che comprende presidi di controllo e prevenzione dei rischi nelle diverse attività aziendali.

Helèna Ravasini, Legal & Compliance Director di Logista Italia, ha sottolineato come il risultato confermi il percorso intrapreso dalla società per promuovere etica, trasparenza e responsabilità, valorizzando il contributo delle funzioni aziendali coinvolte, in particolare Legal & Compliance, Internal Control e Human Resources.

L'articolo Logista Italia rinnova la certificazione anticorruzione ISO 37001 proviene da ComplianceDesign.it.

Non è un problema che si risolve aggiungendo una competenza tecnologica a un repertorio professionale immutato. Cambia il lavoro stesso. Il professionista chiamato a valutare un sistema di AI deve capire quali dati lo alimentano, che cosa produce, quali limiti presenta e in quali condizioni un risultato non può essere assunto come affidabile. Deve inoltre sapere dove collocare il proprio intervento: nella progettazione del caso d’uso, nella scelta del fornitore, nella definizione delle soglie di rischio o nella verifica successiva.

Il presidio normativo resta indispensabile, ma da solo non consente di governare processi in cui le responsabilità sono distribuite tra business, IT, data scientist, Legal, Privacy, Risk e Internal Audit. Il punto decisivo diventa la capacità di porre domande pertinenti, confrontare prospettive differenti e rendere comprensibili i rischi a chi deve decidere. Una funzione che conosce la regola ma non comprende il processo rischia di arrivare troppo tardi; una funzione che comprende il processo ma non sa esercitare un giudizio indipendente rischia di diventare soltanto un facilitatore.

È anche una questione di linguaggio. Termini come accuratezza, bias, spiegabilità o supervisione umana non possono restare formule di principio. Occorre tradurli in scelte verificabili: quali errori sono tollerabili? Chi valida un output? Quando si sospende l’uso del sistema? Quale evidenza deve essere conservata? Come si dimostra che una persona ha esercitato un controllo sostanziale, anziché limitarsi a confermare una raccomandazione?

Le riflessioni più recenti sulla governance dell’AI, convergono su un aspetto: servono modelli multidisciplinari, responsabilità riconoscibili e competenze distribuite nell’organizzazione. Ma l’esistenza di un comitato o di una policy non garantisce, di per sé, che le funzioni sappiano affrontare una decisione algoritmica contestata. Emerge il divario tra conoscenza formale e capacità operativa.

La trasformazione riguarda anche il rapporto con il vertice aziendale. Un rischio algoritmico non può essere presentato soltanto come una questione tecnica o una possibile violazione normativa. Deve essere collegato alla qualità delle decisioni, alla fiducia di clienti e dipendenti, alla continuità operativa e alla responsabilità dell’impresa. Questo richiede sintesi, capacità di argomentazione e consapevolezza del contesto economico nel quale il sistema viene utilizzato.

La domanda finale, dunque, non è quante persone abbiano ricevuto una formazione sull’AI. È quante siano oggi in grado di discutere un caso d’uso, valutarne i rischi, individuare i controlli necessari e sostenere una decisione motivata. Perché le competenze non sono un capitolo accessorio della governance: ne determinano l’effettiva possibilità di funzionare.

Per approfondire | L’Executive Master in AI Governance di ComplianceDesign.it e Lefebvre Giuffrè, affronta framework, rischi, responsabilità, audit e casi operativi attraverso un percorso multidisciplinare e un project work finale.

Clicca il link per ricevere informazioni su programma, modalità di partecipazioni e agevolazioni.

L'articolo L’AI cambia le decisioni. Le competenze devono cambiare passo proviene da ComplianceDesign.it.

Per anni Risk Management, Privacy, Cybersecurity, Procurement, HR, Internal Audit, Model Risk, Third Party Risk e Data Governance hanno costruito competenze e metodi specialistici, spesso sviluppando linguaggi, procedure e strumenti distinti. La specializzazione resta indispensabile. Ma un sistema di AI attraversa questi confini senza rispettare le separazioni dell’organigramma: può utilizzare dati selezionati da una funzione, un modello acquistato da un fornitore e un processo decisionale affidato al business, producendo conseguenze che ricadono su più presìdi contemporaneamente.

Immaginiamo un algoritmo impiegato per valutare clienti, candidati o transazioni. La qualità dei dati incide sui risultati; il contratto con il fornitore determina quali verifiche siano possibili; la sicurezza protegge il sistema; la funzione legale valuta le conseguenze delle decisioni; il risk management ne considera gli impatti; la compliance verifica la tenuta delle regole; l’audit deve poter ricostruire ciò che è accaduto. Nessuno di questi controlli, preso isolatamente, offre una risposta sufficiente.

Non basta istituire un comitato AI o prevedere un passaggio autorizzativo in più. Se le funzioni intervengono in sequenza, ciascuna sul proprio segmento, il rischio è che nessuno possieda una visione complessiva del caso d’uso. La governance integrata richiede invece un inventario condiviso, criteri comuni per valutare le criticità, responsabilità esplicite, modalità di escalation e un confronto che inizi prima dell’adozione della tecnologia.

Alcune analisi offrono spunti convergenti su questo cambiamento: da un lato l’evoluzione degli assetti organizzativi, dall’altro la necessità di tradurre le responsabilità in modelli operativi e controlli effettivi. Ma la conclusione che interessa maggiormente non è quante aziende abbiano già formalizzato una struttura. È quanto quelle strutture siano capaci di far collaborare discipline che, fino a ieri, potevano procedere quasi indipendentemente.

Questo non significa che l’AI non richieda figure specialistiche o nuove responsabilità dedicate. Significa piuttosto che nessuna funzione, nuova o esistente, può governarla da sola. Anche un responsabile AI dotato di mandato chiaro ha bisogno di collegare competenze tecniche, valutazioni giuridiche, analisi dei rischi e decisioni del business. Senza questa integrazione, il presidio rischia di diventare una somma di verifiche formalmente corrette ma incapaci di cogliere il problema nel suo insieme.

L’AI Governance potrebbe così diventare uno dei banchi di prova più significativi della governance realmente integrata. Non una disciplina che si aggiunge alle altre, ma il terreno sul quale l’impresa verifica se sa condividere informazioni, responsabilità e decisioni. La trasformazione decisiva non è cancellare i confini professionali: è renderli attraversabili quando il rischio lo richiede.

Per approfondire | L’Executive Master in AI Governance di Lefebvre Giuffrè e ComplianceDesign.it, affronta framework, rischi, responsabilità, audit e casi operativi attraverso un percorso multidisciplinare e un project work finale.

Programma: https://learning.compliancedesign.it/corsi/ai-governance/

L'articolo AI Governance, la vera sfida è superare i confini delle funzioni di controllo proviene da ComplianceDesign.it.

Un Risk Assessment non esaurisce il proprio valore nella fotografia del rischio in un determinato momento. La sua utilità cresce quando permette di comprendere come quel rischio cambia, quali fattori ne guidano l’evoluzione e dove diventa necessario intervenire. È questa la prospettiva affrontata da Francesco Schippa, Group Anti Financial Crime di Assicurazioni Generali, nel terzo e conclusivo appuntamento del percorso Group Risk Assessment, realizzato con ComplianceDesign.it | Academy & Learning.

Dopo aver approfondito la governance del modello e la sua applicazione nelle diverse realtà del Gruppo, l’incontro si è concentrato su due direttrici: l’evoluzione degli strumenti di analisi e automazione e la revisione metodologica richiesta dal nuovo quadro europeo antiriciclaggio.

Dal dato alla lettura dei trend

Il primo passaggio riguarda l’affidabilità delle informazioni. Già nella fase di inserimento dei dati, controlli automatici di coerenza consentono di individuare anomalie e incongruenze prima che incidano sul calcolo del rischio. Su questa base si innestano le dashboard sviluppate in Power BI, che restituiscono una visione consolidata di rischio inerente, vulnerabilità dei presidi e rischio residuo, sia a livello di singola entità sia di Gruppo. La possibilità di confrontare gli indicatori nel tempo consente di riconoscere variazioni significative, individuare trend per fattore di rischio, area geografica o business e osservare l’evoluzione dell’efficacia dei controlli.

Il valore di questi strumenti non risiede soltanto nella rappresentazione grafica. Rendere leggibile l’evoluzione del rischio significa trasformare il Risk Assessment in una fonte di informazioni più utile per il management e per le funzioni di controllo, facilitando approfondimenti mirati e decisioni maggiormente consapevoli.

AMLA, verso una nuova metodologia comune

Accanto all’evoluzione tecnologica, il Group Risk Assessment si confronta con un cambiamento regolamentare di portata europea. L’introduzione dell’AMLA e delle nuove metodologie di valutazione rafforza le esigenze di armonizzazione, comparabilità e granularità delle informazioni. Il percorso mantiene la distinzione tra rischio inerente, vulnerabilità e rischio residuo, ma richiede un livello di dettaglio e standardizzazione significativamente maggiore.

Nel modello illustrato, i nuovi requisiti prevedono attualmente 156 data point relativi al rischio inerente e 66 riferiti alla vulnerabilità, con una crescente attenzione anche alla misurazione quantitativa dell’efficacia dei controlli, in particolare nell’ambito della Customer Due Diligence e del Transaction Monitoring. Per un gruppo internazionale, la sfida consiste nell’integrare questo impianto con i requisiti nazionali ancora applicabili e con le specificità dei diversi business.

Armonizzare senza cancellare le differenze

L’evoluzione avviata da Generali prevede una revisione complessiva della metodologia di valutazione dei rischi AML, CFT e International Sanctions, attraverso un approccio che combina indirizzo centrale e contributi delle entità locali. Il nuovo modello manterrà articolazioni specifiche per settore assicurativo, asset management e istituzioni creditizie, integrando al contempo le diverse componenti del rischio in una visione AFC più ampia. Anche l’implementazione seguirà un percorso progressivo, coinvolgendo inizialmente le società europee e successivamente quelle extra-UE.

La standardizzazione, dunque, non coincide con l’uniformità assoluta: richiede regole comuni capaci di rappresentare correttamente realtà operative differenti.

La qualità del dato come condizione di affidabilità

L’aumento dei data point, l’integrazione dei sistemi e la maggiore granularità delle analisi rendono ancora più centrale la qualità delle informazioni. Controlli bloccanti, verifiche automatiche e collaborazione tra funzioni di controllo e strutture operative diventano condizioni necessarie per sostenere un modello più articolato, senza comprometterne affidabilità e tracciabilità.

Si chiude così il percorso dedicato all’esperienza del Group AFC di Generali, dalla costruzione di una metodologia comune alla sua applicazione operativa, fino alle prospettive di evoluzione. Ne emerge una considerazione: la maturità del Risk Assessment non dipende soltanto dalla capacità di misurare correttamente il rischio, ma anche da quella di interpretarne l’evoluzione e adattare nel tempo strumenti, metodologie e controlli.

L'articolo Dal rischio misurato al rischio che evolve proviene da ComplianceDesign.it.

Come è nata l’idea di scrivere L’onestà è lucidità? Perché questo titolo?

L’idea nasce da una tensione che negli ultimi anni ho sentito sempre più forte: quella tra rispettare le regole e fare la cosa giusta. Le due cose dovrebbero coincidere. Ma non sempre succede. La conformità formale, da sola, non esaurisce la responsabilità di una decisione. È lì che nasce la tensione che attraversa il libro.

Ogni volta che incontravo una situazione che mi lasciava qualcosa dentro, una contraddizione, un’ingiustizia, una scelta difficile, un paradosso organizzativo, scrivevo. Non pensando a un libro. Scrivevo per fissare quella tensione. Alla fine mi sono ritrovato con quasi cento storie che, pur partendo da situazioni diverse, portavano tutte nello stesso punto: quanto sia difficile restare lucidi quando la realtà non si lascia ridurre perfettamente a una regola. Ed è lì che nasce il titolo. Per me l’onestà è vedere con lucidità ciò che sta accadendo, capire che cosa è davvero giusto fare e assumersene la responsabilità.

Perché hai scelto di raccontare il mondo delle organizzazioni attraverso favole e metafore?

Il linguaggio della compliance, troppo spesso, è noioso, formale, burocratico. Per questo ho scelto favole e metafore. Perché una regola parla soprattutto alla testa. Una storia, se funziona, arriva anche alla pancia e al cuore delle persone. E credo che sia proprio questo il punto: se vogliamo che la compliance incida davvero sui comportamenti, non basta che le persone la comprendano. Devono riconoscersi, reagire, sentire qualcosa.

Quanto c’è della tua esperienza personale in queste storie?

C’è la mia esperienza, certo, ma soprattutto quella delle tante persone che ho incontrato in anni di lavoro. Ho avuto la fortuna di lavorare in contesti molto diversi, in Europa, in Brasile, in Asia, con esperienze che mi hanno portato letteralmente dalle Barbados a Pechino. E quando attraversi organizzazioni e culture così diverse, ti accorgi che i contesti cambiano, ma molte dinamiche umane restano sorprendentemente simili: il rapporto con il potere, la pressione sui risultati, la paura di esporsi, il compromesso, il coraggio di dire no.

Per questo credo che ognuno, leggendo queste favole, possa riconoscere qualcosa di sé, ritrovare situazioni già vissute e rivivere emozioni che appartengono anche alla propria storia professionale.

Hai scritto questo libro più per dare risposte o per suscitare domande?

Se vuoi capire perché ho scritto questo libro, giralo e guarda la quarta di copertina. Fai un respiro profondo e leggi quella lampadina di parole tutta d’un fiato. Ma non limitarti a leggerla: vivila. Quando arrivi in fondo, credo che tu abbia già la risposta.

C’è un racconto a cui sei particolarmente legato? Perché?

È veramente difficile sceglierne uno, perché quasi ogni racconto è legato a un ricordo, a una situazione, a un momento preciso. C’è Lo scudetto: io c’ero?, che per me rappresenta un momento di vero ethical burnout: quel punto in cui persino la coerenza comincia a pesare e ti chiedi quanto ti stia costando. Poi c’è Il Vecchio Faggio, legato a uno dei momenti di team building più belli della mia carriera. È un racconto che associo immediatamente alle persone, ai legami, alle radici che spesso non si vedono ma tengono insieme un’organizzazione. E poi c’è l’Enciclica (laica) di Governance, che mi dà un senso particolare di orgoglio. Rappresenta la parte di me che continua a crederci, che non vuole accontentarsi e che prova a puntare in alto. Ma ce ne sono molti altri. Ognuno con una sua peculiarità, ognuno attaccato a un ricordo, a una situazione, a un pezzo di vita.

Dopo aver letto il libro, qual è la domanda che speri rimanga nella mente del lettore?

“Se loro fanno sistema, perché noi no?” È questa la domanda che mi piacerebbe restasse. Perché a un certo punto l’“io” non basta più. Serve un “noi” capace di fare rete, di non lasciare solo chi vede qualcosa che non torna e decide di non voltarsi dall’altra parte. Forse la vera sfida è proprio questa: trasformare la lucidità individuale in una forza collettiva.

What’s next?

Vorrei portare “L’onestà è lucidità” un po’ più lontano. Sto lavorando alla versione inglese, per portarlo oltre i confini. E spero di portarlo anche nelle scuole, usando le storie per fare formazione e allenare lucidità, senso critico e capacità di scegliere. Poi c’è una direzione nuova che sto esplorando. Mi sto chiedendo se il burnout sia ancora soltanto una condizione delle persone o stia diventando una condizione del nostro tempo.

È da questa domanda che nasce il Burnout World: quattro “I” che sembrano andare in affanno insieme: Integrity, Institutions, Information, Individuals. Forse il what’s next è proprio questo: portare il libro più lontano. Nei luoghi, nelle generazioni e nelle idee.

L'articolo Oltre le regole, dentro le scelte: la lucidità secondo Nicola Allocca proviene da ComplianceDesign.it.

Un contratto caricato su un chatbot per ottenere una sintesi, un documento riservato analizzato attraverso una piattaforma esterna, un codice sorgente aziendale condiviso con uno strumento di AI per accelerarne lo sviluppo. Attività che nascono da esigenze concrete di produttività, ma che possono svolgersi senza una preventiva valutazione dei rischi.

È il fenomeno della Shadow AI, al centro del talk “L’AI che l’azienda non vede”, organizzato da ComplianceDesign.it e Lefebvre Giuffrè e moderato da Michele Lotito, Founder di ComplianceDesign.it, con Rocco Panetta, Chairman di Panetta Consulting Group, Matteo Pedica, Head of Integrated Compliance & DPO di Fastweb + Vodafone, e Massimiliano Carpino, Senior Advisor di EY Forensic & Integrity Services.

Il rischio non è soltanto ciò che l’azienda non vede

La disponibilità immediata degli strumenti di AI ha cambiato le modalità con cui la tecnologia entra nelle organizzazioni. L’utilizzo precede spesso la definizione delle regole, mentre le funzioni di controllo si trovano a dover ricostruire applicazioni, informazioni condivise e processi già in essere. I rischi più evidenti riguardano la riservatezza dei dati, la sicurezza informatica e la difficoltà di ricostruire i flussi informativi verso piattaforme esterne. Ma esiste una dimensione meno visibile, potenzialmente altrettanto rilevante.

Non sono soltanto gli strumenti a diventare invisibili: possono esserlo anche i processi decisionali nei quali l’intelligenza artificiale interviene.

Analisi, valutazioni e scelte possono essere progressivamente influenzate da sistemi il cui contributo non è conosciuto o tracciato. Con conseguenze che investono il giudizio professionale, la responsabilità delle decisioni e, nel tempo, la conservazione delle competenze aziendali. La Shadow AI diventa così un indicatore della distanza tra innovazione tecnologica e capacità organizzativa di governarla.

Dalla cultura del divieto alla governance dell’innovazione

Affrontare il fenomeno non significa necessariamente impedire gli utilizzi spontanei. Spesso questi nascono da esigenze operative che l’organizzazione non ha ancora intercettato e possono rappresentare opportunità di miglioramento.

La priorità è renderli visibili: comprendere dove l’AI viene utilizzata, con quali finalità, attraverso quali strumenti e con quali possibili implicazioni. Mappatura dei processi, dialogo con le persone, formazione e ambienti protetti di sperimentazione possono contribuire a trasformare iniziative individuali in applicazioni consapevoli e governate. Ma una policy, da sola, non basta. Occorrono competenze capaci di valutare la tecnologia, comprenderne i limiti, riconoscere i rischi e tradurre le regole in processi effettivamente applicabili.

L’AI Governance supera i confini delle singole funzioni

La Shadow AI mette alla prova anche i tradizionali modelli organizzativi. IT, Security, Privacy, Legal, Compliance, Risk e funzioni di business sono chiamati a confrontarsi su decisioni che nessuna di queste discipline può presidiare isolatamente. Non esiste un unico assetto valido per tutte le organizzazioni. È però necessario definire responsabilità chiare, coordinare competenze differenti e costruire un linguaggio comune.

In questo scenario, la Compliance può evolvere da funzione prevalentemente prescrittiva a interlocutore capace di abilitare l’innovazione, contribuendo a integrare esigenze di business, gestione dei rischi e responsabilità aziendali. È forse questo il cambiamento più significativo: l’intelligenza artificiale non richiede soltanto nuovi controlli, ma un modo diverso di far lavorare insieme le funzioni che già presidiano la governance dell’impresa.

Dalla consapevolezza alle competenze

Rendere visibile la Shadow AI è il primo passo. La sfida successiva è costruire la capacità di governare l’intelligenza artificiale lungo l’intero ciclo di vita delle sue applicazioni, dalla valutazione dei rischi alla definizione dei presidi, fino al monitoraggio e al miglioramento continuo.

È in questa prospettiva che ComplianceDesign.it e Lefebvre Giuffrè hanno sviluppato il Master AI Governance, con il coordinamento scientifico di Rocco Panetta, in partenza il 20 novembre 2026.

Un percorso che integra quadro normativo, esperienze aziendali e applicazione operativa, con professionisti della consulenza e manager d’impresa. La formula in presenza e online favorisce la partecipazione e offre occasioni di confronto e networking lungo tutto il percorso.

Governare l’AI richiede oggi qualcosa di più della conoscenza delle regole: significa saper collegare tecnologia, rischi, responsabilità e decisioni aziendali.

Scopri il Master AI Governance: consulta il programma completo e approfondisci le opportunità e le agevolazioni disponibili per la partecipazione.

L'articolo Shadow AI: quando l’innovazione corre più veloce della governance proviene da ComplianceDesign.it.

Costruire una visione consolidata dei dati è un primo traguardo. Mantenerla affidabile nel tempo, mentre cambiano sistemi, normative e perimetro organizzativo, è una sfida altrettanto importante.

È questo il tema affrontato da Angela Ugrinoska, Group Anti Financial Crime | Processes & Operations di Assicurazioni Generali, nell’appuntamento conclusivo del percorso Group Data Sharing & AML Governance, realizzato con ComplianceDesign.it | Academy & Learning il 13 ottobre. Dopo aver approfondito i fondamenti di governance e il funzionamento operativo del modello, il confronto si è concentrato sulla sua evoluzione: come gestire una complessità crescente senza compromettere qualità del dato, efficacia dei controlli e sostenibilità del processo.

Crescere senza perdere accuratezza

Uno degli aspetti più delicati riguarda le logiche di matching e merging, attraverso le quali il GDS identifica i soggetti presenti in più entità del Gruppo e ne consolida le informazioni. L’aumento dei volumi rende necessario affinare continuamente queste regole, riducendo i falsi positivi senza perdere collegamenti rilevanti. La dimensione del fenomeno emerge da un dato richiamato da Ugrinoska: oltre 18.000 proposte di merge in un solo trimestre, sottoposte alla revisione del team centrale. Migliorare la precisione significa quindi non soltanto rendere più affidabile il risultato, ma anche ridurre le verifiche superflue e concentrare il lavoro delle persone sui casi realmente significativi. Da qui la necessità di intervenire su criteri, workflow e infrastruttura tecnologica.

La qualità del dato parte dalle entità

La solidità del modello dipende anzitutto dalle informazioni che lo alimentano. Le società del Gruppo operano con sistemi e livelli di maturità differenti: alcune dispongono di estrazioni automatizzate, altre ricorrono ancora a processi manuali. Standardizzazione degli input, controlli automatici e clean-up periodici diventano quindi essenziali per intercettare anomalie, migliorare il consolidamento e mantenere aggiornato il patrimonio informativo, senza compromettere tracciabilità e ricostruibilità delle operazioni. La qualità del dato non è soltanto un requisito tecnico: condiziona l’affidabilità delle analisi e l’efficacia dei successivi processi AML.

Dalle informazioni agli insight operativi

Una base informativa consolidata permette anche di osservare fenomeni e collegamenti difficilmente individuabili dalla prospettiva di una singola entità. Le analytics sviluppate attraverso il GDS possono offrire indicazioni utili anche ai controlli di secondo livello, orientando verifiche e approfondimenti. In questa prospettiva si inseriscono ulteriori opportunità, come la network analysis, per riconoscere relazioni meno evidenti tra i soggetti. L’automazione assume così un ruolo che va oltre l’efficienza: liberare capacità operative e valorizzare le informazioni per una lettura più completa del rischio.

Un modello che apprende dall’operatività

L’evoluzione del GDS non nasce soltanto dalla tecnologia. Un contributo importante arriva dalle entità che utilizzano quotidianamente il processo, gestiscono gli alert e segnalano criticità o possibili miglioramenti. Come evidenziato da Ugrinoska, diversi interventi sono stati introdotti proprio a partire da questi feedback. L’esperienza locale diventa così parte integrante del miglioramento della governance centrale, sostenuta anche da formazione periodica e aggiornamento delle competenze.

Si chiude su questa prospettiva il percorso dedicato all’esperienza del Group AFC di Generali: dalla scelta di condividere il dato alla sua integrazione nei processi AML, fino alla capacità di utilizzare informazioni ed esperienza operativa per migliorare continuamente il modello. Perché una visione consolidata del rischio non è un risultato acquisito una volta per tutte, ma una capacità da mantenere e sviluppare nel tempo.

Leggi l’articolo e guarda il video del primo incontro

Leggi l’articolo e guarda il video del secondo incontro

L'articolo Dati affidabili, controlli efficaci: un modello che cresce con l’esperienza proviene da ComplianceDesign.it.

È intorno a questa distanza tra match e decisione che si è sviluppato il talk “Quando il nome non basta. Omonimie e falsi positivi nei controlli di compliance”, organizzato da ComplianceDesign.it e Cheope Risk Management, con Alfredo Lori e Silvia Mazza e Joseph Malvisini, Risk & Compliance Director di Multiversity Group. Un confronto che ha incrociato l’esperienza di chi lavora sugli screening con quella di chi deve utilizzarne i risultati nei processi aziendali.

Le omonimie rappresentano bene la complessità di questo spazio. Liste sanzionatorie, PEP, notizie giudiziarie e adverse media raccolgono informazioni con livelli di dettaglio molto differenti. Il nome è quasi sempre disponibile; data e luogo di nascita, residenza, professione e altri identificativi lo sono molto meno. Proprio il dato dal quale parte più frequentemente la ricerca è spesso insufficiente per stabilire chi ci sia realmente dietro il risultato.

I numeri presentati da Cheope rendono concreta questa distanza. Nel campione medio dell’Osservatorio, su mille posizioni sottoposte a screening circa 150 producono una possibile corrispondenza, mentre soltanto 20 vengono successivamente confermate. In mezzo ci sono oltre cento posizioni che devono essere lavorate, verificate e infine escluse.

Si potrebbe pensare di intervenire sulla sensibilità dei sistemi per ridurre il numero degli alert. Una soglia più selettiva alleggerisce il lavoro, ma aumenta la possibilità di lasciare fuori una corrispondenza rilevante. Il problema non si risolve scegliendo semplicemente quanto allargare o restringere le maglie: richiede la capacità di qualificare ciò che rimane dentro.

Anche perché un falso positivo non è soltanto tempo perso. Una notizia riferita a un omonimo può determinare richieste di approfondimento, rallentare un onboarding e arrivare a influenzare una decisione sulla persona sbagliata. Il costo operativo degli alert inutili esiste ed è significativo, ma la conseguenza più delicata riguarda l’affidabilità stessa del controllo: attribuire correttamente un’informazione prima di utilizzarla per decidere.

Da qui prende forma un lavoro che va molto oltre la verifica del nome. Età, territorio, residenza, professione, cariche e collegamenti possono progressivamente rafforzare o indebolire una possibile corrispondenza. Fonti anagrafiche, camerali o catastali affiancano le liste e consentono di aggiungere profondità a un dato che, preso isolatamente, potrebbe essere ambiguo.

Non sempre un singolo elemento è risolutivo. È spesso la combinazione delle informazioni a permettere di passare dalla somiglianza anagrafica all’identificazione. Ed essere arrivati alla persona corretta non significa ancora aver concluso il lavoro. Una notizia giudiziaria deve essere letta anche alla luce dei suoi sviluppi successivi; un’esposizione politica richiede di comprenderne natura e relazioni; altre informazioni devono essere contestualizzate rispetto al rischio e al rapporto che si sta valutando.

Il metodo illustrato durante il talk segue questa progressione: identificare, valutare, arrivare a un esito che possa essere motivato e ricostruito. Non conta soltanto sapere che un alert sia stato chiuso o confermato. Conta poter spiegare quali informazioni siano state considerate e perché abbiano portato a quella conclusione.

Quando questa logica entra nell’operatività aziendale incontra inevitabilmente un altro problema: la qualità del processo dipende anche dalla qualità dei dati sui quali lavora. Joseph Malvisini ha richiamato l’attenzione sulla necessità di mantenere pulite e aggiornate le basi informative e di calibrare nel tempo strumenti e matrici di rischio sulle caratteristiche dell’organizzazione, del settore e delle controparti effettivamente analizzate. Un sistema sofisticato alimentato da informazioni incomplete o non affidabili continua a produrre un problema, semplicemente più velocemente.

Lo stesso vale per la capacità di gestire i volumi. Monitoraggi periodici, acquisizioni o l’ingresso di nuove controparti possono concentrare grandi quantità di verifiche in poco tempo. Anche il ricorso a competenze esterne, nell’esperienza raccontata da Malvisini, risponde a questa esigenza, purché non si limiti ad aggiungere capacità operativa: lavorare i falsi positivi richiede persone già in grado di leggere, collegare e interpretare informazioni provenienti da fonti differenti.

È proprio su questo terreno che l’evoluzione tecnologica può incidere maggiormente. Automazione e intelligenza artificiale possono velocizzare la ricerca, correlare basi informative, far emergere relazioni e portare all’attenzione dell’analista ciò che merita un approfondimento. Più cresce questa capacità, però, più diventa importante distinguere ciò che può essere automatizzato da ciò che richiede interpretazione.

Automatizzare il match non significa automatizzare la decisione.

Il valore della tecnologia sta anche nel liberare competenze dalle attività più ripetitive per concentrarle nei punti nei quali serve comprendere il contesto, valutare informazioni non univoche e assumere una responsabilità.

Una dinamica che ormai supera il tradizionale perimetro AML. La stessa esigenza di sapere chi ci sia realmente dietro un nominativo riguarda sempre più fornitori, partner e altre controparti. Il Know Your Customer si allarga al Know Your Third Party, portando l’analisi verso titolarità effettiva, partecipazioni e catene di controllo.

Cambia il perimetro, non il problema di fondo. Liste più estese, database più ricchi e tecnologie più evolute moltiplicano le informazioni disponibili, ma la quantità non coincide necessariamente con una migliore conoscenza del rischio.

La qualità del controllo si costruisce nello spazio che separa ciò che il sistema trova da ciò che l’organizzazione decide. È lì che il dato deve diventare informazione, l’informazione deve essere attribuita alla persona corretta e la verifica deve trasformarsi in una decisione motivata e documentabile.

Il match può essere automatico. Capire chi abbiamo realmente davanti e che cosa quell’informazione significhi resta il passaggio che dà valore alla compliance.

L'articolo Il nome coincide. La persona forse no proviene da ComplianceDesign.it.

Nel primo incontro il Risk Assessment era emerso non come semplice esercizio di misurazione, ma come strumento di gestione e governance del rischio a livello di Gruppo. Nel secondo, Francesco Schippa, Group Anti Financial Crime di Assicurazioni Generali, ha portato il confronto dentro il modello, mostrando cosa accade quando una metodologia comune deve misurarsi con un perimetro fatto di società assicurative, banche e realtà dell’asset management, attraversando mercati, prodotti, clienti e geografie differenti.

Perché costruire un modello è solo il primo passaggio. La vera prova arriva quando quello stesso modello deve produrre risultati che siano, allo stesso tempo, rappresentativi delle singole realtà e confrontabili a livello di Gruppo.

Dalla misurazione alla comparabilità

La struttura metodologica si sviluppa lungo tre dimensioni: rischio inerente, vulnerabilità dei presidi e rischio residuo.

Il rischio inerente fotografa l’esposizione della società al rischio di riciclaggio e finanziamento del terrorismo in assenza degli effetti mitiganti dei presidi di controllo , sulla base dei  dati relativi, tra gli altri, alla clientela, alle transazioni, ai canali distributivi, ai prodotti e servizi ed esposizione geografica. Informazioni che vengono progressivamente aggregate in Key Risk Indicators, fattori di rischio e infine in un risk score. Ma quel numero, da solo, dice ancora poco.

Per comprenderne realmente il significato occorre metterlo in relazione con la capacità dell’organizzazione di governare quell’esposizione. Entra così in gioco la valutazione della vulnerabilità: funzionamento dei controlli, regolamentazione interna, formazione, risultanze dell’Internal Audit, esito delle ispezioni delle Autorità di Vigilanza ed eventuali sanzioni irrogate.

Dall’incrocio tra queste due dimensioni emerge il rischio residuo, cioè ciò che rimane dell’esposizione iniziale dopo aver considerato la capacità dei presidi di mitigarla. È proprio a questo punto, però, che il problema cambia natura. Non si tratta più soltanto di costruire correttamente un rating, ma di capire quanto quel rating continui a raccontare la stessa cosa quando viene applicato a realtà profondamente diverse.

Un modello comune senza appiattire le differenze

Un indicatore rilevante per una banca non ha necessariamente lo stesso peso per una compagnia assicurativa. La geografia può modificare sensibilmente l’esposizione e un National Risk Assessment può far emergere specificità che una metodologia costruita esclusivamente a livello centrale rischierebbe di non intercettare. L’uniformità, quindi, non può coincidere con la semplice applicazione dello stesso schema ovunque.

Un modello eccessivamente rigido sarebbe certamente omogeneo, ma rischierebbe di perdere capacità rappresentativa. All’estremo opposto, lasciare alle singole entità margini troppo ampi di adattamento renderebbe gli assessment difficilmente confrontabili, indebolendo proprio quella lettura di Gruppo che il modello dovrebbe consentire. Il punto di equilibrio indicato da Schippa passa attraverso tre concetti strettamente collegati: granularità, flessibilità e consistenza.

La granularità consente di intercettare business model e customer segment differenti; la flessibilità permette di incorporare fattori di rischio locali e specificità geografiche o regolamentari. Ma entrambe devono fermarsi prima di compromettere la consistenza del modello, perché è quest’ultima a rendere possibile il confronto. Ed è qui che una questione apparentemente metodologica diventa una questione di governance.

Confrontare significa anche capire cosa sta cambiando

La comparabilità non serve soltanto a mettere una società accanto all’altra. Se entità appartenenti allo stesso comparto utilizzano nel tempo una metodologia sufficientemente coerente, il Gruppo può osservare non soltanto quanto rischio esiste, ma anche come quel rischio si sta muovendo.

Se invece criteri, indicatori o modalità di valutazione cambiano in maniera disomogenea, diventa molto più difficile distinguere una variazione effettiva del profilo di rischio da una variazione generata dal modo in cui quel rischio è stato misurato.

È questo uno dei passaggi che meglio collega il secondo incontro al primo: per leggere un trend non basta disporre di molti dati; bisogna essere certi che quei dati continuino a misurare fenomeni confrontabili. La metodologia comune assume così una funzione ulteriore. Diventa un linguaggio condiviso attraverso il quale il Gruppo può leggere realtà differenti senza renderle artificialmente uguali. Ed è proprio la possibilità di osservare il rischio nel tempo a spostare il tema dalla fotografia alla dinamica.

Dalla fotografia del rischio alla sua evoluzione

Quello illustrato da Schippa è il modello di Risk Assessment “as is”. Ma il passaggio successivo è già visibile: rendere quella fotografia progressivamente più dinamica, granulare e capace di intercettare i cambiamenti. Il terzo e ultimo appuntamento, Mercoledì 14 ottobre alle ore 11:00, sarà dedicato ad Analytics & Automation e Continuous Improvement e ai nuovi requisiti AMLA.

Il focus si sposterà quindi dall’architettura del modello alla sua evoluzione: maggiore granularità degli indicatori, trend analysis, dashboard e lettura dinamica del rischio.

Una trasformazione tecnologica che procede insieme a quella regolamentare. I nuovi requisiti collegati ad AMLA sono destinati a incidere significativamente sul disegno dei modelli di Risk Assessment, spingendo ulteriormente verso standardizzazione metodologica, dataset comuni, integrazione IT e maggiore qualità del dato.

Il percorso iniziato dalla funzione di governance del Risk Assessment e passato attraverso il problema della comparabilità arriva così alla sua naturale evoluzione: non più soltanto misurare correttamente il rischio, ma costruire un modello capace di seguirne il movimento.

L'articolo Group Risk Assessment: misurare realtà diverse con una metodologia comune proviene da ComplianceDesign.it.