Perché il modello deve partire dal business
Gli istituti di pagamento combinano rapidità, volumi, operatività digitale e spesso una dimensione cross-border. Il rischio non può quindi essere letto attraverso un singolo indicatore: deve riflettere prodotti, clienti, canali distributivi, aree geografiche e modalità d’uso effettive.
Dal BWRA al singolo cliente
Il business-wide risk assessment definisce l’esposizione complessiva e orienta priorità e controlli. Il customer risk assessment traduce quei fattori nella singola relazione. I due livelli devono essere coerenti: categorie considerate ad alto rischio nel BWRA non possono scomparire dai criteri di scoring o dalle regole operative.
Il controllo non finisce all’onboarding
Il profilo iniziale è un’ipotesi informata. Comportamento transazionale, nuovi prodotti, cambi di proprietà, geografie e informazioni negative possono modificarlo. Servono quindi eventi di revisione, responsabilità chiare e un audit trail della decisione.
- definizioni e fonti dati documentate;
- trigger di revisione durante il rapporto;
- coerenza tra rischio, profondità della due diligence e monitoraggio;
- test periodici dell’efficacia e gestione delle eccezioni.
Scenario pratico
Due clienti effettuano lo stesso volume di pagamenti, ma uno opera in un mercato stabile con controparti ricorrenti e l’altro usa più giurisdizioni, beneficiari variabili e flussi incoerenti con il profilo dichiarato. Il volume, da solo, non descrive il rischio.
Test concreto: se compaiono beneficiari nuovi o flussi fuori profilo, quale trigger apre la review? Il fascicolo deve indicare la spiegazione richiesta, l’evidenza che la supporta e come l’esito modifica il monitoring. Le misure dipendono dal rischio effettivo, non da una conclusione automatica sulla geografia.
Fonti e riferimenti
Contenuto informativo, non sostituisce una valutazione sul caso concreto.
EBA — ML/TF Risk Factors Guidelines: versioni e modificheAMLR — Regolamento (UE) 2024/1624