Adeguata verifica antiriciclaggio per commercialisti: checklist gratuita con il metodo CNDCEC 2025

In breve: l'adeguata verifica della clientela è l'insieme di controlli che un commercialista, un esperto contabile o un altro soggetto obbligato deve fare su un cliente prima di accettare un incarico: identificarlo, identificare il titolare effettivo, capire scopo e natura della prestazione e tenerlo sotto controllo nel tempo (art. 18, d.lgs. 231/2007). Quanto approfondire dipende dal rischio, e le Regole tecniche del CNDCEC del 16 gennaio 2025 danno un metodo per misurarlo: un grado da 1 a 4 per la prestazione, dieci punteggi su cliente e operazione, una ponderazione 30/70 e quattro soglie che portano a misure semplificate, ordinarie o rafforzate. Lo strumento qui sotto applica quel metodo gratis, nel tuo browser, e produce una scheda da mettere nel fascicolo. Se vuoi anche i dati veri del cliente, il Fascicolo a 49€ aggiunge titolare effettivo dal Registro Imprese, protesti, procedure, due diligence e rischio d'impresa.

Chi è obbligato

Gli obblighi di adeguata verifica riguardano i soggetti elencati dall'art. 3 del d.lgs. 231/2007. Tra i professionisti (comma 4) ci sono gli iscritti all'albo dei dottori commercialisti e degli esperti contabili e all'albo dei consulenti del lavoro, i revisori legali, i notai e gli avvocati per le operazioni indicate dalla norma. Questa pagina è costruita sul metodo del CNDCEC, cioè sulle Regole tecniche che il Consiglio nazionale ha emanato ai sensi dell'art. 11, comma 2, per i propri iscritti: gli altri professionisti possono usarla come riferimento, tenendo conto delle regole del proprio ordine.

Quando scatta l'adeguata verifica

L'art. 17, comma 1, elenca quattro casi:

• Conferimento di un incarico per una prestazione professionale, a prescindere dall'importo.
• Operazione occasionale disposta dal cliente che comporti la trasmissione o la movimentazione di mezzi di pagamento pari o superiore a 15.000 euro, anche con più operazioni collegate che appaiono frazionate, oppure un trasferimento di fondi superiore a 1.000 euro.
• Sospetto di riciclaggio o di finanziamento del terrorismo, indipendentemente da deroghe, esenzioni o soglie.
• Dubbi sulla veridicità o sull'adeguatezza dei dati ottenuti in precedenza.

Il comma 7 tiene fuori la mera redazione e trasmissione, o la sola trasmissione, delle dichiarazioni derivanti da obblighi fiscali e gli adempimenti di amministrazione del personale. Il comma 3 è la chiave di tutto il resto: le misure vanno commisurate al rischio, e il professionista deve essere in grado di dimostrare alle autorità che lo ha fatto. Da qui nasce il bisogno di un metodo documentabile.

Cosa comprende (art. 18)

L'adeguata verifica si compone di quattro attività, che le misure semplificate alleggeriscono e quelle rafforzate approfondiscono:

1. Identificare il cliente e chi agisce per suo conto, verificandone l'identità con un documento d'identità o un altro documento di riconoscimento equipollente, e controllando i poteri di rappresentanza (art. 19, comma 1, lettera a).
2. Identificare il titolare effettivo e verificarne l'identità con misure proporzionate al rischio, ricostruendo con ragionevole attendibilità l'assetto proprietario e di controllo del cliente società.
3. Acquisire e valutare informazioni su scopo e natura della prestazione, comprese le relazioni tra cliente, esecutore e titolare effettivo e l'attività svolta.
4. Controllo costante per tutta la durata del rapporto: coerenza delle operazioni con il profilo di rischio, aggiornamento dei dati, verifica della provenienza dei fondi quando il rischio lo richiede.

Identificazione e verifica vanno fatte prima di conferire l'incarico (comma 2). Solo con un basso rischio, e se necessario per non interrompere la normale gestione, la verifica dell'identità può slittare, ma va completata entro trenta giorni (comma 3): in caso contrario il professionista si astiene e valuta una segnalazione alla UIF.

Il metodo CNDCEC: inerente, specifico, effettivo

Le Regole tecniche del CNDCEC (Deliberazione n. 9 del 16 gennaio 2025, previo parere del Comitato di sicurezza finanziaria) traducono l'approccio basato sul rischio in tre numeri:

• Rischio inerente: il grado da 1 a 4 che il Consiglio nazionale ha già attribuito a ogni prestazione professionale (Tabella 1 per quelle a rischio non significativo, Tabella 2 per le altre). Non lo scegli tu: deriva dalla prestazione.
• Rischio specifico: la media dei punteggi che tu assegni ai quattro fattori sul cliente (Tabella A) e ai sei fattori sulla prestazione (Tabella B). Somma dei dieci punteggi diviso 10; per revisione legale, tenuta della contabilità e assistenza continuativa generica la Tabella B non si compila e si divide per 4 la sola Tabella A.
• Rischio effettivo: 30% del rischio inerente più 70% del rischio specifico. È il numero che decide la misura.

Un esempio: consulenza tributaria (grado inerente 3) a una SRL operativa con punteggi 2, 1, 1, 2 in Tabella A e 2, 2, 3, 2, 2, 1 in Tabella B. Il rischio specifico è 1,8, il rischio effettivo è 0,3 × 3 + 0,7 × 1,8 = 2,2: poco significativo, misure semplificate. Lo stesso cliente con un'operazione di finanza straordinaria (grado 4) sale a 2,5.

Rischio inerente per prestazione

Se il rischio specifico di una prestazione di Tabella 1 risulta comunque elevato, per esempio per un cliente che si comporta in modo anomalo o per un sospetto, la regola di condotta non basta più: lo strumento alza la misura di conseguenza.

Tabelle A e B: i fattori da valutare

Ogni fattore riceve un punteggio da 1 (non significativo) a 4 (molto significativo). Le Regole non impongono un punteggio per ciascuna situazione: lo decide il professionista, orientandosi con gli indici di basso rischio dell'art. 23 e i fattori di rischio elevato dell'art. 24, che lo strumento mostra accanto a ogni fattore.

Soglie e scala delle misure

Le soglie valgono sia per il rischio specifico sia per quello effettivo. La scala è graduata ma non automatica: resta sempre possibile, e in alcuni casi obbligatorio, applicare una misura più alta di quella che il punteggio suggerisce.

Semplificata, ordinaria, rafforzata: cosa fare

Gli elenchi qui sotto sono gli stessi che lo strumento mette nella scheda, con il riferimento normativo accanto a ogni adempimento.

Misure semplificate (art. 23; Regole tecniche §2.4)

• Identifica cliente, esecutore e legale rappresentante con la dichiarazione resa ai sensi dell'art. 22, acquisendo comunque copia del documento di identità del cliente (Regole tecniche §2.4).
• Identifica il titolare effettivo con la dichiarazione resa dal cliente ai sensi dell'art. 22, sotto la sua responsabilità.
• Acquisisci e valuta le informazioni su scopo e natura della prestazione (art. 18, co. 1, lett. c).
• Controllo costante con cadenza più dilazionata (per esempio triennale per i rapporti continuativi): basta una dichiarazione del cliente o una visura camerale da cui risulti che nulla è cambiato (§2.4).
• Annota nel fascicolo la valutazione del rischio che giustifica le misure semplificate: devi poterla dimostrare (art. 17, co. 3).
• Conserva copia dei documenti, dei dati e delle informazioni per 10 anni dalla fine della prestazione, in modo da ricostruire data dell'incarico, dati identificativi di cliente, esecutore e titolare effettivo, scopo e natura, e l'eventuale consultazione del registro dei titolari effettivi (art. 31; regola tecnica n. 3).

Misure ordinarie (artt. 18 e 19)

• Identifica il cliente e chi agisce per suo conto con un documento d'identità valido, di cui conservi copia, verificando l'esistenza e l'estensione dei poteri di rappresentanza (art. 18, co. 1, lett. a; art. 19, co. 1, lett. a).
• Verifica l'identità con il riscontro dei dati quando emergono dubbi, incertezze o incongruenze, tramite fonti affidabili e indipendenti (art. 19, co. 1, lett. b).
• Identifica il titolare effettivo: acquisisci la dichiarazione scritta del cliente (art. 22) con nome, cognome, luogo e data di nascita, residenza e codice fiscale, e riscontrala con i dati del Registro Imprese su soci, quote e cariche, ricostruendo con ragionevole attendibilità l'assetto proprietario e di controllo (art. 18, co. 1, lett. b; art. 20; Regole tecniche §2.7).
• Acquisisci e valuta le informazioni su scopo e natura della prestazione, comprese le relazioni tra cliente, esecutore e titolare effettivo e l'attività svolta (art. 18, co. 1, lett. c; art. 19, co. 1, lett. c).
• Completa identificazione e verifica prima di conferire l'incarico; con basso rischio la sola verifica può slittare, ma entro 30 giorni (art. 18, co. 2 e 3).
• Controllo costante per tutta la durata del rapporto: coerenza delle operazioni con il profilo di rischio, aggiornamento dei dati, verifica della provenienza dei fondi quando il rischio lo richiede (art. 18, co. 1, lett. d).
• Metti per iscritto la valutazione del rischio (punteggi e motivazioni): le misure devono essere proporzionate al rischio e dimostrabili (art. 17, co. 3).
• Conserva copia dei documenti, dei dati e delle informazioni per 10 anni dalla fine della prestazione, in modo da ricostruire data dell'incarico, dati identificativi di cliente, esecutore e titolare effettivo, scopo e natura, e l'eventuale consultazione del registro dei titolari effettivi (art. 31; regola tecnica n. 3).

Misure rafforzate (art. 24 e 25; Regole tecniche §2.5), in aggiunta alle ordinarie

• Acquisisci informazioni aggiuntive sul cliente e sul titolare effettivo, approfondisci scopo e natura della prestazione e aumenta la frequenza del controllo costante (art. 25, co. 1).
• Riscontra documentalmente l'identità dei titolari effettivi e l'eventuale interposizione di terzi o di società di comodo; valuta di acquisire due documenti di riconoscimento, la prova di un rapporto bancario presso un intermediario soggetto agli obblighi antiriciclaggio e la provenienza dei fondi (Regole tecniche §2.5).
• Verifica la presenza del cliente e dei soggetti collegati nelle liste UE dei soggetti designati e dei destinatari di misure di congelamento, e consulta fonti aperte attendibili come il Registro Imprese e le banche dati commerciali (§2.5).

PEP, paesi terzi, sospetto, astensione

Quattro situazioni scavalcano il punteggio. Lo strumento le chiede esplicitamente, perché nessuna media può assorbirle:

• Il cliente o il titolare effettivo è una persona politicamente esposta (PEP), o lo è stata da meno di un anno. Misure rafforzate sempre obbligatorie, qualunque sia il punteggio: autorizzazione del titolare dello studio prima di avviare o proseguire il rapporto, accertamento dell'origine del patrimonio e dei fondi, controllo costante rafforzato. (art. 24, co. 5, lett. c e co. 6; art. 25, co. 4, d.lgs. 231/2007)
• La prestazione coinvolge un paese terzo ad alto rischio (elenco della Commissione europea). Misure rafforzate sempre obbligatorie: informazioni su scopo, origine dei fondi e motivazioni dell'operazione, autorizzazione del titolare dello studio, controlli più frequenti. Con fiduciarie, trust, società anonime o al portatore con sede in quei paesi scatta l'astensione. (art. 24, co. 5, lett. a; art. 25, co. 4-bis; art. 42, co. 2, d.lgs. 231/2007)
• C'è un sospetto di riciclaggio o di finanziamento del terrorismo, o un dubbio sui dati già acquisiti. L'adeguata verifica è dovuta a prescindere da soglie ed esenzioni, le misure semplificate sono escluse e va valutata una segnalazione di operazione sospetta alla UIF. (art. 17, co. 2; art. 23, co. 4; art. 35, d.lgs. 231/2007)
• Non riesco a completare identificazione, verifica dell'identità o informazioni su scopo e natura. Obbligo di astenersi dall'instaurare, eseguire o proseguire la prestazione, e valutazione di una segnalazione di operazione sospetta. (art. 42, co. 1; art. 18, co. 3, d.lgs. 231/2007)

I paesi terzi ad alto rischio sono quelli individuati dalla Commissione europea ai sensi dell'art. 9 della direttiva (UE) 2015/849; l'elenco cambia nel tempo e va consultato nella versione vigente al momento della valutazione.

Titolare effettivo con il registro sospeso

Il titolare effettivo di un cliente società si individua con i criteri dell'art. 20, applicati in ordine: la proprietà diretta o indiretta di più del 25% del capitale; in mancanza, il controllo della maggioranza dei voti, un'influenza dominante o vincoli contrattuali; in via residuale, i poteri di rappresentanza legale, amministrazione o direzione. L'accesso dei terzi al Registro dei titolari effettivi, per quanto verificato a ottobre 2026, resta sospeso in attesa della decisione del Consiglio di Stato: l'adeguata verifica non si ferma per questo, perché la legge indica comunque due fonti.

• La dichiarazione del cliente (art. 22): deve fornire per iscritto, sotto la propria responsabilità, le informazioni necessarie e aggiornate sul titolare effettivo. Lo strumento la mette tra gli adempimenti di ogni misura.
• Il Registro Imprese: soci, quote e cariche con cui riscontrare la dichiarazione e ricostruire l'assetto proprietario e di controllo, come chiede l'art. 18, comma 1, lettera b. È il riscontro che il Fascicolo fa per te, risalendo la catena anche quando un socio è un'altra società.

Il percorso completo, con i casi particolari (società con soci-azienda, quote frazionate, amministratori come titolari residuali), è nella guida su come ricostruire il titolare effettivo e nella guida sullo stato del registro.

Conservazione e fascicolo del cliente

L'art. 31 impone di conservare documenti, dati e informazioni per dieci anni dalla cessazione del rapporto o della prestazione, in modo da ricostruire la data dell'incarico, i dati identificativi di cliente, esecutore e titolare effettivo, scopo e natura della prestazione e l'eventuale consultazione del registro dei titolari effettivi. La regola tecnica n. 3 del CNDCEC descrive il fascicolo del cliente, cartaceo o informatico, che raccoglie tutto questo. La scheda prodotta dallo strumento riporta la data, i punteggi, la misura scelta e gli adempimenti spuntati, con spazio per la firma: è il documento che prova la valutazione richiesta dall'art. 17, comma 3.

Cosa contiene il Fascicolo a pagamento

La parte gratuita ragiona sui punteggi che assegni tu. Il Fascicolo aggiunge i dati veri sul cliente, interrogando Registro Imprese e banche dati pubbliche per la partita IVA che indichi, e li mette nello stesso PDF della scheda. Costa 49€ perché quelle interrogazioni hanno un costo per ogni azienda, e comprende:

• Scheda di valutazione del rischio CNDCEC compilata, con misura e adempimenti
• Titolare effettivo ricostruito dal Registro Imprese (art. 20 d.lgs. 231/2007), con soci e cariche
• Protesti e procedure concorsuali, con fonte e data
• Report due diligence: bilancio riclassificato, immobili intestati, relazioni societarie
• Semaforo rischio d'impresa: i 13 controlli automatici del report (artt. 2446-2447 c.c., pagamenti, rating)
• PDF unico da archiviare nel fascicolo del cliente

Il semaforo del rischio d'impresa è lo stesso motore di 13 controlli dei report Veryfy: protesti negli ultimi cinque anni, procedure concorsuali in corso, coinvolgimento di amministratori e soci in procedure di altre società, patrimonio netto negativo o eroso sotto i limiti del codice civile, capitale sotto il minimo legale o sproporzionato all'importo dell'operazione, bilancio depositato troppo vecchio, pagamenti ai fornitori oltre i sessanta giorni, rating peggiorato o nel quintile peggiore del settore, amministratore cambiato di recente, società costituita da meno di dodici mesi. Ogni segnale riporta la fonte e la data del dato, mai un giudizio.

Cosa il Fascicolo non fa, ed è scritto anche nel PDF: non controlla le liste PEP né le liste UE delle sanzioni e dei congelamenti, che restano a tuo carico con le fonti ufficiali; non riporta dati del Registro dei titolari effettivi, perché non è consultabile; non mostra le pregiudizievoli (ipoteche, pignoramenti) né lo stato attivo o cessato dell'impresa. Il titolare effettivo che indica è una ricostruzione dal Registro Imprese da riscontrare con la dichiarazione del cliente, non una certificazione.

Come usare lo strumento

1. Scegli la prestazione professionale. Il menu riprende le Tabelle 1 e 2 delle Regole tecniche CNDCEC: a ogni prestazione corrisponde il grado di rischio inerente già attribuito dal Consiglio nazionale. Le prestazioni della Tabella 1 e le dichiarazioni fiscali hanno regole proprie.
2. Assegna un punteggio da 1 a 4 ai fattori del cliente (Tabella A). Natura giuridica, attività prevalente, comportamento al conferimento dell'incarico e area geografica. Accanto a ogni fattore trovi gli indici di basso rischio (art. 23) e di rischio elevato (art. 24) che aiutano a scegliere il grado.
3. Assegna un punteggio ai fattori della prestazione (Tabella B) e, se serve, l'importo. Tipologia, modalità, ammontare, frequenza, ragionevolezza, area di destinazione. Per revisione legale, tenuta della contabilità e consulenza continuativa generica la Tabella B non si compila e lo strumento lo sa già.
4. Segna i presidi obbligatori e leggi la scheda. PEP, paese terzo ad alto rischio, sospetto o impossibilità di verifica scavalcano il punteggio. La scheda mostra rischio specifico ed effettivo, la misura dovuta e l'elenco degli adempimenti da documentare: stampala o salvala in PDF per il fascicolo.
5. Se vuoi, completa il fascicolo con i dati del cliente. Inserisci la partita IVA del cliente: il Fascicolo a 49€ aggiunge titolare effettivo ricostruito dal Registro Imprese, protesti, procedure concorsuali, report due diligence e semaforo del rischio d'impresa, in un unico PDF insieme alla scheda.