Un software di background check per banche deve assicurare cinque cose: categorie di verifica definite, copertura affidabile delle fonti nell’area DACH, un concetto di protezione dei dati sostenibile, report a prova di revisione e il supporto sia di verifiche una tantum sia di verifiche ricorrenti. Il parametro non è la scheda tecnica del fornitore, ma la legge: il § 6 par. 2 n. 5 GwG richiede la verifica di affidabilità dei dipendenti, e il § 1 par. 20 GwG definisce cosa significhi giuridicamente affidabilità. Chi struttura la selezione lungo questi obblighi prende una decisione che regge anche davanti alla revisione interna.
Perché i controlli manuali non scalano
Finché vengono verificate solo singole posizioni chiave, il lavoro manuale funziona. Ma non appena si vuole coprire l’intera forza lavoro rilevante ai fini antiriciclaggio — all’assunzione e a cadenze periodiche — l’approccio manuale crolla in tre punti: la profondità della verifica varia a seconda di chi verifica; le fonti non sono documentate; e i risultati giacciono sparsi tra caselle di posta e cartelle HR. Sono esattamente queste tre debolezze a emergere in una verifica speciale. L’affidabilità ai sensi del § 1 par. 20 GwG è infatti un parametro legale uniforme — non tollera una qualità della verifica che dipende dall’attività quotidiana della singola persona che verifica. Ripetibilità e documentazione non sono quindi funzioni di comfort, ma la vera ragione per sistematizzare lo screening — come sia strutturato il processo complessivo è descritto nella nostra guida al processo per i responsabili antiriciclaggio.
Il catalogo dei requisiti: cinque criteri per la matrice di valutazione
Chi confronta i fornitori dovrebbe sottoporre ogni soluzione agli stessi cinque criteri — e per iscritto, in una matrice di valutazione che documenti in seguito anche la decisione di selezione davanti a revisione interna e alta dirigenza:
- Categorie di verifica definite: identità, percorso professionale, registri, liste sanzionatorie e watchlist, adverse media — l’ambito deve essere configurabile per classe di rischio e riproducibile in modo identico per ogni report.
- Copertura delle fonti DACH: registri tedeschi e svizzeri, fonti di insolvenza e di pubblicazione nonché media in lingua tedesca; i soli database internazionali non bastano per le verifiche locali.
- Concetto di protezione dei dati: chiara attribuzione della base giuridica per ogni categoria, logica di necessità ai sensi del § 26 par. 1 e par. 8 BDSG, concetti definiti di conservazione e cancellazione.
- Formato di documentazione: ogni report con data, fonte e riferimento per ciascun risultato — così da poter essere inoltrato senza modifiche a revisione interna o autorità di vigilanza.
- Una tantum e continuativo: supporto della verifica all’assunzione, della verifica per occasione e del re-screening a cadenza periodica, senza dover impostare ogni volta un nuovo progetto.
Protezione dei dati e MaRisk come criteri decisivi
Due criteri non sono negoziabili. Primo, la protezione dei dati: uno strumento che utilizza fonti non riconducibili al parametro di necessità del § 26 BDSG trasferisce il rischio giuridico alla banca. Secondo, i requisiti dell’autorità di vigilanza in merito alla dotazione di personale: le MaRisk (circolare BaFin 06/2024 (BA)) richiedono in AT 7.1 che quantità e qualità del personale corrispondano alle esigenze operative — l’idoneità dei dipendenti è quindi espressamente oggetto del quadro di vigilanza, non solo una questione HR. Uno strumento di screening che non fornisce i propri risultati in una forma inseribile in questa logica di vigilanza genera doppio lavoro: la compliance deve rielaborare ogni report prima che possa finire in fascicolo. Per la questione «verifica una tantum o continuativa?» vale inoltre la pena di guardare il nostro confronto Verifica una tantum vs. monitoraggio continuo.
Architettura di riferimento: il report a 7 categorie
Come sia concretamente strutturata una tale architettura lo mostra il report Indicium: sette categorie di verifica definite, ogni accertamento comprovato con fonte datata e un controllo finale umano prima della consegna (art. 22 GDPR) — da 79 € per report. La struttura in dettaglio si trova su Report software, le condizioni su Prezzi.
Raccomandazione operativa
Prima del primo colloquio con un fornitore, create la vostra matrice di valutazione lungo i cinque criteri e ponderate al massimo il concetto di protezione dei dati e il formato di documentazione — le categorie di verifica si possono ampliare, un formato di documentazione debole no. Fatevi mostrare da ogni fornitore un report di esempio reale, non solo diapositive — e verificate concretamente su quel report se data, fonte e riferimento sono indicati per ciascun accertamento e se potreste inoltrarlo alla vostra revisione interna senza rielaborazioni. Uno sguardo al report Indicium lo potete ottenere in una Demo.
Questo articolo non costituisce una consulenza giuridica.