La verifica di affidabilità dei dipendenti non è per i soggetti obbligati ai sensi della legge tedesca antiriciclaggio una misura aggiuntiva facoltativa, ma una misura interna di sicurezza definita per legge: il § 6 par. 2 n. 5 GwG richiede «la verifica dell’affidabilità dei dipendenti mediante misure idonee». Cosa significhi affidabilità lo definisce la legge stessa — nel § 1 par. 20 GwG. Banche e assicuratori devono effettuare la verifica all’assunzione e in modo continuativo e poter documentare la propria attuazione.
La base giuridica: il controllo dei dipendenti come misura interna di sicurezza
Il § 6 GwG obbliga tutti i soggetti obbligati ai sensi della legge — tra cui gli istituti di credito ai sensi del § 2 par. 1 n. 1 GwG — ad adottare adeguate misure interne di sicurezza. Il controllo dei dipendenti è collocato nel § 6 par. 2 n. 5 GwG sullo stesso piano di obblighi più noti come le formazioni o la nomina del Geldwäschebeauftragte. Nella pratica viene tuttavia spesso trattato in modo trascurato: mentre il controllo dei clienti (KYC) è gestito con notevole impegno, il lato dipendenti si riduce spesso a un certificato penale all’assunzione. Perché ciò sia insufficiente lo mostra il contributo KYC vs. Know Your Employee.
Cosa significa «affidabilità» ai sensi del § 1 par. 20 GwG
Molti soggetti obbligati non sono consapevoli che il GwG contiene una propria definizione legale. Ai sensi del § 1 par. 20 GwG è affidabile chi offre la garanzia che
- osserverà con diligenza gli obblighi antiriciclaggio e i principi interni dell’impresa,
- segnalerà al superiore o al Geldwäschebeauftragte fatti connessi al riciclaggio o al finanziamento del terrorismo e
- non parteciperà personalmente, in modo attivo o passivo, a transazioni o operazioni sospette.
La verifica non mira quindi soltanto ai precedenti penali, ma a una prognosi: la persona offre la garanzia di condividere gli obblighi di prevenzione — oppure esistono indizi che lo escludono? Un certificato penale vuoto risponde a questa domanda solo in minima parte.
Quando occorre verificare: assunzione e attività continuativa
La norma non distingue tra nuove assunzioni e personale in servizio. Sono essenzialmente riconosciute due occasioni di verifica:
- All’assunzione: prima dell’inizio dell’attività, con una profondità di verifica orientata al rischio della posizione — chi può autorizzare transazioni o eludere i controlli va verificato con maggiore intensità rispetto a un ruolo senza contatto con i flussi di denaro.
- In modo continuativo: l’affidabilità non è un accertamento una tantum. Verifiche legate a eventi specifici (ad esempio in caso di cambi di ruolo o indizi concreti) e adeguati cicli di ripetizione fanno parte di un’attuazione completa. Per la delimitazione dei modelli: verifica una tantum o monitoraggio continuo.
Lacune tipiche di attuazione
Nella pratica incontriamo punti deboli ricorrenti che emergono in una verifica da parte di revisione interna o autorità di vigilanza:
- La verifica esiste solo sulla carta — una clausola nel processo di onboarding senza ambito di verifica definito.
- Non esiste alcuna graduazione basata sul rischio: tutte le posizioni vengono verificate allo stesso modo (o altrettanto poco).
- I dipendenti in servizio e i cambi interni verso funzioni sensibili non vengono rilevati.
- I risultati non vengono documentati — nel dubbio non è dimostrabile che sia stata effettuata una verifica.
- Le forze esterne con accesso comparabile sfuggono del tutto alla maglia.
Proprio l’ultimo punto pesa molto, perché il diritto alla protezione dei dati richiede qui un approccio strutturato; i dettagli per il contesto delle candidature sono trattati nel contributo Pre-employment screening nelle banche.
Raccomandazione operativa: così si imposta la verifica
Un concetto solido si costruisce in quattro passaggi. Primo: classificare le posizioni in base al rischio — quali ruoli possono eludere la prevenzione del riciclaggio? Secondo: definire profondità di verifica e cadenza per classe di rischio, dalla verifica di base alla ricerca approfondita su più categorie (registri, liste di sanzioni, adverse media). Terzo: definire competenze e percorsi di escalation — l’attuazione operativa spetta di solito al Geldwäschebeauftragte, cfr. catalogo dei compiti del Geldwäschebeauftragte. Quarto: documentare ogni verifica in modo che revisione interna e autorità di vigilanza possano ricostruire occasione, ambito, fonti ed esito.
Per l’attuazione pratica Indicium fornisce report software verificabili con fonti datate e controllo finale umano (art. 22 GDPR) — a partire da €79 a report. Come si presenta nella vostra azienda lo mostriamo volentieri in una demo.
Questo articolo non costituisce una consulenza giuridica.