Nelle decisioni fit & proper e di affidabilità, nei confronti di BaFin, revisione interna e in caso di contenzioso non conta che sia stata effettuata una verifica — ma se la decisione sia documentata in modo ricostruibile e assunta sotto la responsabilità di una persona qualificata. Un riscontro in un database senza valutazione non è una prova; una valutazione senza fonti non è una base. Per questo in queste decisioni non basta né il solo software né il puro intuito di un verificatore esperto: servono entrambi, in un unico processo — l’approccio ibrido.
Il parametro: la prova, non solo la verifica
La logica della prova è insita nel diritto di vigilanza. La comunicazione di nomina ai sensi del § 24 par. 1 n. 1 KWG richiede i fatti essenziali per la valutazione dell’affidabilità — non l’esito di un’interrogazione di database, ma una valutazione motivata. Nel merito, il § 25c par. 1 KWG per i membri della direzione e il § 25d par. 1 KWG per gli organi amministrativi e di vigilanza fissano i parametri per affidabilità e competenza professionale; per la forza lavoro il § 6 par. 2 n. 5 GwG richiede la verifica di affidabilità come misura interna di sicurezza. Tutte le norme hanno in comune: la responsabilità della valutazione spetta all’istituto e non può essere delegata a un algoritmo. Come si presenta concretamente la preparazione della comunicazione di nomina lo mostra il nostro contributo su Fit & Proper presso la BaFin.
Cosa fa il software — e dove finisce
Il software è indispensabile nella verifica di affidabilità: rende ripetibili le verifiche, copre registri, liste di sanzioni e media con un’ampiezza non raggiungibile manualmente e genera una documentazione coerente. Quali requisiti debba soddisfare uno strumento a tal fine l’abbiamo descritto nel catalogo dei requisiti per il software di screening. Ma il software finisce dove inizia la decisione: il riscontro sul nome riguarda davvero la stessa persona? Un articolo di stampa di dieci anni fa è ancora rilevante per questa funzione? Come si pondera un conflitto di interessi rispetto a un percorso professionale per il resto irreprensibile? A queste domande non risponde alcuna lista di riscontri — richiedono una valutazione umana qualificata che, nel dubbio, venga sostenuta anche davanti all’autorità di vigilanza. Un puro esito tecnico senza questo livello di valutazione sposta solo più avanti il lavoro vero: al momento in cui revisione interna o BaFin chiedono chi abbia classificato il riscontro.
Tre modelli a confronto
Prima della scelta del fornitore si pongono praticamente tre modelli operativi:
- Inhouse: pieno controllo, ma fonti limitate, conoscenze legate alle persone e documentazione disomogenea — difficile da scalare e attaccabile in sede di verifica.
- Esternalizzazione integrale: alleggerisce sul piano operativo, ma la responsabilità resta all’istituto; inoltre il fornitore di servizi diventa esso stesso una terza parte per la quale, ai sensi dell’art. 28 del regolamento (UE) 2022/2554 (DORA), sono dovute una due diligence precontrattuale e una gestione continua.
- Ibrido: il software fornisce ampiezza, ripetibilità e fonti datate; una persona qualificata verifica, valuta e risponde del risultato. L’istituto riceve entrambe le cose — scalabilità e una decisione con un firmatario.
«A decision you can defend»: l’approccio ibrido di Indicium
Proprio questo terzo modello è il cuore di Indicium. Ogni report combina la verifica assistita da software su categorie definite con un controllo finale umano prima della consegna — nessuna decisione individuale completamente automatizzata ai sensi dell’art. 22 GDPR, ma una valutazione sotto responsabilità umana. Ogni riscontro è documentato con fonte datata, così che il report possa essere presentato invariato a revisione interna o autorità di vigilanza. Il risultato è ciò che il marchio promette: «a decision you can defend» — una decisione che potete difendere davanti a BaFin, revisione interna e in caso di contenzioso. Per le personalità particolarmente esposte — membri della direzione, consigli di sorveglianza, funzioni chiave — il nostro modello boutique ibrido combina il report standardizzato con una ricerca approfondita sul singolo caso. Report a partire da €79, trasparentemente dettagliati in Prezzi.
Raccomandazione operativa
Ponete a ogni fornitore — anche a noi — tre domande: chi risponde della valutazione di un riscontro? Come vengono documentate e datate le singole constatazioni? E il report può essere presentato invariato all’autorità di vigilanza? Se una delle risposte è «lo fa il sistema», verificate attentamente. Come Indicium risponde a queste tre domande lo vedete al più presto in una demo.
Questo articolo non costituisce una consulenza giuridica.