Know Your Employee (KYE) designa la verifica sistematica dei propri dipendenti secondo gli stessi principi di base che nel controllo dei clienti (Know Your Customer, KYC) sono da tempo uno standard: basata sul rischio, legata a eventi specifici e documentata. Sul piano giuridico il KYE non è per i soggetti obbligati ai sensi del GwG un’opzione, ma è ancorato nel § 6 par. 2 n. 5 GwG come misura interna di sicurezza allo stesso rango degli obblighi verso i clienti. Nella pratica si apre nondimeno una lacuna: mentre nei processi KYC si investe in modo considerevole, il controllo dei dipendenti si riduce in molti luoghi a un certificato penale all’assunzione.
KYC e KYE: stessa logica, attuazione diseguale
Il controllo dei clienti segue una sistematica consolidata: identificazione, classificazione del rischio, verifica approfondita in caso di rischio elevato, monitoraggio continuo, documentazione completa. Per la forza lavoro la legge prescrive lo stesso pensiero — il § 6 par. 2 n. 5 GwG richiede la verifica dell’affidabilità dei dipendenti mediante misure idonee, e il § 1 par. 20 GwG definisce cosa significhi affidabilità: la garanzia che la persona osservi gli obblighi antiriciclaggio, segnali i sospetti e non partecipi personalmente a transazioni sospette. I dettagli di questo obbligo sono trattati nel nostro contributo sulla verifica di affidabilità ai sensi del § 6 GwG.
Per gli istituti di credito si aggiunge il § 25h par. 1 KWG: gli istituti devono disporre di adeguate misure interne di sicurezza che prevengano anche atti penalmente rilevanti a danno dell’istituto. Le precauzioni relative al personale sono una parte ovvia di questo sistema di sicurezza — perché i sistemi di sicurezza sono gestiti da persone.
Perché il punto cieco può costare caro
I colpevoli interni si distinguono strutturalmente da quelli esterni: conoscono i controlli che gli esterni dovrebbero prima superare e agiscono con diritti di accesso legittimi. Un processo KYC che esamina ogni cliente serve a poco se la persona che lo gestisce non è mai stata verificata oltre un documento di base. Più in dettaglio: Rischi insider nelle banche.
Il certificato penale usuale nella pratica cambia poco: è un estratto di registro dal contenuto limitato — non mostra né tappe del curriculum falsificate né intrecci economici, né fatti esteri né copertura mediatica attuale. Come unica «misura idonea» ai sensi del § 6 par. 2 n. 5 GwG non rende di regola giustizia all’ampiezza della definizione legale del § 1 par. 20 GwG, in particolare per le posizioni a rischio elevato.
Si aggiunge la dimensione della prova: nei confronti di revisione interna e autorità di vigilanza non conta l’affermazione di verificare i propri dipendenti, ma la documentazione di chi sia stato verificato, quando, con quale ambito e con quale esito. Proprio questa disciplina documentale è ovvia nel settore KYC — e manca spesso completamente sul lato dipendenti.
La sistematica KYC rispecchiata sulla forza lavoro
Chi vuole impostare seriamente il KYE può trasferire quasi uno a uno la familiare logica KYC:
- Classificazione del rischio: classificare posizioni invece di clienti — pagamenti, trading, amministrazione IT e funzioni dirigenziali comportano un rischio diverso rispetto a ruoli senza accesso a flussi di denaro o dati dei clienti.
- Profondità di verifica scaglionata: verifica di base per l’ampiezza, ricerca approfondita su più categorie (dati di registro, liste di sanzioni, adverse media, conflitti di interessi) per le funzioni sensibili.
- Verifica legata a eventi specifici: non solo all’assunzione, ma anche in caso di passaggi a ruoli rilevanti per il rischio e in presenza di indizi concreti.
- Componente continuativa: l’affidabilità è un’istantanea; adeguati cicli di ripetizione chiudono la lacuna tra due verifiche.
- Documentazione: registrare ogni esito in modo verificabile — con fonti e data, non come annotazione informale.
Raccomandazione operativa
Iniziate con un inventario onesto: confrontate l’impegno documentato della vostra due diligence sui clienti con quello del vostro controllo dei dipendenti. Se la risposta è nettamente asimmetrica, date priorità alle posizioni con il maggiore potenziale di danno e definite lì ambito di verifica, cadenza e formato di documentazione. Utilizzate le strutture che esistono comunque: l’analisi dei rischi alla base della vostra classificazione dei clienti può essere estesa con sforzo contenuto di una dimensione posizioni, e gli standard documentali del settore KYC predefiniscono già il formato per il lato dipendenti. Un report software basato su categorie con fonti datate e controllo finale umano (art. 22 GDPR) rappresenta questo processo in modo verificabile; i dettagli sull’attuazione specifica per settore si trovano in Settori, i termini centrali nel Glossario.
Questo articolo non costituisce una consulenza giuridica.