Lo screening delle sanzioni non è un ornamento. Che si tratti della banca nell’onboarding di un cliente aziendale, dell’executive search nella collocazione di un CFO o del family office nella verifica di un nuovo consulente — dovete sapere quali liste verificare, quando vale ciascuna e come documentare di averlo fatto correttamente.
Il problema: non esiste un’unica «lista delle sanzioni». Esistono almeno tre grandi regimi — l’Unione Europea, l’Office of Foreign Assets Control statunitense (OFAC) e il Consiglio di sicurezza delle Nazioni Unite — più liste nazionali come la SECO in Svizzera. Ciascuno ha portate, basi giuridiche e conseguenze diverse in caso di riscontro mancato.
Questa guida spiega le differenze, quando ciascuna lista è rilevante e come costruire un processo di screening che regga a una verifica.
I tre grandi regimi sanzionatori
Unione Europea (UE)
Base giuridica: politica estera e di sicurezza comune (PESC), attuata tramite regolamenti del Consiglio.
Portata: vale per tutte le persone e imprese dell’UE nonché per chiunque operi commercialmente nell’UE. Vi rientrano anche le filiali UE di imprese extra-UE.
Liste: l’UE tiene liste consolidate di persone, gruppi e organizzazioni soggetti a sanzioni finanziarie. Queste comprendono congelamenti dei beni, divieti di viaggio ed embarghi sulle armi.
Punto chiave: se siete un’impresa UE o avete attività nell’UE, le sanzioni UE sono vincolanti. Le liste vengono aggiornate di frequente — talvolta quotidianamente — e dovete verificare contro la versione vigente.
OFAC USA
Base giuridica: programmi sanzionatori statunitensi ai sensi dell’International Emergency Economic Powers Act (IEEPA), del Trading with the Enemy Act (TWEA) e di altre leggi.
Portata: vale per le persone statunitensi, le imprese costituite secondo il diritto statunitense e — decisivamente — per le transazioni con riferimento agli USA. Vi rientrano il clearing in USD, le merci di origine statunitense e gli istituti finanziari statunitensi.
Liste: l’OFAC tiene la lista degli Specially Designated Nationals (SDN), la Consolidated Sanctions List e varie liste specifiche per programma (ad es. Iran, Russia, Corea del Nord).
Punto chiave: l’OFAC ha portata extraterritoriale. Una banca tedesca che esegue pagamenti in USD per un cliente svizzero può essere esposta a misure esecutive statunitensi se il cliente figura nella lista SDN. Per questo molte imprese non statunitensi verificano l’OFAC anche quando non è prescritto per legge.
Consiglio di sicurezza delle Nazioni Unite
Base giuridica: Capitolo VII della Carta delle Nazioni Unite, attuato tramite risoluzioni del Consiglio di sicurezza.
Portata: le sanzioni ONU sono vincolanti per tutti gli Stati membri dell’ONU. Ogni Stato membro le attua tramite legislazione nazionale.
Liste: la lista consolidata del Consiglio di sicurezza dell’ONU comprende tutti i regimi sanzionatori attivi (ad es. ISIL/Al-Qaida, Talebani, RPDC, Libia).
Punto chiave: le sanzioni ONU sono la base. Se qualcuno figura nella lista ONU, è di fatto sanzionato ovunque. La lista ONU è tuttavia più ristretta delle liste UE o OFAC — molte designazioni UE e statunitensi vanno oltre i requisiti ONU.
Quando vale quale lista?
| Situazione | UE | OFAC | ONU |
|---|---|---|---|
| Banca UE nell’onboarding di un cliente aziendale | Necessario | Consigliato (in caso di USD) | Necessario |
| Executive search svizzero nella collocazione di un CFO in Germania | Necessario | Consigliato | Necessario |
| Fondo di private equity statunitense nell’acquisizione di un’impresa tedesca | Necessario | Necessario | Necessario |
| Family office a Zurigo nella verifica di un nuovo consulente | Consigliato | Consigliato | Necessario |
| Produttore tedesco nell’esportazione in Turchia | Necessario | Necessario (in caso di USD/merci USA) | Necessario |
La regola pratica: verificate UE + OFAC + ONU per ogni attività transfrontaliera. Aggiungete la SECO in caso di riferimento svizzero. Aggiungete liste nazionali (ad es. OFSI del Regno Unito, Tracfin francese) in caso di esposizione giurisdizionale specifica.
Come costruire un processo di screening verificabile
1. Screening all’onboarding e periodicamente
Uno screening unico all’onboarding non basta. Le liste sanzionatorie cambiano. Un cliente pulito a gennaio può essere designato a marzo. Best practice: screening all’onboarding, poi trimestralmente o in occasione di eventi trigger (nuovo titolare effettivo, nuova giurisdizione, riscontro adverse media).
2. Usare il fuzzy matching, non il matching esatto
I nomi vengono trascritti in modi diversi. «Mohammed» vs «Muhammad» vs «Mohamed». Un buon strumento di screening usa algoritmi di fuzzy matching per rilevare le varianti. Ma il fuzzy matching genera falsi positivi. Necessitate di un processo documentato per la loro risoluzione.
3. Documentare ogni decisione
In caso di riscontro potenziale dovete documentare: quale riscontro era, perché lo avete classificato come falso positivo (o corrispondenza reale), chi ha preso la decisione e quando. È questa la documentazione che i regolatori richiedono.
4. Verificare i titolari effettivi, non solo l’impresa
Nell’onboarding di un’impresa dovete verificarne i titolari effettivi (in genere tutti coloro che detengono il 25%+ di proprietà o controllo). Un’impresa pulita con un UBO sanzionato è una violazione delle sanzioni.
5. Istituire un processo di escalation
Cosa accade in caso di corrispondenza reale? Chi decide se la relazione viene chiusa? Cosa dite al cliente? Queste decisioni devono essere documentate e coerenti.
Errori frequenti
- Verificare solo l’impresa, non gli UBO: è la lacuna più comune. I regolatori si aspettano lo screening degli UBO.
- Usare liste obsolete: le liste sanzionatorie cambiano quotidianamente. Una lista del mese scorso è un fallimento di compliance.
- Nessuna documentazione dei falsi positivi: «era un falso positivo» non basta. Dovete mostrare la vostra motivazione.
- Ignorare l’OFAC perché «non siamo un’impresa statunitense»: se toccate USD, merci statunitensi o istituti finanziari statunitensi, l’OFAC vale.
- Nessun re-screening periodico: lo screening solo all’onboarding manca le designazioni successive all’onboarding.
Come appare un report verificabile
Un report di screening delle sanzioni verificabile contiene:
- Le liste verificate (UE, OFAC, ONU, SECO, altre)
- La data delle versioni delle liste utilizzate
- I termini di ricerca e la logica di matching
- Tutti i riscontri potenziali identificati
- La risoluzione di ogni riscontro (falso positivo / corrispondenza reale / escalato)
- Il nome della persona che ha preso la decisione finale
- La data della decisione
È ciò che si aspettano revisori e regolatori. Non uno screenshot di una query su database — una catena decisionale documentata.
Conclusione
Lo screening delle sanzioni è complesso perché non esiste un’unica lista. UE, OFAC e ONU hanno ciascuna portate e basi giuridiche diverse. L’approccio pratico: verificare tutte e tre, documentare tutto, ricontrollare periodicamente e avere un chiaro processo di escalation per le corrispondenze reali.
Il costo di un errore: ammende, danni reputazionali e in alcuni casi responsabilità penale. Il costo di una corretta attuazione: un processo documentato che richiede minuti per caso e regge a ogni verifica.
Questo articolo non costituisce una consulenza giuridica. Per questioni di compliance specifiche rivolgetevi a una consulenza legale qualificata.