Un background check è la raccolta e la valutazione strutturata e metodica di informazioni su una persona o un’organizzazione rilevanti per una decisione specifica – assunzione, conclusione di un contratto, rapporto d’affari o un obbligo normativo. Non si tratta di una singola interrogazione di database, ma di un processo: raccogliere, verificare, valutare, documentare.
Cosa copre un background check corretto
Un background check moderno per istituti regolamentati si estende su almeno sei categorie:
- Sanzioni e watchlist – UE, OFAC, ONU, HMT, SECO e altri regimi rilevanti. La persona o l’azienda è una parte soggetta a sanzioni?
- Verifica dei dati anagrafici – L’identità dichiarata regge a una verifica? Più indirizzi, e-mail, numeri di telefono e la loro coerenza nel tempo.
- Screening adverse media – La persona o l’azienda è comparsa in contesto negativo in notizie di stampa, pubblicazioni normative o atti giudiziari?
- Analisi della rete aziendale – Con quali aziende è collegata la persona? Esistono collegamenti con entità sanzionate, società di comodo o giurisdizioni ad alto rischio?
- Verifica di curriculum e qualifiche – Qualifiche, posizioni e periodi dichiarati corrispondono ai documenti pubblici?
- Valutazione dei social media – Limitata a contenuti professionalmente rilevanti e pubblicamente accessibili, valutata su reputazione, comportamento e indicatori di rischio entro i limiti della protezione dei dati – non sorvegliata, ma verificata.
Perché è decisivo per la compliance KYC
Know Your Customer (KYC) non è un’opzione. Secondo la legge tedesca sul riciclaggio (GwG), la 5ª e la 6ª direttiva UE antiriciclaggio nonché disposizioni equivalenti in tutta Europa, i soggetti obbligati devono identificare i propri clienti, comprendere il rapporto d’affari e valutare il rischio di riciclaggio o finanziamento del terrorismo.
Un background check è la spina dorsale operativa del KYC. Risponde alle tre domande che ogni compliance officer deve saper rispondere:
- Con chi ho a che fare? – Verifica dell’identità oltre il documento di riconoscimento.
- Qual è il rischio? – Status PEP, riscontri su sanzioni, adverse media e rischi strutturali.
- Posso documentare questa decisione? – Una traccia di verifica che regge dinanzi all’autorità di vigilanza e al giudice.
Interrogazione di database vs. background check
Un’interrogazione di database dice: «Il nome compare nella lista X». Un background check dice: «Il nome compare nella lista X; la voce risale al 2019; riguarda una controllata venduta nel 2020; l’attuale struttura UBO non mostra collegamenti; il rischio è valutato basso – ecco le fonti».
La differenza sta in contesto e valutazione. Le autorità di vigilanza si aspettano la seconda cosa. La GwG prescrive espressamente un approccio basato sul rischio – gestione del rischio e analisi del rischio ai sensi dei §§ 4–5 GwG – per cui non è possibile esternalizzare la valutazione a un flag booleano.
Quando la due diligence è obbligatoria
- Onboarding del cliente – § 10 GwG: obblighi generali di diligenza nei nuovi rapporti d’affari.
- Clienti ad alto rischio – § 15 GwG: obblighi rafforzati di diligenza per PEP, paesi terzi ad alto rischio o transazioni insolitamente complesse.
- Transazioni occasionali – § 10 par. 3 GwG: oltre le soglie di legge, che variano a seconda del settore (15.000 € come soglia generale; soglie inferiori valgono ad esempio per i commercianti di beni, i metalli preziosi e il gioco d’azzardo).
- Casi sospetti – quando i fatti indicano che i beni potrebbero provenire da riciclaggio o finanziamento del terrorismo, va presentata senza indugio una segnalazione ai sensi del § 43 GwG – non solo dopo la conferma interna.
Il contesto svizzero e UE
In Svizzera gli obblighi derivano dalla legge sul riciclaggio (GwG) e dalla regolamentazione FINMA. Nell’UE il quadro giuridico si fa più severo a ogni iterazione – la nuova autorità europea antiriciclaggio (AMLA) ha avviato le operazioni nel 2025 e dal 2028 supervisionerà direttamente selezionati soggetti obbligati.
La direzione è chiara: più profondità, più documentazione, più responsabilità personale. Un background check non verificabile non è un background check – è esso stesso un rischio.
Come lo affronta Indicium
Indicium esegue sette categorie di verifica in parallelo, ogni fonte datata e riproducibile alla data di riferimento. Dove il software raggiunge i suoi limiti – interpretazione, contesto, casi limite – interviene un analista. Il risultato è un rapporto di rischio verificabile: non un elenco di riscontri, ma una valutazione motivata.
Questo articolo non costituisce una consulenza giuridica.