Il pacchetto antiriciclaggio dell'UE nel 2026-2027: AMLR, AMLD6 e la nuova AMLA — nell'ottica Lussemburgo/CSSF

La riforma antiriciclaggio dell'Unione europea è la riscrittura più densa di conseguenze dell'architettura AML del blocco da una generazione. Tre strumenti — il regolamento antiriciclaggio direttamente applicabile (AMLR), la sesta direttiva antiriciclaggio (AMLD6) e il regolamento che istituisce un'autorità unica antiriciclaggio (AMLA) con sede a Francoforte — sostituiscono un mosaico di direttive recepite a livello nazionale con un corpus di regole unico e, per la prima volta, con un supervisore europeo dotato di poteri diretti. Per i Chief Compliance Officer di banche, gestori patrimoniali indipendenti (GFI) e fintech orientati all'UE, la domanda pratica non è più se ciò cambi i loro obblighi, ma come essere pronti prima dell'arrivo delle scadenze di applicazione graduale tra il 2027 e il 2028.

Questo articolo è una guida alla preparazione con un focus Lussemburgo/CSSF — la giurisdizione in cui viene amministrata gran parte dell'attività transfrontaliera di fondi e private banking dell'UE, e in cui molte istituzioni svizzere mantengono una presenza. Inquadra inoltre la realtà transfrontaliera delle istituzioni svizzere che gestiranno il regime svizzero rivisto (la legge sul riciclaggio, o LRD; l'ordinanza della FINMA, o ORD-FINMA; e la legge sulla trasparenza LTPG) accanto a quello europeo.

1. Il pacchetto in sintesi: AMLR, AMLD6 e l'autorità AMLA

La riforma si comprende meglio come tre strumenti che svolgono tre funzioni distinte. Confonderli è la fonte di confusione più frequente, poiché differiscono per natura giuridica, per il modo in cui raggiungono un soggetto obbligato e per il calendario in cui mordono.

Il regolamento antiriciclaggio (AMLR) è direttamente applicabile. È un corpus di regole unico che armonizza gli obblighi sostanziali — adeguata verifica della clientela (CDD), verifica rafforzata (EDD), identificazione dei titolari effettivi, trattamento delle persone politicamente esposte e un tetto a livello UE ai pagamenti in contanti di importo elevato — così che le stesse regole si applichino in ogni Stato membro senza recepimento nazionale. È lo strumento che modificherà maggiormente il lavoro quotidiano di conformità.

La sesta direttiva antiriciclaggio (AMLD6) è recepita nel diritto nazionale. Disciplina l'impianto istituzionale: registri dei titolari effettivi, unità di informazione finanziaria (UIF), poteri dei supervisori nazionali e regole di accesso e cooperazione tra essi. Trattandosi di una direttiva, i suoi dettagli varieranno ancora un po' da uno Stato membro all'altro.

L'autorità AMLA, istituita da un proprio regolamento e con sede a Francoforte, è la novità strutturale. Combina la vigilanza diretta su un numero limitato di «soggetti obbligati selezionati» ad alto rischio e transfrontalieri con la vigilanza indiretta sui supervisori nazionali e sulle UIF di tutta l'Unione. Per la prima volta un organo europeo esaminerà determinati gruppi in prima persona anziché lasciare la vigilanza interamente alle autorità nazionali.

Il sequenziamento conta. L'AMLR diventa applicabile nell'UE nel 2027, l'AMLA sta sviluppando la propria capacità per avviare la vigilanza diretta sulla prima coorte di soggetti selezionati a partire dal 2028, e l'AMLD6 viene recepita a livello nazionale su un binario parallelo. La finestra per prepararsi è adesso — non quando arriva la prima lettera di esame.

2. Cosa cambia operativamente l'armonizzazione di CDD, EDD e titolare effettivo

La promessa dell'AMLR è la convergenza: meno frammentazione, meno deroghe nazionali, un'unica interpretazione. Per una funzione di conformità, la convergenza taglia da entrambi i lati. La buona notizia è che un gruppo operante in più Stati membri può, in linea di principio, gestire un unico standard di CDD anziché riconciliarne una dozzina. La notizia scomoda è che l'armonizzazione tende a livellare verso l'alto: il corpus unico fissa un pavimento esigente, e una pratica che prima soddisfaceva una lettura nazionale più leggera può ora risultare insufficiente.

Adeguata verifica e verifica rafforzata

L'AMLR stabilisce aspettative armonizzate per identificare e verificare il cliente, comprendere lo scopo e la natura prevista della relazione ed effettuare un monitoraggio continuo. I fattori scatenanti della verifica rafforzata — Paesi terzi ad alto rischio, relazioni di corrispondenza, determinate strutture opache o di valore elevato e persone politicamente esposte — sono definiti a livello UE anziché lasciati alla guidance di ciascun supervisore. La conseguenza operativa è che l'EDD non può più essere una sovrastruttura locale discrezionale; diventa un passaggio documentato e basato su regole, che un esaminatore di qualsiasi Stato membro si aspetta di vedere applicato in modo coerente.

Titolare effettivo: una definizione, applicata alla persona fisica ultima

Il titolare effettivo è il punto in cui l'armonizzazione ha il taglio operativo più netto. L'AMLR ancora una definizione comune costruita attorno a una soglia di partecipazione del 25 % e a test basati sul controllo, e impone alle istituzioni di risalire attraverso le strutture a strati fino alla persona fisica che possiede o controlla in ultima istanza il cliente — indipendentemente dal numero di holding intermedie, fondi o veicoli nella catena. È la stessa direzione della riforma svizzera, e per la stessa ragione: fermarsi al primo strato societario non è più difendibile.

Per una banca o un GFI che effettua l'onboarding di una società detenuta tramite due o tre veicoli in più giurisdizioni, è esattamente il lavoro che manda in crisi il modello manuale. Ricostruire una catena di controllo a mano — richiedere estratti dei registri, tradurli, mappare le partecipazioni e riverificare a ogni revisione — è il tipo di attività che richiede 2-4 ore per pratica e allunga l'onboarding complesso verso quattro-sei settimane. Farlo in modo coerente, in volume, a fronte di un unico standard UE è un problema di dati prima che giuridico, motivo per cui automatizzare la verifica dei titolari effettivi è oggi un'aspettativa di vigilanza e non un mero vantaggio di efficienza.

3. Il modello di vigilanza dell'AMLA e i «soggetti obbligati selezionati»

L'AMLA non sostituisce i supervisori nazionali; è un nuovo strato sopra e accanto a essi, con due modalità distinte.

La vigilanza diretta si applica a un piccolo gruppo di soggetti obbligati selezionati — gli enti creditizi e finanziari che operano in più Stati membri e soddisfano criteri di rischio definiti. Per questa coorte, l'AMLA conduce gli esami tramite squadre di vigilanza congiunte formate dall'AMLA e dalle autorità nazionali competenti. Il numero di soggetti sotto vigilanza diretta è deliberatamente limitato all'inizio, ma le entità incluse sono proprio i grandi gruppi transfrontalieri per i quali il Lussemburgo è un hub comune.

La vigilanza indiretta copre tutti gli altri. Qui l'AMLA fissa standard, emana orientamenti, coordina i supervisori nazionali e interviene laddove un'autorità nazionale sia carente. L'effetto pratico è la convergenza: anche un'istituzione che non sarà mai sotto vigilanza diretta dell'AMLA sarà esaminata da un supervisore nazionale che applica aspettative allineate all'AMLA. Non esiste un'esenzione di sostanza con la motivazione di essere «troppo piccoli per l'AMLA».

Per i Chief Compliance Officer, la lettura strategica è semplice. Che il vostro gruppo figuri o meno nell'elenco selezionato, dovreste presumere che sarete valutati rispetto allo standard armonizzato, con la stessa esigenza che ha già rimodellato la vigilanza svizzera: gli esaminatori vogliono la prova che i controlli funzionano, non semplicemente che esistono. Uno strumento di screening attivato, una politica di revisione redatta, una checklist di onboarding firmata — nessuno di questi elementi, da solo, risponde alla domanda che pone la vigilanza nell'era dell'AMLA: il controllo ha prodotto il risultato giusto, al momento giusto, su questa specifica pratica?

4. L'ottica Lussemburgo/CSSF

Il Lussemburgo concentra diverse delle caratteristiche esattamente prese di mira dalla riforma dell'UE: è una piazza di domiciliazione di fondi d'investimento di primo piano, un centro di private banking transfrontaliero e sede di un'ampia popolazione di amministratori di fondi, società di gestione e gestori patrimoniali che servono clienti in tutta l'Unione e oltre. Questa combinazione — portata transfrontaliera più strutture di controllo complesse — è ciò che rende la giurisdizione centrale nel modo in cui il pacchetto si farà sentire nella pratica.

La CSSF come supervisore

La Commission de Surveillance du Secteur Financier (CSSF) vigila sulla conformità AML/CFT della gran parte del settore finanziario lussemburghese, tramite i propri regolamenti, circolari e segnalazioni AML/CFT periodiche. Sotto la nuova architettura, la CSSF rimane il supervisore nazionale e l'interlocutore quotidiano della maggior parte delle entità, pur operando nel quadro di convergenza dell'AMLA e, per i soggetti selezionati con sede o fortemente attivi in Lussemburgo, accanto all'AMLA in squadre di vigilanza congiunte. In pratica, i gruppi con sede in Lussemburgo devono attendersi che le aspettative della CSSF e gli standard dell'AMLA procedano di pari passo.

Il registro dei titolari effettivi (RBE)

Il Registre des Bénéficiaires Effectifs (RBE) lussemburghese, tenuto dai Luxembourg Business Registers, obbliga già le entità a dichiarare i propri titolari effettivi. Sotto l'AMLD6, i registri dei titolari effettivi di tutta l'Unione vengono rafforzati e meglio interconnessi. Per una funzione di conformità ciò alza l'asticella anziché abbassarla: il registro è una seconda fonte di verità con cui la vostra conclusione KYC deve essere riconciliata. Una discordanza tra ciò che mostra l'RBE e ciò che conclude la vostra pratica è una divergenza che siete tenuti a rilevare, risolvere e documentare — non una questione interna. Le istituzioni che se la cavano meglio sono quelle capaci di ricostruire una catena di controllo, confrontarla con l'RBE e documentare il confronto in pochi minuti anziché in giorni.

L'attività transfrontaliera come fattore di selezione

Poiché le entità lussemburghesi così spesso passaportano i propri servizi nell'UE e gestiscono strutture detenute a livello internazionale, sono candidate naturali all'impronta multi-Stato che alimenta i criteri di soggetto selezionato dell'AMLA. Una banca privata o una piattaforma di fondi lussemburghese con una clientela realmente paneuropea dovrebbe modellare fin d'ora se possa rientrare nella vigilanza diretta, e preparare le proprie pratiche a uno standard che sopravviverebbe a un esame condotto dall'AMLA.

5. Svizzera ↔ UE: gestire due regimi senza duplicare il lavoro

Per le istituzioni svizzere con attività orientata all'UE — e per i gruppi con una presenza sia svizzera sia lussemburghese — la riforma crea una realtà a due regimi. La Svizzera non è nell'UE e non applicherà l'AMLR, ma sta inasprendo le proprie regole su un calendario parallelo: la LRD e l'ORD-FINMA riviste, e la legge sulla trasparenza LTPG che introduce un registro federale dei titolari effettivi a partire dal 1° ottobre 2026 (approfondita nella nostra guida ai cambiamenti AML svizzeri per il 2026). La tentazione è costruire due pile di conformità. La risposta migliore è costruirne una e mapparla su due regimi.

Il denominatore comune è sorprendente. Entrambi i regimi vogliono la persona fisica ultima identificata attraverso ogni strato, entrambi vogliono tale conclusione riconciliata con un registro, entrambi vogliono una verifica documentata basata sul rischio, ed entrambi vogliono prove prodotte su richiesta anziché riassemblate per un audit. Un'istituzione che costruisce il proprio KYC attorno a queste proprietà condivise soddisfa la maggior parte di entrambi i regimi da un unico modello di dati — e tratta come eccezioni solo le differenze realmente specifiche di una giurisdizione, anziché mantenere due operatività parallele. La duplicazione è qui la modalità di fallimento costosa, ed è evitabile.

6. Una checklist di preparazione per il 2027-2028

Quella che segue è una checklist pratica per colmare il divario prima dell'arrivo delle scadenze graduali. Si applica sia che il vostro baricentro sia una banca svizzera, una piattaforma di fondi lussemburghese, un GFI o una fintech.

Mappate la vostra impronta. Stabilite in quali Stati membri operate e se la vostra attività transfrontaliera possa farvi rientrare nei criteri di soggetto selezionato dell'AMLA. Anche in caso contrario, presumete di essere valutati rispetto allo standard armonizzato.

Conducete un'analisi degli scostamenti rispetto al pavimento più elevato. Confrontate le vostre attuali procedure di CDD, EDD e titolare effettivo con le aspettative armonizzate dell'AMLR, trattando la lettura più esigente come base di riferimento. Ritirate le deroghe nazionali su cui le vostre pratiche si appoggiavano silenziosamente.

Fissate il titolare effettivo alla persona fisica. Assicuratevi che ogni pratica risalga il controllo attraverso le strutture a strati fino alla persona fisica ultima, registri le fonti dietro ogni anello e si riconcili con il registro pertinente — l'RBE in Lussemburgo, il registro federale in Svizzera e gli equivalenti altrove.

Rendete il monitoraggio continuo. Passate da revisioni periodiche scandite dal calendario a un monitoraggio attivato dagli eventi, affinché i cambiamenti di controllo, gli aggiornamenti sanzionatori e la stampa avversa raggiungano la pratica nel momento in cui si verificano.

Costruite un'unica pista di audit. Assicuratevi che ogni decisione — un rating di rischio, un allarme archiviato, un titolare effettivo accettato — sia tracciabile, con marca temporale e collegata alle sue prove, così che una pratica completa possa essere prodotta su richiesta sia per un esaminatore CSSF/AMLA sia FINMA.

Consolidate su un unico modello di dati. Resistete alla costruzione di pile svizzere e UE separate. Strutturate i dati KYC una volta e mappateli sulle specificità di ciascun regime.

7. Come l'automazione offre una conformità armonizzata e dimostrabile tra giurisdizioni

Il motivo per cui un unico modello di dati è realistico — anziché un'aspirazione — è che velocità, tracciabilità e prova si rivelano essere la stessa capacità. Un sistema che risolve automaticamente una catena di titolari effettivi registra anche come lo ha fatto. Un sistema che archivia contestualmente un allarme di screening cattura anche il perché. L'efficacia dimostrabile, la proprietà che ora esigono sia il regime dell'UE sia quello svizzero, è un sottoprodotto dell'automazione ed estremamente costosa da fabbricare senza di essa.

La meccanica è coerente tra le giurisdizioni. Ricostruire un titolare effettivo a mano richiede 2-4 ore per pratica; la risoluzione automatizzata la riduce a pochi minuti, un risparmio di circa il 95 %. Un onboarding standard che manualmente richiede 15-21 giorni — fino a sei settimane per le strutture complesse — si comprime a 2-3 ore quando la raccolta documentale, l'estrazione, lo screening e lo scoring del rischio sono orchestrati anziché sequenziali. Lo screening di sanzioni e PPE eseguito manualmente produce tassi di falsi positivi del 90-99 %, ciascuno con un costo di circa 30-60 minuti di tempo dell'analista; lo scoring con IA riduce i falsi positivi al 20-25 % — circa 75 punti in meno — così che la pista di audit rifletta decisioni reali anziché rumore. La revisione periodica per pratica scende da 2-4 ore a 20-45 minuti, e il KYC perpetuo continuo e attivato dagli eventi elimina interamente il 70-90 % del lavoro di revisione programmata.

L'effetto di capacità amplifica tutto ciò: un analista KYC gestisce 15-25 clienti al mese manualmente e 80-120 con l'automazione — quattro-cinque volte di più — il che conta perché un analista a costo pieno è una risorsa scarsa, costosa e lenta da assumere, tanto a Zurigo quanto in Lussemburgo. Il costo per cliente onboardato scende da CHF 300-800 a CHF 50-150. Il ROI netto tipico del primo anno per questo tipo di automazione si aggira intorno al 200-260 %, con recupero in tre-quattro mesi. Ma sotto il pacchetto dell'UE, l'argomento più forte non è il costo — è che una conformità armonizzata e dimostrabile tra due regimi è realmente raggiungibile solo quando la prova è generata automaticamente man mano che il lavoro viene svolto.

8. Come Wecan Comply aiuta

Wecan Comply è costruito esattamente attorno alle proprietà che esigono sia il pacchetto dell'UE sia la riforma svizzera. La risoluzione dei titolari effettivi attraversa automaticamente le strutture a strati e si riconcilia con i dati di registro — l'RBE, il registro federale svizzero e altri — così che la persona fisica ultima, e le prove dietro tale conclusione, sia catturata e non ricostruita in seguito. L'adeguata verifica e la verifica rafforzata seguono un flusso strutturato e basato su regole che si mappa sulle aspettative armonizzate dell'AMLR come su quelle della FINMA, a partire da un unico modello di dati anziché due.

Il monitoraggio è continuo e attivato dagli eventi, così che i cambiamenti di controllo, gli aggiornamenti sanzionatori e la stampa avversa raggiungano la pratica nel momento in cui si verificano — trasformando un modello di revisione vincolato al calendario in KYC perpetuo. E poiché ogni azione lascia una traccia con marca temporale e collegata alle fonti, una pista di audit completa per qualsiasi pratica può essere prodotta su richiesta, che l'esaminatore sieda presso la CSSF, l'AMLA o la FINMA. Per banche, GFI e fintech che affrontano due regimi contemporaneamente, questa è la definizione pratica di conformità armonizzata e dimostrabile — e il terreno che l'automazione è stata concepita per coprire. La stessa logica vale sia che leggiate questo come banca svizzera che si prepara a un cambiamento KYC/AML sia come piattaforma lussemburghese che si prepara all'AMLA.