Conformità KYC e AML per le banche: automatizzare la due diligence su larga scala

Nessun intermediario finanziario porta un onere KYC e AML più pesante di una banca. Una banca privata o universale onboarda e monitora decine di migliaia di relazioni che spaziano da persone fisiche, società operative, strutture di holding, trust e fondazioni — molte transfrontaliere, molte esposte a persone politicamente esposte (PEP), tutte funzionanti su sistemi bancari centrali mai progettati per il ritmo e la granularità della due diligence moderna. Mentre le aspettative di vigilanza si spostano dalle procedure documentate all'efficacia dimostrabile, il divario tra ciò che i regolatori si attendono e ciò che i processi manuali possono produrre si allarga sempre più.

Questo articolo esamina perché l'onere è strutturalmente più pesante per le banche, cosa richiede realmente l'inasprimento regolamentare del 2026, perché la relazione con i gestori patrimoniali indipendenti crea un obbligo di condivisione dei dati ai sensi dell'art. 37 ORD-FINMA rivisto, e dove l'automazione offre il ritorno più misurabile tra onboarding, screening e monitoraggio perpetuo.

1. Perché le banche portano l'onere KYC/AML più pesante

L'ampiezza dell'obbligo di una banca non è una questione di grado — è una differenza di natura. Volume, complessità delle entità e infrastruttura ereditata si rafforzano a vicenda.

Volume e complessità delle entità

Una banca svizzera di medie dimensioni può detenere da 20.000 a 100.000 relazioni attive, ciascuna delle quali richiede identificazione, accertamento del titolare effettivo, profilo di rischio documentato, monitoraggio continuo e revisione periodica. Gran parte di queste relazioni non sono persone fisiche ma persone giuridiche: società operative con azionariati stratificati, strutture di holding distribuite su più giurisdizioni, trust e fondazioni i cui titolari effettivi non figurano su alcun registro unico. Accertare il titolare effettivo ultimo dietro una struttura transfrontaliera a cinque livelli non è un esercizio di compilazione di moduli; svolto manualmente consuma dalle due alle quattro ore per pratica e dipende dalla capacità dell'analista di leggere estratti di registro tra lingue e ordinamenti giuridici diversi.

Relazioni di corrispondenza, PEP ed esposizione transfrontaliera

Le banche portano inoltre un'esposizione che gli intermediari più piccoli non hanno. Le relazioni di corrispondenza bancaria richiedono due diligence sull'istituto rispondente e, indirettamente, sui suoi clienti. Una sola clientela internazionale moltiplica l'esposizione a sanzioni e PEP su decine di liste di monitoraggio aggiornate quotidianamente. E ogni relazione transfrontaliera sovrappone un secondo regime regolamentare a quello svizzero. Il risultato è un problema di screening che non si misura in centinaia di alert ma in decine di migliaia al mese — con un tasso di falsi positivi che, sui sistemi basati su regole, si colloca tra il 90 % e il 99 %.

Sistemi centrali ereditati

L'ultimo fattore aggravante è l'infrastruttura. I dati KYC risiedono tipicamente in una piattaforma bancaria centrale, in uno o più sistemi CRM, in un archivio documentale e in uno strumento di screening autonomo — nessuno dei quali è stato costruito per condividere un unico record cliente aggiornato. Gli analisti reimmettono gli stessi dati tra i sistemi, riconciliano versioni contraddittorie e assemblano a mano le pratiche di revisione. L'onere non è solo il lavoro in sé; è il lavoro di spostare le informazioni tra sistemi che non si parlano.

2. La vigilanza della FINMA e l'inasprimento regolamentare del 2026

Tre sviluppi convergenti fanno del 2026 l'anno in cui il modello manuale cessa di essere difendibile per le banche.

L'ORD-FINMA rivista

Nella sua revisione parziale dell'ordinanza FINMA sul riciclaggio di denaro — posta in consultazione tra il 12 maggio e il 9 giugno 2026 — il regolatore ha rafforzato diverse aspettative di due diligence, tra cui il trattamento dei conti di transito (discusso nella sezione 3). La direzione è coerente: verifica più granulare del titolare effettivo, documentazione più rigorosa della motivazione dietro le classificazioni di rischio e minore tolleranza per le pratiche formalmente complete ma sostanzialmente obsolete.

Il registro dei titolari effettivi della LTPG

Dal 1° ottobre 2026, la legge sulla trasparenza delle persone giuridiche (LTPG), accanto alla legge rivista sul riciclaggio di denaro, introduce un registro federale dei titolari effettivi e obbliga gli intermediari a identificare la persona fisica che controlla in ultima istanza una persona giuridica — indipendentemente da quante strutture stratificate o offshore si interpongano — con soglie abbassate e una cattura ampliata. Per una banca con decine di migliaia di relazioni aziendali, riaccertare e riscontrare il titolare effettivo rispetto a un nuovo registro è un progetto che i team manuali non possono assorbire senza arretrati né nuove assunzioni.

Dalla casella da spuntare all'efficacia dimostrabile

Il cambiamento più profondo non è alcun singolo articolo. È il passaggio della vigilanza dal chiedersi se i controlli esistano al chiedersi se funzionino. L'aspettativa per il 2026 è l'efficacia dimostrabile: decisioni tracciabili, tempestive, basate su prove e applicate in modo coerente sull'intero portafoglio. Una banca non può dimostrare la coerenza su 50.000 relazioni esaminate da decine di analisti che si affidano al giudizio e a fogli di calcolo. Può dimostrarla con un unico record per cliente, una pista di audit completa e un motore di monitoraggio che applica ogni volta la stessa logica.

3. La dimensione GFI: un obbligo di condivisione dei dati ai sensi dell'art. 37 ORD-FINMA

Le banche non onboardano solo i propri clienti diretti. Servono gestori patrimoniali indipendenti (GFI) — gestori di portafoglio indipendenti che depositano gli attivi dei loro clienti presso la banca e istruiscono transazioni per conto di tali clienti. Questa relazione è al centro dell'art. 37 ORD-FINMA rivisto sui conti di transito.

Il problema della condivisione dei dati

Ai sensi dell'art. 37 rivisto, una banca può eseguire pagamenti per conto dei clienti di una controparte solo se questa fornisce le informazioni di due diligence necessarie, incluso il profilo KYC dei clienti finali. In pratica ciò significa che una banca che serve gestori patrimoniali indipendenti deve ottenere, detenere e poter provare la due diligence sottostante per clienti che non onboarda essa stessa. L'informazione esiste — risiede nelle pratiche del GFI — ma nel formato del GFI, secondo i tempi del GFI. La banca ne ha bisogno nel proprio formato, aggiornata e pronta per l'audit.

Ciò trasforma un'aspettativa flessibile in una barriera rigida. Quando il GFI non è in grado di consegnare una pratica completa e aggiornata, la banca deve rifiutare o limitare la relazione, oppure ricostruire la pratica da sé — impiegando settimane a ri-documentare un cliente che il GFI già conosce. Moltiplicato per ogni GFI che una banca serve, questo è un freno strutturale alla capacità di onboarding e un'esposizione di audit ricorrente. Uno strato di compliance condiviso, in cui il GFI mantiene un unico record autorevole e lo condivide nella forma richiesta dalla banca, è precisamente ciò che l'art. 37 rende operativamente necessario — una dinamica esaminata in dettaglio nel nostro articolo complementare su KYC/AML per i GFI.

4. Dove l'automazione offre di più alle banche

L'automazione non sostituisce il giudizio del responsabile compliance; elimina il lavoro manuale che lo circonda. Per una banca, gli obiettivi a più alto rendimento sono i compiti più voluminosi e ripetitivi.

Onboarding e risoluzione degli UBO

I flussi di onboarding digitale raccolgono e certificano i documenti del cliente una sola volta; OCR e NLP estraggono e strutturano i dati; le catene dei titolari effettivi vengono ricostruite automaticamente dai dati di registro. Un onboarding standard che manualmente richiede dai 15 ai 21 giorni — e fino a sei settimane per le strutture aziendali complesse — si comprime a due o tre ore. L'identificazione degli UBO scende da due-quattro ore a pochi minuti.

Screening e triage di sanzioni e PEP

La singola leva di efficienza più grande per una banca è la riduzione dei falsi positivi. Uno scoring contestuale assistito dall'IA legge il contesto completo dell'entità anziché confrontare stringhe, riducendo il tasso di falsi positivi dal 90–99 % al 20–25 %. Poiché ogni falso positivo consuma dai 30 ai 60 minuti di tempo dell'analista, e poiché le banche generano i volumi di alert più elevati di qualsiasi intermediario, questa sola riduzione recupera una quota sostanziale della capacità del team di compliance — come illustrato nella nostra nota sulla riduzione dei falsi positivi su sanzioni e PEP.

KYC perpetuo e revisioni periodiche

Il cambiamento più trasformativo è il passaggio dalle revisioni programmate al KYC perpetuo (pKYC): una due diligence continua e attivata dagli eventi che aggiorna la pratica al variare delle circostanze anziché a calendario. Chi adotta per primo questo modello elimina il 70–90 % del lavoro manuale di revisione periodica, perché alle pratiche non viene mai permesso di diventare obsolete e le revisioni diventano guidate dalle eccezioni anziché esaustive.

5. La realtà dell'integrazione e la gestione del cambiamento

Per una banca, la domanda difficile non è mai se l'automazione funzioni in astratto — è se si adatti al parco esistente senza un programma di sostituzione biennale.

Affiancarsi al sistema bancario centrale e al CRM

Uno strato di compliance praticabile si integra con — anziché sostituire — la piattaforma bancaria centrale, il CRM e gli strumenti di screening esistenti. Legge i dati del cliente dove risiedono, riscrive record di due diligence e decisioni strutturati e diventa la fonte unica di verità per il KYC senza imporre una sostituzione totale di sistemi che la banca ha impiegato anni a configurare. Sicurezza e residenza dei dati sono requisiti di soglia, non funzionalità — hosting svizzero, controllo degli accessi granulare e pista di audit completa sono prerequisiti per qualsiasi implementazione regolamentata.

La gestione del cambiamento

Il rischio maggiore è organizzativo. Gli analisti addestrati a costruire le pratiche a mano devono imparare a supervisionare un sistema che le costruisce automaticamente — esaminando le eccezioni e i casi limite anziché ogni campo. La transizione funziona meglio quando l'automazione viene introdotta funzione per funzione: prima il triage dei falsi positivi, dove il guadagno è immediato e incontestato, poi l'onboarding, poi il passaggio al monitoraggio perpetuo. La governance deve essere esplicita su quali decisioni restino umane e quali siano delegate al sistema, affinché la pista di audit rifletta una supervisione autentica anziché una convalida di pura forma.

6. L'argomento ROI per una banca

Il business case per una banca è funzione del volume: gli stessi guadagni per pratica che contano per un piccolo studio si cumulano su decine di migliaia di relazioni.

Consideriamo una banca con un team di compliance di 20 analisti KYC, ciascuno con un costo onnicomprensivo di 80.000-110.000 CHF all'anno, che gestisce onboarding e revisioni periodiche su un ampio portafoglio. Nel modello manuale, ogni analista gestisce da 15 a 25 clienti al mese; il solo triage dei falsi positivi consuma una frazione sostanziale della settimana lavorativa, e le revisioni periodiche arrivano in ondate di calendario che creano arretrati ricorrenti. Reclutare un analista aggiuntivo richiede dalle 6 alle 12 settimane e aggiunge un costo fisso.

L'automazione cambia l'aritmetica su tre fronti contemporaneamente. La produttività per analista sale da 15-25 a 80-120 clienti al mese — un guadagno da quattro a cinque volte — mentre i falsi positivi calano di circa tre quarti e l'onboarding si comprime da settimane a ore. Il costo per pratica onboardata scende da 300-800 CHF a 50-150 CHF. E il passaggio al KYC perpetuo elimina il 70-90 % del lavoro di revisione periodica, là dove si accumulano gli arretrati. L'effetto combinato non è marginale: i team riferiscono tipicamente un ROI del primo anno di circa il 200-260 % con un periodo di ammortamento di tre-quattro mesi e — spesso più prezioso della cifra — l'eliminazione dell'arretrato di revisioni che espone una banca alle critiche della vigilanza.

La metodologia ROI completa scompone queste leve pratica per pratica, ma il messaggio è semplice: al volume di una banca, anche modesti risparmi per pratica si aggregano in una capacità recuperata del valore di diversi equivalenti a tempo pieno — capacità reimpiegabile in un vero lavoro sul rischio anziché nella ri-documentazione.

7. Come Wecan Comply aiuta le banche

Wecan Comply è costruito per la scala e la complessità che una banca affronta realmente. Fornisce a una banca un unico record di due diligence autorevole e mantenuto in modo continuo per ogni cliente — raccolto una volta, strutturato automaticamente e sottoposto a screening con uno scoring contestuale che mantiene i falsi positivi a un livello abbastanza basso da consentire a un grande team di trattare le eccezioni anziché annegare negli alert. Risolve il titolare effettivo a partire dai dati di registro, mantiene una pista di audit completa per ogni decisione e supporta il passaggio dalle revisioni basate sul calendario a un monitoraggio perpetuo e attivato dagli eventi.

Fondamentale per le banche che servono gestori patrimoniali indipendenti, Wecan si colloca tra l'istituto e i GFI con cui collabora. Il GFI mantiene un unico record autorevole e lo condivide con la banca nella forma di cui essa ha bisogno, fornendo all'istituto le informazioni di due diligence del cliente finale di cui ora necessita ai sensi dell'art. 37 ORD-FINMA rivisto prima di eseguire per conto del cliente — ed eliminando le settimane di ri-documentazione che le lacune nella condivisione dei dati creano altrimenti.

Per un Chief Compliance Officer o un responsabile KYC, la scelta nel 2026 non è se automatizzare ma da dove iniziare. Al volume di una banca, il modello manuale non si adatta alle aspettative di efficacia dimostrabile senza un organico insostenibile. Uno strato di compliance condiviso e automatizzato trasforma la due diligence da un arretrato crescente in un processo controllato, documentato e difendibile — alla scala che una banca richiede.