Antiriciclaggio svizzero nel 2026: cosa comportano la revisione dell'ORD-FINMA, il registro dei titolari effettivi della LTPG e le modifiche alla LRD per banche e gestori patrimoniali

Il 2026 non è un anno ordinario per la conformità antiriciclaggio svizzera. Tre filoni di riforma convergono contemporaneamente: una revisione parziale dell'ordinanza FINMA sul riciclaggio di denaro (ORD-FINMA), l'entrata in vigore della legge federale sulla trasparenza delle persone giuridiche (LTPG) insieme a una legge sul riciclaggio di denaro (LRD) rivista, e l'arrivo di un registro federale dei titolari effettivi. Dietro questi strumenti vi è un'unica intenzione di vigilanza destinata a sopravvivere a qualsiasi singolo articolo: le autorità vogliono sempre più constatare che i controlli funzionano, non semplicemente che esistono.

Questo articolo è una guida pratica alla preparazione, destinata ai Chief Compliance Officer e ai responsabili KYC delle banche svizzere e dei gestori patrimoniali indipendenti (GFI). Spiega ciò che cambia realmente, dove si concentrerà la pressione operativa e come colmare il divario tra avere un dispositivo di controllo sulla carta e poterne dimostrare l'efficacia su richiesta.

1. Il quadro normativo 2026 in sintesi

Diversi calendari procedono in parallelo, e la difficoltà pratica sta nel fatto che ricadono sugli stessi team, sulle stesse pratiche di onboarding e sugli stessi sistemi di monitoraggio.

L'ORD-FINMA rivista. La FINMA ha aperto una consultazione il 12 maggio 2026 su una revisione parziale dell'ordinanza sul riciclaggio di denaro, protrattasi fino al 9 giugno 2026. La revisione rafforza l'obbligo di comprendere la struttura del cliente e chiarisce il trattamento dei conti di passaggio e dei sottoconti — un ambito con conseguenze dirette sulla relazione banca–GFI (vedi sezione 3).

La LTPG e la LRD rivista. A partire dal 1° ottobre 2026, la legge federale sulla trasparenza delle persone giuridiche (LTPG), unitamente a una LRD rivista, introduce un registro federale dei titolari effettivi e rafforza l'obbligo di identificare la persona fisica che controlla in ultima istanza una persona giuridica — indipendentemente dal numero di strati offshore interposti. Le soglie di rilevazione dei titolari effettivi vengono abbassate e la platea delle persone da identificare si amplia.

Il contesto europeo. Parallelamente, il pacchetto antiriciclaggio dell'UE crea una nuova autorità di vigilanza, l'AMLA, dotata di poteri di vigilanza diretti su determinate entità ad alto rischio, accanto a un corpus di regole unico che copre la due diligence basata sul rischio, la due diligence rafforzata per le relazioni ad alto rischio, il monitoraggio continuo delle transazioni e le revisioni periodiche documentate. Le istituzioni svizzere con attività orientate all'UE, relazioni di corrispondenza o clienti transfrontalieri non possono considerarlo un problema altrui.

Il filo conduttore è che nessuna di queste riforme premia un approccio statico e annuale. Ciascuna presuppone informazioni attuali, tracciabili e difendibili.

2. Titolari effettivi: trovare la persona fisica ultima

Il baricentro del 2026 è il titolare effettivo. La direzione è inequivocabile: gli intermediari devono identificare la persona fisica che possiede o controlla in ultima istanza una persona giuridica, indipendentemente dal numero di holding intermedie, trust o veicoli offshore interposti tra il cliente e tale persona.

Cosa cambia nella pratica

Per i team di onboarding contano tre spostamenti. Primo, l'abbassamento delle soglie significa che persone che prima si collocavano al di sotto della linea di rilevazione devono ora essere identificate e documentate. Secondo, la regola delle strutture a strati elimina la possibilità di fermarsi alla prima entità estera della catena — l'analisi deve risalire fino a una persona fisica. Terzo, il registro federale crea un punto di riferimento che le istituzioni dovranno consultare, riconciliare con le proprie constatazioni e — in caso di divergenze — investigare e, in casi definiti, segnalare.

Per una banca privata o un GFI che effettua l'onboarding di una società detenuta tramite due o tre veicoli intermedi in giurisdizioni diverse, è qui che il modello manuale crolla. Ricostruire una catena di controllo a mano — richiedere estratti dei registri, tradurli, mappare le partecipazioni e riverificare a ogni revisione periodica — è esattamente il tipo di lavoro che richiede 2-4 ore per pratica e allunga l'onboarding complesso a quattro-sei settimane.

Perché il registro alza l'asticella invece di abbassarla

Un registro centrale è spesso presentato come una semplificazione. In termini di conformità è l'opposto: crea una seconda fonte di verità con cui la vostra pratica deve essere riconciliata. Una discordanza tra ciò che dice il registro e ciò che conclude la vostra pratica KYC non è più una questione interna — è una potenziale divergenza che siete tenuti a rilevare, risolvere e documentare. Le istituzioni che se la caveranno meglio sono quelle capaci di ricostruire una catena di controllo, confrontarla con il registro e documentare il confronto in pochi minuti anziché in giorni.

3. Conti di passaggio e relazione banca–GFI

L'articolo 37 ORD-FINMA rivisto disciplina i conti di passaggio e i sottoconti, ed è qui che i GFI e le loro banche depositarie devono prestare particolare attenzione. In sostanza, un intermediario può eseguire pagamenti per i clienti di una controparte solo se quest'ultima fornisce le informazioni di due diligence necessarie — incluso il profilo KYC dei clienti finali.

Per la relazione banca–GFI, ciò formalizza quella che è stata a lungo una zona grigia. La banca depositaria non può trattare il GFI come un cliente unico opaco i cui clienti finali sottostanti siano invisibili. Il GFI, a sua volta, deve essere in grado di trasmettere informazioni KYC strutturate, attuali e verificabili sui propri clienti finali — e non un pacchetto di PDF assemblato la notte prima di un audit.

La conseguenza operativa

È anzitutto un problema di scambio di dati prima di essere un problema giuridico. Se le pratiche KYC di un GFI vivono in cartelle scollegate, fogli di calcolo e catene di e-mail, soddisfare la richiesta di informazioni di due diligence sui clienti finali formulata da una banca depositaria diventa ogni volta una corsa di più giorni. Se, al contrario, l'informazione è strutturata, versionata e condivisibile, la stessa richiesta diventa un'esportazione controllata. La riforma premia di fatto le istituzioni i cui dati KYC sono leggibili dalle macchine e penalizza quelle i cui dati sono prigionieri dei documenti.

4. Il cambiamento di fondo: dalla presenza dei controlli all'efficacia dimostrabile

Sotto gli strumenti specifici si cela il cambiamento che definirà la vigilanza per il resto del decennio. Per anni un'istituzione poteva soddisfare un esaminatore mostrando che un controllo esisteva: uno strumento di screening era in atto, una politica di revisione periodica era redatta, una checklist di onboarding era firmata. Nel 2026 questo non basta più. Le autorità — svizzere ed europee — richiedono sempre più un'efficacia dimostrabile: la prova che il controllo ha prodotto il risultato giusto, al momento giusto, su questa specifica pratica.

Cosa richiede realmente il termine «dimostrabile»

L'efficacia dimostrabile possiede tre proprietà che la conformità di facciata non ha.

È tracciabile. Ogni decisione — perché è stato assegnato un rating di rischio, perché un allarme è stato archiviato, perché un titolare effettivo è stato accettato — deve poter essere ricostruita a posteriori, con le prove sottostanti allegate e il decisore identificato.

È tempestiva. Una revisione completata con undici mesi di ritardo, o un allarme chiuso dopo la finestra di segnalazione, non supera il test anche se la conclusione finale era corretta. L'efficacia ha un orologio.

È fondata su prove. Le conclusioni devono poggiare su fonti documentate — estratti dei registri, risultati dello screening, la riconciliazione con il registro dei titolari effettivi — e non sul ricordo di un analista o su una nota non datata.

Il divario così rivelato è scomodo. Molte istituzioni dispongono di controlli realmente presenti e realmente ben intenzionati, ma che non possono essere dimostrati rapidamente, perché le prove sono sparse tra i sistemi e la pista di audit deve essere ricostruita manualmente. È proprio lì che la vigilanza del 2026 eserciterà pressione.

5. Una checklist concreta di preparazione al 2026

Quella che segue è una checklist pratica per colmare il divario prima che venga messo alla prova. È organizzata secondo la parte dell'operatività di conformità interessata.

Onboarding. Aggiornate la rilevazione per catturare i titolari effettivi ultimi attraverso le strutture a strati, non solo il detentore di primo livello. Integrate la riconciliazione con il registro federale come passaggio standard, con un esito documentato. Abbassate le soglie interne di rilevazione per allinearle alle regole riviste.

Pratiche KYC. Assicuratevi che ogni pratica contenga una catena di controllo ricostruibile, le fonti dietro ogni anello, il confronto con il registro e una chiara traccia di chi ha concluso cosa e quando. Sostituite le note in testo libero con dati strutturati e versionati.

Scambio di dati banca–GFI. Per i GFI: rendete le informazioni KYC dei clienti finali strutturate ed esportabili su richiesta, in linea con l'articolo 37 rivisto. Per le banche: definite cosa richiedete ai GFI e come lo verificherete, anziché accettare pacchetti di documenti senza vaglio.

Monitoraggio. Passate da revisioni periodiche programmate, scandite dal calendario, a un monitoraggio continuo e attivato dagli eventi, affinché i cambiamenti di controllo, di stato sanzionatorio o di stampa avversa aggiornino la pratica nel momento in cui si verificano — e non al successivo ciclo annuale.

Documentazione e pista di audit. Assicuratevi che ogni decisione sia tracciabile, con marca temporale e collegata alle sue prove, e che una pista di audit completa per qualsiasi pratica possa essere prodotta su richiesta anziché ricostruita.

6. Perché i processi manuali non possono offrire un'efficacia dimostrabile su larga scala

La conclusione scomoda è che i processi manuali e semi-manuali sono strutturalmente incapaci di soddisfare lo standard del 2026 su larga scala — non perché gli analisti siano negligenti, ma perché le proprietà richieste (tracciabile, tempestiva, fondata su prove, in volume) contrastano con la natura del lavoro manuale.

Consideriamo la meccanica. Ricostruire un titolare effettivo a mano richiede 2-4 ore per pratica; la risoluzione automatizzata la riduce a pochi minuti, un risparmio di circa il 95 %. Un onboarding standard che manualmente richiede 15-21 giorni — e fino a sei settimane per le strutture complesse — si comprime a 2-3 ore quando la raccolta documentale, l'estrazione, lo screening e lo scoring del rischio sono orchestrati anziché sequenziali. La sola raccolta documentale scende da 5-10 giorni a meno di 24 ore.

L'efficacia è anche un problema di falsi positivi. Lo screening di sanzioni e PEP eseguito manualmente produce tassi di falsi positivi del 90-99 %, con ogni falso positivo che costa circa 30-60 minuti di tempo dell'analista; lo scoring contestuale con IA abbassa tale tasso al 20-25 % — circa 75 punti in meno — così che la pista di audit rifletta decisioni reali anziché rumore. La revisione periodica per pratica scende da 2-4 ore a 20-45 minuti, una riduzione prossima al 70 %, e il pKYC continuo e attivato dagli eventi elimina interamente il 70-90 % del lavoro di revisione periodica programmata, aggiornando le pratiche quando gli eventi si verificano anziché a date fisse.

L'effetto di capacità amplifica tutto ciò. Un analista KYC gestisce 15-25 clienti al mese manualmente e 80-120 con l'automazione — quattro-cinque volte di più — il che conta perché un analista KYC svizzero a costo pieno costa CHF 80 000-110 000 l'anno e richiede mesi per essere assunto e formato. Il costo per cliente onboardato scende da CHF 300-800 a CHF 50-150, circa il 75 % in meno.

Il punto non è che l'automazione sia più veloce — anche se lo è. Il punto è che velocità, tracciabilità e prova sono la stessa capacità. Un sistema che risolve automaticamente una catena di titolari effettivi registra anche come lo ha fatto; un sistema che archivia contestualmente un allarme di screening cattura anche il perché. L'efficacia dimostrabile è un sottoprodotto dell'automazione, ed estremamente costosa da fabbricare senza di essa. Il ROI netto tipico del primo anno per questo tipo di automazione si aggira intorno al 200-260 %, con recupero in tre-quattro mesi — ma nel 2026 l'argomento più forte è la difendibilità, non il costo.

7. Come Wecan aiuta le istituzioni a prepararsi al 2026

Wecan Comply è costruito esattamente attorno alle proprietà che la vigilanza del 2026 esige. La risoluzione dei titolari effettivi attraversa automaticamente le strutture a strati e si riconcilia con i dati del registro, così che la persona fisica ultima — e le prove dietro tale conclusione — sia catturata, non ricostruita in seguito. Per la relazione banca–GFI, le informazioni KYC dei clienti finali sono conservate come dati strutturati e versionati che possono essere condivisi ai sensi dell'articolo 37 rivisto come un'esportazione controllata anziché una corsa ai documenti.

Il monitoraggio è continuo e attivato dagli eventi, così che i cambiamenti di controllo, gli aggiornamenti sanzionatori e la stampa avversa raggiungano la pratica nel momento in cui si verificano — è ciò che trasforma un modello di revisione vincolato al calendario in KYC perpetuo. E poiché ogni azione lascia una traccia con marca temporale e collegata alle fonti, la pista di audit per qualsiasi pratica può essere prodotta su richiesta — la definizione pratica di efficacia dimostrabile.

Le riforme del 2026 separeranno le istituzioni capaci di provare che i loro controlli funzionano da quelle che si limitano a possederli. La distanza tra queste due posizioni si misura in prove, tracciabilità e tempo — proprio il terreno che l'automazione è stata concepita per coprire.