La Srl deve solo aprire un conto corrente, eppure la banca chiede documenti, visure e una dichiarazione firmata su chi sia il «titolare effettivo». Il commercialista, prima ancora di accettare l’incarico per la contabilità, pretende carta d’identità, codice fiscale e informazioni sullo scopo del rapporto. Non è eccesso di zelo e non è burocrazia inventata dal singolo professionista: è l’adeguata verifica della clientela, il cuore del sistema di prevenzione del riciclaggio disegnato dal D.Lgs. 21 novembre 2007, n. 231. Chi la subisce ha il dovere di collaborare e chi la deve eseguire risponde di tasca propria se la salta. Per PMI e professionisti conviene quindi capire chi è obbligato, quando l’obbligo scatta e in cosa consiste davvero.
Chi deve farla: i soggetti obbligati
L’elenco dei soggetti obbligati sta nell’art. 3 del decreto e va ben oltre le banche. Accanto a intermediari bancari e finanziari, il comma 4 include i professionisti: commercialisti ed esperti contabili, consulenti del lavoro, chi svolge in via professionale attività in materia di contabilità e tributi (CAF compresi), notai e avvocati quando compiono per il cliente operazioni finanziarie o immobiliari — trasferimenti di diritti reali, gestione di denaro e conti, costituzione e amministrazione di società — e revisori legali. Il comma 5 aggiunge operatori non finanziari: commercio di cose antiche e opere d’arte sopra soglia, oro, agenti immobiliari, recupero crediti per conto terzi, custodia e trasporto valori, mediazione civile e commerciale.
Attenzione a un equivoco frequente: il D.Lgs. 231/2007 (antiriciclaggio) non va confuso con il D.Lgs. 231/2001, che riguarda la responsabilità amministrativa degli enti e il modello organizzativo 231. Sono due discipline diverse, che nelle imprese strutturate dialogano: i reati di riciclaggio sono tra i reati-presupposto del modello organizzativo.
Quando scatta: rapporto continuativo, incarico, soglie
I momenti che fanno scattare l’obbligo li fissa l’art. 17. La verifica si esegue, anzitutto, «in occasione dell’instaurazione di un rapporto continuativo o del conferimento dell’incarico per l’esecuzione di una prestazione professionale» (comma 1, lettera a): per il professionista, quindi, non c’è soglia — l’incarico in sé impone la verifica, qualunque ne sia il valore. Resta fuori dall’obbligo (comma 7) la mera redazione e trasmissione delle dichiarazioni fiscali, insieme agli adempimenti di amministrazione del personale.
La soglia riguarda invece le operazioni occasionali (lettera b): obbligo per le operazioni che comportano la trasmissione o movimentazione di mezzi di pagamento di importo pari o superiore a 15.000 euro, anche se realizzate con più operazioni frazionate e collegate; e per i trasferimenti di fondi — o di cripto-attività, nel testo vigente — superiori a 1.000 euro (una previsione dedicata copre i prestatori di servizi di gioco).
Il comma 2 aggiunge due ipotesi trasversali che azzerano ogni soglia: si procede sempre quando c’è sospetto di riciclaggio o finanziamento del terrorismo, «indipendentemente da qualsiasi deroga, esenzione o soglia applicabile», e quando sorgono dubbi sulla veridicità o adeguatezza dei dati già acquisiti.
In cosa consiste: i quattro contenuti dell’obbligo
L’art. 18, comma 1, scompone l’adeguata verifica in quattro attività. Primo: l’identificazione del cliente e dell’esecutore — chi materialmente opera per il cliente — con riscontro dell’identità su documenti, dati o informazioni di fonte affidabile e indipendente. Secondo: l’identificazione del titolare effettivo e la verifica della sua identità, se necessario ricostruendo l’assetto proprietario e di controllo. Terzo: l’acquisizione di informazioni sullo scopo e sulla natura del rapporto o della prestazione — e, in funzione del rischio, anche sulla situazione economico-patrimoniale del cliente. Quarto: il controllo costante del rapporto per tutta la sua durata, esaminando le operazioni e tenendo aggiornati i dati raccolti: la verifica non è una fotografia all’ingresso, è un film.
I tempi: identificazione e riscontro precedono l’instaurazione del rapporto o l’operazione (comma 2); solo a basso rischio il riscontro può slittare, da completare entro trenta giorni (comma 3). E il cliente non è spettatore: per l’art. 22 fornisce per iscritto, sotto la propria responsabilità, informazioni complete e aggiornate.
Quanto «a fondo» spingere la verifica lo decide l’approccio basato sul rischio (art. 17, comma 3): misure proporzionate al rischio concreto, valutato su criteri riferiti al cliente (natura giuridica, attività, comportamento, area geografica) e all’operazione (tipologia, ammontare, frequenza, coerenza col profilo). Per i professionisti, la bussola operativa sono le regole tecniche degli organismi di autoregolamentazione, adottate ai sensi dell’art. 11, comma 2, previo parere del Comitato di sicurezza finanziaria.
Verifica semplificata e rafforzata: l’intensità si dosa
Il rischio non è uguale per tutti, e la legge lo riconosce con due binari. A basso rischio, l’art. 23 consente misure semplificate — meno approfondite, non assenti: la verifica non sparisce mai e la semplificazione è preclusa in caso di sospetto. Tra gli indici di basso rischio: società quotate su mercati regolamentati, pubbliche amministrazioni, prodotti a operatività limitata, aree geografiche affidabili.
A rischio elevato scattano le misure rafforzate dell’art. 24: più informazioni, più riscontri, più controllo. Il comma 2 elenca i fattori-spia (strutture proprietarie opache, economia del contante, operatività a distanza senza presidi, aree geografiche critiche); il comma 5 rende la verifica rafforzata obbligatoria verso i paesi terzi ad alto rischio, nei conti di corrispondenza transfrontalieri e con le persone politicamente esposte (PEP).
Quando la verifica non si riesce oggettivamente a completare, l’art. 42 impone l’astensione: niente instaurazione del rapporto, niente esecuzione dell’operazione, valutando la segnalazione di operazione sospetta alla UIF. Per i professionisti c’è un’esenzione mirata (comma 3) limitata all’esame della posizione giuridica del cliente e alla difesa in giudizio — esenzione dall’astensione, non dagli altri presidi.
Il titolare effettivo e il suo registro: una vicenda europea
Il titolare effettivo è la persona fisica che sta in cima alla catena: l’art. 20 lo individua a cascata. Primo criterio, la proprietà: partecipazione superiore al 25% del capitale, detenuta direttamente o per il tramite di società controllate. Se l’assetto proprietario non basta, si guarda al controllo: maggioranza dei voti, influenza dominante, vincoli contrattuali. In via residuale, titolare effettivo è chi detiene poteri di rappresentanza legale, amministrazione o direzione. Ogni passaggio va documentato.
Questi dati confluiscono nel registro dei titolari effettivi presso il Registro delle imprese (art. 21), la cui storia recente è un piccolo romanzo. La Corte di giustizia UE, nel novembre 2022, ha invalidato l’accesso del pubblico indiscriminato ai registri previsto dalla direttiva (ne parliamo sotto). In Italia il registro, appena partito, è stato congelato per oltre due anni dal contenzioso delle società fiduciarie, risalito fino alla Corte UE che, con la sentenza della Prima Sezione del 21 maggio 2026 (cause riunite C-684/24 e C-685/24), ha confermato la validità della disciplina europea e la scelta italiana di includere i mandati fiduciari tra gli istituti affini al trust, censurando però la normativa nazionale nella parte in cui non assicura al titolare effettivo una tutela giuridica provvisoria quando la sua richiesta di deroga all’accesso non viene accolta. Il legislatore — dopo un primo intervento sull’art. 21 con il D.Lgs. 31 dicembre 2025, n. 210 — ha poi riscritto le regole di accesso con il D.Lgs. 10 giugno 2026, n. 122 (in vigore dal 23 luglio 2026), che recepisce gli articoli 11, 12, 13 e 15 della VI direttiva antiriciclaggio (direttiva (UE) 2024/1640) e inserisce nel decreto gli artt. da 21-bis a 21-septies: accedono le autorità (art. 21-bis), i soggetti obbligati, previo accreditamento ed esclusivamente a supporto dell’adeguata verifica (art. 21-ter), e i privati titolari di un legittimo interesse (art. 21-quater), ai quali è mostrato un set limitato di dati: nome e cognome, mese e anno di nascita, paese di residenza e cittadinanza, oltre alle condizioni in forza delle quali la persona è titolare effettivo.
Un’avvertenza pratica: il sistema di accesso diventa operativo solo con il provvedimento del Ministero delle imprese e del made in Italy che ne sancisce l’operatività (art. 2, comma 4, del D.Lgs. 122/2026), da adottare entro sessanta giorni dall’entrata in vigore e comunque dopo il decreto e l’aggiornamento del disciplinare tecnico previsti dai commi 2 e 3. A metà ottobre 2026 quel provvedimento non risulta ancora adottato; il Ministero ha intanto approvato, con decreto del 23 settembre 2026, le nuove specifiche tecniche per le comunicazioni al Registro delle imprese.
Le sanzioni e il nuovo pacchetto europeo
L’inosservanza costa. Sul piano amministrativo, l’art. 56 punisce la violazione degli obblighi di adeguata verifica con una sanzione pecuniaria di 2.000 euro, che nelle ipotesi di violazioni gravi, ripetute o sistematiche sale in una forbice da 2.500 a 50.000 euro; lo stesso trattamento colpisce chi opera nonostante l’obbligo di astensione. Sul piano penale, l’art. 55 punisce con la reclusione da sei mesi a tre anni e la multa da 10.000 a 30.000 euro le falsificazioni nella verifica — e, al comma 3, anche il cliente che fornisce dati falsi o informazioni non veritiere. Questi presidi viaggiano insieme agli altri obblighi d’impresa, dal whistleblowing alla tutela di contratti e asset immateriali.
L’orizzonte, intanto, è già europeo: il Regolamento (UE) 2024/1624 — il single rulebook antiriciclaggio, direttamente applicabile dal 10 luglio 2027 (dal 2029 per il settore del calcio professionistico) — uniformerà gli obblighi in tutta l’Unione, con un tetto europeo ai pagamenti in contanti di 10.000 euro (restano fermi i limiti nazionali più bassi, come i 5.000 euro oggi vigenti in Italia), mentre la nuova autorità AMLA (Regolamento (UE) 2024/1620), con sede a Francoforte e operativa dal 1° luglio 2025, coordinerà la vigilanza. Chi imposta oggi l’adeguata verifica su basi solide si troverà il 2027 già mezzo fatto.
Cosa dice la giurisprudenza
La decisione che ha ridisegnato la trasparenza sui titolari effettivi è la sentenza della Corte di giustizia dell’Unione europea, Grande Sezione, 22 novembre 2022, cause riunite C-37/20 e C-601/20 (Luxembourg Business Registers e Sovim). Il caso: in attuazione della direttiva antiriciclaggio, il Lussemburgo aveva istituito un registro dei titolari effettivi in parte consultabile da chiunque via internet; una società e un titolare effettivo, dopo il rifiuto del gestore di limitare l’accesso ai propri dati, avevano sollevato la questione davanti al giudice nazionale, che l’ha rimessa alla Corte. La Grande Sezione ha dichiarato invalida la disposizione della direttiva che imponeva agli Stati di rendere le informazioni sulla titolarità effettiva «accessibili in ogni caso al pubblico»: un’ingerenza grave nei diritti al rispetto della vita privata e alla protezione dei dati personali (artt. 7 e 8 della Carta), non limitata allo stretto necessario né proporzionata allo scopo, tanto più che il regime precedente — accesso a chi dimostrasse un legittimo interesse — era considerevolmente meno invasivo, e gli eventuali benefici del nuovo regime nella lotta al riciclaggio non compensavano la lesione più grave.
Il principio, in pratica: la trasparenza sui titolari effettivi è legittima, l’esposizione indiscriminata no. Esempio numerico: una Srl romana ha tre soci al 40%, al 35% e al 25%; titolari effettivi da individuare e comunicare sono i primi due (partecipazione superiore al 25%), non il terzo, salvo che eserciti il controllo per altra via. Dal 10 luglio 2027, con il regolamento europeo, la soglia diventerà «almeno il 25%» (art. 52 del Regolamento (UE) 2024/1624): anche il terzo socio rientrerà tra i titolari effettivi. Nel modello censurato dalla Corte — dati «accessibili in ogni caso al pubblico» — chiunque, un concorrente o un semplice curioso, avrebbe potuto consultarne online nome e dati; con le nuove regole il privato accede solo dimostrando un legittimo interesse e vede un set limitato di dati.
Per l’impresa la conseguenza è concreta: mappare correttamente i propri titolari effettivi, tenere allineate visure e comunicazioni, predisporre il fascicolo che banche e professionisti chiederanno a ogni rapporto — è il lavoro che svolgiamo nella consulenza in materia di compliance e nella consulenza societaria, costruendo procedure di adeguata verifica proporzionate alla dimensione dell’impresa o dello studio.
Domande frequenti
Il commercialista mi chiede documenti e titolare effettivo: posso rifiutarmi? No. L’art. 22 impone al cliente di fornire per iscritto, sotto la propria responsabilità, tutte le informazioni necessarie e aggiornate; senza, il professionista deve astenersi dall’incarico (art. 42) e valutare una segnalazione. Fornire dati falsi o informazioni non veritiere è punito penalmente dall’art. 55, comma 3, con la reclusione da sei mesi a tre anni e la multa da 10.000 a 30.000 euro.
Sotto i 15.000 euro l’adeguata verifica non serve? Falso. La soglia dei 15.000 euro riguarda solo le operazioni occasionali; l’instaurazione di un rapporto continuativo o il conferimento di un incarico professionale impongono la verifica qualunque sia l’importo, e i trasferimenti di fondi o cripto-attività la richiedono già sopra i 1.000 euro. In caso di sospetto, poi, la verifica scatta sempre, senza alcuna soglia.
Chi può consultare il registro dei titolari effettivi? Dopo la sentenza CGUE del 2022 e il D.Lgs. 122/2026 (in vigore dal 23 luglio 2026), l’accesso è disegnato su tre livelli: pieno per le autorità (dal MEF alla Guardia di finanza, alla DIA, all’autorità giudiziaria); funzionale all’adeguata verifica per i soggetti obbligati, previo accreditamento; limitato, per i privati, alla dimostrazione di un legittimo interesse, con visibilità dei soli dati essenziali del titolare effettivo. L’accesso diventa però operativo solo con il provvedimento del Ministero delle imprese e del made in Italy previsto dall’art. 2, comma 4, del decreto, che a metà ottobre 2026 non risulta ancora adottato.
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 19 ottobre 2026.