Verifica dei titolari effettivi (UBO): perché lo screening a livello di entità non è sufficiente

La verifica sulla titolarità effettiva (Ultimate Beneficial Ownership, UBO) è il processo di identificazione della persona o delle persone che in ultima istanza possiedono o controllano un’entità terza. Il nome riportato su un documento di registrazione è soltanto il punto di partenza. In pratica, questo può comportare la ricostruzione della catena proprietaria attraverso holding, intestazioni fiduciarie (nominee) e strutture multi-giurisdizionali, fino all’identificazione di una persona responsabile, poiché il proprietario legale registrato e il soggetto che esercita effettivamente il controllo sono spesso diversi.

L’intelligence sulle relazioni può supportare un’indagine UBO facendo emergere segnali di proprietà, affiliazioni, entità collegate e relazioni documentate pubblicamente, da sottoporre a ulteriore verifica. Non conferma però in modo autonomo la titolarità effettiva, né sostituisce la verifica formale della proprietà.

Questo è rilevante perché 10 delle 25 conversazioni analizzate hanno indicato specificamente l’identificazione degli UBO come l’informazione più difficile da reperire, prima dello status sanzionatorio, degli adverse media e delle risposte ai questionari. I dati dei registri sono un punto di partenza importante, ma la loro copertura dipende dalla giurisdizione e dalle norme di disclosure applicabili.

La due diligence sulle terze parti esegue in genere una serie predefinita di controlli sull’entità stessa: liste sanzionatorie, registri PEP, adverse media e, in alcuni casi, una ricerca sulla proprietà basata sui registri. Questa è la base della maggior parte dei programmi di third-party risk management (TPRM), e per buone ragioni: è rapida, si automatizza bene e intercetta i segnali di rischio più evidenti. Per una panoramica più ampia sui punti in cui questa base incontra tipicamente difficoltà, si veda *Third-Party Risk Management: Challenges and Best Practice*.

I controlli a livello di entità hanno un perimetro definito. Valutano l’entità giuridica dichiarata e si fermano lì. Restano aperte le domande su chi controlli quell’entità, quali altre società condividano gli stessi amministratori o proprietari, o se faccia parte di un gruppo più ampio con un proprio profilo di rischio. I dati proprietari desunti dai registri aiutano, ma la copertura varia sensibilmente da giurisdizione a giurisdizione. Nelle conversazioni analizzate, la giurisdizione è stata la linea di frattura ricorrente.

Un responsabile compliance ha descritto il limite in modo diretto: in alcuni mercati “non è possibile sapere chi siano gli azionisti… l’unico modo per individuarli è chiedere alla terza parte chi siano i suoi azionisti”. Un altro, che opera su più giurisdizioni, è stato ancora più netto: la proprietà a volte è “nascosta in una qualche entità fiduciaria” nelle giurisdizioni a bassa disclosure. Dodici delle 25 conversazioni hanno descritto il proprio processo di indagine sulla proprietà come basato su autodichiarazioni tramite questionario o su ricerche manuali, senza alcun controllo gestito da sistema.

Nelle conversazioni analizzate sono ricorsi tre pattern, ciascuno indicativo di una diversa modalità di fallimento dello screening limitato all’entità.

Le aziende più piccole generano spesso pochi segnali pubblici. I controlli su adverse media e registri dipendono dal fatto che un’azienda abbia una presenza pubblica. Un compliance officer ha raccontato di non aver ottenuto alcun riscontro su una terza parte semplicemente troppo piccola o troppo recente per comparire da qualche parte: nessun profilo sui media, nessuna presenza web, nulla su cui effettuare lo screening. Un risultato vuoto si legge come “nessun rischio rilevato”. Spesso significa “non esistevano dati da cercare”.

Le informazioni in lingua e su mercati locali non emergono nei database globali. In un caso, uno strumento di screening globale non ha restituito nulla su un fornitore; una ricerca di dieci minuti in lingua locale svolta autonomamente da un compliance officer ha fatto emergere riscontri sostanziali che lo strumento aveva completamente mancato. Lingua e geografia sono emerse come barriera in diverse conversazioni, in particolare per mercati a rischio elevato come Cina, Europa orientale e parte dell’Africa.

Le strutture proprietarie si estendono tra giurisdizioni in modi che i controlli su singola entità non riescono a seguire. Le catene proprietarie multi-giurisdizionali sono frequenti nelle relazioni transfrontaliere con terze parti, e ogni giurisdizione lungo la catena può applicare standard di disclosure differenti. Seguire quella catena oggi significa incrociare manualmente registri separati e riconciliare i nomi a mano. Si tratta spesso dello stesso processo fatto di email e fogli di calcolo descritto in *How to Digitize Your Third-Party Risk Management Program*.

I team compliance non indagano ogni terza parte con la stessa profondità, e non dovrebbero farlo. Nelle conversazioni analizzate, l’escalation verso la enhanced due diligence (EDD) seguiva un insieme coerente di trigger: giurisdizioni a rischio elevato, red flag emersi durante lo screening iniziale, valore elevato del contratto, relazioni con controparti governative o a esse assimilabili, fornitori strategicamente rilevanti o target di M&A.

Il pattern degno di nota: i trigger di EDD sono di norma risk-based e proporzionali, ma l’informazione che giustifica l’escalation – ad esempio un collegamento proprietario inatteso o un’affiliata in una giurisdizione sanzionata – è esattamente il tipo di segnale che lo screening limitato all’entità ha meno probabilità di far emergere da sé. I team finiscono per fare escalation in base a ciò che casualmente trovano con ricerche manuali, senza una visione coerente della proprietà sull’intero portafoglio. Formalizzare questo aspetto, definendo in anticipo i livelli di rischio prima che si presenti il singolo caso, è precisamente l’obiettivo di un approccio strutturato e risk-based; il nostro white paper *A practical framework for efficient and defensible TPRM* illustra un framework in cinque fasi per farlo.

Lo screening a livello di entità resta al suo posto. I controlli su proprietà e affiliazioni diventano una fase distinta del workflow, con una propria collocazione nel processo. In pratica, questo significa:

• Eseguire i controlli su proprietà e affiliazioni come fase standard per le terze parti che superano una determinata soglia di rischio o di valore, incluse quelle che sembrano di routine.
  Documentare le fonti consultate, i riscontri presi in considerazione e la motivazione della decisione finale. Questo supporta la coerenza nei passaggi di consegna, le successive rivalutazioni, la supervisione del management e qualsiasi revisione interna o esterna successiva.
  Trattare un risultato “nessun riscontro” proveniente da una singola fonte dati come non conclusivo per entità piccole o con profilo pubblico limitato, poiché un risultato vuoto può semplicemente significare che quei dati non erano disponibili da cercare.

EQS Third Parties supporta questo approccio nell’ambito di un workflow più ampio di third-party risk management, incluso il Network Mapping, che fa emergere segnali su proprietà e affiliazioni direttamente all’interno del profilo di una terza parte. Il Network Mapping evidenzia segnali relazionali a supporto dell’indagine; non conferma in modo autonomo la titolarità effettiva. Per un approfondimento su ciò che un workflow documentato e audit-ready deve includere end to end, si veda *Building a Defensible TPRM Workflow*.