La prima regola tecnica riguarda l’autovalutazione del rischio che il professionista deve compiere con riferimento all’attività espletata. Deve essere effettuata con cadenza triennale, a meno che non si debba procedere ad un aggiornamento nel caso in cui insorgano nuovi rischi o quando lo si ritenga opportuno. La prima autovalutazione dovrà essere predisposta successivamente alla pubblicazione dell’analisi nazionale del rischio attualmente in corso di predisposizione da parte del Comitato di Sicurezza Finanziaria.

L’autovalutazione è un adempimento non delegabile la cui procedura (documentata) deve essere conservata e messa a disposizione delle Autorità (MEF, UIF, DIA, GDF) e degli organismi di autoregolamentazione.
Inoltre, gli studi professionali composti da due o più soggetti obbligati devono introdurre la funzione antiriciclaggio e nominare il relativo responsabile.
Gli studi professionali con più di trenta professionisti e trenta collaboratori, oltre all’introduzione della funzione antiriciclaggio e alla nomina del responsabile, devono introdurre una funzione di revisione indipendente per la verifica dei presìdi di controllo.

L’autovalutazione prende in esame il rischio inerente connesso alla tipologia di clientela, all’area geografica di operatività, ai canali distributivi e ai servizi offerti e il grado di vulnerabilità relativo alla formazione, all’organizzazione degli adempimenti di adeguata verifica e conservazione, nonché all’organizzazione in materia di segnalazione di operazioni sospette (SOS) e di comunicazioni delle violazioni alle norme sull’uso del contante. L’interrelazione rischio inerente/vulnerabilità determina il rischio residuo che andrà opportunamente gestito e mitigato.

La regola tecnica n. 2 prevede l‘analisi e la valutazione del rischio di riciclaggio e finanziamento del terrorismo relative alle prestazioni professionali nel rispetto del principio dell’approccio basato sul rischio.
Anche in questo caso sono state individuate due tipologie di rischiosità: inerente e specifica. La prima intesa quale rischio proprio delle attività svolte dal professionista - considerate per categorie omogenee - in termini oggettivi ed astratti; la seconda connessa al cliente e alla prestazione professionale resa.
Il confronto tra rischio inerente e rischio specifico determina il rischio effettivo il cui valore definisce le misure di adeguata verifica da applicare (semplificate, ordinarie o rafforzate).

La conservazione ha come obiettivo quello di impedire la perdita o la distruzione dei documenti e di mantenere nel tempo le loro caratteristiche di integrità, leggibilità e reperibilità.
La conservazione può essere sia cartacea che informatica. Di conseguenza i professionisti possono avvalersi indistintamente di modalità di conservazione dei documenti, dei dati e delle informazioni cartacei ovvero informatici, purché i sistemi adottati consentano di garantire il rispetto della normativa in materia di protezione dei dati personali e il loro trattamento esclusivamente per le finalità di cui al D.lgs. 231/2007.

I professionisti possono continuare ad alimentare gli archivi cartacei o informatici già istituiti quali il registro cartaceo o l’archivio informatico, integrando secondo quanto previsto dalle nuove disposizioni i dati relativi al titolare effettivo e alle informazioni sullo scopo e la natura del rapporto ed elidendo i dati non più obbligatori.
Qualunque sia il sistema di conservazione prescelto, occorrerà individuare in maniera esplicita i soggetti legittimati ad alimentare il sistema di conservazione e quelli che possono accedere ai dati ed alle informazioni conservati.

L’obbligo di conservazione ha per oggetto:

•  la copia dei documenti acquisiti in occasione dell’adeguata verifica della clientela, sia per le prestazioni professionali che per le operazioni;
•  l’originale, ovvero copia avente efficacia probatoria ai sensi della normativa vigente, delle scritture e registrazioni inerenti esclusivamente alle operazioni.

La conservazione cartacea o informatica deve consentire quanto meno di ricostruire univocamente:

•  nel caso di prestazioni professionali:
  • la data del conferimento dell’incarico;
  • i dati identificativi del cliente, del titolare effettivo e dell’esecutore e le informazioni sullo scopo e la natura del rapporto o della prestazione;
•  nel caso di operazioni
  • la data, l’importo e la causale dell’operazione;
  • i mezzi di pagamento utilizzati.

In relazione alle operazioni, l’obbligo di conservazione opera esclusivamente nelle ipotesi marginali in cui si verifichi una vera e propria ‘interposizione’ del professionista e quindi quest’ultimo agisca quale mero mandatario del cliente, con o senza rappresentanza. L’incarico professionale avrà ad oggetto la movimentazione o il trasferimento di mezzi di pagamento, oppure la stipulazione di atti negoziali a contenuto patrimoniale in nome o per conto del cliente. In tali casi, il soggetto obbligato potrebbe agire in qualità di intermediario del cliente, utilizzando, a seconda del mandato ricevuto, fondi propri o fondi messi a disposizione dal cliente per eseguire l’operazione.

Qualunque sia il sistema di conservazione adottato, occorre individuare uno o più responsabili della conservazione ai fini del rispetto della normativa in materia di protezione dei dati personali. Il sistema di conservazione prescelto deve garantire l’accesso ai documenti, alle informazioni e ai dati cartacei per un periodo di dieci anni dalla cessazione del rapporto o della prestazione professionale o dall’esecuzione dell’operazione occasionale.

È considerata tempestiva l’acquisizione della documentazione effettuata entro trenta giorni dal conferimento dell’incarico.