Antiriciclaggio e sanzioni — le differenze e perché non sono la stessa cosa

Se qualcuno ti ha detto che il sanction screening è una questione che riguarda solo le banche e i soggetti tenuti agli obblighi antiriciclaggio (il decreto legislativo 21 novembre 2007, n. 231), ti ha detto una cosa non vera. L’antiriciclaggio e il regime delle sanzioni UE sono due sistemi giuridici distinti — con basi diverse, un diverso ambito soggettivo e diversi organi di vigilanza. Il regolamento (UE) n. 269/2014¹ si applica a ogni impresa che opera nell’Unione europea, indipendentemente dal fatto che sia un destinatario degli obblighi antiriciclaggio. Questo articolo chiarisce la differenza una volta per tutte.

Stato del diritto al: 2026-05-20.

TL;DR — le differenze chiave in sei punti

• L’antiriciclaggio (prevenzione del riciclaggio e del finanziamento del terrorismo) è disciplinato dal d.lgs. 21 novembre 2007, n. 231, che impone obblighi a un catalogo chiuso di soggetti — i cosiddetti destinatari degli obblighi — principalmente banche, assicuratori, agenti immobiliari, notai, commercialisti e figure analoghe.
• Le sanzioni UE derivano dai regolamenti dell’Unione (anzitutto il n. 269/2014¹ e il n. 833/2014²), che si applicano direttamente a ogni persona fisica e giuridica sul territorio dell’Unione — senza eccezione settoriale e senza soglia dimensionale dell’impresa.³
• Se la tua azienda non è un destinatario degli obblighi antiriciclaggio, hai comunque l’obbligo di sanction screening, che discende direttamente dai regolamenti UE e dalla normativa nazionale di congelamento (d.lgs. 22 giugno 2007, n. 109).⁴
• L’organo per l’antiriciclaggio è l’UIF (Unità di Informazione Finanziaria per l’Italia, presso la Banca d’Italia); il coordinamento delle misure di congelamento spetta al Comitato di Sicurezza Finanziaria (CSF) presso il MEF⁵ — sono organi diversi, con logiche di controllo diverse.
• La sanzione amministrativa per la violazione dell’obbligo di congelamento va da 5.000 a 500.000 euro⁶, indipendentemente dal fatto che l’impresa sia un destinatario degli obblighi antiriciclaggio.
• Se la tua azienda è un destinatario degli obblighi antiriciclaggio, sei soggetto a entrambi i regimi contemporaneamente — non sono alternative, ma requisiti che si sovrappongono.

L’errore più comune — “antiriciclaggio e sanzioni sono la stessa cosa”

Questa convinzione è diffusa e comprensibile. Entrambi i temi compaiono insieme nel contesto della compliance, entrambi comportano la verifica di clienti e controparti, e le sigle — AML, KYC, PEP, sanzioni — suonano come un unico pacchetto di regole per il settore finanziario. Nella pratica si assomigliano: verifichi con chi fai affari.

Tuttavia la somiglianza operativa non significa identità giuridica. Confondere i due regimi porta a un errore preciso: un’impresa che non rientra nel catalogo dei destinatari degli obblighi antiriciclaggio conclude di non avere alcun obbligo di verifica. L’agenzia di viaggi che non è destinataria degli obblighi antiriciclaggio dice: “non ci riguarda”. L’agenzia pubblicitaria che serve clienti in tutta Europa dice: “noi non siamo una banca”. È un errore che può costare fino a 500.000 euro di sanzione amministrativa⁶ — e, dopo le novità del 2026, anche la responsabilità penale.

La distinzione è semplice se guardi alle basi giuridiche dei due sistemi — quindi partiamo da lì.

Che cos’è l’antiriciclaggio — il d.lgs. 231/2007 e i destinatari degli obblighi

AML è la sigla inglese di Anti-Money Laundering — in italiano: antiriciclaggio, ovvero la prevenzione del riciclaggio di denaro e del finanziamento del terrorismo. In Italia questa materia è disciplinata anzitutto dal decreto legislativo 21 novembre 2007, n. 231 — di seguito: normativa antiriciclaggio.

La normativa antiriciclaggio impone obblighi ai destinatari degli obblighi — un catalogo chiuso di soggetti elencato all’art. 3 del decreto. Il catalogo è lungo ma omogeneo: comprende principalmente i soggetti del settore finanziario e i soggetti che svolgono particolari funzioni nel traffico economico. Oltre a banche e intermediari finanziari vi trovi, tra gli altri: commercialisti e revisori, notai e avvocati per determinate operazioni, agenti immobiliari, prestatori di servizi di gioco e operatori che commerciano beni di valore al di sopra di determinate soglie.

Che cosa deve fare un destinatario degli obblighi? Gli obblighi antiriciclaggio sono articolati. Comprendono l’adeguata verifica della clientela (la verifica dell’identità del cliente, ossia il KYC — ingl. Know Your Customer), la valutazione del rischio di riciclaggio, il monitoraggio continuo delle operazioni alla ricerca di schemi sospetti, la conservazione dei dati e — punto cruciale — la segnalazione delle operazioni sospette (SOS) all’UIF (Unità di Informazione Finanziaria per l’Italia)⁷. L’UIF è la Financial Intelligence Unit nazionale, istituita presso la Banca d’Italia con autonomia e indipendenza, che riceve e analizza le segnalazioni di operazioni sospette in Italia.

La parola chiave è “destinatari degli obblighi”: se non sei elencato all’art. 3 del d.lgs. 231/2007, la normativa antiriciclaggio in linea di principio non ti riguarda. Ed è proprio qui che nasce la conclusione errata: se l’antiriciclaggio non mi riguarda, allora la “compliance” non mi riguarda.

Che cos’è il sanction screening e chi riguarda

Il sanction screening è la verifica di una controparte, di un cliente o di un’operazione rispetto alle liste di sanzioni — gli elenchi di persone, imprese e organizzazioni soggette a misure restrittive adottate dall’UE, dall’ONU o da organi nazionali. L’esito di questa verifica è uno di tre stati: MATCH (corrispondenza certa — operazione vietata), POSSIBLE (possibile corrispondenza — richiede ulteriore approfondimento) oppure CLEAR (nessuna corrispondenza).

L’obbligo di sanction screening deriva da norme completamente diverse rispetto alla normativa antiriciclaggio. La sua base sono i regolamenti del Consiglio dell’Unione europea — anzitutto il regolamento n. 269/2014 del 17 marzo 2014¹ e il regolamento n. 833/2014 del 31 luglio 2014² — e, sul piano nazionale, il decreto legislativo 22 giugno 2007, n. 109, atto cardine del congelamento dei fondi e delle risorse economiche in Italia⁴.

La differenza fondamentale è nell’ambito soggettivo: i regolamenti UE sono direttamente applicabili in ciascuno Stato membro senza necessità di recepimento³ e si applicano a ogni persona fisica, ogni persona giuridica, ogni entità e ogni organismo sul territorio dell’Unione europea. Il regolamento n. 269/2014, all’art. 2, impone di congelare i fondi dei soggetti elencati e vieta di metterli a loro disposizione — questo divieto vale per tutti, non solo per le banche.¹

Significa che la tua agenzia di viaggi, la tua società di leasing, la tua agenzia di marketing o il tuo negozio e-commerce ha un obbligo giuridico diretto derivante dai regolamenti UE — indipendentemente dal fatto che sia un destinatario degli obblighi ai sensi della normativa antiriciclaggio. Una descrizione dettagliata di chi è concretamente tenuto al sanction screening la trovi nell’articolo obbligo di sanction screening — chi riguarda.

Tabella comparativa — antiriciclaggio vs sanzioni UE

La tabella seguente confronta i due regimi su sei dimensioni che hanno rilievo pratico per una PMI.

Perché un’impresa che non è destinataria degli obblighi antiriciclaggio deve comunque fare sanction screening

Questo è il cuore di tutto l’articolo. La maggior parte dei titolari di PMI, quando sente parlare di “compliance” e “verifica dei clienti”, pensa: “roba da banche”. In realtà questi due concetti riguardano due sistemi giuridici diversi con una portata del tutto differente.

La normativa antiriciclaggio crea un catalogo ristretto di soggetti con obblighi articolati. Il regime sanzionatorio UE crea un divieto ampio e generale — rivolto a tutti — con un comando fondamentale: non fare affari con un soggetto presente in una lista di sanzioni.

I regolamenti UE sono un tipo particolare di atto giuridico: entrano in vigore senza recepimento da parte dei parlamenti nazionali e si applicano direttamente a ogni cittadino e a ogni impresa nell’Unione.³ Non devi essere una banca o uno studio di commercialisti per essere destinatario del regolamento 269/2014. È sufficiente che tu eserciti un’attività nell’UE e concluda operazioni commerciali.

Alcuni esempi pratici:

• La tua agenzia immobiliare media nella vendita di un appartamento. L’acquirente è in una lista di sanzioni. Se l’operazione si perfeziona — violi il divieto dell’art. 2 del regolamento 269/2014¹, anche se non sei un destinatario degli obblighi antiriciclaggio (sebbene gli agenti immobiliari siano al tempo stesso destinatari degli obblighi — un buon esempio di sovrapposizione dei due regimi).
• La tua agenzia di viaggi vende un pacchetto turistico. Il cliente è in una lista di sanzioni UE. Accettare il pagamento ed erogare il servizio costituisce una violazione delle sanzioni — indipendentemente dal fatto che le agenzie di viaggi non siano destinatarie degli obblighi antiriciclaggio.
• La tua compagnia di assicurazioni emette una polizza. Il contraente figura nella lista consolidata UE delle sanzioni finanziarie⁹. L’operazione è vietata in forza del regolamento 269/2014 e degli obblighi di congelamento del d.lgs. 109/2007⁴.

L’organo che coordina l’attuazione delle misure di congelamento in Italia non è l’UIF (che vigila sui destinatari degli obblighi antiriciclaggio), bensì il Comitato di Sicurezza Finanziaria presso il MEF⁵; l’enforcement operativo spetta alla Guardia di Finanza e all’Agenzia delle Dogane e dei Monopoli. La sanzione amministrativa per la violazione del congelamento va da 5.000 a 500.000 euro.⁶ La direttiva (UE) 2024/1226 del Parlamento europeo e del Consiglio del 24 aprile 2024, relativa alla definizione dei reati e delle sanzioni per la violazione delle misure restrittive dell’Unione¹⁰, ha imposto agli Stati membri di penalizzare le violazioni — il termine di recepimento è scaduto il 20 maggio 2025¹¹. L’Italia ha recepito la direttiva con il d.lgs. 30 dicembre 2025, n. 211, in vigore dal 24 gennaio 2026, che ha introdotto nel codice penale un autonomo Capo I-bis (artt. 275-bis e seguenti) sui reati contro le misure restrittive dell’Unione.⁸

Cosa fare se l’impresa è soggetta a entrambi i regimi

Una parte delle imprese è al tempo stesso destinataria degli obblighi antiriciclaggio e destinataria del regime sanzionatorio UE. Riguarda, tra gli altri, gli agenti immobiliari, gli intermediari assicurativi e i commercialisti. Non si tratta di scegliere tra i due — entrambi valgono in parallelo e devono essere rispettati.

Passo 1: Individua a quale regime (o a entrambi) sei soggetto. Verifica se il tuo settore o la tua forma di attività rientra nell’art. 3 del d.lgs. 21 novembre 2007, n. 231. Se sì — sei un destinatario degli obblighi antiriciclaggio. Indipendentemente dall’esito di questa verifica, sei comunque destinatario dei regolamenti UE in quanto soggetto che esercita un’attività sul territorio dell’Unione.³

Passo 2: Distingui le procedure di compliance. Gli obblighi antiriciclaggio (valutazione del rischio del cliente, monitoraggio delle operazioni, segnalazione all’UIF) e gli obblighi sanzionatori (verifica rispetto alle liste di sanzioni prima di ogni operazione) sono due processi distinti. Nella pratica la verifica sanzionatoria è un elemento del processo di adeguata verifica (KYC) — la esegui in fase di onboarding del cliente insieme alla verifica dell’identità. Ma non vanno confusi sul piano concettuale.

Passo 3: Stabilisci chi in azienda risponde di che cosa. Nei destinatari degli obblighi antiriciclaggio è richiesta la nomina di una funzione responsabile. Per gli obblighi sanzionatori non esiste un identico requisito formale di legge per le imprese non finanziarie — ma la designazione di una persona responsabile e la documentazione scritta delle procedure è una buona prassi e una prova di diligenza. Come ripartire questa responsabilità senza creare una nuova posizione lo spieghiamo nell’articolo sul responsabile compliance sanzioni in una piccola impresa.

Passo 4: Costruisci la documentazione. Per il regime antiriciclaggio servono: valutazione del rischio, procedure interne, conservazione dei dati, segnalazioni all’UIF. Per il regime sanzionatorio: registro delle verifiche (chi, quando, con quale lista, esito), politica sulle sanzioni, procedura di gestione dei casi MATCH e POSSIBLE. La normativa antiriciclaggio prevede un periodo di conservazione decennale della documentazione per i destinatari degli obblighi¹² — come punto di riferimento puoi applicare un principio analogo alla documentazione sanzionatoria.

Passo 5: Monitora le liste di sanzioni con regolarità. Le liste vengono aggiornate in modo continuo, senza un calendario fisso. La lista consolidata dell’UE viene aggiornata dopo ogni pacchetto di sanzioni; in Italia non esiste una lista nazionale autonoma — si applica la lista consolidata UE, coordinata dal CSF¹³. Non basta verificare una volta alla firma del contratto. Riverifica a ogni operazione rilevante con una controparte esistente — su come organizzare il monitoraggio continuo scriviamo nell’articolo sugli aggiornamenti delle liste di sanzioni. Per saperne di più su come si presenta l’attuale lista di sanzioni UE, leggi l’articolo che cos’è una lista di sanzioni e chi riguarda.

FAQ — le domande più frequenti

Un’impresa che non è destinataria degli obblighi antiriciclaggio deve fare sanction screening?

Sì. L’obbligo di sanction screening non deriva dalla normativa antiriciclaggio — deriva direttamente dai regolamenti del Consiglio UE n. 269/2014¹ e n. 833/2014², che si applicano a ogni persona fisica e giuridica sul territorio dell’Unione europea.³ Non essere un destinatario degli obblighi antiriciclaggio non esonera da questo obbligo.

Che cos’è l’UIF e vigila anche sulle imprese fuori dal settore finanziario?

L’UIF (Unità di Informazione Finanziaria per l’Italia) è la Financial Intelligence Unit nazionale, istituita presso la Banca d’Italia ai sensi del d.lgs. 231/2007⁷, responsabile della prevenzione e del contrasto del riciclaggio e del finanziamento del terrorismo. L’UIF riceve le segnalazioni di operazioni sospette dai destinatari degli obblighi antiriciclaggio — banche, commercialisti, agenti immobiliari e altri soggetti dell’art. 3 del decreto. Per le imprese non finanziarie fuori da questo catalogo, l’attuazione delle misure di congelamento è coordinata dal Comitato di Sicurezza Finanziaria presso il MEF⁵, mentre l’enforcement spetta alla Guardia di Finanza e all’ADM.

Sanction screening e KYC (Know Your Customer) sono la stessa cosa?

No. Il KYC — ossia l’adeguata verifica dell’identità del cliente — è un elemento delle procedure antiriciclaggio richiesto ai destinatari degli obblighi. Il sanction screening è la verifica di una controparte rispetto alle liste di sanzioni; può essere un elemento del processo di adeguata verifica, ma è un’attività distinta richiesta da norme distinte. Un’impresa che non è destinataria degli obblighi antiriciclaggio non ha l’obbligo formale di svolgere l’intero processo di adeguata verifica — ha però l’obbligo di verifica rispetto alle liste di sanzioni.

Quali organi controllano il rispetto delle sanzioni in Italia e chi irroga le sanzioni?

In Italia il coordinamento dell’attuazione delle misure restrittive spetta al Comitato di Sicurezza Finanziaria presso il MEF⁵; le sanzioni amministrative per la violazione del congelamento (da 5.000 a 500.000 euro) sono applicate ai sensi dell’art. 13 del d.lgs. 109/2007⁶. I destinatari degli obblighi antiriciclaggio sono inoltre soggetti alla vigilanza dell’UIF e delle autorità di settore⁷. L’enforcement operativo e i controlli sul traffico merci spettano alla Guardia di Finanza e all’Agenzia delle Dogane e dei Monopoli.

Sono soggetto solo alle norme italiane oppure anche direttamente a quelle dell’UE?

A entrambe. I regolamenti UE sono atti giuridici direttamente vincolanti³ — non richiedono recepimento e si applicano a te direttamente, come una legge nazionale. La normativa italiana (d.lgs. 109/2007 per il congelamento, d.lgs. 221/2017 e d.lgs. 211/2025 sul piano sanzionatorio) le integra con strumenti attuativi nazionali (coordinamento del CSF, autorizzazioni dell’UAMA) e con le sanzioni.⁴ Entrambi i livelli del diritto valgono contemporaneamente.

A cosa andiamo incontro per la violazione delle sanzioni — i numeri concreti?

La sanzione amministrativa per la violazione del congelamento va da 5.000 a 500.000 euro (art. 13 d.lgs. 109/2007)⁶. Sul piano penale, dopo il recepimento della direttiva 2024/1226¹⁰ con il d.lgs. 211/2025, la violazione delle misure restrittive UE è punita con la reclusione da due a sei anni e la multa da 25.000 a 250.000 euro (art. 275-bis c.p.), al di sopra di una soglia di rilevanza di 10.000 euro⁸. Una trattazione dettagliata di tutti i tipi di sanzioni la trovi nell’articolo le sanzioni penali per la violazione delle misure restrittive.

Cosa fare in concreto — 5 passi per un’impresa che non è destinataria degli obblighi antiriciclaggio

1. Verifica se sei un destinatario degli obblighi antiriciclaggio. Esamina l’art. 3 del d.lgs. 21 novembre 2007, n. 231. Se il tuo settore è elencato — hai obblighi antiriciclaggio aggiuntivi. Indipendentemente dall’esito, passa al punto 2.

2. Prendi atto che l’obbligo sanzionatorio ti riguarda. Il regolamento 269/2014¹ si applica a te direttamente e senza eccezioni. Verifica quali liste di sanzioni devi monitorare — il minimo è la lista consolidata UE; in Italia non esiste una lista nazionale autonoma.⁹

3. Designa una persona responsabile della compliance sanzionatoria. Può essere un dipendente dell’amministrazione, una persona dell’ufficio legale o un consulente esterno. L’importante: incarico scritto e procedura interna documentata.

4. Attua una procedura di verifica. Ogni nuova controparte, ogni nuova operazione — verifica rispetto alle liste di sanzioni prima dell’esecuzione. Documenta l’esito nel registro delle corrispondenze: data, dati della controparte, lista, esito (MATCH/POSSIBLE/CLEAR), firma della persona responsabile.

5. Garantisci la continuità del monitoraggio. Le liste vengono aggiornate in modo irregolare e senza preavviso. Una controparte che era CLEAR tre mesi fa può oggi essere in lista. Il monitoraggio regolare — o l’automazione di questo processo — non è un’opzione, ma un elemento della dovuta diligenza.

Come può aiutarti Sanqto

Sanqto è un software di sanction screening progettato per le imprese fuori dal settore finanziario — agenzie di viaggi, agenzie immobiliari, intermediari assicurativi, società di leasing e altri soggetti che hanno l’obbligo sanzionatorio ma non rientrano nel catalogo dei destinatari degli obblighi antiriciclaggio. Il software viene installato nella rete del cliente (modello on-premise), il che significa che i dati delle controparti non lasciano la tua infrastruttura. Il sistema verifica le controparti rispetto alle liste di sanzioni e restituisce un esito in tre stati — MATCH, POSSIBLE o CLEAR — documentando automaticamente ogni verifica come traccia di audit. Nel pacchetto ricevi una politica sulle sanzioni già pronta, l’istruzione operativa e il registro delle corrispondenze — documenti da mostrare alla Guardia di Finanza o all’ADM in caso di controllo.

Base giuridica

• Regolamento (UE) n. 269/2014 del Consiglio del 17 marzo 2014 concernente misure restrittive relative ad azioni che compromettono o minacciano l’integrità territoriale, la sovranità e l’indipendenza dell’Ucraina — CELEX 32014R0269

• Regolamento (UE) n. 833/2014 del Consiglio del 31 luglio 2014 concernente misure restrittive in considerazione delle azioni della Russia che destabilizzano la situazione in Ucraina — CELEX 32014R0833

• Decreto legislativo 22 giugno 2007, n. 109 — Misure per prevenire, contrastare e reprimere il finanziamento del terrorismo e l’attività dei Paesi che minacciano la pace e la sicurezza internazionale (atto cardine del congelamento di fondi e risorse economiche; art. 3 istituisce il CSF; art. 13 disciplina le sanzioni) — normattiva

• Decreto legislativo 21 novembre 2007, n. 231 — normativa antiriciclaggio (AML); istituisce l’UIF presso la Banca d’Italia e definisce i destinatari degli obblighi — Banca d’Italia

• Direttiva (UE) 2024/1226 del Parlamento europeo e del Consiglio del 24 aprile 2024 relativa alla definizione dei reati e delle sanzioni per la violazione delle misure restrittive dell’Unione e che modifica la direttiva (UE) 2018/1673 — CELEX 32024L1226

• Decreto legislativo 30 dicembre 2025, n. 211 — attuazione della direttiva (UE) 2024/1226; introduce nel codice penale il Capo I-bis (artt. 275-bis ss.) sui reati contro le misure restrittive UE; in vigore dal 24 gennaio 2026 — normattiva

• Lista consolidata UE delle sanzioni finanziarie — gestita dalla Commissione europea (DG FISMA); in Italia non esiste una lista nazionale autonoma, si applica la lista consolidata UE coordinata dal CSF: webgate.ec.europa.eu/fsd/fsf

Footnotes

Informazione, non consulenza legale. Il presente articolo ha finalità esclusivamente informative e non costituisce consulenza legale. La valutazione giuridica del singolo caso va effettuata con un avvocato esperto in diritto delle sanzioni internazionali e del commercio estero. Stato del diritto: 2026-05-20.