Audit sanzioni in azienda — la checklist completa di autovalutazione prima di un'ispezione

Stato del diritto al: 2026-05-26.

Se sai già che la tua impresa deve effettuare il sanction screening — è il momento di verificare se lo stai davvero facendo in un modo che reggerebbe a un controllo della Guardia di Finanza, dell’ADM o dell’UIF. L’audit sanzioni non è un processo complicato che richiede revisori esterni. È un’autovalutazione interna che puoi svolgere in un pomeriggio — a condizione di avere una checklist.

In questo articolo trovi 10 aree da attraversare nell’ordine, con domande di controllo concrete, la base giuridica e l’indicazione di ciò che rivela una mancata preparazione.

TL;DR

• L’audit sanzioni richiede 90–180 minuti per una tipica PMI (10–250 addetti). Non serve un revisore esterno.
• Verifichi 10 aree — dalla nomina del responsabile compliance alla documentazione delle decisioni.
• 3 aree critiche (BLOCK): mancanza di un responsabile compliance, assenza di una procedura di verifica del cliente, nessuna lista di sanzioni in uso — sono violazioni che l’ispettore nota nei primi minuti.
• Priorità di rimedio: BLOCK → 7 giorni, FIX grande → 30 giorni, FIX piccolo → 90 giorni.
• Conviene ripetere l’audit una volta ogni 12 mesi o dopo un cambiamento rilevante (nuovo settore, nuovo mercato, nuova lista di sanzioni).

Che cos’è l’audit sanzioni e in cosa differisce dall’audit antiriciclaggio

L’audit sanzioni è una valutazione interna del rispetto, da parte dell’impresa, degli obblighi derivanti da:

• il decreto legislativo 22 giugno 2007, n. 109, sul congelamento di fondi e risorse economiche dei soggetti designati¹,
• i regolamenti UE 269/2014 (congelamento dei beni delle persone)² e 833/2014 (sanzioni settoriali Russia)³,
• il regolamento 765/2006 (Bielorussia)⁴,
• la lista consolidata UE coordinata, in Italia, dal Comitato di Sicurezza Finanziaria (CSF)⁵.

L’audit antiriciclaggio, invece, copre tutti gli obblighi del decreto legislativo 21 novembre 2007, n. 231, in materia di prevenzione del riciclaggio e del finanziamento del terrorismo⁶ — tra cui l’adeguata verifica della clientela, la valutazione del rischio del cliente, la segnalazione di operazioni sospette all’UIF, l’identificazione del titolare effettivo.

La differenza più importante: l’audit sanzioni riguarda una platea più ampia di soggetti. Il regime delle misure restrittive si applica direttamente (regolamenti UE) a tutte le imprese dell’UE — non solo ai cosiddetti soggetti obbligati. In altre parole: anche se la tua impresa non è un soggetto obbligato ai fini antiriciclaggio, deve rispettare le sanzioni UE.

Le differenze tra antiriciclaggio e sanzioni le analizziamo in dettaglio nell’articolo antiriciclaggio e sanzioni — le differenze.

Chi dovrebbe svolgere l’audit

L’audit dovrebbe essere effettuato da ogni impresa che soddisfi almeno una delle seguenti condizioni:

1. È un soggetto obbligato (destinatario) ai sensi dell’art. 3 del decreto antiriciclaggio⁶ — studi di contabilità e consulenti del lavoro, commercialisti, agenti immobiliari, intermediari assicurativi, prestatori di servizi relativi a valute virtuali, operatori che commerciano beni di valore elevato, ecc.
2. Effettua transazioni internazionali — esportazione, importazione, servizi per clienti esteri, factoring all’esportazione, leasing transfrontaliero.
3. Eroga servizi finanziari in modo non bancario — leasing operativo, factoring, vendita rateale, prestiti al consumo sotto le soglie antiriciclaggio.
4. Partecipa ad appalti pubblici — art. 5k del reg. 833/2014 (di più nel nostro articolo sanzioni e appalti pubblici).
5. Tratta clienti da liste a rischio — Russia, Bielorussia, Iran, Corea del Nord, Paesi soggetti a determinate sanzioni settoriali.

In pratica — nei nostri settori prioritari — l’audit dovrebbe essere svolto da tutte le imprese del turismo, delle assicurazioni, del real estate, del leasing e dell’e-commerce. Così come gli studi contabili e gli studi legali — in quanto soggetti obbligati.

La checklist vera e propria — 10 aree da verificare

Procedi nell’ordine. Ogni area = una domanda principale + 2–3 domande di controllo. La risposta è SÌ / NO / PARZIALMENTE. Non guardare in anticipo le priorità — accorgiti da solo di quanto dolore c’è nella tua impresa.

1. Responsabile compliance — nominato e conosciuto?

Domanda principale: la tua impresa ha designato una persona responsabile del sanction screening e della compliance? (Può essere la stessa persona che si occupa dell’antiriciclaggio, oppure una persona distinta.)

Domande di controllo:

• La decisione di nomina è formalizzata per iscritto (delibera del consiglio di amministrazione o decisione del titolare, lettera di incarico)?
• Questa persona ha accesso alle liste di sanzioni e agli strumenti di verifica?
• In azienda si sa a chi segnalare una corrispondenza sospetta?

Base giuridica: l’art. 16 del decreto antiriciclaggio⁶ (per i soggetti obbligati) prevede l’individuazione di un esponente con responsabilità della funzione antiriciclaggio. Per le imprese che non sono soggetti obbligati — è un requisito di buona gestione del rischio; in caso di controllo sulle sanzioni l’assenza di una persona designata equivale a un’accusa di omissione.

Cosa rivela la mancanza: «nessuno se ne occupa nello specifico», «il vertice in generale vigila», l’assenza di una persona concreta nella risposta.

Suggerimento: in una PMI di 10–50 addetti di solito è il procuratore, il responsabile amministrativo o il direttore finanziario. Nelle imprese più grandi — una funzione Compliance / Compliance Officer dedicata. L’approccio pratico al ruolo lo descriviamo nell’articolo compliance officer nelle piccole imprese.

2. Procedura interna di sanction screening — messa per iscritto?

Domanda principale: avete un documento scritto che descrive quando e come verificate la controparte rispetto alle liste di sanzioni?

Domande di controllo:

• Il documento stabilisce il momento della verifica (prima della stipula del contratto, prima del primo pagamento, ciclicamente)?
• Indica quali liste vengono controllate (UE, ONU, OFAC, UK OFSI)?
• Indica chi prende la decisione in caso di MATCH / POSSIBLE?

Base giuridica: gli artt. 16 e 18 del decreto antiriciclaggio⁶ (procedure interne e di adeguata verifica per i soggetti obbligati). Per le altre imprese — è un elemento del dovere di diligenza che discende dall’applicazione diretta dei regolamenti UE.

Cosa rivela la mancanza: «ogni dipendente lo fa a modo suo», «verifichiamo a intuito», «sta da qualche parte in una mail dell’avvocato».

Suggerimento: la procedura deve essere operativa — descritta in 2–4 pagine con un linguaggio comprensibile a un commerciale. Non un documento di 30 pagine scritto da un avvocato. Il modello e la struttura li mostriamo in politica sulle sanzioni — modelli di documenti.

3. Registro delle corrispondenze — tenuto e aggiornato?

Domanda principale: tenete un registro dei casi in cui il sistema di verifica ha restituito un MATCH o un POSSIBLE — con la decisione e la motivazione?

Domande di controllo:

• Ogni voce ha una data, un identificativo del cliente, la lista di origine, il tipo di esito?
• Ogni decisione (prosecuzione / rifiuto / segnalazione all’UIF) ha una motivazione?
• Il registro è immodificabile (append-only) — non è possibile «correggerlo» a posteriori?

Base giuridica: l’art. 31 del decreto antiriciclaggio⁶ (conservazione della documentazione, periodo di 10 anni). Per il congelamento dei beni — l’art. 5 del d.lgs. 109/2007¹ (obbligo di documentare e comunicare).

Cosa rivela la mancanza: assenza di registro, appunti ad-hoc in Excel senza versionamento, «lo abbiamo nel CRM ma nessuno ci ha mai guardato».

Suggerimento: un modello di registro delle corrispondenze (con campi obbligatori e modello di decisione) — registro delle corrispondenze sanzioni.

4. Politica sulle sanzioni — esiste ed è approvata?

Domanda principale: in azienda esiste un documento scritto di politica sulle sanzioni, approvato dal consiglio di amministrazione o dal titolare?

Domande di controllo:

• Stabilisce chi, quando e con quali strumenti verifichiamo?
• Contiene riferimenti a specifici atti giuridici (reg. 269/2014, 833/2014, d.lgs. 109/2007)?
• Indica cosa fare in caso di MATCH (procedura di escalation)?
• È aggiornata (revisione almeno una volta all’anno)?

Base giuridica: l’art. 16 del decreto antiriciclaggio⁶ — procedura interna in materia di prevenzione del riciclaggio e del finanziamento del terrorismo, di cui fanno parte gli obblighi sulle sanzioni; l’art. 5 del d.lgs. 109/2007¹ — obblighi del soggetto che detiene fondi o risorse economiche congelati.

Cosa rivela la mancanza: «la politica non ce l’abbiamo, ma c’è una procedura», «il documento è nel cassetto dell’avvocato», «non l’ha mai letto nessuno».

5. Clausola di sanzioni nei contratti commerciali — inserita?

Domanda principale: i contratti stipulati con le controparti contengono una clausola di sanzioni?

Domande di controllo:

• La clausola comprende una dichiarazione della controparte di non essere soggetta a sanzioni?
• Ti attribuisce il diritto di recesso in caso di inserimento della controparte in una lista?
• Comprende l’obbligo di comunicare i cambiamenti nella struttura proprietaria?

Base giuridica: principio dell’autonomia contrattuale (art. 1322 c.c.) — la clausola non è imposta dalla legge, ma la sua assenza significa che, in caso di inserimento della controparte in una lista, non disponi di strumenti per sciogliere il contratto in sicurezza. È una prassi di mercato raccomandata anche in relazione al divieto di appalti dell’art. 5k del reg. 833/2014⁷.

Cosa rivela la mancanza: «abbiamo vecchi modelli di contratto, antecedenti al 2022», «i contratti si firmano senza clausola, tanto nessuno li legge».

Suggerimento: la clausola di sanzioni nei contratti commerciali dovrebbe coprire anche il tema degli appalti pubblici, se l’impresa vi partecipa.

6. Formazione del personale — svolta e documentata?

Domanda principale: i dipendenti a contatto con il cliente (vendite, assistenza, contabilità, ufficio legale) sono stati formati sulle regole di verifica delle sanzioni?

Domande di controllo:

• La formazione è periodica (raccomandato: minimo una volta ogni 12 mesi)?
• Esiste un foglio presenze / un attestato di completamento?
• Il materiale formativo contiene casi concreti del tuo settore?
• Il dipendente sa riconoscere i segnali di un’operazione sospetta (red flag)?

Base giuridica: l’art. 16, comma 1, lett. e) del decreto antiriciclaggio⁶ — programmi di formazione del personale presso i soggetti obbligati; obbligo periodico e continuo.

Cosa rivela la mancanza: «li formiamo sul campo», «ognuno sa cosa deve fare», l’assenza di un documento che attesti la formazione.

Suggerimento: un piano di formazione di base + una checklist dei temi da trattare — formazione dei dipendenti sulle sanzioni.

7. Aggiornamento delle liste di sanzioni — processo e frequenza

Domanda principale: con quale frequenza verificate gli aggiornamenti delle liste di sanzioni (Allegato I del reg. UE, lista consolidata UE, OFAC SDN, lista consolidata ONU)?

Domande di controllo:

• Avete fonti delle liste definite (URL, formati)?
• Il processo di aggiornamento è giornaliero oppure ad-hoc?
• In caso di ampliamento della lista (nuovo pacchetto di sanzioni UE) ricontrollate i clienti attivi?
• Avete avvisi / un abbonamento agli aggiornamenti delle liste?

Base giuridica: i regolamenti UE 269/2014 e 833/2014²³ — le misure si applicano dal giorno della loro entrata in vigore. L’entrata in vigore di un pacchetto di sanzioni è spesso il giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’UE — l’assenza di un aggiornamento quotidiano = rischio di eseguire un’operazione con un soggetto appena inserito prima della tua reazione.

Cosa rivela la mancanza: «avevamo controllato alla stipula del contratto», «una volta a trimestre qualcuno dà un’occhiata», «abbiamo uno strumento a pagamento, ma nessuno sa se si aggiorna».

Suggerimento: le fonti più critiche: aggiornamenti delle liste di sanzioni, lista consolidata UE, lista OFAC.

8. Procedura di gestione in caso di MATCH / POSSIBLE — descritta?

Domanda principale: avete messo per iscritto i passi da seguire in caso di corrispondenza (MATCH o POSSIBLE)?

Domande di controllo:

• Chi riceve la notifica?
• Quali passi compie (escalation alla compliance, sospensione dell’operazione, verifica su una seconda fonte)?
• In quale termine viene presa la decisione finale?
• Esiste una procedura di segnalazione all’UIF (modulo, termine, persona responsabile)?

Base giuridica: l’art. 35 del decreto antiriciclaggio⁶ — obbligo di segnalare all’UIF un’operazione sospetta senza ritardo; il d.lgs. 109/2007¹ art. 5 — obblighi al rilevamento del congelamento dei beni.

Cosa rivela la mancanza: «non ci è ancora capitata una situazione del genere», «probabilmente chiamiamo l’avvocato», «i falsi positivi li ignoriamo tanto nessuno controlla».

Suggerimento: la corretta gestione degli esiti — falso positivo nel sanction screening.

9. Valutazione del rischio del cliente — fatta prima della stipula del contratto?

Domanda principale: prima di stipulare un contratto con una nuova controparte valutate il livello di rischio sanzionatorio (Paese, settore, struttura proprietaria, contesto dell’operazione)?

Domande di controllo:

• Esiste un modulo di valutazione del rischio (KYC light) o un punteggio?
• I clienti ad alto rischio (Paesi soggetti a sanzioni settoriali, strutture offshore, mancanza di trasparenza sul titolare effettivo) li trattate diversamente?
• Documentate la decisione di stipulare il contratto nonostante il rischio individuato?

Base giuridica: l’art. 17 e l’art. 18 del decreto antiriciclaggio⁶ — misure di adeguata verifica commisurate al rischio del cliente; valutazione del rischio della clientela.

Cosa rivela la mancanza: «ci affidiamo al buon senso», «non abbiamo una valutazione del rischio, il cliente o c’è o non c’è», l’assenza di differenziazione tra un cliente italiano e un cliente cipriota.

Suggerimento: il processo in dettaglio — verifica della controparte ai fini delle sanzioni.

10. Documentazione delle decisioni — 10 anni, immodificabile, accessibile?

Domanda principale: tutte le decisioni in materia di sanzioni (verifica, MATCH, escalation, segnalazione all’UIF, decisione del vertice) sono documentate e conservate per 10 anni dalla cessazione del rapporto continuativo?

Domande di controllo:

• I documenti sono conservati in modo protetto contro le modifiche (sistema con audit log, copie di backup)?
• In caso di controllo, sai dove sono i documenti del 2022 (4 anni indietro)?
• Le decisioni sono firmate (digitalmente o a mano) dal responsabile compliance o da una persona autorizzata?

Base giuridica: l’art. 31 del decreto antiriciclaggio⁶ — i soggetti obbligati conservano i documenti e le informazioni per un periodo di 10 anni dalla cessazione del rapporto continuativo o dall’esecuzione dell’operazione occasionale⁶. Un obbligo di documentazione e conservazione vige anche per le misure di congelamento (art. 5 del d.lgs. 109/2007¹).

Cosa rivela la mancanza: «i documenti sono da qualche parte nelle mail», «la contabilità li ha archiviati, ma non sappiamo dove», l’impossibilità di reperire in 30 minuti documenti di 2 anni fa.

Cosa fare con le lacune — priorità di rimedio

Dopo aver attraversato le 10 aree hai un risultato. Ora stabilisci la priorità:

BLOCK — da rimediare in 7 giorni

Se nelle aree #1, #2, #3 hai un NO — è un BLOCK. L’ispettore noterà queste lacune nei primi minuti dell’ispezione.

Conseguenza dell’omissione: in caso di violazione del congelamento, sanzione amministrativa pecuniaria ai sensi dell’art. 13 del d.lgs. 109/2007 — da 5.000 euro a 500.000 euro¹; dal 24 gennaio 2026, per le violazioni delle misure restrittive UE sopra la soglia di 10.000 euro, è prevista anche la responsabilità penale (art. 275-bis c.p., reclusione da 2 a 6 anni e multa da 25.000 a 250.000 euro)⁸. Una trattazione dettagliata delle sanzioni — sanzioni penali per la violazione delle misure restrittive.

FIX grande — da rimediare in 30 giorni

Le aree #4, #5, #6, #7 — la mancanza = FIX grande. L’ispettore lo noterà nella seconda fase dell’ispezione (dopo aver esaminato i documenti).

FIX piccolo — da rimediare in 90 giorni

Le aree #8, #9, #10 — la mancanza = FIX piccolo. L’ispettore lo noterà nella terza fase (verifica di casi concreti).

Come prepararsi a un controllo della Guardia di Finanza / dell’UIF

Il controllo della conformità interna in materia di sanzioni può essere svolto da più organi:

• Unità di Informazione Finanziaria per l’Italia (UIF) — presso la Banca d’Italia; riceve le segnalazioni di operazioni sospette (SOS) e vigila sull’adempimento degli obblighi antiriciclaggio, sanzioni comprese, da parte dei soggetti obbligati⁹.
• Guardia di Finanza — polizia economico-finanziaria; svolge indagini e controlli in materia di violazioni delle misure restrittive, riciclaggio e finanziamento del terrorismo⁹.
• Agenzia delle Dogane e dei Monopoli (ADM) — controlla gli obblighi delle imprese negli scambi con l’estero (esportazione, importazione, dazi doganali) e l’enforcement degli embarghi commerciali⁹.
• Comitato di Sicurezza Finanziaria (CSF) presso il MEF — coordina l’attuazione in Italia delle misure di congelamento ONU/UE/nazionali e la lista consolidata UE⁵.

Cosa di solito richiede l’ispettore:

1. La politica sulle sanzioni (#4)
2. La procedura interna di screening (#2)
3. Il registro delle corrispondenze (#3)
4. I documenti di nomina del responsabile compliance (#1)
5. I materiali e i fogli presenze della formazione (#6)
6. I log del sistema di screening — prova della verifica di clienti concreti (#3, #10)
7. La procedura in caso di MATCH + esempi di applicazione (#8)
8. Le clausole di sanzioni in contratti selezionati (#5)

Se sei in grado di consegnare quanto sopra all’ispettore in 60 minuti — sei pronto. Se devi prima metterlo insieme — hai lacune nelle aree #1–#10.

Come aiuta Sanqto

Sanqto è un software di sanction screening installato on-premise — i dati dei tuoi clienti non lasciano la tua infrastruttura. Nel contesto dell’audit sanzioni copriamo direttamente alcune aree della checklist:

• Area #2 (procedura): procedura di verifica integrata + audit log di ogni decisione.
• Area #3 (registro delle corrispondenze): registro automatico con i campi obbligatori e periodo di conservazione di 10 anni.
• Area #7 (aggiornamento delle liste): sincronizzazione giornaliera delle liste UE, ONU, OFAC.
• Area #10 (documentazione): registrazione immodificabile delle decisioni con audit log e copie di backup.

In più ricevi un pacchetto di implementazione: politica sulle sanzioni, istruzioni operative, modello di clausola di sanzioni, modulo di valutazione del rischio. Questo copre le aree #1, #4, #5, #9.

Prenota una demo oppure scopri il prodotto Sanqto.

Base giuridica

• Decreto legislativo 21 novembre 2007, n. 211 — antiriciclaggio (AML) — destinatari (art. 3), funzione e procedure interne (art. 16), adeguata verifica (artt. 17–18), conservazione 10 anni (art. 31), segnalazione di operazioni sospette all’UIF (art. 35)⁶.
• Decreto legislativo 22 giugno 2007, n. 109 — congelamento di fondi e risorse economiche, Comitato di Sicurezza Finanziaria (art. 3), obblighi di congelamento (art. 5), sanzione amministrativa (art. 13)¹.
• Regolamento (UE) 269/2014 (congelamento dei beni di persone ed entità) — Allegato I².
• Regolamento (UE) 833/2014 (sanzioni settoriali nei confronti della Russia) — Allegati IV–XXVI, divieto appalti art. 5k³.
• Regolamento (CE) 765/2006 (Bielorussia)⁴.
• Lista consolidata UE — coordinata in Italia dal Comitato di Sicurezza Finanziaria (CSF)⁵.
• Unità di Informazione Finanziaria per l’Italia (UIF) — Banca d’Italia⁹.
• Codice penale, art. 275-bis ss. (introdotto dal d.lgs. 211/2025) — reati per la violazione delle misure restrittive UE⁸.

Informazione, non consulenza legale. Il presente articolo ha finalità esclusivamente informative e non costituisce consulenza legale. La valutazione giuridica del singolo caso va effettuata con un avvocato esperto in diritto delle sanzioni internazionali e del commercio estero. Stato del diritto: 26 maggio 2026.