Cosa insegna ai responsabili compliance l'ordine della FinCEN contro Bank of America

La FinCEN ha accertato tre violazioni "willful".

1. Nessun programma AML adeguato (31 U.S.C. § 5318(h)(1), 31 C.F.R. § 1020.210). L'ordine si concentra su due pilastri: i controlli interni, cioè il sistema di monitoraggio delle transazioni, e l'adeguata verifica della clientela (CDD, customer due diligence). I test indipendenti compaiono in quanto funzione che avrebbe dovuto accorgersi di entrambi i problemi.

2. Nessuna due diligence adeguata sui conti di corrispondenza di istituzioni finanziarie estere (31 U.S.C. § 5318(i), 31 C.F.R. § 1010.610). In questo caso i conti erano quelli delle filiali e delle affiliate estere della banca stessa.

3. Operazioni sospette non segnalate in modo accurato e tempestivo (31 U.S.C. § 5318(g), 31 C.F.R. § 1020.320). La segnalazione di operazione sospetta (SAR, suspicious activity report) va presentata entro 30 giorni dalla prima individuazione dei fatti. Una quota rilevante delle SAR di Bank of America è arrivata più di sei mesi dopo l'operatività.

Su "willful": l'ordine dice chiaramente che non serve la malafede. Se i vostri stessi test vi dicono che qualcosa non funziona e voi lo lasciate com'è, ci siete già dentro.

La FinCEN ha passato in rassegna i suoi dieci fattori di enforcement. Alcuni hanno pesato di più, ed è su quelli che vale la pena soffermarsi:

• Pregiudizio agli scopi del BSA. Più di un terzo delle indagini è partito dalle forze dell'ordine o da altri input esterni, non dal sistema della banca. Per la FinCEN questo contraddiceva la ragion d'essere stessa della legge.
• Vantaggio economico. Quando finalmente ha corretto la soglia, la banca ha stimato che il volume dei casi sarebbe raddoppiato: servivano circa 750 persone in più, oltre a 800 consulenti per una verifica retroattiva una tantum. La FinCEN ne ha dedotto che la banca aveva risparmiato centinaia di milioni in costi di compliance. In più ha tenuto clienti molto redditizi che la compliance voleva fuori.
• Natura sistemica. Un solo sistema, usato in tutta la banca. La debolezza attraversava tutte le linee di business.
• Consapevolezza del management. Entro il 2023 il BSA Officer e il responsabile della linea di business interessata erano stati informati. I rischi sono rimasti.
• Rimedi e collaborazione. Le correzioni vere sono partite dopo l'intervento delle autorità di vigilanza e della FinCEN. La consegna dei documenti è andata a rilento e la banca non ha esaminato di sua iniziativa l'operatività pregressa.
• Nessuna autodenuncia.

La frase che metterei su una slide: il management si è "concentrato sull'impatto sulle risorse della banca anziché su rimedi sufficienti ad affrontare i problemi".

Cosa è successo. Event Processor dava un punteggio a ogni alert, raggruppava gli alert per cliente e apriva un caso solo quando il gruppo arrivava a 20 punti in 13 mesi. Gli alert più vecchi "andavano in pensione" e smettevano di contare. Entrambi i valori erano stati "inizialmente fissati in base al giudizio degli stakeholder" e sono rimasti invariati fino a dicembre 2023.

I test della banca continuavano a indicare il problema. Nel 2022 e all'inizio del 2023, i gruppi con 16-19 punti, appena sotto la soglia, portavano a una SAR nel 38-45 per cento dei casi. Quelli con 20-24 punti, che invece venivano indagati, circa nel 33 per cento. Insomma, rendeva di più il mucchio che nessuno guardava di quello che veniva indagato. Una validazione del 2022 scriveva che la soglia "va giustificata". Un altro test mostrava che una diversa configurazione del modello avrebbe trovato molte più SAR (85,4 per cento contro 20,2 per cento sui campioni sotto soglia). La banca l'ha scartata, invocando la "preoccupazione pratica di spingere troppi gruppi di eventi sotto soglia a diventare casi".

Dopo l'intervento delle autorità la soglia è scesa a 10 o 12. La verifica retroattiva ha trovato quasi 8.900 SAR mancate, per circa 4 miliardi di USD.

Cosa sarebbe servito: una soglia sostenuta da evidenze, con una tolleranza ai falsi negativi messa per iscritto. La banca ne ha introdotta una (5 per cento) solo verso la fine, e a quel punto il rendimento sotto soglia era da sette a nove volte più alto. Se i test dicono che vi sfuggono delle SAR, mettete controlli provvisori mentre sistemate il modello.

Diversi fattori di rischio avevano un tasso di SAR superiore al 50 per cento e un peso di 1 punto: grossi versamenti di contanti agli ATM, frazionamento dei contanti (structuring), il flag HIDTA (area ad alta intensità di narcotraffico). I rapporti del 2019, del 2020 e del 2022 se n'erano accorti tutti. Dal 2018 al 2023 il 76 per cento dei pesi non è mai cambiato, e circa l'80 per cento delle modifiche fatte erano riduzioni.

La ricalibrazione del 2021 ha peggiorato le cose. L'obiettivo dichiarato era che "l'intero sistema di pesi abbia un tasso di SAR migliore", il che in pratica voleva dire meno casi: oltre 8.200 in meno. Dei sette fattori di frazionamento dei contanti con un tasso pari o superiore al 50 per cento, cinque si sono visti ridurre il peso.

La banca inseguiva un rapporto più bello da vedere, non una copertura migliore. Un tasso alto su un peso basso è un segnale per alzare il peso. Invece, davanti a un rilievo di validazione del 2022, il team del modello ha risposto che i fattori secondari erano "ridondanti" e andavano ridotti per "migliorare il tasso di SAR complessivo". Un fattore con un tasso del 44 per cento è stato definito "scarso", senza spiegazioni. È da sei a otto volte la tolleranza alle SAR mancate che la banca ha adottato più tardi.

La FinCEN aggiunge una nota a piè di pagina da tenere a mente: il tasso di SAR è una metrica utile ma non l'unica, e va letto alla luce del proprio profilo di rischio.

Cosa è successo. Il sistema poteva azzerare il punteggio di alcuni fattori di rischio o sopprimere gli alert per determinate entità. Quando questa logica è stata disattivata, a dicembre 2023, ne erano interessati circa 150.000 gruppi di eventi aperti. Una lista copriva le società quotate su certe borse, in teoria approvata dalla compliance, ma dalla documentazione della banca non risulta alcuna lista approvata.

L'esempio più netto riguarda la lista di esenzione CTR. I clienti in quella lista avevano gli alert di frazionamento dei contanti azzerati. Ma un'esenzione CTR toglie soltanto l'obbligo di presentare le segnalazioni delle operazioni in contanti (CTR, currency transaction report). La norma dice esplicitamente che non riduce l'obbligo di SAR. Il Cliente B aveva più di 20 gruppi di eventi con versamenti di contanti frazionati azzerati in questo modo. Solo tre sono diventati casi.

Cosa sarebbe servito: trattare ogni regola di soppressione come un controllo a tutti gli effetti. Motivazione documentata, un responsabile con nome e cognome, lista approvata sotto controllo di versione, test periodici su quello che nasconde. E una separazione netta tra "esente dalla segnalazione X" ed "esente dal monitoraggio".

Alcuni eventi aprivano un caso in automatico: mandati di sequestro, citazioni del grand jury, segnalazioni interne dei dipendenti, richieste ai sensi delle sezioni 314(a) e 314(b). Per diversi anni questo canale ha prodotto più di un terzo di tutti i casi, e quasi la metà nel 2023. Per il Cliente B, l'80 per cento dei casi AML tra il 2018 e il 2023 conteneva almeno una segnalazione o un evento esterno. Non era l'accumulo di punti nel modello a far indagare quel cliente.

La FinCEN non dice che gli input esterni siano un male. La collaborazione con le forze dell'ordine e lo scambio di informazioni ex 314(b) restano importanti. Il problema è la dipendenza. Se il vostro miglior rilevatore è una citazione in giudizio, i vostri scenari non stanno facendo il loro lavoro.

Cosa sarebbe servito: un indicatore monitorato sulla quota di casi che nascono dalla vostra individuazione, e una quota esterna in crescita trattata come un rilievo sulle prestazioni del modello.

I test si chiedevano soprattutto se il tasso di SAR cambiasse in modo statisticamente significativo a cavallo della soglia. Non si chiedevano cosa sfuggisse, né se la quota sfuggita stesse crescendo. Quando un rapporto ha rilevato pesi troppo bassi per gli alert ad alto rendimento, la raccomandazione è stata di abbassare il peso dell'unico alert a basso rendimento. E nel 2023, quando un test ha mostrato un tasso del 18 per cento sotto soglia, l'allora Global Head of Financial Crimes ha chiesto a un dirigente di ripeterlo. La ripetizione ha definito "errato" il risultato precedente, ha dato la colpa all'inesperienza degli investigatori e a un campionamento distorto, e ha concluso che il team era "fiducioso che EP funzioni come previsto". La FinCEN cita proprio questo episodio tra i fattori di enforcement.

Per me è la parte più scomoda dell'ordine, perché è umana e banale. Nessuno ha falsificato niente. Un risultato era scomodo, e qualcuno ha chiesto di rifarlo.

Cosa sarebbe servito: benchmark oggettivi concordati prima del test, tester indipendenti da chi gestisce il modello e un registro dei rimedi che segua ogni rilievo fino alla chiusura. Un test ripetuto finché non passa non è un test indipendente.

Event Processor copriva alcuni acquisti di strumenti negoziabili ma non i versamenti, e non distingueva un money order da un assegno. Anche sulle carte di credito la copertura era scarsa: il modello sul frazionamento dei contanti ha incluso l'operatività con carta solo dopo una riprogettazione nell'ottobre 2024. Una "TBML Feature" sviluppata a gennaio 2024 veniva applicata solo ai casi già sotto indagine. Nel 2025 la banca non aveva ancora fatto una valutazione della copertura per gli strumenti negoziabili.

Esempi più piccoli mostrano quanto fosse esteso il buco. Un commerciante di metalli preziosi ha ricevuto oltre 3.500 versamenti di strumenti per importi tondi, per quasi 3 milioni di USD. Un sedicente consulente finanziario ha versato per tre anni money order con numeri di serie consecutivi e importi tondi. In nessuno dei due casi è scattato un alert.

Cosa sarebbe servito: una matrice di copertura, prodotti e canali da un lato, tipologie dall'altro, con le caselle vuote iscritte in un registro dei rischi con una scadenza. E ogni nuovo advisory della FinCEN dovrebbe far scattare una verifica: i vostri scenari lo coprono?

Il Cliente A gestisce un marketplace online di veicoli sinistrati. È cliente dal 1995, porta alla banca circa 6 milioni di USD di ricavi l'anno e ha anche un rapporto di finanziamento (la banca aveva guidato un rifinanziamento da 200 milioni di USD). A metà 2022 la compliance contava più di 100 casi AML dal 2020, circa il 90 per cento per frode: business email compromise, truffe sentimentali, truffe dell'anticipo (advance-fee fraud). Il nodo, nelle parole della compliance, era che il cliente "non ha visibilità né comprensione dell'origine dei fondi". Al centro c'erano i pagamenti di terzi.

A metà 2022 la compliance ha raccomandato la chiusura e si aspettava "qualche resistenza alla chiusura" vista la "significativa esposizione creditizia". Il gestore della relazione ha risposto con un memo su un "cliente importante e apprezzato". Più di sei mesi dopo, a marzo 2023, la raccomandazione di chiusura è stata ritirata in cambio di quattro misure di mitigazione, soprattutto l'impegno del Cliente A ad accettare pagamenti solo da dealer registrati. Non l'ha fatto. I pagamenti di terzi sono andati avanti fino a giugno 2025, alcuni money order fino a luglio 2025 circa. In tutto quel tempo né il profilo di rischio del cliente né il monitoraggio sono stati aggiornati.

Cosa sarebbe servito: la FinCEN è chiara sul fatto che chiudere non è l'unica risposta accettabile. Ma se tenete un cliente ad alto rischio, il rischio va mitigato e verificato. Vuol dire rating di rischio aggiornato, monitoraggio mirato sul rischio specifico (qui i pagamenti di terzi), una scadenza e una conseguenza vera se non viene rispettata. Qui la mitigazione è stata concordata e mai controllata. Serve anche un canale di escalation che non passi da chi risponde dei ricavi.

Il Cliente B è una piattaforma quotata di compravendita di veicoli sinistrati. Anni di alert, indagini e richieste delle forze dell'ordine, e il rating è rimasto "Standard" fino a una citazione del grand jury nel febbraio 2020. Poi è passato a "Elevato" e "Alto", senza un vero cambiamento nell'adeguata verifica. A luglio 2022 era di nuovo "Standard", ed è stato rialzato dopo un'altra citazione a marzo 2023. A novembre 2023 la società ha comunicato al mercato l'esistenza di un'indagine del DOJ sulle sue pratiche antiriciclaggio. La banca non ha cambiato nulla.

Le revisioni trimestrali di questo cliente "ad alto rischio" non dicevano che i bonifici dalla sua affiliata negli Emirati Arabi Uniti erano cresciuti di oltre il 200 per cento, fino a circa 1,1 miliardi di USD in un solo trimestre, né che venivano versate decine di miliardi in money order. Il modello avrebbe dovuto intercettare le notizie negative. Gli è sfuggito il documento depositato dal cliente stesso presso l'autorità di borsa.

Cosa sarebbe servito: un rating costruito sui propri dati (alert, SAR, geografia, prodotti, notizie negative), con gli eventi esterni che si aggiungono, non che lo guidano. E "Alto" deve cambiare qualcosa: profondità dell'adeguata verifica, monitoraggio, frequenza delle revisioni. Qui era un'etichetta.

Il Cliente C, un esportatore di veicoli, era stato aperto con vendite annue attese tra 1 e 4 milioni di USD. In circa tre anni ha movimentato più di 700 milioni di USD in bonifici legati a giurisdizioni ad alto rischio, soprattutto la Georgia. Il suo fascicolo non riportava nemmeno i rapporti con diversi paesi ad alto rischio. I bonifici con Bielorussia e Georgia sono schizzati subito dopo l'invasione russa dell'Ucraina. Un'altra banca ha inviato una richiesta di informazioni a luglio 2022. La prima SAR è arrivata ad agosto 2023 e copriva circa il 10 per cento dell'operatività. Quasi tutto il resto è stato segnalato a giugno 2025, dopo le richieste di informazioni della FinCEN stessa.

La banca è uscita dal rapporto con il Cliente C a dicembre 2023. Non ha però riesaminato i Clienti A e B, che avevano dichiarato pubblicamente di avere rapporti commerciali con lui.

Cosa sarebbe servito: un controllo sugli scostamenti che scatti quando l'operatività effettiva supera di ordini di grandezza quella attesa, seguito da un aggiornamento del profilo e da una decisione sulla SAR entro i 30 giorni, non due anni dopo. E quando chiudete con un cliente per operatività sospetta, guardate chi altro gli è collegato.

Da ottobre 2020 a maggio 2025 i Clienti A e B hanno ricevuto oltre 680.000 singole operazioni, che formavano circa 220.000 gruppi di versamenti sospetti per più di 660 milioni di USD. I segnali d'allarme: importi tondi, numeri di serie consecutivi e serie ripetute di tre money order per un totale tra 2.900 e 3.000 USD. Quest'ultimo è un classico: chi compra resta sotto i 3.000 USD, la soglia oltre la quale i money services business (gli operatori di servizi di pagamento e trasferimento di denaro) devono registrare l'identità. Circa un gruppo su tre era stato acquistato vicino al confine sud-occidentale.

L'avvertimento era arrivato presto. A settembre 2021 un money services business ha mandato alla banca una richiesta di informazioni proprio su questo schema. La banca ha risposto di non vedere alcuna velocità anomala né segni di attività illecita, e non ha toccato né il profilo né il monitoraggio. Circa 51.000 gruppi per il Cliente B e 72.000 per il Cliente A sono stati elaborati dopo i segnali d'allarme senza una segnalazione tempestiva.

Cosa sarebbe servito: se una richiesta esterna descrive uno schema preciso, si va a cercare quello schema nei propri dati, non ci si mette sulla difensiva. Gli strumenti negoziabili vanno inclusi nelle revisioni periodiche dei clienti che li usano molto. E trovare numeri di serie consecutivi o somme appena sotto soglia è un'analisi elementare.

Centinaia di milioni di dollari che corrispondevano alle tipologie delle reti cinesi di riciclaggio (CMLN, Chinese money laundering networks) sono stati segnalati in ritardo o non lo sono stati affatto. I clienti si presentavano come aziende di logistica o di elettronica. Lo schema: acquisti con carta uno dopo l'altro presso grandi catene e spedizionieri, ingenti pagamenti ACH e bill-pay per saldare carte intestate ad altre persone, bonifici verso la Cina con la sola causale "per merci" e trasferimenti ripetuti a controparti senza alcuna presenza online, con sede in indirizzi residenziali. Una parte è avvenuta dopo l'abbassamento della soglia nel 2023. Per i conti di piccole imprese la banca non aveva alcun limite alle carte aggiuntive, e una spesa con carta che superava regolarmente il reddito dichiarato non faceva scattare indagini.

Cosa sarebbe servito: scenari costruiti a partire dagli advisory pubblici (l'advisory FinCEN sulle CMLN dell'agosto 2025 elenca indicatori di rischio sulle carte di credito) e verificati su tutti i prodotti. Le carte dentro la valutazione del rischio del cliente. E un profilo aziendale che deve trovare riscontro in una presenza aziendale reale: sito web, sede, controparti vere.

Fino a fine 2024 la policy della banca ammetteva un'adeguata verifica "semplificata" per i conti di corrispondenza delle proprie filiali e affiliate estere. La FinCEN ne ha esaminati dodici. I fascicoli dicevano cose come "servizi di tesoreria" o "cash management", indicavano il nome dell'autorità di vigilanza locale senza descrivere il regime e in qualche caso contenevano il grafico del titolo della capogruppo. La banca dava per scontato che questi conti servissero soprattutto al regolamento interbancario. In realtà le filiali servivano più di 250 istituzioni finanziarie non bancarie, tra cui money services business, con flussi che non hanno niente a che vedere con un regolamento tra banche.

Cosa sarebbe servito: lo stesso programma previsto per qualunque istituzione finanziaria estera. La norma non prevede alcuna esenzione infragruppo. Capire lo scopo e l'operatività attesa, valutare la giurisdizione e i clienti che stanno dietro al conto, e confrontare con tutto questo l'operatività effettiva. Chiedersi di chi sono i soldi che passano, non solo che tipo di istituzione sia la controparte diretta.

Siccome il sistema aggregava l'operatività su periodi lunghi prima che una persona la guardasse, una quota rilevante delle SAR è partita più di sei mesi dopo i fatti. A volte gli investigatori non riuscivano a esaminare come si deve l'operatività sottostante, e così le SAR stesse erano incomplete. La verifica retroattiva dopo la modifica della soglia ha prodotto oltre 8.000 SAR per circa 3,96 miliardi di USD. Trentaquattro avevano forti indicatori di riciclaggio: riciclaggio basato sul commercio con controparti in paesi ad alto rischio, bonifici di corrispondenza con un'entità petrolchimica russa con assetto proprietario sanzionato e frazionamento di contanti nel settore sanitario compatibile con frodi sulle prestazioni.

Cosa sarebbe servito: misurare come KPI il tempo tra il primo indicatore e la SAR, con una tolleranza. Le finestre di aggregazione servono all'individuazione, non devono ritardarla. E un organico per le indagini dimensionato sul volume che il vostro rischio produce, non su quello che il budget si aspetta.

A rigore, non è un caso di sanzioni. La FinCEN non fa applicare le norme sulle sanzioni. Lo fa l'OFAC, e la sua sanzione da 11 milioni di USD è una vicenda a parte.

Però i fatti sono pieni di rischio di elusione, e la FinCEN lo dice. I bonifici del Cliente A che coinvolgevano giurisdizioni confinanti con la Russia hanno raggiunto volumi fino a 1,7 miliardi di USD a ridosso dell'invasione del febbraio 2022. La FinCEN aveva pubblicato alert sull'elusione delle sanzioni e dei controlli sulle esportazioni nei confronti della Russia a marzo e giugno 2022 e di nuovo nel 2023. Da settembre 2022 in poi, dopo quegli alert e dopo che la compliance aveva fatto escalation internamente, sono passati più di 18.000 bonifici per circa 850 milioni di USD. Il piano di mitigazione della banca stessa, di marzo 2023, puntava a "eliminare la ricezione da parte della Banca di bonifici da paesi sanzionati". E tra le SAR tardive ce n'era una su bonifici di corrispondenza con un'entità petrolchimica russa con assetto proprietario sanzionato.

La lettura pratica: il rischio sanzioni non è solo un problema di screening. È anche un problema di adeguata verifica e di monitoraggio. Un pagamento può superare tutti i controlli di screening ed essere comunque da segnalare con una SAR.

A proprie spese, la banca deve incaricare consulenti indipendenti, con diritto di veto della FinCEN sulla scelta, per:

1. Una verifica retroattiva delle SAR da gennaio 2022 fino al completamento dei rimedi: carte di credito, strumenti negoziabili, bonifici transfrontalieri verso giurisdizioni ad alto rischio e i gruppi di eventi mai indagati. Rischi prioritari: il confine sud-occidentale e i cartelli, le reti cinesi di riciclaggio, Iran e Russia. Il consulente può usare modelli supervisionati, analisi su grafi e segmentazione. Rapporto finale entro dicembre 2028, SAR da presentare entro i 90 giorni successivi.
2. Test di efficacia del monitoraggio delle operazioni sospette: prima i controlli provvisori mentre la correzione è in corso, poi lo stato finale, con test da avviare entro ottobre 2027. Coprono espressamente i pesi di rischio, le indagini, i test della banca e le azioni correttive, gli organici, la governance di override e whitelist e il ricorso all'"innovazione responsabile".
3. Test di efficacia della CDD e della due diligence sui corrispondenti esteri, in due tornate, prima e dopo il piano di attuazione.
4. Una revisione della data governance dei dati rilevanti per BSA/AML.

Sull'innovazione: la FinCEN è aperta all'analisi avanzata, ma vuole modelli supervisionati, dati etichettati, spiegabilità e supervisione. Un modello di machine learning non sostituisce la governance. Ne richiede di più.

1. Siete in grado di mostrare le evidenze dietro ogni soglia e ogni peso del vostro monitoraggio? Il "giudizio esperto" è il punto di partenza, non quello di arrivo.
2. Avete una tolleranza ai falsi negativi scritta, e cosa succede quando la superate?
3. Che quota dei vostri casi nasce dalla vostra individuazione, e quale da richieste e segnalazioni esterne? In che direzione si sta muovendo?
4. Ogni regola di soppressione, rescoring o whitelist è documentata, ha un responsabile ed è testata? Qualcuna si appoggia a un'esenzione CTR?
5. Avete una matrice di copertura di prodotti e canali rispetto alle tipologie? Quali caselle sono vuote?
6. Quando un altro istituto vi manda una richiesta su uno schema specifico, qualcuno verifica quello schema nei vostri dati e mette per iscritto l'esito?
7. Il rating di rischio di un cliente viene dai vostri dati, o salta quando arriva una citazione?
8. Il vostro processo sulle notizie negative intercetta i documenti che i clienti stessi depositano e pubblicano?
9. Per i clienti che tenete contro il parere della compliance: chi ha approvato, cosa è stato concordato, chi verifica, entro quando?
10. Le revisioni periodiche dei clienti ad alto rischio guardano a geografia, volumi e a tutti i prodotti che il cliente usa davvero?
11. Qual è il vostro tempo mediano tra primo indicatore e SAR, e quanto è lunga la coda?
12. I conti di corrispondenza infragruppo ricevono la stessa due diligence di quelli di terzi?