7 agosto 2026 – Il Dipartimento del Tesoro degli Stati Uniti, attraverso la sua unità di intelligence finanziaria FinCEN (Financial Crimes Enforcement Network), formalizza l’irrogazione di una sanzione civile da 125 milioni di dollari a carico di UBS Financial Services Inc. per violazioni deliberate e sistemiche del Bank Secrecy Act (BSA), la pietra angolare della normativa antiriciclaggio statunitense. A questa si aggiunge una sanzione parallela di 20 milioni di dollari comminata dalla Securities and Exchange Commission (SEC), portando l’esborso complessivo a 145 milioni di dollari. L’azione sanzionatoria non nasce da un singolo evento isolato, ma dalla scoperta di una disarticolazione profonda e prolungata dei presidi di controllo interni della banca, un collasso operativo che ha permesso il transito di flussi finanziari ad altissimo rischio senza alcuna adeguata supervisione.
Il cuore della contestazione risiede in un’inadeguatezza macroscopica del sistema di monitoraggio delle transazioni. Le indagini delle autorità americane hanno portato alla luce un buco nero nella rete di sorveglianza della banca: oltre 50.000 bonifici e trasferimenti in valuta estera, per un controvalore superiore a 10 miliardi di dollari, sono stati processati senza essere sottoposti ai filtri antiriciclaggio previsti dalla legge. Si tratta di una falla non occasionale, ma strutturale, che ha di fatto reso cieco l’istituto di credito di fronte a potenziali attività di riciclaggio e finanziamento di attività illecite. Un’organizzazione dotata di un ecosistema di controllo integrato come Scudo231 avrebbe intercettato questa anomalia alla sua origine. Il suo motore di monitoraggio massivo, che opera sull’intera popolazione delle transazioni e non a campione, avrebbe generato un alert di primo livello non appena il volume dei flussi non scrutinati avesse superato una soglia predefinita, anche minima. L’escalation verso le funzioni di Compliance e l’Organismo di Vigilanza sarebbe stata automatica e tracciata, impedendo alla falla di diventare una voragine sistemica e documentando l’immediata attivazione dei protocolli correttivi.
A rendere la posizione di UBS Financial Services Inc. indifendibile è il suo status di soggetto recidivo. Già nel 2018, FinCEN aveva sanzionato l’istituto per 14,5 milioni di dollari a causa di carenze analoghe nei controlli AML. La sanzione odierna, quasi dieci volte superiore, non punisce solo la violazione in sé, ma la mancata adozione di misure correttive efficaci e l’incapacità di dare seguito ai rilievi delle autorità. Questa circostanza ha permesso agli inquirenti di qualificare le violazioni come willful, ovvero intenzionali o deliberate, un’aggravante che ha un impatto devastante sia sull’importo della sanzione sia sulla responsabilità dell’ente. Se dopo la prima sanzione del 2018 fosse stato implementato un modello di difesa avanzato, lo scenario sarebbe stato radicalmente diverso. Un sistema come Scudo231 non si limita a registrare i controlli, ma ne testa l’efficacia in modo predittivo. Attraverso simulazioni e stress-test costanti sul “gemello digitale” dell’organizzazione, avrebbe immediatamente rilevato che i nuovi presidi implementati dopo il 2018 erano insufficienti o facilmente aggirabili, segnalando il rischio residuo ben prima che potesse materializzarsi in nuove, massicce violazioni. La recidiva, in questo quadro, non sarebbe stata una possibilità.
L’analisi dei flussi oggetto di contestazione rivela un altro elemento di criticità capitale: le lacune più gravi si sono concentrate sulla due diligence applicata a clienti ad alto rischio, con particolari legami con giurisdizioni sensibili come la Russia e l’America Latina. Per queste categorie di clientela, la normativa impone una “diligenza rafforzata” (enhanced due diligence), che UBS ha palesemente omesso. Non si tratta di una semplice negligenza procedurale, ma del fallimento del presidio posto a guardia dei rischi più elevati, proprio dove la vigilanza doveva essere massima. Questa omissione espone l’ente a un nesso causale diretto con potenziali reati presupposto di riciclaggio, previsti anche dall’ordinamento italiano all’art. 25-octies del D.Lgs. 231/2001. In un’architettura di controllo evoluta, la gestione del rischio cliente non è statica. Il profilo di rischio di ogni cliente sarebbe stato calcolato dinamicamente, aggiornato in tempo reale da motori di intelligenza artificiale che analizzano non solo i dati anagrafici, ma anche i comportamenti transazionali, le controparti e le informazioni provenienti da fonti esterne (adverse media, liste sanzionatorie). Qualsiasi operazione incoerente con il profilo di rischio atteso o collegata a giurisdizioni critiche avrebbe attivato un blocco operativo preventivo, imponendo un’analisi manuale da parte di un operatore qualificato e generando una registrazione immutabile dell’evento e della sua risoluzione, a disposizione immediata dell’Organismo di Vigilanza.
La sanzione del FinCEN è stata motivata, tra le altre cose, dalla mancata o tardiva segnalazione di operazioni sospette (Suspicious Activity Reports – SARs). La banca non solo non ha monitorato adeguatamente, ma di conseguenza non ha potuto adempiere al suo obbligo fondamentale di segnalare alle autorità le transazioni che presentavano indici di anomalia. Questo ha interrotto la catena di collaborazione tra intermediari finanziari e autorità di contrasto, vanificando uno degli scopi primari del Bank Secrecy Act. La tardività o l’omissione di una segnalazione non è un mero inadempimento amministrativo; è una condotta che può integrare il reato di favoreggiamento o, nei casi più gravi, di concorso nel riciclaggio, con conseguenze penali per le persone fisiche coinvolte e sanzionatorie devastanti per l’ente, inclusa la confisca del profitto del reato. L’adozione di un protocollo di segnalazione automatizzato e supportato da un sistema di monitoraggio massivo avrebbe eliminato alla radice questo rischio. Il sistema avrebbe autonomamente pre-qualificato le operazioni sospette sulla base di scenari di rischio complessi, preparando bozze di segnalazione e notificando in tempo reale agli analisti AML la necessità di una revisione finale. Ogni passaggio, dalla rilevazione dell’anomalia alla decisione di segnalare o non segnalare, sarebbe stato tracciato in un log forense, creando una prova documentale inoppugnabile dell’adempimento diligente degli obblighi di legge e proteggendo l’ente dalla contestazione di “colpa di organizzazione”.
Un dettaglio tecnico emerso dalle indagini è particolarmente significativo: persino un nuovo sistema di monitoraggio implementato da UBS per correggere le precedenti carenze si è rivelato fallace, omettendo di analizzare circa 8.000 transazioni per un valore di 2,7 miliardi di dollari. Questo dimostra come l’acquisto di una nuova tecnologia, senza un’integrazione e una validazione rigorosa all’interno di un modello organizzativo solido, sia inutile e persino controproducente. Si è creato un falso senso di sicurezza mentre i rischi continuavano a transitare indisturbati. Un ecosistema sovrano come quello proposto dalla REDAZIONE SCUDO231 non si limita a “essere installato”, ma si integra con i processi esistenti, validandone l’efficacia. Avrebbe immediatamente rilevato il gap di copertura del nuovo software, generando un’allerta critica sulla “mancata acquisizione dati” da quel flusso specifico. Questo tipo di controllo incrociato tra sistemi è fondamentale per garantire l’integrità e la completezza della vigilanza, trasformando il modello da reattivo a proattivo.
Le conseguenze per UBS Financial Services Inc. vanno ben oltre l’esborso monetario di 145 milioni di dollari. Il danno reputazionale è incalcolabile, così come i costi che l’istituto dovrà sostenere per implementare un programma di bonifica (remediation) sotto la stretta sorveglianza delle autorità statunitensi. L’accertamento di violazioni deliberate apre inoltre la porta a ulteriori azioni legali, sia da parte di altre autorità di regolamentazione a livello globale sia da parte di clienti danneggiati. L’intera vicenda costituisce un caso di studio esemplare su come la “colpa di organizzazione” non sia un concetto astratto, ma una realtà operativa con impatti economici e legali concreti. La mancanza di un modello organizzativo efficace, tracciabile e tecnologicamente avanzato ha trasformato un rischio operativo in una sanzione miliardaria e in una crisi reputazionale. Se l’ente avesse potuto produrre in sede di indagine una ricostruzione causale scientifica degli eventi, basata su dati certi e immutabili, avrebbe potuto dimostrare che le eventuali violazioni erano il frutto di azioni individuali che avevano eluso dei controlli solidi ed efficaci, e non il risultato di un deficit strutturale dell’intera organizzazione. Questa capacità di fornire una prova tecnologica inconfutabile, un vero e proprio XAI Packet (Explainable AI Packet), avrebbe potuto mitigare drasticamente l’entità delle sanzioni, se non escludere del tutto la responsabilità diretta dell’ente, spostando il focus investigativo sui singoli responsabili.