Il 13 ottobre 2026 il Dipartimento del Tesoro degli Stati Uniti ha annunciato tre provvedimenti nei confronti di Bank of America, seconda banca statunitense: un accordo transattivo con l’OFAC in materia di sanzioni economiche e due Consent Order, di FinCEN e OCC, in materia di antiriciclaggio. Le sanzioni superano complessivamente 1,21 miliardi di dollari e comprendono, secondo il Tesoro, la terza sanzione più elevata della sua storia e la più elevata nella storia dell’OCC. Sono procedimenti autonomi, con basi normative e fatti in parte diversi, che conviene leggere insieme.
1. L’accordo con OFAC
Bank of America ha raggiunto un accordo con l’Office of Foreign Assets Control (“OFAC”) del Dipartimento del Tesoro degli Stati Uniti, impegnandosi a corrispondere circa 11,6 milioni di dollari per definire la propria potenziale responsabilità amministrativa relativa a 475 presunte violazioni dei programmi sanzionatori riguardanti Russia, Bielorussia, Iran, Myanmar, Somalia, narcotraffico e terrorismo internazionale. Le operazioni oggetto dell’accordo, effettuate tra il 18 settembre 2021 e il 24 aprile 2025, avevano un valore complessivo di circa 14,8 milioni di dollari.
Pur qualificando le violazioni come non-egregious ai sensi delle proprie Economic Sanctions Enforcement Guidelines, l’OFAC non ha riconosciuto alcuna riduzione dell’importo base della sanzione, né per le misure correttive né per la cooperazione prestata dall’istituto finanziario.
Le carenze riscontrate da OFAC nei controlli sui pagamenti e sulla clientela
OFAC ha individuato quattro principali categorie di criticità, riconducibili all’interazione tra malfunzionamenti tecnici, errori umani e insufficienze organizzative dell’istituto.
La prima riguarda l’esecuzione di 403 operazioni per circa 14,34 milioni di dollari attraverso 35 banche designate, di cui 32 ai sensi del programma sanzionatorio relativo alla Federazione russa, due nell’ambito delle sanzioni nei confronti della Bielorussia e una ai sensi dell’Executive Order 13902 relativo all’Iran.
Sebbene i pagamenti fossero sottoposti a screening, alcuni venivano comunque eseguiti a causa di ritardi nell’aggiornamento dei filtri, dell’erronea classificazione degli alert come falsi positivi o dell’applicazione di regole di chiusura automatica, nel contesto delle procedure di escalation, delle segnalazioni.
La seconda criticità riguardava gli iniziali difetti di progettazione del sistema di gestione degli alert. In particolare, inizialmente le segnalazioni relative a clienti il cui nome e la cui data di nascita coincidevano esattamente con quelli di soggetti designati venivano classificate come di priorità bassa o media, anziché alta. Tale circostanza avrebbe permesso, secondo OFAC, a tre persone designate di effettuare 31 operazioni, per complessivi 56.258 dollari attraverso il proprio conto corrente presso Bank of America o utilizzandone le relative carte di credito.
Un terzo gruppo di violazioni derivava dal mancato tempestivo aggiornamento delle liste utilizzate per lo screening. Nel 2023, un errore del fornitore esterno aveva impedito per oltre un mese il recepimento delle modifiche alla Specially Designated Nationals and Blocked Persons List, determinando l’esecuzione di sei operazioni per oltre 100 mila dollari. Nel febbraio 2025, problemi tecnici interni avevano invece impedito di implementare un aggiornamento ricevuto dal fornitore, consentendo l’esecuzione di ulteriori 26 operazioni, per 146.543 dollari, per conto di una società di gestione navale designata nell’ambito del programma di contrasto al terrorismo.
Infine, l’OFAC ha rilevato errori nella gestione di rapporti aziendali collegati a persone designate. In un caso, l’erronea archiviazione di un alert relativo al titolare effettivo di un’impresa ha lasciato operativo un conto che avrebbe dovuto essere bloccato. Il successivo riesame della clientela, effettuato in occasione della migrazione a una nuova piattaforma di screening, aveva generato un volume di alert che la banca non era adeguatamente preparata a gestire: l’interesse del soggetto bloccato è stato così individuato soltanto circa quattordici mesi dopo la designazione.
In un distinto episodio, il personale della banca ha trasferito 189.869 dollari da due conti sottoposti a restrizioni, sui quali un soggetto designato disponeva di poteri di firma, a un nuovo conto privo di restrizioni. La funzione sanzioni ha bloccato i fondi prima di ogni ulteriore utilizzo e la banca ha autodenunciato il trasferimento.
La determinazione dell’importo e il rilievo della cooperazione
Delle 475 presunte violazioni, soltanto 62 sono state considerate volontariamente autodenunciate, mentre le restanti 413 non hanno beneficiato di tale qualificazione. L’importo base, calcolato secondo le Enforcement Guidelines, è pari a 11.662.930 dollari e coincide con la sanzione finale, in assenza di riduzioni.Tra i fattori aggravanti OFAC ha considerato la condotta reckless, il pregiudizio agli obiettivi di politica estera (la maggior parte dei pagamenti verso banche bloccate non è stata fermata da altri istituti), le dimensioni dell’istituto e le precedenti cautionary letters per condotte sostanzialmente analoghe.. L’autorità ha inoltre rilevato una cooperazione non piena, con risposte frammentarie e tardive. Secondo il Tesoro, nell’ambito dell’accordo la banca ha assunto impegni in materia di formazione, test e audit e di comunicazione e cooperazione con l’OFAC.
2. I provvedimenti di FinCEN e OCC
Il Financial Crimes Enforcement Network (“FinCEN”) e l’Office of the Comptroller of the Currency (“OCC”) hanno sanzionato Bank of America per la violazione delle disposizioni antiriciclaggio.
FinCEN ha imposto una sanzione amministrativa pari a 1,2 miliardi di dollari dalla quale sono detratti i 750 milioni versati all’OCC, che ha adottato una distinta sanzione di pari importo. L’esborso complessivo è quindi di 1,2 miliardi di dollari (circa 1,21 con l’accordo OFAC).
Il Consent Order del FinCEN
Il procedimento FinCEN è stato definito mediante il Consent Order Imposing Civil Money Penalty n. 2026-03 e riguarda le condotte poste in essere da Bank of America dal 1 gennaio 2018 al 1 luglio 2025.
FinCEN ha accertato tre categorie di violazioni del Bank Secrecy Act (“BSA”) e delle relative disposizioni attuative:
- mancata implementazione e mantenimento di un programma antiriciclaggio conforme ai requisiti minimi, in violazione di 31 U.S.C. § 5318(h)(1) e 31 C.F.R. § 1020.210(a);
- insufficiente due diligence sui conti di corrispondenza mantenuti negli Stati Uniti per istituzioni finanziarie estere, in violazione di 31 U.S.C. § 5318(i) e 31 C.F.R. § 1010.610;
- omessa, tardiva o inesatta segnalazione delle operazioni sospette, in violazione di 31 U.S.C. § 5318(g) e 31 C.F.R. § 1020.320.
Il nucleo della contestazione riguarda il sistema proprietario Event Processor (“EP”), utilizzato dalla banca per individuare e sottoporre a indagine le attività potenzialmente sospette. Il sistema aggregava gli alert, generalmente a livello di cliente, attribuendo loro punteggi ponderati.
Secondo FinCEN, le soglie e i pesi non erano sufficientemente fondati su evidenze empiriche e sui rischi effettivi. I test interni avevano ripetutamente mostrato che anche gruppi di alert al di sotto della soglia presentavano un’elevata probabilità di giustificare una segnalazione, senza che ciò determinasse adeguati interventi correttivi. Ulteriori carenze riguardavano le regole di azzeramento dei punteggi, le lacune nel monitoraggio dei depositi di strumenti negoziabili e delle carte di credito e l’eccessiva dipendenza da segnalazioni esterne per avviare le indagini.
Sul fronte della customer due diligence, la banca non ha adeguato profilo di rischio e il monitoraggio di tre clienti ad alto rischio (due piattaforme di vendita online di veicoli e un esportatore, anonimi nel provvedimento), a fronte di pagamenti di terzi, money order sequenziali appena sotto i 3.000 dollari (oltre 660 milioni) e bonifici da e verso giurisdizioni ad alto rischio (quasi 1 miliardo). La funzione compliance aveva raccomandato la chiusura di uno dei rapporti, che è stato invece mantenuto con un piano di mitigazione.
Un distinto profilo riguarda i conti di corrispondenza delle filiali e delle affiliate estere della banca. Fino alla fine del 2024, questi rapporti beneficiavano di procedure semplificate che, secondo FinCEN, non raccoglievano informazioni sufficienti sulla finalità dei conti, sull’operatività attesa e sul contesto di vigilanza. Le verifiche hanno inoltre rilevato che le entità estere servivano più di 250 istituzioni finanziarie non bancarie, inclusi money services businesses, la cui operatività non era adeguatamente compresa dalla banca statunitense.
FinCEN ha individuato oltre 5 miliardi di dollari di operazioni sospette non segnalate tempestivamente e accuratamente, di cui oltre un miliardo connesso a rischi prioritari di finanza illecita e sicurezza nazionale, come le reti cinesi di riciclaggio (CMLN) e il traffico illecito lungo la frontiera sud-ovest.
Il Consent Order impone alla banca di incaricare, a proprie spese e con diritto di veto del FinCEN, quattro consulenti indipendenti per una revisione retrospettiva delle operazioni dal gennaio 2022 (relazione finale entro dicembre 2028), la verifica dei controlli di monitoraggio, della customer due diligence e del programma sui conti di corrispondenza e la revisione della data governance, con attenzione ai rischi prioritari (frontiera sud-ovest, cartelli e narcotraffico, CMLN, Iran e Russia).
Il Consent Order dell’OCC
Parallelamente, l’OCC ha adottato il Consent Order n. AA-ENF-2026-41, applicando a Bank of America una sanzione pecuniaria di 750 milioni di dollari per ulteriori violazioni del BSA/AML relative a carenze nel programma antiriciclaggio (12 C.F.R. § 21.21), nel monitoraggio e nella segnalazione delle operazioni sospette (12 C.F.R. § 21.11) e nella due diligence sui conti di corrispondenza (31 C.F.R. § 1010.610). L’autorità ha rilevato l’insufficienza degli interventi correttivi successivi al precedente ordine del 23 dicembre 2024, evidenziando persistenti lacune nei controlli interni e un arretrato che, nel 2024, aveva raggiunto quasi 200.000 casi in attesa di analisi.
Tra le contestazioni figura, inoltre, la violazione della cosiddetta Travel Rule, prevista dal 31 C.F.R. § 1010.410(f), relativa alle informazioni che devono accompagnare gli ordini di trasferimento di fondi. Tra novembre 2021 e ottobre 2024, la banca aveva eseguito circa 33.300 bonifici in uscita, per un valore complessivo di circa un miliardo di dollari, contenenti informazioni inesatte sul nome dell’ordinante, con potenziali conseguenze sulla capacità delle autorità investigative di ricostruire l’origine dei trasferimenti.
Le indicazioni per gli operatori
Secondo l’OFAC, l’efficacia di un programma di conformità in materia di sanzioni richiede una supervisione attenta da parte del vertice aziendale e deve essere capace di individuare proattivamente i rischi nell’intera organizzazione, riconoscere le connessioni tra diverse criticità e adottare tempestivamente soluzioni durature.
Anche la definizione dei parametri e delle regole di gestione degli alert nei sistemi di screening deve basarsi su una valutazione del rischio ed essere sottoposta ad adeguata supervisione, audit e test, così da evitare che gli errori si propaghino e producano effetti cumulativi.
L’autorità ribadisce inoltre che il ricorso a fornitori esterni non trasferisce la responsabilità per la conformità ed occorre pertanto verificare che gli aggiornamenti siano effettivamente recepiti, e che le migrazioni verso nuovi strumenti di screening vanno gestite in modo controllato
In questo contesto, OFAC ribadisce la rilevanza di assicurare un’adeguata formazione a tutto il personale coinvolto, inclusi i dipendenti a contatto con la clientela, sugli obblighi e sulle procedure in materia di sanzioni, nonché sulle possibili tecniche di elusione.
In caso di individuazione di potenziali violazioni, l’OFAC sollecita infine gli operatori a disporre indagini tempestive sulle cause e sulla loro possibile diffusione nell’organizzazione e di adottare interventi correttivi completi ed efficaci e di cooperare con l’autorità.
Sul fronte antiriciclaggio, i provvedimenti richiedono sistemi di monitoraggio tarati sul rischio effettivo, test e audit seguiti da interventi correttivi tempestivi, una customer due diligence costantemente aggiornata e una due diligence piena anche su filiali e affiliate estere. Il Tesoro invita inoltre a integrare i presidi antiriciclaggio e sanzionatori, vista la convergenza dei rischi.
I professionisti dello Studio Legale Padovan, forti dell’esperienza ultraventennale in materia di sanzioni economiche internazionali e antiriciclaggio, sono a disposizione delle imprese e delle istituzioni finanziarie, nonché dei Professionisti, per fornire qualsiasi approfondimento e supporto necessario.
