Gestionale assicurativo IVASS-ready per broker e intermediari

1. Il quadro normativo IVASS per gli intermediari

Il quadro normativo italiano per gli intermediari assicurativi si è progressivamente complicato dalla recezione della IDD (Direttiva UE 2016/97, recepita con D.Lgs. 68/2018). I cinque corpi regolamentari principali emessi da IVASS coprono dimensioni complementari della distribuzione.

1.1 IVASS Reg. 40/2018 — distribuzione

Il regolamento "core" sulla distribuzione assicurativa post-IDD. Disciplina: requisiti per l'esercizio dell'attività distributiva, obblighi informativi precontrattuali, gestione dei conflitti di interesse, registrazione dell'attività distributiva, vigilanza prudenziale. Per il gestionale del broker, l'art. 53 (registro dell'attività distributiva) e l'art. 65 (obblighi di conservazione) sono i due punti operativamente più impattanti.

1.2 IVASS Reg. 41/2018 — trasparenza e informativa al cliente

Disciplina la documentazione precontrattuale che il broker deve consegnare al contraente prima della sottoscrizione: IPID (Insurance Product Information Document) per i prodotti non-vita, fascicolo informativo più strutturato per prodotti vita e investimenti, dichiarazioni sull'identità del distributore (sezione RUI, eventuali rapporti partecipativi con compagnie). Tutta la documentazione deve essere consegnata con prova della consegna avvenuta.

1.3 IVASS Reg. 44/2019 — antiriciclaggio

Il regolamento attuativo per il settore assicurativo del D.Lgs. 231/2007 (recezione italiana delle direttive UE AML). Per il broker, gli obblighi sostanziali si concentrano sui rami vita e investimento: adeguata verifica del cliente, profilazione del rischio, screening sanctions/PEP, conservazione documentale decennale, segnalazione UIF per operazioni sospette. Per i rami danni gli obblighi sono ridotti ma non azzerati.

1.4 IVASS Reg. 45/2020 — POG (Product Oversight and Governance)

La governance del prodotto assicurativo dal lato distribuzione. Obbliga il broker che opera come "manufacturer" o "distributor" a: definire e applicare il target market di ogni prodotto distribuito, monitorare la coerenza tra prodotti venduti e profili clienti, segnalare al produttore (compagnia) eventuali anomalie di distribuzione, mantenere documentazione delle revisioni periodiche del prodotto.

1.5 IVASS Reg. 24/2016 e successivi — formazione professionale continua

L'obbligo di formazione professionale continua per gli iscritti al RUI: 60 ore ogni 36 mesi per le sezioni A, B, D; 30 ore per la sezione E. Le ore devono coprire macro-aree definite (normativa, prodotti, IT) ed essere documentate con attestati conseguiti presso enti riconosciuti. Il mancato adempimento porta a sospensione automatica dal RUI.

2. Registro RUI: sezioni A/B/D/E e implicazioni operative

Il Registro Unico degli Intermediari (RUI), tenuto da IVASS, è la fonte autoritativa per stabilire chi può legittimamente distribuire assicurazioni in Italia. La struttura in sezioni riflette le diverse tipologie di intermediario:

• Sezione A — agenti assicurativi (rappresentanti di una o più compagnie con mandato);
• Sezione B — broker assicurativi (consulenti del cliente, indipendenti dalle compagnie);
• Sezione D — banche, SIM, Poste e altri intermediari finanziari abilitati alla distribuzione assicurativa;
• Sezione E — collaboratori (persone fisiche o società) dei soggetti iscritti in A, B, D.

2.1 Verifica iscrizione via API IVASS

IVASS espone un servizio di consultazione del RUI per la verifica programmatica dell'iscrizione. Un gestionale IVASS-ready integra questa verifica nei punti chiave: onboarding di un nuovo collaboratore sezione E, abilitazione di un nuovo broker su una compagnia mandante, verifica periodica delle iscrizioni attive nel proprio team. Il controllo intercetta sospensioni temporanee, cancellazioni disciplinari, scadenze non rinnovate.

2.2 Onboarding nuovo collaboratore RUI sez. E

Il workflow tipico di onboarding di un collaboratore sezione E include: verifica RUI via API IVASS (deve risultare iscritto e attivo), acquisizione del consenso al trattamento dati con FEA (firma elettronica avanzata), assegnazione del profilo operativo (cosa può fare nel gestionale: quotare, emettere, sinistri, ecc.), tracciamento delle ore formative iniziali, attivazione dell'audit trail personale. Tutta la documentazione viene conservata 10 anni a norma AgID.

3. Compliance operativa: cosa serve nel software

Tradurre il quadro normativo in funzionalità software è il passaggio decisivo. Un gestionale "compliance-by-design" copre quattro aree.

3.1 Tracciabilità dei dati e audit trail immutabile

Ogni operazione rilevante (creazione polizza, modifica anagrafica, emissione documento, accesso al fascicolo cliente) viene loggata in modo immutabile: chi ha fatto, cosa ha fatto, quando, da quale IP, con quale motivazione (se richiesta). I log non sono cancellabili né modificabili a posteriori; sono esportabili in formato standard per audit IVASS e conservati 10 anni. Il pattern tecnico è write-once read-many con firma del log per garantirne l'integrità.

3.2 Conservazione decennale (CAD art. 43-44)

Il Codice dell'Amministrazione Digitale (D.Lgs. 82/2005), articoli 43-44, e le Linee Guida AgID 2020 disciplinano la conservazione decennale dei documenti elettronici. La conservazione avviene presso un Conservatore accreditato AgID (Aruba, InfoCert, Postel, Namirial) integrato nativamente nel gestionale. Vengono inviati in conservazione: polizze emesse e appendici firmate, IPID e fascicoli informativi consegnati ai clienti, comunicazioni PEC, documentazione AML, sinistri pendenti, prove di formazione professionale.

3.3 Gestione conflitti di interesse

Il Reg. 40/2018 obbliga il broker a identificare, gestire e divulgare eventuali conflitti di interesse. Tipici scenari: il broker percepisce provvigioni differenziate tra compagnie mandanti che lo orientano verso una rispetto all'altra; il broker ha rapporti partecipativi con una compagnia. Il gestionale traccia automaticamente i fattori che possono configurare conflitto (commissioni, partecipazioni) e produce il prospetto di trasparenza da consegnare al cliente prima della quotazione.

3.4 IPID e fascicolo informativo generati automaticamente

L'IPID (per non-vita) e il fascicolo informativo (per vita) devono essere generati al momento della quotazione e consegnati al cliente prima della sottoscrizione. Un gestionale verticale parte da template IVASS-approvati della compagnia mandante e li personalizza con i dati della quotazione (massimali, garanzie, esclusioni, premio). La consegna avviene digitalmente (portale cliente o PEC) con prova di consegna marcata temporalmente. Conservazione decennale automatica.

4. Audit IVASS: cosa controllano e cosa avere pronto

Le ispezioni IVASS si stanno standardizzando su cinque "evidence pack" ricorrenti, richiesti tipicamente in apertura ispezione e da fornire entro 24-48 ore.

1. Registro polizze e sinistri: lista completa delle polizze gestite con dettaglio anagrafica contraente, compagnia mandante, ramo, premio, stato; lista completa dei sinistri aperti, riservati, chiusi negli ultimi 36 mesi.
2. Prove di consegna IPID e fascicoli informativi: campione casuale di 50-100 contratti con verifica della prova di consegna marcata temporalmente del documento precontrattuale al cliente.
3. Registro reclami: lista dei reclami ricevuti negli ultimi 24 mesi con stato, tempi di risposta, esito. Verifica del rispetto del termine di 45 giorni per la risposta.
4. Registro formazione professionale: per ogni iscritto al RUI nel proprio organico, ore di formazione svolte negli ultimi 36 mesi con attestati. Verifica del raggiungimento delle 60 ore (sez. A/B/D) o 30 ore (sez. E).
5. Framework antiriciclaggio: policy AML scritta, evidenze di KYC sui clienti vita/investimento, registro delle eventuali segnalazioni UIF, prove di formazione AML del personale.

Un gestionale IVASS-ready genera i cinque pack su richiesta in pochi click, formato Excel/PDF standardizzato. Senza il software, ricostruire questi pack a mano in 48 ore è impossibile per un broker di taglia media.

5. Antiriciclaggio per intermediari: workflow completo

Gli obblighi AML del broker assicurativo si concentrano sui rami vita e investimento (vita ramo I, III, V, capitalizzazione, fondi pensione) dove il valore monetario in gioco e la flessibilità degli strumenti rendono il settore vulnerabile a operazioni di riciclaggio. Per i rami danni gli obblighi sono attenuati ma non azzerati.

5.1 KYC iniziale + screening sanctions/PEP

Al primo contatto con un nuovo cliente, il broker raccoglie i dati identificativi (anagrafica, documento d'identità, codice fiscale, eventuale ragione sociale se persona giuridica) e li sottopone a screening contro liste sanzioni internazionali (UE, ONU, OFAC) e liste PEP (Politically Exposed Persons). Il gestionale automatizza lo screening via API verso provider specializzati (es. World-Check, Dow Jones Risk & Compliance, Refinitiv).

5.2 Adeguata verifica rafforzata per categorie a rischio

Per categorie ad alto rischio AML (PEP, residenti in paesi a regime AML carente, operazioni atipiche per dimensione o struttura) si applica l'adeguata verifica rafforzata: identificazione del titolare effettivo della persona giuridica, verifica indipendente dei dati forniti, autorizzazione del responsabile AML interno, monitoraggio più stretto delle operazioni successive.

5.3 Segnalazioni UIF (quando e come)

Quando emergono operazioni sospette (es. premio versato in contanti per importi anomali, riscatto immediato di una polizza vita appena sottoscritta, beneficiari modificati ripetutamente), il broker è obbligato a segnalare all'Unità di Informazione Finanziaria (UIF) della Banca d'Italia. La segnalazione avviene via portale web UIF in formato strutturato. Il gestionale supporta la pre-compilazione del modulo a partire dai dati della pratica e mantiene il registro delle segnalazioni effettuate (per tracciabilità in caso di follow-up).

6. Controlli operativi interni e formazione professionale

Oltre alle evidenze esterne richieste in ispezione, IVASS si aspetta un sistema di controlli operativi interni proporzionato alla dimensione del broker. Per un broker di taglia media (10-30 collaboratori) i controlli tipici includono: revisione periodica delle pratiche da parte di un compliance officer interno, verifica trimestrale del rispetto delle autonomie di sottoscrizione, audit del registro reclami per identificare pattern problematici, sample-check delle prove di consegna IPID.

Il registro della formazione professionale traccia per ciascun iscritto al RUI: ore svolte per macro-area (normativa, prodotti, IT), attestati conseguiti, ente di formazione, alert prima della scadenza del triennio. NewPicass 14.Net espone il registro come dashboard e lo esporta in formato IVASS-compatibile.

7. Sicurezza informatica: DORA per intermediari

DORA (Reg. UE 2022/2554, applicabile dal 17 gennaio 2025) si applica formalmente alle imprese di assicurazione e riassicurazione UE, non agli intermediari sotto certe soglie. Ma l'effetto pratico per i broker italiani è significativo: le compagnie mandanti, soggette a DORA, devono includere il broker nel proprio registro third-party e svolgere due diligence sui suoi sistemi IT.

Per il broker, questo significa esporre alla compagnia mandante: certificazione ISO/IEC 27001:2023 del fornitore software, attestazione di backup giornaliero e disaster recovery testato, evidenze di penetration test recenti, esposizione di log di sicurezza tracciabili, conformità GDPR completa con data residency UE. NewPicass 14.Net copre questi requisiti come standard tramite il Trust Center documentato.

8. Conservazione documentale a norma AgID

La conservazione decennale a norma AgID è uno dei pilastri tecnici di un gestionale IVASS-ready. I documenti conservati sono numerosi:

• Polizze emesse e appendici firmate in FEQ o FEA;
• IPID e fascicoli informativi con prova di consegna marcata temporalmente;
• Registro reclami e tracce delle risposte fornite ai clienti;
• Documentazione AML: identificazione, screening, adeguata verifica rafforzata, segnalazioni UIF;
• Comunicazioni PEC con compagnie mandanti e clienti;
• Registro formazione professionale per ciascun iscritto al RUI;
• Eventuali contenziosi e relativa documentazione fino a estinzione.

La conservazione avviene presso un Conservatore accreditato AgID (Aruba, InfoCert, Postel, Namirial) integrato via API nel gestionale. Il flusso: il documento viene generato dal sistema, firmato, marcato temporalmente, inviato al Conservatore con metadati strutturati, ricevuto in conservazione con ricevuta marcata. Tutto questo avviene senza intervento manuale dell'utente.

9. Checklist di compliance per audit

Una checklist pratica per il broker che vuole verificare la propria readiness in vista di un'ispezione IVASS:

• ☐ Registro polizze e sinistri generabile con un click, completo degli ultimi 36 mesi;
• ☐ Prove di consegna IPID e fascicoli informativi verificabili per sample casuale di 100 contratti;
• ☐ Registro reclami digitale conforme Reg. 41, con stato e tempi di risposta entro 45 giorni;
• ☐ Registro formazione professionale aggiornato per ogni iscritto RUI con copertura 60h (sez. A/B/D) o 30h (sez. E);
• ☐ Framework AML scritto e applicato, con evidenze KYC sui clienti vita/investimento;
• ☐ Conservazione decennale attiva presso Conservatore AgID accreditato, con ricevute di conservazione tracciate;
• ☐ Audit trail immutabile su tutte le operazioni rilevanti, esportabile per ispezione;
• ☐ Verifica RUI dei collaboratori attiva via API IVASS, con alert su scadenze o sospensioni;
• ☐ Prospetto trasparenza conflitti di interesse generato per ogni quotazione;
• ☐ Politica conservazione delle ricevute PEC documentata e applicata.

10. Verifica gratuita con un esperto IVASS

Una sessione di 45 minuti con un nostro esperto compliance IVASS, senza script commerciali, per fare un assessment franco della tua attuale readiness: gap funzionali del gestionale, copertura dei cinque evidence pack, rischio di non-conformità in ispezione, priorità d'intervento. Output: un documento sintetico di 3 pagine con la mappatura tra requisiti IVASS e copertura del tuo attuale sistema, con le priorità ordinate per impatto. Richiedi la valutazione gratuita.

11. Domande frequenti