Ve.R.A.: come funziona il sistema di analisi del rischio fiscale dell’Agenzia delle Entrate

Il software di controllo incrociato dei dati finanziari elabora liste selettive di contribuenti a rischio evasione incrociando l’Archivio dei Rapporti Finanziari con l’Anagrafe Tributaria. Ecco le regole operative e i diritti del contribuente.

---

Ve.R.A. (Verifica dei Rapporti Finanziari) è l’algoritmo anti evasione dell’Agenzia delle Entrate operativo dal D.M. 28 giugno 2022 (GU n. 152/2022). Elabora liste selettive di contribuenti a maggior rischio fiscale incrociando i dati dell’Archivio dei Rapporti Finanziari con le dichiarazioni dei redditi, il patrimonio mobiliare e immobiliare e i dati di pagamento elettronico. La base normativa primaria è l’art. 1, commi 681-686, della L. 160/2019 (Legge di bilancio 2020).

Che cos’è Ve.R.A. e qual è la sua base normativa

Ve.R.A. (Verifica dei Rapporti Finanziari) è l’applicativo software dell’Agenzia delle Entrate dedicato all’analisi del rischio di evasione fiscale, operativo in via strutturale dal D.M. 28 giugno 2022 del Ministro dell’Economia e delle Finanze (GU n. 152 del 1° luglio 2022). Il sistema elabora, a livello centrale, liste selettive di contribuenti a più elevato rischio fiscale, che vengono poi trasmesse alle Direzioni regionali e provinciali per orientare l’ordinaria attività di controllo. Non si tratta di uno strumento di accertamento diretto, ma di un meccanismo di selezione e prioritizzazione delle posizioni da sottoporre a verifica.

La base normativa primaria è l’art. 1, commi 681-686, della L. 27 dicembre 2019, n. 160 (Legge di bilancio 2020). Il comma 682 autorizza l’Agenzia delle Entrate ad avvalersi, anche previa pseudonimizzazione dei dati personali, di tecnologie, elaborazioni e interconnessioni con le banche dati disponibili, allo scopo di individuare i criteri di rischio utili a far emergere le posizioni da sottoporre a controllo. Il comma 683 demanda a un decreto ministeriale — adottato sentiti il Garante per la Protezione dei Dati Personali e l’Agenzia delle Entrate — la definizione delle modalità operative di trattamento dei dati. Il comma 686 estende le stesse facoltà alla Guardia di Finanza. L’analisi del rischio basata sull’Archivio dei Rapporti Finanziari era già stata avviata in via sperimentale in attuazione dell’art. 11, comma 4, del D.L. 6 dicembre 2011, n. 201, ma è con la Legge di bilancio 2020 e il successivo decreto attuativo del 2022 che il sistema acquisisce una disciplina organica e le necessarie garanzie in materia di protezione dei dati personali.

La Circolare n. 21/E del 20 giugno 2022 dell’Agenzia delle Entrate ha fornito i primi indirizzi operativi sull’utilizzo del sistema, inserendolo nel più ampio contesto degli obiettivi PNRR di riduzione del tax gap. In particolare, il Settore Analisi del rischio e ricerche per la tax compliance della Divisione Contribuenti è responsabile dell’elaborazione centrale delle liste, rese disponibili agli uffici territoriali tramite l’applicativo Ve.R.A.

Dal Risparmiometro a Ve.R.A.: l’evoluzione del controllo finanziario

Ve.R.A. sostituisce operativamente il cosiddetto Risparmiometro (o Evasometro), lo strumento che verificava la coerenza tra i risparmi accumulati nell’anno e i redditi dichiarati. Il cambio di approccio è sostanziale: mentre il Risparmiometro ragionava su un indicatore sintetico di capacità di risparmio, il sistema di controllo incrociato dei dati finanziari attuale lavora su un insieme molto più articolato di variabili, incrociando in modo integrato i dati dell’Archivio dei Rapporti Finanziari con le dichiarazioni fiscali, il patrimonio mobiliare e immobiliare, i dati contabili e i flussi di pagamento elettronico.

Un elemento di discontinuità rilevante riguarda le garanzie procedurali: Ve.R.A. è il primo strumento di analisi del rischio fiscale ad aver ricevuto un parere formale del Garante per la Protezione dei Dati Personali prima dell’attivazione, con la previsione esplicita della pseudonimizzazione nella fase istruttoria e dell’obbligo di indicare, negli atti indirizzati al contribuente, il rischio fiscale identificato e i dati utilizzati per la sua individuazione (D.M. 28.06.2022).

Quali dati analizza il sistema Ve.R.A.

Il perimetro dei dati trattati da Ve.R.A. è definito dal D.M. 28 giugno 2022 e comprende dati personali comuni relativi all’identità anagrafica e alla capacità economica del contribuente. Il decreto distingue tra dati di fonte dichiarativa, dati di fonte finanziaria e dati di profilazione derivati dall’analisi del rischio. Questi ultimi — i cosiddetti indicatori di rischio desunti o derivati — non vengono memorizzati in archivi o basi dati diversi dai dataset di analisi e controllo e non sono utilizzati per finalità diverse dall’analisi del rischio. Il dataset complessivo è conservato fino al secondo anno successivo a quello in cui matura la decadenza della potestà impositiva e, comunque, fino alla definizione di eventuali giudizi pendenti.

Le categorie di dati effettivamente trattate dall’applicativo Ve.R.A., secondo quanto stabilito dal D.M. 28 giugno 2022 e dalle indicazioni operative della Circolare n. 21/E/2022, sono le seguenti:

Il D.M. 28 giugno 2022 esclude espressamente dal perimetro del trattamento i dati di cui all’art. 9 del Regolamento (UE) 2016/679 (GDPR), ovvero le categorie particolari di dati personali quali origine etnica, opinioni politiche, dati sanitari e biometrici. L’affidabilità e l’accuratezza del modello di analisi e dei criteri di rischio utilizzati sono soggette a test periodici finalizzati a limitare i rischi di erronea rappresentazione della capacità contributiva e di ingerenza nei confronti di contribuenti che non presentano un rischio fiscale significativo. Questo vincolo risponde direttamente all’obiettivo PNRR di riduzione del 5% dei “falsi positivi” rispetto al 2019 (target M1C1-107, Circ. 21/E/2022).

I dati dell’Archivio dei Rapporti Finanziari

L’Archivio dei Rapporti Finanziari è la banca dati dell’Anagrafe Tributaria che costituisce il nucleo informativo primario di Ve.R.A. Istituito dall’art. 7, comma 6, del DPR 29 settembre 1973, n. 605, e potenziato dall’art. 11, comma 2, del D.L. 6 dicembre 2011, n. 201, raccoglie le informazioni che gli operatori finanziari — banche, istituti di pagamento, società fiduciarie, intermediari assicurativi — sono obbligati a trasmettere sistematicamente al Fisco. Le informazioni ricomprese nell’archivio includono i dati identificativi e contabili di tutti i soggetti titolari di rapporti di conto corrente o di deposito, il totale delle situazioni di dare e avere delle movimentazioni, la giacenza media annua e ogni altra informazione rilevante ai fini dei controlli fiscali. Nella prassi dell’Agenzia delle Entrate, l’incrocio tra i saldi e le movimentazioni registrate nell’archivio e i redditi dichiarati nelle dichiarazioni fiscali costituisce il principale criterio di rischio utilizzato per la costruzione delle liste selettive.

L’integrazione con i pagamenti elettronici (POS e carte di credito)

Una componente aggiuntiva, introdotta in sede di conversione del D.L. PNRR 2, riguarda la trasmissione all’Agenzia delle Entrate dei dati relativi alle transazioni elettroniche effettuate tramite POS. Gli intermediari che mettono a disposizione degli esercenti sistemi di pagamento elettronico sono tenuti a trasmettere all’Agenzia delle Entrate, oltre alle commissioni addebitate e ai dati identificativi degli strumenti di pagamento, anche gli importi complessivi delle transazioni giornaliere effettuate mediante tali strumenti. Il Provvedimento del Direttore dell’Agenzia delle Entrate n. 253155 del 30 giugno 2022 ha definito le regole tecniche di trasmissione: i Prestatori di Servizi di Pagamento (PSP) trasmettono i dati a PagoPA, che li rende disponibili all’Agenzia entro il quinto giorno lavorativo successivo alla ricezione. Questo flusso consente all’Agenzia di confrontare i dati di incasso elettronico con i corrispettivi telematici e le fatture elettroniche degli esercenti, verificando la corrispondenza tra i pagamenti ricevuti e i ricavi dichiarati.

Come funziona la pseudonimizzazione e il ruolo del Garante Privacy

La pseudonimizzazione è la misura tecnica centrale che ha consentito al Garante per la Protezione dei Dati Personali di autorizzare il trattamento dei dati nell’ambito di Ve.R.A. Il D.M. 28 giugno 2022 stabilisce che le elaborazioni finalizzate a far emergere le posizioni da sottoporre a controllo devono essere effettuate su dati preventivamente pseudonimizzati, attraverso metodi di sostituzione o modifica delle informazioni anagrafiche ovvero tramite perturbazioni delle variabili, al fine di impedire, in presenza di dati finanziari, l’identificazione diretta degli interessati. In termini operativi, questo significa che nella fase istruttoria di costruzione delle liste selettive il contribuente non è identificato per nome e codice fiscale, ma tramite un codice anonimo. Solo in una seconda fase — quando la lista viene trasmessa alle Direzioni regionali e provinciali per l’attività di controllo — i dati vengono ricondotti alle persone fisiche o giuridiche identificate.

Questo meccanismo a due fasi risponde al principio di minimizzazione del trattamento sancito dall’art. 5 del Regolamento (UE) 2016/679 (GDPR) e all’art. 23 dello stesso regolamento, che consente limitazioni ai diritti degli interessati quando necessarie per obiettivi di interesse pubblico rilevante — nel caso specifico, il contrasto all’evasione fiscale come obiettivo dichiarato dal legislatore nella Legge di bilancio 2020. Il D.M. 28 giugno 2022 è stato adottato sentiti sia il Garante per la Protezione dei Dati Personali sia l’Agenzia delle Entrate, come previsto dall’art. 1, comma 683, della L. 160/2019, e disciplina le specifiche limitazioni all’esercizio dei diritti di cui agli artt. 14, 15, 17, 18 e 21 del GDPR — rispettivamente: informativa, accesso, cancellazione, limitazione del trattamento e opposizione.

Le limitazioni ai diritti degli interessati sono giustificate dalla necessità di non compromettere l’efficacia dell’azione di contrasto all’evasione: consentire al contribuente di accedere in tempo reale ai propri indicatori di rischio prima della conclusione della fase istruttoria vanificherebbe lo strumento. Il decreto prevede tuttavia garanzie compensative precise: l’Agenzia delle Entrate e la Guardia di Finanza devono adottare tutte le misure necessarie per escludere dai trattamenti i dati personali inesatti o non aggiornati, e nei provvedimenti indirizzati ai contribuenti devono sempre essere illustrati il rischio fiscale identificato e i dati utilizzati per la sua individuazione. Gli indicatori di rischio desunti o derivati non vengono memorizzati in archivi diversi dai dataset di analisi e non sono utilizzati per finalità ulteriori rispetto all’analisi del rischio.

Il dataset di analisi — ovvero l’insieme dei dati selezionati per verificare, applicando tecniche e modelli di analisi coerenti con i criteri di rischio prescelti, la presenza di rischi fiscali — viene conservato fino al secondo anno successivo a quello in cui matura la decadenza della potestà impositiva e, comunque, fino alla definizione di eventuali giudizi. Al termine di questo periodo, l’Agenzia e la Guardia di Finanza adottano misure di garanzia adeguate a escludere i dati personali dai trattamenti ordinari, con misure di sicurezza rafforzate per il periodo residuo. L’accesso agli strumenti informatici di trattamento è consentito ai soli soggetti specificamente autorizzati, con tracciatura obbligatoria di ogni intervento umano tramite registrazione dei log.

Come vengono elaborate e usate le liste selettive

Le liste selettive sono il prodotto operativo di Ve.R.A.: rappresentano l’output concreto che l’algoritmo consegna all’Amministrazione finanziaria per orientare l’attività di controllo sul territorio. La loro elaborazione avviene a livello centrale, a cura del Settore Analisi del rischio e ricerche per la tax compliance della Divisione Contribuenti dell’Agenzia delle Entrate, applicando specifici criteri di rischio basati sull’utilizzo integrato delle informazioni comunicate dagli operatori finanziari all’Archivio dei Rapporti Finanziari e degli altri elementi presenti nell’Anagrafe Tributaria. Una volta elaborate, le liste vengono rese disponibili tramite l’applicativo Ve.R.A. a ciascuna Direzione regionale e provinciale, che le utilizza per indirizzare l’ordinaria attività di controllo nei confronti delle posizioni a più elevato rischio di evasione, previa autonoma valutazione della proficuità comparata (Circ. 21/E/2022, par. 1.4).

Il principio della “proficuità comparata” è un elemento spesso trascurato nel dibattito pubblico su Ve.R.A.: le Direzioni territoriali non sono tenute a controllare automaticamente tutti i soggetti segnalati in lista, ma devono selezionare le posizioni sulla base di una valutazione autonoma che tenga conto della sostenibilità della pretesa e della rilevanza del rischio. Questo margine di discrezionalità è coerente con la strategia generale dell’Agenzia, che privilegia i controlli ad alto tasso di proficuità e sostenibilità per ridurre il contenzioso e ottimizzare l’impiego delle risorse disponibili.

La Circolare n. 21/E/2022 prevede espressamente il rilascio di liste selettive differenziate per tipologia di contribuente. Per il 2022 era programmato, in particolare, il rilascio di una lista dedicata agli enti associativi che, pur non avendo presentato il modello EAS, risultano aver indebitamente fruito delle disposizioni di favore previste dall’art. 148 del TUIR e dall’art. 4 del DPR 633/1972, in relazione alle quote associative e ai contributi versati dagli associati risultanti dalle movimentazioni finanziarie registrate sui conti correnti. Il modello di analisi del rischio relativo alle società di persone e alle società di capitali era invece già stato sottoposto a sperimentazione e veniva progressivamente affinato sulla base degli esiti delle attività istruttorie, comunicati tramite apposite schede di feedback all’interno dello stesso applicativo Ve.R.A.

Il meccanismo di feedback è un elemento strutturale del sistema: le Direzioni provinciali, coordinate dalle rispettive Direzioni regionali, comunicano gli esiti delle attività svolte su ciascuna posizione segnalata compilando una scheda di feedback disponibile nell’applicativo. Questo flusso informativo inverso consente al Settore centrale di validare la bontà del modello di selezione, individuare i falsi positivi e correggere i criteri di rischio per i cicli successivi. Si tratta, in sostanza, di un sistema di apprendimento progressivo che migliora la precisione delle liste nel tempo, in linea con l’obiettivo PNRR di riduzione del 5% dei falsi positivi rispetto al 2019 (target M1C1-107, Circ. 21/E/2022).

Cosa succede al contribuente segnalato da Ve.R.A.

La segnalazione algoritmica prodotta da Ve.R.A. non equivale a un accertamento fiscale e non produce effetti giuridici diretti nei confronti del contribuente. Essa costituisce esclusivamente un input interno all’Amministrazione finanziaria, che attiva una sequenza procedurale precisa prima che qualsiasi atto possa essere notificato al contribuente. Comprendere questa sequenza è essenziale per valutare correttamente il rischio concreto associato all’inclusione in una lista selettiva e per identificare i momenti in cui il contribuente può intervenire a tutela della propria posizione.

La Circolare n. 21/E/2022 distingue due percorsi principali a seguito della segnalazione: il percorso della promozione dell’adempimento spontaneo, che si concretizza nell’invio di lettere di compliance, e il percorso del controllo sostanziale, che può sfociare in un accertamento fiscale. I due percorsi non sono mutuamente esclusivi: una lettera di compliance a cui il contribuente non risponde o risponde in modo insoddisfacente può evolvere in un controllo sostanziale. In entrambi i casi, l’Agenzia è tenuta a indicare negli atti il rischio fiscale identificato e i dati utilizzati per la sua individuazione, come stabilito dal D.M. 28 giugno 2022.

Il percorso evidenzia un aspetto critico spesso sottovalutato: la lettera di compliance non è un atto impositivo e non interrompe i termini di prescrizione o decadenza. Risponderla correttamente — fornendo documentazione idonea a giustificare l’anomalia segnalata — è il momento più efficace di intervento per il contribuente, perché consente di bloccare la progressione verso il controllo sostanziale prima che si apra una fase istruttoria formale. Nella prassi dell’Agenzia delle Entrate, i contribuenti che non rispondono alle lettere di compliance o non producono documentazione adeguata vengono sistematicamente inseriti nelle liste per il controllo ordinario, con priorità crescente in funzione del profilo di rischio assegnato dal sistema.

Un ulteriore elemento da considerare riguarda la tempistica di accesso ai dati: il contribuente può esercitare il diritto di accesso alle informazioni elaborate da Ve.R.A. a partire dalla data di ricezione della lettera di compliance, dalla consegna del processo verbale di constatazione, dalla notifica dell’atto istruttorio o, in caso di controllo fiscale, dell’atto impositivo. Prima di questi momenti procedurali, il diritto di accesso è limitato per non compromettere l’efficacia dell’azione di contrasto all’evasione, in conformità con le limitazioni al GDPR previste dal D.M. 28 giugno 2022.

I diritti del contribuente: accesso ai dati e rettifica

Il D.M. 28 giugno 2022 disciplina espressamente i diritti del contribuente nei confronti del trattamento dei dati operato da Ve.R.A., introducendo un regime bilanciato tra le esigenze di efficacia del controllo fiscale e le tutele riconosciute dal GDPR. Il punto di partenza è che i diritti di cui agli artt. 14, 15, 17, 18 e 21 del Regolamento (UE) 2016/679 — rispettivamente informativa, accesso, cancellazione, limitazione del trattamento e opposizione — non sono soppressi, ma subiscono limitazioni temporali e procedurali giustificate dall’obiettivo di interesse pubblico. Il decreto stabilisce che tali limitazioni devono essere proporzionate e non devono arrecare un pregiudizio effettivo e concreto all’obiettivo di contrasto all’evasione fiscale.

Il diritto di accesso ai propri dati — il più rilevante in pratica — può essere esercitato dal contribuente a partire da uno dei seguenti momenti procedurali, alternativi tra loro: ricezione della lettera di compliance; consegna del processo verbale di constatazione; notifica dell’atto istruttorio; notifica dell’atto impositivo in caso di controllo fiscale; decorso del primo giorno successivo alla decadenza del potere di accertamento per i contribuenti che non abbiano ricevuto comunicazioni dal Fisco. Questo schema temporale è stato concepito per garantire che il contribuente possa conoscere e contestare i dati utilizzati dal sistema in un momento in cui l’esercizio del diritto non comprometta l’efficacia dell’analisi del rischio. Prima di questi momenti, la limitazione è giustificata dalla necessità di preservare l’integrità della fase istruttoria pseudonimizzata.

Il diritto di rettifica dei dati personali inesatti è invece esercitabile in ogni momento. Il D.M. 28 giugno 2022 impone all’Agenzia delle Entrate e alla Guardia di Finanza di adottare tutte le misure necessarie per escludere dai trattamenti i dati personali inesatti o non aggiornati. Nella prassi, questo significa che il contribuente che rilevi un’anomalia nei dati in proprio possesso — ad esempio una movimentazione finanziaria errata comunicata dall’operatore finanziario all’Archivio dei Rapporti Finanziari — può segnalarla all’Agenzia, che è tenuta a verificarne la correttezza e, se del caso, ad escluderla dal dataset di analisi. Questo diritto è particolarmente rilevante perché un dato inesatto può determinare la costruzione di un indicatore di rischio non corrispondente alla reale capacità contributiva del soggetto, con conseguente inclusione in una lista selettiva per ragioni puramente tecniche.

Il decreto prevede inoltre che negli atti e nei provvedimenti indirizzati al contribuente siano sempre illustrati il rischio fiscale identificato e i dati che sono stati utilizzati per la sua individuazione. Questa prescrizione ha una doppia valenza: da un lato consente al contribuente di comprendere le ragioni della segnalazione e di articolare una risposta documentata; dall’altro introduce un elemento di accountability dell’Amministrazione finanziaria, che non può limitarsi a notificare un atto senza motivare, almeno in termini di dati utilizzati, la scelta di sottoporre a controllo quella specifica posizione. Nella prassi dell’Agenzia, il rispetto di questo obbligo rappresenta un requisito di legittimità dell’atto che il contribuente può far valere in sede di contenzioso qualora la motivazione risulti assente o generica.

Ve.R.A. e gli obiettivi PNRR: il contesto strategico

Ve.R.A. non è uno strumento isolato ma si inserisce nella Riforma 1.12 “Riforma dell’Amministrazione fiscale” del Piano Nazionale di Ripresa e Resilienza, che declina la riduzione del tax gap secondo due direttrici convergenti: rafforzare i meccanismi di incentivazione alla compliance basati sull’invio di comunicazioni ai contribuenti e potenziare l’attività di controllo aumentandone l’efficacia mediante una migliore selezione preventiva delle posizioni da accertare. Il sistema di analisi del rischio basato sui dati finanziari è lo strumento tecnico che rende operativa la seconda direttrice.

La Circolare n. 21/E/2022 traduce questi obiettivi in target quantitativi misurabili. Per il 2022 erano previsti: un incremento del 20% delle comunicazioni cambia-verso rispetto al 2019, per un totale di 2.581.090 comunicazioni (target M1C1-105); un incremento del 15% degli incassi derivanti da tali comunicazioni, per un totale di 2,45 miliardi di euro (target M1C1-106); una riduzione del 5% dei falsi positivi rispetto al 2019 (target M1C1-107). Quest’ultimo target è direttamente collegato al meccanismo di feedback di Ve.R.A.: la qualità delle liste selettive si misura anche — e soprattutto — dalla capacità di non sottoporre a controllo contribuenti in regola.

Il posizionamento di Ve.R.A. nel quadro PNRR spiega anche perché il legislatore abbia scelto di dotare lo strumento di garanzie privacy particolarmente strutturate: un sistema di analisi del rischio che produce un elevato tasso di falsi positivi non solo è inefficiente, ma genera contenzioso e compromette il rapporto fiduciario tra Fisco e contribuente, vanificando l’obiettivo di promozione dell’adempimento spontaneo che è, nella strategia dell’Agenzia, prioritario rispetto al controllo coattivo.

Consulenza fiscale online

Domande frequenti