Il FATF e lo standard globale

Quasi tutti gli obblighi antiriciclaggio che un’impresa di cripto-attività incontra, in quasi tutti i paesi, risalgono a uno standard elaborato dal Gruppo d’azione finanziaria internazionale (FATF). Un responsabile della conformità che sappia come viene elaborato questo standard, come vengono valutati i paesi rispetto a esso e cosa significano le liste pubbliche può interpretare qualsiasi norma nazionale nel suo contesto, spiegare al consiglio di amministrazione perché un paese è ad alto rischio e prevedere su cosa si concentreranno i supervisori in seguito.

Come opera il FATF

Il FATF è stato istituito nel 1989 al vertice del G7 di Parigi. È un organismo intergovernativo di definizione delle politiche: elabora standard e verifica che i paesi li attuino, ma non legifera. La sua forza deriva dalla pressione dei pari e dalle conseguenze sul mercato di una valutazione negativa.

• Membri: circa 40, tra cui due organizzazioni regionali (la Commissione europea e il Consiglio di cooperazione del Golfo).
• Plenaria: si riunisce tre volte l’anno, di solito a febbraio, giugno e ottobre, e decide per consenso. Un presidente scelto tra i membri resta in carica per due anni; il lavoro è supportato da un segretariato ospitato dall’OCSE a Parigi.
• Mandato: illimitato dal 2019, comprende riciclaggio di denaro, finanziamento del terrorismo e finanziamento della proliferazione.
• Rete globale: nove organismi regionali stile FATF (FSRB) sono membri associati: APG, CFATF, EAG, ESAAMLG, GABAC, GAFILAT, GIABA, MENAFATF e MONEYVAL. Insieme al FATF, assoggettano più di 200 giurisdizioni allo stesso standard. Tra gli osservatori figurano il FMI, la Banca mondiale, l’UNODC e il Gruppo Egmont.

Lo standard: Raccomandazioni, Note interpretative e Glossario

Le prime 40 Raccomandazioni (1990) erano rivolte ai proventi del traffico di droga. Furono riviste nel 1996 e nel 2003, affiancate da Raccomandazioni speciali sul finanziamento del terrorismo dal 2001 e riunite nelle attuali 40 Raccomandazioni nel febbraio 2012. Gli Standard FATF vincolanti sono costituiti dalle Raccomandazioni, dalle relative Note interpretative e dal Glossario. I documenti di orientamento, le buone pratiche e i rapporti sui segnali di allarme non sono vincolanti, ma i valutatori li usano per interpretare lo standard; per questo i supervisori si aspettano che le imprese li conoscano.

Lo standard continua a evolversi. Modifiche recenti, con date a titolo orientativo: gli emendamenti relativi alle attività virtuali alla R.15 (ottobre 2018) e alla relativa Nota interpretativa (giugno 2019); le revisioni sulla titolarità effettiva della R.24 (marzo 2022) e della R.25 (febbraio 2023); le revisioni sul recupero dei beni (ottobre 2023); una revisione della R.1 nel febbraio 2025, che ha sostituito «commensurate» con «proportionate» e richiede ai paesi di consentire e incoraggiare misure semplificate per i rischi più bassi; e la riscrittura della R.16 come «Trasparenza dei pagamenti» (giugno 2025). Le modifiche vengono adottate nelle plenarie, quindi un team di conformità dovrebbe verificare gli esiti di ciascuna plenaria per individuare gli emendamenti che incidono sul suo programma.

Valutazioni reciproche: conformità tecnica ed efficacia

I paesi vengono valutati attraverso valutazioni reciproche, revisioni tra pari condotte da un gruppo di esperti provenienti da altre giurisdizioni e gestite dal FATF, da un FSRB oppure dal FMI o dalla Banca mondiale usando la stessa Metodologia. Un gruppo esamina leggi e dati, visita il paese e la plenaria discute e adotta il rapporto, che viene poi pubblicato. Ogni valutazione assegna due tipi di giudizio.

La conformità tecnica verifica se esistono leggi e strumenti applicabili. A ciascuna Raccomandazione viene assegnato uno dei seguenti giudizi: Conforme, In larga misura conforme, Parzialmente conforme o Non conforme (oppure non applicabile).

L’efficacia verifica se il sistema funziona nella pratica. Viene misurata rispetto a 11 Risultati immediati (IO), ciascuno valutato come Alto, Sostanziale, Moderato o Basso.

Il quinto ciclo di valutazioni è iniziato nel 2024 secondo la Metodologia 2022, come successivamente modificata. Si svolge con cadenza sessennale, attribuisce maggior peso all’efficacia, al rischio e al contesto e concede a un paese tre anni dopo la valutazione per correggere le carenze prima che si applichino ulteriori misure. Alcuni membri degli FSRB sono ancora valutati secondo la Metodologia 2013, fino alla conclusione del ciclo precedente. Nella Metodologia 2022, i VASP rientrano nell’IO.3 insieme alle banche, perciò la valutazione IO.3 di un paese indica direttamente come è supervisionato il suo settore delle cripto-attività.

Dopo l’adozione, un paese entra nel monitoraggio regolare (la modalità predefinita) o nel monitoraggio rafforzato (quando sono necessari miglioramenti importanti). I rapporti di monitoraggio possono migliorare i giudizi di conformità tecnica, quindi controlla sempre l’ultimo rapporto di monitoraggio e non soltanto la valutazione originale.

Le liste pubbliche

I paesi con carenze gravi vengono sottoposti all’International Co-operation Review Group (ICRG). In base ai criteri rivisti nell’ottobre 2024 per il nuovo ciclo, il FATF dà priorità, ai fini del monitoraggio attivo, ai membri del FATF, ai paesi ad alto reddito e ai paesi con attività del settore finanziario superiori a 10 miliardi di USD; i paesi meno sviluppati definiti dalle Nazioni Unite non sono prioritari, a meno che il FATF non concordi che presentino un rischio significativo. Un paese sottoposto a revisione attraversa un periodo di osservazione e poi si impegna, a livello politico elevato, a rispettare un piano d’azione.

Il FATF pubblica due liste dopo ogni plenaria:

• Giurisdizioni sottoposte a monitoraggio rafforzato (la «lista grigia»): paesi che collaborano con il FATF su un piano d’azione concordato. Il FATF non richiede di applicare loro un’adeguata verifica rafforzata e dichiara che i suoi standard «non prevedono la riduzione del rischio né l’interruzione di intere categorie di rapporti con i clienti». Un paese viene rimosso dalla lista dopo aver completato il piano e aver ricevuto una visita in loco.
• Giurisdizioni ad alto rischio soggette a un invito ad agire (la «lista nera»): paesi con carenze strategiche significative. Il FATF invita tutte le giurisdizioni ad applicare un’adeguata verifica rafforzata e, nei casi più gravi, contromisure ai sensi della R.19.

I paesi inclusi nelle liste cambiano tre volte l’anno; i nomi attuali non sono materia d’esame.

Integrare gli esiti del FATF nella valutazione del rischio

Gli esiti del FATF sono elementi del fattore di rischio paese trattato nella lezione L’approccio basato sul rischio, non lo sostituiscono.

Un esempio pratico. Un exchange fittizio assegna al rischio paese un punteggio da 0 a 10. Il paese P è nella lista grigia (+3), ha una valutazione Bassa per l’IO.3 (+2) ed è Non conforme alla R.15 (+2), per un totale di 7 su 10: rischio elevato. I clienti che vi risiedono vengono sottoposti a monitoraggio rafforzato e, prima di scambiare qualsiasi dato relativo alla Travel Rule, i VASP controparte autorizzati nel paese vengono sottoposti a una revisione completa dell’adeguata verifica. Se il paese P esce dalla lista, il suo punteggio scende a 4 e la modifica viene documentata e approvata, non applicata senza comunicarlo.

Ogni plenaria dovrebbe comportare una revisione dell’esposizione, non soltanto un aggiornamento della tabella:

-- Clienti attivi e VASP controparte collegati ai paesi appena inseriti in lista
SELECT 'customer' AS party_type, c.customer_id AS party_id, c.residence_country AS country
FROM customers c
JOIN country_list_changes l ON l.country_code = c.residence_country
WHERE l.change_date = DATE '2026-06-19' AND l.new_status <> 'none' AND c.status = 'active'
UNION ALL
SELECT 'vasp', v.vasp_id, v.license_country
FROM counterparty_vasps v
JOIN country_list_changes l ON l.country_code = v.license_country
WHERE l.change_date = DATE '2026-06-19' AND l.new_status <> 'none';

La query unisce una tabella delle modifiche alle liste avvenute in una plenaria ai clienti in base al paese di residenza e ai VASP controparte in base al paese di autorizzazione, restituendo un’unica lista operativa. Una revisione reale confronterebbe anche la nazionalità, la geolocalizzazione IP e i paesi verso cui i clienti inviano fondi; la sintassi dei valori letterali di data varia leggermente da un motore all’altro.

Focus sull'esame: cos’è e cosa non è il FATF (un organismo intergovernativo che definisce standard, con nove FSRB e tre plenarie l’anno); gli Standard, costituiti dalle Raccomandazioni, dalle Note interpretative e dal Glossario, e il modo in cui sono raggruppate le Raccomandazioni; i giudizi di conformità tecnica (C, LC, PC, NC) rispetto ai giudizi di efficacia basati su 11 Risultati immediati (da Alto a Basso), con i VASP nell’IO.3 secondo la Metodologia 2022; il quinto ciclo (dal 2024, con cadenza sessennale e maggior peso attribuito all’efficacia) e il monitoraggio regolare rispetto a quello rafforzato; la procedura ICRG e la differenza tra la lista di monitoraggio rafforzato e la lista con invito ad agire, comprese le contromisure della R.19 e la posizione del FATF sulla riduzione del rischio; il modo in cui lo stato nelle liste e i giudizi delle valutazioni confluiscono nel punteggio di rischio paese e attivano revisioni dopo ogni plenaria.