Come i regimi nazionali attuano lo standard

Il FATF stabilisce uno standard unico, ma i VASP sono soggetti alla vigilanza prevista dalle leggi nazionali che lo attuano in modi diversi. Un’impresa che serve clienti in più Paesi deve sapere quali obblighi sono comuni, in quali aspetti i Paesi divergono e quale regola prevale quando due norme entrano in conflitto. Questa lezione presenta gli elementi comuni, le variazioni tipiche e un metodo ripetibile per mappare gli obblighi AML/CFT nei diversi Paesi.

Dallo standard alla norma nazionale

Gli standard FATF vincolano i Paesi, non le imprese. Un Paese li attua attraverso tre livelli, che i valutatori considerano in modo diverso:

• Legge: leggi approvate dal legislatore, che definiscono i reati, i poteri e i principali obblighi.
• Strumenti vincolanti: regolamenti, norme o istruzioni vincolanti emanati da un’autorità competente, con sanzioni in caso di violazione. Il FATF riconosce che molte misure preventive si collocano a questo livello.
• Orientamenti: indicazioni di vigilanza, FAQ e documenti sulle tipologie, che spiegano le aspettative ma non sono di per sé vincolanti.

Chi si occupa di conformità ha bisogno di tutti e tre i livelli. La legge indica cosa è richiesto, gli strumenti vincolanti di solito indicano come attuarlo e gli orientamenti spiegano cosa l’autorità di vigilanza verificherà durante un’ispezione.

Il FATF lascia ai Paesi scelte concrete: se concedere licenze ai VASP, registrarli o vietarli; se richiedere licenze ai VASP esteri che servono i residenti; quale autorità debba esercitare la vigilanza; e se applicare le soglie facoltative previste dallo standard. Queste scelte determinano la maggior parte delle differenze tra i regimi.

Gli elementi comuni

A prescindere dal nome, i regimi AML/CFT per i VASP sono costituiti dagli stessi elementi, ciascuno riconducibile a una parte dello standard.

Poiché ogni elemento ha un riferimento nel FATF, un’impresa può usare lo standard come struttura comune e aggiungervi i dettagli di ciascun Paese.

Dove i regimi differiscono tipicamente

Le differenze si concentrano in un insieme prevedibile di parametri:

• Approccio normativo: licenza completa, registrazione ai soli fini AML o divieto. Il FATF consente il divieto, ma nel suo aggiornamento mirato del 2026 avverte che un divieto non applicato lascia l’attività senza vigilanza.
• Applicazione ai VASP esteri: alcuni Paesi concedono licenze solo alle imprese costituite localmente; altri richiedono una licenza a chiunque serva i propri residenti.
• Soglia e dati della Travel Rule: nessuna soglia, la soglia de minimis FATF di 1.000 USD/EUR o un altro importo; dati completi o ridotti al di sotto della soglia; obbligo o meno di verificare i dati dell’ordinante.
• Wallet self-hosted: registrare solo la controparte, verificare la titolarità oltre una soglia o limitare i trasferimenti.
• DeFi e altre attività di confine: se gli accordi DeFi, le piattaforme NFT, gli emittenti di stablecoin o gli operatori di ATM crypto rientrino nell’ambito di applicazione.
• Segnalazioni: termini e formati delle segnalazioni di operazioni sospette e presenza o meno di segnalazioni basate su soglie.
• Conservazione e dati: periodi di conservazione superiori a cinque anni, localizzazione dei dati e norme sulla protezione dei dati che limitano la condivisione.
• Liste di sanzioni: ovunque le liste ONU, oltre alle liste autonome di ciascun Paese.

Per esempio, l’UE ha attuato lo standard attraverso regolamenti validi a livello regionale che disciplinano insieme le licenze e i trasferimenti di crypto-attività, mentre gli Stati Uniti si affidano a norme federali sui servizi di trasferimento di denaro combinate con licenze a livello statale. Molte altre giurisdizioni adottano regimi specifici per i VASP, tra cui Brasile, Canada, Hong Kong, Giappone, Singapore, Sudafrica, Corea del Sud, Svizzera ed Emirati Arabi Uniti, ciascuno con le proprie scelte sui parametri indicati sopra.

Un metodo per mappare gli obblighi nei diversi Paesi

Un registro degli obblighi risponde a una domanda diversa da una mappa delle licenze: non «possiamo servire questo Paese?», ma «cosa dobbiamo fare esattamente per i clienti di quel Paese e come possiamo dimostrarlo?». Si può creare in cinque passaggi.

1. Definire la base di riferimento. Elencare gli obblighi previsti dagli Standard FATF, ciascuno con un identificativo collegato alla relativa fonte (per esempio R10-OCC per l’adeguata verifica della clientela nelle operazioni occasionali). Questo catalogo è uguale per tutti i Paesi.
2. Registrare le differenze di ciascun Paese. Per ogni elemento della base, classificare la norma locale come uguale, più rigorosa, meno rigorosa, aggiuntiva (senza equivalente FATF) o assente, indicando il riferimento giuridico, il livello (legge, strumenti vincolanti o orientamenti) e la data di entrata in vigore.
3. Scegliere lo standard dell’impresa. Per ciascun elemento, decidere se applicare un unico standard globale, di solito la norma locale più rigorosa, oppure una variante locale per un Paese. Uno standard globale è più semplice da gestire e verificare; una variante locale può essere giustificata dai costi, dall’impatto sui clienti o da un conflitto giuridico.
4. Mappare controlli e prove. Collegare ogni elemento al controllo che lo attua, al responsabile, all’impostazione del sistema (per esempio una soglia nel motore della Travel Rule) e alle prove che un ispettore potrebbe richiedere.
5. Gestire i cambiamenti. Assegnare una data di revisione a ciascun Paese e avviare una revisione in caso di nuove leggi, orientamenti di vigilanza, esiti delle plenarie del FATF e nuovi prodotti.

Due regole pratiche aiutano nel terzo passaggio. Quando una norma locale è meno rigorosa del livello minimo FATF, per esempio se prevede un periodo di conservazione inferiore a cinque anni, applicare comunque il livello minimo: controparti, banche e future autorità di vigilanza valuteranno l’impresa rispetto a tale standard. Quando due norme entrano in conflitto, per esempio un obbligo di localizzazione dei dati e il monitoraggio a livello di gruppo previsto da R.18, registrare il conflitto, chiedere una consulenza legale e documentare la soluzione, invece di sceglierne una senza darne conto.

Esempio svolto: Paesi A, B e C

Un exchange fittizio, Larkspur, serve clienti in tre Paesi fittizi.

Le motivazioni alla base di ciascuna decisione vengono registrate. Inviare dati completi della Travel Rule ovunque costa poco ed elimina la necessità di instradare i trasferimenti in base al Paese. La verifica della titolarità viene applicata solo nel Paese C, perché negli altri Paesi aggiungerebbe difficoltà per i clienti senza un obbligo corrispondente. L’obiettivo di 24 ore rispetta tutte le scadenze, compresa quella più rigorosa. Il periodo di conservazione di tre anni previsto dal Paese B è inferiore al livello minimo FATF, quindi Larkspur conserva i dati per cinque anni anche per i clienti di B.

Una voce del registro per un singolo elemento potrebbe essere così:

{
  "obligation_id": "R11-RET",
  "baseline": "Keep CDD and transaction records for at least 5 years",
  "country": "C",
  "delta": "stricter",
  "local_rule": "10 years after the end of the relationship",
  "layer": "law",
  "effective_date": "2025-01-01",
  "firm_standard": "local_variant",
  "control": "Retention policy tag RET-10Y applied to C-resident accounts",
  "owner": "Head of Data Governance",
  "evidence": ["retention_config_export", "quarterly_purge_log"],
  "next_review": "2027-01-31"
}

La voce collega la norma locale alla relativa base FATF, specifica in che modo differisce, indica il controllo e il responsabile e elenca le prove che un ispettore richiederebbe. Filtrando il registro in base a delta si individua rapidamente dove si concentra l’esposizione dell’impresa alle differenze locali.

Focus sull’esame: la differenza tra legge, strumenti vincolanti e orientamenti; gli elementi comuni di un regime AML/CFT per i VASP e le relative fonti FATF; i parametri su cui i regimi differiscono tipicamente (approccio normativo, VASP esteri, soglia e dati della Travel Rule, wallet self-hosted, ambito DeFi, segnalazioni, conservazione, liste di sanzioni); il metodo in cinque passaggi basato sulla base di riferimento e sulle differenze per creare un registro degli obblighi; la scelta tra uno standard globale e una variante locale; l’applicazione del livello minimo FATF quando una norma locale è meno rigorosa e la documentazione dei conflitti tra norme.