Altri organismi e standard internazionali

Il FATF stabilisce lo standard AML/CFT, ma non è l’unico organismo internazionale con cui entra in contatto un team di conformità in ambito crypto. La banca che detiene i conti fiat di un VASP segue le linee guida del Comitato di Basilea e le prassi del Wolfsberg Group; l’unità di informazione finanziaria (UIF) che riceve le sue segnalazioni coopera all’estero tramite il Gruppo Egmont; e le convenzioni dell’ONU sono alla base di tutto. Sapere quali documenti produce ciascun organismo e quale peso hanno aiuta a comprendere molte delle domande rivolte a un VASP.

Il livello ONU e l’UNODC

Le fondamenta giuridiche dell’AML/CFT sono un insieme di convenzioni dell’ONU alle quali R.36 richiede che i paesi aderiscano e che attuino:

• la Convenzione di Vienna (1988) sul traffico illecito di stupefacenti, che per la prima volta ha imposto la criminalizzazione del riciclaggio dei proventi del traffico di droga;
• la Convenzione internazionale per la repressione del finanziamento del terrorismo (1999);
• la Convenzione di Palermo (2000) contro la criminalità organizzata transnazionale;
• la Convenzione delle Nazioni Unite contro la corruzione (Merida, 2003).

Le risoluzioni del Consiglio di sicurezza delle Nazioni Unite istituiscono le sanzioni finanziarie mirate che R.6 e R.7 attuano, trattate nella lezione Come funzionano le sanzioni.

L’Ufficio delle Nazioni Unite contro la droga e il crimine (UNODC) è il custode delle convenzioni in materia di droga, criminalità e corruzione. Il suo Programma globale contro il riciclaggio di denaro fornisce assistenza tecnica, modelli legislativi e formazione, anche sulle indagini relative agli asset virtuali, ai paesi con meno risorse. L’UNODC sviluppa anche goAML, un sistema di segnalazione usato da molte UIF per ricevere segnalazioni di operazioni sospette; perciò, spesso le segnalazioni di un VASP devono rispettarne il formato strutturato. L’UNODC è un osservatore del FATF.

Il Gruppo Egmont delle UIF

Il Gruppo Egmont, fondato nel 1995 al Palazzo Egmont di Bruxelles, mette in collegamento le unità di informazione finanziaria: i centri nazionali che ricevono e analizzano le segnalazioni di operazioni sospette e trasmettono le informazioni alle autorità (R.29). I suoi membri coprono la maggior parte delle giurisdizioni del mondo. Non svolge indagini; fornisce il canale e le regole affinché le UIF possano collaborare:

• l’Egmont Secure Web, un sistema cifrato per le richieste tra UIF e le comunicazioni spontanee;
• i Principi per lo scambio di informazioni tra UIF, la cui versione riveduta è stata approvata nel 2025 e che riguardano reciprocità, riservatezza e uso delle informazioni esclusivamente per lo scopo concordato;
• i requisiti di adesione, che dal 2025 includono formalmente l’autonomia e l’indipendenza operativa delle UIF.

Per un VASP, Egmont chiarisce tre aspetti. Una segnalazione presentata in un paese può raggiungere la UIF del paese della controparte nel giro di pochi giorni. Una UIF può inviare una richiesta di chiarimenti successiva, sollecitata dalla domanda di una UIF estera, e il VASP deve trattarla con la stessa riservatezza riservata alla propria segnalazione. Inoltre, Egmont pubblica tipologie e casi di studio, anche sugli asset virtuali e sul finanziamento del terrorismo, che dovrebbero essere inclusi nella raccolta di tipologie dell’impresa. Gli obblighi di segnalazione sono trattati nella lezione Obblighi di segnalazione delle operazioni sospette.

Il Comitato di Basilea

Il Comitato di Basilea per la vigilanza bancaria (BCBS) elabora standard prudenziali per le banche attive a livello internazionale. Il suo documento AML/CFT è Sound management of risks related to money laundering and financing of terrorism, pubblicato per la prima volta nel gennaio 2014 e rivisto nel febbraio 2016, giugno 2017 e luglio 2020:

Le giurisdizioni che scelgono di adottarle applicano le linee guida su base volontaria, ma le autorità di vigilanza bancaria le utilizzano; pertanto, la revisione di un cliente VASP da parte di una banca ne segue la logica. Separatamente, lo standard prudenziale del Comitato sull’esposizione delle banche agli asset crypto definisce requisiti patrimoniali e limiti che influiscono sulla quantità di attività crypto che una banca è disposta ad accettare.

Il Wolfsberg Group

Il Wolfsberg Group è un’associazione di grandi banche globali che pubblica, sulla base del consenso, linee guida in materia di criminalità finanziaria. I suoi documenti non sono leggi, ma le banche li considerano standard di settore e molte autorità di vigilanza li citano. Quelli più rilevanti per i VASP sono:

• il Questionario di due diligence sul correspondent banking (CBDDQ) e il Questionario sulla conformità in materia di criminalità finanziaria (FCCQ), entrambi nelle versioni aggiornate del 2023: questionari standard che le banche inviano ai clienti istituzioni finanziarie;
• i Principi sulla criminalità finanziaria per il correspondent banking (2022) e gli Standard di trasparenza dei pagamenti (2023);
• la Dichiarazione sul monitoraggio efficace delle attività sospette, Parte I (2024) e Parte II (2025), che incoraggia a superare il monitoraggio delle operazioni basato esclusivamente su regole;
• le FAQ sulla definizione di asset digitali (2024), un vocabolario condiviso per le banche;
• le Linee guida sulla fornitura di servizi bancari agli emittenti di stablecoin garantite da fiat (settembre 2025).

Le linee guida sulle stablecoin mostrano chiaramente il punto di vista della banca. Distinguono tra conti operativi, di riserva e di regolamento, indicano i conti di regolamento come quelli con il rischio di criminalità finanziaria più elevato tra i tre, considerano la capacità dell’emittente di congelare i token collegati a wallet soggetti a sanzioni un fattore di base e chiedono alla banca di verificare che l’emittente operi entro la propria propensione al rischio dichiarata, anziché monitorare ogni utente finale.

Riferimenti a IOSCO e FSB

Altri due organismi sono rilevanti soprattutto al di fuori dell’ambito AML. L’Organizzazione internazionale delle commissioni sui valori mobiliari (IOSCO) ha pubblicato 18 raccomandazioni di policy per i mercati crypto e degli asset digitali nel novembre 2023, seguite da nove raccomandazioni per la DeFi nel dicembre 2023; la sua raccomandazione sulla sorveglianza prevede che le piattaforme di negoziazione combinino il monitoraggio degli abusi di mercato con la segnalazione di attività sospette e i controlli AML. Il Consiglio per la stabilità finanziaria (FSB) ha emanato raccomandazioni di alto livello sulle attività in crypto-asset e sugli accordi globali in materia di stablecoin nel luglio 2023 e ha coordinato il lavoro internazionale sul declino del correspondent banking. Entrambi hanno esaminato l’attuazione nell’ottobre 2025 e l’hanno giudicata disomogenea.

Rapporti bancari e de-risking

Un VASP ha bisogno di banche per depositi e prelievi in fiat, conti operativi e, nel caso degli emittenti di stablecoin, riserve. Molte banche hanno reagito al rischio crypto con il de-risking: chiudendo i conti o rifiutando intere categorie di clienti. Il FATF ha ripetutamente affermato che i suoi standard prevedono un approccio basato sul rischio e non si aspettano che le imprese escludano intere categorie di clienti. Le sue Linee guida sui servizi di correspondent banking dell’ottobre 2016 hanno inoltre chiarito che lo standard non impone a una banca di svolgere due diligence sui clienti dei propri clienti («conoscere il cliente del proprio cliente»); la banca deve comprendere i controlli del cliente e monitorare il rapporto.

È proprio questo che la banca vuole sapere di un VASP: i suoi controlli sono sufficientemente solidi da consentire alla banca di farvi affidamento, monitorando al contempo i flussi? Un VASP che prepara un fascicolo di due diligence bancaria fornisce le risposte prima ancora che gli vengano richieste:

1. licenza o registrazione, con le relative condizioni, e la corrispondenza più recente con le autorità di vigilanza che l’impresa può condividere;
2. questionario in stile CBDDQ o FCCQ compilato e firmato dal responsabile della conformità;
3. sintesi della valutazione dei rischi a livello aziendale e dichiarazione di propensione al rischio;
4. politiche AML/CFT e sulle sanzioni, compresi i controlli di geolocalizzazione e le fonti degli elenchi;
5. descrizione della copertura degli strumenti di analisi della blockchain, della Travel Rule e del monitoraggio delle operazioni;
6. ultima relazione di revisione indipendente e stato delle constatazioni ancora aperte;
7. attività prevista sul conto: volumi, valute, controparti e indicazione dell’eventuale autorizzazione di pagamenti di terzi.

Un caso pratico. A una banca viene chiesto di aprire conti per un exchange fittizio, Fernhill. Fernhill dispone di una licenza, ha superato una revisione indipendente senza rilievi e controlla ogni indirizzo di deposito, ma vuole consentire ai clienti di effettuare versamenti da conti bancari di terzi. La banca individua un rischio di nested: i fondi di persone che Fernhill non ha identificato transiterebbero sul conto della banca stessa. La banca accetta di aprire i conti per Fernhill a condizione che i pagamenti fiat provengano solo da conti intestati ai clienti, verificati tramite corrispondenza dei nomi, e che Fernhill invii mensilmente informazioni gestionali su volumi, alert e segnalazioni presentate. La decisione gestisce un rischio specifico anziché rifiutare un intero settore.

Focus sull'esame: le quattro convenzioni dell’ONU alla base di R.36 e il ruolo dell’UNODC, compreso goAML; lo scopo del Gruppo Egmont, l’Egmont Secure Web e i Principi per lo scambio di informazioni, nonché le implicazioni della cooperazione tra UIF per un VASP; le linee guida del Comitato di Basilea sulla gestione efficace dei rischi di riciclaggio e finanziamento del terrorismo e le novità introdotte dalle revisioni successive; lo status del Wolfsberg Group e il suo CBDDQ, l’FCCQ, le dichiarazioni sul monitoraggio e le linee guida del 2025 per gli emittenti di stablecoin; le raccomandazioni di IOSCO e FSB come riferimenti; la posizione del FATF sul de-risking e sul «conoscere il cliente del proprio cliente»; quali informazioni un VASP dovrebbe fornire a una banca per ottenere e mantenere i conti e il rischio nested.