Standard globali AML/CFT e quadri normativi · Lezione 5 di 5
Vigilanza, ispezioni e azioni di contrasto
10 min di lettura
Il programma AML/CFT di un VASP viene giudicato in ultima analisi dalla sua autorità di vigilanza e, nei casi più gravi, dai pubblici ministeri. Sapere come le autorità di vigilanza scelgono chi sottoporre a ispezione, quali documenti richiedono e quali carenze hanno portato alle maggiori sanzioni pubbliche consente a un responsabile della conformità di preparare le prove prima che vengano richieste e correggere le debolezze prima che diventino rilievi.
Vigilanza basata sul rischio
Il paragrafo 5 di INR.15 richiede che i VASP siano sottoposti alla vigilanza di un'autorità competente dotata del potere di effettuare ispezioni, richiedere informazioni e irrogare sanzioni. La Guidance on Risk-Based Supervision del GAFI (4 marzo 2021) spiega come procedere: le autorità di vigilanza dovrebbero comprendere i rischi di ogni settore e di ogni impresa, destinare le risorse ai rischi più elevati, scegliere gli strumenti più adatti e aggiornare la propria valutazione al mutare dei rischi. Dalla revisione di R.1 del febbraio 2025, le autorità di vigilanza devono anche tenere conto delle misure di mitigazione già applicate dalle imprese, affinché quelle a rischio più basso non siano sottoposte a una vigilanza eccessiva.
In pratica, un'autorità di vigilanza valuta ogni VASP in base al rischio intrinseco (base clienti, prodotti, volumi, esposizione a servizi e paesi ad alto rischio) e alla qualità dei suoi controlli, spesso sulla base dei dati trasmessi e delle ispezioni precedenti. La combinazione determina con quale frequenza e quanto in profondità viene esaminata l'impresa.
| Strumento | Che cos'è | Quando viene utilizzato |
|---|---|---|
| Rendicontazione periodica dei dati | Dati standard trasmessi da ogni impresa | Sempre; alimenta il modello di rischio |
| Verifica documentale | Esame di documenti e dati senza visita in loco | Imprese a rischio più basso, verifica successiva dei rilievi |
| Ispezione completa | Esame in loco dell'intero programma | Imprese a rischio più elevato, secondo una periodicità prestabilita |
| Verifica tematica | Un argomento esaminato presso molte imprese (per esempio la Travel Rule o l'onboarding dei clienti) | Questioni di interesse per l'intero settore |
| Ispezione mirata | Una questione presso una singola impresa | Dopo un reclamo, un incidente o una notizia sui media |
| Analisi svolte direttamente dall'autorità di vigilanza | Analisi della blockchain e transazioni di prova condotte dall'autorità di vigilanza | Per verificare i dati sull'esposizione o rilevare attività senza licenza |
Nel giugno 2025 il GAFI ha pubblicato Best Practices on Travel Rule Supervision, un utile riferimento per capire cosa è probabile che le autorità di vigilanza verifichino nel processo di un VASP relativo alla Travel Rule.
Richieste di dati e rendicontazioni regolamentari
Le rendicontazioni di vigilanza confrontano le imprese tra loro e con i propri dati passati, quindi una variazione non spiegata suscita domande. Una rendicontazione semplificata potrebbe includere:
{
"reporting_period": "2026-H1",
"customers_active": 412300,
"customers_by_risk": { "low": 301200, "medium": 98400, "high": 12700 },
"deposits_value_usd": 2850000000,
"share_inflows_high_risk_services": 0.012,
"travel_rule_transfers_out": 186500,
"travel_rule_missing_data_rate": 0.031,
"monitoring_alerts_closed": 25840,
"suspicious_reports_filed": 642,
"sanctions_freezes": 3,
"compliance_staff_fte": 38
}Ogni dato dovrebbe provenire da una query documentata e corrispondere a quanto la direzione riferisce al consiglio di amministrazione. Se l'autorità di vigilanza rileva 642 segnalazioni su 25.840 alert chiusi, chiederà quanti alert sono stati inoltrati a un livello superiore e perché gli altri sono stati chiusi; se rileva un tasso del 3,1% di dati mancanti nei trasferimenti soggetti alla Travel Rule, chiederà che cosa è successo a quei trasferimenti. Se l'impresa non è in grado di riprodurre un dato, la rendicontazione stessa diventa un rilievo.
L'ispezione
Un'ispezione in loco o da remoto segue di solito le stesse fasi:
- Notifica e richiesta di documenti: politiche, valutazione dei rischi, verbali del consiglio di amministrazione, organigrammi, informazioni direzionali, rapporti di audit, estratti di dati.
- Colloqui e analisi dei processi: membri del consiglio, responsabile della conformità, personale operativo, di prodotto e tecnologico, che spiegano come funziona effettivamente un processo.
- Verifica di un campione: fascicoli dei clienti, alert, segnalazioni, messaggi relativi alla Travel Rule e corrispondenze con le liste di sanzioni, selezionati dagli esaminatori.
- Verifica dei sistemi: configurazione dello screening, registri degli aggiornamenti delle liste, inventario delle regole di monitoraggio e registri delle relative regolazioni.
- Lettera sui rilievi e risposta: l'impresa risponde a ogni rilievo con un piano di risanamento, responsabili e scadenze.
| Gli esaminatori richiedono | Prove che li soddisfano |
|---|---|
| La valutazione del rischio a livello dell'intera impresa | Un documento datato e approvato dal consiglio di amministrazione, collegato a controlli specifici e aggiornato dopo l'introduzione di nuovi prodotti |
| Un campione di fascicoli di clienti ad alto rischio | Identità verificata, prove dell'origine dei fondi, approvazione del livello competente, rispetto delle scadenze delle revisioni |
| Copertura del monitoraggio | Un inventario delle regole collegato alle tipologie di rischio, con registri delle regolazioni e test sotto soglia |
| Decisioni sugli alert | Una motivazione scritta per ogni chiusura e i risultati dei controlli di qualità |
| Decisioni sulle segnalazioni | Un registro delle decisioni che includa anche quelle di non segnalare, con le relative motivazioni |
| Controlli sulle sanzioni | Impostazioni dello screening, data e ora degli aggiornamenti delle liste, prove del blocco basato sulla geolocalizzazione |
| Governance | Verbali del consiglio di amministrazione che mostrino le contestazioni, le informazioni direzionali e le decisioni sulle risorse |
Il principio è semplice: un controllo privo di prove sarà considerato un controllo inesistente.
Rilievi che ricorrono nelle azioni pubbliche di contrasto
I casi pubblici che hanno coinvolto imprese crypto in molte regioni mostrano le stesse carenze, più e più volte. Sono descritte qui in base a ciò che è venuto meno e al tipo di conseguenza, non alla legge applicabile.
| Carenza | Esempi pubblici | Conseguenza | Controllo che la previene |
|---|---|---|---|
| KYC assente o debole | Stati Uniti, inizio 2025: due exchange avevano permesso per anni ai clienti retail di operare senza controlli d'identità. Corea del Sud, 2025: il maggiore exchange nazionale aveva centinaia di migliaia di verifiche non andate a buon fine e decine di migliaia di trasferimenti con fornitori esteri non registrati | Dichiarazioni di colpevolezza, sanzioni e, per un exchange, uscita dal mercato per due anni; divieto di tre mesi di accettare nuovi clienti che trasferissero crypto in entrata o in uscita e provvedimenti disciplinari nei confronti dei dirigenti | Verifica prima di qualsiasi deposito o operazione; risanamento dei conti preesistenti; controlli sulle controparti |
| Monitoraggio interrotto senza segnalazione | Irlanda, 2025: errori di configurazione avevano lasciato senza monitoraggio circa un terzo delle transazioni di un'impresa per circa un anno e il recupero dell'arretrato aveva prodotto migliaia di segnalazioni tardive | Sanzione pecuniaria e censura | Riconciliazioni di completezza e test dopo ogni modifica delle regole |
| Segnalazioni mai presentate | Stati Uniti, 2025: un exchange ha ammesso di non aver mai presentato segnalazioni di attività sospette in un mercato in cui serviva circa 1,5 milioni di utenti | Dichiarazione di colpevolezza e uscita dal mercato | Una decisione sulla segnalazione per ogni caso inoltrato a un livello superiore |
| Violazione di una restrizione imposta dall'autorità di vigilanza | Regno Unito, 2024: un'impresa che aveva accettato di non acquisire clienti ad alto rischio ne aveva acquisiti oltre 13.000 | Sanzione pecuniaria | Controlli per ogni condizione imposta dall'autorità di vigilanza, verificati prima della messa in servizio |
| Politica solo sulla carta | Stati Uniti, 2023: la politica di un exchange vietava i clienti di un determinato paese, mentre il suo personale cercava di acquisirli | Parte di un accordo penale | Verifica dell'efficacia dei controlli, inclusi gli incentivi alle vendite |
| Violazioni delle sanzioni | Lituania, 2024, e diversi casi negli Stati Uniti (vedi Svolgere un programma di conformità alle sanzioni) | Sanzioni pecuniarie, commissari | Geolocalizzazione e screening dei wallet |
| Conformità in ritardo rispetto alla crescita | Giappone, 2018: dopo un furto ingente, le ispezioni hanno rilevato exchange i cui controlli interni, inclusi quelli AML/CFT, erano molto indietro rispetto alla crescita | Ordini di miglioramento dell'attività; sospensioni di un mese per due exchange | Limiti all'appetito di rischio collegati alla capacità della funzione di conformità |
L'attività senza licenza è spesso la prima accusa perché è la più facile da provare, ma le conseguenze si aggravano in base alle carenze AML che la accompagnano.
Misure di contrasto e risanamento
Le autorità di vigilanza dispongono di una serie graduata di misure, da utilizzare in base alla gravità della carenza e alla risposta dell'impresa: rilievi con scadenze, ordini formali di risanamento, restrizioni sui nuovi clienti o sui prodotti, sanzioni pecuniarie, sospensione o revoca della licenza e, nei casi penali, azioni giudiziarie contro l'impresa e le persone fisiche.
Un programma di risanamento credibile si articola in cinque parti:
- Analisi delle cause profonde: perché il controllo è venuto meno (progettazione, risorse, dati, cultura), non solo che cosa è venuto meno.
- Un piano con responsabili, tappe e supervisione del consiglio di amministrazione, comunicato all'autorità di vigilanza.
- Una revisione retrospettiva: riesame dei clienti o delle transazioni passate per il periodo in cui si è verificata la carenza, che spesso porta a presentare segnalazioni tardive di transazioni sospette e a decidere l'interruzione del rapporto.
- Convalida indipendente: l'audit interno o un revisore esterno verifica che ogni intervento correttivo funzioni prima di chiudere il rilievo.
- Sostenibilità: l'intervento correttivo diventa parte dei test ordinari (vedi Formazione, cultura e test indipendenti).
Nei casi più gravi, le autorità impongono un commissario indipendente, un esperto esterno che opera all'interno dell'impresa per diversi anni, verifica il programma e riferisce all'autorità, come nell'accordo statunitense del 2023 con il maggiore exchange al mondo. Una misura meno severa è un audit esterno obbligatorio: nel 2025 l'autorità di vigilanza australiana ne ha richiesto uno presso la filiale locale di un grande exchange, citando l'elevato ricambio del personale e la debole supervisione dei dirigenti locali. Altre imprese incaricano autonomamente un consulente in materia di conformità per dimostrare la propria buona fede.
Responsabilità personale
Il paragrafo 6 di INR.15 richiede che le sanzioni si applichino ai consiglieri e all'alta dirigenza, non soltanto all'impresa, e i casi pubblici lo dimostrano nella pratica. Negli Stati Uniti, nel 2023 il fondatore e amministratore delegato del maggiore exchange si è dichiarato colpevole di non aver mantenuto un programma AML efficace; nel 2022 i fondatori di un exchange di derivati si sono dichiarati colpevoli della stessa carenza e hanno pagato sanzioni pecuniarie a titolo personale; nel 2025 i fondatori di un altro exchange hanno ceduto fondi personali e hanno lasciato la dirigenza. In Corea del Sud, nel 2025 l'amministratore delegato del maggiore exchange nazionale ha ricevuto un richiamo formale e i responsabili della conformità e delle segnalazioni hanno rischiato provvedimenti di licenziamento.
Per il responsabile della conformità, la tutela deriva dalla documentazione. Segnalate per iscritto le debolezze significative, chiedete che le decisioni siano verbalizzate, registrate il dissenso quando il consiglio di amministrazione accetta un rischio nonostante il parere contrario e conservate le prove delle richieste di risorse. Un'autorità di vigilanza distingue tra un responsabile della conformità che ha lanciato l'allarme ed è stato contraddetto e uno che non ha detto nulla.
Focus sull'esame: che cosa significa vigilanza basata sul rischio (Guidance del GAFI del marzo 2021; il rischio intrinseco e la qualità dei controlli determinano frequenza e profondità) e quali strumenti utilizzano le autorità di vigilanza; perché le rendicontazioni dei dati devono essere riproducibili e riconciliarsi con quanto riferito al consiglio di amministrazione; le fasi di un'ispezione e le prove che soddisfano gli esaminatori; le carenze ricorrenti nelle azioni pubbliche di contrasto in molte regioni (KYC debole, malfunzionamenti del monitoraggio non rilevati, segnalazioni non presentate, violazioni delle condizioni imposte dall'autorità di vigilanza, politiche solo sulla carta, violazioni delle sanzioni, conformità in ritardo rispetto alla crescita); la serie graduata delle misure di contrasto e la gamma delle conseguenze; le cinque parti di un programma di risanamento, le revisioni retrospettive e i commissari indipendenti; la responsabilità personale di consiglieri e alta dirigenza ai sensi di INR.15 e le modalità con cui un responsabile della conformità può tutelarsi.