Adeguata verifica della clientela e valutazione del rischio · Lezione 4 di 5
Adeguata verifica rafforzata e semplificata
9 min di lettura
L’approccio basato sul rischio opera in entrambe le direzioni: maggiori controlli dove il rischio è più elevato, minori dove è dimostrabilmente più basso. L’adeguata verifica rafforzata è l’ambito in cui un team di compliance esercita maggiormente il proprio giudizio e, nel settore crypto, la domanda più difficile è di solito «da dove provengono queste monete?». Le misure semplificate sono altrettanto importanti, perché applicare procedure complete a ogni cliente a basso rischio spreca risorse ed esclude persone che gli standard intendono proteggere.
Quando è richiesta l’adeguata verifica rafforzata
| Fattore che la determina | Fonte nello standard FATF | Cosa richiede |
|---|---|---|
| Paesi a rischio più elevato | Raccomandazione 19 | Adeguata verifica rafforzata, proporzionata al rischio, per rapporti e transazioni con persone provenienti dai paesi per i quali la FATF la richiede; contromisure laddove la FATF le richieda |
| Persone politicamente esposte straniere | Raccomandazione 12 | Sempre: approvazione dell’alta dirigenza, misure ragionevoli per accertare l’origine del patrimonio e l’origine dei fondi, monitoraggio continuativo rafforzato |
| PEP nazionali e di organizzazioni internazionali | Raccomandazione 12 | Misure ragionevoli per identificarle; le stesse misure previste per le PEP straniere quando il rapporto presenta un rischio più elevato |
| Clienti, prodotti e attività a rischio più elevato | Raccomandazione 10, INR.10 | Adeguata verifica rafforzata quando la valutazione dell’impresa o il punteggio del cliente indica un rischio più elevato |
La FATF pubblica due elenchi pubblici (vedi la lezione La FATF e lo standard globale). Per le giurisdizioni ad alto rischio soggette a un invito ad agire, richiede un’adeguata verifica rafforzata e, nei casi più gravi, contromisure. Per le giurisdizioni sottoposte a monitoraggio rafforzato, non richiede l’adeguata verifica rafforzata, ma invita le imprese a tenere conto dell’inserimento nell’elenco nelle proprie valutazioni del rischio. Confondere i due elenchi è un errore comune.
Le misure relative alle PEP si estendono a familiari e stretti collaboratori. Le Linee guida FATF sulle persone politicamente esposte (giugno 2013) affermano che la durata del periodo in cui un ex titolare di una carica è considerato PEP dovrebbe essere determinata in base al rischio, non a un limite temporale fisso. I controlli devono riguardare i titolari effettivi oltre che i clienti.
Tra i fattori tipici che, secondo l’approccio basato sul rischio, determinano un’adeguata verifica rafforzata nel settore crypto rientrano: attività di trading OTC di valore elevato; trasferimenti frequenti da o verso wallet self-hosted; uso di privacy coin o mixer; clienti aziendali che sono essi stessi VASP, operatori del gioco d’azzardo o società di pagamento; strutture complesse (vedi la lezione Persone giuridiche e titolarità effettiva); ed esposizione on-chain significativa a categorie ad alto rischio. INR.10 aggiunge esempi generali, come clienti non residenti, imprese che operano prevalentemente in contanti, azionisti fiduciari e circostanze insolite.
L’adeguata verifica rafforzata non sostituisce la segnalazione. Se i fatti configurano un sospetto, l’impresa presenta una segnalazione di operazione sospetta; non si limita a raccogliere altri documenti.
Come si presenta l’adeguata verifica rafforzata
INR.10 elenca esempi di misure applicabili direttamente da un’impresa crypto:
- ottenere più informazioni sul cliente (professione, volume degli asset, fonti pubbliche) e sulla natura prevista del rapporto;
- accertare l’origine dei fondi e l’origine del patrimonio;
- ottenere le motivazioni delle transazioni previste o completate;
- ottenere l’approvazione dell’alta dirigenza per avviare o proseguire il rapporto;
- rafforzare il monitoraggio, aumentando la frequenza dei controlli e selezionando schemi di transazione da esaminare;
- richiedere che il primo pagamento provenga da un conto intestato al cliente presso un istituto che applica standard di adeguata verifica della clientela analoghi.
Le misure aggiuntive specifiche per il settore crypto includono la prova che il cliente controlli gli indirizzi da cui effettua i depositi (vedi la lezione Wallet non custodial e trasferimenti self-hosted), l’esame da parte di un analista della cronologia on-chain di quei wallet, limiti inferiori fino al completamento del fascicolo e cicli di revisione più brevi.
Origine dei fondi e origine del patrimonio
Le FAQ del Wolfsberg Group sull’origine del patrimonio e sull’origine dei fondi (2020, redatte per il private banking e la gestione patrimoniale) tracciano una distinzione adottata dalla maggior parte delle imprese:
- L’origine del patrimonio (SoW) indica come il cliente ha accumulato il proprio patrimonio netto complessivo: stipendio, un’impresa, un’eredità, guadagni da investimenti, disponibilità crypto acquisite precocemente.
- L’origine dei fondi (SoF) indica la provenienza degli asset specifici utilizzati nel rapporto o nella transazione: questi 40 BTC, questo bonifico di 2 milioni di USD.
La SoF è più circoscritta e più facile da documentare. La SoW serve a stabilire se il patrimonio complessivo del cliente è coerente con la sua situazione personale. Una PEP straniera deve fornire entrambe; un trader con volumi elevati e un profilo ordinario potrebbe dover documentare solo la SoF per i depositi consistenti.
Documentare il patrimonio crypto on-chain
Le crypto danno origine a storie patrimoniali per le quali le procedure tradizionali sulla SoW non erano state concepite. Il vantaggio è che gran parte delle prove è pubblica e munita di data e ora.
| Origine dichiarata | Cosa richiedere | Verifiche on-chain | Segnali di allarme |
|---|---|---|---|
| Mining | Prospetti dei pagamenti del pool, contratti di hosting o di fornitura elettrica, fatture dell’hardware | Pagamenti provenienti da indirizzi attribuiti al pool, oppure output coinbase per il mining in solitaria, con date e importi coerenti con l’hash rate dichiarato | Monete «minate» che arrivano da un exchange o da un mixer; pagamenti molto superiori a quelli che l’attrezzatura avrebbe potuto produrre |
| Disponibilità detenute fin dagli esordi | Estratti conto o e-mail di vecchi exchange, bonifici bancari verso l’exchange, backup dei wallet | Prima data di finanziamento dell’indirizzo, prezzo a quella data e prova del controllo tramite un messaggio firmato | Nessuna prova del controllo; monete rimaste inattive per anni e poi passate attraverso un mixer poco prima del deposito |
| Redditi DeFi | Indirizzi dei wallet utilizzati, posizioni nei protocolli, dichiarazioni fiscali o report di portafoglio | Depositi nei protocolli, riscatti dei premi e prelievi di liquidità che quadrano con il capitale e il rendimento dichiarati | «Rendimenti» che in realtà sono trasferimenti in entrata senza relazione; collegamenti a un protocollo sfruttato o al suo attaccante |
| Airdrop | Spiegazione dei criteri di idoneità, transazioni di riscossione | Una riscossione dal contratto del distributore all’indirizzo del cliente, valutata alla data della riscossione | Centinaia di wallet che riscuotono e consolidano i fondi in uno solo (schema spesso chiamato Sybil), segnale di controllo di più wallet che richiede una spiegazione |
Un metodo pratico:
- Registrare la dichiarazione del cliente con le sue parole, includendo importi e date.
- Raccogliere i documenti off-chain implicati dalla dichiarazione.
- Ottenere la prova del controllo di ogni indirizzo su cui si basa la ricostruzione.
- Tracciare il percorso dall’origine dichiarata al deposito, annotando ogni passaggio e ogni eventuale servizio intermedio (i metodi di tracciamento sono trattati nel corso IDFE-BA).
- Verificare la coerenza degli importi e dei valori alle date pertinenti, utilizzando una fonte documentata di prezzi storici.
- Redigere una conclusione che specifichi cosa è provato, cosa è plausibile ma non dimostrato e quali aspetti restano da chiarire.
Lo standard è la ragionevole plausibilità, non la certezza. Un miner del 2013 raramente dispone di tutte le fatture, ma la cronologia on-chain può comunque confermare o contraddire la sua ricostruzione.
Caso svolto. Il signor R, un cliente immaginario, deposita 40 BTC e dichiara di averli minati nel 2013 e nel 2014. Firma un messaggio con la chiave dell’indirizzo mittente. L’analista ne ricostruisce il percorso: nel 2014 le monete sono state consolidate a partire da molti piccoli output inviati da un indirizzo attribuito a un noto pool di mining e non sono state più spostate fino al mese scorso. I pagamenti del pool sono coerenti con l’impiego di alcuni macchinari dedicati al mining dell’epoca e il signor R fornisce un vecchio post su un forum e una ricevuta dell’hardware. Conclusione: SoF documentata on-chain, SoW plausibile; approvazione con monitoraggio standard. Se invece la tracciatura avesse mostrato che i 40 BTC provenivano da un exchange nel 2021, la storia del mining sarebbe risultata contraddetta e il fascicolo sarebbe stato sottoposto a esame approfondito.
Quando sono ammissibili le misure semplificate
L’adeguata verifica semplificata (SDD) è ammessa quando il rischio più basso è stato individuato mediante un’analisi adeguata condotta dal paese o dall’impresa. Nel febbraio 2025 la FATF ha modificato la Raccomandazione 1, la relativa Nota interpretativa e parti di INR.10 e INR.15, in modo che i paesi debbano consentire e incoraggiare esplicitamente le misure semplificate negli scenari a rischio più basso; inoltre, ha sostituito «commisurato» con «proporzionato» in tutte le Raccomandazioni. Ora ci si aspetta che gli organi di vigilanza verifichino che le imprese non applichino controlli eccessivi.
INR.10 fornisce esempi di misure semplificate:
- verificare l’identità dopo l’avvio del rapporto;
- aggiornare meno spesso i dati del cliente;
- ridurre l’intensità del monitoraggio continuativo, per esempio utilizzando una soglia monetaria;
- dedurre lo scopo e la natura del rapporto dal tipo di prodotto, anziché raccogliere informazioni specifiche.
Per un VASP, ciò potrebbe significare un livello con limiti bassi, l’utilizzo di un livello di garanzia inferiore come suggerito dalle Linee guida FATF sull’identità digitale per l’adeguata verifica della clientela a livelli, con piccoli depositi in valuta fiat, limiti mensili bassi e prelievi consentiti solo verso un conto intestato al cliente, e un’adeguata verifica completa al raggiungimento dei limiti. La SDD identifica comunque il cliente. Non è mai ammessa in presenza di un sospetto di riciclaggio o finanziamento del terrorismo, né quando si applicano specifici scenari a rischio più elevato.
Focus sull’esame: i fattori che determinano l’adeguata verifica rafforzata ai sensi di R.19, R.12 e INR.10, e la differenza tra i due elenchi pubblici della FATF; le misure relative alle PEP, inclusi familiari, stretti collaboratori e trattamento degli ex PEP basato sul rischio; gli esempi di misure di adeguata verifica rafforzata di INR.10 e le aggiunte specifiche per il settore crypto; la distinzione tra origine del patrimonio e origine dei fondi; la documentazione on-chain di mining, disponibilità detenute fin dagli esordi, redditi DeFi e airdrop, con i relativi segnali di allarme; il metodo in sei passaggi per la SoW e la SoF e lo standard di plausibilità; i casi in cui sono ammissibili le misure semplificate, le modifiche del febbraio 2025 sulla proporzionalità e perché la SDD non è mai consentita in presenza di un sospetto.