Attuazione della Travel Rule · Lezione 1 di 5
La Raccomandazione 16 applicata agli asset virtuali
9 min di lettura
La Raccomandazione 16 è il punto in cui i dati dei clienti di un'attività crypto smettono di essere puramente interni. Ogni trasferimento verso un altro provider deve includere dati identificativi di entrambe le parti e ogni trasferimento in entrata deve essere verificato per controllare che li contenga. La maggior parte delle violazioni della Travel Rule deriva da un'interpretazione errata di chi debba fornire quali dati, del livello di verifica richiesto e del momento in cui debbano essere inviati.
Dai bonifici ai trasferimenti di asset virtuali
La Raccomandazione 16 è stata redatta per i bonifici bancari. Il paragrafo 7(b) della Nota interpretativa alla Raccomandazione 15 (INR.15) la estende agli asset virtuali. I VASP ordinanti devono ottenere e conservare le informazioni richieste e accurate sull'ordinante e le informazioni richieste sul beneficiario, trasmetterle al VASP o all'istituto finanziario del beneficiario «immediatamente e in modo sicuro» e metterle a disposizione delle autorità su richiesta. I VASP beneficiari devono ottenere e conservare le informazioni richieste sull'ordinante e le informazioni richieste e accurate sul beneficiario. Gli altri obblighi previsti dalla R.16 si applicano allo stesso modo: monitorare la presenza delle informazioni e congelare e vietare le transazioni con persone ed entità designate. Le banche e gli altri istituti finanziari che inviano o ricevono trasferimenti di asset virtuali per conto dei clienti hanno gli stessi obblighi.
La terminologia dei bonifici si applica alle criptovalute nel modo seguente:
| Termine relativo ai bonifici | Equivalente per gli asset virtuali |
|---|---|
| Istituto finanziario ordinante | VASP ordinante |
| Istituto finanziario intermediario | VASP intermediario che riceve e ritrasmette un trasferimento per un altro provider |
| Istituto finanziario del beneficiario | VASP beneficiario |
| Numero di conto | Indirizzo del wallet o conto usato per elaborare il trasferimento |
| Riferimento univoco della transazione | Riferimento che consente di tracciare il trasferimento quando non si usa un conto |
La FATF ha rivisto la Raccomandazione 16 stessa nel giugno 2025 e le modifiche entreranno in vigore entro la fine del 2030. Gli obblighi relativi agli asset virtuali continuano a essere interpretati alla luce del paragrafo 7(b) dell'INR.15 e delle linee guida della FATF sugli asset virtuali (ottobre 2021); gli elementi dei dati trattati in questa lezione sono quelli del testo precedente al 2025 descritto nelle linee guida. La R.16 rivista ne modifica alcuni, quindi verifica quale versione è stata recepita da un paese. La lezione La Raccomandazione 15 e la relativa Nota interpretativa tratta il resto dell'INR.15.
Dati richiesti e dati accurati
Due parole sono fondamentali. Le informazioni richieste sono l'elenco degli elementi di dati che devono accompagnare il trasferimento. Le informazioni accurate sono quelle che sono state verificate.
Oltre la soglia, le informazioni richieste sull'ordinante sono il nome dell'ordinante, il numero di conto (indirizzo del wallet) usato per elaborare il trasferimento oppure un riferimento univoco della transazione, e uno dei seguenti elementi: indirizzo fisico dell'ordinante, numero di identità nazionale, numero di identificazione del cliente oppure data e luogo di nascita. Le informazioni richieste sul beneficiario sono il nome del beneficiario e il numero di conto oppure il riferimento univoco della transazione.
L'asimmetria dipende da chi conosce chi:
- Il VASP ordinante ha verificato il proprio cliente, quindi i dati sull'ordinante che invia devono essere accurati. Il nome del beneficiario è quello inserito dal suo cliente; il VASP ordinante non può verificarlo e lo standard non glielo richiede.
- Il VASP beneficiario ha verificato il proprio cliente, quindi è responsabile dell'accuratezza dei dati sul beneficiario e può confrontare il nome del beneficiario in entrata con i propri archivi.
Una discrepanza nel nome rilevata dal VASP beneficiario è quindi il risultato previsto di un controllo, non un errore di sistema. Può rivelare un refuso, un cliente che invia denaro alla persona sbagliata oppure un conto usato da qualcuno che non ne è il titolare.
La soglia de minimis
Lo standard FATF consente ai paesi di applicare una soglia de minimis di USD/EUR 1.000. Al di sotto di tale soglia, un trasferimento deve comunque riportare i nomi dell'ordinante e del beneficiario e l'indirizzo del wallet o il riferimento univoco per ciascuno, ma i dati non devono essere verificati, salvo che vi sia il sospetto di riciclaggio di denaro o finanziamento del terrorismo. Le norme nazionali variano e alcune fissano una soglia inferiore o non ne prevedono alcuna.
Ne derivano due conseguenze operative. Una soglia incentiva il frazionamento: un cliente che effettua ripetutamente prelievi appena al di sotto della soglia verso la stessa destinazione dovrebbe far scattare il monitoraggio (vedi la lezione Segnali d'allarme e tipologie). Inoltre, una soglia espressa in valuta fiat applicata a un asset volatile richiede una fonte di prezzo e un momento di conversione definiti, altrimenti lo stesso trasferimento può ricadere da una parte o dall'altra della soglia. Per questo molte società inviano tutti i dati per ogni trasferimento verso un altro VASP e applicano un trattamento ridotto solo quando lo impone una norma locale.
Obblighi in base al ruolo
Il VASP ordinante conserva i dati sull'ordinante raccolti durante l'onboarding, acquisisce i dati sul beneficiario dal cliente al momento della richiesta di prelievo, effettua controlli su entrambi i nomi e trasmette l'insieme dei dati. La norma della FATF sui bonifici stabilisce che un istituto ordinante non dovrebbe eseguire un trasferimento non conforme. In pratica, nessun prelievo verso un altro VASP viene effettuato senza un insieme completo di dati e ogni messaggio è conservato in base all'obbligo di tenuta dei registri previsto dalla Raccomandazione 11.
Il VASP intermediario si trova in una catena seriale e riceve e ritrasmette un trasferimento per conto di un altro provider, per esempio un fornitore di liquidità che effettua il regolamento per un exchange più piccolo. Deve mantenere tutte le informazioni ricevute insieme al trasferimento, conservare i registri, adottare misure ragionevoli per identificare i trasferimenti privi delle informazioni richieste e disporre di politiche basate sul rischio per eseguirli, rifiutarli o sospenderli.
Il VASP beneficiario deve adottare misure ragionevoli, che possono includere il monitoraggio in tempo reale o successivo all'evento, per identificare i trasferimenti in entrata privi delle informazioni richieste. Verifica il beneficiario se non lo ha già fatto e deve disporre di politiche basate sul rischio per decidere quando eseguire, rifiutare o sospendere tali trasferimenti e quali misure successive adottare. La mancanza di informazioni è anche un fattore da considerare nel decidere se segnalare il caso all'unità di informazione finanziaria. La lezione Operazioni ed eccezioni della Travel Rule traduce queste politiche in procedure.
Quando l'ordinante e il beneficiario sono entrambi clienti dello stesso VASP, nessun messaggio oltrepassa un confine, ma la società detiene entrambi gli insiemi di dati. Come un provider di pagamenti che controlla entrambe le estremità di un pagamento, dovrebbe usare le informazioni provenienti da entrambe le parti per decidere se l'attività è sospetta.
Trasferimenti in batch e wallet omnibus
La norma sui bonifici consente che un file batch di singoli trasferimenti provenienti da un unico ordinante riporti soltanto il numero di conto o il riferimento dell'ordinante per ciascun elemento, a condizione che il file batch contenga tutte le informazioni sull'ordinante e sui beneficiari e sia tracciabile nel paese del beneficiario.
Le criptovalute introducono un diverso tipo di raggruppamento. Un exchange può combinare i prelievi di molti clienti in un'unica transazione on-chain con decine di output, inviata da un hot wallet condiviso. I testi della FATF non affrontano direttamente questo caso, ma la logica della R.16 indica una direzione: l'obbligo riguarda il trasferimento di ciascun cliente, non la transazione on-chain che ne regola diversi. Secondo questa interpretazione, ogni output diretto a un altro VASP necessita di un proprio insieme di dati che colleghi il cliente, l'importo e l'indirizzo di destinazione. L'indirizzo visibile on-chain appartiene all'exchange, non al cliente; pertanto, l'identificativo di conto nel messaggio dovrebbe identificare il conto del cliente e i registri devono associare ogni output al relativo messaggio.
Tempistiche e caso pratico
«Immediatamente» non significa «prima o poi». Le linee guida della FATF sugli asset virtuali interpretano il termine come prima, simultaneamente o contestualmente al trasferimento stesso. Un trasferimento confermato non può essere richiamato, quindi inviare prima i dati consente al VASP beneficiario di confermare che l'indirizzo appartiene a un cliente, controllare l'ordinante e accettare o rifiutare prima che il valore venga trasferito. I dati inviati ore dopo la conferma violano sia lo standard sia l'obiettivo del controllo. In modo sicuro significa proteggere l'integrità e la riservatezza dei dati durante la trasmissione e limitare l'accesso a chi ne ha bisogno.
Un cliente dell'Exchange A preleva USDT per un valore di USD 2.400 verso un indirizzo di deposito dell'Exchange B:
- L'attribuzione mostra che l'indirizzo appartiene all'Exchange B, un VASP registrato che A ha già verificato.
- A acquisisce dal fascicolo del cliente il nome verificato dell'ordinante, il numero cliente e la data di nascita, oltre al nome del beneficiario inserito dal cliente.
- A controlla entrambi i nomi rispetto agli elenchi delle sanzioni e invia l'insieme dei dati a B prima di trasmettere la transazione alla rete.
- B conferma che l'indirizzo è un indirizzo di deposito di un cliente, rileva che il nome del beneficiario corrisponde a quello nei propri archivi salvo un accento mancante, controlla l'ordinante e accetta.
- A trasmette la transazione alla rete e invia a B il txid. Entrambe le società conservano insieme il messaggio, la risposta e il txid.
Se B avesse rifiutato il trasferimento, nulla sarebbe stato trasferito on-chain e A avrebbe potuto chiedere al cliente di correggere i dettagli.
Focus sull'esame: come l'INR.15 applica la R.16 ai VASP ordinanti e beneficiari e agli istituti finanziari; i campi richiesti relativi all'ordinante e al beneficiario e la differenza tra dati richiesti e accurati; l'opzione de minimis di USD/EUR 1.000, quali dati devono comunque essere trasmessi al di sotto della soglia e il rischio di frazionamento che ne deriva; gli obblighi distinti dei VASP ordinanti, intermediari e beneficiari, comprese le politiche basate sul rischio per eseguire, rifiutare o sospendere; perché ogni output di un prelievo on-chain raggruppato richiede un proprio insieme di dati; il significato di «immediatamente» — prima, simultaneamente o contestualmente al trasferimento — e perché lo scambio dei dati prima del trasferimento costituisce il controllo più efficace.