Attuazione della Travel Rule · Lezione 2 di 5
Identificazione e valutazione della controparte
8 min di lettura
Prima di inviare i dati previsti dalla Travel Rule, un VASP deve rispondere a due domande: chi controlla l'indirizzo di destinazione e se a tale soggetto possano essere affidati i dati personali del cliente. Una risposta errata comporta la divulgazione di dati personali a un soggetto sconosciuto oppure l'invio di valore a un'impresa che la società non avrebbe mai accettato come cliente. Questa lezione illustra come identificare la controparte, come valutarla e come procedere quando non è in grado di ricevere i dati.
La destinazione è un VASP?
Una richiesta di prelievo fornisce alla società un indirizzo e, nella migliore delle ipotesi, la descrizione del cliente relativa alla sua destinazione. Diversi metodi consentono di distinguere un VASP da un wallet non custodial, e ciascuno presenta limiti specifici:
| Metodo | Come funziona | Punto di forza | Punto debole |
|---|---|---|---|
| Dichiarazione del cliente | Il cliente seleziona il fornitore di destinazione da un elenco oppure dichiara "il mio wallet personale" | Sempre disponibile, poco costoso | I clienti commettono errori e alcuni mentono |
| Attribuzione tramite analisi della blockchain | All'indirizzo o al relativo cluster è associata un'etichetta che identifica un servizio | Indipendente e scalabile | Le etichette possono essere obsolete o errate; i nuovi indirizzi di deposito sono spesso privi di etichetta |
| Ricerca tramite directory o protocollo | La società chiede alle controparti di una rete se controllano l'indirizzo | La controparte conferma direttamente il controllo | Copre soltanto i membri di quella rete |
| Formati di destinazione strutturati | La stringa di destinazione codifica l'endpoint del fornitore oppure un indirizzo con memo o tag | Univoci quando supportati | Funzionano soltanto se il VASP beneficiario li supporta |
| Storico precedentemente confermato | L'indirizzo è già stato confermato da una controparte | Rapido | Può diventare obsoleto se il fornitore cambia gli indirizzi |
Nessun metodo è sufficiente da solo. Una procedura solida ricorre alla triangolazione: registra la dichiarazione del cliente, il risultato dell'analisi con il relativo livello di confidenza e ogni risposta della directory, quindi applica una regola per risolvere le discrepanze. Una regola tipica è la seguente: se una qualsiasi fonte attendibile indica che l'indirizzo appartiene a un servizio, trattare l'operazione come un trasferimento verso un VASP anche se il cliente ha dichiarato "il mio wallet personale", e chiedere chiarimenti al cliente. Le etichette dell'analisi sono ipotesi, non fatti; si vedano la lezione Analisi della blockchain per la conformità e il corso IDFE-CF per comprendere come vengono costruiti cluster ed etichette.
Gli indirizzi di deposito condivisi richiedono attenzione. Alcuni fornitori utilizzano un unico indirizzo per tutti i clienti e li distinguono tramite un memo o un tag di destinazione. L'indirizzo identifica quindi il fornitore, ma soltanto il tag identifica il conto del beneficiario; pertanto, il tag deve essere acquisito e incluso nei dati previsti dalla Travel Rule.
Directory dei VASP
La maggior parte delle reti per la Travel Rule mantiene una directory dei VASP partecipanti, che in genere riporta la denominazione legale, il Legal Entity Identifier (LEI, ISO 17442), le registrazioni dichiarate, gli endpoint tecnici e le chiavi o i certificati utilizzati per autenticare i messaggi. Le directory consentono l'individuazione e l'autenticazione, argomenti trattati nella lezione Dati e messaggistica della Travel Rule.
L'individuazione stessa comporta un rischio per la riservatezza. Un metodo che chiede contemporaneamente a molti VASP se controllano un indirizzo comunica a tutti loro che un cliente sta per inviare fondi a quell'indirizzo. È preferibile utilizzare metodi che interroghino soltanto la probabile controparte e assicurarsi che nessun dato personale venga trasmesso finché la controparte non abbia confermato il controllo e superato l'adeguata verifica.
La presenza in una directory non equivale all'adeguata verifica. I gestori delle directory applicano controlli di ammissione diversi e la presenza in un elenco dice poco sui controlli antiriciclaggio di una controparte. Occorre verificare in modo indipendente gli aspetti rilevanti: confermare la registrazione o l'autorizzazione nel registro pubblico tenuto dall'autorità competente, controllare la scheda LEI e cercare eventuali provvedimenti pubblici delle autorità.
Adeguata verifica del VASP controparte
La FATF si aspetta che un VASP ordinante effettui l'adeguata verifica del VASP controparte prima di inviare i dati del cliente, analogamente a una banca che valuta una banca corrispondente. La verifica non viene ripetuta per ogni trasferimento: viene effettuata una volta, aggiornata periodicamente in funzione del rischio e riaperta al verificarsi di un evento attivatore, come notizie negative, la revoca di un'autorizzazione o un'impennata delle attività sospette. Alcuni gruppi di lavoro riprendono la struttura del Correspondent Banking Due Diligence Questionnaire (CBDDQ) del Wolfsberg Group e la adattano al settore delle criptoattività.
| Ambito | Cosa verificare | Segnali di allarme |
|---|---|---|
| Identità e proprietà | Entità giuridica, LEI, titolari effettivi, struttura del gruppo | Assetto proprietario opaco, proprietari presenti negli elenchi delle sanzioni |
| Registrazione o autorizzazione | Stato nella giurisdizione in cui è stabilito e in quelle in cui serve i clienti | Assenza di registrazione dove è obbligatoria |
| Controlli AML/CFT | Responsabile della conformità, politiche, screening, monitoraggio, capacità di applicare la Travel Rule, precedenti provvedimenti delle autorità | Nessuna funzione di conformità designata, ripetuti rilievi da parte delle autorità |
| Protezione dei dati e sicurezza | Capacità di proteggere la riservatezza dei dati ricevuti, crittografia, certificazioni di sicurezza come ISO/IEC 27001, precedenti violazioni dei dati | Canali non cifrati, violazioni dei dati prive di spiegazione |
| Giurisdizione | Elenchi pubblici della FATF, risultati delle valutazioni reciproche per R.15, vigenza della Travel Rule | Paese soggetto a "invito all'azione" |
| Modello di attività ed esposizione | Servizi annidati, desk P2P o OTC, supporto per privacy coin, esposizione on-chain dei suoi cluster a fonti illecite | Quota elevata di flussi provenienti da mixer o mercati darknet |
Il risultato è una decisione documentata: approvare, approvare con condizioni (ad esempio, limiti ai trasferimenti o monitoraggio rafforzato dei flussi) oppure rifiutare, con una valutazione del rischio e una data di riesame. Le controparti rifiutate vengono inserite in un elenco interno di blocco che la procedura di prelievo controlla automaticamente.
Il problema dell'adozione non simultanea
Il problema dell'adozione non simultanea consiste nell'attuazione disomogenea: un VASP in una giurisdizione in cui la Travel Rule è in vigore deve effettuare transazioni con controparti in paesi in cui non è ancora legge, oppure in cui è legge ma la controparte non dispone di uno strumento compatibile. La FATF si aspetta una decisione basata sul rischio anziché una regola generalizzata in un senso o nell'altro.
| Situazione della controparte | Risposta tipica basata sul rischio |
|---|---|
| Soggetta all'obbligo e tecnicamente in grado di adempiervi (stesso protocollo o protocollo interoperabile) | Inviare i dati prima del trasferimento |
| Non ancora soggetta all'obbligo nel proprio paese, ma in grado di ricevere i dati e disponibile a farlo | Inviare dopo aver confermato la protezione dei dati nell'ambito dell'adeguata verifica |
| Disponibile, ma priva di un protocollo | Utilizzare un canale sicuro concordato e registrare lo scambio |
| Del tutto impossibilitata a ricevere | Raccogliere e conservare comunque i dati; consentire soltanto entro determinati limiti e con monitoraggio rafforzato, oppure rifiutare |
| Priva di autorizzazione dove questa è obbligatoria, oppure con esito negativo dell'adeguata verifica | Non inviare dati e rifiutare il trasferimento |
Anche quando la controparte non può ricevere i dati, il VASP ordinante li raccoglie comunque, li sottopone a screening e li conserva, in modo da poter rispondere alle autorità e monitorare il flusso. Il versante in entrata del problema dell'adozione non simultanea, ossia i trasferimenti che arrivano senza dati, è trattato nella lezione Operatività ed eccezioni della Travel Rule.
Caso pratico svolto
Un cliente chiede di prelevare USDC per un valore di USD 18.000 e dichiara come destinazione "Exchange Z". L'analisi etichetta l'indirizzo come appartenente a un servizio denominato Exchange Z, con un livello di confidenza medio. Z non figura in alcuna directory utilizzata dalla società. Il suo sito web dichiara una registrazione nel Paese C immaginario, ma nel registro pubblico dell'autorità competente del Paese C non compare alcuna voce a suo nome.
- Identificazione: due fonti concordano sul fatto che la destinazione sia un servizio, quindi il trasferimento viene trattato come un trasferimento verso un VASP.
- Valutazione: non è possibile confermare la registrazione di Z, non esiste un fascicolo di adeguata verifica e non è disponibile alcun canale sicuro.
- Decisione: sospendere il prelievo, comunicare al cliente che al momento la società non può inviare fondi a questo fornitore e proporre l'invio a un fornitore sottoposto ad adeguata verifica oppure a un wallet non custodial di cui il cliente possa dimostrare il controllo.
- Escalation: l'analista della conformità esamina lo storico del cliente per individuare altri flussi verso Z e valuta se lo schema sia sospetto.
- Registrazione: le evidenze dell'attribuzione, la ricerca nel registro con la relativa data, la decisione e il nominativo di chi l'ha approvata vengono conservati nel fascicolo del caso.
La società non ha stabilito che Z sia un soggetto criminale. Ha stabilito di non poter adempiere ai propri obblighi con una controparte non verificata e ne ha documentato i motivi.
Focus sull'esame: metodi per distinguere un VASP da un wallet non custodial e limiti di ciascuno; perché sono necessarie la triangolazione e una regola scritta per risolvere le discrepanze; indirizzi con memo e tag; perché la presenza in una directory non sostituisce l'adeguata verifica; elementi dell'adeguata verifica del VASP controparte (identità, autorizzazione, controlli antiriciclaggio, protezione dei dati, giurisdizione, esposizione) e relativo aggiornamento periodico e in seguito a eventi attivatori; problema dell'adozione non simultanea e risposte basate sul rischio; raccolta e conservazione dei dati anche quando la controparte non può riceverli.