Gli standard FATF e la Travel Rule

La Financial Action Task Force (FATF) non legifera, ma i suoi standard influenzano le norme antiriciclaggio a cui è soggetta un’attività di criptoasset in quasi tutti i Paesi. La Raccomandazione 15 chiede ai Paesi di autorizzare e vigilare sui prestatori di servizi per le risorse virtuali, mentre la Travel Rule impone a questi prestatori di trasmettere i dati dei clienti insieme a ogni trasferimento. Una volta acquisito il modello, ogni regime nazionale si legge come una sua versione locale.

Raccomandazione 15 e definizione di VASP

La FATF ha modificato la Raccomandazione 15 (Nuove tecnologie) nell’ottobre 2018 e ha adottato la relativa Nota interpretativa (INR.15) nel giugno 2019. Insieme, queste misure richiedono ai Paesi di:

• valutare i rischi di riciclaggio di denaro e finanziamento del terrorismo legati alle risorse virtuali;
• autorizzare o registrare i prestatori di servizi per le risorse virtuali (VASP), almeno nella giurisdizione in cui sono costituiti e, facoltativamente, in quelle in cui servono i clienti;
• sottoporli a vigilanza, con il potere di irrogare sanzioni pecuniarie e revocare le autorizzazioni;
• applicare loro le misure preventive previste dalle Raccomandazioni da 10 a 21 (adeguata verifica della clientela, conservazione dei registri, segnalazione delle operazioni sospette, controlli sulle sanzioni).

Un Paese può invece vietare l’attività dei VASP, ma deve comunque individuare e fermare gli operatori non autorizzati.

Una risorsa virtuale è una rappresentazione digitale di valore che può essere negoziata o trasferita digitalmente e utilizzata per pagamenti o investimenti. Sono escluse le rappresentazioni digitali di valute fiat, titoli e altri asset finanziari già contemplati dagli standard. Un VASP è qualsiasi persona fisica o giuridica che, nell’ambito di un’attività commerciale, svolge una o più di cinque attività per conto o a beneficio di un’altra persona:

Il criterio è funzionale: conta ciò che l’impresa fa, non come si definisce. Le linee guida aggiornate della FATF dell’ottobre 2021 affermano che i creatori, proprietari e gestori di un accordo di finanza «decentralizzata» possono essere VASP se mantengono il controllo o un’influenza sufficiente su di esso, per esempio tramite chiavi di amministrazione o la riscossione di commissioni. Gli sviluppatori che si limitano a pubblicare software e le persone che utilizzano wallet non custodial per conto proprio non sono VASP.

Il set di dati della Travel Rule

Il paragrafo 7(b) dell’INR.15 applica ai trasferimenti di risorse virtuali i requisiti sui bonifici della Raccomandazione 16. Questa è la Travel Rule: il VASP di origine deve ottenere, conservare e inviare al VASP beneficiario le informazioni richieste su ordinante e beneficiario «immediatamente e in modo sicuro», mentre il VASP beneficiario deve ottenerle e conservarle. Entrambi devono confrontare le parti con gli elenchi delle sanzioni e utilizzare i dati nel monitoraggio delle transazioni.

I Paesi possono adottare una soglia de minimis di 1.000 USD/EUR. Al di sopra si applica il set di dati completo. Al di sotto è sufficiente un set ridotto e i dati dell’ordinante non devono essere verificati, salvo sospetto di riciclaggio di denaro o finanziamento del terrorismo.

Le attuazioni nazionali differiscono e alcuni Paesi applicano una soglia più bassa o nessuna soglia. Per questo, un’impresa attiva in molti Paesi spesso invia il set di dati completo per ogni trasferimento, anziché gestire diversi insiemi di regole.

Wallet non custodial e problema del sunrise

La Travel Rule funziona solo quando entrambe le parti sono soggetti obbligati. Ne derivano due lacune.

I wallet non custodial (wallet autogestiti dall’utente, senza un VASP intermediario) non possono inviare o ricevere un messaggio della Travel Rule. La FATF non vieta i trasferimenti da o verso questi wallet. Si aspetta che i VASP raccolgano le informazioni sulla controparte dal proprio cliente e applichino controlli basati sul rischio, come la prova che il cliente controlla l’indirizzo (un messaggio firmato o una piccola transazione di prova) e un monitoraggio più rigoroso.

Il problema del sunrise consiste nell’attuazione disomogenea tra Paesi. Un VASP in un Paese in cui la regola è in vigore potrebbe dover inviare dati a una controparte in un Paese in cui non è ancora legge, e tale controparte potrebbe non essere in grado o non essere disposta a riceverli. La FATF si aspetta che il VASP mittente decida, in base al rischio, se eseguire, limitare o rifiutare il trasferimento e che svolga la due diligence sul VASP controparte prima di inviare i dati del cliente, proprio come fa una banca nei confronti di un corrispondente.

La revisione della Raccomandazione 16 del giugno 2025

Il 18 giugno 2025 la FATF ha pubblicato una versione riveduta della Raccomandazione 16, ora intitolata Trasparenza dei pagamenti, con una Nota interpretativa riscritta. La revisione riguarda il settore dei pagamenti. Tra le altre cose:

• attribuisce all’istituto che riceve le istruzioni del cliente la responsabilità di includere le informazioni e mantenerle inalterate lungo la catena;
• richiede, per i pagamenti transfrontalieri peer-to-peer superiori a 1.000 USD/EUR, il nome e l’indirizzo dell’ordinante (almeno Paese e città) e, per le persone fisiche, la data di nascita, oltre a nome, conto e ubicazione del beneficiario, con dati strutturati quanto più possibile;
• impone agli istituti del beneficiario di adottare misure, come controlli di corrispondenza tra nome e conto, per ridurre i pagamenti destinati a beneficiari non previsti;
• mantiene l’esenzione per gli acquisti con carta di beni e servizi, chiarendone l’ambito.

Nell’ottobre 2025 la FATF ha aggiunto un allegato alla propria metodologia di valutazione per spiegare come sarà valutata la nuova R.16 e, nel giugno 2026, ha avviato una consultazione su una bozza di linee guida attuative (i commenti si sono chiusi nell’agosto 2026). I Paesi dovrebbero attuare le modifiche entro la fine del 2030.

Per le risorse virtuali, gli obblighi della Travel Rule sono previsti dal paragrafo 7(b) dell’INR.15, che la revisione della R.16 del 2025 non ha modificato. I team di conformità dovrebbero considerare le modifiche relative ai pagamenti come la probabile direzione futura, non come requisiti attuali per le criptovalute, e verificare se nel frattempo la FATF abbia allineato il set di dati delle risorse virtuali.

Stato dell’attuazione

La FATF monitora i progressi tramite aggiornamenti mirati annuali. Ciascuno misura quante giurisdizioni hanno leggi sulla Travel Rule in vigore e come sono valutate in base alla R.15; quelli più recenti indicano sempre gli stessi punti deboli: VASP offshore, trasferimenti peer-to-peer tramite wallet non custodial, DeFi e uso crescente delle stablecoin in attività illecite. I dati cambiano ogni anno, quindi un team di conformità dovrebbe citare l’aggiornamento più recente anziché affidarsi a uno più datato.

Il sesto aggiornamento (giugno 2025) ha evidenziato il furto di circa 1,46 miliardi di USD dall’exchange Bybit da parte di attori nordcoreani, il più grande furto singolo di risorse virtuali mai registrato. La FATF ha inoltre pubblicato le Best Practices on Travel Rule Supervision (giugno 2025), un rapporto sui VASP offshore (marzo 2026) e un rapporto mirato su stablecoin e wallet non custodial (3 marzo 2026). Quest’ultimo ha invitato gli emittenti a essere in grado di congelare, distruggere o ritirare i token sul mercato secondario, utilizzando elenchi di indirizzi vietati e controlli simili tramite smart contract.

Protocolli della Travel Rule nella pratica

La FATF non prescrive una tecnologia, quindi il mercato ha sviluppato soluzioni concorrenti. La maggior parte si basa su IVMS101 (InterVASP Messaging Standard 101), un modello di dati comune per nomi, indirizzi e identificatori pubblicato da un gruppo di lavoro del settore nel 2020. Su di esso si basano protocolli e reti di messaggistica come TRP (Travel Rule Protocol), TRISA, OpenVASP, Sygna Bridge, Notabene, VerifyVASP, CODE e GTR. Si differenziano per il modo in cui individuano il VASP controparte, ne verificano l’identità e cifrano il contenuto.

Poiché le controparti utilizzano strumenti diversi, il problema pratico principale è l’interoperabilità. Un programma efficace per la Travel Rule comprende in genere:

• attribuzione degli indirizzi, per stabilire se una destinazione appartiene a un VASP o a un wallet non custodial;
• un elenco di VASP controparti e la due diligence su ciascuno (licenza, giurisdizione, protezione dei dati);
• scambio di dati, ove possibile, prima del trasferimento on-chain, in modo che il trasferimento possa essere sospeso finché i dati non corrispondono;
• regole chiare per dati mancanti o non corrispondenti: restituire, rifiutare oppure eseguire e segnalare;
• controllo delle sanzioni per entrambe le parti e conservazione dei registri per almeno cinque anni.

Focus sull’esame: le cinque attività dei VASP e il criterio funzionale (compresi i casi in cui gli operatori DeFi possono essere VASP); gli obblighi previsti dalla R.15 e dall’INR.15 per i Paesi; i campi della Travel Rule sopra e sotto la soglia di 1.000 USD/EUR e perché spesso le imprese inviano i dati completi per ogni trasferimento; l’approccio basato sul rischio della FATF ai wallet non custodial e al problema del sunrise; le modifiche introdotte dalla revisione della R.16 del giugno 2025 per i pagamenti e la scadenza di fine 2030, nonché il fatto che la Travel Rule per le criptovalute è contenuta nella Nota interpretativa della R.15; i punti deboli ricorrenti negli aggiornamenti mirati della FATF (VASP offshore, trasferimenti da wallet non custodial, DeFi, stablecoin); IVMS101 e il problema dell’interoperabilità.