AML/CFT e Travel Rule

Obiettivi dell’AML/CFT

L’antiriciclaggio (AML) è il quadro di misure volto a individuare e limitare i tentativi di dissimulare l’origine, la titolarità o la destinazione dei proventi di attività criminose. Il contrasto al finanziamento del terrorismo (CFT) riguarda i finanziamenti connessi al terrorismo, che possono coinvolgere fondi di origine lecita o illecita. Alcuni regimi affrontano espressamente anche il finanziamento della proliferazione. L’obiettivo non è etichettare come sospetta ogni transazione complessa, bensì applicare controlli legittimi e basati sul rischio, individuare specifiche criticità e fornire informazioni utili alle autorità competenti.

Il Gruppo di azione finanziaria internazionale (GAFI/FATF) è un organismo intergovernativo che definisce standard. Le sue Raccomandazioni sono standard internazionali, non una legge mondiale direttamente applicabile. La Raccomandazione 1 del GAFI richiede l’identificazione, la valutazione e la comprensione dei rischi. La Raccomandazione 10 riguarda l’adeguata verifica della clientela, inclusa l’identificazione e la verifica dei clienti e, ove pertinente, dei titolari effettivi. La Raccomandazione 11 riguarda la conservazione dei registri; la Raccomandazione 20 concerne la segnalazione delle operazioni sospette. La Raccomandazione 15 e la relativa Nota interpretativa estendono il quadro agli asset virtuali e ai prestatori di servizi per gli asset virtuali (VASP). Non si deve confondere il testo delle raccomandazioni con quello delle leggi nazionali, come se fossero identici.

Chi rientra nell’ambito di applicazione?

Un VASP è definito in base alle funzioni svolte come attività commerciale per conto o a favore di un’altra persona, non in base al fatto che l’entità si definisca un exchange. Tra le attività pertinenti secondo il GAFI possono rientrare lo scambio, il trasferimento, la custodia o l’amministrazione, nonché determinati servizi finanziari relativi all’offerta o alla vendita di un emittente. Un’applicazione di wallet, un software autonomo e una società che gestisce servizi non sono automaticamente soggetti equivalenti. La riconducibilità di una persona all’ambito di applicazione dipende dal controllo effettivo, dai servizi, dai fatti e dall’attuazione nazionale applicabile. Gli enti pubblici, gli avvocati e i collaboratori esterni possono essere soggetti a obblighi professionali di segnalazione e riservatezza diversi, previsti dalle rispettive norme.

Il ciclo di conformità basato sul rischio

Identificare, verificare, monitorare e segnalare

Un’organizzazione definisce innanzitutto i rischi relativi ai clienti e ai prodotti, l’esposizione geografica, i canali di distribuzione e le transazioni. L’adeguata verifica della clientela (CDD) raccoglie e verifica le informazioni sull’identità; le verifiche sulla titolarità effettiva mirano a individuare le persone fisiche che, in ultima istanza, possiedono o controllano un cliente, ove pertinente. L’adeguata verifica rafforzata consiste in un esame più approfondito per le circostanze a rischio più elevato. Il monitoraggio continuo confronta l’attività con lo scopo noto e il profilo di rischio del rapporto. L’organizzazione deve documentare i motivi per cui un avviso viene chiuso, sottoposto a escalation o segnalato, invece di basarsi soltanto su un punteggio non spiegato.

Tra le criticità più comuni figurano spiegazioni incoerenti sull’origine dei fondi, movimenti insoliti attraverso più servizi, il ricorso a intermediari che celano un rapporto atteso o attività incompatibili con l’attività commerciale dichiarata dal cliente. L’origine dei fondi indica la provenienza degli asset utilizzati in una specifica transazione; l’origine del patrimonio si riferisce al modo in cui una persona ha accumulato il proprio patrimonio complessivo. Non sempre è possibile rispondere a queste domande sulla base dei soli dati pubblici della blockchain. Un approccio basato sul rischio combina le prove disponibili relative ai conti, i registri esterni consultabili legittimamente, i modelli comportamentali e la revisione umana.

Una segnalazione di operazione sospetta (STR), talvolta denominata segnalazione di attività sospetta (SAR), è una comunicazione presentata a un’autorità designata secondo le regole della specifica giurisdizione. I criteri di presentazione, le scadenze, gli obblighi di segretezza e le comunicazioni consentite variano. Un membro del personale non deve informare automaticamente un cliente della presentazione di una segnalazione; molti ordinamenti limitano la divulgazione di tale informazione (tipping off). Per contro, il personale non dovrebbe promettere una riservatezza che vada oltre quanto previsto dalla legge o dalle politiche dell’organizzazione. Gli obblighi di conservazione dei registri e le garanzie di tutela della privacy devono operare congiuntamente.

La Travel Rule in parole semplici

I dati viaggiano tra i prestatori responsabili

La «Travel Rule» si riferisce agli obblighi in base ai quali determinate informazioni sull’ordinante (mittente) e sul beneficiario (destinatario) devono accompagnare o essere rese disponibili in relazione ai trasferimenti soggetti a tali obblighi. È una regola di trasparenza per gli enti obbligati, non un’istruzione a pubblicare i dati identificativi delle persone in una transazione blockchain. Storicamente, il quadro del GAFI ha collegato i trasferimenti tra VASP alla Raccomandazione 16 (Trasparenza dei pagamenti), da leggere con le disposizioni sugli asset virtuali della Raccomandazione 15 e con i relativi materiali interpretativi. Il GAFI ha rivisto la Raccomandazione 16 nel 2025, apportando ulteriori modifiche alle Raccomandazioni nella versione aggiornata a giugno 2026; l’attuazione e i periodi transitori devono essere verificati in base alle norme nazionali applicabili al momento del trasferimento.

Per esempio, il VASP dell’ordinante potrebbe dover raccogliere e inviare al VASP del beneficiario gli identificativi richiesti dell’ordinante e del beneficiario, mediante un sistema sicuro adeguato. Il prestatore ricevente verifica la completezza delle informazioni e gestisce eventuali carenze in conformità alla legislazione locale. Le informazioni scambiate tra prestatori non sono necessariamente incorporate on-chain. Di norma, un indirizzo pubblico, senza ulteriori registrazioni, non consente di identificare in modo affidabile una persona reale.

Wallet self-hosted e complessità transfrontaliere

Un indirizzo self-hosted è controllato direttamente da un utente, anziché da un prestatore di servizi che opera in qualità di custode. I requisiti per le transazioni che coinvolgono tali indirizzi variano; i professionisti non devono presumere né un’esenzione universale né un divieto universale. Le giurisdizioni stabiliscono soglie e controlli diversi: per esempio, l’UE applica controlli di verifica ad alcuni trasferimenti che coinvolgono indirizzi self-hosted di importo superiore a EUR 1.000, mentre le norme statunitensi di lunga data sui trasferimenti di fondi utilizzano una soglia di riferimento di USD 3.000. Queste cifre non devono essere considerate soglie de minimis valide a livello globale né un’autorizzazione a suddividere i trasferimenti.

Governance, privacy e uso nel settore pubblico

La conformità AML/CFT è un processo decisionale controllato. La governance dovrebbe specificare chi approva le politiche, chi indaga sugli avvisi, come vengono risolti i conflitti e come vengono effettuati i campionamenti per il controllo della qualità. I sistemi necessitano di registri degli accessi e di minimizzazione dei dati: raccogliere quanto richiesto dalla legge e dalla legittima gestione del rischio, proteggerlo e non diffondere inutilmente informazioni sensibili dei clienti. Anche le leggi sulla protezione dei dati (il GDPR dell’UE è un esempio noto) disciplinano il trattamento e la conservazione delle informazioni sui clienti. Le basi giuridiche del trattamento e i periodi di conservazione sono aspetti specifici per ogni organizzazione e giurisdizione.

Un ente pubblico può imbattersi in un indirizzo in un verbale di sequestro o in un fascicolo di appalto. Un analista interno dovrebbe documentarne la provenienza, evitare di accedere a conti personali senza autorizzazione e condividere informazioni di intelligence solo con un destinatario autorizzato. «Basato sul rischio» non significa sottrarsi discrezionalmente ai controlli obbligatori. Significa calibrare gli sforzi e il livello di scrutinio in modo proporzionato, nel rispetto dei requisiti minimi di legge, motivando le decisioni e mantenendo una traccia di audit. L’aggiornamento mirato del GAFI del 2026 sugli asset virtuali (VA) e sui VASP segnala persistenti lacune nell’attuazione a livello mondiale, sottolineando la necessità di verificare i requisiti locali di vigilanza anziché presumere un’uniformità globale.

Obiettivo d’esame: Spiegare AML, CFT, CDD, titolarità effettiva, monitoraggio, segnalazione STR/SAR e Travel Rule; distinguere gli standard del GAFI dalla legislazione locale vincolante e i trasferimenti on-chain dallo scambio protetto di informazioni off-chain.