Compliance antiriciclaggio cripto: programma AML/CFT

È un insieme integrato di policy, controlli, procedure e responsabilità che garantisce che un soggetto che opera con cripto-attività rispetti la normativa applicabile (AML/CFT, sanzioni, protezione dei dati e requisiti di settore). Non è un documento isolato, ma un sistema che funziona nella pratica, con evidenze dimostrabili.

I VASP (exchange, custodi, broker, prestatori di servizi di trasferimento) e, in generale, chiunque presti servizi sulle cripto-attività per conto dei clienti. Sono già soggetti obbligati ai fini antiriciclaggio, e il nuovo pacchetto AML dell’UE lo rafforza per i CASP dal 2027.

In Spagna, la Legge 10/2010 (prevenzione del riciclaggio), sotto la vigilanza del SEPBLAC. Nell’UE, MiCA (Regolamento 2023/1114) e la Travel Rule (Regolamento 2023/1113). E il nuovo pacchetto AML: l’AMLR (Regolamento 2024/1624), la sesta direttiva e l’autorità AMLA. Lo standard internazionale è il GAFI (FATF).

È la metodologia che combina indicatori on-chain, off-chain e di prodotto per classificare clienti, controparti e transazioni e applicare misure proporzionate: adeguata verifica ordinaria, adeguata verifica rafforzata (EDD) o blocco ed escalation. Documentare l’RBA permette di giustificare ogni decisione davanti alle autorità di vigilanza e agli audit.

Verifica dell’identità del cliente (KYC) o della società e dei suoi titolari effettivi (KYB), segmentata per tipo (retail, istituzionale, OTC, market maker). Combina verifica documentale, biometria e correlazione on-chain, con valutazione giurisdizionale, screening PEP e identificazione dei beneficiari finali, e procedure di adeguata verifica rafforzata per i casi a maggior rischio.

Una SOS (in inglese SAR) è una segnalazione di operazione sospetta all’autorità competente (in Spagna, il SEPBLAC). Si effettua in presenza di indizi di riciclaggio o di finanziamento del terrorismo (interazione con indirizzi sanzionati, movimenti cross-chain per occultare la tracciabilità, importi elevati non giustificati). Il Compliance Officer valuta le evidenze tecniche e giuridiche prima di segnalarla, preservando la riservatezza.

Sì. Conviene designare un Compliance Officer con autorità, indipendenza ed esperienza in asset virtuali, che coordini l’approccio basato sul rischio, le SOS, il rapporto con le autorità di vigilanza e la formazione del team. Può essere interno oppure esternalizzato a un terzo specializzato, per rafforzare l’indipendenza e accelerare l’avvio.

L’AMLR (Regolamento (UE) 2024/1624) è il «corpus normativo unico» antiriciclaggio dell’UE, direttamente applicabile dal 10 luglio 2027. Rende i CASP soggetti obbligati diretti, rafforza il KYC e la titolarità effettiva, limita i conti anonimi e le privacy coin e fissa un limite di 10.000 € in contanti. Anticipare il programma è l’unica strategia ragionevole.

Dipende dal modello di business (exchange, custode, DeFi), dai volumi, dal numero di giurisdizioni e dal livello di automazione. Lavoriamo con un perimetro definito dopo una diagnosi iniziale; scrivici per un preventivo su misura.

Dipende dal perimetro, ma un programma di base (diagnosi, manuale, policy e flussi) di solito è operativo in poche settimane. Ciò che richiede più tempo è l’integrazione tecnica del monitoraggio, i test end-to-end e la formazione dei team.

VASP (Virtual Asset Service Provider) è il termine del GAFI per i prestatori di servizi per asset virtuali. CASP (Crypto-Asset Service Provider) è il termine equivalente nell’UE ai sensi di MiCA. In pratica indicano gli stessi operatori: exchange, custodi, broker e prestatori di servizi di trasferimento.

È il confronto di clienti, controparti e indirizzi con le liste di sanzioni (OFAC degli Stati Uniti, dell’UE e dell’ONU) per individuare e bloccare le operazioni a rischio sanzionatorio. È un obbligo critico: il mancato rispetto comporta gravi responsabilità legali e blocchi da parte delle banche corrispondenti.

Sì, sulle piattaforme regolamentate. Dal 2027 l’AMLR vieta i conti di cripto-attività anonimi e le monete ad anonimato rafforzato (come Monero o Zcash) presso i prestatori autorizzati dell’UE, che dovranno identificare pienamente i propri clienti.

Si completano: MiCA regola i servizi e gli emittenti; la Travel Rule regola le informazioni che accompagnano ogni trasferimento; e il pacchetto AML fissa gli obblighi antiriciclaggio. Un buon programma di compliance li integra in un unico sistema.

Il KYT (Know Your Transaction) è l’analisi del rischio di transazioni e indirizzi: clustering, esposizione a fondi illeciti (hack, ransomware, sanzioni), rilevamento dei mixer e scoring. È il livello tecnico che alimenta gli alert e le evidenze del programma.

L’AMLA è la nuova Autorità europea per la lotta al riciclaggio, con sede a Francoforte, istituita dal Regolamento (UE) 2024/1620. Coordinerà le autorità di vigilanza nazionali e vigilerà direttamente su un gruppo di soggetti ad alto rischio (compresi i grandi CASP) a partire dal 2027-2028.

No. Il SEPBLAC resta l’Unità di informazione finanziaria della Spagna e l’interlocutore principale per i soggetti obbligati, ora sotto il coordinamento tecnico dell’AMLA. È un modello a due livelli: vigilanza europea e vigilanza nazionale con lo stesso standard regolatorio.