Conformità MiCA per i CASP nel 2026

Ecco ciò che deve sapere per la conformità MiCA quest’anno.

Il regolamento sui mercati delle cripto-attività è in vigore dal 30 dicembre 2024. Il regolamento sulla resilienza operativa digitale (DORA) si applica ai fornitori di servizi per cripto-attività dal 17 gennaio 2025. Le regole ESMA su conoscenze e competenze ai sensi dell’articolo 81(7) di MiCA si applicano dal 28 luglio 2026. Entro la fine del 2026, ogni fornitore di servizi per cripto-attività (CASP) autorizzato nell’Unione Europea sarà stato valutato rispetto a tre pilastri di conformità operativa: un insieme completo di policy native MiCA, la prova che il personale è stato formato secondo lo standard richiesto e un canale di whistleblowing funzionante che soddisfa tre regimi europei sovrapposti. Ecco come si presenta tutto questo nella pratica.

Le aziende con 50 o più dipendenti attivano la piattaforma whistleblowing di Trusty in pochi minuti, da 49 € al mese.

Perché la conformità operativa è ora il collo di bottiglia

La maggior parte della discussione pubblica su MiCA ha riguardato l’autorizzazione: chi ha ottenuto la licenza, dove e con quale rapidità. La conversazione più silenziosa, che conta di più per l’anno a venire, riguarda ciò che viene dopo la licenza. I fascicoli di autorizzazione includono il quadro organizzativo dell’impresa, ma il quadro viene poi testato ogni giorno da clienti, controparti e autorità di vigilanza. Le autorità nazionali competenti hanno avviato revisioni tematiche. L’ESMA ha pubblicato i suoi primi orientamenti, Q&A e dichiarazioni. I primi segnali delle autorità di vigilanza puntano in una direzione: le imprese che hanno costruito fin dal primo giorno un impianto di conformità MiCA pulito, documentato e multilingue manterranno la loro licenza; le imprese che hanno adattato policy da un modello MiFID si troveranno a dover porre rimedio.

Tre pilastri operativi definiscono ora l’aspetto di un CASP credibile:

1. Un insieme completo di policy native MiCA che copre ogni articolo applicabile.
2. Formazione del personale che soddisfa lo standard ESMA di conoscenze e competenze, con prove documentate per ogni individuo.
3. Un canale di whistleblowing che soddisfa contemporaneamente la direttiva UE sul whistleblowing, l’articolo 116 di MiCA e il regolamento AML.

Il resto di questo articolo è una guida pratica a tutti e tre.

Primo pilastro: l’insieme di policy di conformità MiCA di cui ogni CASP ha bisogno

La spina dorsale della governance

L’articolo 68 di MiCA è la colonna vertebrale del quadro di conformità. Ogni CASP autorizzato deve disporre di solidi meccanismi di governance con linee di responsabilità chiare, coerenti e ben documentate, procedure efficaci per l’identificazione, la gestione, il monitoraggio e la comunicazione dei rischi, adeguati meccanismi di controllo interno e un solido sistema di conservazione dei documenti. L’articolo 68(8) richiede esplicitamente un piano di liquidazione ordinata. L’articolo 68(9) richiede la conservazione dei documenti su supporto durevole per almeno cinque anni, estendibili a sette su richiesta dell’autorità competente. Le norme tecniche di regolamentazione (RTS) dell’ESMA adottate ai sensi dell’articolo 68(10) completano il quadro.

I blocchi costitutivi articolo per articolo

Intorno all’articolo 68, MiCA prescrive un insieme di aree di policy denominate:

• L’articolo 7 e l’articolo 66 disciplinano le comunicazioni di marketing e le comunicazioni con i clienti: corrette, chiare e non fuorvianti, identificabili come marketing, con avvertenze sui rischi prescritte.
• L’articolo 70 disciplina la custodia delle cripto-attività dei clienti e dei fondi dei clienti, inclusa la segregazione, gli accordi di sub-custodia e le informazioni ai clienti.
• L’articolo 71 stabilisce il regime di gestione dei reclami, integrato dall’RTS ESMA adottato ai sensi dell’articolo 71(5).
• L’articolo 72 disciplina i conflitti di interesse, con una revisione annuale obbligatoria, pubblicazione sul sito web e attenzione esplicita alle decisioni di quotazione dei token e al trading proprietario sulle piattaforme gestite.
• L’articolo 73 stabilisce le regole per l’esternalizzazione, integrate dagli orientamenti EBA sull’esternalizzazione applicati per analogia e, per i servizi ICT, dagli articoli da 28 a 30 di DORA.
• Il titolo VI (articoli da 86 a 92) introduce un regime di abuso di mercato per le cripto-attività e obbliga le imprese a rilevare e segnalare ordini e transazioni sospetti (STOR) ai sensi dell’articolo 92.
• L’articolo 66(5) richiede una divulgazione sul sito web dei principali impatti ambientali negativi del meccanismo di consenso per ciascuna cripto-attività per la quale il CASP fornisce servizi, con metodologia definita dall’RTS adottato ai sensi dell’articolo 6(11).

I quadri orizzontali sovrapposti

Oltre agli obblighi specifici di MiCA, ogni CASP è anche:

• Un soggetto obbligato ai sensi del quadro antiriciclaggio dell’UE: regolamento (UE) 2024/1624 (AMLR), direttiva (UE) 2024/1640 (AMLD6) e regolamento (UE) 2024/1620 che istituisce l’AMLA.
• Soggetto al regolamento (UE) 2023/1113 (Travel Rule), in vigore dal 30 dicembre 2024, con regole di verifica per gli indirizzi self-hosted superiori a 1.000 EUR.
• Un’entità finanziaria ai sensi di DORA, con obblighi completi per la gestione del rischio ICT, la segnalazione di incidenti relativi all’ICT, i test di resilienza operativa digitale e il rischio di terze parti ICT ai sensi degli articoli da 28 a 30.

Un insieme di policy MiCA difendibile

Un insieme credibile di policy CASP copre quindi, come minimo: custodia, governance e controllo interno, abuso di mercato e STOR, gestione del rischio ICT DORA e resilienza operativa, comunicazioni di marketing, liquidazione, conflitti di interesse, gestione dei reclami, AML/CFT e Travel Rule, esternalizzazione, continuità operativa, conservazione e archiviazione dei documenti, divulgazione sulla sostenibilità ai sensi dell’articolo 66(5) e un piccolo gruppo di policy di “seconda ondata” che le NCA cercano sempre più spesso, tra cui onboarding dei clienti e classificazione del rischio, operazioni su conti personali e quotazione/ammissione di token.

Si applicano due regole operative pratiche. Primo, scrivi le policy rispetto a MiCA, non rispetto a un modello generico di servizi finanziari: i riferimenti agli articoli e gli obblighi specifici per articolo contano e le autorità di vigilanza li cercano. Secondo, traducile nelle lingue degli Stati membri che servi, perché l’articolo 66 richiede comunicazioni corrette, chiare e non fuorvianti in una lingua che il cliente comprende.

Secondo pilastro: formazione e la scadenza del 28 luglio 2026

Cosa richiede effettivamente l’articolo 81(7) di MiCA

La formazione non è più un aspetto secondario della conformità. L’articolo 81(7) di MiCA, integrato dal rapporto finale ESMA sugli orientamenti relativi a determinati aspetti dei requisiti di idoneità e al formato del rendiconto periodico per le attività di gestione del portafoglio ai sensi di MiCA (pubblicato il 22 maggio 2025, applicabile dal 28 luglio 2026), richiede ai CASP che forniscono consulenza su cripto-attività o gestione del portafoglio di garantire, e di essere in grado di dimostrare all’autorità competente su richiesta, che le persone fisiche che forniscono consulenza o informazioni su cripto-attività o servizi per cripto-attività possiedono le conoscenze e le competenze necessarie.

I due livelli che l’ESMA si aspetta che Lei gestisca

Gli orientamenti ESMA dividono il personale in due livelli:

• Il livello Informazioni copre il personale che fornisce ai clienti informazioni su cripto-attività, servizi per cripto-attività, costi o rischi, ma che non fornisce raccomandazioni personali. Questo include i team di onboarding, assistenza clienti, vendite, gestione account, revisori di testi di marketing, revisori KYC, gestori di reclami e supporto al trading.
• Il livello Consulenza copre il personale che fornisce raccomandazioni personali o che gestisce portafogli. Il livello di conoscenze e competenze è più alto e i requisiti di documentazione più rigorosi.

Per entrambi i livelli, l’impresa deve dimostrare che ogni persona interessata possiede le conoscenze e le competenze richieste. In pratica questo significa una valutazione iniziale all’assunzione, un modulo di formazione completato, una valutazione documentata con un punteggio di superamento, formazione di aggiornamento almeno annuale, supervisione continua nei primi mesi di un nuovo ruolo e registrazioni a livello individuale che coprono l’intero percorso. Dal 28 luglio 2026, le autorità di vigilanza si aspetteranno di vedere tali registrazioni su richiesta.

Formazione oltre l’articolo 81(7)

La stessa disciplina di formazione supporta il più ampio quadro MiCA:

• I meccanismi di governance dell’articolo 68 richiedono che il personale abbia una conoscenza sufficiente dell’impresa.
• Il titolo VI sull’abuso di mercato richiede che il personale nei ruoli di trading, sorveglianza e prodotto riconosca i segnali di allarme e li inoltri in STOR.
• L’articolo 13(6) di DORA richiede programmi di sensibilizzazione sulla sicurezza ICT e formazione sulla resilienza operativa digitale per tutto il personale.
• L’articolo 12 dell’AMLR e il regolamento AML richiedono formazione AML/CFT adattata a ciascun ruolo, comprese le regole operative della Travel Rule: informazioni sull’ordinante e sul beneficiario, la soglia di 1.000 EUR e la verifica degli indirizzi self-hosted.

Un catalogo di formazione CASP pratico

Un catalogo di formazione CASP pratico include quindi almeno: fondamenti MiCA come base per tutto il personale; conoscenze e competenze ESMA (livello Informazioni) e il livello Consulenza per le imprese che forniscono consulenza o gestiscono portafogli; un modulo su abuso di mercato cripto e STOR; DORA e resilienza operativa ICT; custodia delle cripto-attività dei clienti; e formazione su AML, sanzioni e Travel Rule.

Terzo pilastro: whistleblowing sotto tre regimi contemporaneamente

Perché un singolo canale non è più sufficiente

È sul whistleblowing che molti CASP sottovalutano le richieste normative. Un singolo canale deve soddisfare tre regimi europei sovrapposti.

Il primo è la direttiva (UE) 2019/1937, la direttiva UE sul whistleblowing, recepita da ciascuno Stato membro. Si applica orizzontalmente alle persone giuridiche del settore privato con 50 o più lavoratori, con una soglia inferiore per le entità di servizi finanziari. Richiede un canale di segnalazione interno che consenta segnalazioni riservate (e, in molti recepimenti, segnalazioni anonime), confermi la ricezione entro sette giorni, fornisca un riscontro entro tre mesi, protegga i segnalanti da ritorsioni e offra un canale esterno tramite l’autorità competente. I CASP rientrano pienamente nell’ambito di applicazione.

Il secondo è l’articolo 116 di MiCA (“Segnalazione di violazioni e protezione delle persone che segnalano violazioni”). Richiede agli Stati membri di garantire che le autorità competenti istituiscano meccanismi efficaci per consentire e incoraggiare la segnalazione di violazioni effettive o potenziali di MiCA, e richiede ai CASP autorizzati e ad altre persone giuridiche interessate di disporre di procedure interne appropriate affinché i loro dipendenti e le persone in posizione comparabile segnalino le violazioni attraverso un canale specifico, indipendente e autonomo. Le protezioni includono la stretta riservatezza dell’identità, la protezione contro la discriminazione o il trattamento ingiusto e il divieto di clausole contrattuali che impedirebbero la segnalazione.

Il terzo è il regolamento AML. Ai sensi dell’AMLD6 (direttiva (UE) 2024/1640), i soggetti obbligati devono istituire procedure interne per la segnalazione di violazioni degli obblighi AML/CFT attraverso un canale specifico, indipendente e anonimo. L’AMLA, istituita dal regolamento (UE) 2024/1620, coordinerà sempre più questi canali di segnalazione a livello europeo.

Cosa deve fare un canale pronto per i CASP

Un singolo canale CASP che soddisfa tutti e tre i regimi deve:

• Accettare segnalazioni di violazioni MiCA, violazioni AML/CFT e violazioni legali generali.
• Consentire segnalazioni per iscritto e oralmente, con l’opzione dell’anonimato.
• Indirizzare le segnalazioni a una persona o funzione imparziale designata con l’autorità di indagare.
• Confermare la ricezione entro sette giorni e fornire un riscontro al segnalante entro tre mesi.
• Proteggere l’identità del segnalante con rigorosi controlli di accesso e barriere informative.
• Vietare ritorsioni in qualsiasi forma e fornire un percorso di escalation all’autorità competente e, ove appropriato, all’unità di informazione finanziaria.
• Conservare i documenti per il periodo richiesto dalla legge nazionale applicabile.
• Essere gestito secondo procedure documentate da operatori formati, perché l’autorità di vigilanza chiederà di vedere come è stato gestito un caso specifico.

Il modo più semplice per fallire è mantenere un canale etico generico che è stata istituita ai sensi della direttiva sul whistleblowing nel 2022 e mai rivalutata rispetto all’articolo 116 di MiCA o all’AMLD6. La prossima impresa a ottenere l’autorizzazione sarà quella in grado di dimostrare, su una singola pagina, come il suo canale si collega a ciascuno dei tre regimi.

Una checklist pratica di conformità MiCA per il 2026

Prima del 28 luglio 2026, un CASP credibile può dimostrare:

• Un insieme completo di policy native MiCA che copre almeno le tredici aree principali sopra indicate, più policy di seconda ondata rilevanti per i suoi servizi, tradotte nelle lingue degli Stati membri che serve.
• Un programma di formazione che soddisfa lo standard ESMA di conoscenze e competenze a livello Informazioni e, ove applicabile, livello Consulenza, con registrazioni individuali di valutazione, completamento e aggiornamento.
• Formazione per tutto il personale sui fondamenti MiCA, abuso di mercato, DORA, custodia e la sovrapposizione AML/Travel Rule.
• Un canale di whistleblowing mappato alla direttiva UE sul whistleblowing, all’articolo 116 di MiCA e all’AMLD6, con procedure documentate, operatori formati e registri di audit.
• Una traccia di prove, conferme, completamenti, certificazioni, fascicoli di casi, cronologia delle versioni, che può essere prodotta su richiesta per l’autorità competente.

Questa è la base, non l’ambizione.

Come aiuta il MiCA Booster Pack di Trusty

Se preferisci non costruire tutto questo da zero, il MiCA Booster Pack di Trusty è progettato per fare la maggior parte del lavoro al posto Suo. Fornisce 17 policy native MiCA e 11 documenti di formazione pronti all’uso, tutti disponibili in sei lingue (inglese, tedesco, italiano, spagnolo, francese e portoghese), redatti da esperti di conformità in base a MiCA, Travel Rule, AMLR, AMLD6, DORA e agli orientamenti ESMA. Funziona sulla piattaforma Trusty Compliance, con una traccia di audit integrata delle conferme delle policy e dei completamenti della formazione, un flusso di lavoro per la gestione dei reclami allineato all’articolo 71 e un canale di whistleblowing mappato sulla direttiva UE sul whistleblowing, sull’articolo 116 di MiCA e su AMLD6.

Il prezzo è di 1.900 € all’anno, oltre il 40% in meno rispetto al prezzo al dettaglio dei componenti. I CASP che adottano il pack tendono a essere pronti per l’autorizzazione in giorni anziché mesi.

Per vedere come si adatterebbe alla Sua organizzazione, visiti trusty.report o scrivi a sales@trusty.report.

Disclaimer: questo articolo è pubblicato a scopo informativo generale e non costituisce consulenza legale. Laddove MiCA, la Travel Rule, AMLR, AMLD6, DORA o gli orientamenti ESMA si applichino alla Sua situazione specifica, consulta un legale qualificato negli Stati membri in cui operi.