Dejan Jasnic · Co-fondatore e Compliance Lead, Trusty · Oltre 20 anni di esperienza in antifrode e compliance · Membro del consiglio direttivo dell’ACFE Swiss Chapter
Per una società crypto che entra nel mercato UE, ottenere una licenza MiCA è solo una parte del quadro di compliance.
Il MiCA risponde a domande quali:
Può fornire legalmente servizi per le cripto-attività nell’UE e come deve operare l’azienda?
La legislazione antiriciclaggio dell’UE chiede qualcosa di diverso:
In che modo deve identificare i clienti, valutare il rischio di riciclaggio, monitorare le transazioni e rispondere alle attività sospette?
Per molti fornitori di servizi per le cripto-attività, la risposta non è quindi MiCA o AMLD.
È MiCA e compliance AML.
fin dal primo giorno
Stai preparando la Sua domanda MiCA? Il Trusty MiCA Booster Pack Le offre policy pronte all’uso, formazione del personale e un canale di whistleblowing, già mappati su MiCA e DORA.
MiCA vs AMLD in sintesi
MiCA | Quadro AML dell'UE | |
|---|---|---|
Scopo principale | Regolare i mercati UE delle cripto-attività e i fornitori di servizi per le cripto-attività | Prevenire il riciclaggio di denaro e il finanziamento del terrorismo |
Principali imprese interessate | Fornitori di servizi per le cripto-attività, emittenti e altri partecipanti al mercato crypto | CASP e altri soggetti obbligati, finanziari e non finanziari |
Autorizzazione CASP | Sì | In passato la registrazione AML era prevista dai regimi nazionali, ma non sostituisce l'autorizzazione MiCA |
Identificazione del cliente | I controlli AML fanno parte del sistema di compliance dei CASP | Sì |
Controlli sui titolari effettivi | Rilevante tramite la compliance AML | Sì |
Screening PEP | Non è la funzione principale del MiCA | Sì |
Controlli sulle sanzioni | Rilevante per la compliance complessiva | Sì |
Monitoraggio delle transazioni | Sono richiesti sistemi AML | Sì |
Segnalazione di transazioni sospette | Disciplinata dalle norme AML | Sì |
Abuso di mercato | Sì, il MiCA contiene norme sull'integrità del mercato crypto | Non è l'obiettivo principale |
Tutela del cliente | Sì | Non è l'obiettivo principale |
Requisiti prudenziali | Sì per i CASP | Non è l'obiettivo principale |
Cosa richiede il MiCA alle società crypto?
Il Regolamento sui mercati delle cripto-attività, o MiCA, istituisce un quadro regolamentare armonizzato per le cripto-attività e i servizi per le cripto-attività nell’UE.
Tra le altre cose, il MiCA disciplina:
- l’autorizzazione dei fornitori di servizi per le cripto-attività;
- la governance;
- le salvaguardie prudenziali;
- la protezione dei clienti;
- la custodia delle attività dei clienti;
- i conflitti di interesse;
- la conservazione dei dati;
- i requisiti operativi;
- gli abusi di mercato;
- i requisiti di trasparenza.
Un’impresa generalmente non può fornire servizi per le cripto-attività nell’UE a meno che non sia debitamente autorizzata ai sensi del MiCA o non si qualifichi come altro soggetto finanziario regolamentato autorizzato a fornire tali servizi ai sensi del Regolamento.
Le disposizioni transitorie del MiCA per i fornitori nazionali preesistenti non potevano protrarsi oltre il 1° luglio 2026. A settembre 2026 il periodo transitorio massimo previsto a livello UE (grandfathering) è quindi già scaduto.
Il MiCA include requisiti AML?
Il MiCA interagisce direttamente con la compliance AML, ma non sostituisce il quadro AML dell’UE.
Ad esempio, il MiCA richiede ai fornitori di servizi per le cripto-attività di mantenere sistemi e procedure adeguati per la valutazione del rischio e la conformità alla normativa AML/CFT applicabile.
Una grave carenza nel mantenimento di controlli efficaci antiriciclaggio e di contrasto al finanziamento del terrorismo può avere conseguenze anche sull’autorizzazione di un CASP.
Quindi la compliance AML non è un’opzione aggiuntiva rispetto alla licenza MiCA.
È parte integrante della gestione conforme di un’attività crypto.
Cosa richiede l'AMLD alle società crypto?
L’UE ha progressivamente integrato le società crypto nel proprio quadro AML/CFT.
Nell’attuale quadro normativo, i fornitori di servizi per le cripto-attività che rientrano nell’ambito di applicazione sono trattati come soggetti obbligati.
Ciò introduce i consueti controlli sui reati finanziari nelle operazioni crypto, tra cui:
- identificazione e verifica del cliente;
- identificazione del titolare effettivo;
- valutazione del rischio;
- adeguata verifica rafforzata per i rapporti a rischio più elevato;
- controlli PEP;
- controlli relativi alle sanzioni;
- monitoraggio costante;
- segnalazione di transazioni sospette;
- conservazione dei dati;
- policy e controlli AML interni.
Le procedure specifiche dovrebbero riflettere la natura e il rischio dei servizi crypto forniti.
L'AMLD è ancora il termine corretto nel 2026?
Nell’uso quotidiano, sì, ma a livello legale il quadro normativo dell’UE sta cambiando.
Molte imprese parlano ancora di “requisiti AMLD crypto”, “MiCA vs AMLD” o “5AMLD crypto”, quindi il termine resta diffuso.
Tuttavia, nel 2024 l’UE ha adottato un nuovo pacchetto legislativo in materia di AML.
Una parte centrale di tale pacchetto è il Regolamento (UE) 2024/1624, comunemente denominato Regolamento AML o AMLR.
La maggior parte dell’AMLR si applica dal 10 luglio 2027.
Ciò significa che le società crypto che nel 2026 stanno predisponendo i propri sistemi dovrebbero guardare oltre il quadro storico dell’AMLD e assicurarsi che la propria architettura di compliance sia in grado di accogliere i requisiti in arrivo dell’AMLR.
Quali controlli AML servono a una società crypto?
Per un CASP, la compliance AML inizia generalmente prima che un cliente effettui la sua prima transazione significativa.
1. Identificazione del cliente
L’azienda deve identificare i clienti e verificare la loro identità utilizzando informazioni affidabili.
Per le persone giuridiche, ciò significa anche capire chi possiede o controlla in ultima istanza il cliente.
2. Controlli sul titolare effettivo
Per un cliente aziendale, la verifica non dovrebbe fermarsi alla ragione sociale.
Il CASP deve identificare i relativi titolari effettivi e comprendere la struttura di proprietà e controllo.
3. Screening PEP
I clienti e i titolari effettivi devono essere valutati, ove applicabile, rispetto allo status di persona politicamente esposta.
Un rapporto con un PEP non è automaticamente vietato.
Normalmente comporta l’adozione di misure aggiuntive di gestione del rischio, inclusa una verifica rafforzata.
4. Screening sulle sanzioni
Le sanzioni finanziarie sono collegate all’AML, ma giuridicamente distinte da essa.
I CASP necessitano di controlli in grado di identificare clienti, titolari effettivi e controparti rilevanti soggetti alle restrizioni sanzionatorie applicabili.
5. Valutazione del rischio cliente
Non tutti i clienti crypto presentano lo stesso rischio di riciclaggio.
I fattori rilevanti possono includere:
- area geografica;
- tipo di cliente;
- struttura proprietaria;
- prodotto o servizio utilizzato;
- comportamento transazionale;
- origine dei fondi;
- canale di erogazione;
- esposizione a giurisdizioni ad alto rischio.
Il risultato dovrebbe determinare il livello di adeguata verifica e di monitoraggio appropriato per il rapporto.
6. Monitoraggio delle transazioni
L’onboarding del cliente è solo l’inizio.
Le imprese crypto devono monitorare l’attività per individuare schemi insoliti, incoerenti con il profilo del cliente noto o indicativi di riciclaggio di denaro o finanziamento del terrorismo.
Ciò può includere la considerazione di:
- frequenza delle transazioni;
- dimensione delle transazioni;
- controparti;
- esposizione del wallet;
- rischio geografico;
- movimenti insoliti tra fiat e crypto;
- interazioni con servizi a rischio più elevato.
7. Segnalazione di transazioni sospette
Quando sussistono i presupposti di sospetto previsti dalla legge, i soggetti obbligati devono effettuare una segnalazione all’Unità di informazione finanziaria competente ai sensi del quadro normativo nazionale applicabile.
E i wallet self-hosted?
Gli indirizzi self-hosted sono una questione particolarmente importante e specifica del settore crypto.
Il quadro UE richiede ai CASP di identificare e valutare i rischi di riciclaggio e finanziamento del terrorismo associati ai trasferimenti da o verso indirizzi self-hosted.
La mitigazione del rischio può includere:
- ottenere informazioni aggiuntive;
- identificare o verificare l’ordinante o il beneficiario;
- monitoraggio rafforzato;
- determinare l’origine e la destinazione delle cripto-attività;
- applicare controlli aggiuntivi dove il rischio è elevato.
Con l’applicazione dell’AMLR, questi requisiti diventano ancora più espliciti.
Esiste una soglia KYC di 1.000 € per le crypto?
Questo punto richiede un’interpretazione attenta.
Secondo le norme dell’AMLR in vigore dal 2027, i fornitori di servizi per le cripto-attività devono applicare l’adeguata verifica della clientela alle operazioni occasionali in cripto-attività pari o superiori a 1.000 €.
Per le transazioni occasionali inferiori a 1.000 €, i CASP devono comunque eseguire almeno le misure di identificazione del cliente specificate.
E le soglie non significano mai che le transazioni sospette possano semplicemente essere ignorate.
L’adeguata verifica è richiesta anche in circostanze quali:
- instaurazione di un rapporto d’affari;
- sospetto di riciclaggio di denaro o finanziamento del terrorismo;
- dubbi sulle informazioni di identificazione precedentemente ottenute.
Quindi dire che “il KYC crypto inizia a 1.000 €” è troppo semplicistico.
Cos'è la Travel Rule UE per le crypto?
Le società crypto devono inoltre tenere conto del regolamento sui trasferimenti di fondi e di cripto-attività, il Regolamento (UE) 2023/1113.
Esso estende i requisiti di tracciabilità ai trasferimenti di cripto-attività.
In termini pratici, i CASP potrebbero dover ottenere e trasmettere informazioni sull’ordinante e sul beneficiario durante l’elaborazione dei trasferimenti crypto.
Ciò rende la compliance crypto dell’UE un quadro in tre parti:
MiCA → autorizzazione e regolamentazione del mercato crypto
Quadro AML → rischio relativo al cliente e ai reati finanziari
Regolamento sui trasferimenti di fondi → tracciabilità delle transazioni
Interagiscono tra loro, ma non sono intercambiabili.
Esempio: un exchange crypto che entra nell'UE
Immaginiamo che un exchange crypto voglia fornire servizi ai clienti in tutta l’UE.
L’autorizzazione MiCA stabilisce se l’azienda può fornire servizi regolamentati per le cripto-attività.
Ma l’exchange ha comunque bisogno di un programma AML operativo.
Questo potrebbe includere:
Cliente → identità → titolare effettivo → sanzioni → PEP → punteggio di rischio → monitoraggio delle transazioni → alert → indagine → segnalazione
L’autorizzazione MiCA non fa scomparire questi passaggi.
Anzi, controlli AML carenti possono compromettere la capacità dell’azienda di restare conforme in quanto CASP regolamentato.
Autorizzazione MiCA vs compliance AML
Un modo utile per ricordare la differenza è:
Il MiCA chiede: è autorizzato e opera correttamente come fornitore di servizi per le cripto-attività?
Le norme AML chiedono: conosce i Suoi clienti e controlli adeguatamente il rischio di criminalità finanziaria?
Un’impresa crypto normalmente deve rispondere sì a entrambe.
I CASP necessitano di screening su sanzioni e PEP?
Per una compliance AML pratica, lo screening dovrebbe far parte di un più ampio quadro di rischio del cliente.
Un flusso di lavoro di base potrebbe includere:
Onboarding del cliente
↓
Verifica dell’identità e del titolare effettivo
↓
Screening delle sanzioni e PEP
↓
Valutazione del rischio del cliente
↓
Adeguata verifica rafforzata dove richiesto
↓
Monitoraggio costante e nuovo screening
↓
Monitoraggio delle transazioni
↓
Indagine e segnalazione
Lo screening solo al momento dell’onboarding può trascurare cambiamenti successivi, come un cliente che diventa soggetto a sanzioni o acquisisce lo status di PEP.
integrato
Ha bisogno di screening su sanzioni e PEP per il Suo CASP? Trusty esegue lo screening AML insieme alle Sue policy, alla formazione del personale e al canale di whistleblowing, tutto su un’unica piattaforma. Oppure prenoti una demo.
Il MiCA non crea una scorciatoia per la compliance
Questo è un punto importante per le aziende che considerano l’autorizzazione MiCA come il traguardo finale.
Essere autorizzati ai sensi del MiCA non significa che:
- ogni cliente abbia superato automaticamente i controlli AML;
- lo screening delle sanzioni sia superfluo;
- lo screening PEP sia superfluo;
- il monitoraggio delle transazioni sia superfluo;
- le attività sospette non debbano più essere indagate;
- il rischio dei wallet self-hosted possa essere ignorato.
Licenza e compliance in materia di criminalità finanziaria sono responsabilità distinte ma collegate.
Domande frequenti
No. Il MiCA disciplina i mercati crypto e i fornitori di servizi per le cripto-attività, mentre la normativa AML dell'UE regola i controlli su riciclaggio di denaro e finanziamento del terrorismo. I CASP possono essere soggetti a entrambi.
Sì. La normativa UE include i fornitori di servizi per le cripto-attività definiti dal MiCA nel quadro AML/CFT.
Il MiCA richiede ai CASP di mantenere sistemi e procedure a supporto della conformità alla normativa AML/CFT applicabile. Gli obblighi dettagliati di adeguata verifica della clientela derivano principalmente dal quadro AML, piuttosto che dal MiCA inteso come un manuale KYC autonomo.
I CASP necessitano di controlli in grado di identificare le persone politicamente esposte rilevanti e di applicare misure rafforzate ove richiesto dalla normativa AML.
Sì, le sanzioni finanziarie applicabili devono essere rispettate. Uno screening efficace di clienti, titolari effettivi e controparti rilevanti è una componente importante di tale processo.
Nel 2024 l'UE ha adottato un nuovo pacchetto AML, che include il Regolamento AML direttamente applicabile. La maggior parte delle disposizioni dell'AMLR si applica dal 10 luglio 2027, pertanto le imprese dovrebbero verificare sia i requisiti attuali sia il quadro normativo in arrivo.
No. L'autorizzazione MiCA copre solo una parte del quadro normativo. A seconda delle proprie attività, un'impresa crypto potrebbe dover rispettare anche le norme AML/CFT, la Travel Rule per le crypto, il DORA e altri requisiti applicabili a livello UE e nazionale.
In sintesi
Il MiCA regola l’attività crypto. Le norme AML regolano il rischio di reati finanziari all’interno di tale attività.
Un CASP conforme ha quindi bisogno di qualcosa di più di una licenza.
Ha bisogno di un sistema continuo per conoscere i clienti, identificare i titolari effettivi, rilevare l’esposizione a sanzioni e PEP, valutare il rischio e monitorare i cambiamenti nel tempo.
Per le società crypto che gestiscono un’ampia base di clienti o di controparti, è qui che lo screening automatizzato diventa particolarmente prezioso: i controlli su sanzioni, PEP e notizie negative (adverse media) possono diventare parte di un flusso di lavoro ripetibile per la gestione del rischio su clienti e terze parti, anziché un’operazione di onboarding una tantum.
Fonti:
Commissione europea, Cripto-attività e MiCA
EUR-Lex, Regolamento (UE) 2024/1624 (AMLR)
Letture correlate: cosa comporta per i CASP la fine del periodo transitorio del MiCA, come funziona lo screening PEP, e il MiCA Booster Pack per le policy e la formazione di cui un CASP ha bisogno.
PRONTI ALL'AUTORIZZAZIONE
MiCA Booster Pack: 17 policy pronte all’uso, 11 corsi di formazione per il personale, un canale di whistleblowing e screening AML integrato, già mappati su MiCA, DORA e Travel Rule.