+Fattori di rischio

Fattori di rischio

Fattori di rischio connessi a prodotti, servizi e operazioni

21.3. I seguenti fattori possono contribuire ad aumentare il rischio :

a) i prodotti o servizi forniti da un prestatore di servizi per le cripto-attività offrono un grado più elevato di anonimato;
b) il prodotto consente pagamenti da parte di terzi che non sono associati al prodotto né sono sottoposti a identificazione e verifica iniziale, laddove tali pagamenti non hanno una logica economica evidente;
c) il prodotto non pone restrizioni iniziali in termini di volume o valore complessivo delle operazioni;
d) il prodotto consente operazioni tra il conto del cliente e:
i. indirizzi auto-ospitati;
ii. conti di cripto-attività o indirizzi di registro distribuito gestiti da un prestatore di servizi per le cripto-attività quale definito nell’orientamento 9.20 o che è soggetto a un regime di regolamentazione e vigilanza in materia di AML/CFT meno rigoroso del regime previsto dalla direttiva (UE) 2015/849;
iii. una piattaforma di scambio di criptovalute tra pari o un altro tipo di applicazione decentralizzata o distribuita per le cripto-attività che non è controllata o influenzata da una persona giuridica o fisica (spesso definita «finanza decentralizzata»);
iv. piattaforme che mirano a occultare le operazioni e ad agevolare l’anonimato, come piattaforme mixer o tumbler;
v. hardware impiegato per scambiare cripto-attività con valute ufficiali o viceversa (come gli sportelli automatici per le cripto-attività), mediante l’utilizzo di denaro contante o moneta elettronica, che beneficia di esenzioni ai sensi dell’articolo 12 della direttiva (UE) 2015/849 o che non rientra nel regime di regolamentazione e vigilanza dell’UE;
e) prodotti che comportano il ricorso a nuove pratiche di business, compresi nuovi canali di distribuzione, e l’utilizzo di tecnologie in cui il livello del rischio di ML/TF non può essere valutato in modo affidabile dal prestatore di servizi per le cripto-attività in conformità dell’orientamento 1.7, lettera d), a causa della mancanza di informazioni;
f) situazioni in cui il prestatore di servizi per le cripto-attività all’ingrosso esercita uno scarso controllo sul servizio « nested » fornito da un altro prestatore di servizi per le cripto-attività;

g) i risultati

di un’analisi condotta con strumenti analitici avanzati indicano un

maggiore livello di rischio. 21.4. I seguenti fattori possono contribuire a ridurre il rischio :

a) prodotti con funzionalità ridotta, come operazioni di volume o valore modesto;
b) il prodotto consente operazioni tra il conto del cliente e
i. conti di cripto-attività o indirizzi di registro distribuito a nome del cliente detenuti da un prestatore di servizi per le cripto-attività;
ii. un conto di cripto-attività o un indirizzo di registro distribuito a nome del cliente detenuto da un prestatore di servizi per le cripto-attività, diverso da quelli disciplinati dal regolamento (UE) 2023/1114 (⁶ ), che è soggetto al di fuori dell’UE a un quadro di regolamentazione altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114 e che è soggetto a un quadro di regolamentazione e vigilanza in materia di AML/CTF altrettanto rigoroso rispetto a quello previsto dalla direttiva (UE) 2015/849;
iii. un conto bancario intestato al cliente presso un ente creditizio soggetto al quadro di regolamentazione e vigilanza in materia di AML/CTF di cui alla direttiva (UE) 2015/849 o a un altro quadro legislativo al di fuori dell’UE altrettanto rigoroso rispetto a quello previsto dalla direttiva (UE) 2015/849; o
c) la natura e la portata dei canali o dei sistemi di pagamento utilizzati dal prestatore di servizi per le cripto-attività sono limitate a sistemi a circuito chiuso o a sistemi destinati ad agevolare micropagamenti o pagamenti da pubblica amministrazione a persona e da persona a pubblica amministrazione;
d) il prodotto è disponibile solo per un gruppo limitato e definito di clienti, come i dipendenti di una società che ha emesso una cripto-attività.

Fattori di rischio relativi ai clienti

21.5. I seguenti fattori possono contribuire ad aumentare il rischio :

a) per quanto riguarda la natura del cliente in particolare:
i. un’organizzazione senza scopo di lucro che è stata collegata, sulla base di fonti affidabili e indipendenti, all’estremismo, alla propaganda estremista, a contatti con il terrorismo o ad attività terroristiche, o che è stata coinvolta in irregolarità o attività criminali, compresi casi di ML/TF o di corruzione;
ii. un’impresa che è una banca di comodo, come definita all’articolo 3, paragrafo 17, della direttiva (UE) 2015/849, o un altro tipo di società di comodo;
iii. una società di recente costituzione che gestisce grandi volumi di operazioni;

(⁶ ) Regolamento (UE) 2023/1114 relativo ai mercati delle cripto-attività e che modifica i regolamenti (UE) n. 1093/2010 e (UE) n. 1095/2010 e le direttive 2013/36/UE e (UE) 2019/1937.

iv. una società legalmente registrata che gestisce grandi volumi di operazioni dopo un periodo di inattività in seguito alla costituzione;
v. un’impresa che ha un rapporto continuativo con un’altra o altre imprese del gruppo, in base alla definizione di cui all’articolo 3, paragrafo 15, della direttiva (UE) 2015/849, che fornisce prodotti e servizi relativi a cripto-attività;
vi. un’impresa o una persona che utilizza un indirizzo IP associato a una darknet
o un software che consente la comunicazione anonima, compresi messaggi di posta elettronica criptati, servizi di posta elettronica anonimi o temporanei e reti private virtuali;
vii. una persona vulnerabile, ossia una persona che verosimilmente non è un cliente tipico di un prestatore di servizi per le cripto-attività o una persona che mostra una conoscenza e una comprensione molto limitate delle cripto-attività o della tecnologia correlata, come dimostrato dai risultati di una verifica dell’adeguatezza/conoscenza o da altri contatti con il cliente, e che tuttavia decide di effettuare operazioni frequenti o di valore elevato, può aumentare il rischio che il cliente sia utilizzato come « Money Mule »;
b) per quanto riguarda il comportamento del cliente , situazioni in cui il cliente:
i. cerca di aprire più conti di cripto-attività presso il prestatore di servizi per le cripto-attività senza una logica economica o uno scopo imprenditoriale evidente;
ii. o il titolare effettivo del cliente non può o non intende fornire le informazioni necessarie in materia di adeguata verifica della clientela, su richiesta del prestatore di servizi per le cripto-attività, senza alcuna legittima giustificazione:
a) evitando deliberatamente il contatto diretto con un prestatore di servizi

per

le cripto-attività, sia di persona che a distanza;

b) tentando di occultare il titolare effettivo dei fondi attraverso il

coinvolgimento fiduciari

di agenti o soggetti associati, quali prestatori, servizi o societari, nel rapporto continuativo o nelle operazioni;

c) non rispondendo o cercando di trarre in inganno il prestatore di servizi

per utilizzati operazioni;

le cripto-attività in merito all’origine dei fondi o delle cripto-attività per ottenere cripto-attività o in merito allo scopo delle

iii. utilizza un indirizzo IP o un dispositivo mobile collegato a più clienti, senza una logica economica evidente, o noto per essere collegato ad attività potenzialmente illegali o criminali; o il conto di cripto-attività del cliente è accessibile da più indirizzi IP senza un legame evidente con il cliente;
iv. fornisce informazioni incoerenti, tra l’altro quando l’indirizzo IP del cliente non è coerente con altre informazioni sul cliente, quali le informazioni necessarie per accompagnare un trasferimento in conformità dell’articolo 14, paragrafi 1 e 2, del regolamento (UE) 2023/1113, o la residenza abituale, la registrazione o le attività imprenditoriali del cliente (sia al momento dell’instaurazione del rapporto continuativo sia al momento dell’operazione), le informazioni sull’origine dei fondi o delle cripto-attività non sono coerenti con altre informazioni relative all’adeguata verifica della clientela o con il profilo generale del cliente;
v. utilizza un indirizzo, una sede o un indirizzo IP collegati a conti di cripto-attività registrati a nome di utenti diversi presso uno o più prestatori di servizi per le cripto-attività;
vi. modifica spesso i dati personali o gli strumenti di pagamento senza una ragione evidente;
vii. riceve o trasferisce spesso, in o da indirizzi auto-ospitati, importi di cripto-attività di poco inferiori alla soglia di 1 000 EUR, di cui all’articolo 14, paragrafo 5, e all’articolo 16, paragrafo 2, del regolamento (UE) 2023/1113, che attiva la verifica del beneficiario o del cedente;
viii. indica che lo scopo è investire in un’offerta pubblica iniziale di token o in un prodotto o una cripto-attività che offre un rendimento sproporzionatamente elevato e ha base in un paese ad alto rischio o è associato/a a indicazioni significative relative a frodi o non è supportato/a da un White Paper come richiesto dal regolamento (UE) 2023/1114 (⁷ );
ix. mostra comportamenti o esegue operazioni che non sono in linea con quelli previsti in funzione della tipologia di cliente o della categoria di rischio di appartenenza o che si discostano da quelli attesi sulla base delle informazioni fornite dal cliente al prestatore di servizi per le cripto-attività all’inizio o nel corso del rapporto continuativo. Tali circostanze includono i casi in cui il cliente:

a)		aumenta inaspettatamente e senza un motivo evidente il volume o il valore di un trasferimento o di trasferimenti combinati di cripto-attività dopo un periodo di inattività;
b)		effettua operazioni con frequenza e volume di cripto-attività insolitamente elevati, in modo incoerente rispetto allo scopo e alla natura del rapporto continuativo e senza una finalità economica evidente;

(⁷ ) Regolamento (UE) 2023/1114 relativo ai mercati delle cripto-attività e che modifica i regolamenti (UE) n. 1093/2010 e (UE) n. 1095/2010 e le direttive 2013/36/UE e (UE) 2019/1937.

aumenta il limite delle operazioni in modo non commisurato al reddito dichiarato o comunque supera il volume di attività previsto;

x. mostra comportamenti e modelli insoliti poiché comportano trasferimenti non giustificati verso/da indirizzi di registro distribuito o conti di cripto-attività in più paesi senza un evidente scopo imprenditoriale o lecito;
xi. nello scambiare cripto-attività con valute ufficiali e viceversa il cliente:
a) utilizza più conti bancari o di pagamento, carte di credito o carte

prepagate

per finanziare il conto di cripto-attività;

b) utilizza un conto bancario o di pagamento o una carta di credito a nome

una persona diversa, con la quale non ha legami evidenti;

c) utilizza un conto bancario o di pagamento situato in un paese che non

corrisponde

all’indirizzo o alla sede dichiarati dal cliente;

d) si avvale di molteplici prestatori di servizi di pagamento;
e) richiede ripetutamente lo scambio di cripto-attività con denaro contante

o utilizza attività o

moneta elettronica anonima e viceversa; protocolli che collegano due blockchain per scambiare cripto-con altre cripto-attività in una rete diversa, come Monero, Zcash simili;

g) utilizza sportelli automatici per le cripto-attività in diverse sedi per

trasferire

ripetutamente fondi su un conto bancario;

h) effettua il prelievo di cripto-attività da un prestatore di servizi per le

cripto-attività deposito un

verso un indirizzo auto-ospitato immediatamente dopo il di cripto-attività o lo scambio con diverse cripto-attività presso prestatore di servizi per le cripto-attività;

xii. investe o scambia cripto-attività prese in prestito tramite una piattaforma di prestito tra pari o un’altra piattaforma di prestito che non rientra nell’ambito di applicazione del regolamento (UE) 2023/1114 o di altri quadri normativi pertinenti all’interno o all’esterno dell’UE e che è in particolare un’applicazione decentralizzata o distribuita non soggetta al controllo o all’influenza di una persona fisica o giuridica;
xiii. riceve o invia, direttamente o indirettamente, cripto-attività che sono associate alla darknet o che sono il risultato di attività illecite;
xiv. investe o scambia cripto-attività di per sé associate a un maggior grado di anonimato o riceve cripto-attività sottoposte a processi di aumento del livello di anonimato, in particolare processi di occultamento dell’operazione su tecnologia a registro distribuito o con altre caratteristiche simili a quelle di cui all’orientamento 21.5, lettera a);
xv. ripetutamente riceve cripto-attività da o invia cripto-attività a:
a) un conto di cripto-attività attraverso un prestatore di servizi per le cripto-

attività regolamento all’interno regolamentazione quello

intermediario che non rientra nell’ambito di applicazione del (UE) 2023/1114 o di altri quadri normativi pertinenti o all’esterno dell’UE o che è soggetto a un quadro di e vigilanza in materia di AML/CTF meno rigoroso di previsto dalla direttiva (UE) 2015/849;

b) più indirizzi auto-ospitati o conti di cripto-attività detenuti dallo stesso o

da economica

diversi prestatori di servizi per le cripto-attività senza una logica evidente;

c) un conto di cripto-attività di nuova creazione o precedentemente inattivo

un indirizzo di registro distribuito detenuto da un terzo;

d) indirizzi auto-ospitati su piattaforme decentralizzate che comportano

l’uso grado registro compromettendo cripto-attività efficaci

di mixer, tumbler e altre tecnologie per la tutela della privacy in di occultare la cronologia finanziaria associata all’indirizzo di distribuito e l’origine dei fondi per l’operazione, pertanto la capacità del prestatore di servizi per le di conoscere i propri clienti e di attuare sistemi e controlli in materia di AML/CTF;

e) un conto di cripto-attività subito dopo l’onboarding da parte del

prestatore trasferimento economica un di 1 del

di servizi per le cripto-attività, con un successivo prelievo o da tale conto in un breve periodo di tempo senza una logica evidente; conto di cripto-attività spesso al di sotto di una soglia definita o, in caso trasferimenti a un indirizzo auto-ospitato, al di sotto della soglia di 000 EUR di cui all’articolo 14, paragrafo 5, e all’articolo 16, paragrafo 2, regolamento (UE) 2023/1113;

g) un conto di cripto-attività suddividendo le operazioni in molteplici

operazioni smurfing;

verso più indirizzi di registro distribuito mediante tecniche di

xvi. il cliente sembra sfruttare a proprio vantaggio anomalie o malfunzionamenti tecnologici;
xvii. il cliente indica che le cripto-attività trasferite al prestatore di servizi per le cripto-attività sono state ottenute attraverso ricompense di mining o staking, ma tali ricompense non sembrano essere proporzionate alle cripto-attività generate mediante tali attività.

21.6. I seguenti fattori possono contribuire a ridurre il rischio se:

a) il cliente, durante precedenti operazioni in cripto-attività, ha rispettato gli obblighi di informazione previsti nel regolamento (UE) 2023/1113 e ulteriormente specificati nella sezione 4 degli orientamenti dell’ABE sulla «Travel Rule» (⁸ ) e ha fornito informazioni che consentono l’identificazione di un cliente o la possibilità di verificarla in caso di dubbi o sospetti;
b) le precedenti operazioni in cripto-attività del cliente non hanno dato adito a sospetti o preoccupazioni e il prodotto o il servizio richiesto è in linea con il profilo di rischio del cliente;
c) il cliente richiede lo scambio con una valuta ufficiale o viceversa e l’origine o la destinazione dei fondi è il conto bancario del cliente stesso presso un ente creditizio in un paese valutato a basso rischio dal prestatore di servizi per le cripto-attività;
d) il cliente richiede un’operazione di scambio e l’origine o la destinazione della cripto-attività è il conto di cripto-attività del cliente stesso o un indirizzo di registro distribuito ospitato da un prestatore di servizi per le cripto-attività disciplinato dal regolamento (UE) 2023/1114 o da un prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114, regolamentato e sottoposto a vigilanza al di fuori dell’UE in un quadro normativo altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114 e soggetto a requisiti in

materia

AML/CFT altrettanto rigorosi rispetto a quelli previsti dalla direttiva

(UE) 2015/849, che è stato inserito nella lista bianca o altrimenti valutato a basso rischio dal prestatore di servizi per le cripto-attività;

e) il cliente richiede un’operazione di scambio e l’origine o la destinazione della cripto-attività afferisce a pagamenti di valore ridotto per prodotti e servizi da/verso un conto di cripto-attività o un indirizzo di registro distribuito per il quale non sono disponibili informazioni negative;
f) il cliente effettua trasferimenti tra due prestatori di servizi per le cripto-attività o un prestatore di servizi per le cripto-attività e un altro prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114 che è soggetto a regolamentazione e vigilanza all’interno dell’UE, o comunque a un quadro normativo altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114, e che è soggetto a requisiti in materia di AML/CFT altrettanto rigorosi rispetto a quelli previsti dalla direttiva (UE) 2015/849.

Fattori di rischio geografici o correlati al paese

21.7. I seguenti fattori possono contribuire ad aumentare il rischio :

a) i fondi del cliente scambiati con cripto-attività derivano da rapporti personali o continuativi con paesi associati a un rischio più elevato di ML/TF;

(⁸ ) Orientamenti sulla prevenzione dell’abuso di fondi e di determinati trasferimenti di cripto-attività a fini di riciclaggio e finanziamento del terrorismo ai sensi del regolamento (UE) 2023/1113, [... inserire qui il numero di tali orientamenti dopo l’adozione, attualmente in consultazione (EBA/CP/2023/35)] (Orientamenti sulla «Travel Rule»).

b) il conto

origine o beneficiario delle cripto-attività o un indirizzo di registro

distribuito è collegato a un paese associato a un rischio più elevato di ML/TF o a paesi/regioni noti per fornire finanziamenti o sostegno ad attività terroristiche o per ospitare le attività di gruppi che commettono reati di terrorismo e a paesi

soggetti

sanzioni finanziarie, embarghi o misure connesse al terrorismo, al

finanziamento del terrorismo o alla proliferazione;

c) il cliente o il suo titolare effettivo è residente, ha sede, opera o ha rapporti personali
o continuativi in un paese associato a un rischio più elevato di ML/TF;
d) il rapporto continuativo è instaurato attraverso un prestatore di servizi per le cripto-attività o uno sportello automatico per le cripto-attività situato in una regione o un paese associato a livelli elevati di rischio di ML/TF;
e) il cliente è coinvolto in operazioni di estrazione di cripto-attività, direttamente o indirettamente attraverso rapporti con terzi, che si svolgono in un paese a rischio elevato, individuato dalla Commissione europea in conformità dell’articolo 9 della direttiva (UE) 2015/849, o in un paese soggetto a misure restrittive o a sanzioni finanziarie mirate.

21.8. I seguenti fattori possono contribuire a ridurre il rischio :

a) il trasferimento proviene da o è inviato a un conto di cripto-attività o a un indirizzo di registro distribuito ospitato da un prestatore di servizi per le cripto-attività o da un prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114 in un paese associato a bassi livelli di rischio di ML/TF.

Fattori di rischio inerenti ai canali di distribuzione

21.9. I seguenti fattori possono contribuire ad aumentare il rischio :

a) il rapporto continuativo è instaurato mediante soluzioni di onboarding a distanza del cliente che non sono conformi agli orientamenti dell’ABE sull’onboarding a distanza del cliente (⁹ );
b) non vi sono restrizioni sullo strumento di funding, ad esempio nel caso di denaro contante, assegni o prodotti di moneta elettronica che beneficiano della deroga di cui all’articolo 12 della direttiva (UE) 2015/849;
c) il rapporto continuativo tra il prestatore di servizi per le cripto-attività e il cliente è instaurato attraverso un prestatore di servizi per le cripto-attività intermediario quale definito al precedente orientamento 9.20;
d) l’identificazione e la verifica di un cliente sono effettuate da un prestatore di servizi per le cripto-attività situato in un paese a rischio elevato sulla base di un accordo di esternalizzazione, in conformità dell’articolo 29 della direttiva (UE) 2015/849;

(⁹ ) Orientamenti sull’utilizzo di soluzioni di onboarding a distanza del cliente per le finalità di cui all’articolo 13, paragrafo 1, della direttiva (UE) 2015/849 (EBA/GL/2022/15).

e) nuovi canali di distribuzione o nuove tecnologie per la distribuzione di cripto-attività che non sono ancora stati completamente testati o che presentano un livello più elevato di rischio di ML/TF;
f) il rapporto continuativo è instaurato attraverso sportelli automatici per le cripto-

attività,

con

un conseguente aumento del rischio dovuto all’utilizzo di denaro

contante.

21.10. I seguenti fattori possono contribuire a ridurre il rischio :

a) il prestatore di servizi per le cripto-attività fa affidamento su misure di adeguata verifica della clientela applicate da un terzo in conformità dell’articolo 26 della direttiva (UE) 2015/849 e tale terzo è situato nell’UE.

1. Panoramica

Titolo	Regolamentazione

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

Requisiti
Fonte	Requisito

3. Standard correlati

Standard
Fonte	Requisito

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.