4. Modifiche

(i) Modifica del titolo degli orientamenti

(ii) Modifiche relative a oggetto, ambito di applicazione e definizioni

(iii) Modifiche dell’orientamento 1 – Valutazione del rischio: principi fondamentali per tutte le imprese

(iv) Modifiche dell’orientamento 2 – Individuazione dei fattori di rischio di ML/TF

(v) Modifiche dell’orientamento 4 – Misure di adeguata verifica della clientela che tutte le imprese devono applicare

(vi) Modifiche dell’orientamento 6 – Formazione

(vii) Modifiche dell’orientamento 8 – Orientamento settoriale per i rapporti di corrispondenza

(viii) Modifiche dell’orientamento 9 – Orientamento settoriale per le attività di retail banking

(ix) Modifiche dell’orientamento 10 – Orientamento settoriale per gli emittenti di moneta elettronica

(x) Modifiche dell’orientamento 15 – Orientamento settoriale per le imprese di investimento

(xi) Modifiche dell’orientamento 17 – Orientamento settoriale per le piattaforme di crowdfunding regolamentate

21.1. I prestatori di servizi per le cripto-attività dovrebbero tenere presente che sono esposti a rischi di ML/TF a causa delle caratteristiche specifiche del loro modello di business e della tecnologia utilizzata nella loro attività, che consente loro di trasferire cripto-attività istantaneamente in tutto il mondo e di acquisire clienti in diversi paesi. Il rischio è ancora più elevato se elaborano o agevolano operazioni ovvero offrono prodotti o servizi che garantiscono un maggior grado di anonimato.

21.2. Nell’offrire servizi per le cripto-attività, i prestatori dovrebbero rispettare le disposizioni di cui al titolo I nonché le disposizioni settoriali di cui al titolo II ove pertinenti per la loro offerta di prodotti.

Fattori di rischio connessi a prodotti, servizi e operazioni

21.3. I seguenti fattori possono contribuire ad aumentare il rischio :

• a) i prodotti o servizi forniti da un prestatore di servizi per le cripto-attività offrono un grado più elevato di anonimato;
• b) il prodotto consente pagamenti da parte di terzi che non sono associati al prodotto né sono sottoposti a identificazione e verifica iniziale, laddove tali pagamenti non hanno una logica economica evidente;
• c) il prodotto non pone restrizioni iniziali in termini di volume o valore complessivo delle operazioni;
• d) il prodotto consente operazioni tra il conto del cliente e:
• i. indirizzi auto-ospitati;
• ii. conti di cripto-attività o indirizzi di registro distribuito gestiti da un prestatore di servizi per le cripto-attività quale definito nell’orientamento 9.20 o che è soggetto a un regime di regolamentazione e vigilanza in materia di AML/CFT meno rigoroso del regime previsto dalla direttiva (UE) 2015/849;
• iii. una piattaforma di scambio di criptovalute tra pari o un altro tipo di applicazione decentralizzata o distribuita per le cripto-attività che non è controllata o influenzata da una persona giuridica o fisica (spesso definita «finanza decentralizzata»);
• iv. piattaforme che mirano a occultare le operazioni e ad agevolare l’anonimato, come piattaforme mixer o tumbler;
• v. hardware impiegato per scambiare cripto-attività con valute ufficiali o viceversa (come gli sportelli automatici per le cripto-attività), mediante l’utilizzo di denaro contante o moneta elettronica, che beneficia di esenzioni ai sensi dell’articolo 12 della direttiva (UE) 2015/849 o che non rientra nel regime di regolamentazione e vigilanza dell’UE;
• e) prodotti che comportano il ricorso a nuove pratiche di business, compresi nuovi canali di distribuzione, e l’utilizzo di tecnologie in cui il livello del rischio di ML/TF non può essere valutato in modo affidabile dal prestatore di servizi per le cripto-attività in conformità dell’orientamento 1.7, lettera d), a causa della mancanza di informazioni;
• f) situazioni in cui il prestatore di servizi per le cripto-attività all’ingrosso esercita uno scarso controllo sul servizio « nested » fornito da un altro prestatore di servizi per le cripto-attività;

maggiore livello di rischio. 21.4. I seguenti fattori possono contribuire a ridurre il rischio :

• a) prodotti con funzionalità ridotta, come operazioni di volume o valore modesto;
• b) il prodotto consente operazioni tra il conto del cliente e
• i. conti di cripto-attività o indirizzi di registro distribuito a nome del cliente detenuti da un prestatore di servizi per le cripto-attività;
• ii. un conto di cripto-attività o un indirizzo di registro distribuito a nome del cliente detenuto da un prestatore di servizi per le cripto-attività, diverso da quelli disciplinati dal regolamento (UE) 2023/1114 (⁶ ), che è soggetto al di fuori dell’UE a un quadro di regolamentazione altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114 e che è soggetto a un quadro di regolamentazione e vigilanza in materia di AML/CTF altrettanto rigoroso rispetto a quello previsto dalla direttiva (UE) 2015/849;
• iii. un conto bancario intestato al cliente presso un ente creditizio soggetto al quadro di regolamentazione e vigilanza in materia di AML/CTF di cui alla direttiva (UE) 2015/849 o a un altro quadro legislativo al di fuori dell’UE altrettanto rigoroso rispetto a quello previsto dalla direttiva (UE) 2015/849; o
• c) la natura e la portata dei canali o dei sistemi di pagamento utilizzati dal prestatore di servizi per le cripto-attività sono limitate a sistemi a circuito chiuso o a sistemi destinati ad agevolare micropagamenti o pagamenti da pubblica amministrazione a persona e da persona a pubblica amministrazione;
• d) il prodotto è disponibile solo per un gruppo limitato e definito di clienti, come i dipendenti di una società che ha emesso una cripto-attività.

Fattori di rischio relativi ai clienti

21.5. I seguenti fattori possono contribuire ad aumentare il rischio :

• a) per quanto riguarda la natura del cliente in particolare:
• i. un’organizzazione senza scopo di lucro che è stata collegata, sulla base di fonti affidabili e indipendenti, all’estremismo, alla propaganda estremista, a contatti con il terrorismo o ad attività terroristiche, o che è stata coinvolta in irregolarità o attività criminali, compresi casi di ML/TF o di corruzione;
• ii. un’impresa che è una banca di comodo, come definita all’articolo 3, paragrafo 17, della direttiva (UE) 2015/849, o un altro tipo di società di comodo;
• iii. una società di recente costituzione che gestisce grandi volumi di operazioni;

(⁶ ) Regolamento (UE) 2023/1114 relativo ai mercati delle cripto-attività e che modifica i regolamenti (UE) n. 1093/2010 e (UE) n. 1095/2010 e le direttive 2013/36/UE e (UE) 2019/1937.

• iv. una società legalmente registrata che gestisce grandi volumi di operazioni dopo un periodo di inattività in seguito alla costituzione;
• v. un’impresa che ha un rapporto continuativo con un’altra o altre imprese del gruppo, in base alla definizione di cui all’articolo 3, paragrafo 15, della direttiva (UE) 2015/849, che fornisce prodotti e servizi relativi a cripto-attività;
• vi. un’impresa o una persona che utilizza un indirizzo IP associato a una darknet
• o un software che consente la comunicazione anonima, compresi messaggi di posta elettronica criptati, servizi di posta elettronica anonimi o temporanei e reti private virtuali;
• vii. una persona vulnerabile, ossia una persona che verosimilmente non è un cliente tipico di un prestatore di servizi per le cripto-attività o una persona che mostra una conoscenza e una comprensione molto limitate delle cripto-attività o della tecnologia correlata, come dimostrato dai risultati di una verifica dell’adeguatezza/conoscenza o da altri contatti con il cliente, e che tuttavia decide di effettuare operazioni frequenti o di valore elevato, può aumentare il rischio che il cliente sia utilizzato come « Money Mule »;
• b) per quanto riguarda il comportamento del cliente , situazioni in cui il cliente:
• i. cerca di aprire più conti di cripto-attività presso il prestatore di servizi per le cripto-attività senza una logica economica o uno scopo imprenditoriale evidente;
• ii. o il titolare effettivo del cliente non può o non intende fornire le informazioni necessarie in materia di adeguata verifica della clientela, su richiesta del prestatore di servizi per le cripto-attività, senza alcuna legittima giustificazione:
• a) evitando deliberatamente il contatto diretto con un prestatore di servizi

• b) tentando di occultare il titolare effettivo dei fondi attraverso il

• c) non rispondendo o cercando di trarre in inganno il prestatore di servizi

• iii. utilizza un indirizzo IP o un dispositivo mobile collegato a più clienti, senza una logica economica evidente, o noto per essere collegato ad attività potenzialmente illegali o criminali; o il conto di cripto-attività del cliente è accessibile da più indirizzi IP senza un legame evidente con il cliente;
• iv. fornisce informazioni incoerenti, tra l’altro quando l’indirizzo IP del cliente non è coerente con altre informazioni sul cliente, quali le informazioni necessarie per accompagnare un trasferimento in conformità dell’articolo 14, paragrafi 1 e 2, del regolamento (UE) 2023/1113, o la residenza abituale, la registrazione o le attività imprenditoriali del cliente (sia al momento dell’instaurazione del rapporto continuativo sia al momento dell’operazione), le informazioni sull’origine dei fondi o delle cripto-attività non sono coerenti con altre informazioni relative all’adeguata verifica della clientela o con il profilo generale del cliente;
• v. utilizza un indirizzo, una sede o un indirizzo IP collegati a conti di cripto-attività registrati a nome di utenti diversi presso uno o più prestatori di servizi per le cripto-attività;
• vi. modifica spesso i dati personali o gli strumenti di pagamento senza una ragione evidente;
• vii. riceve o trasferisce spesso, in o da indirizzi auto-ospitati, importi di cripto-attività di poco inferiori alla soglia di 1 000 EUR, di cui all’articolo 14, paragrafo 5, e all’articolo 16, paragrafo 2, del regolamento (UE) 2023/1113, che attiva la verifica del beneficiario o del cedente;
• viii. indica che lo scopo è investire in un’offerta pubblica iniziale di token o in un prodotto o una cripto-attività che offre un rendimento sproporzionatamente elevato e ha base in un paese ad alto rischio o è associato/a a indicazioni significative relative a frodi o non è supportato/a da un White Paper come richiesto dal regolamento (UE) 2023/1114 (⁷ );
• ix. mostra comportamenti o esegue operazioni che non sono in linea con quelli previsti in funzione della tipologia di cliente o della categoria di rischio di appartenenza o che si discostano da quelli attesi sulla base delle informazioni fornite dal cliente al prestatore di servizi per le cripto-attività all’inizio o nel corso del rapporto continuativo. Tali circostanze includono i casi in cui il cliente:

(⁷ ) Regolamento (UE) 2023/1114 relativo ai mercati delle cripto-attività e che modifica i regolamenti (UE) n. 1093/2010 e (UE) n. 1095/2010 e le direttive 2013/36/UE e (UE) 2019/1937.

• x. mostra comportamenti e modelli insoliti poiché comportano trasferimenti non giustificati verso/da indirizzi di registro distribuito o conti di cripto-attività in più paesi senza un evidente scopo imprenditoriale o lecito;
• xi. nello scambiare cripto-attività con valute ufficiali e viceversa il cliente:
• a) utilizza più conti bancari o di pagamento, carte di credito o carte

• b) utilizza un conto bancario o di pagamento o una carta di credito a nome

• c) utilizza un conto bancario o di pagamento situato in un paese che non

• d) si avvale di molteplici prestatori di servizi di pagamento;
• e) richiede ripetutamente lo scambio di cripto-attività con denaro contante

• g) utilizza sportelli automatici per le cripto-attività in diverse sedi per

• h) effettua il prelievo di cripto-attività da un prestatore di servizi per le

• xii. investe o scambia cripto-attività prese in prestito tramite una piattaforma di prestito tra pari o un’altra piattaforma di prestito che non rientra nell’ambito di applicazione del regolamento (UE) 2023/1114 o di altri quadri normativi pertinenti all’interno o all’esterno dell’UE e che è in particolare un’applicazione decentralizzata o distribuita non soggetta al controllo o all’influenza di una persona fisica o giuridica;
• xiii. riceve o invia, direttamente o indirettamente, cripto-attività che sono associate alla darknet o che sono il risultato di attività illecite;
• xiv. investe o scambia cripto-attività di per sé associate a un maggior grado di anonimato o riceve cripto-attività sottoposte a processi di aumento del livello di anonimato, in particolare processi di occultamento dell’operazione su tecnologia a registro distribuito o con altre caratteristiche simili a quelle di cui all’orientamento 21.5, lettera a);
• xv. ripetutamente riceve cripto-attività da o invia cripto-attività a:
• a) un conto di cripto-attività attraverso un prestatore di servizi per le cripto-

• b) più indirizzi auto-ospitati o conti di cripto-attività detenuti dallo stesso o

• c) un conto di cripto-attività di nuova creazione o precedentemente inattivo

• d) indirizzi auto-ospitati su piattaforme decentralizzate che comportano

• e) un conto di cripto-attività subito dopo l’onboarding da parte del

• g) un conto di cripto-attività suddividendo le operazioni in molteplici

• xvi. il cliente sembra sfruttare a proprio vantaggio anomalie o malfunzionamenti tecnologici;
• xvii. il cliente indica che le cripto-attività trasferite al prestatore di servizi per le cripto-attività sono state ottenute attraverso ricompense di mining o staking, ma tali ricompense non sembrano essere proporzionate alle cripto-attività generate mediante tali attività.

21.6. I seguenti fattori possono contribuire a ridurre il rischio se:

• a) il cliente, durante precedenti operazioni in cripto-attività, ha rispettato gli obblighi di informazione previsti nel regolamento (UE) 2023/1113 e ulteriormente specificati nella sezione 4 degli orientamenti dell’ABE sulla «Travel Rule» (⁸ ) e ha fornito informazioni che consentono l’identificazione di un cliente o la possibilità di verificarla in caso di dubbi o sospetti;
• b) le precedenti operazioni in cripto-attività del cliente non hanno dato adito a sospetti o preoccupazioni e il prodotto o il servizio richiesto è in linea con il profilo di rischio del cliente;
• c) il cliente richiede lo scambio con una valuta ufficiale o viceversa e l’origine o la destinazione dei fondi è il conto bancario del cliente stesso presso un ente creditizio in un paese valutato a basso rischio dal prestatore di servizi per le cripto-attività;
• d) il cliente richiede un’operazione di scambio e l’origine o la destinazione della cripto-attività è il conto di cripto-attività del cliente stesso o un indirizzo di registro distribuito ospitato da un prestatore di servizi per le cripto-attività disciplinato dal regolamento (UE) 2023/1114 o da un prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114, regolamentato e sottoposto a vigilanza al di fuori dell’UE in un quadro normativo altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114 e soggetto a requisiti in

(UE) 2015/849, che è stato inserito nella lista bianca o altrimenti valutato a basso rischio dal prestatore di servizi per le cripto-attività;

• e) il cliente richiede un’operazione di scambio e l’origine o la destinazione della cripto-attività afferisce a pagamenti di valore ridotto per prodotti e servizi da/verso un conto di cripto-attività o un indirizzo di registro distribuito per il quale non sono disponibili informazioni negative;
• f) il cliente effettua trasferimenti tra due prestatori di servizi per le cripto-attività o un prestatore di servizi per le cripto-attività e un altro prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114 che è soggetto a regolamentazione e vigilanza all’interno dell’UE, o comunque a un quadro normativo altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114, e che è soggetto a requisiti in materia di AML/CFT altrettanto rigorosi rispetto a quelli previsti dalla direttiva (UE) 2015/849.

Fattori di rischio geografici o correlati al paese

21.7. I seguenti fattori possono contribuire ad aumentare il rischio :

• a) i fondi del cliente scambiati con cripto-attività derivano da rapporti personali o continuativi con paesi associati a un rischio più elevato di ML/TF;

(⁸ ) Orientamenti sulla prevenzione dell’abuso di fondi e di determinati trasferimenti di cripto-attività a fini di riciclaggio e finanziamento del terrorismo ai sensi del regolamento (UE) 2023/1113, [... inserire qui il numero di tali orientamenti dopo l’adozione, attualmente in consultazione (EBA/CP/2023/35)] (Orientamenti sulla «Travel Rule»).

distribuito è collegato a un paese associato a un rischio più elevato di ML/TF o a paesi/regioni noti per fornire finanziamenti o sostegno ad attività terroristiche o per ospitare le attività di gruppi che commettono reati di terrorismo e a paesi

finanziamento del terrorismo o alla proliferazione;

• c) il cliente o il suo titolare effettivo è residente, ha sede, opera o ha rapporti personali
• o continuativi in un paese associato a un rischio più elevato di ML/TF;
• d) il rapporto continuativo è instaurato attraverso un prestatore di servizi per le cripto-attività o uno sportello automatico per le cripto-attività situato in una regione o un paese associato a livelli elevati di rischio di ML/TF;
• e) il cliente è coinvolto in operazioni di estrazione di cripto-attività, direttamente o indirettamente attraverso rapporti con terzi, che si svolgono in un paese a rischio elevato, individuato dalla Commissione europea in conformità dell’articolo 9 della direttiva (UE) 2015/849, o in un paese soggetto a misure restrittive o a sanzioni finanziarie mirate.

21.8. I seguenti fattori possono contribuire a ridurre il rischio :

• a) il trasferimento proviene da o è inviato a un conto di cripto-attività o a un indirizzo di registro distribuito ospitato da un prestatore di servizi per le cripto-attività o da un prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114 in un paese associato a bassi livelli di rischio di ML/TF.

Fattori di rischio inerenti ai canali di distribuzione

21.9. I seguenti fattori possono contribuire ad aumentare il rischio :

• a) il rapporto continuativo è instaurato mediante soluzioni di onboarding a distanza del cliente che non sono conformi agli orientamenti dell’ABE sull’onboarding a distanza del cliente (⁹ );
• b) non vi sono restrizioni sullo strumento di funding, ad esempio nel caso di denaro contante, assegni o prodotti di moneta elettronica che beneficiano della deroga di cui all’articolo 12 della direttiva (UE) 2015/849;
• c) il rapporto continuativo tra il prestatore di servizi per le cripto-attività e il cliente è instaurato attraverso un prestatore di servizi per le cripto-attività intermediario quale definito al precedente orientamento 9.20;
• d) l’identificazione e la verifica di un cliente sono effettuate da un prestatore di servizi per le cripto-attività situato in un paese a rischio elevato sulla base di un accordo di esternalizzazione, in conformità dell’articolo 29 della direttiva (UE) 2015/849;

(⁹ ) Orientamenti sull’utilizzo di soluzioni di onboarding a distanza del cliente per le finalità di cui all’articolo 13, paragrafo 1, della direttiva (UE) 2015/849 (EBA/GL/2022/15).

• e) nuovi canali di distribuzione o nuove tecnologie per la distribuzione di cripto-attività che non sono ancora stati completamente testati o che presentano un livello più elevato di rischio di ML/TF;
• f) il rapporto continuativo è instaurato attraverso sportelli automatici per le cripto-

contante.

21.10. I seguenti fattori possono contribuire a ridurre il rischio :

• a) il prestatore di servizi per le cripto-attività fa affidamento su misure di adeguata verifica della clientela applicate da un terzo in conformità dell’articolo 26 della direttiva (UE) 2015/849 e tale terzo è situato nell’UE.

21.11. I prestatori di servizi per le cripto-attività dovrebbero assicurare che i sistemi utilizzati per individuare e affrontare i rischi di ML/TF siano conformi ai criteri di cui al titolo I dei presenti orientamenti. In particolare, in considerazione dei loro modelli di business, i prestatori di servizi per le cripto-attività dovrebbero assicurare di disporre di strumenti di controllo adeguati ed efficaci, compresi strumenti per il controllo delle operazioni e strumenti analitici avanzati. La portata di tali strumenti è determinata dalla natura e dal volume delle attività del prestatore di servizi per le cripto-attività, compreso il tipo di cripto-attività rese disponibili per la negoziazione o lo scambio. I prestatori di servizi per le cripto-attività dovrebbero inoltre assicurare che i dipendenti interessati ricevano una formazione specializzata, affinché abbiano una comprensione adeguata delle cripto-attività e dei rischi di ML/TF a cui possono esporre il prestatore di servizi per le cripto-attività.

Misure rafforzate di adeguata verifica della clientela

21.12. Se un rapporto continuativo o un’operazione occasionale è associato a un rischio più elevato, i prestatori di servizi per le cripto-attività devono applicare misure rafforzate di adeguata verifica della clientela ai sensi dell’articolo 18 della direttiva (UE) 2015/849 e come indicato al titolo I dei presenti orientamenti. Inoltre, i prestatori di servizi per le cripto-attività dovrebbero applicare le pertinenti misure rafforzate di adeguata verifica della clientela indicate nel seguente elenco, se necessario, in funzione dell’esposizione al rischio del rapporto continuativo:

• a) verificare l’identità del cliente e del titolare effettivo sulla base di una pluralità di fonti attendibili e indipendenti;
• b) identificare e verificare l’identità degli azionisti di maggioranza che non rientrano nella definizione di titolari effettivi in conformità dell’articolo 3 della direttiva (UE) 2015/849 o di qualsiasi persona fisica che abbia l’autorità di gestire un conto di cripto-attività o un indirizzo di registro distribuito per conto del cliente o di dare istruzioni sul trasferimento o sullo scambio di cripto-attività o altri servizi relativi a tali cripto-attività;
• c) ottenere maggiori informazioni in merito al cliente e alla natura e allo scopo del rapporto continuativo per sviluppare un profilo del cliente più completo, ad esempio effettuando ricerche su fonti di informazione pubbliche o ricercando sui mezzi d’informazione notizie negative o commissionando attività investigative a soggetti terzi. I tipi di informazione che i prestatori di servizi per le cripto-attività possono cercare comprendono, ad esempio:
• i. il profilo economico o la posizione lavorativa del cliente;
• ii. l’origine del patrimonio e dei fondi del cliente scambiati con cripto-attività, al fine di avere una ragionevole certezza della loro legittimità;
• iii. l’origine delle cripto-attività del cliente scambiate con valute ufficiali, anche con riguardo al momento e al luogo dell’acquisto;
• iv. lo scopo dell’operazione, se del caso anche con riguardo alla destinazione del trasferimento di cripto-attività;
• v. informazioni in merito ai legami che il cliente potrebbe avere con altri paesi (sedi centrali, sedi operative, succursali, ecc.) o ai soggetti noti per esercitare un’influenza significativa sulle sue operazioni;
• vi. richiedere o ottenere dati sulle operazioni in cripto-attività del cliente e, qualora il cliente sia un prestatore di servizi per le cripto-attività, dati sulla cronologia delle sue operazioni tratti dal sistema del prestatore di servizi per le cripto-attività;
• d) ottenere prove circa l’origine dei fondi, del patrimonio o delle cripto-attività per le operazioni che presentano un rischio più elevato;
• e) aumentare la frequenza di controllo delle operazioni in cripto-attività. Tutte le operazioni dovrebbero essere controllate al fine di individuare comportamenti, modelli e indicatori inattesi di attività sospette, tenendo altresì in considerazione le altre parti coinvolte;
• f) riesaminare e, ove necessario, aggiornare le informazioni, i dati e la documentazione detenuti con maggiore frequenza e, in particolare, nel caso di un evento attivatore;
• g) qualora il rischio correlato al rapporto sia particolarmente elevato, i prestatori di servizi per le cripto-attività dovrebbero eseguire una revisione più frequente del rapporto continuativo;
• h) valutare più frequentemente o in modo più approfondito le attività svolte attraverso i conti di cripto-attività del cliente mediante strumenti di indagine sulle cripto-attività;
• i) qualora un cliente abbia più indirizzi di registro distribuito o reti blockchain, il prestatore di servizi per le cripto-attività dovrebbe collegare tali indirizzi al cliente;
• j) aumentare la frequenza del controllo degli indirizzi IP del cliente, anche a fronte degli indirizzi IP utilizzati da altri clienti;
• k) ottenere conferma del livello di conoscenza e comprensione delle cripto-attività da parte del cliente, per avere un certo livello di sicurezza che il cliente non sia utilizzato come « Money Mule »;
• l) laddove un modello di prelievi o rimborsi non sia in linea con il profilo del cliente o con la natura e lo scopo del rapporto continuativo, il prestatore di servizi per le cripto-attività dovrebbe aggiungere ulteriori misure per assicurare che un prelievo
• o un rimborso sia richiesto dal cliente e non da un terzo. Ciò è particolarmente importante per i clienti a rischio più elevato, anziani o più vulnerabili;
• m) ottenere la conferma che un indirizzo auto-ospitato, da cui proviene un trasferimento, è sotto il controllo o di proprietà del cliente del prestatore di servizi per le cripto-attività.

21.13. I prestatori di servizi per le cripto-attività dovrebbero applicare strumenti analitici avanzati alle operazioni in funzione del rischio, a integrazione degli strumenti consueti di controllo delle operazioni. I prestatori di servizi per le cripto-attività dovrebbero applicare strumenti analitici avanzati per valutare il rischio associato alle operazioni, in particolare le operazioni con indirizzi auto-ospitati, al fine di ricostruire la cronologia delle operazioni e individuare potenziali collegamenti con attività, persone o entità criminali.

21.14. Per quanto concerne i rapporti continuativi o le operazioni che coinvolgono paesi non-UE ad alto rischio, i prestatori di servizi per le cripto-attività dovrebbero seguire le indicazioni di cui al titolo I dei presenti orientamenti.

Misure semplificate di adeguata verifica della clientela

21.15. Nelle situazioni a basso rischio, classificate come tali a seguito della valutazione di ML/TF effettuata dal prestatore di servizi per le cripto-attività in linea con i presenti orientamenti, e nella misura consentita dalla legislazione nazionale, i prestatori di servizi per le cripto-attività possono applicare misure semplificate di adeguata verifica della clientela, che possono includere le seguenti:

• a) per i clienti che svolgono attività sottoposte per legge ad autorizzazione e a una specifica disciplina regolamentare nell’UE o in un paese non-UE, verificare l’identità sulla base di elementi che confermino che il cliente è soggetto a suddetto regime, ad esempio mediante una ricerca nel registro pubblico dell’autorità di supervisione;
• b) aggiornare le informazioni di adeguata verifica della clientela, i dati o la documentazione solo al verificarsi di specifici eventi, quali la richiesta da parte del cliente di un prodotto nuovo o a rischio più elevato o variazioni nel comportamento
• o nel profilo operativo del cliente, tali da suggerire che il rischio associato al rapporto non sia più basso, rispettando nel contempo i periodi di aggiornamento stabiliti dalla legislazione nazionale;
• c) ridurre la frequenza del monitoraggio delle operazioni per i prodotti oggetto di operazioni ricorrenti.

Conservazione dei dati

21.16. Se le informazioni sui clienti e sulle operazioni sono disponibili nel registro distribuito, i prestatori di servizi per le cripto-attività non dovrebbero fare affidamento sul registro distribuito per la conservazione dei dati, ma dovrebbero adottare misure per adempiere le loro responsabilità in materia di conservazione dei dati in conformità della direttiva (UE) 2015/849 e dei precedenti orientamenti 5.1 e 5.2. I prestatori di servizi per le cripto-attività dovrebbero mettere in atto procedure che consentano loro di associare l’indirizzo di registro distribuito a una chiave privata controllata da una persona fisica o giuridica.