Fattori di rischio

Fattori di rischio connessi a prodotti, servizi e operazioni

21.3. I seguenti fattori possono contribuire ad aumentare il rischio :

• a) i prodotti o servizi forniti da un prestatore di servizi per le cripto-attività offrono un grado più elevato di anonimato;
• b) il prodotto consente pagamenti da parte di terzi che non sono associati al prodotto né sono sottoposti a identificazione e verifica iniziale, laddove tali pagamenti non hanno una logica economica evidente;
• c) il prodotto non pone restrizioni iniziali in termini di volume o valore complessivo delle operazioni;
• d) il prodotto consente operazioni tra il conto del cliente e:
• i. indirizzi auto-ospitati;
• ii. conti di cripto-attività o indirizzi di registro distribuito gestiti da un prestatore di servizi per le cripto-attività quale definito nell’orientamento 9.20 o che è soggetto a un regime di regolamentazione e vigilanza in materia di AML/CFT meno rigoroso del regime previsto dalla direttiva (UE) 2015/849;
• iii. una piattaforma di scambio di criptovalute tra pari o un altro tipo di applicazione decentralizzata o distribuita per le cripto-attività che non è controllata o influenzata da una persona giuridica o fisica (spesso definita «finanza decentralizzata»);
• iv. piattaforme che mirano a occultare le operazioni e ad agevolare l’anonimato, come piattaforme mixer o tumbler;
• v. hardware impiegato per scambiare cripto-attività con valute ufficiali o viceversa (come gli sportelli automatici per le cripto-attività), mediante l’utilizzo di denaro contante o moneta elettronica, che beneficia di esenzioni ai sensi dell’articolo 12 della direttiva (UE) 2015/849 o che non rientra nel regime di regolamentazione e vigilanza dell’UE;
• e) prodotti che comportano il ricorso a nuove pratiche di business, compresi nuovi canali di distribuzione, e l’utilizzo di tecnologie in cui il livello del rischio di ML/TF non può essere valutato in modo affidabile dal prestatore di servizi per le cripto-attività in conformità dell’orientamento 1.7, lettera d), a causa della mancanza di informazioni;
• f) situazioni in cui il prestatore di servizi per le cripto-attività all’ingrosso esercita uno scarso controllo sul servizio « nested » fornito da un altro prestatore di servizi per le cripto-attività;

maggiore livello di rischio. 21.4. I seguenti fattori possono contribuire a ridurre il rischio :

• a) prodotti con funzionalità ridotta, come operazioni di volume o valore modesto;
• b) il prodotto consente operazioni tra il conto del cliente e
• i. conti di cripto-attività o indirizzi di registro distribuito a nome del cliente detenuti da un prestatore di servizi per le cripto-attività;
• ii. un conto di cripto-attività o un indirizzo di registro distribuito a nome del cliente detenuto da un prestatore di servizi per le cripto-attività, diverso da quelli disciplinati dal regolamento (UE) 2023/1114 (⁶ ), che è soggetto al di fuori dell’UE a un quadro di regolamentazione altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114 e che è soggetto a un quadro di regolamentazione e vigilanza in materia di AML/CTF altrettanto rigoroso rispetto a quello previsto dalla direttiva (UE) 2015/849;
• iii. un conto bancario intestato al cliente presso un ente creditizio soggetto al quadro di regolamentazione e vigilanza in materia di AML/CTF di cui alla direttiva (UE) 2015/849 o a un altro quadro legislativo al di fuori dell’UE altrettanto rigoroso rispetto a quello previsto dalla direttiva (UE) 2015/849; o
• c) la natura e la portata dei canali o dei sistemi di pagamento utilizzati dal prestatore di servizi per le cripto-attività sono limitate a sistemi a circuito chiuso o a sistemi destinati ad agevolare micropagamenti o pagamenti da pubblica amministrazione a persona e da persona a pubblica amministrazione;
• d) il prodotto è disponibile solo per un gruppo limitato e definito di clienti, come i dipendenti di una società che ha emesso una cripto-attività.

Fattori di rischio relativi ai clienti

21.5. I seguenti fattori possono contribuire ad aumentare il rischio :

• a) per quanto riguarda la natura del cliente in particolare:
• i. un’organizzazione senza scopo di lucro che è stata collegata, sulla base di fonti affidabili e indipendenti, all’estremismo, alla propaganda estremista, a contatti con il terrorismo o ad attività terroristiche, o che è stata coinvolta in irregolarità o attività criminali, compresi casi di ML/TF o di corruzione;
• ii. un’impresa che è una banca di comodo, come definita all’articolo 3, paragrafo 17, della direttiva (UE) 2015/849, o un altro tipo di società di comodo;
• iii. una società di recente costituzione che gestisce grandi volumi di operazioni;

(⁶ ) Regolamento (UE) 2023/1114 relativo ai mercati delle cripto-attività e che modifica i regolamenti (UE) n. 1093/2010 e (UE) n. 1095/2010 e le direttive 2013/36/UE e (UE) 2019/1937.

• iv. una società legalmente registrata che gestisce grandi volumi di operazioni dopo un periodo di inattività in seguito alla costituzione;
• v. un’impresa che ha un rapporto continuativo con un’altra o altre imprese del gruppo, in base alla definizione di cui all’articolo 3, paragrafo 15, della direttiva (UE) 2015/849, che fornisce prodotti e servizi relativi a cripto-attività;
• vi. un’impresa o una persona che utilizza un indirizzo IP associato a una darknet
• o un software che consente la comunicazione anonima, compresi messaggi di posta elettronica criptati, servizi di posta elettronica anonimi o temporanei e reti private virtuali;
• vii. una persona vulnerabile, ossia una persona che verosimilmente non è un cliente tipico di un prestatore di servizi per le cripto-attività o una persona che mostra una conoscenza e una comprensione molto limitate delle cripto-attività o della tecnologia correlata, come dimostrato dai risultati di una verifica dell’adeguatezza/conoscenza o da altri contatti con il cliente, e che tuttavia decide di effettuare operazioni frequenti o di valore elevato, può aumentare il rischio che il cliente sia utilizzato come « Money Mule »;
• b) per quanto riguarda il comportamento del cliente , situazioni in cui il cliente:
• i. cerca di aprire più conti di cripto-attività presso il prestatore di servizi per le cripto-attività senza una logica economica o uno scopo imprenditoriale evidente;
• ii. o il titolare effettivo del cliente non può o non intende fornire le informazioni necessarie in materia di adeguata verifica della clientela, su richiesta del prestatore di servizi per le cripto-attività, senza alcuna legittima giustificazione:
• a) evitando deliberatamente il contatto diretto con un prestatore di servizi

• b) tentando di occultare il titolare effettivo dei fondi attraverso il

• c) non rispondendo o cercando di trarre in inganno il prestatore di servizi

• iii. utilizza un indirizzo IP o un dispositivo mobile collegato a più clienti, senza una logica economica evidente, o noto per essere collegato ad attività potenzialmente illegali o criminali; o il conto di cripto-attività del cliente è accessibile da più indirizzi IP senza un legame evidente con il cliente;
• iv. fornisce informazioni incoerenti, tra l’altro quando l’indirizzo IP del cliente non è coerente con altre informazioni sul cliente, quali le informazioni necessarie per accompagnare un trasferimento in conformità dell’articolo 14, paragrafi 1 e 2, del regolamento (UE) 2023/1113, o la residenza abituale, la registrazione o le attività imprenditoriali del cliente (sia al momento dell’instaurazione del rapporto continuativo sia al momento dell’operazione), le informazioni sull’origine dei fondi o delle cripto-attività non sono coerenti con altre informazioni relative all’adeguata verifica della clientela o con il profilo generale del cliente;
• v. utilizza un indirizzo, una sede o un indirizzo IP collegati a conti di cripto-attività registrati a nome di utenti diversi presso uno o più prestatori di servizi per le cripto-attività;
• vi. modifica spesso i dati personali o gli strumenti di pagamento senza una ragione evidente;
• vii. riceve o trasferisce spesso, in o da indirizzi auto-ospitati, importi di cripto-attività di poco inferiori alla soglia di 1 000 EUR, di cui all’articolo 14, paragrafo 5, e all’articolo 16, paragrafo 2, del regolamento (UE) 2023/1113, che attiva la verifica del beneficiario o del cedente;
• viii. indica che lo scopo è investire in un’offerta pubblica iniziale di token o in un prodotto o una cripto-attività che offre un rendimento sproporzionatamente elevato e ha base in un paese ad alto rischio o è associato/a a indicazioni significative relative a frodi o non è supportato/a da un White Paper come richiesto dal regolamento (UE) 2023/1114 (⁷ );
• ix. mostra comportamenti o esegue operazioni che non sono in linea con quelli previsti in funzione della tipologia di cliente o della categoria di rischio di appartenenza o che si discostano da quelli attesi sulla base delle informazioni fornite dal cliente al prestatore di servizi per le cripto-attività all’inizio o nel corso del rapporto continuativo. Tali circostanze includono i casi in cui il cliente:

(⁷ ) Regolamento (UE) 2023/1114 relativo ai mercati delle cripto-attività e che modifica i regolamenti (UE) n. 1093/2010 e (UE) n. 1095/2010 e le direttive 2013/36/UE e (UE) 2019/1937.

• x. mostra comportamenti e modelli insoliti poiché comportano trasferimenti non giustificati verso/da indirizzi di registro distribuito o conti di cripto-attività in più paesi senza un evidente scopo imprenditoriale o lecito;
• xi. nello scambiare cripto-attività con valute ufficiali e viceversa il cliente:
• a) utilizza più conti bancari o di pagamento, carte di credito o carte

• b) utilizza un conto bancario o di pagamento o una carta di credito a nome

• c) utilizza un conto bancario o di pagamento situato in un paese che non

• d) si avvale di molteplici prestatori di servizi di pagamento;
• e) richiede ripetutamente lo scambio di cripto-attività con denaro contante

• g) utilizza sportelli automatici per le cripto-attività in diverse sedi per

• h) effettua il prelievo di cripto-attività da un prestatore di servizi per le

• xii. investe o scambia cripto-attività prese in prestito tramite una piattaforma di prestito tra pari o un’altra piattaforma di prestito che non rientra nell’ambito di applicazione del regolamento (UE) 2023/1114 o di altri quadri normativi pertinenti all’interno o all’esterno dell’UE e che è in particolare un’applicazione decentralizzata o distribuita non soggetta al controllo o all’influenza di una persona fisica o giuridica;
• xiii. riceve o invia, direttamente o indirettamente, cripto-attività che sono associate alla darknet o che sono il risultato di attività illecite;
• xiv. investe o scambia cripto-attività di per sé associate a un maggior grado di anonimato o riceve cripto-attività sottoposte a processi di aumento del livello di anonimato, in particolare processi di occultamento dell’operazione su tecnologia a registro distribuito o con altre caratteristiche simili a quelle di cui all’orientamento 21.5, lettera a);
• xv. ripetutamente riceve cripto-attività da o invia cripto-attività a:
• a) un conto di cripto-attività attraverso un prestatore di servizi per le cripto-

• b) più indirizzi auto-ospitati o conti di cripto-attività detenuti dallo stesso o

• c) un conto di cripto-attività di nuova creazione o precedentemente inattivo

• d) indirizzi auto-ospitati su piattaforme decentralizzate che comportano

• e) un conto di cripto-attività subito dopo l’onboarding da parte del

• g) un conto di cripto-attività suddividendo le operazioni in molteplici

• xvi. il cliente sembra sfruttare a proprio vantaggio anomalie o malfunzionamenti tecnologici;
• xvii. il cliente indica che le cripto-attività trasferite al prestatore di servizi per le cripto-attività sono state ottenute attraverso ricompense di mining o staking, ma tali ricompense non sembrano essere proporzionate alle cripto-attività generate mediante tali attività.

21.6. I seguenti fattori possono contribuire a ridurre il rischio se:

• a) il cliente, durante precedenti operazioni in cripto-attività, ha rispettato gli obblighi di informazione previsti nel regolamento (UE) 2023/1113 e ulteriormente specificati nella sezione 4 degli orientamenti dell’ABE sulla «Travel Rule» (⁸ ) e ha fornito informazioni che consentono l’identificazione di un cliente o la possibilità di verificarla in caso di dubbi o sospetti;
• b) le precedenti operazioni in cripto-attività del cliente non hanno dato adito a sospetti o preoccupazioni e il prodotto o il servizio richiesto è in linea con il profilo di rischio del cliente;
• c) il cliente richiede lo scambio con una valuta ufficiale o viceversa e l’origine o la destinazione dei fondi è il conto bancario del cliente stesso presso un ente creditizio in un paese valutato a basso rischio dal prestatore di servizi per le cripto-attività;
• d) il cliente richiede un’operazione di scambio e l’origine o la destinazione della cripto-attività è il conto di cripto-attività del cliente stesso o un indirizzo di registro distribuito ospitato da un prestatore di servizi per le cripto-attività disciplinato dal regolamento (UE) 2023/1114 o da un prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114, regolamentato e sottoposto a vigilanza al di fuori dell’UE in un quadro normativo altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114 e soggetto a requisiti in

(UE) 2015/849, che è stato inserito nella lista bianca o altrimenti valutato a basso rischio dal prestatore di servizi per le cripto-attività;

• e) il cliente richiede un’operazione di scambio e l’origine o la destinazione della cripto-attività afferisce a pagamenti di valore ridotto per prodotti e servizi da/verso un conto di cripto-attività o un indirizzo di registro distribuito per il quale non sono disponibili informazioni negative;
• f) il cliente effettua trasferimenti tra due prestatori di servizi per le cripto-attività o un prestatore di servizi per le cripto-attività e un altro prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114 che è soggetto a regolamentazione e vigilanza all’interno dell’UE, o comunque a un quadro normativo altrettanto rigoroso rispetto a quello previsto dal regolamento (UE) 2023/1114, e che è soggetto a requisiti in materia di AML/CFT altrettanto rigorosi rispetto a quelli previsti dalla direttiva (UE) 2015/849.

Fattori di rischio geografici o correlati al paese

21.7. I seguenti fattori possono contribuire ad aumentare il rischio :

• a) i fondi del cliente scambiati con cripto-attività derivano da rapporti personali o continuativi con paesi associati a un rischio più elevato di ML/TF;

(⁸ ) Orientamenti sulla prevenzione dell’abuso di fondi e di determinati trasferimenti di cripto-attività a fini di riciclaggio e finanziamento del terrorismo ai sensi del regolamento (UE) 2023/1113, [... inserire qui il numero di tali orientamenti dopo l’adozione, attualmente in consultazione (EBA/CP/2023/35)] (Orientamenti sulla «Travel Rule»).

distribuito è collegato a un paese associato a un rischio più elevato di ML/TF o a paesi/regioni noti per fornire finanziamenti o sostegno ad attività terroristiche o per ospitare le attività di gruppi che commettono reati di terrorismo e a paesi

finanziamento del terrorismo o alla proliferazione;

• c) il cliente o il suo titolare effettivo è residente, ha sede, opera o ha rapporti personali
• o continuativi in un paese associato a un rischio più elevato di ML/TF;
• d) il rapporto continuativo è instaurato attraverso un prestatore di servizi per le cripto-attività o uno sportello automatico per le cripto-attività situato in una regione o un paese associato a livelli elevati di rischio di ML/TF;
• e) il cliente è coinvolto in operazioni di estrazione di cripto-attività, direttamente o indirettamente attraverso rapporti con terzi, che si svolgono in un paese a rischio elevato, individuato dalla Commissione europea in conformità dell’articolo 9 della direttiva (UE) 2015/849, o in un paese soggetto a misure restrittive o a sanzioni finanziarie mirate.

21.8. I seguenti fattori possono contribuire a ridurre il rischio :

• a) il trasferimento proviene da o è inviato a un conto di cripto-attività o a un indirizzo di registro distribuito ospitato da un prestatore di servizi per le cripto-attività o da un prestatore di servizi per le cripto-attività diverso da quelli disciplinati dal regolamento (UE) 2023/1114 in un paese associato a bassi livelli di rischio di ML/TF.

Fattori di rischio inerenti ai canali di distribuzione

21.9. I seguenti fattori possono contribuire ad aumentare il rischio :

• a) il rapporto continuativo è instaurato mediante soluzioni di onboarding a distanza del cliente che non sono conformi agli orientamenti dell’ABE sull’onboarding a distanza del cliente (⁹ );
• b) non vi sono restrizioni sullo strumento di funding, ad esempio nel caso di denaro contante, assegni o prodotti di moneta elettronica che beneficiano della deroga di cui all’articolo 12 della direttiva (UE) 2015/849;
• c) il rapporto continuativo tra il prestatore di servizi per le cripto-attività e il cliente è instaurato attraverso un prestatore di servizi per le cripto-attività intermediario quale definito al precedente orientamento 9.20;
• d) l’identificazione e la verifica di un cliente sono effettuate da un prestatore di servizi per le cripto-attività situato in un paese a rischio elevato sulla base di un accordo di esternalizzazione, in conformità dell’articolo 29 della direttiva (UE) 2015/849;

(⁹ ) Orientamenti sull’utilizzo di soluzioni di onboarding a distanza del cliente per le finalità di cui all’articolo 13, paragrafo 1, della direttiva (UE) 2015/849 (EBA/GL/2022/15).

• e) nuovi canali di distribuzione o nuove tecnologie per la distribuzione di cripto-attività che non sono ancora stati completamente testati o che presentano un livello più elevato di rischio di ML/TF;
• f) il rapporto continuativo è instaurato attraverso sportelli automatici per le cripto-

contante.

21.10. I seguenti fattori possono contribuire a ridurre il rischio :

• a) il prestatore di servizi per le cripto-attività fa affidamento su misure di adeguata verifica della clientela applicate da un terzo in conformità dell’articolo 26 della direttiva (UE) 2015/849 e tale terzo è situato nell’UE.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/