Misure

21.11. I prestatori di servizi per le cripto-attività dovrebbero assicurare che i sistemi utilizzati per individuare e affrontare i rischi di ML/TF siano conformi ai criteri di cui al titolo I dei presenti orientamenti. In particolare, in considerazione dei loro modelli di business, i prestatori di servizi per le cripto-attività dovrebbero assicurare di disporre di strumenti di controllo adeguati ed efficaci, compresi strumenti per il controllo delle operazioni e strumenti analitici avanzati. La portata di tali strumenti è determinata dalla natura e dal volume delle attività del prestatore di servizi per le cripto-attività, compreso il tipo di cripto-attività rese disponibili per la negoziazione o lo scambio. I prestatori di servizi per le cripto-attività dovrebbero inoltre assicurare che i dipendenti interessati ricevano una formazione specializzata, affinché abbiano una comprensione adeguata delle cripto-attività e dei rischi di ML/TF a cui possono esporre il prestatore di servizi per le cripto-attività.

Misure rafforzate di adeguata verifica della clientela

21.12. Se un rapporto continuativo o un’operazione occasionale è associato a un rischio più elevato, i prestatori di servizi per le cripto-attività devono applicare misure rafforzate di adeguata verifica della clientela ai sensi dell’articolo 18 della direttiva (UE) 2015/849 e come indicato al titolo I dei presenti orientamenti. Inoltre, i prestatori di servizi per le cripto-attività dovrebbero applicare le pertinenti misure rafforzate di adeguata verifica della clientela indicate nel seguente elenco, se necessario, in funzione dell’esposizione al rischio del rapporto continuativo:

• a) verificare l’identità del cliente e del titolare effettivo sulla base di una pluralità di fonti attendibili e indipendenti;
• b) identificare e verificare l’identità degli azionisti di maggioranza che non rientrano nella definizione di titolari effettivi in conformità dell’articolo 3 della direttiva (UE) 2015/849 o di qualsiasi persona fisica che abbia l’autorità di gestire un conto di cripto-attività o un indirizzo di registro distribuito per conto del cliente o di dare istruzioni sul trasferimento o sullo scambio di cripto-attività o altri servizi relativi a tali cripto-attività;
• c) ottenere maggiori informazioni in merito al cliente e alla natura e allo scopo del rapporto continuativo per sviluppare un profilo del cliente più completo, ad esempio effettuando ricerche su fonti di informazione pubbliche o ricercando sui mezzi d’informazione notizie negative o commissionando attività investigative a soggetti terzi. I tipi di informazione che i prestatori di servizi per le cripto-attività possono cercare comprendono, ad esempio:
• i. il profilo economico o la posizione lavorativa del cliente;
• ii. l’origine del patrimonio e dei fondi del cliente scambiati con cripto-attività, al fine di avere una ragionevole certezza della loro legittimità;
• iii. l’origine delle cripto-attività del cliente scambiate con valute ufficiali, anche con riguardo al momento e al luogo dell’acquisto;
• iv. lo scopo dell’operazione, se del caso anche con riguardo alla destinazione del trasferimento di cripto-attività;
• v. informazioni in merito ai legami che il cliente potrebbe avere con altri paesi (sedi centrali, sedi operative, succursali, ecc.) o ai soggetti noti per esercitare un’influenza significativa sulle sue operazioni;
• vi. richiedere o ottenere dati sulle operazioni in cripto-attività del cliente e, qualora il cliente sia un prestatore di servizi per le cripto-attività, dati sulla cronologia delle sue operazioni tratti dal sistema del prestatore di servizi per le cripto-attività;
• d) ottenere prove circa l’origine dei fondi, del patrimonio o delle cripto-attività per le operazioni che presentano un rischio più elevato;
• e) aumentare la frequenza di controllo delle operazioni in cripto-attività. Tutte le operazioni dovrebbero essere controllate al fine di individuare comportamenti, modelli e indicatori inattesi di attività sospette, tenendo altresì in considerazione le altre parti coinvolte;
• f) riesaminare e, ove necessario, aggiornare le informazioni, i dati e la documentazione detenuti con maggiore frequenza e, in particolare, nel caso di un evento attivatore;
• g) qualora il rischio correlato al rapporto sia particolarmente elevato, i prestatori di servizi per le cripto-attività dovrebbero eseguire una revisione più frequente del rapporto continuativo;
• h) valutare più frequentemente o in modo più approfondito le attività svolte attraverso i conti di cripto-attività del cliente mediante strumenti di indagine sulle cripto-attività;
• i) qualora un cliente abbia più indirizzi di registro distribuito o reti blockchain, il prestatore di servizi per le cripto-attività dovrebbe collegare tali indirizzi al cliente;
• j) aumentare la frequenza del controllo degli indirizzi IP del cliente, anche a fronte degli indirizzi IP utilizzati da altri clienti;
• k) ottenere conferma del livello di conoscenza e comprensione delle cripto-attività da parte del cliente, per avere un certo livello di sicurezza che il cliente non sia utilizzato come « Money Mule »;
• l) laddove un modello di prelievi o rimborsi non sia in linea con il profilo del cliente o con la natura e lo scopo del rapporto continuativo, il prestatore di servizi per le cripto-attività dovrebbe aggiungere ulteriori misure per assicurare che un prelievo
• o un rimborso sia richiesto dal cliente e non da un terzo. Ciò è particolarmente importante per i clienti a rischio più elevato, anziani o più vulnerabili;
• m) ottenere la conferma che un indirizzo auto-ospitato, da cui proviene un trasferimento, è sotto il controllo o di proprietà del cliente del prestatore di servizi per le cripto-attività.

21.13. I prestatori di servizi per le cripto-attività dovrebbero applicare strumenti analitici avanzati alle operazioni in funzione del rischio, a integrazione degli strumenti consueti di controllo delle operazioni. I prestatori di servizi per le cripto-attività dovrebbero applicare strumenti analitici avanzati per valutare il rischio associato alle operazioni, in particolare le operazioni con indirizzi auto-ospitati, al fine di ricostruire la cronologia delle operazioni e individuare potenziali collegamenti con attività, persone o entità criminali.

21.14. Per quanto concerne i rapporti continuativi o le operazioni che coinvolgono paesi non-UE ad alto rischio, i prestatori di servizi per le cripto-attività dovrebbero seguire le indicazioni di cui al titolo I dei presenti orientamenti.

Misure semplificate di adeguata verifica della clientela

21.15. Nelle situazioni a basso rischio, classificate come tali a seguito della valutazione di ML/TF effettuata dal prestatore di servizi per le cripto-attività in linea con i presenti orientamenti, e nella misura consentita dalla legislazione nazionale, i prestatori di servizi per le cripto-attività possono applicare misure semplificate di adeguata verifica della clientela, che possono includere le seguenti:

• a) per i clienti che svolgono attività sottoposte per legge ad autorizzazione e a una specifica disciplina regolamentare nell’UE o in un paese non-UE, verificare l’identità sulla base di elementi che confermino che il cliente è soggetto a suddetto regime, ad esempio mediante una ricerca nel registro pubblico dell’autorità di supervisione;
• b) aggiornare le informazioni di adeguata verifica della clientela, i dati o la documentazione solo al verificarsi di specifici eventi, quali la richiesta da parte del cliente di un prodotto nuovo o a rischio più elevato o variazioni nel comportamento
• o nel profilo operativo del cliente, tali da suggerire che il rischio associato al rapporto non sia più basso, rispettando nel contempo i periodi di aggiornamento stabiliti dalla legislazione nazionale;
• c) ridurre la frequenza del monitoraggio delle operazioni per i prodotti oggetto di operazioni ricorrenti.

Conservazione dei dati

21.16. Se le informazioni sui clienti e sulle operazioni sono disponibili nel registro distribuito, i prestatori di servizi per le cripto-attività non dovrebbero fare affidamento sul registro distribuito per la conservazione dei dati, ma dovrebbero adottare misure per adempiere le loro responsabilità in materia di conservazione dei dati in conformità della direttiva (UE) 2015/849 e dei precedenti orientamenti 5.1 e 5.2. I prestatori di servizi per le cripto-attività dovrebbero mettere in atto procedure che consentano loro di associare l’indirizzo di registro distribuito a una chiave privata controllata da una persona fisica o giuridica.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/