Un programma antiriciclaggio per un'impresa crypto, ovunque operi, segue gli stessi elementi fissati dagli standard GAFI: una valutazione dei rischi dell'attività documentata, l'adeguata verifica della clientela con controlli rafforzati per i rischi più alti, il monitoraggio continuo delle transazioni compresa l'analisi on-chain, lo screening sanzioni, le procedure Travel Rule, la segnalazione delle operazioni sospette, la conservazione dei dati, la formazione del personale e un audit indipendente. La direzione deve approvarlo e un responsabile compliance qualificato deve gestirlo. Le norme nazionali aggiungono dettagli specifici, ma un programma costruito su questi elementi soddisfa le aspettative di fondo di autorità, banche e controparti.
1. Prima la valutazione dei rischi
Il GAFI richiede un approccio basato sul rischio (Raccomandazione 1). La valutazione dei rischi dell'attività identifica i rischi per tipo di cliente, area geografica, prodotti (custodia, swap, privacy coin, accesso DeFi), canali di distribuzione ed esposizione on-chain, valuta i controlli esistenti e fissa la propensione al rischio. Aggiornatela almeno una volta l'anno e a ogni cambiamento dell'attività. Il punteggio di rischio dei clienti applica poi gli stessi criteri a ogni relazione.
2. Adeguata verifica della clientela
L'adeguata verifica (Raccomandazione 10) significa identificare e verificare il cliente, identificare i titolari effettivi delle società, capire lo scopo del rapporto e seguirlo nel tempo. La verifica rafforzata si applica ai rischi più alti: persone politicamente esposte (Raccomandazione 12), paesi ad alto rischio, strutture complesse e flussi ingenti o insoliti, dove origine dei fondi e del patrimonio vanno documentate. Le norme nazionali decidono i dettagli, come i documenti accettati o, in Svizzera, i formulari per registrare i titolari effettivi.
3. Monitoraggio, sanzioni e Travel Rule
- Monitoraggio delle transazioni: KYT on-chain su depositi e prelievi più monitoraggio comportamentale del conto, con regole e gestione degli alert documentate.
- Screening sanzioni di clienti e indirizzi wallet all'apertura e in modo continuativo, rispetto alle liste che vi si applicano e a quelle che si aspettano le vostre banche e controparti.
- Procedure Travel Rule (Raccomandazione 16), comprese due diligence sulle controparti e controlli sui wallet self-hosted.
4. Segnalazioni e conservazione
Il personale deve avere un percorso chiaro per segnalare internamente le attività insolite, e il responsabile compliance decide se inviare una segnalazione di operazione sospetta all'unità di informazione finanziaria (Raccomandazione 20), ad esempio il MROS in Svizzera o la UIF in Italia. La documentazione di identificazione, transazioni e analisi va conservata almeno cinque anni secondo lo standard GAFI (Raccomandazione 11); alcuni paesi chiedono di più, come i dieci anni in Svizzera.
5. Governance, formazione e audit indipendente
Il consiglio di amministrazione o la direzione approva il programma e riceve rapporti periodici (Raccomandazione 18). Tutto il personale riceve formazione adatta al proprio ruolo, con registrazione delle presenze. L'esternalizzazione a fornitori KYC o di analisi è ammessa, ma la responsabilità resta all'impresa. Un audit indipendente verifica il programma, e i revisori cercano prove: fascicoli che mostrano l'applicazione delle procedure, alert chiusi con motivazione e una valutazione dei rischi coerente con la clientela reale. Un programma preso da un modello senza queste prove è la carenza più frequente.
Come vi aiuta Advisorn
Advisorn redige policy antiriciclaggio, valutazioni dei rischi e procedure basate sugli standard GAFI e adattate alla vostra attività e ai paesi in cui operate. Verifica inoltre i programmi esistenti prima di audit, domande di licenza o due diligence bancarie.
Raccomandazioni GAFI 1, 10, 11, 12, 15, 16, 18 e 20; Guida GAFI aggiornata sull'approccio basato sul rischio per asset virtuali e prestatori di servizi per asset virtuali (ottobre 2021). Esempi di norme nazionali: LRD svizzera e regolamenti OAD; Direttiva (UE) 2015/849 e successive modifiche e Regolamento (UE) 2024/1624 (UE); Money Laundering Regulations 2017 (Regno Unito).
Aggiornato a novembre 2026 · Informazioni generali, non consulenza legale o fiscale sul vostro caso specifico.