Banca d'Italia obbliga allo screening delle sanzioni per i trasferimenti crypto

La banca centrale italiana ha emesso una direttiva formale l'8 settembre 2026 che impone a tutti i fornitori di servizi di criptovalute operanti sotto giurisdizione italiana di integrare lo screening delle sanzioni UE direttamente nei propri flussi di lavoro per i trasferimenti di criptovalute. Il mandato colma una lacuna di conformità che le autorità di regolamentazione di tutto il blocco osservano attentamente, e arriva in un momento in cui gli attori sanzionati stanno sfruttando attivamente gli asset digitali per spostare valore oltre i confini. Per gli studi di contabilità, i revisori e i CFO che usano software di contabilità crypto per registrare e riconciliare l'attività degli asset digitali, la direttiva ha conseguenze operative immediate.

Cosa richiede effettivamente Banca d'Italia

L'istruzione di Banca d'Italia è diretta: i fornitori di servizi di criptovalute devono stabilire politiche interne documentate e controlli per applicare le sanzioni finanziarie UE quando processano trasferimenti di criptovalute. La parola "politiche" qui ha peso. Un controllo che esiste solo in un manuale per i dipendenti non soddisfa un'aspettativa di vigilanza per procedure di applicazione documentate.

Ambito dell'obbligo

Il requisito si applica all'identificazione sia dei clienti sia delle singole transazioni collegate a entità sanzionate. Questo è un test più ampio di un semplice controllo del nome in fase di onboarding. Significa che l'obbligo di screening segue la transazione nel momento dell'elaborazione, non solo all'apertura del conto. Un CASP che verifica i clienti in fase KYC ma non riesegue lo screening nel momento in cui viene presentato un trasferimento non soddisfa lo standard descritto dalla banca centrale.

Perché ora

La tempistica non è arbitraria. La direttiva di Banca d'Italia riconosce esplicitamente che le criptovalute sono sempre più usate da entità iraniane e russe per aggirare le sanzioni finanziarie. Una sola stablecoin sanzionata ha elaborato oltre 110 miliardi di dollari in transazioni cumulate tra febbraio 2025 e maggio 2026, secondo dati di sicurezza blockchain citati nel rapporto originale. Separatamente, ricerche di analisi blockchain hanno identificato flussi tra un exchange crypto ed entità sanzionate iraniane che si estendono per oltre sette anni. Il Tesoro USA si è mosso anche a luglio 2026 per congelare wallet collegati alla banca centrale iraniana. In quel contesto, la risposta regolamentare in Italia è una reazione a modelli di evasione documentati piuttosto che una postura precauzionale.

Il quadro delle sanzioni UE che i CASP devono ora applicare

Le sanzioni finanziarie UE sono direttamente applicabili in tutti gli stati membri ai sensi dei regolamenti del Consiglio. Esse vietano di mettere a disposizione, direttamente o indirettamente, fondi o risorse economiche a persone ed entità elencate. Quando un CASP processa un trasferimento crypto, agisce come intermediario nel movimento di valore economico, ponendosi pienamente nell'ambito di tali divieti.

Interazione con MiCA e AMLR

L'istruzione italiana non opera in isolamento. Il Regolamento UE sui mercati delle criptovalute (MiCA) stabilisce il quadro di licenze per i CASP operanti nell'UE, mentre il prossimo Regolamento UE antiriciclaggio (AMLR) imporrà obblighi armonizzati di conformità AML e sanzioni in tutto il blocco. La direttiva di Banca d'Italia funge da ponte: riempie lo spazio di vigilanza proprio ora, prima che AMLR abbia pieno effetto, e segnala che i supervisori italiani non aspetteranno l'armonizzazione paneuropea per applicare le regole UE sulle sanzioni esistenti.

Per i CASP che stanno già preparando programmi di conformità MiCA, questo dovrebbe essere letto come una conferma che la capacità di screening delle sanzioni è una componente attesa del quadro di controlli interni, non un miglioramento opzionale.

Implicazioni contabili e di revisione

La direttiva ha conseguenze che vanno ben oltre il team di conformità. Gli studi contabili che gestiscono clienti CASP e i CFO presso aziende che detengono o negoziano asset digitali devono capire dove il nuovo obbligo si interseca con i loro flussi di lavoro.

Controlli a livello di transazione e pista di audit

I revisori che esaminano l'ambiente di controllo di un CASP ora avranno un benchmark specifico, dichiarato dal regolatore: esiste una politica documentata? È applicata nel momento dell'elaborazione del trasferimento? Produce una pista di audit che mostra quali transazioni sono state sottoposte a screening, contro quale versione di lista, e con quale esito? Questi sono controlli testabili. Gli studi di revisione che non hanno ancora sviluppato procedure per valutare l'efficacia dello screening delle sanzioni in un contesto crypto dovrebbero trattare questa direttiva come la specifica che stavano aspettando.

Dal punto di vista della rendicontazione finanziaria, qualsiasi trasferimento processato senza uno screening adeguato e successivamente identificato come collegato a un'entità sanzionata crea potenziale esposizione: asset congelati, multe regolamentari e possibile rischio di riformulazione se il valore è stato riconosciuto nei ricavi o come credito regolato. Tale esposizione appartiene alla sezione dei rischi di un bilancio e può richiedere informativa a seconda delle soglie di materialità.

Software di contabilità crypto: dove deve collegarsi lo screening

La maggior parte delle implementazioni di software di contabilità per criptovalute tratta l'ingestione di transazioni come un problema di dati: recupera i dati della chain, categorizza il trasferimento, registra la scrittura contabile. La direttiva di Banca d'Italia inserisce un gate di conformità prima di quel passaggio finale. Nello specifico, lo stack software deve essere in grado di segnalare o trattenere una transazione quando l'indirizzo della controparte o il beneficiario sottostante corrisponde a una voce di lista di sanzioni prima che il trasferimento sia considerato regolato ai fini contabili.

Questo richiede due cose: primo, una connessione live o near-live tra il livello di elaborazione dei trasferimenti e un database di sanzioni (OFAC SDN, lista consolidata UE, lista ONU come minimo); secondo, una procedura di escalation documentata affinché una transazione segnalata non venga registrata automaticamente nel libro mastro mentre è in sospeso la revisione di conformità. Le aziende che fanno affidamento su software di contabilità per asset digitali che attualmente non supporta questo tipo di segnalazione pre-registrazione dovrebbero sollevare il gap con il proprio fornitore o team di implementazione con urgenza.

Comprendere come i fallimenti AML guidano l'esposizione all'applicazione per le aziende crypto è essenziale in questo contesto: il modello dei regolatori che passano da indicazioni ad azioni di enforcement su esattamente questi tipi di lacune di controllo è ben consolidato. Vedi la nostra analisi su come i fallimenti AML guidano l'esposizione all'applicazione per le aziende crypto per una ripartizione dettagliata di quella dinamica.

Documentazione dei controlli interni

L'uso della parola "politiche" nella direttiva di Banca d'Italia è significativo per i CFO e i responsabili della conformità che si preparano alla revisione di vigilanza. I regolatori distinguono tra avere un controllo ed essere in grado di dimostrarlo. Il requisito di documentazione implica che le aziende abbiano bisogno di una politica scritta di screening delle sanzioni, evidenza che sia rivista e aggiornata quando cambiano le liste di sanzioni, registrazioni di ogni risultato di screening e un log di eccezioni o escalation. Questa documentazione non si genera da sola: richiede un flusso di lavoro che il tuo stack di software di contabilità crypto supporti nativamente o integri via API.

Passi pratici per aziende e loro consulenti

Priorità immediate

I CASP italiani e i loro consulenti dovrebbero agire su più fronti in parallelo. Primo, mappare l'attuale flusso di lavoro di elaborazione dei trasferimenti contro il test in due parti della direttiva: identificazione del cliente e screening a livello di transazione. Identificare dove, precisamente, si trova il controllo delle sanzioni e se viene eseguito al momento della presentazione del trasferimento o solo all'onboarding. Secondo, confermare che le liste di sanzioni sottoposte a screening siano aggiornate. Gli aggiornamenti della lista consolidata UE possono essere frequenti durante periodi di maggiore attività geopolitica, e un controllo contro una lista obsoleta non soddisfa l'obbligo.

Terzo, valutare se il software di contabilità crypto dell'azienda possa produrre la pista di audit implicata dalla direttiva. Se non può, documentare il gap e il controllo manuale interinale che lo copre. I regolatori non si aspettano perfezione il primo giorno di una nuova direttiva, ma si aspettano evidenza di una risposta credibile.

Per gli studi contabili che assistono clienti CASP

La direttiva crea una nuova domanda di due diligence per contabili e revisori: l'elaborazione dei trasferimenti crypto del tuo cliente include uno screening documentato delle sanzioni? Se la risposta è no, o il cliente non è sicuro, quel gap deve essere affrontato nel file dell'incarico e sollevato con il management. Per le aziende che conducono procedure concordate o incarichi di assurance sui controlli AML, lo standard Banca d'Italia ora fornisce un benchmark regolamentare esplicito contro cui testare.

Il parallelo con l'approccio di AUSTRAC è istruttivo. L'agenzia di intelligence finanziaria australiana ha cancellato 45 registrazioni crypto e rimesse dopo aver trovato fallimenti sistemici di controllo nella sua popolazione regolamentata. La lezione da l'ondata di cancellazioni di AUSTRAC come modello per l'enforcement basato su registrazione AML è che i supervisori agiranno quando trovano evidenza documentata di controlli assenti, e agiranno su larga scala.

Considerazioni transfrontaliere per aziende UE

Sebbene la direttiva provenga da Banca d'Italia e si applichi direttamente ai CASP italiani, le aziende che operano in tutta l'UE con diritti di passaporto MiCA dovrebbero trattarla come un forte segnale di intento di vigilanza a livello di blocco. La lista consolidata UE è la stessa lista in ogni stato membro. Un'azienda che costruisce uno screening adeguato in Italia avrà l'architettura necessaria per soddisfare aspettative equivalenti quando altre autorità competenti nazionali emetteranno le proprie linee guida, o quando i requisiti AMLR si concretizzeranno.

Domande frequenti

Questa direttiva si applica ai CASP che operano in Italia con passaporto da un altro stato membro UE?

La direttiva è emessa da Banca d'Italia come autorità competente italiana. I CASP che forniscono servizi in Italia con diritti di passaporto MiCA dovrebbero rivedere l'ambito giurisdizionale preciso dell'istruzione con un consulente legale, ma gli obblighi UE sottostanti sulle sanzioni si applicano a tutte le entità che mettono fondi a disposizione di persone sanzionate nell'UE, indipendentemente da dove il CASP è autorizzato.

Quali liste di sanzioni devono essere sottoposte a screening come minimo?

La direttiva fa riferimento alle sanzioni finanziarie UE, quindi la lista consolidata UE di persone, gruppi ed entità soggetti a sanzioni finanziarie UE è il riferimento primario. I CASP con qualsiasi esposizione ad asset denominati in dollari USA o controparti collegate agli USA dovrebbero anche effettuare lo screening contro la lista OFAC Specially Designated Nationals. Le liste del Consiglio di sicurezza ONU sostengono entrambe.

Come interagisce lo screening delle sanzioni con il GDPR quando si trattano dati personali per fini di screening?

Il trattamento di dati personali per adempiere a un obbligo legale è una base giuridica riconosciuta ai sensi dell'Articolo 6(1)(c) GDPR. I CASP dovrebbero documentare questa base nel Registro delle attività di trattamento e assicurarsi che i periodi di conservazione dei dati per i registri di screening siano proporzionati e coerenti con i requisiti di conservazione dei registri AML, tipicamente cinque anni secondo le regole AML UE.

Una transazione segnalata deve essere sospesa prima di essere registrata nel libro mastro?

Sì, in pratica. Registrare un trasferimento come regolato nei tuoi registri contabili prima che un hold di conformità sia risolto rischia di riconoscere valore da una transazione che potrebbe successivamente essere congelata o annullata. Il trattamento contabile dovrebbe seguire l'esito legale e di conformità: non riconoscere la regolazione finché il risultato dello screening non è chiaro e qualsiasi notifica regolamentare richiesta è stata fatta.

Quale evidenza si aspetterà Banca d'Italia durante una revisione di vigilanza?

Basandosi sulla pratica di vigilanza UE standard, aspettati richieste per: la politica scritta di screening delle sanzioni, evidenza della gestione della versione delle liste e frequenza di aggiornamento, un campione di registri di screening per trasferimenti recenti, log di escalation per qualsiasi corrispondenza segnalata o vicina, e registri di formazione per il personale coinvolto nel processo. Le aziende senza questa documentazione dovrebbero dare priorità alla sua creazione ora piuttosto che aspettare una data di esame.

Fonte: Cointelegraph Regulation