Onboarding VASP: il quadro di due diligence antiriciclaggio che le istituzioni finanziarie devono adottare ora

Il dibattito sul fatto che le istituzioni finanziarie regolamentate debbano lavorare con i virtual asset service provider è di fatto concluso. Le banche custodiscono criptoattività, le stablecoin si muovono sui circuiti di pagamento tradizionali e i gestori patrimoniali detengono attività digitali per conto dei clienti. La vera domanda di compliance nel 2026 non è se effettuare l'onboarding di un VASP, ma come farlo in modo documentato, coerente e difendibile di fronte a un'autorità di vigilanza. Questo articolo illustra i componenti fondamentali di tale quadro, basandosi sulle linee guida pubblicate da Elliptic per le istituzioni finanziarie che stanno costruendo o aggiornando i propri processi di onboarding dei VASP.

Perché "aspettare e vedere" non è più un'opzione

Le autorità di vigilanza delle principali giurisdizioni hanno segnalato, attraverso azioni di enforcement, revisioni tematiche e aspettative pubblicate, che il trattamento passivo delle controparti VASP non è accettabile. La dinamica specifica che ha cambiato le carte in tavola è la trasparenza: una parte sostanziale dell'attività di un VASP risiede su un registro pubblico. Una volta che quei dati sono accessibili, una funzione di compliance che li ignora si trova di fronte a una domanda di vigilanza diretta: perché non avete utilizzato le informazioni che avevate a disposizione?

Questa prospettiva conta perché sposta l'onere. Le istituzioni che in precedenza citavano la mancanza di dati affidabili come motivo per una due diligence leggera sui VASP non hanno più questa scusa. L'analitica on-chain è una capacità matura. L'aspettativa è che le istituzioni regolamentate la impieghino.

Il passaggio dal "se" al "come"

Le istituzioni finanziarie che hanno già integrato clienti VASP, o che hanno controparti esposte alle criptovalute nei propri bilanci, hanno bisogno di una metodologia da applicare in modo coerente in fase di onboarding, revisione periodica e rivalutazione su eventi. Quelle che stanno ancora sviluppando il proprio approccio devono muoversi rapidamente. L'adozione delle stablecoin in particolare sta accelerando i tempi: i rapporti di corrispondenza bancaria, il processamento dei pagamenti e persino la regolamentazione delle transazioni commerciali ora coinvolgono controparti VASP in modi che fino a pochi anni fa erano solo teorici.

Preparare l'istituzione prima di iniziare l'onboarding

La qualità della due diligence è limitata dalla preparazione istituzionale. Prima di valutare un singolo VASP, la funzione di compliance deve avere una risposta chiara a diverse domande interne.

Governance e propensione al rischio

Chi possiede la decisione di onboarding di un VASP? Nella maggior parte delle istituzioni, questa decisione coinvolge compliance, legale e la linea di business pertinente, ma i diritti decisionali e il percorso di escalation devono essere espliciti. La propensione al rischio per l'esposizione ai VASP deve anche essere definita a livello di categoria: exchange centralizzati, protocolli decentralizzati, custodi e processori di pagamento hanno ciascuno un profilo di rischio distinto. Senza questa tassonomia, le decisioni sui singoli casi saranno incoerenti.

Infrastruttura di policy e procedure

Le policy di onboarding specifiche per i VASP dovrebbero essere distinte dalle procedure KYC standard dell'istituzione. I VASP sono entità regolamentate nella maggior parte delle giurisdizioni, ma la loro base clienti sottostante, l'ampiezza delle attività che toccano e la natura transfrontaliera della loro attività creano fattori di rischio che i modelli CDD generici non catturano. L'infrastruttura di policy deve essere costruita prima che arrivi il carico di lavoro, non adattata caso per caso.

I due livelli di due diligence

Un processo di onboarding VASP difendibile opera su due livelli distinti: una revisione strutturata basata su questionario dell'entità stessa e un'analisi on-chain del suo comportamento transazionale effettivo. Nessuno dei due livelli è sufficiente da solo.

Livello uno: revisione a livello di entità

Il primo livello copre il VASP come entità legale e regolamentare. Le aree chiave includono lo stato di licenza nelle giurisdizioni in cui opera, la qualità e la portata del suo programma AML e KYC, la struttura di governance e i tipi di asset supportati. I VASP fortemente orientati alle stablecoin, ad esempio, richiedono un esame specifico di come gestiscono i flussi di rimborso e la concentrazione delle controparti.

Uno strumento strutturato per questo livello è il Global Digital Finance VASP Due Diligence Questionnaire, noto come GDF VADDQ. Si tratta di un questionario standardizzato sviluppato dall'industria che consente alle istituzioni finanziarie di raccogliere informazioni comparabili da più controparti VASP. L'uso di uno standard riconosciuto conta per la documentazione: dimostra al supervisore che la metodologia di valutazione non è ad hoc. Per le istituzioni che effettuano l'onboarding di più VASP, rende anche più gestibile il confronto tra controparti.

Le aree che tendono a meritare maggiore attenzione in qualsiasi revisione a livello di entità sono la politica di accettazione della clientela del VASP, come gestisce i segmenti di clientela ad alto rischio e se il suo screening sanzionatorio è completo a livello giurisdizionale. Un VASP con licenza in una giurisdizione ma che serve attivamente clienti in giurisdizioni ad alto rischio senza controlli supplementari presenta un divario significativo.

Livello due: analisi dell'esposizione on-chain

Il secondo livello è dove il registro pubblico diventa un input diretto alla due diligence, non solo un contesto di fondo. L'analisi on-chain consente al team di compliance di valutare con quali tipi di wallet e servizi gli indirizzi di un VASP hanno interagito e in quali volumi.

Una distinzione critica qui è direzionale. L'esposizione in entrata e quella in uscita raccontano storie diverse sui controlli di un VASP. L'esposizione in entrata, dove fondi da fonti ad alto rischio sono arrivati ai wallet del VASP, parla principalmente della qualità di accettazione della clientela e del monitoraggio delle transazioni del VASP: solleva la domanda se fondi illeciti stiano entrando nella piattaforma. L'esposizione in uscita, dove il VASP ha inviato fondi a destinazioni ad alto rischio, è un segnale diverso e può indicare che lo screening sanzionatorio del VASP o i controlli sui prelievi presentano lacune.

Leggere queste due dimensioni separatamente, piuttosto che aggregarle in un unico punteggio, produce un quadro più sfumato e accurato di dove si trovi effettivamente il rischio. I team di compliance che utilizzano software di contabilità crypto che integrano l'analitica on-chain dovrebbero assicurarsi che il loro flusso di lavoro catturi entrambe le direzioni, non solo le percentuali di esposizione complessive.

L'attività cross-chain aggiunge un altro livello di complessità. I VASP che supportano il bridging tra blockchain, o che detengono attività su più catene, richiedono analisi che seguano i flussi di asset attraverso quelle catene, piuttosto che trattare ogni catena in isolamento. Una visione puramente single-chain può perdere esposizioni significative instradate attraverso protocolli bridge.

Interpretare ciò che l'analitica mostra realmente

I dati grezzi sull'esposizione on-chain richiedono interpretazione. Un VASP che mostra una certa esposizione a controparti ad alto rischio non è automaticamente un problema: i grandi exchange centralizzati processano volumi enormi, e l'esposizione statistica a un'ampia gamma di tipi di wallet è attesa. Ciò che conta è la natura, la proporzione e la concentrazione di tale esposizione, e se è coerente con il modello di business dichiarato dal VASP.

Red flag che richiedono escalation

Alcuni modelli dovrebbero innescare l'escalation indipendentemente dalle dimensioni del VASP o dallo stato di licenza. Questi includono un'alta concentrazione di esposizione a indirizzi o giurisdizioni sanzionati, flussi significativi attraverso servizi di mixing o offuscamento, esposizione a wallet di darknet market oltre una soglia de minimis e modelli incoerenti con l'ambito geografico o la base clienti dichiarati dal VASP.

Allo stesso modo, un VASP il cui profilo on-chain è più pulito di quanto suggerirebbe il questionario a livello di entità non è necessariamente a rischio più basso: potrebbe riflettere un periodo di campione più breve, un'operazione di recente lancio o una piattaforma il cui volume sta crescendo rapidamente. L'analitica dovrebbe essere letta insieme alla revisione dell'entità, non come sostituto.

Per gli studi contabili che utilizzano come il machine learning sta rimodellando l'analitica blockchain e i flussi di lavoro AML, l'implicazione operativa chiave è che i punteggi di rischio generati dalle macchine richiedono validazione umana nella fase di escalation. Un punteggio è uno strumento di triage, non una decisione.

Monitoraggio continuo e cadenze di rivalutazione

L'approvazione all'onboarding non è una liberatoria permanente. I profili di rischio dei VASP possono cambiare sostanzialmente in un breve periodo: un'azione regolatoria in una giurisdizione chiave, un cambio di proprietà, una violazione dei sistemi del VASP o un cambiamento nel mix di asset supportati possono alterare significativamente il calcolo del rischio.

Schemi di revisione basati sul rischio

La frequenza di rivalutazione dovrebbe essere calibrata sul livello di rischio assegnato all'onboarding. I VASP a rischio più elevato meritano una revisione periodica più frequente rispetto alle controparti a rischio più basso. La cadenza specifica dovrebbe essere documentata nella policy dell'istituzione e applicata in modo coerente: la revisione ad hoc, anche se approfondita, è più difficile da difendere di fronte a un supervisore rispetto a un programma programmato con trigger chiari.

Rivalutazione su eventi

Oltre alle revisioni basate sul calendario, alcuni eventi dovrebbero innescare una rivalutazione immediata indipendentemente da quando è avvenuta l'ultima revisione periodica. Questi includono azioni regolatorie pubbliche contro il VASP, copertura mediatica negativa credibile, cambiamenti sostanziali nello stato di licenza del VASP, cambiamenti significativi nel volume di transazioni o nel mix di asset e qualsiasi bandiera di analitica on-chain non presente all'onboarding. Costruire una chiara lista di eventi trigger nella policy, piuttosto che lasciarla alla discrezione dell'analista, garantisce che il programma di monitoraggio sia coerente e verificabile.

Per le imprese che consigliano i clienti sulle relazioni con i VASP, comprendere come la revisione del manuale di registrazione VASP della Corea e cosa significa per i team di compliance dimostra quanto rapidamente il contesto regolatorio possa cambiare, richiedendo alle istituzioni di rivalutare le controparti che erano pienamente conformi all'onboarding ma potrebbero affrontare condizioni di licenza modificate.

Documentazione: costruire un record che sopravviva al controllo

Il quadro descritto sopra è utile solo quanto la documentazione che genera. I supervisori che valutano il programma di conformità VASP di un'impresa cercheranno prove che le decisioni siano state prese sulla base di criteri definiti, applicati in modo coerente e rivisti a intervalli appropriati.

Cosa deve contenere il fascicolo

Come minimo, il fascicolo VASP dovrebbe contenere il questionario di due diligence completato con risposte verificate su fonti primarie dove possibile, il rapporto di analitica on-chain con la data di generazione e la metodologia utilizzata, il livello di rischio assegnato e la relativa logica, il record di approvazione che indica il livello al quale l'approvazione è stata concessa e la data programmata per la prossima revisione periodica. Eventuali rivalutazioni su eventi dovrebbero essere documentate come allegati al fascicolo originale, non come record separati non collegati.

Lo standard di documentazione conta anche per i flussi di lavoro del software di contabilità per asset digitali. Dove i dati delle controparti VASP confluiscono nella rendicontazione finanziaria, ad esempio nella banca corrispondente, nel processamento dei pagamenti o nell'amministrazione di fondi, il fascicolo di conformità e il record contabile devono essere collegati. Un revisore che esamina i flussi di pagamento in stablecoin di un'impresa, ad esempio, dovrebbe essere in grado di risalire al record di due diligence VASP per la controparte che ha emesso o rimborsato quelle stablecoin.

Domande frequenti

Cos'è un VASP ai fini della due diligence antiriciclaggio?

Un virtual asset service provider è qualsiasi entità che, come attività commerciale, svolge una o più delle seguenti attività per conto di un'altra persona: scambio tra valute virtuali e valute fiat, scambio tra diverse valute virtuali, trasferimento di valute virtuali, custodia o amministrazione di valute virtuali e partecipazione a servizi finanziari relativi all'offerta o alla vendita di valute virtuali da parte di un emittente. La definizione FATF è lo standard di riferimento utilizzato dalla maggior parte delle giurisdizioni principali. Ai fini della due diligence, la categoria include exchange centralizzati, custodi, processori di pagamento e alcuni operatori di protocolli DeFi a seconda della giurisdizione.

Cos'è il GDF VADDQ e la nostra istituzione dovrebbe usarlo?

Il Global Digital Finance VASP Due Diligence Questionnaire è un framework standardizzato di richiesta di informazioni sviluppato dall'organismo di settore Global Digital Finance. È progettato per consentire alle istituzioni finanziarie di raccogliere informazioni comparabili e strutturate dalle controparti VASP. L'uso di uno standard riconosciuto non sostituisce la necessità di verifica indipendente, ma dimostra ai supervisori che la metodologia dell'istituzione non è ad hoc. Per le istituzioni che effettuano l'onboarding di più VASP, rende anche più gestibile il confronto tra controparti.

Perché la direzione dell'esposizione on-chain è importante?

L'esposizione in entrata e quella in uscita hanno implicazioni di rischio diverse. Se fondi ad alto rischio affluiscono nei wallet di un VASP, ciò solleva domande sui controlli di accettazione della clientela e di monitoraggio del VASP. Se il VASP invia fondi a destinazioni ad alto rischio, ciò solleva domande sul suo screening sanzionatorio e sui controlli di prelievo. Trattare entrambe come un'unica cifra aggregata nasconde dove il rischio è effettivamente concentrato e può portare a una diagnosi errata del profilo di rischio della controparte.

Con quale frequenza dovrebbero essere rivalutate le relazioni con i VASP?

La frequenza di rivalutazione dovrebbe riflettere il livello di rischio assegnato all'onboarding, con i VASP a rischio più elevato revisionati più frequentemente. Oltre alle revisioni programmate, un insieme definito di eventi trigger, inclusi azioni regolatorie, media negativi, cambiamenti nello stato di licenza e segnalazioni dall'analitica on-chain, dovrebbe richiedere una rivalutazione immediata indipendentemente da quando è avvenuta l'ultima revisione periodica. La lista degli eventi trigger dovrebbe essere scritta nella policy, non lasciata alla discrezione dell'analista.

Come si collega la due diligence VASP agli obblighi di rendicontazione finanziaria?

Quando una controparte VASP è coinvolta in transazioni che fluiscono attraverso i libri dell'istituzione, ad esempio regolamenti in stablecoin, accordi di custodia crypto o processamento di pagamenti, il fascicolo di conformità per quel VASP è direttamente rilevante per la traccia di audit di tali transazioni. Revisori e autorità di regolamentazione che esaminano bilanci che includono flussi di asset digitali si aspetteranno di poter ricondurre tali flussi a una valutazione documentata e approvata della controparte. Le imprese che utilizzano software di contabilità crypto dovrebbero assicurarsi che i registri di conformità VASP e i registri delle transazioni siano collegati, non isolati.

Fonte: Elliptic