Pacchetto sanzioni UE n. 21: il divieto crypto verso paesi terzi e cosa significa per la tua azienda

Il 21° pacchetto di sanzioni dell'Unione Europea, pubblicato nell'agosto 2026, segna una svolta. Per la prima volta, le norme sulle sanzioni UE introducono quello che gli analisti chiamano un "divieto verso paesi terzi" per le attività crypto, ovvero restrizioni che colpiscono la geografia di un servizio e non solo l'identità di una controparte. Per studi contabili, revisori e CFO con qualsiasi esposizione agli asset digitali, non si tratta di un aggiornamento normativo di sfondo. Ridisegna il perimetro di quali transazioni possono essere registrate, quali saldi possono essere detenuti e quali informazioni sono richieste.

Cosa dice effettivamente il 21° pacchetto

I precedenti pacchetti di sanzioni UE incentrati sulle crypto seguivano in gran parte lo schema convenzionale: congelare i beni di persone ed entità nominate, vietare alle persone UE di fare affari con loro e richiedere ai fornitori di servizi di asset virtuali (VASP) di effettuare controlli e blocchi di conseguenza. Il 21° pacchetto mantiene tutto ciò, ma sovrappone una restrizione geografica strutturalmente diversa.

La dimensione del paese terzo

Le nuove norme vietano ai VASP autorizzati nell'UE di fornire servizi in o verso paesi terzi specificati, quando tali servizi riguardano asset virtuali e quando vi è il timore che la giurisdizione fornisca un canale per l'elusione delle sanzioni. La logica è semplice: se un VASP può liberamente accogliere utenti o elaborare transazioni instradandole attraverso una giurisdizione extra-UE priva di controlli equivalenti, l'intero regime sanzionatorio UE può essere aggirato con una singola decisione di routing. Il pacchetto affronta direttamente questa lacuna.

Questo livello geografico significa che la conformità non è più soddisfatta semplicemente controllando le controparti rispetto agli elenchi consolidati UE. Le aziende devono anche valutare dove una transazione ha origine o termina e se quella geografia stessa innesca una restrizione, indipendentemente dal fatto che la specifica controparte sia nominata in qualsiasi elenco.

Interazione con gli obblighi esistenti per i VASP

I VASP autorizzati nell'UE operano già nell'ambito del quadro di autorizzazione MiCA e dei requisiti della regola di viaggio del Regolamento sul trasferimento di fondi. Il 21° pacchetto si sovrappone a entrambi. Un VASP conforme a MiCA e alla regola di viaggio non è automaticamente conforme alle sanzioni in base alle nuove regole geografiche. I tre regimi sono cumulativi, non alternativi. Per le aziende che assistono VASP o detengono investimenti in VASP nel bilancio, questa stratificazione ha implicazioni dirette su come si valuta il profilo di rischio normativo di un cliente o di una partecipata.

Chi è direttamente colpito

L'impatto più immediato ricade sui VASP regolamentati che operano con autorizzazioni MiCA negli stati membri UE. Ma gli effetti a valle si estendono ulteriormente.

Studi contabili e revisori

Le aziende che revisionano VASP, o che revisionano società con posizioni significative di tesoreria in crypto, ora devono incorporare il divieto verso paesi terzi nelle loro valutazioni di continuità aziendale e di rischio. Un cliente di revisione che instrada una parte significativa del proprio volume crypto attraverso una giurisdizione soggetta a restrizioni ha un'esposizione normativa che deve essere valutata, divulgata e potenzialmente qualificata. Lo stesso vale per le aziende che forniscono funzioni di compliance esternalizzate o di gestione del rischio finanziario ai VASP: l'ambito dell'incarico potrebbe dover essere esteso per coprire lo screening geografico, non solo quello delle controparti.

Dal punto di vista della conformità MiCA e della qualità istituzionale nella finanza digitale europea, il 21° pacchetto accelera una tendenza già visibile: l'asticella per ciò che conta come conformità crypto adeguata in Europa continua a salire, e le aziende i cui quadri interni erano calibrati su requisiti di generazioni precedenti ora sono indietro.

CFO e team di tesoreria

I team di tesoreria aziendale che detengono asset crypto o utilizzano canali crypto per pagamenti transfrontalieri devono affrontare due domande distinte. Primo: l'attuale infrastruttura di controparti o di routing della tesoreria passa attraverso un paese terzo soggetto a restrizioni? Secondo: il fornitore VASP dell'azienda ha controlli adeguati per garantire che le transazioni dell'azienda stessa non violino inavvertitamente le norme? La seconda domanda è importante perché le normative impongono obblighi sia al VASP che, in alcune circostanze, all'entità cliente. L'ignoranza della geografia di routing non è una difesa.

I CFO dovrebbero anche considerare se le informative esistenti nelle relazioni annuali e nei bilanci intermedi catturino adeguatamente questo nuovo livello normativo. Se una parte significativa dell'attività crypto di un'azienda è ora soggetta a restrizioni geografiche, si tratta di una passività potenziale e di un fattore di continuità aziendale di cui i revisori chiederanno conto.

Gestori di fondi e investitori istituzionali

I gestori di fondi con allocazioni in asset digitali devono verificare se una qualsiasi delle loro partecipazioni è custodita o amministrata attraverso strutture che toccano giurisdizioni soggette a restrizioni. Ciò include fondi di fondi e prodotti strutturati in cui l'esposizione VASP sottostante potrebbe non essere immediatamente visibile nei documenti del fondo di primo livello. Una posizione che appare pulita a livello di fondo può contenere una violazione a livello di sub-fondo o di custode.

Implicazioni contabili e di reporting

Svalutazione degli asset e fair value

Ai sensi sia dell'IFRS che degli US GAAP, gli asset crypto detenuti al fair value richiedono una valutazione continua se le condizioni di mercato o eventi normativi ne abbiano influenzato il valore. Un divieto verso paesi terzi che limita la capacità di negoziare, trasferire o liquidare una posizione in una particolare geografia è un dato di input di livello 3 del fair value: influisce sul mercato principale dell'asset e sulla capacità dell'azienda di uscire dalla posizione al prezzo quotato. I team finanziari dovrebbero rivedere le loro informative sulla gerarchia del fair value e considerare se sia necessario aggiustare qualcosa.

Per i beni contabilizzati con il modello del costo-svalutazione, la domanda è se le nuove restrizioni costituiscano un trigger di svalutazione. Se una posizione crypto è detenuta tramite un VASP che è esso stesso soggetto a restrizioni nella sua operatività nel mercato primario, la recuperabilità di quella posizione è materialmente influenzata.

Accantonamenti e passività potenziali

Dove un'azienda ha già effettuato transazioni in una geografia che potrebbe ora essere soggetta a restrizioni, o dove vi è incertezza sulla conformità delle attività passate alle nuove norme, potrebbe essere richiesto un accantonamento o un'informativa su passività potenziali ai sensi dello IAS 37. La soglia è un'obbligazione presente come risultato di un evento passato, con una probabile uscita di risorse. Multe normative o la richiesta di confisca dei proventi da attività soggette a restrizioni potrebbero soddisfare tale test.

Come deve rispondere il software di contabilità crypto

La dimensione geografica del 21° pacchetto crea un requisito diretto per il software di contabilità crypto: catturare e segnalare le geografie delle transazioni, non solo le identità delle controparti. Le aziende che utilizzano software di contabilità per asset digitali progettati attorno allo screening delle controparti dovranno valutare se tale software possa essere configurato per segnalare le transazioni in base alla giurisdizione di instradamento. Dove non può, è necessario un processo manuale di override nel breve termine, con una roadmap di aggiornamento tecnologico per il medio termine.

Questo è anche utile considerare quando si valuta un software di contabilità crypto per clienti VASP: la capacità di screening geografico è ora una caratteristica critica per la conformità, non un optional. Le aziende che aiutano i clienti a selezionare o configurare tali software hanno il dovere di segnalare questa lacuna.

AML e conformità in materia di reati finanziari

Le implicazioni AML del divieto verso paesi terzi interagiscono strettamente con il quadro esistente della regola di viaggio ai sensi del Regolamento sul trasferimento di fondi. La regola di viaggio richiede che le informazioni su ordinante e beneficiario viaggino con qualsiasi trasferimento crypto al di sopra della soglia. Le restrizioni geografiche del 21° pacchetto aggiungono un'ulteriore domanda: anche quando i dati della regola di viaggio sono completi, la geografia di instradamento crea essa stessa una violazione?

Riconfigurazione del monitoraggio delle transazioni

I team di conformità dovrebbero aspettarsi di riconfigurare le regole di monitoraggio delle transazioni per aggiungere flag geografici accanto agli avvisi esistenti basati su controparte e soglia. Non è un esercizio banale. Molti sistemi di monitoraggio delle transazioni nel settore crypto sono stati costruiti con lo screening dell'indirizzo blockchain come controllo primario, con logica a livello di giurisdizione aggiunta come livello secondario. Invertire quella priorità, o almeno dare al livello geografico pari peso, richiede una revisione formale del set di regole e, in molti casi, il coinvolgimento dei fornitori.

Anche l'interazione con come il crimine crypto guidato dall'IA sta rimodellando gli obblighi AML per gli studi contabili è rilevante qui: attori sofisticati che cercano di sfruttare geografie soggette a restrizioni usano sempre più strutture di transazione assistite dall'IA per oscurare i percorsi di instradamento. Le aziende hanno bisogno di sistemi di monitoraggio in grado di rilevare la stratificazione attraverso più giurisdizioni, non solo trasferimenti diretti a geografie soggette a restrizioni.

Segnalazione di operazioni sospette

Dove un'azienda identifica una transazione che potrebbe aver toccato una giurisdizione soggetta a restrizioni, anche storicamente, ciò potrebbe far scattare un obbligo di segnalazione di operazione sospetta (SOS) ai sensi della legislazione nazionale AML che recepisce le Direttive UE antiriciclaggio. La soglia per la segnalazione è un ragionevole sospetto, non la certezza. I responsabili della conformità dovrebbero adottare un approccio prudente nel periodo immediatamente successivo all'adozione del pacchetto, mentre le linee guida di enforcement delle autorità nazionali competenti sono ancora in corso di emissione.

Passi pratici per le aziende: una checklist prioritaria

Data la novità della restrizione geografica, l'esigenza più urgente è un chiaro piano di azione interno. I seguenti passi riflettono le aree di rischio immediato più elevato.

Passo 1: Mappatura giurisdizionale

Prima di tutto, le aziende devono sapere quali paesi terzi sono specificati nel 21° pacchetto e mappare la loro base clienti attuale, i flussi di transazione e gli accordi di custodia rispetto a tale elenco. Questa mappatura deve coprire non solo le controparti dirette, ma anche VASP intermediari e sub-custodi. Una transazione che passa attraverso una giurisdizione soggetta a restrizioni in qualsiasi punto del suo instradamento potrebbe essere in scope.

Passo 2: Valutazione del gap tecnologico

Rivedere se l'attuale software di contabilità crypto, i sistemi di monitoraggio delle transazioni e le piattaforme di onboarding possano effettuare screening per giurisdizione di instradamento. Dove non possono, documentare il gap, implementare controlli manuali provvisori e avviare una conversazione con i fornitori su una tempistica per la correzione. I regolatori si aspettano che le aziende dimostrino di aver identificato il gap e agito prontamente.

Passo 3: Notifica a clienti e controparti

Dove un VASP ha clienti la cui attività potrebbe essere influenzata dal divieto verso paesi terzi, tali clienti devono essere notificati e, se necessario, allontanati o limitati nelle attività rilevanti. Ciò ha dimensioni sia contrattuali che regolamentari: gli accordi con i clienti potrebbero dover essere rivisti per clausole di forza maggiore o cambiamento normativo che disciplinano come il VASP può limitare i servizi.

Passo 4: Revisione del bilancio

I team finanziari dovrebbero rivedere i bilanci del periodo corrente e di quelli precedenti per eventuali informative, valutazioni o accantonamenti che potrebbero dover essere aggiornati alla luce delle nuove restrizioni. I revisori dovrebbero essere informati in modo proattivo piuttosto che aspettare la prossima revisione programmata.

Passo 5: Monitorare le linee guida di enforcement

Il 21° pacchetto è legislazione adottata, ma le linee guida di enforcement della Commissione Europea e delle autorità nazionali competenti continueranno a svilupparsi. Le aziende dovrebbero assegnare una persona nominata per tracciare tali linee guida e segnalare tempestivamente gli sviluppi materiali al senior management e ai comitati di audit.

Domande frequenti

Il divieto verso paesi terzi si applica a tutti gli asset crypto o solo a tipi specifici?

Le restrizioni si applicano agli asset crypto in generale, coerentemente con come le sanzioni UE e i quadri MiCA definiscono la classe di asset. Non ci sono esclusioni per tipi specifici di asset come le stablecoin o i token di utilità in questa fase. Le aziende dovrebbero applicare le restrizioni all'intero portafoglio di asset digitali fino a quando ulteriori linee guida di enforcement non restringano o chiariscano l'ambito.

Se il software di contabilità crypto di un'azienda segnala una transazione dopo il fatto, l'azienda è ancora responsabile?

Sì. L'obbligo è prevenire che la transazione soggetta a restrizioni si verifichi, non semplicemente rilevarla retroattivamente. La rilevazione post-facto può mitigare una sanzione, in particolare se l'azienda si auto-segnala e coopera con l'autorità competente, ma non elimina la responsabilità. L'obiettivo di qualsiasi aggiornamento tecnologico dovrebbe essere lo screening geografico pre-transazione, non solo la segnalazione post-transazione.

Come interagisce il divieto verso paesi terzi con il regime di autorizzazione MiCA?

L'autorizzazione MiCA consente a un VASP di operare negli stati membri UE in regime di passaporto, ma non autorizza l'attività in paesi terzi. Le restrizioni del 21° pacchetto aggiungono un ulteriore divieto su determinati servizi verso paesi terzi in cima ai limiti di ambito esistenti di MiCA. Un VASP autorizzato MiCA che non forniva servizi in giurisdizioni soggette a restrizioni è in gran parte non influenzato operativamente, ma deve comunque verificare che il suo instradamento delle transazioni non passi attraverso geografie soggette a restrizioni.

Le aziende non UE sono influenzate se elaborano transazioni originate nell'UE?

La portata extraterritoriale delle sanzioni UE è una questione giuridica complessa, ma come principio generale, qualsiasi azienda che elabora transazioni coinvolgenti persone UE o fondi di origine UE può essere soggetta agli obblighi delle sanzioni UE. I VASP non UE che servono clienti UE dovrebbero richiedere consulenza legale sulla loro esposizione ai sensi del 21° pacchetto, in particolare se una qualsiasi parte della loro infrastruttura di instradamento tocca paesi terzi soggetti a restrizioni.

Cosa dovrebbe chiedere il comitato di audit alla direzione proprio ora?

I comitati di audit dovrebbero chiedere alla direzione di confermare: quali paesi terzi sono elencati nel 21° pacchetto; se l'azienda ha qualsiasi esposizione diretta o indiretta a quelle giurisdizioni attraverso attività clienti, accordi di custodia o instradamento di transazioni; se gli attuali sistemi tecnologici possono effettuare screening a livello geografico; e se sono richiesti accantonamenti o informative su passività potenziali nel prossimo periodo di reporting. La direzione dovrebbe essere in grado di rispondere a queste domande in giorni, non settimane.

Fonte: Elliptic