Segnalazione UE dei titolari effettivi: nuovo formato sotto il pacchetto AML
La Commissione europea ha pubblicato un regolamento di esecuzione che standardizza il formato con cui le informazioni sui titolari effettivi devono essere segnalate in tutti gli Stati membri dell'UE. Emesso nell'ambito del nuovo pacchetto legislativo anti-riciclaggio dell'UE, il regolamento è direttamente rilevante per i prestatori di servizi per le cripto-attività (CASP), i prestatori di servizi societari e qualsiasi entità obbligata soggetta alle norme AML dell'UE. Per le imprese che operano a Malta e in tutto il blocco, non si tratta di un segnale politico lontano: è una specifica tecnica vincolante che determinerà come i dati KYC devono essere strutturati, archiviati e trasmessi ai registri centrali.
Cosa fa il regolamento di esecuzione
Il pacchetto AML dell'UE, adottato nel corso degli ultimi anni, ha radicalmente rinnovato l'approccio del blocco alla lotta contro la criminalità finanziaria. Pilastro centrale di tale pacchetto è la riforma dei registri dei titolari effettivi (BO), inclusa una più forte interconnessione tra i registri nazionali attraverso il Sistema di interconnessione dei registri delle imprese (BRIS). Un regolamento di esecuzione è uno strumento a livello di Commissione che specifica i dettagli operativi di un atto legislativo di livello superiore. In questo caso, prescrive il formato dati specifico che le entità obbligate e le autorità competenti devono utilizzare per segnalare o scambiare informazioni sui titolari effettivi.
L'MFSA, l'autorità di vigilanza sui servizi finanziari di Malta, ha segnalato la pubblicazione di questo regolamento il 30 ottobre 2026, indicandone la rilevanza per le entità vigilate sull'isola. Malta si è da tempo posizionata come giurisdizione UE chiave per le licenze crypto, quindi la portata pratica di questo cambiamento di formato è significativa per la comunità dei CASP ivi registrati.
Dimensioni tecniche chiave del nuovo formato
Sebbene gli allegati tecnici completi siano esposti nel testo pubblicato dalla Commissione, il regolamento affronta diverse dimensioni che i team di conformità e finanziari devono comprendere:
- Uno schema dati standardizzato per identificare e descrivere i titolari effettivi, che copre campi quali nome, data di nascita, nazionalità, paese di residenza e natura ed entità dell'interesse di proprietà o controllo detenuto.
- Requisiti su come le informazioni sono strutturate per consentire lo scambio transfrontaliero di dati tra i registri nazionali tramite BRIS, a supporto dell'obiettivo di interconnessione del pacchetto AML.
- Specificazione del formato in cui gli aggiornamenti ai registri dei titolari effettivi devono essere presentati, il che influisce sulla frequenza e sul metodo tecnico di segnalazione da parte delle entità obbligate.
- Regole sugli obblighi di accuratezza e verifica che si affiancano al formato dati, rafforzando il fatto che il cambiamento di formato non è meramente cosmetico ma si lega direttamente allo standard sostanziale KYC.
Come si inserisce nell'architettura legislativa AML più ampia
Il regolamento di esecuzione si colloca sotto il Regolamento AML e la Sesta direttiva anti-riciclaggio (AMLD6), che insieme costituiscono il fulcro del quadro aggiornato dell'UE in materia di criminalità finanziaria. Il Regolamento AML ha introdotto un insieme di regole direttamente applicabili per le entità obbligate, eliminando la necessità per gli Stati membri di recepire determinate disposizioni. Il regolamento di esecuzione aggiunge il livello operativo: senza un formato dati comune, l'ambizione politica di un ecosistema di registri BO genuinamente interconnesso in 27 Stati membri non può essere realizzata nella pratica.
I CASP sono esplicitamente inclusi nell'ambito di applicazione del Regolamento AML, il che significa che affrontano gli stessi obblighi di segnalazione dei titolari effettivi delle banche, delle imprese di investimento e delle altre entità obbligate tradizionali. Si tratta di una svolta rispetto alle direttive precedenti, in cui le imprese crypto cadevano talvolta in categorie ambigue o transitorie.
Implicazioni per società di contabilità, revisori e CFO
Per i professionisti che assistono entità regolamentate UE o gestiscono la conformità per un CASP, il nuovo formato ha effetti concreti a valle sulla gestione dei dati, sulle piste di audit e sui sistemi utilizzati per supportare il lavoro di conformità.
Architettura dei dati e software di contabilità crypto
Una delle conseguenze meno discusse di un formato standardizzato di segnalazione BO è la pressione che esercita sull'architettura interna dei dati delle entità obbligate. Le informazioni sui titolari effettivi sono tipicamente raccolte all'onboarding e aggiornate su base event-driven o periodica. Se tali dati sono detenuti in formati o strutture che non si mappano chiaramente sul nuovo schema UE, le imprese affrontano un esercizio di migrazione e validazione dei dati prima di poter segnalare in modo conforme.
È qui che le scelte in materia di software di contabilità crypto e software di contabilità per asset digitali diventano rilevanti al di là delle pure funzioni di libro mastro. Le imprese che hanno integrato le proprie pipeline di dati KYC con le piattaforme contabili e di conformità devono verificare che i campi dati BO acquisiti dai loro sistemi siano allineati allo schema prescritto dalla Commissione. Ove vi siano lacune, che si tratti di un dato mancante o di un campo esistente sotto un nome diverso, queste devono essere risolte a livello di sistema, non rattoppate manualmente al momento della segnalazione.
Le società di contabilità che servono clienti CASP dovrebbero includere un esercizio di mappatura dei campi dati come parte del loro prossimo ciclo di revisione della conformità. La domanda è semplice ma spesso trascurata: la raccolta dati KYC attuale del cliente copre ogni campo richiesto dal nuovo formato, nella struttura corretta e con una base di verifica documentata?
Considerazioni su audit e assurance
I revisori delle entità regolamentate dovranno comprendere il nuovo formato quando valutano l'adeguatezza dei controlli AML. Un rilievo di audit secondo cui le segnalazioni BO di un cliente sono tecnicamente non conformi al regolamento di esecuzione, anche se i dati sottostanti sono ampiamente accurati, potrebbe innescare un esame da parte delle autorità di vigilanza. Ciò è particolarmente rilevante a Malta, dove l'MFSA ha sottolineato le proprie aspettative di vigilanza sulla qualità e l'accuratezza delle informazioni BO detenute dalle entità autorizzate.
Dal punto di vista dell'assurance, il formato standardizzato rende anche i test comparativi più gestibili. I revisori possono ora valutare se i dati presentati da un cliente sono conformi a uno schema specifico e pubblicamente disponibile, anziché basarsi su una valutazione più interpretativa di quali informazioni "dovrebbero" essere incluse.
Considerazioni a livello di CFO e tesoreria
Per i CFO di gruppi con strutture proprietarie complesse, il nuovo formato può richiedere di rivedere come la proprietà effettiva è determinata e documentata a livello di gruppo. La natura e l'entità degli interessi di proprietà o controllo devono essere espresse in un modo che lo schema prescritto possa accogliere. Ove un gruppo abbia strutture di partecipazione a più livelli o interessi di proprietà vicini alle soglie rilevanti, il formato esige effettivamente una precisione che i registri BO informali o narrativi non possono fornire.
I gruppi con entità crypto regolamentate UE dovrebbero anche considerare se le stesse informazioni BO debbano essere segnalate in più Stati membri e, in tal caso, se il formato standardizzato riduca o potenzialmente moltiplichi il carico di conformità a seconda di come sono organizzati i processi attuali.
Contesto specifico di Malta
La decisione dell'MFSA di pubblicare un avviso dedicato su questo regolamento di esecuzione riflette l'approccio dell'autorità di mantenere informata la propria popolazione vigilata sugli sviluppi a livello UE man mano che si verificano. Malta ospita un numero significativo di CASP che sono stati autorizzati ai sensi del Virtual Financial Assets Act prima dell'entrata in vigore delle disposizioni transitorie del MiCA, e molte di queste imprese stanno ora affrontando il processo di autorizzazione MiCA insieme agli obblighi più ampi del pacchetto AML.
Interazione con MiCA e il Regolamento AML
MiCA e il Regolamento AML operano su binari paralleli ma con significativi punti di intersezione. MiCA stabilisce le condizioni per l'autorizzazione e la condotta continua degli affari per i CASP, mentre il Regolamento AML disciplina i loro obblighi di prevenzione della criminalità finanziaria. Il regolamento di esecuzione sul formato di segnalazione BO ricade pienamente nel solco del Regolamento AML, ma i CASP che preparano le loro domande di autorizzazione MiCA scopriranno che le autorità di regolamentazione, inclusa l'MFSA, si aspettano che i loro quadri AML riflettano già lo stato attuale dei requisiti UE. Un'impresa che non è in grado di dimostrare un processo di segnalazione BO allineato al nuovo formato è probabile che affronti domande durante la valutazione dell'autorizzazione.
Per i team di conformità che gestiscono il duplice carico di lavoro della transizione MiCA e dell'attuazione del pacchetto AML, il consiglio pratico è trattare l'aggiornamento del formato BO come un flusso di lavoro distinto con un responsabile chiaro, un output di analisi delle lacune e una tempistica di remediation. Inserirlo in un progetto generico di "conformità AML" rischia di ricevere un'attenzione insufficiente.
Prossimi passi pratici per i team di conformità e finanziari
Dato che il regolamento di esecuzione è ora pubblicato, il conto alla rovescia per la preparazione è iniziato. I seguenti passaggi riflettono le priorità immediate per le entità obbligate e i loro consulenti.
Azioni immediate
- Ottenere e rivedere il testo completo del regolamento di esecuzione, inclusi eventuali allegati tecnici, per comprendere lo schema dati preciso richiesto.
- Condurre una mappatura campo per campo della raccolta dati KYC attuale rispetto allo schema richiesto, identificando lacune o discrepanze.
- Interagire con l'autorità nazionale competente per il registro (a Malta, per le segnalazioni al registro BO, ciò ricade sotto il Malta Business Registry) per comprendere la tempistica di adozione del nuovo formato a livello di registro.
- Rivedere i contratti dei fornitori e le specifiche di sistema per qualsiasi software di contabilità crypto o piattaforma KYC in uso, per confermare se gli aggiornamenti del formato sono inclusi nella roadmap del fornitore e in quale arco temporale.
- Aggiornare le politiche e le procedure AML per fare riferimento ai nuovi requisiti di formato, assicurando che la documentazione sia in atto prima di qualsiasi revisione di vigilanza.
I team che cercano contesto su come le tendenze di applicazione AML stanno plasmando le aspettative di conformità troveranno utili antecedenti nella nostra trattazione dei segnali AML per i team di conformità che utilizzano software di contabilità crypto e nell'analisi più ampia di come il quadro AML dell'UE si interseca con gli obblighi del software di contabilità crypto.
Domande frequenti
A chi si applica il regolamento di esecuzione UE sui titolari effettivi?
Il regolamento si applica a tutte le entità obbligate ai sensi del Regolamento AML dell'UE, che include istituti di credito, istituti finanziari e prestatori di servizi per le cripto-attività autorizzati o operanti nell'UE. Si applica anche alle autorità competenti responsabili della tenuta e dello scambio delle informazioni sui titolari effettivi attraverso i registri nazionali.
Qual è la differenza tra il Regolamento AML e un regolamento di esecuzione?
Il Regolamento AML è un atto legislativo primario adottato dal Parlamento europeo e dal Consiglio. Esso stabilisce gli obblighi sostanziali per le entità obbligate. Un regolamento di esecuzione è emanato dalla Commissione europea per specificare i dettagli operativi su come tali obblighi sono adempiuti nella pratica, come il formato dei dati per la segnalazione. Entrambi sono giuridicamente vincolanti in tutti gli Stati membri dell'UE senza necessità di recepimento nazionale.
Questo riguarda specificamente i prestatori di servizi per le cripto-attività?
Sì. I CASP rientrano esplicitamente nell'ambito di applicazione del Regolamento AML, e il regolamento di esecuzione sul formato di segnalazione BO si applica quindi ad essi allo stesso modo in cui si applica alle banche e alle imprese di investimento. I CASP devono raccogliere, mantenere e segnalare le informazioni sui titolari effettivi nel formato prescritto, e i loro sistemi interni devono supportare tale requisito.
Come dovrebbe essere aggiornato il software di contabilità crypto di un'impresa per riflettere il nuovo formato?
Le imprese dovrebbero innanzitutto identificare se i loro sistemi attuali acquisiscono tutti i campi dati specificati nel nuovo schema. Ove i campi manchino o siano acquisiti in una struttura diversa, devono collaborare con i team di conformità, IT e fornitori per colmare tali lacune. L'aggiornamento del formato è una questione di architettura dei dati tanto quanto di politica, e dovrebbe essere trattato come un progetto con deliverable definiti anziché come un rinnovo di routine delle politiche.
Qual è il ruolo dell'MFSA nell'attuazione di questo regolamento?
In quanto regolamento di esecuzione, questo strumento è direttamente applicabile in tutta l'UE senza che l'MFSA debba emanare norme separate. Tuttavia, l'MFSA vigila sulla conformità delle entità autorizzate e ha segnalato la propria consapevolezza del regolamento pubblicando un avviso dedicato. Le imprese vigilate dall'MFSA dovrebbero aspettarsi che questo faccia parte del quadro di vigilanza AML rispetto al quale sono valutate, e dovrebbero interagire con le linee guida dell'MFSA man mano che vengono emesse.