VASP UE dopo MiCA: chi ha ottenuto la licenza e chi si assume il rischio
La finestra transitoria di MiCA si è chiusa il 1° luglio 2026 e i numeri sono netti. Su 1.343 fornitori di servizi crypto operanti nello Spazio economico europeo, solo 281 hanno ottenuto una licenza CASP completa ai sensi di MiCA prima della scadenza. Gli altri 1.062 operano ora al di fuori della legge e una nuova analisi dell'azienda di intelligence blockchain TRM Labs mostra che sono materialmente più rischiosi delle aziende che ce l'hanno fatta. Per studi contabili, revisori e CFO i cui clienti sono o dipendono da fornitori di servizi crypto, non è una storia normativa di sottofondo. È un evento di rischio di controparte.
Cosa significava davvero la scadenza del grandfathering
Prima di dicembre 2024, ogni Stato membro dell'UE aveva il proprio regime di registrazione o licenza crypto. Gli standard variavano enormemente. Una registrazione ottenuta nella giurisdizione più permissiva aveva la stessa legittimità nominale di una licenza completa di uno dei regolatori nazionali più severi e le aziende sceglievano la propria sede di conseguenza.
MiCA ha sostituito quel patchwork con uno standard di autorizzazione unico ai sensi del regolamento Markets in Crypto-Assets. Alle aziende che già operavano in base alla legislazione nazionale prima del 30 dicembre 2024 è stato concesso un periodo transitorio ai sensi dell'articolo 143, paragrafo 3, per convertire la loro registrazione nazionale esistente in una licenza CASP completa. Tale finestra è durata fino al 1° luglio 2026. Da quella data in poi, un'azienda senza autorizzazione MiCA non può fornire legalmente servizi di cripto-attività in nessun luogo dell'UE.
La portata della mancata conversione
Il tasso di conversione è stato basso. TRM ha identificato 1.343 aziende che offrivano servizi crypto osservabili in tutto il SEE prima della scadenza. Di queste, 281 hanno ottenuto una licenza CASP MiCAR. Circa una su cinque. Le restanti 1.062 devono ora affrontare tre opzioni: uscire dal mercato in modo ordinato, ristrutturarsi in un'entità autorizzata o trasferire le proprie relazioni con i clienti a un'azienda che detiene una licenza. Nessuna di queste opzioni è rapida o priva di attriti e tutte creano esposizioni di compliance per ogni parte coinvolta.
Quali giurisdizioni hanno convertito e quali no
I dati sulle autorizzazioni rivelano un netto divario tra le giurisdizioni che hanno costruito capacità di licenza in anticipo e quelle che hanno lasciato accumulare grandi registri sotto regimi nazionali più permissivi.
Giurisdizioni ad alta conversione
La BaFin tedesca ha autorizzato 55 delle 57 aziende autorizzate operanti in Germania, un tasso di conversione che riflette il requisito di lunga data di BaFin per licenze sostanziali di custodia crypto ai sensi della legge bancaria tedesca prima dell'arrivo di MiCA. Anche Lussemburgo, Cipro, Malta e Irlanda hanno raggiunto tassi di conversione elevati rispetto ai loro registri pre-MiCA. Malta e Cipro hanno ciascuna autorizzato più aziende (rispettivamente 20 e 19) dell'Italia, che ha autorizzato solo 9 delle 145 aziende operanti nel suo registro. Nell'insieme, Malta, Cipro, Irlanda e Lussemburgo detengono 63 delle 272 autorizzazioni nazionali identificate del blocco, su una base di sole 101 aziende operanti.
Giurisdizioni a bassa conversione
Lituania e Polonia presentano i casi più netti della dinamica opposta. TRM ha osservato 383 aziende che offrivano servizi crypto con registrazione lituana e oltre 1.800 voci nel registro polacco, anche se la maggior parte dei registranti polacchi non ha mai gestito servizi crypto osservabili. La Lituania ha autorizzato otto aziende da quel registro di oltre 400. La Polonia non ne ha autorizzata nessuna. Anche Grecia e Portogallo non hanno emesso autorizzazioni nazionali proprie. Queste cifre illustrano esattamente il problema di arbitraggio che MiCA mirava a eliminare: i regimi nazionali a bassa soglia hanno attirato un gran numero di registranti e lo standard più rigoroso di MiCA ora li ha filtrati per lo più.
Passaporto e concentrazione della supervisione
Il passaporto consente a un'azienda autorizzata in uno Stato membro di operare in tutto il blocco. Questo è voluto, ma i dati mostrano un effetto collaterale: la responsabilità di supervisione si sta concentrando più rapidamente della presenza sul mercato. Una manciata di autorità di regolamentazione, in particolare BaFin, Banca Centrale d'Irlanda, Malta Financial Services Authority e Commission de Surveillance du Secteur Financier in Lussemburgo, sta diventando il supervisore primario per aziende che servono clienti in paesi che non hanno emesso autorizzazioni domestiche. Questa è la condizione alla base degli avvertimenti dell'Autorità europea antiriciclaggio (AMLA) su standard AML/CFT disomogenei e arbitraggio normativo all'interno del mercato unico.
Il divario di rischio tra aziende autorizzate e non autorizzate
Lo stato di autorizzazione e il profilo di rischio non sono indipendenti. Le valutazioni di rischio di TRM, applicate alle aziende attive nei dodici mesi precedenti al 6 luglio 2026, mostrano un divario chiaro e significativo tra le due coorti.
Valutazioni di rischio Alto e Severo
Il 12% delle aziende non autorizzate ha una valutazione di rischio Alto o Severo secondo TRM. Tra le aziende autorizzate, questa cifra è del 2%. In termini assoluti, 30 delle 244 aziende non autorizzate valutate rientrano nella categoria Alto o Severo, contro solo 2 delle 90 aziende autorizzate valutate. In particolare, ogni valutazione Severa nell'intero set di dati appartiene a un'azienda che non ha ottenuto l'autorizzazione. Altre 20 aziende non autorizzate hanno una valutazione Media, ampliando ulteriormente il divario quando si considera l'intera distribuzione.
Esposizione illecita diretta
Il denaro illecito raggiunge entrambi i gruppi a tassi aggregati sostanzialmente simili. Le aziende non autorizzate hanno inviato lo 0,09% del loro volume direttamente a controparti illecite o ad alto rischio; le aziende autorizzate, lo 0,07%. A quel livello la differenza sembra modesta. Ma l'aggregato nasconde una coda che conta.
La maggior parte delle aziende in entrambi i gruppi ha un'esposizione illecita diretta trascurabile. Un piccolo numero di aziende non autorizzate è diverso: diverse inviano tra l'1% e il 12% del loro volume totale direttamente a indirizzi illeciti. Nessuna azienda autorizzata supera la soglia dell'1%. È questa coda a creare l'acuto rischio di controparte per qualsiasi azienda che assorba clienti non autorizzati.
Esposizione alle sanzioni
La divergenza più significativa tra i due gruppi è l'esposizione alle sanzioni. Le aziende non autorizzate hanno inviato circa tre volte più volume direttamente a controparti sanzionate rispetto alle aziende autorizzate. Le esposizioni maggiori in entrambe le coorti sono concentrate in exchange ad alto rischio e servizi di gioco d'azzardo, ma il divario nelle sanzioni è il numero che attirerà per primo l'attenzione dei compliance officer e dei regolatori.
Cosa dice AMLA che succederà dopo
AMLA ha emesso una nota di indirizzo sulla fine del periodo transitorio MiCAR identificando tre conseguenze strutturali: le aziende non autorizzate lasciano il mercato, grandi volumi di relazioni con i clienti vengono trasferiti o terminati e l'attività crypto si concentra presso un numero minore di CASP autorizzati. AMLA caratterizza queste come aventi un impatto materiale sul funzionamento del mercato crypto dell'UE.
Rischi segnalati da AMLA per le aziende autorizzate
Mentre le aziende non autorizzate chiudono in tempi compressi, i loro controlli AML vengono messi sotto pressione. I CASP autorizzati che assorbono i loro clienti affrontano improvvisi cambiamenti nei propri profili di rischio e una pressione immediata sui sistemi di monitoraggio delle transazioni calibrati su una base clienti diversa e più ristretta. Nel frattempo, i supervisori perdono visibilità sui trasferimenti tra i due gruppi proprio quando quella visibilità conta di più.
AMLA ha chiesto ai supervisori nazionali di dare priorità alla supervisione dei piani di uscita e dei trasferimenti dei clienti e di coordinarsi oltre i confini mentre i clienti migrano. I dati di TRM danno a tale richiesta una base quantitativa: le 30 aziende non autorizzate con valutazione Alto o Severo sono identificabili ora, prima che avvengano i trasferimenti, e rappresentano la concentrazione di rischio più acuta che i CASP autorizzati e i loro supervisori devono gestire.
Implicazioni contabili e di compliance per aziende e CFO
Il divario MiCA crea lavoro concreto per studi contabili, revisori e CFO con esposizione crypto nell'UE. Tre aree spiccano.
Due diligence sulla controparte e onboarding
Qualsiasi CASP autorizzato che si prepari ad assorbire relazioni con i clienti da un'azienda non autorizzata deve rivalutare il proprio framework di rischio di controparte prima che avvengano i trasferimenti, non dopo. I dati sul rischio mostrano che la popolazione di clienti in migrazione non è omogenea. Un piccolo sottoinsieme porta un'esposizione illecita e alle sanzioni sproporzionata. I processi KYC standard progettati per l'onboarding retail potrebbero non essere calibrati per rilevare quel tipo di rischio di coda concentrato abbastanza rapidamente. Gli studi contabili che consigliano i CASP su questa transizione dovrebbero rivedere ora i trigger di due diligence rafforzata e le soglie di monitoraggio delle transazioni dei loro clienti. La nostra analisi dettagliata su come costruire un framework AML per l'onboarding VASP illustra come dovrebbe essere un processo robusto secondo le attuali aspettative normative.
Audit ed esposizione al bilancio
Per i team di audit, la domanda rilevante è se qualche cliente detiene cripto-attività materiali su una piattaforma che ha perso l'autorizzazione MiCA o è in fase di chiusura. Le attività detenute su un'azienda non autorizzata possono essere soggette a restrizioni sui prelievi, rischio di insolvenza o interruzioni operative durante un'uscita affrettata. Questa è una questione di continuità aziendale e recuperabilità delle attività e deve essere nell'agenda di pianificazione dell'audit per qualsiasi incarico con esposizione crypto nel bilancio. L'IFRS e i principi contabili UE non forniscono indicazioni specifiche sul rischio di custodia di intermediari non autorizzati, ma il quadro generale di impairment e informativa è abbastanza chiaro: se esiste incertezza materiale sulla recuperabilità di un'attività, deve essere divulgata.
Obblighi AML e screening delle sanzioni
Il divario di esposizione alle sanzioni tre volte superiore tra aziende non autorizzate e autorizzate è il numero che dovrebbe attirare l'attenzione più rapidamente. Gli obblighi AML dell'UE si applicano alle entità obbligate che effettuano transazioni con fornitori di servizi crypto indipendentemente dal fatto che la controparte sia autorizzata ai sensi di MiCA. Se un cliente continua a instradare transazioni attraverso un'azienda non autorizzata dopo luglio 2026, quella relazione ora comporta un obbligo rafforzato di screening delle sanzioni e un potenziale trigger di segnalazione normativa. Gli studi contabili che fungono anche da entità segnalanti AML devono valutare se le proprie procedure coprano adeguatamente questo scenario.
Per le aziende che affrontano il quadro più ampio di compliance MiCA, la nostra precedente analisi sull'impatto di MiCA sui team contabili delle stablecoin copre le dimensioni di classificazione delle attività che si affiancano alla storia delle licenze.
Domande frequenti
Cosa è successo alle aziende che non hanno ottenuto l'autorizzazione MiCA entro il 1° luglio 2026?
Dal 1° luglio 2026, tali aziende non possono fornire legalmente servizi di cripto-attività nell'UE. Devono scegliere tra un'uscita ordinata dal mercato, la ristrutturazione in un'entità autorizzata o il trasferimento delle proprie relazioni con i clienti a un CASP autorizzato. AMLA prevede che queste transizioni creino una significativa perturbazione del mercato e ha chiesto ai supervisori nazionali di monitorare attentamente la pianificazione dell'uscita.
Perché alcune giurisdizioni hanno avuto tassi di conversione MiCA molto bassi?
Giurisdizioni come Lituania e Polonia avevano accumulato registri nazionali molto ampi sotto regimi pre-MiCA relativamente permissivi. Molti registranti non hanno mai gestito servizi crypto osservabili e quelli che lo hanno fatto spesso non soddisfacevano i requisiti di autorizzazione più rigorosi di MiCA. Il basso tasso di conversione riflette sia l'effetto di filtraggio di standard più elevati sia l'eredità dell'arbitraggio normativo nel precedente regime frammentario dell'UE.
Quanto sono più rischiose le aziende non autorizzate rispetto a quelle autorizzate?
Secondo i dati di TRM Labs, il 12% delle aziende non autorizzate ha una valutazione di rischio Alto o Severo contro il 2% delle aziende autorizzate. Ogni valutazione Severa nel set di dati appartiene a un'azienda non autorizzata. Un piccolo sottoinsieme di aziende non autorizzate invia anche tra l'1% e il 12% del proprio volume direttamente a indirizzi illeciti, una soglia che nessuna azienda autorizzata supera.
Cosa significa il passaporto per la supervisione dopo MiCA?
Il passaporto consente a un CASP autorizzato di servire clienti in tutti gli Stati membri dell'UE da un'unica autorizzazione nazionale. Di conseguenza, la responsabilità di supervisione si sta concentrando in un piccolo numero di Stati membri, in particolare Germania, Irlanda, Malta, Cipro e Lussemburgo, i cui regolatori sono ora responsabili della supervisione di aziende che servono clienti in paesi che non hanno emesso autorizzazioni nazionali. AMLA ha segnalato questa concentrazione come motore di potenziale incoerenza AML/CFT in tutto il blocco.
Cosa dovrebbero fare subito uno studio contabile o un CFO?
Tre passi immediati meritano attenzione. Primo, identificare qualsiasi cliente o società in portafoglio che detenga attività su un CASP non autorizzato e valutare le implicazioni per la recuperabilità e l'informativa. Secondo, verificare se alcuni clienti CASP autorizzati prevedono di assorbire clienti da aziende non autorizzate e, in tal caso, assicurarsi che i loro framework di due diligence e monitoraggio delle transazioni siano calibrati per il rischio di coda elevato in quella popolazione in migrazione. Terzo, verificare se eventuali relazioni esistenti con controparti coinvolgono aziende non autorizzate, perché gli obblighi AML dell'UE e i requisiti di screening delle sanzioni si applicano indipendentemente dallo stato MiCA della controparte.
Fonte: TRM Labs