Verifica dell'identità e compliance

Convertire un asset digitale in valuta legale non è un'operazione neutrale dal punto di vista normativo. È precisamente il punto di uscita dal sistema crypto verso il sistema bancario, ed è lì che la normativa antiriciclaggio concentra i suoi requisiti.

Questa guida spiega cosa viene richiesto, perché, e cosa fa — o non fa — un servizio serio con i tuoi documenti.

Perché esiste la verifica

Un fornitore di servizi di asset digitali è soggetto agli obblighi antiriciclaggio e di contrasto al finanziamento del terrorismo, allo stesso modo di una banca. Questi obblighi hanno tre filoni:

1. Conosci il tuo cliente. Identificare la persona, verificare che i documenti forniti siano autentici e comprendere la natura del rapporto d'affari.
2. Monitorare le operazioni. Rilevare schemi che divergono da quanto previsto dal profilo dichiarato.
3. Segnalare i sospetti. Notificare all'unità di intelligence finanziaria competente le operazioni per le quali sussiste un sospetto.

Il terzo punto implica qualcosa che pochi servizi dichiarano apertamente: una segnalazione di attività sospetta non ti viene comunicata. È un obbligo legale, e il divieto di informare la persona interessata ne fa parte.

I livelli e perché esistono

La verifica è graduale. Un primo livello, per importi piccoli, richiede poco; i livelli superiori richiedono di più. Le soglie esatte sono pubblicate sulla pagina verifica dell'identità.

Il principio generale: il livello richiesto dipende dal tuo importo cumulativo su un periodo mobile, non da un'operazione isolata. Cinque operazioni da 900 EUR non sono cinque piccole operazioni, sono un'unica operazione da 4.500 EUR spezzettata.

Questo punto merita di essere dichiarato esplicitamente: frazionare deliberatamente un'operazione per rimanere al di sotto di una soglia di controllo ha un nome in diritto, structuring, ed è di per sé un indicatore di sospetto. Il comportamento innesca esattamente la revisione che cerca di evitare.

Cosa viene richiesto, livello per livello

Livello base. Identità dichiarata, indirizzo email verificato, numero di telefono. Sufficiente per piccoli importi.

Livello standard. Un documento d'identità ufficiale valido e un controllo che la persona presente sia quella sul documento — il cosiddetto controllo di vivacità. Il documento deve essere leggibile integralmente, senza riflessi sulla zona a lettura ottica.

Livello avanzato. Prova di residenza recente e, a seconda dei casi, prova dell'origine dei fondi. Quest'ultima non è un sospetto: al di sopra di certi importi è obbligatoria e la sua assenza blocca l'operazione, per quanto buono sia il fascicolo per il resto.

Persone politicamente esposte. Chi ricopre o ha ricoperto una funzione pubblica di rilievo, insieme ai suoi stretti collaboratori, è soggetto a una due diligence rafforzata. Non è né un rifiuto né un giudizio: è un obbligo legale, applicato sistematicamente.

Cause di rifiuto, per frequenza

1. Una foto del documento d'identità inutilizzabile. Sfocata, tagliata, con riflessi sulla fascia inferiore. Questa è la causa principale ed è la più facile da evitare: scatta in piano, con luce indiretta, senza flash.
2. Prova di residenza troppo vecchia. Il limite abituale è di tre mesi.
3. Nome del conto di pagamento diverso dall'identità verificata. Anche un nome mancante è sufficiente per bloccare. Il conto di destinazione deve essere intestato esattamente alla persona verificata.
4. Un documento in una lingua non supportata. In tal caso è richiesta una traduzione.
5. Un indirizzo in un paese soggetto a restrizioni. Il servizio viene rifiutato, con il motivo indicato nella pagina restrizioni geografiche.

Il controllo on-chain dell'origine dei fondi

Oltre alla verifica dell'identità, un secondo controllo riguarda i fondi stessi. Gli indirizzi che hanno ricevuto asset direttamente da un servizio sanzionato, da un mixer o da un furto identificato attivano una revisione manuale.

Due avvertenze oneste:

• Questo controllo produce falsi positivi. Un indirizzo potrebbe aver ricevuto, a diversi passaggi a monte, fondi di origine dubbia senza che il suo titolare ne sapesse nulla. La revisione manuale esiste proprio per separare questi casi.
• Il risultato non è negoziabile una volta stabilito. Se l'analisi conclude che esiste un collegamento diretto con un'entità sanzionata, l'operazione non può essere eseguita, qualunque siano le spiegazioni fornite.

La politica completa è nella pagina politica AML.

La Travel Rule

Quando gli asset digitali si spostano tra due fornitori regolamentati, la normativa richiede che le informazioni su ordinante e beneficiario viaggino con il trasferimento. È la trasposizione agli asset digitali di una regola che esiste da tempo per i bonifici bancari.

Conseguenza pratica per te: un prelievo verso un portafoglio self-hosted può richiedere una prova del controllo dell'indirizzo — ad esempio firmando un messaggio con la chiave corrispondente. Non è un sospetto, è la regola che viene applicata.

Il termine è definito nel glossario.

Cosa succede ai tuoi documenti

Un servizio serio deve essere in grado di rispondere con precisione a quattro domande.

Chi li tratta? L'identificazione è eseguita da un fornitore specializzato, che è la norma del settore. Il nome e il ruolo del fornitore sono nella pagina privacy.

Per quanto tempo sono conservati? La normativa impone un periodo minimo di conservazione dopo la fine del rapporto d'affari. Tale periodo è un obbligo, non una scelta: una richiesta di cancellazione non può prevalere finché il termine è in corso.

Dove sono ospitati? L'ubicazione dei dati e le garanzie applicabili a qualsiasi trasferimento al di fuori dell'area pertinente devono essere documentate.

Chi può accedervi? L'accesso deve essere limitato ai team con una necessità operativa e registrato.

Se un servizio non sa rispondere a queste quattro domande, la sua affidabilità è una questione che viene prima del suo prezzo.

Cosa un servizio non dovrebbe mai chiederti

• La frase di recupero del tuo portafoglio. Non esiste alcuna ragione legittima. Mai. Tale richiesta è un tentativo di furto, senza eccezioni.
• Una password per un altro servizio.
• L'accesso remoto al tuo computer.
• Un pagamento per sbloccare un prelievo. Le commissioni sono detratte dall'operazione, mai richieste separatamente.

Questi quattro elementi sono le firme costanti delle truffe in questo settore. Sono ripetuti nella pagina sicurezza.

Quanto tempo richiede

La verifica automatizzata — lettura del documento, controllo di vivacità, confronto — si risolve in pochi minuti quando i documenti sono utilizzabili. Questo è il caso più comune.

Tre situazioni esulano da questo schema, con tempistiche diverse.

Revisione manuale del fascicolo. Attivata da una discrepanza nel nome, da un documento in un formato insolito o da un documento la cui autenticità deve essere confermata. Prevedi alcune ore lavorative.

Verifica dell'origine dei fondi. Richiede documenti che devi trovare tu: l'estratto conto dell'acquisto originale, un contratto, una busta paga. La tempistica dipende soprattutto da te. Prepararli in anticipo, quando l'importo che intendi vendere lo giustifica, è il più grande risparmio di tempo disponibile.

Revisione dell'analisi on-chain. Attivata da un collegamento a un indirizzo segnalato. È la meno prevedibile: può risolversi in ore o richiedere diversi giorni lavorativi se sono necessari documenti aggiuntivi.

Durante una revisione il tuo ordine non viene annullato e i tuoi fondi non sono persi. Ma il tasso di cambio bloccato scade con il suo orologio. Se la revisione supera la finestra, l'ordine viene riquotato al tasso di cambio corrente e devi accettare il nuovo importo.

Questa è la ragione operativa, non quella amministrativa, per cui continuiamo a dire di verificare la tua identità prima della quotazione: l'unico costo reale di una verifica tardiva è un tasso di cambio che si è mosso.

Preparare la tua verifica

Il momento migliore per verificare la tua identità è prima di creare un ordine. Farlo mentre un tasso di cambio è in corso è il modo più sicuro per perdere la finestra di blocco.

Per prepararti:

• un documento d'identità ufficiale valido;
• una prova di residenza con meno di tre mesi;
• per importi elevati, una prova dell'origine dei fondi: un estratto conto che mostri l'acquisto originale, un contratto di vendita, una busta paga;
• un conto di pagamento intestato esattamente con lo stesso nome.

Cosa non è la compliance

Due malintesi ricorrono abbastanza spesso da meritare di essere chiariti esplicitamente.

La compliance non è una garanzia che i tuoi fondi siano al sicuro. Verificare un'identità e sottoporre a screening un deposito non ti dice nulla su come un fornitore detiene gli asset, separa il denaro dei clienti o gestisce un incidente. Sono questioni separate, affrontate nella pagina sicurezza, e un fornitore che risponde solo alla prima sta rispondendo a quella più facile.

Un conto verificato non è un conto senza limiti. La verifica sblocca un livello, non l'assenza di limiti. I massimali dei canali di pagamento, i limiti per pagamento imposti dalla tua stessa banca e i limiti operativi dal nostro lato continuano ad applicarsi e sono pubblicati nella pagina limiti.

Essere chiari su entrambi fa parte della stessa disciplina del resto di questa guida: descrivere cosa fa realmente un controllo, piuttosto che lasciare che suggerisca una garanzia più ampia che non fornisce.

Articoli allegati a questa guida

• Vendere crypto in Nigeria mostra come funziona la verifica del nome del beneficiario su un canale di pagamento locale.
• Perché alcuni metodi di pagamento non possono ricevere fondi spiega perché alcuni canali di pagamento sono esclusi per ragioni regolamentari piuttosto che tecniche.
• Tassa francese sulla cessione di crypto copre l'obbligo di dichiarazione, che è separato dagli obblighi di compliance del fornitore.