La Raccomandazione 15 del GAFI e la travel rule

Leggi l’edizione PDF (3 pagine)

Lo standard

Nell'ottobre 2018 il GAFI ha modificato la Raccomandazione 15 per imporre ai paesi di disciplinare i fornitori di servizi per le attività virtuali (VASP) ai fini della lotta contro il riciclaggio di denaro e il finanziamento del terrorismo, e ha aggiunto al proprio glossario le definizioni di "virtual asset" e di "virtual asset service provider". Un VASP è qualsiasi persona fisica o giuridica che, a titolo professionale, svolge una di cinque attività per conto di un'altra persona. Le attività sono lo scambio tra attività virtuali e valute fiat, lo scambio tra attività virtuali, il trasferimento di attività virtuali, la custodia o l'amministrazione di attività virtuali o di strumenti che consentono di controllarle, e la partecipazione a servizi finanziari connessi all'offerta o alla vendita di un'attività virtuale da parte di un emittente o la prestazione di tali servizi. Nel giugno 2019 il GAFI ha adottato la Nota interpretativa alla Raccomandazione 15, che richiede la concessione di licenze ai VASP o la loro registrazione, la vigilanza e l'intera gamma delle misure preventive. Il paragrafo 7(b) della Nota contiene la "travel rule". I VASP dell'ordinante e del beneficiario devono ottenere, conservare e trasmettere le informazioni richieste sull'ordinante e sul beneficiario relative ai trasferimenti di attività virtuali, fatta salva una soglia de minimis che i paesi possono fissare a USD o EUR 1.000.¹

L'"Updated Guidance for a Risk-Based Approach to Virtual Assets and Virtual Asset Service Providers" del GAFI del 28 ottobre 2021 ha affinato lo standard in sei ambiti. Si trattava delle definizioni di attività virtuale e di VASP, dell'applicazione degli standard alle stablecoin, dei rischi delle operazioni peer-to-peer, delle licenze e della registrazione, dell'attuazione della travel rule e dello scambio di informazioni tra le autorità di vigilanza sui VASP. La guida ha assunto la posizione secondo cui i creatori, i titolari e i gestori di una struttura DeFi che mantengono il controllo o un'influenza sufficiente possono essere VASP anche se la struttura si definisce decentralizzata. Gli NFT, per contro, esulano di norma dalla definizione, salvo che siano utilizzati a fini di pagamento o di investimento.² Dal 2022 il GAFI pubblica annualmente "targeted updates" sull'attuazione. Il sesto, del 26 giugno 2025, ha riferito che 99 giurisdizioni avevano approvato o stavano approvando una legislazione sulla travel rule e che la maggior parte delle attività illecite on-chain riguardava ormai le stablecoin. Ha rilevato che nel febbraio 2025 la Repubblica Popolare Democratica di Corea aveva sottratto US$ 1,46 miliardi all'exchange Bybit, di cui era stato recuperato soltanto il 3,8 per cento. Ha concluso che le giurisdizioni che rappresentano circa il 98 per cento dell'attività globale in attività virtuali dovevano attuare integralmente gli standard affinché questi potessero funzionare.³

L'approdo in Svizzera

La Svizzera non ha avuto bisogno di nuova legislazione per assoggettare i VASP, poiché la sua LRD (AMLA) ha sempre definito gli intermediari finanziari in base alla funzione. Lo scambio, la custodia e il trasferimento di cripto-attività rientrano nell'art. 2 cpv. 3 LRD in quanto attività di chi, a titolo professionale, accetta, custodisce o aiuta a trasferire valori patrimoniali di terzi. La FINMA ha confermato tale posizione nella sua guida pratica sulle ICO del febbraio 2018 e nella Comunicazione sulla vigilanza 02/2019 sul traffico dei pagamenti sulla blockchain, che ha applicato la travel rule tramite l'art. 10 ORD-FINMA già esistente sulle informazioni da trasmettere con gli ordini di pagamento. La Svizzera ha scelto di non adottare la soglia de minimis di USD/EUR 1.000 per la travel rule, cosicché ogni trasferimento è accompagnato dalle informazioni. Ha inoltre richiesto la verifica dell'avente economicamente diritto degli unhosted wallet prima dei trasferimenti da o verso di essi. L'abbassamento a CHF 1'000 nel 2021 della soglia di identificazione per le operazioni di cambio ha fatto seguito alle preoccupazioni del GAFI relative alle operazioni occasionali. La valutazione reciproca della Svizzera da parte del GAFI del 2016 ha preceduto le modifiche relative alle attività virtuali, ma i successivi rapporti di follow-up l'hanno giudicata largely compliant con la Raccomandazione 15.⁴

L'approdo a Singapore

Singapore è intervenuta per via legislativa. Il Payment Services Act 2019, entrato in vigore il 28 gennaio 2020, è stato redatto dopo la modifica dell'ottobre 2018 e concepito per recepire la definizione di VASP del GAFI sotto la denominazione di "digital payment token service". Il Payment Services (Amendment) Act 2021 ha esteso la definizione al trasferimento, alla custodia e all'intermediazione, in modo da farla corrispondere parola per parola al glossario del GAFI una volta entrate in vigore le modifiche nell'aprile 2024. La MAS Notice PSN02 attua le misure preventive e la travel rule per i fornitori di servizi DPT, con la soglia per le informazioni complete fissata a S$ 1.500. Il regime DTSP del Financial Services and Markets Act 2022 ha risposto alla preoccupazione del GAFI relativa ai VASP che operano da una giurisdizione servendo clienti in altre, preoccupazione che il GAFI ha espresso nella guida del 2021 e ribadito in ciascun targeted update. La valutazione reciproca di Singapore del 2016 e i successivi follow-up la giudicano compliant o largely compliant con la Raccomandazione 15.⁵

Il prossimo ciclo

Entrambe le giurisdizioni affrontano il quinto ciclo di valutazioni reciproche del GAFI, iniziato nel 2025 con una maggiore attenzione all'efficacia. Le attività virtuali saranno valutate come immediate outcome a sé stante. L'autore si attende che i valutatori verifichino tre aspetti: la vigilanza sui trasferimenti da e verso unhosted wallet, il trattamento dei front-end DeFi alla luce del test del "controllo o influenza sufficiente" e il bilancio dell'enforcement nei confronti dei fornitori offshore privi di licenza. Il modello svizzero degli OAD e la vigilanza diretta di Singapore saranno messi a confronto sotto il profilo dell'efficacia, e i risultati confluiranno nella prossima revisione dell'ORD-FINMA e della PSN02.

Note

1. GAFI, Recommendation 15 e Interpretive Note to Recommendation 15, come modificate nell'ottobre 2018 e nel giugno 2019, in "International Standards on Combating Money Laundering and the Financing of Terrorism and Proliferation: The FATF Recommendations", edizione aggiornata. La travel rule figura in INR 15, paragrafo 7(b). ↩
2. GAFI, Updated Guidance for a Risk-Based Approach to Virtual Assets and Virtual Asset Service Providers, 28 ottobre 2021, Parigi. I sei ambiti prioritari sono elencati nella nota di pubblicazione del GAFI. Sulla DeFi cfr. i paragrafi 67 segg. della Guidance. ↩
3. GAFI, "FATF urges stronger global action to address illicit finance risks in virtual assets", sesto targeted update sulle attività virtuali e sui VASP, 26 giugno 2025. L'aggiornamento era accompagnato dalle Best Practices on Travel Rule Supervision della stessa data. ↩
4. Guida pratica della FINMA per il trattamento delle richieste di assoggettamento in vista di un'initial coin offering (ICO), 16 febbraio 2018. Comunicazione FINMA sulla vigilanza 02/2019 del 26 agosto 2019. Art. 51a ORD-FINMA. GAFI, Mutual Evaluation Report Switzerland, dicembre 2016, e rapporti di enhanced follow-up 2020 e 2023. Cfr. Parte F, capitoli da II a IV. ↩
5. Payment Services Act 2019, First Schedule, Part 3, come modificato dal Payment Services (Amendment) Act 2021. MAS Notice PSN02, paragrafo 13. FSMA 2022, Part 9. GAFI, Mutual Evaluation Report Singapore, settembre 2016, e rapporti di follow-up. Cfr. Parte L, capitoli da I a III. ↩

Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.