Esternalizzazione e rischio di terzi
Leggi l’edizione PDF (2 pagine)
La maggior parte dei titolari di licenza DPT esternalizza parti essenziali del proprio apparato di compliance: verifica dell’identità, screening sanzionatorio, monitoraggio delle operazioni, blockchain analytics e messaggistica travel rule sono tipicamente forniti da fornitori esterni. Le Guidelines on Outsourcing della MAS, emanate per la prima volta nel 2016 e riviste nel 2018, si applicano ai fornitori di servizi di pagamento. Esse richiedono un registro degli accordi di esternalizzazione e un’adeguata verifica sul fornitore del servizio prima dell’incarico e successivamente con cadenza periodica. Gli accordi scritti devono attribuire all’impresa e alla MAS diritti di audit e di accesso. Sono richiesti dispositivi di continuità operativa, così come la notifica alla MAS delle esternalizzazioni rilevanti.1 Le linee guida trattano inoltre i servizi cloud e l’esternalizzazione all’estero, aspetti rilevanti per un gruppo i cui sistemi di compliance possono essere ospitati in Svizzera o altrove.
La responsabilità per la funzione esternalizzata rimane in capo al titolare di licenza. In sede di ispezione la MAS chiede all’impresa di dimostrare di comprendere come funzionano lo screening o il monitoraggio del fornitore e di averne verificato i risultati. L’impresa deve dimostrare di aver calibrato le regole del fornitore sulla propria valutazione del rischio e di essere in grado di rilevare un malfunzionamento del fornitore. Un’impresa che non sa spiegare perché il proprio fornitore di analisi attribuisce un indirizzo a un cluster sanzionato, o come sono state fissate le proprie regole di monitoraggio, ha esternalizzato non solo l’elaborazione ma anche il proprio giudizio. La MAS non lo consente.
Scegliere e governare un fornitore di blockchain analytics
La scelta di fornitore che incide maggiormente sui risultati antiriciclaggio di un titolare di licenza DPT è quella del fornitore di blockchain analytics. Chainalysis, Elliptic, TRM Labs e pochi altri dominano il mercato, e le loro attribuzioni divergono. Lo stesso indirizzo può essere classificato ad alto rischio da uno e privo di classificazione da un altro. L’attribuzione dipende dal clustering e dall’intelligence proprietari di ciascun fornitore. La MAS non ha avallato alcun fornitore e non ne impone alcuno in particolare. Si attende però che l’impresa abbia valutato la copertura, da parte del fornitore, delle blockchain supportate dall’impresa, nonché la metodologia di attribuzione e i tassi di errore del fornitore. La latenza degli aggiornamenti, le misure di protezione dei dati e la compliance sanzionatoria del fornitore stesso rientrano nella medesima valutazione.2 Le imprese più grandi utilizzano due fornitori in parallelo e indagano sulle discrepanze, il che costituisce una buona prassi, ma è costoso. Le imprese più piccole dovrebbero almeno documentare le ragioni della scelta del proprio fornitore e verificare un campione di attribuzioni sulla base di fonti pubbliche. Le loro soglie di rischio dovrebbero essere fissate con cognizione del comportamento del fornitore in termini di falsi positivi e falsi negativi.
Lista di controllo
Un assetto di blockchain analytics in grado di superare un’ispezione della MAS dovrebbe comprendere quanto segue. - Una valutazione scritta della copertura delle blockchain da parte del fornitore rispetto agli asset supportati dall’impresa, aggiornata quando viene quotato un nuovo asset. - Soglie documentate di punteggio di rischio per l’esposizione diretta e indiretta, per categoria (sanzioni, darknet, mixer, truffe, attacchi informatici, gioco d’azzardo), con la motivazione operativa di ciascuna. - Prova di verifiche periodiche delle attribuzioni del fornitore su un campione di indirizzi noti. - Una procedura per la gestione delle attribuzioni contestate dall’impresa, compresa l’escalation al fornitore e la documentazione dell’esito. - Prova dell’integrazione, che dimostri che ogni trasferimento in entrata e in uscita è sottoposto a screening prima dell’accredito o della trasmissione, con log conservati per cinque anni. - Un accordo sul trattamento dei dati conforme alle regole del PDPA sulla limitazione dei trasferimenti, qualora il fornitore tratti dati al di fuori di Singapore. - La conferma che il fornitore stesso non è soggetto a sanzioni e non è stato menzionato in azioni di enforcement.
Note
- MAS, Guidelines on Outsourcing, 27 luglio 2016, riviste il 5 ottobre 2018, applicabili a tutte le istituzioni finanziarie regolamentate dalla MAS; la MAS ha posto in consultazione ed emanato strumenti successivi per la gestione del rischio di terzi in alcuni settori. ↩
- Guidelines to Notice PSN02, sezione sull’utilizzo della tecnologia e di strumenti di terzi nella CDD e nel monitoraggio delle operazioni; MAS Information Paper sui controlli AML/CFT dei fornitori di servizi DPT, osservazioni sulla governance della blockchain analytics. ↩
Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.