Autorizzazione CASP a Malta: perché la verifica dell'identità (KYC) può determinare il successo o il fallimento della tua licenza.

Nel 2024, l'Unità di analisi dell'intelligence finanziaria di Malta (FIAU) ha ricevuto 1,751 segnalazioni di operazioni sospette dal settore degli asset finanziari virtuali, rispetto alle 1,476 dell'anno precedente (Rapporto annuale FIAU 2024). Si tratta di un aumento del 18.6% su base annua dell'attenzione delle autorità di regolamentazione, concentrata sullo stesso piccolo gruppo di aziende che ora stanno rinnovando le proprie licenze ai sensi della legge MiCA.

Un fornitore di servizi di criptovalute (CASP) è qualsiasi società che offre servizi correlati alle criptovalute all'interno dell'Unione europea ai sensi della Mercati nella regolamentazione delle criptovalute (MiCA), il regolamento unificato del blocco in materia di criptovalute. A Malta, i titolari di licenze per attività finanziarie virtuali (VFA) esistenti operano in base a una clausola di salvaguardia fino al 1° luglio 2026, dopodiché la licenza CASP rilasciata dalla Malta Financial Services Authority (MFSA) diventerà l'unica base giuridica per la fornitura di tali servizi.

La scadenza del 1° luglio 2026 per il CASP viene spesso inserita nel calendario legale come un evento transitorio. Questa impostazione, tuttavia, nasconde il rischio reale. L'autorizzazione CASP da parte dell'MFSA non è un evento di notifica, bensì un evento infrastrutturale relativo alla verifica dell'identità del cliente (KYC). Le aziende che superano la soglia MiCA mantenendo la licenza e l'accesso ai servizi bancari intatti sono quelle la cui infrastruttura di onboarding è in grado di resistere a tre revisioni simultanee.

Perché la scadenza CASP di luglio 2026 è un evento relativo all'infrastruttura KYC e non una pratica legale?

La legge MiCA definisce il quadro normativo in materia di licenze. Non definisce l'obbligo di verifica dell'identità (KYC). Tale obbligo deriva dal Regolamento maltese sulla prevenzione del riciclaggio di denaro e del finanziamento del terrorismo (PMLFTR) e dalle direttive antiriciclaggio dell'UE, che operano indipendentemente dall'architettura di rilascio delle licenze prevista dalla MiCA. Questa distinzione è importante perché determina cosa cercano i valutatori dell'MFSA durante la revisione di una domanda di autorizzazione all'esercizio dell'attività commerciale (CASP).

Una richiesta all'MFSA verifica se la tua infrastruttura di onboarding soddisfa le normative antiriciclaggio, le aspettative in materia di rischio operativo e gli standard di governance che l'MFSA applica a ogni impresa regolamentata. Un documento legale può essere redatto in pochi giorni. Un'infrastruttura KYC no. Se la tua attuale infrastruttura è stata creata in base al regime VFA, stai lavorando con controlli progettati secondo un quadro normativo nazionale che aveva una portata più ristretta rispetto a ciò che l'MFSA valuta ora in base alle aspettative dell'era MiCA.

La conseguenza pratica per i responsabili della conformità è che la revisione CASP è una conversazione a due livelli. MFSA esamina la struttura legale, la valutazione dell'idoneità e della correttezza degli amministratori e il modello di business. I valutatori quindi indagano se il programma AML, i flussi di lavoro CDD e EDD, il sanzioni and Screening PEP La copertura e la tracciabilità soddisfano gli standard richiesti nel sistema di onboarding reale, non solo sulla carta.

Perché la FIAU sta monitorando attentamente il settore delle criptovalute e cosa significa questo per i candidati al programma CASP?

La FIAU è l'autorità di vigilanza antiriciclaggio e l'unità di intelligence finanziaria di Malta. Esamina attentamente ogni settore regolamentato per valutare la qualità delle segnalazioni di operazioni sospette e i relativi controlli antiriciclaggio. Nel 2024, la FIAU ha ricevuto 9,430 segnalazioni di operazioni sospette in tutti i settori, con il settore degli asset finanziari virtuali che ha registrato la crescita più rapida. Qualsiasi richiesta di certificazione CASP arriva su una scrivania che conosce già la superficie di attacco della tua attività.

Il rapporto annuale 2024 della FIAU registra 187 interventi di vigilanza e 70 ulteriori azioni di applicazione nei confronti dei soggetti interessati (Record FIAU 2024Il settore del gioco da remoto rimane quello con il maggior numero di segnalazioni, ma quello degli asset finanziari virtuali è quello in più rapida crescita. Le aziende specializzate in criptovalute hanno presentato 1,751 segnalazioni di operazioni sospette (STR) nel 2024, rispetto alle 1,476 del 2023, un tasso di crescita che ha superato, in termini percentuali, quello di qualsiasi altra categoria regolamentata.

Per un richiedente CASP, questi numeri si traducono in un'aspettativa specifica. L'FIAU, e tramite essa l'MFSA, si aspetta che i CASP mantengano lo stesso livello di programma antiriciclaggio di un istituto di moneta elettronica o di una banca autorizzata. Le tracce di audit devono superare una revisione tematica. I clienti segnalati devono avere una motivazione documentata. Gli avvisi chiusi devono essere associati a un analista specifico, avere una data e ora e una registrazione della decisione che l'FIAU possa riesaminare due anni dopo senza necessità di ricostruzione.

La prova pratica consiste nel verificare se il vostro sistema è in grado di rispondere, su richiesta, alla domanda effettivamente posta da un supervisore della FIAU.

Cosa verifica effettivamente l'MFSA durante una revisione dell'autorizzazione CASP?

Il processo di autorizzazione CASP dell'MFSA è documentato pubblicamente e si basa sui requisiti MiCA dell'UE. A prima vista, la domanda sembra una semplice lista di controllo burocratica. La vera profondità risiede in cinque aree chiave in cui l'MFSA ha storicamente rinviato le domande per una nuova presentazione. Ciascuna di queste aree verifica la prontezza operativa, non solo l'ammissibilità legale.

La revisione dell'MFSA si articola in cinque aree principali, che sono:

I cinque elementi costitutivi di una suite KYC pronta per CASP

Un sistema KYC conforme al CASP si compone di cinque funzionalità coordinate che alimentano un unico registro di controllo. Ciascuna di esse deve superare una revisione dell'MFSA, un esame tematico della FIAU e un questionario di due diligence della banca corrispondente. La maggior parte dei sistemi dell'era VFA copre bene solo una o due di queste funzionalità, lasciando le altre alla revisione manuale, il che rappresenta il motivo principale per cui un programma apparentemente conforme non supera comunque l'ostacolo del CASP. Le aziende che ottengono l'autorizzazione al primo tentativo hanno ricostruito tutte e cinque le funzionalità.

1. Due Diligence cliente (CDD) Il sistema verifica l'identità, la residenza e il livello di rischio di ogni nuovo cliente, con i documenti rifiutati contrassegnati da un codice di motivazione anziché da un generico errore. L'MFSA si aspetta una traccia di controllo completa di ciò che è stato verificato e del perché è stata presa una decisione.
2. Due Diligence rafforzata (EDD) Si applica a clienti ad alto rischio, persone politicamente esposte e modelli di transazione che superano le soglie di rischio. L'EDD è l'ambito in cui gli stack VFA spesso non raggiungono le prestazioni ottimali, perché i trigger sono impostati su valori troppo elevati.
3. Fonte di fondi La verifica della provenienza del patrimonio si avvale di flussi di lavoro strutturati supportati da prove documentali che l'FIAU è in grado di ricostruire anche due anni dopo i fatti. Questo è il punto più critico nelle richieste di autorizzazione MFSA.
4. Sanzioni, PEP e screening avverso dei media Ora è previsto un obbligo di monitoraggio continuo, non un controllo una tantum. Sia l'MFSA che la FIAU si aspettano che un cliente che diventi soggetto a sanzioni o oggetto di notizie negative da parte dei media venga segnalato quasi in tempo reale.
5. La traccia di audit conforme ai requisiti FIAU registra ogni decisione di onboarding, ogni avviso e ogni file cliente con data e ora, nome dell'analista e motivazione della decisione. Tale registrazione deve essere ricostruibile su richiesta, non assemblata durante l'audit.

Perché le banche maltesi effettuano un proprio controllo KYC prima di aprire un conto corrente?

L'accesso ai servizi bancari è un requisito imprescindibile, seppur silenzioso, per la sopravvivenza della transizione al CASP. Le banche maltesi sono tenute a svolgere la dovuta diligenza nei confronti di ogni cliente in relazione al rapporto commerciale, e le banche corrispondenti in altre giurisdizioni sono tenute a svolgere la dovuta diligenza sulle banche maltesi stesse. Un cliente CASP con controlli di onboarding deboli crea un rischio cumulativo che si propaga lungo tutta la catena delle banche corrispondenti, le quali reagiscono a tale rischio interrompendo il rapporto.

Le banche cercano tre cose in un candidato CASP. Un documento Programma antiriciclaggio La conformità alle aspettative dell'MFSA rappresenta il punto di partenza. I controlli di onboarding in tempo reale, eseguiti su candidati reali anziché su dati archiviati in un fascicolo, alzano il livello di competenza. E la capacità di generare un fascicolo cliente completo su richiesta è ciò che supera la revisione interna della banca, perché questa è la velocità con cui le banche corrispondenti pongono domande.

Le aziende che non riescono a superare il test KYC della banca In pratica, il test comporterà la perdita dell'accesso ai circuiti di pagamento in euro. La licenza di per sé non rappresenta una posizione commercialmente sostenibile in caso di cessazione del rapporto bancario.

In che modo Shufti aiuta le aziende maltesi del settore delle criptovalute a superare la revisione dell'MFSA e a mantenere l'accesso ai servizi bancari?

La piattaforma di Shufti integra la due diligence della clientela, i controlli antiriciclaggio e il monitoraggio continuo in un unico flusso di onboarding che produce automaticamente una traccia di audit pulita. Questo è fondamentale a Malta, perché la stessa traccia di audit deve soddisfare tre diversi enti di controllo in sequenza. L'MFSA la esamina durante la richiesta del CASP, la FIAU la esamina durante la vigilanza tematica e una banca corrispondente la esamina durante la propria due diligence sulla banca maltese. Un unico sistema, un'unica traccia di audit, tre destinatari.

Migliori Verifica KYC Il livello gestisce i controlli di documenti, dati biometrici e dati su una vasta gamma di tipologie di documenti e giurisdizioni, aspetto importante quando un CASP registrato a Malta serve una clientela paneuropea. AML screening Esegue controlli su sanzioni, persone politicamente esposte (PEP) e notizie negative sui media, non solo in fase di onboarding, e fornisce le motivazioni alla base di ogni avviso, consentendo agli analisti di chiudere i fascicoli con una giustificazione documentata. Entrambi i processi sono integrati in flussi di lavoro configurabili e ottimizzati per i rischi specifici del settore delle criptovalute, non in una generica cascata di screening.

Le aziende che ottengono l'autorizzazione MFSA CASP al primo tentativo e mantengono i rapporti con le banche maltesi durante la transizione sono quelle il cui sistema di onboarding è in grado di rispondere alle domande di un revisore su richiesta.

Ogni società di criptovalute con licenza maltese verrà, nei prossimi quindici mesi, valutata secondo lo stesso standard MFSA, FIAU e banca corrispondente, e lo stack di onboarding renderà questo un evento di routine o una crisi commerciale. L'approccio a piattaforma unica di Shufti per KYC, AML e monitoraggio continuo è costruito attorno al tipo di tracciabilità che quei tre revisori si aspettano e resiste al vaglio senza aggiunte superflue o soluzioni tampone di fornitori terzi. Scopri come Shufti supporta le imprese maltesi regolamentate sulla sua pagina dedicata a Malta, oppure Richiedi una demo e inizia la verifica in pochi minuti.