InvestGlass aiuta il tuo team a trasformare la conformità alla Travel Rule da un obbligo di messaggistica slegato in un flusso di lavoro connesso e in un ambiente di controllo per la raccolta di informazioni, la revisione del rischio di controparte, la registrazione delle decisioni, la conservazione delle prove di audit e il supporto ai trasferimenti di asset digitali.
Una soluzione per la travel rule è l'insieme di controlli di politica, raccolta di dati, messaggistica sicura e flussi di lavoro di conservazione dei registri utilizzati per garantire che le informazioni richieste sul mittente e sul beneficiario viaggino con i trasferimenti di asset digitali idonei. La conformità alla Crypto Travel Rule non è più solo un esercizio di interpretazione legale. È una sfida legata al modello operativo: è necessario identificare quali trasferimenti richiedono informazioni, raccogliere i dati giusti senza raccoglierne troppi, valutare la controparte, effettuare controlli sui rischi, consegnare le informazioni richieste attraverso un percorso approvato e conservare una registrazione difendibile di ciò che è accaduto.
Tale sfida riguarda i fornitori di servizi di asset virtuali (VASP), i fornitori di servizi di cripto-asset (CASP), i custodi, gli exchange, i broker, gli istituti di pagamento, banche, gestori patrimoniali, aziende fintech, fornitori di portafogli e team di conformità e operativi che gestiscono i processi di trasferimento di asset digitali. Una soluzione credibile deve mantenere il trasferimento, le persone coinvolte, le fasi di revisione e le prove in un unico flusso di lavoro controllato, pur rimanendo sufficientemente flessibile per diversi regimi legali, aspettative di privacy, controlli sulle sanzioni e controparti che utilizzano diversi accordi di messaggistica.
InvestGlass puòorchestrare le richieste di informazioni, le schede clienti, le approvazioni e le attività probatorie che circondano un processo di Travel Rule. Il suo approccio dichiarato alla Travel Rule collega la raccolta dei dati, flussi di lavoro consapevoli della giurisdizione, la revisione delle controparti, lo screening delle sanzioni, protocolli di messaggistica sicura, monitoraggio delle transazioni, tenuta dei registri, integrazione delle API, interoperabilità e rendicontazione in una vista operativa strutturata. Di seguito viene fornita una guida pratica su come valutare e implementare una soluzione per la Travel Rule, comprese le opzioni di deployment, il monitoraggio, i criteri di acquisto e una tabella di marcia per l'implementazione, in modo che le aziende possano ridurre i blocchi non necessari, soddisfare i requisiti normativi nelle diverse giurisdizioni e mantenere flussi di lavoro di trasferimento verificabili e rispettosi della privacy.
Nota editoriale: Questo articolo costituisce una guida operativa e non una consulenza legale. Le soglie, le classificazioni delle entità, i campi di dati richiesti e gli obblighi di verifica dipendono dalla legge applicabile, dagli orientamenti normativi, dal modello di servizio e dai fatti di ciascun trasferimento. Rivolgersi a un legale qualificato per convalidare la configurazione prima dell'uso in produzione.
Punti di forza
- Crea un record di trasferimento: Collega i dati del mittente, le informazioni sul beneficiario, la valutazione della controparte, i risultati dello screening, lo stato di trasmissione e le prove della revisione a un unico caso anziché disperderli tra diversi sistemi.
- Progettazione per le regole giurisdizionali: Tratta lo standard FATF come un framework globale, quindi configura le regole localmente efficaci che si applicano a ciascun trasferimento, cliente ed entità.
- Proteggere informazioni sul cliente: Trasmettere solo i dati necessari attraverso percorsi approvati, crittografare i campi sensibili, limitare l'accesso e conservare una traccia di audit verificabile.
- Rendi l'interoperabilità un processo gestito per eccezione: Utilizzare un modello di dati canonico, adattatori di protocollo, conferme e un processo di fallback controllato quando le controparti non possono ricevere un messaggio nel formato previsto.
- Riduci le attese non necessarie: Combina i dati verificati della controparte, le regole basate sul rischio e l'escalation umana in modo che i trasferimenti conformi di routine non entrino nella stessa coda degli eventi genuinamente a più alto rischio.
- Dimostra cosa è successo: Conserva metadati operativi in stile immutabile, registri delle decisioni ed esportazioni etichettate per giurisdizione, in modo che il tuo team possa rispondere alle richieste di audit, di enti regolatori e di controllo interno.
Una soluzione di conformità alla Travel Rule per le criptovalute
Una soluzione di conformità alla Travel Rule per le criptovalute è la combinazione di politiche, controlli sui dati, flussi di lavoro, messaggistica sicura e conservazione dei registri utilizzata per supportare i requisiti della travel rule per i trasferimenti di attività virtuali, garantendo che le informazioni richieste sul mittente e sul beneficiario accompagnino un trasferimento qualificante di risorse digitali e che i VASP debbano condividere i dati personali per i trasferimenti applicabili. La tecnologia non è di per sé il programma di conformità. È lo strato controllato che aiuta le persone ad applicare la propria politica in modo coerente e a produrre prove in seguito.
In termini pratici, la soluzione dovrebbe rispondere a cinque domande prima che un trasferimento venga finalizzato: chi sta inviando, chi sta ricevendo, quali entità sono coinvolte, quali informazioni devono accompagnare il trasferimento e se il trasferimento debba procedere, essere sospeso o essere inoltrato a un livello superiore. Dovrebbe continuare a funzionare dopo l'invio registrando lo stato della consegna, le eccezioni, i risultati dello screening e le decisioni del revisore.
La Raccomandazione 16 del GAFI impone la condivisione dei dati per i VASP, e la Crypto Travel Rule è una misura antiriciclaggioriciclaggio di denaro e lo standard di contrasto al finanziamento del terrorismo nel contesto delle attività virtuali. Nell'Unione Europea, il Regolamento (UE) 2023/1113 impone che i trasferimenti di cripto-attività che coinvolgono i prestatori di servizi di cripto-attività (CASP) debbano contenere le informazioni sul mittente e sul beneficiario e considera i trasferimenti di cripto-attività soggetti ai relativi requisiti indipendentemente dall'importo.
Spunto pratico: evita di acquistare un canale di messaggistica isolato. Il tuo responsabile della conformità, il team operativo e il referente tecnico dovrebbero valutare la soluzione come un ambiente di controllo end-to-end. Scopri come Flussi di lavoro della Travel Rule di InvestGlass può mantenere le informazioni circostanti sul cliente e i record di conformità collegati al processo di trasferimento.
Chi ha bisogno di un modello operativo Travel Rule per le risorse digitali?
Qualsiasi organizzazione che trasferisca asset digitali per i clienti, faciliti tali trasferimenti o controlli il rapporto con il cliente ad essi correlato dovrebbe valutare se necessita di un modello operativo per la Travel Rule. L'ambito legale esatto varia, ma la necessità operativa comune è chiara: le aziende devono sapere quando i dati sono richiesti, chi deve esaminarli e come conservare il risultato.
Tabella: Tipi di organizzazione e responsabilità operative
Tipo di organizzazione | Tipica responsabilità operativa | Cosa dovrebbe dimostrare il modello operativo |
|---|---|---|
Borsa o broker | Inizia o riceve trasferimenti di asset digitali dei clienti e interagisce con le controparti. | Le informazioni richieste sono state raccolte, lo screening è avvenuto e le eccezioni sono state risolte. |
Custode | Gestisce i portafogli dei clienti o le istruzioni di trasferimento per conto di un cliente. | La proprietà del portafoglio, l'autorità del cliente e la prova di consegna del messaggio sono collegate al trasferimento. |
Banca o istituto di pagamento | Fornisce infrastrutture per valute fiat o attività digitali, servizi di custodia, regolamento o servizi correlati. | L'istituzione ha applicato una politica specifica per l'entità e ha conservato registrazioni recuperabili. |
Gestore patrimoniale o banca privata | Offre esposizione, esecuzione o custodia di asset digitali attraverso il proprio modello di servizio. | L'idoneità del cliente, le approvazioni, il contesto della transazione e le prove relative alla controparte sono disponibili insieme. |
Fintech o provider di portafogli | Può facilitare un trasferimento, gestire un indirizzo o mettere in contatto i clienti con i servizi di trasferimento. | La classificazione legale è stata valutata e sono stati applicati i controlli laddove l'azienda rientra nell'ambito di applicazione. |
La distinzione importante è tra un'impresa che si limita a fornire infrastrutture tecniche e un'impresa che fornisce o facilita attivamente un servizio di trasferimento. Il regolamento dell'UE distingue espressamente i fornitori di infrastrutture ausiliarie dalle entità che eseguono trasferimenti, quindi l'analisi giuridica deve partire dal modello di servizio reale, non dall'etichetta di un prodotto.
InvestGlass è adatto per il livello operativo attorno a questo lavoro: moduli digitali, registri dei clienti, attività di revisione, instradamento dei flussi di lavoro e traccia delle prove. Per una panoramica più ampia sugli obblighi di onboarding delle criptovalute, vedere cosa comporta il KYC per le criptovalute.
Quali risultati di conformità dovrebbe garantire il vostro programma di asset digitali?
Un programma maturo dovrebbe offrire più di semplici campi di messaggio completati e deve tenere il passo con i cambiamenti aspettative di conformità attraverso molte giurisdizioni. Dovrebbe creare tracciabilità, processi decisionali basati sul rischio, gestione dei dati attenta alla privacy, prove di consegna affidabili e prontezza per gli audit. Se manca anche un solo risultato, una trasmissione tecnicamente riuscita può comunque rivelarsi un controllo di conformità debole.
Innanzitutto, il vostro team dovrebbe essere in grado di ricostruire il ciclo di vita del trasferimento. Un revisore dovrebbe poter vedere l'identità verificata del cliente, l'origine dell'ordine di trasferimento, il contesto del portafoglio o del conto, la controparte, i risultati dello screening e della valutazione del rischio, lo stato del messaggio e la cronologia delle approvazioni o delle escalations senza dover raccogliere manualmente i record da più sistemi.
Secondo, il sistema dovrebbe rendere più semplice la chiusura dei casi ordinari e più facile l'investigazione di quelli insoliti. È così che si riducono i blocchi per falsi positivi evitabili. Una controparte con un profilo aggiornato, una relazione di destinazione verificata e un modello a basso rischio non dovrebbe essere trattata esattamente come un'entità sconosciuta, un indirizzo ospitato autonomamente con prove incomplete o uno scenario di allerta sanzioni.
Principio di progettazione della conformità: Un trasferimento può essere di basso valore ma comunque ad alto rischio. Applicare congiuntamente le regole sulle soglie e le regole sul rischio. Diverse giurisdizioni attuano gli standard del GAFI attraverso le proprie leggi e normative, pertanto la logica delle soglie deve essere specifica per giurisdizione. Una soglia determina un percorso minimo di informazioni; i fattori di rischio determinano se è opportuno un ulteriore esame.
La pagina ufficiale di InvestGlass dedicata alla Travel Rule descrive un flusso di lavoro che integra tra loro la raccolta dei dati, la verifica delle controparti, il monitoraggio delle transazioni, la conservazione dei dati e l’invio interoperabile. Questo approccio integrato è fondamentale per garantire risultati coerenti tra i team di conformità e quelli operativi.
Come dovrebbe avvenire il flusso dei dati dall'ordinante al beneficiario?
L'architettura più valida utilizza un unico record di caso come punto di controllo, con il flusso di dati che trasporta sia l'autore e le informazioni sul beneficiario tramite quel record controllato. Il caso custodisce il contesto di business. Adattatori approvati e canali di messaggistica sicura gestiscono lo scambio con la controparte. Questa separazione aiuta il vostro team a evolvere la connettività di protocollo senza perdere la traccia di audit o reimplementare la logica delle policy in ogni integrazione.
Il flusso ha inizio con le istruzioni del mittente e con un motore di regole che identifica il regime applicabile, il tipo di trasferimento e i requisiti informativi, comprese le informazioni identificative, un numero di conto o un riferimento equivalente, ove applicabile. Dovrebbe quindi includere solo i dati necessari per la decisione in questione. I dati del cliente devono essere conservati in un record protetto, mentre il caso di trasferimento contiene un riferimento ai campi strettamente necessari, dati del beneficiario, e le prove relative alle modalità di verifica.
Dopo che l’azienda ha creato un messaggio strutturato, un livello di integrazione associa quel record canonico al percorso della controparte approvato. Ai fini di una conformità giustificabile, il rispetto della Travel Rule del GAFI richiede una raccolta accurata dei dati e reti di trasmissione sicure per questi trasferimenti di dati. L'avviso di ricevimento, il motivo del rifiuto o il timeout devono tornare allo stesso caso. Il sistema non deve mai fare affidamento su una casella di posta di supporto o su un foglio di calcolo informale come registro autorevole della consegna.
Consiglio da esperto: Utilizza un identificatore univoco della scatola di trasferimento, un identificatore di messaggio e una chiave di idempotenza. Questi identificatori consentono ai team di distinguere un tentativo tecnico ripetuto da un'istruzione aziendale duplicata, prevenendo confusione durante le interruzioni e le indagini.
In che modo la verifica in tempo reale delle controparti e la due diligence riducono gli attriti?
La verifica della controparte in tempo reale riduce gli attriti nei flussi di lavoro di verifica esegui un'analisi dei rischi basata sulle informazioni aggiornate relative alla controparte prima della divulgazione, verificando che l’organizzazione destinataria sia nota, che il suo profilo pertinente sia aggiornato e che possa ricevere le informazioni richieste attraverso un canale approvato. Ciò non significa fidarsi automaticamente di ogni destinatario, ma automatizzare la raccolta delle prove a sostegno di una analisi del rischio e una decisione basata sul rischio.
Un profilo utile della controparte, nell’ambito della strategia aziendale infrastruttura di conformità, dovrebbe contenere la denominazione della persona giuridica, la giurisdizione in cui opera, gli attestati di licenza o registrazione, se del caso, i canali di contatto e di escalation, il percorso di consegna consentito, le funzionalità del protocollo, la classificazione del rischio, la data dell’ultima revisione ed eventuali limitazioni relative al rapporto. Per i rapporti a rischio più elevato, il profilo dovrebbe inoltre contenere un link a due diligence rafforzata documentazione e approvazioni da parte della direzione per istituzioni controparti.
Tabella: Stato della controparte e comportamento del sistema
Stato della controparte | Comportamento del sistema | Motivazione |
|---|---|---|
Verificato e aggiornato | Inoltrare il messaggio attraverso il canale approvato e applicare le procedure di monitoraggio standard. | I trasferimenti di routine possono procedere senza ripetere le verifiche già effettuate. |
Conosciuto ma obsoleto | Richiedi un aggiornamento automatico o un percorso per una revisione limitata. | Le prove devono essere mantenute aggiornate in base alla vostra politica di gestione dei rischi. |
Sconosciuto o incompleto | Crea un'attività di due diligence e trattieni solo dove richiesto dalla politica. | Il team ha bisogno di informazioni sufficienti per stabilire se esista un percorso sicuro. |
Rischio elevato o timore di sanzioni | Interrompi il rilascio automatico e assegna la revisione di conformità manuale. | Il trasferimento richiede un giudizio umano documentato e, ove richiesto, un'analisi di reporting. |
Incompatibilità di protocollo | Attiva il percorso di fallback approvato e traccia l'eccezione. | Un problema di connettività non è la stessa cosa di una determinazione a basso rischio. |
Gli strumenti automatizzati di verifica dei dati riducono al minimo l'errore umano e accelerano i tempi di transazione.
Questo modello supporta un minor numero di falsi positivi poiché distingue tra incertezza tecnica, record mancante, attivatore di policy e un evento di rischio genuino. Costruisci l'albero decisionale con i tuoi responsabili della conformità, quindi automatizza le richieste di prove e l'instradamento attorno ad esso.
InvestGlass è in grado di organizzare le informazioni sulle controparti, la valutazione dei rischi e la documentazione di revisione relativa al flusso di lavoro dei trasferimenti. Il suo strumenti di onboarding digitale può supportare la raccolta controllata di informazioni sui clienti e sulle entità prima che un trasferimento raggiunga la coda delle eccezioni.
Come dovrebbero essere gestiti i dati personali (PII), il consenso e le informazioni dei clienti?
Controlli di minimizzazione dei dati
La privacy inizia con la minimizzazione dei dati. Non copiare un intero profilo cliente in ogni sistema operativo semplicemente perché esiste un trasferimento. Definisci quali elementi di dati sono necessari per il trasferimento, quali rimangono nel record cliente di origine, quali vengono inviati a una controparte e quali metadati di audit possono essere conservati senza esporre informazioni di identificazione personale complete.
Per i trasferimenti nell’ambito del CASP dell’UE, il regolamento descrive le informazioni relative all’ordinante e al beneficiario che accompagnano il trasferimento. Prevede inoltre che i dati vengano trasmessi in modo sicuro prima, contemporaneamente o in concomitanza con il trasferimento, nell’ambito degli obblighi previsti dalla “travel rule”. La vostra implementazione dovrebbe tradurre tale requisito legale in un dizionario dei dati, in regole a livello di campo e in modelli contrassegnati in base alla giurisdizione, approvati dai dipartimenti legale e di compliance.
Gestione dei consensi e degli accessi
Un'architettura attenta alla privacy dovrebbe includere quattro controlli:
- Crittografare le informazioni sensibili durante il trasporto e a riposo, utilizzando misure di controllo approvate dall'organizzazione.
- Limitare l'accesso in base al ruolo, allo scopo e alla responsabilità del caso.
- Rendi visibili i consensi, le informative per i clienti e le registrazioni delle basi giuridiche ove pertinenti all'attività di trattamento.
- Applicare i programmi di conservazione e cancellazione dei dati che riflettano i relativi obblighi legali, di vigilanza e contrattuali.
Tabella: Controlli sulla privacy e prove
Controllo | Domanda sull'implementazione minima | Prove da conservare |
|---|---|---|
Minimizzazione dei dati | Quali sono esattamente i campi obbligatori per questo trasferimento e per questa giurisdizione? | Dizionario dei dati con controllo delle versioni e registro della selezione dei campi. |
Consenso e informativa | Quale registro di informativa o consenso si applica alla relazione con il cliente? | Acquisizione con data e ora, versione del documento e canale di origine. |
Controllo degli accessi | Chi può visualizzare i dati PII, approvare un rilascio o esportare un record? | Criterio di ruolo, registro degli accessi e record di esportazione. |
Mantenimento | Per quanto tempo devono rimanere disponibili i registri operativi e le prove relative ai messaggi? | Calendario di conservazione con indicazione della giurisdizione ed eccezioni alla cancellazione. |
Trasferimento transfrontaliero | È possibile inviare legalmente i dati alla controparte o al percorso di servizio selezionati? | Valutazione, approvazione della rotta, matrice di giurisdizione e salvaguardie per il trasferimento dei dati per decisioni di condivisione e instradamento legittime. |
Consiglio pratico: configurare il record come un insieme di livelli di dati, non come un’unica schermata senza restrizioni. Gli utenti operativi potrebbero aver bisogno di una sintesi dello stato e delle decisioni, mentre i revisori autorizzati addetti alla conformità devono poter accedere alla documentazione completa in base a un’autorizzazione registrata.
Per un quadro più ampio sul programma dedicato alla lotta alla criminalità finanziaria, si veda la guida di InvestGlass su Nozioni fondamentali sulla conformità alle normative KYC e AML.
Cosa si intende per “interoperabilità dei protocolli” in un’architettura basata sulla Travel Rule?
L'interoperabilità significa che la vostra organizzazione è in grado di scambiare le informazioni necessarie con controparti legittime anche quando queste utilizzano formati di messaggio o reti di trasmissione diversi, e rimane una sfida concreta in tutto il settore delle criptovalute. Ciò non significa connettersi indiscriminatamente a qualsiasi rete o aggirare le procedure di approvazione interne. Una progettazione sicura prevede l’utilizzo di percorsi approvati, un formato interno canonico e punti di traduzione controllati.
L’architettura dovrebbe prevedere un modello di dati interno con gestione delle versioni. Un adattatore converte tale modello nel formato tecnico accettato dalla controparte una volta completati i controlli di conformità. Nel contesto delle discussioni di mercato, le aziende possono imbattersi in standard comuni e approcci di connettività quali IVMS101, TRISA, OpenVASP, API sicure bilaterali e canali sicuri per le eccezioni, nell’ambito di un più ampio protocollo della regola di viaggio paesaggio. Transazioni in criptovaluta sono più difficili da standardizzare perché non esiste una rete di messaggistica universale paragonabile a quelle utilizzate da istituzioni finanziarie tradizionali. Non presentare alcuna di queste come supportate da InvestGlass a meno che tale funzionalità non sia stata confermata per la tua implementazione per iscritto.
Tabella: Elementi e controlli di interoperabilità
Elemento di interoperabilità | Comportamento di progetto richiesto | Obiettivo di controllo |
|---|---|---|
Modello di messaggio canonico | Memorizzare un set di dati richiesti, versionato e normalizzato. | Mantieni stabili le logiche di policy e dati mentre le rotte evolvono. |
Adattatore di protocollo | Trasferisci i campi approvati all'interfaccia convalidata della controparte. | Evita la digitazione manuale e le mappature dei campi errate. |
Registro delle capacità della controparte | Registra percorso, versione del formato, requisiti di certificato o identità e stato del servizio. | Selezionare un percorso di consegna adatto prima del rilascio. |
Gestione degli avvisi di ricevimento | Registra i risultati accettati, rifiutati, in sospeso e scaduti. | Dimostra lo stato di consegna anziché darlo per scontato. |
Flusso di lavoro di fallback | Crea un caso eccezionale, applica un blocco di sicurezza o un instradamento manuale ove consentito. | Mantenere un problema di interoperabilità visibile e controllato. |
Molte aziende utilizzano un approccio ibrido che combina la messaggistica standardizzata della Travel Rule con i controlli antiriciclaggio e di KYC. Una solida politica di riserva dovrebbe specificare chi può approvare un percorso alternativo, quando un trasferimento deve essere sospeso, quali prove minime sono richieste e quando contattare la controparte. Il GAFI ha identificato l'interoperabilità come un problema significativo in questo ambito. Non si dovrebbero mai inviare informazioni personali (PII) attraverso un canale personale non approvato semplicemente per rispettare una scadenza.
Per affidabilità, utilizzare richieste firmate ove applicabile, impronte digitali dei messaggi, chiavi di idempotenza, timer di riscontro e tentativi limitati con back-off esponenziale. Conservare i metadati degli eventi tecnici e correlati dati di transazione era necessario dimostrare la disciplina di consegna, ma mantenere i dati sensibili del payload fuori dai log di routine. Una trasmissione fallita dovrebbe creare un caso azionabile, non un ciclo di ripetizione invisibile.
Consiglio da esperto: Verificare le discrepanze del protocollo in un ambiente controllato prima del lancio. Il test più utile non è un percorso lineare ideale. Si tratta di una controparte che non può accettare la versione prevista, invia un riscontro incompleto o diventa irreperibile durante la finestra di trasferimento.
In che modo i requisiti di FATF, EU TFR e US BSA influenzano la configurazione?
Soglie giurisdizionali
Gli standard globali e le norme locali devono essere separati nella vostra configurazione. Il GAFI, il Bank Secrecy Act e le norme dell'Unione Europea forniscono il quadro giuridico, mentre l'Unione Europea e gli Stati Uniti applicano i propri requisiti legali e normativi. Il vostro motore di policy dovrebbe pertanto utilizzare regole specifiche per giurisdizione, anziché un'unica soglia globale copiata in ogni flusso di lavoro, poiché molte giurisdizioni implementano i requisiti della travel rule in modo diverso, comprese diverse regole sulla soglia minima.
Il GAFI ha incorporato la Travel Rule nei suoi standard nel 2001, l'ha estesa ai VASP nel giugno 2019 e ha rivisto la Raccomandazione 16 nel giugno 2025 per includere la prevenzione delle frodi. Il GAFI raccomanda inoltre la condivisione dei dati per le transazioni superiori a 1.000 USD/EUR, ma tale raccomandazione non sostituisce le norme sulle attività digitali applicabili a livello locale che un VASP o un istituto finanziario deve seguire oggi.
Il Regolamento sui trasferimenti di fondi dell'UE, il Regolamento (UE) 2023/1113, è entrato in vigore il 30 dicembre 2024 e applica requisiti di accompagnamento delle informazioni ai trasferimenti di cripto-attività in cui è coinvolto un CASP. L'UE non prevede alcuna soglia minima per i trasferimenti di cripto-attività e i considerando del regolamento stabiliscono che un CASP debba verificare la proprietà o il controllo per i trasferimenti superiori a 1.000 EUR verso o da un indirizzo auto-ospitato quando agisce per conto di un cliente.
Negli Stati Uniti, la Travel Rule è stata istituita nel 1996 ai sensi del BSA, e il 31 CFR 1010.410(e) stabilisce i requisiti di conservazione dei registri per i bonifici e altre trasmissioni di fondi. In tale quadro normativo, la soglia della US Travel Rule è di 3.000 dollari USA per le trasmissioni transfrontaliere applicabili, inclusa la reperibilità e verifica dell'identità disposizioni per clienti non stabiliti. Se e in che misura una particolare attività di asset digitali rientri nel quadro normativo statunitense applicabile richiede un'analisi legale delle sue attività e del suo status normativo.
Tabella: Soglie Giurisdizionali e Implicazioni di Configurazione
Quadro normativo o giurisdizione | Soglia o ambito indicati nella fonte | Implicazione di configurazione |
|---|---|---|
Aggiornamento della Raccomandazione 16 del GAFI | Il GAFI raccomanda la condivisione dei dati per le transazioni superiori a 1.000 USD/EUR, ma la legge locale disciplina gli obblighi attuali. | Monitorare la direzione del GAFI, ma non considerarla come una soglia VASP universale in tempo reale. |
Unione Europea, Regolamento (UE) 2023/1113 | I trasferimenti di cripto-attività che coinvolgono i CASP sono soggetti ai requisiti specificati indipendentemente dall'importo. La proprietà o il controllo dell'indirizzo auto-ospitato deve essere verificato al di sopra di 1.000 EUR nelle circostanze indicate. | Configurare nessuna esenzione de minimis per i trasferimenti di cripto-attività che coinvolgono i CASP e aggiungere il controllo del wallet auto-ospitato. |
Stati Uniti, 31 CFR 1010.410(e) | I requisiti per gli istituti finanziari non bancari si applicano ai trasferimenti di fondi pari o superiori a 3.000 USD. | Contrassegna i trasferimenti interessati con la regola di registrazione statunitense e assicurati che vi sia evidenza recuperabile. |
Altri sistemi giuridici | Le leggi locali e gli orientamenti di vigilanza possono differire per ambito, campi di dati, tempistiche e verifica. | Mantenere un registro delle giurisdizioni, l'approvazione del proprietario legale e un flusso di lavoro per la gestione delle modifiche. |
Conclusione pratica: conservare la versione della configurazione che ha determinato ciascuna decisione. Quando una regola cambia, le transazioni storiche devono rimanere comprensibili alla luce della versione in vigore al momento della loro elaborazione; inoltre, la revisione del 2025 del GAFI ha rilevato che 99 giurisdizioni avevano adottato o stavano adottando una legislazione relativa alla “Travel Rule”.
La normativa dell’UE ricorda in modo particolarmente chiaro che una soglia non rappresenta l’intero quadro normativo. Un trasferimento può richiedere informazioni indipendentemente dall’importo, mentre nelle circostanze descritte dal regolamento potrebbe applicarsi una condizione separata di verifica per i portafogli auto-ospitati a partire da 1.000 euro.
Come dovrebbero essere integrate i wallet self-hosted, il KYC e il KYB?
Processo di verifica del portafoglio self-hosted
Un portafoglio self-hosted dovrebbe dare avvio a un processo di verifica ben definito, non a una presunzione automatica di comportamento illecito. I portafogli privati richiedono un approccio di conformità specifico, poiché potrebbe non esserci un’istituzione controparte disponibile a ricevere i dati relativi alla Travel Rule. L’obiettivo è comprendere la relazione tra il cliente e l’indirizzo, applicare la normativa locale e valutare il rischio di transazione. Il processo dovrebbe essere proporzionato, documentato e applicato in modo coerente.
Il regolamento UE stabilisce che i CASP debbano raccogliere le informazioni relative al mittente e al beneficiario per i trasferimenti da o verso un indirizzo ospitato autonomamente e, per importi superiori a 1.000 euro nelle circostanze indicate, verificare se l’indirizzo sia di proprietà o sotto il controllo del cliente. Il vostro sistema di controllo dovrebbe tradurre tale requisito in un flusso di lavoro chiaro: acquisire le prove, completare le verifiche richieste, registrare il risultato, valutare il rischio e determinare se sia necessaria un’ulteriore revisione.
Controlli KYC e KYB
Per le imprese, il KYB dovrebbe accertare l’entità giuridica, la titolarità pertinente e l’autorità a effettuare transazioni. Per le persone fisiche, il KYC dovrebbe accertare l’identità, le informazioni appropriate sul cliente e il contesto della transazione in base al programma basato sul rischio adottato dall’impresa. Nel valutare i trasferimenti tramite portafogli self-hosted, tali controlli KYC e KYB dovrebbero seguire un approccio basato sul rischio. A livello di controparte, il profilo VASP dovrebbe riportare lo stato della due diligence, la via di consegna e i fattori di rischio noti.
Tabella: Punti di controllo per la verifica KYC/KYB e del portafoglio
Punto di controllo | Esempi di prove | Responsabile della decisione |
|---|---|---|
KYC individuale | Documentazione relativa alla verifica dell'identità, al rapporto con il cliente e all'autorizzazione alle transazioni. | Team di inserimento o di conformità. |
KYB aziendale | Scheda dell'entità, prove relative alle persone che esercitano il controllo e firmatari autorizzati. | Team aziendale addetto all’inserimento dei nuovi assunti o alla conformità. |
Proprietà o controllo del portafoglio | Metodo di prova approvato dall'organizzazione, sfida firmata o prova documentata del portafoglio. | Responsabile della politica di conformità, con verifica legale delle norme vigenti nella giurisdizione di riferimento. |
due diligence sui VASP | Prove di registrazione o licenza, ove pertinenti, profilo di rischio e capacità di consegna. | Responsabile del rischio di controparte. |
Analisi specifica sui trasferimenti | Risultato dello screening, analisi della blockchain se utilizzata, prova dell'origine dei fondi e nota del revisore. | Team di monitoraggio delle transazioni o delle escalation. |
InvestGlass può mantenere questi compiti di prova, approvazioni e registri dei clienti vicini al caso di trasferimento. Il suo funzionalità relative al flusso di lavoro e all'automazione può aiutare a indirizzare la recensione giusta al team giusto, con timestamp e titolarità assegnata.
Come dovrebbero funzionare il filtraggio delle sanzioni e i controlli dei rischi?
La verifica delle sanzioni dovrebbe avvenire prima che un trasferimento venga autorizzato nell'ambito di un piena conformità framework per i controlli della Travel Rule, non come report retrospettivo. Un controllo pre-transazione basato su regole può combinare informazioni sull'identità del cliente, dati della controparte, intelligence su wallet o indirizzi laddove l'azienda li utilizzi, giurisdizione, importo, tipo di asset e indicatori comportamentali per contribuire a rilevare fondi illecitomagic, in linea con l'incoraggiamento del GAFI a un'azione globale sui rischi di finanziamento illecito negli asset virtuali.
Il sistema non deve trattare ogni avviso come identico. Deve classificare il riscontro, conservare i dati utilizzati nella corrispondenza, applicare un punteggio di rischio e indirizzare la questione al responsabile decisionale appropriato. I trasferimenti ad alto rischio devono essere trattenuti per la revisione manuale secondo la politica. Gli avvisi informativi a minor rischio possono richiedere chiarimenti, monitoraggio aggiuntivo o una deroga documentata, a seconda del programma.
Un registro delle decisioni difendibile dovrebbe includere l'elenco o la fonte di dati utilizzata, la marca temporale dello screening, la logica di corrispondenza o la soglia, la disposizione, il revisore, le prove a supporto e qualsiasi risultato di escalation. Il vostro team di conformità dovrebbe essere in grado di spiegare perché un trasferimento è stato effettuato o non è stato effettuato senza fare affidamento sul ricordo di una discussione in chat.
Consiglio da esperto: Mantieni la decisione di screening separata dallo stato di consegna del messaggio. La conferma di ricezione da parte della controparte significa che il messaggio è stato ricevuto. Non significa che il trasferimento abbia superato i tuoi controlli antiriciclaggio (AML), antifrode o sulle sanzioni.
Cosa dovrebbero includere un'API e un'esperienza per gli sviluppatori?
Un'implementazione di produzione beneficia di un contratto di integrazione chiaramente documentato e le soluzioni efficaci per la travel rule dovrebbero supportare Integrazione perfetta con flussi di lavoro di elaborazione delle transazioni. Alcuni acquirenti danno inoltre la priorità a configurazioni basate su SDK e a logiche di conformità automatizzate per i controlli della Travel Rule quando valutano le opzioni di implementazione. Il livello API dovrebbe consentire di creare o aggiornare un caso di trasferimento, inviare un messaggio revisionato, recuperare lo stato e ricevere notifiche di eventi. Il principio chiave è che le API debbano preservare lo stato del flusso di lavoro anziché aggirarlo.
Il seguente contratto è un modello, non una dichiarazione su un'API pubblica di InvestGlass. Confermare gli endpoint disponibili, i metodi di autenticazione, i limiti di velocità, gli SDK e le opzioni sandbox con InvestGlass durante la progettazione della soluzione.
Tabella: Funzionalità e endpoint delle API
Capacità | Endpoint o evento illustrativo | Cosa dovrebbe fare |
|---|---|---|
Crea un ripartitore di coppia | POST /travel-rule/cases | Crea un caso con i riferimenti del cliente, il contesto di trasferimento e i tag di giurisdizione, utilizzando una soluzione dedicata in grado di automatizzare i trasferimenti di dati per i VASP, anziché ricorrere a passaggi di mano manuali. |
Invia le prove | POST /travel-rule/cases/{id}/evidence | Associa al caso un documento verificato, una prova relativa al portafoglio o un elemento della controparte. |
Richiedi revisione | POST /travel-rule/cases/{id}/reviews | Assegna un'attività di approvazione, rifiuto o richiesta di informazioni a un ruolo o a una coda. |
Invia messaggio | POST /travel-rule/cases/{id}/messages | Invia solo un payload approvato dalla policy attraverso la rotta configurata. |
Ricevi stato | webhook travel_rule.message.status | Notifica al flusso di lavoro la consegna, il fallimento, la presa d'atto o l'azione richiesta. |
Record di esportazione | GET /travel-rule/cases/{id}/audit-export | Genera un’esportazione dei casi contrassegnata per giurisdizione e soggetta a controllo degli accessi. |
Ecco un esempio di modello di richiesta che utilizza dati di test oscurati:
La risposta deve restituire un identificativo del caso, lo stato attuale di conformità, l'elenco dei dati mancanti e l'azione successiva consentita. Non deve restituire dati personali completi a un richiedente che non disponga di un ruolo giustificato. I team di sviluppo devono utilizzare dati non di produzione, identificatori tokenizzati e scenari di test ripetibili per i tentativi successivi, i messaggi rifiutati e l'escalation manuale.
Come si creano monitoraggio e reportistica pronti per l'audit?
La preparazione all’audit deriva da un modello basato sulle prove, non solo da un modello di report. Ogni evento rilevante dovrebbe riportare un timestamp, l’identità dell’attore o del sistema, la versione della politica, l’identificativo del caso, l’azione, la decisione, la motivazione e un riferimento all’integrità. Se viene trasmesso un messaggio, è necessario conservare lo stato di consegna e un indicatore di integrità che rispetti la privacy, anziché inserire un payload del cliente senza restrizioni nei registri generali, e documentare se la condivisione automatizzata dei dati tra i VASP è stata avviata, completata o non è andata a buon fine.
Strutturate i report in base alle domande che il management e le autorità di regolamentazione pongono effettivamente. Quanti trasferimenti hanno richiesto i dati previsti dalla Travel Rule? Quanti sono stati autorizzati automaticamente? Quali controparti hanno registrato il maggior numero di errori? Quali casi sono stati segnalati ai livelli superiori e perché? Quanto tempo è stato necessario per risolverli? Qual era la configurazione delle politiche in vigore in quel momento?
Tabella: Requisiti di Audit e Rendicontazione
Relazione | Destinatari principali | Dimensioni richieste |
|---|---|---|
Registro di conformità dei trasferimenti | Operazioni di conformità | Giurisdizione, stato della soglia, stato di conformità per le transazioni in criptovaluta, stato del messaggio, controparte, revisore e disposizione. |
Report sull'invecchiamento delle eccezioni | Gestione delle operazioni | Motivo dell'apertura, titolare della coda, data di apertura, impatto sull'attività e azione successiva. |
Relazione di verifica della controparte | Gestione dei rischi e dei fornitori | Data di revisione, capacità di consegna, punteggio di rischio, incidenti e misure correttive. |
Esportazione dei dati relativi all'autorità di regolamentazione o alla revisione contabile | Conformità, aspetti legali e revisione contabile | Prove del caso, cronologia, fonti di dati, motivazione della decisione e versione della politica. |
Controlla la dashboard dello stato di salute | Direzione generale | Volumi, tasso di eccezioni, successo delle consegne, tempo di revisione e rimedi in ritardo. |
Pianificare controlli periodici dello stato di conformità per esaminare i registri delle controparti, le regole, i guasti di integrazione, i diritti di accesso e la qualità delle valutazioni dei revisori. Un tasso elevato di consegna dei messaggi non è sufficiente se le eccezioni rimangono irrisolte o se non è possibile recuperare le prove.
Quali domande relative al deployment, alla sicurezza e alla residenza dei dati dovrebbero porre gli acquirenti?
Gli acquirenti dovrebbero trasformare le ipotesi di implementazione in criteri di accettazione scritti. I modelli cloud, ibridi e locali possono essere tutti rilevanti a seconda delle classificazioni dei dati, dell'architettura esistente, delle aspettative normative e del modello operativo. La domanda importante non è quale etichetta sembri più sicura. È se il modello scelto soddisfi in modo dimostrabile i requisiti di controllo.
Lista di controllo per l'acquirente:
- Richiedi una panoramica dell'architettura attuale
- Richiedi un diagramma del flusso di dati
- Richiedere un modello di gestione dell'identità e del controllo degli accessi
- Richiedi una dichiarazione di crittografia
- Richiesta processo di gestione degli incidenti
- Richiedi informazioni sulla continuità aziendale
- Richiedere le informazioni sul subresponsabile del trattamento ove pertinente
- Richiedi una descrizione delle configurazioni di residenza disponibili
Per servizi finanziari il contesto, il Panoramica della conformità bancaria di InvestGlass spiega la più ampia necessità di collegare gli obblighi normativi ai controlli operativi.
Come dovrebbero essere valutati pacchetti, onboarding e supporto?
Non scegliete una soluzione di conformità basandovi esclusivamente sul prezzo indicato per il volume delle transazioni. Valutate l’ambito dei flussi di lavoro, il numero di giurisdizioni, le esigenze di integrazione delle controparti, l’impegno richiesto per la migrazione dei dati, il modello di assistenza, la responsabilità dell’implementazione e i requisiti in materia di documentazione. Chiedete a ciascun fornitore di specificare chiaramente cosa è incluso, cosa dipende da terze parti e cosa deve essere configurato dal vostro team.
Tabella: Fasi del pacchetto e criteri di accettazione
Fase di confezionamento | Ambito appropriato | Criteri di accettazione dell'acquirente |
|---|---|---|
Pilota | Corridoi, controparti e tipi di trasferimento limitati. | Flusso di lavoro del caso dimostrato, routing a basso rischio, coda delle eccezioni ed esportazione delle prove. |
espansione | Ulteriori controparti, protocolli, unità di business e giurisdizioni. | Testate le modifiche agli adattatori, il controllo delle modifiche delle policy, il dashboard di monitoraggio e le procedure di servizio. |
Impresa | Piena operatività produttiva tra giurisdizioni e team operativi. | Garanzia di sicurezza, governance, test di resilienza, modello di supporto concordato e reportistica pronta per gli audit. |
Un piano di onboarding trasparente dovrebbe indicare il responsabile della conformità, il responsabile tecnico, il responsabile della sicurezza delle informazioni, il referente delle operazioni e lo sponsor esecutivo. Dovrebbe definire i risultati previsti anziché limitarsi a una data di lancio. Un buon progetto pilota dimostra che persone, dati, processi e integrazione funzionano insieme in condizioni realistiche di eccezione.
Lista di controllo per l'implementazione della Travel Rule: fornite ai responsabili della conformità e dello sviluppo un elenco di requisiti condivisi che comprenda la configurazione delle politiche, i dati delle controparti, i controlli sulla privacy, l'invio dei messaggi, i test e le prove di audit.
CTA consigliata: Richiedi una dimostrazione personalizzata di InvestGlass
Qual è la tabella di marcia consigliata per l'implementazione in tre fasi?
Un'implementazione graduale riduce il rischio di un'installazione su larga scala che non sia stata testata con controparti reali e scenari di eccezione. Inizia con un progetto pilota mirato e misurabile. Poi aumenta l'interoperabilità e solo allora estendi la copertura alla produzione completa.
Tabella di marcia per l'implementazione in tre fasi:
- Fase 1: Pilota controllato
- Obiettivo: Convalidare il modello operativo con controparti limitate.
- Attività chiave: Definire le regole di policy, creare il dizionario dati, configurare il flusso di lavoro dei casi, profilare le controparti, testare il percorso di consegna primario ed eseguire l'esportazione per l'audit.
- Criteri di uscita: I casi campione mostrano prove complete, proprietà definita e gestione riuscita delle eccezioni.
- Fase 2: Espansione dell'interoperabilità
- Obiettivo: Ampliare la portata senza compromettere il controllo.
- Attività chiave: Aggiungere adattatori approvati, convalidare le mappature dei formati, simulare le disallineamenti, implementare la logica di ripetizione e provare il fallback manuale.
- Criteri di uscita: Gli stati di consegna, i riconoscimenti e le azioni di fallback sono visibili nello stesso flusso di lavoro.
- Fase 3: Produzione in diverse giurisdizioni
- Obiettivo: Opera su scala con un controllo delle modifiche regolamentato.
- Attività chiave: Configurare il registro delle giurisdizioni, formare i team, definire le metriche, eseguire la revisione degli accessi e stabilire controlli di conformità.
- Criteri di uscita: Il management può monitorare le prestazioni e produrre prove contrassegnate dalla giurisdizione su richiesta.
La tabella di marcia dovrebbe includere un punto di controllo per la gestione del cambiamento per ogni nuova giurisdizione, percorso di controparte o formato di messaggio. Nessuna integrazione deve essere promossa solo perché ha superato un test di connettività tecnica. Deve inoltre soddisfare i criteri di approvazione legali, di privacy, di sicurezza e operativi.
Cosa dovrebbero richiedere gli acquirenti prima di selezionare una soluzione?
Prima di firmare, richiedi la documentazione che dimostri che la soluzione può funzionare nel tuo ambiente. Il tuo team di conformità ha bisogno di prove sulle policy. I tuoi ingegneri hanno bisogno di prove sull'integrazione. Il tuo team di sicurezza ha bisogno di prove sull'architettura e sugli accessi. Il tuo team operativo ha bisogno di un processo di eccezione credibile. Chiedi ai fornitori di comprovare la copertura in oltre 100 giurisdizioni, una copertura della rete VASP in grado di supportare oltre 1.900 VASP e altre aziende di criptovalute, e una profondità di monitoraggio della blockchain tale da consentire il tracciamento su oltre 55 blockchain.
Tabella: Deliverable dell'Acquirente e Responsabili della Revisione
Prodotto | Perché è importante | Proprietario che dovrebbe esaminarlo |
|---|---|---|
Elenco di controllo per l'integrazione | Rende espliciti dipendenze, campi dati e scenari di test. | Ingegneria e prodotto. |
Manuale di conformità di esempio | Chiarisce le decisioni di triage, escalation, approvazione e registrazione. | Conformità e operazioni. |
Tabella di confronto delle giurisdizioni | Impedisce l'utilizzo di un'unica soglia generica ovunque. | Legale e conformità. |
Valutazione del flusso di dati e della privacy | Indica dove vengono raccolti, archiviati e trasmessi i dati dei clienti. | Sicurezza, privacy e aspetti legali. |
Modello di onboarding della controparte | Standardizza la due diligence e l'approvazione delle rotte di consegna. | Rischio di controparte e operatività. |
Esempio di esportazione di audit | Dimostra se un'indagine o un audit possono essere supportati rapidamente. | Audit interno e conformità. |
Richiedete dati documentati sulla rete di partner e sulla copertura della blockchain in questi materiali, anziché affidarvi ad affermazioni di vendita.
In che modo InvestGlass può supportare il vostro modello operativo relativo alla Travel Rule?
InvestGlass deve essere valutato come il flusso di lavoro connesso e il livello di prova attorno alla vostra soluzione di conformità alla Travel Rule per le criptovalute. Il suo materiale ufficiale sulla Travel Rule descrive il supporto per le richieste di informazioni, i registri dei clienti, le approvazioni, le attività di prova, la revisione delle controparti, il monitoraggio delle transazioni, la conservazione dei registri e l'invio interoperabile che circondano un processo di Travel Rule.
Questo è importante perché il lavoro di conformità fallisce quando viene ridotto a un passaggio tecnico isolato. Un messaggio può essere consegnato, ma l'azienda può comunque non disporre delle prove relative al cliente, dell'approvazione della controparte, della registrazione della revisione manuale, della versione della policy o della traccia di audit recuperabile necessarie per dimostrare un controllo solido.
Usa InvestGlass per centralizzare il flusso di lavoro dei casi, instradare le approvazioni, raccogliere le informazioni di supporto e collegare questo lavoro alla relazione con il cliente. Quindi, convalida la rete di messaggistica selezionata, l'integrazione dei protocolli, il metodo di crittografia, il modello di distribuzione, la residenza dei dati, le API, la disponibilità della sandbox, i termini commerciali e i livelli di servizio rispetto ai tuoi requisiti durante una sessione di progettazione della soluzione su misura.
Prossimo passo: porta la tua attuale policy, le giurisdizioni prioritarie, l'elenco delle controparti e una serie rappresentativa di scenari di trasferimento a una dimostrazione di InvestGlass. L'obiettivo è mappare il flusso di lavoro operativo completo, inclusi i casi difficili, prima di impegnarti nell'architettura di produzione.
Domande frequenti
1. Che cos'è la Travel Rule nelle criptovalute?
La Travel Rule per le criptovalute è il requisito secondo cui informazioni specifiche sul mittente e sul beneficiario devono accompagnare i trasferimenti di beni digitali applicabili. Fa parte del più ampio sforzo volto a migliorare la tracciabilità e a prevenire i crimini finanziari. L'obbligo dettagliato dipende dalla giurisdizione, dal tipo di entità e dal contesto del trasferimento.
2. La “Travel Rule” si applica a ogni trasferimento di criptovalute?
Non necessariamente sotto ogni regime giuridico, ma le aziende non dovrebbero dare per scontato che i piccoli trasferimenti siano esenti. Nell'UE, il Regolamento sui trasferimenti di fondi tratta i trasferimenti di cripto-attività che coinvolgono i CASP come soggetti ai relativi requisiti di informazione indipendentemente dall'importo. Il vostro programma dovrebbe determinare l'applicabilità utilizzando le regole di giurisdizione e di modello di servizio.
3. Qual è la soglia prevista dalla “Travel Rule” del FATF?
L'aggiornamento della Raccomandazione 16 del GAFI di giugno 2025 stabilisce una soglia di 1.000 USD/EUR per i requisiti di trasparenza dei pagamenti transfrontalieri peer-to-peer specificati, che si applicheranno entro la fine del 2030. Tale affermazione non deve essere utilizzata come soglia universale e attualmente efficace per ogni trasferimento di criptovalute o giurisdizione.
4. Quali informazioni dovrebbe raccogliere un VASP?
Le informazioni richieste variano, ma in genere includono dettagli identificativi per sia l'autore e il beneficiario, e può anche richiedere un numero di conto o un riferimento alla transazione equivalente, a seconda del quadro normativo applicabile. Come minimo, il dizionario dei dati dovrebbe distinguere i campi relativi a ordinante, beneficiario, bonifico, controparte, verifica e prova di consegna. Le norme dell’UE specificano le informazioni relative all’ordinante e al beneficiario per i bonifici che coinvolgono un CASP, compresi gli indirizzi o gli identificativi di conto pertinenti. Anche i requisiti locali variano: il Regno Unito ha implementato i requisiti della Travel Rule il 1° settembre 2023, con una soglia di 1.000 GBP; Singapore applica una soglia di 1.500 SGD per i trasferimenti di token di pagamento digitali; Hong Kong richiede la licenza VASP dal 1° giugno 2023.
5. In che modo differiscono gli approcci dell’UE e degli Stati Uniti?
Il quadro normativo dell'UE applica requisiti di accompagnamento delle informazioni ai trasferimenti di cripto-attività che coinvolgono i CASP indipendentemente dall'importo e include una condizione dichiarata di verifica del portafoglio auto-ospitato al di sopra di 1.000 EUR nelle circostanze pertinenti. La citata disposizione dell'eCFR statunitense applica requisiti di conservazione dei registri per i trasferimenti di fondi di istituzioni finanziarie non bancarie qualificate pari o superiori a 3.000 USD. La consulenza legale è essenziale per applicare l'uno o l'altro quadro normativo a uno specifico modello di business.
6. Che cos’è un portafoglio self-hosted?
Un portafoglio auto-ospitato è un indirizzo o un sistema di portafoglio controllato direttamente da un utente anziché da un VASP o CASP che agisce come custode. Non è intrinsecamente sospetto. Tuttavia, potrebbe richiedere ulteriori informazioni o passaggi di verifica in base alle norme e alla legge applicabile.
7. In che modo un’azienda dovrebbe verificare la titolarità o il controllo di un portafoglio auto-ospitato?
Utilizzare un metodo documentato approvato dalla conformità e dal settore legale, come una sfida firmata o un altro processo di prova approvato dall'organizzazione. Il regolamento UE stabilisce che un CASP debba verificare la proprietà o il controllo superiore a 1.000 EUR per i trasferimenti verso o da un indirizzo auto-ospitato nelle circostanze indicate. Conservare il risultato, il metodo e le prove del revisore nel caso di trasferimento.
8. Cosa succede quando una controparte non è in grado di ricevere il formato di messaggio previsto?
Il sistema deve creare un'eccezione visibile, tentare solo le alternative approvate e sospendere il trasferimento quando la policy lo richiede. Un fallback controllato include un percorso di contatto della controparte, la titolarità della revisione, il tracciamento della presa d'accordo e un record della decisione finale. Non aggirare i controlli di protezione dei dati o di approvazione semplicemente per risolvere una discrepanza tecnica.
9. Una piattaforma basata sulla “Travel Rule” può eliminare la revisione manuale?
No. Può ridurre il lavoro manuale automatizzando la raccolta dei dati, l'instradamento, il filtraggio degli input, il tracciato dello stato e la cattura delle evidenze. I trasferimenti a più alto rischio, le informazioni incomplete, i potenziali problemi di sanzioni e le eccezioni alle policy richiedono ancora il giudizio umano qualificato.
10. Cosa dovrei chiedere a InvestGlass durante una demo della Travel Rule?
Chiedi in che modo InvestGlass mappa i dati dei tuoi clienti, il flusso di lavoro dei trasferimenti, le approvazioni, le registrazioni delle controparti, le esigenze di integrazione, i percorsi di eccezione e i requisiti di esportazione per l'audit in un unico modello operativo. Conferma inoltre le capacità esatte di distribuzione, sicurezza, residenza, API, protocollo, sandbox, commerciali e di supporto disponibili per l'ambiente selezionato.
Fonti
[1] GAFI: Aggiornamenti alla Raccomandazione 16 sulla trasparenza dei pagamenti
[3] 31 CFR 1010.410: Registri che devono essere compilati e conservati dagli istituti finanziari
[4] Travel Rule di InvestGlass
[5] InvestGlass: Guida alla conformità alla Travel Rule per istituzioni finanziarie e VASP
