Il regolamento dell’UE sui mercati delle cripto-attività (MiCA) introduce un regime di autorizzazione unificato per le imprese del settore delle criptovalute che operano in Europa. Se la vostra azienda fornisce uno o più servizi regolamentati relativi alle cripto-attività, dovrete ottenere l’autorizzazione Fornitore di servizi relativi alle criptovalute (CASP).

Ma in cosa consiste esattamente la conformità? Questo articolo illustra i principali requisiti normativi previsti dal MiCA per i CASP: dalle licenze e dalla governance alla lotta al riciclaggio di denaro, alla sicurezza e alla tutela dei clienti.

Fase 1: Capire quali servizi offri

Prima di presentare la domanda, individua quali dei 10 servizi relativi alle criptovalute soggetti a regolamentazione vengono forniti dalla tua azienda. Tra questi figurano servizi quali:

• Custodia dei cripto-asset
• Funzionamento di una piattaforma di trading
• Exchange crypto-fiat o crypto-crypto
• Evasione degli ordini
• Gestione del portafoglio
• Consulenza e molto altro ancora
  
  

La concessione delle licenze MiCA è basato sulle attività, quindi devi presentare una domanda per ogni servizio che intendi offrire.

Fase 2: Costituzione di una società nell'UE

Solo le aziende con sede in uno Stato membro dell'UE possono presentare domanda per ottenere l'autorizzazione CASP. Ciò significa che:

• È necessario costituire una persona giuridica (ad esempio, una società a responsabilità limitata) in un paese dell'UE.
• L'azienda sede legale e amministrazione centrale deve trovarsi all'interno dell'UE.
  
  

I soggetti non appartenenti all'UE devono: costituire una controllata nell'UE oppure ristrutturare per richiedere una licenza.

Fase 3: Preparare la domanda di autorizzazione

Ogni domanda deve essere presentata al Autorità nazionale competente (ANC) dello Stato membro dell'UE in cui ha sede la vostra azienda.

La domanda deve essere corredata di documentazione dettagliata, tra cui:

• A programma operativo descrivendo i vostri servizi, il modello di business e il piano operativo
• A descrizione dei meccanismi di controllo interno, in particolare per quanto riguarda la conformità alle norme in materia di lotta al riciclaggio e al finanziamento del terrorismo
• A politica in materia di custodia e tutela (se del caso)
• Documentazione relativa al tuo Sistemi ICT, protocolli di sicurezza e gestione dei rischi
• A piano di continuità operativa e di ripristino in caso di emergenza
• Struttura di governance, comprese le valutazioni di idoneità dei dirigenti e del personale chiave
• Linee guida per conflitti di interesse, la separazione dei beni dei clienti e la gestione dei reclami
  
  

Ciascuna NCA può fornire i propri modelli e le proprie linee guida procedurali.

Fase 4: Nomina dei titolari delle funzioni chiave

Il MiCA impone ai CASP di nominare persone competenti per ricoprire ruoli critici, quali:

• Responsabile della conformità
• Responsabile AML/CFT
• Responsabile della gestione dei rischi
• Responsabile della sicurezza informatica

Queste persone devono dimostrare di possedere qualifiche ed esperienza pertinenti e, in alcune giurisdizioni, potrebbe essere necessario che risiedano nell'UE.

Fase 5: Attuazione dei controlli antiriciclaggio e contro il finanziamento del terrorismo

Il MiCA opera in sinergia con i quadri normativi dell'UE in materia di antiriciclaggio. I CASP devono:

• Eseguire verifica della clientela (CDD) e Procedure KYC
• Monitorare le transazioni per individuare eventuali attività sospette
• Invia Segnalazioni di operazioni sospette (STR) alle autorità competenti
• Nominare un MLRO (Responsabile della segnalazione dei casi di riciclaggio di denaro) se previsto dalla legislazione nazionale
  
  

È inoltre necessario mantenere un sistema di registrazione delle transazioni in conformità con il MiCA e le leggi nazionali in materia di antiriciclaggio.

Fase 6: Rispettare gli standard operativi e di sicurezza informatica

Il MiCA impone ai CASP di attuare misure solide Sistemi ICT e protocolli di sicurezza informatica che garantiscano:

• Protezione delle chiavi private e dei dati dei clienti
• Difesa dagli attacchi informatici
• Continuità operativa in caso di interruzione
• Comunicazione sicura con le autorità e i clienti
  
  

Tali requisiti sono strettamente in linea con quelli dell’UE Legge sulla resilienza operativa digitale (DORA) e Direttiva NIS2.

Passaggio 7: Configurazione dei meccanismi di protezione dei client

I CASPs devono garantire che:

• Informazioni chiare e trasparenti fornite ai clienti
• Adeguata separazione dei beni dei clienti da quelli della società
• Prezzi e strutture tariffarie trasparenti
• Procedure di gestione dei reclami
• Comunicazioni periodiche ai clienti (ad esempio, estratti conto del portafoglio, conferme di transazione)
  
  

Per quanto riguarda i servizi di gestione del portafoglio e di consulenza, è necessario inoltre effettuare valutazioni di idoneità per garantire che i prodotti siano in linea con i profili di rischio dei clienti.

Fase 8: Prepararsi alla supervisione continua

Una volta ottenuta la licenza, i CASP sono soggetti a supervisione continua da parte della loro NCA, tra cui:

• Obblighi di rendicontazione periodica
• Verifiche e ispezioni
• Verifiche sull'adeguatezza patrimoniale
• Valutazioni relative alla tenuta dei registri e ai controlli interni
  
  

Il mancato rispetto di tali disposizioni può comportare sanzioni pecuniarie, la sospensione della licenza o provvedimenti coercitivi pubblici.

Conclusione

Ottenere la certificazione CASP ai sensi del MiCA non è solo una formalità normativa: richiede una reale prontezza operativa, una solida governance e una conformità costante.

Per le società del settore delle criptovalute con sede nell’UE, il MiCA garantisce chiarezza normativa a lungo termine e la possibilità di fornire i propri servizi in tutti gli Stati membri dell’UE grazie al principio del passaporto. Tuttavia, per poter sfruttare questa opportunità, le aziende dovrebbero iniziare a prepararsi fin da ora, con largo anticipo rispetto alla scadenza del 2026.