Che cos’è un VASP (Virtual Asset Service Provider)?

VASP significa Virtual Asset Service Provider. È la qualifica usata dalle autorità di vigilanza per un’attività che gestisce cripto-attività per conto di altre persone: gestisce un exchange, custodisce wallet dei clienti, trasferisce token tra indirizzi o colloca una nuova moneta per il suo emittente.

L’abbreviazione è breve ma rilevante: quando una società rientra nella definizione, si attiva un intero insieme di obblighi antiriciclaggio. Questa pagina spiega l’origine del termine, le attività che copre, chi esclude e il suo rapporto con la qualifica europea di CASP.

Significato di VASP in parole semplici

Due limiti in questa frase fanno gran parte del lavoro. Nell’ambito di un’attività commerciale esclude le operazioni private occasionali. Di qualcun altro esclude chi gestisce soltanto i propri averi.

Un terzo limite è facile da trascurare: la categoria riguarda solo ciò che altre norme non coprono. Un’impresa già regolamentata come banca, istituto di pagamento o impresa di investimento non diventa anche un VASP: mantiene lo status e l’autorità di vigilanza già attribuiti. La qualifica esiste per le attività che altrimenti sfuggirebbero del tutto alla regolamentazione finanziaria.

Origine del termine VASP: lo standard FATF

Il termine VASP è stato coniato dalla Financial Action Task Force, o FATF, l’organismo intergovernativo che definisce gli standard globali contro il riciclaggio di denaro e il finanziamento del terrorismo. Le sue raccomandazioni sono seguite, direttamente o tramite partner regionali, da circa duecento Paesi.

Quando gli asset digitali hanno iniziato a trasferire valori rilevanti oltre confine al di fuori del sistema bancario, la FATF ha esteso la sua Raccomandazione 15 per includerli, creando una nuova categoria di soggetti obbligati, il prestatore di servizi per asset virtuali, accanto a banche e istituti di pagamento.

La FATF non è un legislatore e non rilascia autorizzazioni. Pubblica standard e poi verifica quanto fedelmente ciascun Paese li recepisca nella legge; rimanere indietro rischia di portare a un elenco che diventa presto un problema bancario. Per questo la stessa formulazione compare ormai in tutto il mondo.

Le cinque attività che rendono un’impresa un VASP

La definizione di VASP si basa su un elenco di attività. Svolgerne una, come attività commerciale e per un’altra persona, è sufficiente.

L’elenco descrive funzioni, non prodotti. Definirsi una società tecnologica non cambia nulla, e la semplice presenza di token nel modello aziendale non comporta automaticamente l’inclusione.

Cosa rientra nella nozione di asset virtuale e cosa no

La definizione complementare è volutamente ampia: una rappresentazione digitale di valore che può essere negoziata o trasferita digitalmente e utilizzata per pagamenti o investimenti. Criptovalute, utility token e stablecoin sono tutti inclusi.

Tre categorie restano escluse. Le rappresentazioni digitali di denaro ordinario, quali un saldo bancario o di moneta elettronica, sono già regolamentate come denaro. Gli strumenti che si qualificano come titoli hanno norme proprie. Sono esclusi anche i punti fedeltà o gli oggetti di gioco che non possono uscire da un sistema chiuso.

I collezionabili digitali sono il caso più complesso. Un pezzo unico acquistato come ricordo si comporta come un cimelio; unità intercambiabili emesse in serie e acquistate nella speranza di un aumento di prezzo si comportano come un investimento. Conta l’uso dell’oggetto, non il nome che gli viene dato.

Chi è VASP e chi non lo è

La maggior parte delle controversie sullo status di VASP dipende da tre domande.

È un’attività commerciale svolta per qualcun altro?

Chi acquista, detiene e poi vende token con il proprio denaro non presta servizi a nessuno. Lo stesso vale per un negozio di mobili che accetta criptovalute alla cassa: in quel caso i token sono il pagamento di qualcos’altro. Deve esserci un cliente dall’altra parte e una regolarità sufficiente perché l’attività sia commerciale.

L’etichetta corrisponde a ciò che accade realmente?

Questo è il test che spesso trae in inganno. Chiamare una piattaforma decentralizzata, non-custodial o una semplice interfaccia non la esclude dall’ambito se qualcuno controlla effettivamente il funzionamento del servizio, ne ricava commissioni o può disattivarlo. Al contrario, un team di tre persone che custodisce realmente le chiavi dei clienti è un VASP, per quanto piccola sia l’operazione.

Quali ruoli restano fuori dalla categoria?

Questi ruoli normalmente non rientrano nella definizione, anche se la legge nazionale può essere più ampia e contano sempre i fatti della singola struttura:

• Privati che negoziano o detengono i propri asset.
• Due privati che trasferiscono asset direttamente, senza un fornitore intermediario.
• Imprese che accettano token come pagamento per beni e servizi non correlati.
• Miner e validator che proteggono una rete senza gestire saldi dei clienti.
• Sviluppatori di software per wallet e produttori di dispositivi che non custodiscono mai chiavi o fondi.
• Fornitori del settore: società di analisi, revisori, agenzie e società di hosting.

Una società che detiene criptovalute nel proprio bilancio si trova nella stessa posizione: è titolare, non prestatore di servizi. Questa distinzione separa le detenzioni di tesoreria aziendale in una società estone a responsabilità limitata (OÜ) da un’attività regolamentata, e le due sono soggette a norme diverse.

Obblighi VASP: i doveri AML legati allo status

Lo status non è un distintivo, ma un insieme di doveri AML che seguono uno schema riconoscibile nelle varie giurisdizioni:

• Autorizzazione preventiva. L’impresa deve essere autorizzata o registrata prima di iniziare, poi risponde a un’autorità di vigilanza designata.
• Conosci il tuo cliente. I clienti vengono identificati all’avvio del rapporto, si risalgono ai titolari effettivi dei clienti societari e le relazioni a rischio più elevato ricevono controlli più approfonditi.
• Monitoraggio continuo. Le transazioni sono confrontate con il profilo del cliente e tutto ciò che è sospetto viene segnalato all’unità di informazione finanziaria.
• La travel rule. I dati del mittente e del destinatario devono accompagnare i trasferimenti tra fornitori, come nei pagamenti bancari.
• Controllo delle sanzioni. Clienti e controparti sono verificati continuamente rispetto agli elenchi delle misure restrittive.
• Verifiche di onorabilità e idoneità. Sono valutate le persone dietro la società e l’origine del loro denaro.

Operare senza autorizzazione non è una mera formalità: nella maggior parte dei Paesi è un reato e le banche tendono a chiudere i conti non appena lo scoprono, molto prima che un’autorità di vigilanza esamini il fascicolo.

VASP e CASP: due quadri normativi per un’unica idea

Nell’Unione europea la terminologia è cambiata. Il regolamento sui mercati delle cripto-attività, o MiCA, ha creato un regime direttamente applicabile attorno a un operatore rinominato: il prestatore di servizi per le cripto-attività, o CASP. Le due qualifiche si sovrappongono, ma non sono intercambiabili.

Una distinzione viene spesso confusa. MiCA disciplina l’autorizzazione e la condotta; i doveri AML sopra elencati derivano dalla legislazione antiriciclaggio separata dell’Unione e dalle norme sui trasferimenti di fondi, che estendono la travel rule alle criptovalute. Un CASP europeo risponde a due corpi normativi e la sua funzione di conformità copre entrambi.

L’Estonia illustra il passaggio di competenze. I prestatori di servizi di valuta virtuale erano in precedenza iscritti in un registro tenuto dalla Financial Intelligence Unit (Rahapesu Andmebüroo). La vigilanza è passata alla Financial Supervision and Resolution Authority (Finantsinspektsioon), le iscrizioni preesistenti non sono state convertite automaticamente e la loro finestra transitoria si è chiusa. L’offerta di questi servizi in Estonia richiede ora l’autorizzazione quale prestatore di servizi per le cripto-attività (CASP).

Al di fuori dell’Unione il termine VASP è ancora quello corrente: è usato dalle leggi nazionali in Asia e nelle Americhe, nonché dalle valutazioni FATF.

Perché la questione riguarda anche fondatori senza un exchange

I fondatori incontrano questa domanda molto prima di incontrare un’autorità di regolamentazione: i moduli di apertura dei conti bancari chiedono esplicitamente se il richiedente sia un VASP, così come fornitori di software, assicuratori e investitori. Una risposta errata può costare un conto. L’approccio affidabile è descrivere l’attività in criptovalute per funzione, non per nome, confrontarla con le cinque attività e conservare la motivazione agli atti.

Ponga una domanda

Domande frequenti