Il monitoraggio delle transazioni AML è il motore di rilevamento fondamentale di un programma di conformità antiriciclaggio : si tratta di un'analisi continua e sistematica di tutte le transazioni finanziarie all'interno di un istituto regolamentato, volta a identificare attività che potrebbero indicare riciclaggio di denaro, finanziamento del terrorismo, elusione delle sanzioni o altri reati finanziari. A differenza dei processi KYC, che si concentrano sull'identificazione dei clienti al momento dell'acquisizione, il monitoraggio delle transazioni opera durante l'intero ciclo di vita del cliente, monitorando i modelli comportamentali che suggeriscono attività criminali anche tra i clienti che hanno superato la verifica iniziale dell'identità.
Nel settore delle criptovalute, il monitoraggio delle transazioni AML (Antiriciclaggio) si articola in due dimensioni distinte ma complementari. La prima è il monitoraggio interno delle transazioni : si analizza l'attività del cliente all'interno dell'exchange (importi dei depositi, frequenza dei prelievi, modelli di trading, geolocalizzazione degli accessi e la relazione tra queste attività) rispetto a un profilo comportamentale di riferimento per individuare anomalie. Questo viene fatto da un Transaction Monitoring System (TMS), che applica una combinazione di regole deterministiche (segnalare qualsiasi singolo prelievo superiore a 50,000 dollari; segnalare 10 o più transazioni in 24 ore per un importo totale superiore a 10,000 dollari) e modelli di machine learning (individuare comportamenti di strutturazione su più giorni; identificare modelli di stratificazione su più account). La seconda dimensione è il monitoraggio on-chain : si analizzano gli indirizzi blockchain associati a ciascuna transazione utilizzando piattaforme di analisi blockchain (Chainalysis KYT, Elliptic Lens, TRM Labs) per valutare il rischio dei fondi in base alla loro origine e destinazione. Un deposito da un wallet direttamente collegato a un'entità sanzionata o a un mercato darknet noto genera un avviso indipendentemente dall'importo della transazione o dal profilo comportamentale interno del cliente. La combinazione di monitoraggio interno e on-chain colma il divario tra ciò che il cliente comunica all'exchange (dati KYC) e ciò che la blockchain rivela effettivamente sulla provenienza dei suoi fondi. Un monitoraggio efficace delle transazioni AML richiede una messa a punto continua: soglie di allerta troppo basse generano migliaia di falsi positivi che sovraccaricano il personale addetto alla conformità; soglie troppo alte non rilevano attività sospette reali. L'obiettivo è un sistema calibrato che generi il giusto volume di avvisi di alta qualità affinché il team di conformità possa indagarli entro i tempi previsti dalla normativa.
Origine e storia
Data
Event
1990 secondi
Primi sistemi di monitoraggio delle transazioni basati su regole implementati presso importanti banche statunitensi ed europee; focalizzati principalmente sulle soglie di segnalazione delle transazioni in contanti.
2001
Il USA PATRIOT Act impone il monitoraggio delle attività sospette per tutte le imprese di servizi finanziari; formalizzate le aspettative normative per il monitoraggio automatizzato
2010 secondi
L'apprendimento automatico inizia a integrare i sistemi TMS basati su regole; l'analisi comportamentale e i modelli di rilevamento delle anomalie migliorano la qualità degli avvisi nel settore bancario.
2013-2015
Gli exchange di criptovalute iniziano a implementare i sistemi di monitoraggio delle transazioni di prima generazione; i primi sistemi sono costituiti da insiemi di regole rudimentali senza integrazione con l'analisi blockchain.
2017
Chainalysis ha lanciato KYT (Know Your Transaction), il primo prodotto specificamente progettato per il monitoraggio in tempo reale delle transazioni blockchain; stabilisce un nuovo standard per l'antiriciclaggio nel settore delle criptovalute.
2019
La raccomandazione 15 del FATF impone ai VASP di implementare un monitoraggio continuo dei clienti e delle transazioni, obbligando l'intero settore delle criptovalute ad aggiornare le proprie capacità di monitoraggio.
2020
Le azioni di contrasto del FinCEN contro BitMEX ($100 milioni) e altre società citano la mancata adozione di un adeguato monitoraggio delle transazioni come violazione principale.
2022-2023
I modelli di reti neurali basati su grafi entrano in produzione presso le principali piattaforme di scambio; la latenza del monitoraggio in tempo reale è ridotta a meno di un secondo per il blocco delle transazioni ad alto rischio.
“Il monitoraggio delle transazioni non consiste nel compilare moduli, ma nell'individuare lo schema nel rumore prima che il riciclatore completi il ciclo.” — Guida alla certificazione ACAMS per il monitoraggio delle transazioni AML
Come funziona
TUTTE LE TRANSAZIONI DEI CLIENTI (feed in tempo reale)
| v +=============================================+
SISTEMA DI MONITORAGGIO DELLE TRANSAZIONI
MOTORE DI REGOLE
+– Regole di velocità (N transazioni in X ore)
+– Regole di soglia (importo > Y)
+– Regole di strutturazione (depositi < CTR)
+– Norme giurisdizionali (aree geografiche ad alto rischio)
MODELLI COMPORTAMENTALI DI APPRENDIMENTO AUTOMATICO
+– Rilevamento delle anomalie rispetto alla linea di base
+– Confronto con il gruppo di pari
+– Analisi dei modelli temporali
+– Rilevamento della stratificazione di reti/grafi
VALUTAZIONE DEL RISCHIO ON-CHAIN
+– Punteggio di rischio dell'indirizzo del portafoglio (analisi della catena)
+– Tracciamento della fonte dei fondi
+– Corrispondenza dell'indirizzo delle sanzioni
+=============================================+
| v AVVISO GENERATO
| [LIVELLO DI RISCHIO?] / | \ ALTO MEDIO BASSO
| | | v v v Auto- Manuale Auto- blocco revisione cancella
| v GESTIONE DEL CASO +– Indagine dell'analista +– Raccolta delle prove +– Decisione SAR (presentazione / non presentazione) +– Monitoraggio delle scadenze (finestra SAR di 30 giorni) “`
Tipo di monitoraggio
Rileva
Esempio di trigger
Monitoraggio della velocità
Rapido aumento del volume delle transazioni
Il cliente effettua 50 operazioni in 24 ore dopo settimane di inattività.
Rilevamento della struttura
Mantenere deliberatamente le transazioni al di sotto delle soglie di segnalazione
Versamenti giornalieri di 9,800 dollari per 2 settimane consecutive
Rilevamento della stratificazione
Complesso movimento di fondi per occultare l'origine
Fondi trasferiti attraverso più di 5 portafogli entro 48 ore
Valutazione del rischio on-chain
Fonti di finanziamento ad alto rischio
Deposito da portafoglio con esposizione del 60% ai mercati del dark web.
rischio geografico
Transazioni che coinvolgono giurisdizioni soggette a sanzioni
Prelievo in valuta estera in un paese soggetto a sanzioni
Attività di conto dormiente
Transazioni improvvise di ingente entità in conti precedentemente inattivi
Prelievo di 500 dollari da un conto con 6 mesi di inattività.
In parole semplici
Monitora ogni transazione, in ogni momento. A differenza di una revisione periodica, il monitoraggio delle transazioni AML avviene in modo continuo e in tempo reale: ogni deposito, prelievo e transazione viene analizzato nel momento stesso in cui si verifica, e le transazioni ad alto rischio possono essere bloccate prima del completamento.
Le regole individuano schemi noti; l'apprendimento automatico ne individua di nuovi. Il monitoraggio basato su regole segnala attività che le autorità di regolamentazione e i team di conformità sanno già essere sospette (frazionamento, ingenti quantità di denaro contante). I modelli di apprendimento automatico individuano schemi inediti per i quali nessuno ha ancora pensato di creare una regola: le anomalie comportamentali che i riciclatori di denaro più esperti utilizzano per eludere i controlli.
L'analisi blockchain aggiunge la dimensione on-chain. Il monitoraggio interno delle transazioni ti mostra come si comporta il cliente sulla tua piattaforma. L'analisi blockchain ti dice dove si è trovato il denaro durante tutta la sua storia sulla blockchain: se quei fondi sono passati attraverso un mercato del dark web, un portafoglio soggetto a sanzioni o un servizio di mixing sei passaggi prima.
Il triage degli allarmi è l'elemento umano. Il sistema genera degli avvisi; analisti qualificati li esaminano. La maggior parte degli avvisi si rivela legittima dopo l'indagine (falsi positivi). Quelli che non lo sono vengono inoltrati per la presentazione di una segnalazione di attività sospetta (SAR). La qualità dell'indagine condotta dagli analisti è ciò che determina se la descrizione della SAR è utile alle forze dell'ordine.
Le soglie richiedono una calibrazione periodica. Un sistema di monitoraggio configurato una volta e mai più rivisto diventa meno efficace nel tempo, man mano che il comportamento dei clienti si evolve, le metodologie criminali cambiano e l'azienda cresce. Le metriche di performance mensili (tasso di allerta, tasso di conversione delle segnalazioni di attività sospette, tasso di falsi positivi) guidano le decisioni di ottimizzazione continua.
Esempi del mondo reale
Scenario
Implementazione/Attuazione
Risultato
Rilevamento della struttura
La regola TMS si attiva quando il cliente effettua 12 depositi per un totale di 117,600 dollari in 13 giorni, tutti compresi tra 9,000 e 9,900 dollari; nessun singolo deposito fa scattare la soglia CTR.
L'analista indaga; il cliente non è in grado di fornire una spiegazione plausibile; viene presentata una segnalazione di attività sospetta (SAR) che descrive lo schema di strutturazione; viene avviata un'indagine del FinCEN.
Blocco degli indirizzi delle sanzioni in tempo reale
Chainalysis KYT valuta i portafogli di deposito in entrata con un'esposizione del 95% ai portafogli del gruppo Lazarus, designati dall'OFAC; l'allerta è scattata in meno di 500 ms.
Deposito rifiutato automaticamente prima dell'accredito dei fondi sul conto del cliente; segnalazione di attività sospetta (SAR) presentata; conto del cliente bloccato per indagini; forze dell'ordine avvisate.
rilevamento di anomalie comportamentali tramite apprendimento automatico
Un cliente al dettaglio di lunga data (attività media di 200 dollari al mese) avvia improvvisamente trasferimenti in uscita per 3 milioni di dollari in 72 ore; il modello di machine learning lo segnala come un valore anomalo estremo rispetto al gruppo di riferimento.
L'analista contatta il cliente per chiarimenti sulla provenienza dei fondi; il cliente fornisce la documentazione relativa ai proventi legittimi della vendita dell'attività; il caso viene chiuso con motivazione documentata; non è richiesta alcuna segnalazione di attività sospetta (SAR).
Vantaggi
Vantaggio
Eccezionale
Rilevamento in tempo reale
I moderni sistemi di monitoraggio sono in grado di rilevare e bloccare le transazioni ad alto rischio in millisecondi, prima che i fondi vengano movimentati, non a posteriori.
Scala senza personale proporzionale
Il monitoraggio automatizzato esamina ogni transazione; senza di esso, la conformità richiederebbe un analista ogni poche centinaia di clienti attivi.
Rilevamento di modelli nel tempo
I sistemi TMS identificano schemi che si estendono per settimane o mesi e che nessun analista umano che esamina le singole transazioni noterebbe.
Prove normative
I registri degli avvisi e le registrazioni delle indagini del TMS creano la documentazione contemporanea che le autorità di regolamentazione si aspettano durante le verifiche dei programmi antiriciclaggio.
rilevamento di reti tra clienti
I sistemi avanzati identificano reti di account correlati (indirizzi IP, dispositivi o beneficiari condivisi) impegnati in attività sospette coordinate.
Svantaggi e rischi
Rischio
Impact
Avviso stanchezza
I sistemi mal calibrati generano quotidianamente migliaia di avvisi di bassa qualità; gli analisti si desensibilizzano e potrebbero non individuare attività sospette reali.
elusione avversaria
I riciclatori di denaro più esperti studiano le regole di monitoraggio note e strutturano deliberatamente le loro attività in modo da rimanere appena al di sotto delle soglie di rilevamento.
Elusione crittografica che preserva la privacy
Monero (criptovaluta incentrata sulla privacy) e i servizi di mixing oscurano le tracce delle transazioni su cui si basano le analisi blockchain, creando punti ciechi nel monitoraggio.
Compromesso tra latenza e precisione
Il monitoraggio in tempo reale richiede velocità; l'analisi approfondita dei grafici per il tracciamento on-chain complesso richiede tempo; gli exchange devono trovare un equilibrio tra la profondità di rilevamento e la velocità di elaborazione delle transazioni.
Sovraadattamento del modello
I modelli di apprendimento automatico addestrati in modo troppo ristretto su schemi storici potrebbero non essere in grado di generalizzare a nuovi comportamenti criminali, generando fiducia senza efficacia.
Suggerimenti per la gestione del rischio:
Implementare un processo formale di revisione della qualità degli avvisi: campionare mensilmente gli avvisi chiusi (non SAR) e far sì che un analista senior verifichi in modo indipendente che le chiusure siano state appropriate: questo è un elemento essenziale di un solido programma AML.
Integrare l'analisi blockchain on-chain con i dati interni del TMS in una visione unificata del caso, in modo che gli analisti possano visualizzare contemporaneamente sia la cronologia delle transazioni lato exchange sia il contesto di rischio on-chain, riducendo i tempi di indagine.
Utilizzate il benchmarking comportamentale del gruppo di pari come livello di monitoraggio: un cliente il cui comportamento di prelievo si colloca nel 99° percentile per il suo segmento di clientela merita un'attenta analisi, anche se non si verifica alcuna violazione specifica di alcuna regola.
Documentate ogni modifica della soglia di allerta con una giustificazione aziendale e un'analisi dei dati a supporto: le autorità di regolamentazione potrebbero chiedere spiegazioni sulle modifiche apportate e si aspettano decisioni basate su dati concreti, non su aggiustamenti arbitrari.
FAQ
D: Qual è la differenza tra il monitoraggio delle transazioni basato su regole e quello basato sull'apprendimento automatico?
Il monitoraggio basato su regole applica condizioni esplicite e codificate manualmente: "segnala qualsiasi transazione superiore a $X" o "segnala schemi di strutturazione con depositi compresi tra $9,000 e $9,900". Il monitoraggio basato sull'apprendimento automatico addestra modelli statistici su dati storici etichettati per identificare schemi troppo complessi o sottili per essere gestiti da regole esplicite. I modelli di apprendimento automatico possono rilevare anomalie comportamentali, come un cliente che improvvisamente si comporta in modo diverso dal solito, mentre le regole gestiscono tipologie note. Entrambi i metodi vengono generalmente implementati insieme nelle moderne piattaforme TMS.
D: Qual è il termine per la presentazione della SAR (Security Reporting Allowance) dopo un avviso di monitoraggio delle transazioni?
Negli Stati Uniti, una volta che un istituto finanziario dispone di informazioni sufficienti per stabilire la necessità di una segnalazione di attività sospetta (SAR), ha 30 giorni di calendario per presentarla. Se il soggetto non può essere identificato, il termine per la presentazione si estende a 60 giorni. In caso di persistenza di attività sospette (per le quali è già stata presentata una SAR), è necessario presentare una nuova SAR entro 90 giorni. Il mancato rispetto di tali termini costituisce di per sé una violazione del Bank Secrecy Act (BSA).
D: È possibile monitorare un cliente anche dopo la chiusura del suo conto?
Le normative antiriciclaggio (AML) previste dal Bank Secrecy Act (BSA) impongono agli istituti finanziari di conservare i registri delle transazioni per 5 anni, anche dopo la chiusura del conto. Qualora vengano individuate attività sospette in tali registri entro il periodo di conservazione, è comunque possibile presentare una segnalazione di attività sospetta (SAR) relativa a transazioni passate, anche dopo la cessazione del rapporto con il cliente.
D: Che cos'è una "tipologia" nel monitoraggio delle transazioni AML?
Una tipologia è una descrizione documentata di una specifica tecnica di riciclaggio di denaro o di reato finanziario: i metodi, gli schemi e i segnali di allarme associati a un particolare comportamento criminale. Il GAFI, il FinCEN e le unità di informazione finanziaria nazionali pubblicano regolarmente tipologie. Le norme e i modelli di monitoraggio delle transazioni antiriciclaggio si basano su tipologie note e i team di conformità utilizzano le nuove pubblicazioni di tipologie per aggiornare le proprie regole di monitoraggio.
D: In che modo gli exchange di criptovalute verificano la conformità alla Travel Rule durante il monitoraggio delle transazioni?
Il monitoraggio delle Travel Rule è una componente specializzata del monitoraggio delle transazioni, focalizzata sulla verifica che le informazioni richieste relative a mittente e destinatario siano state raccolte e trasmesse per i trasferimenti tra VASP superiori alla soglia applicabile. Sistemi come Notabene o TRISA si integrano con il TMS per segnalare i trasferimenti in cui gli obblighi previsti dalle Travel Rule sono stati attivati, ma la raccolta o la trasmissione dei dati non è andata a buon fine o è stata rifiutata, generando avvisi di conformità per le opportune verifiche.
fonti
FinCEN. “Guida alla preparazione di una narrazione SAR completa e sufficiente.” fincen.gov/sites/default/files/shared/sarnarrcompletguidfinal_112003.pdf
ACAMS. “Certificazione di monitoraggio delle transazioni AML.” acams.org
Chainalysis. "Documentazione KYT (Know Your Transaction) di Chainalysis." chainalysis.com/products/kyt/
Suggerimento UEEx: se il tuo conto di scambio di criptovalute viene temporaneamente bloccato in seguito a una transazione di importo elevato o insolita, è probabile che il sistema di monitoraggio delle transazioni AML abbia generato un avviso. Fornire proattivamente la documentazione relativa alla provenienza dei fondi (estratti conto bancari, buste paga o documentazione relativa ai proventi di vendita) accelera significativamente il processo di verifica della conformità e riduce la possibilità di un blocco prolungato del conto.
Disclaimer: questa voce del glossario ha solo scopo didattico e non costituisce consulenza finanziaria o legale.
