Testo dell'articoloVigente
Art. 63 Reg. (UE) 2023/1114 – Valutazione della domanda di autorizzazione e concessione o rifiuto dell’autorizzazione
Regolamento (UE) 2023/1114 del Parlamento europeo e del Consiglio del 31 maggio 2023 relativo ai mercati delle cripto-attività (Markets in Crypto-Assets, MiCA)
1. Le autorità competenti informano per iscritto prontamente e comunque entro cinque giorni lavorativi dal ricevimento di una domanda a norma dell’articolo 62, paragrafo 1, il prestatore di servizi per le cripto-attività richiedente di aver ricevuto la stessa.
2. Entro 25 giorni lavorativi dal ricevimento di una domanda a norma dell’articolo 62, paragrafo 1, le autorità competenti valutano la completezza di tale domanda verificando che siano state presentate le informazioni elencate all’articolo 62, paragrafo 2. Laddove la domanda non sia completa, le autorità competenti fissano un termine entro il quale il prestatore di servizi per le cripto-attività richiedente deve fornire le informazioni mancanti.
3. Le autorità competenti possono rifiutarsi di riesaminare le domande laddove tali domande rimangano incomplete dopo il termine da esse fissato a norma del paragrafo 2, secondo comma.
4. Una volta che una domanda è completa, le autorità competenti ne informano tempestivamente il prestatore di servizi per le cripto-attività richiedente.
5. Prima di concedere o rifiutare un’autorizzazione come prestatore di servizi per le cripto-attività, le autorità competenti consultano le autorità competenti di un altro Stato membro se il prestatore di servizi per le cripto-attività richiedente è in una delle seguenti posizioni in relazione a un ente creditizio, un depositario centrale di titoli, un’impresa di investimento, un operatore di mercato, una società di gestione di un OICVM, un gestore di fondi di investimento alternativi, un istituto di pagamento, un’impresa di assicurazione, un istituto di moneta elettronica o un ente pensionistico aziendale o professionale, autorizzati nell’altro Stato membro in questione:
a) è una sua filiazione;
b) è una filiazione dell’impresa madre di tale soggetto; o
c) è controllato dalle stesse persone fisiche o giuridiche che controllano tale soggetto.
6. Prima di concedere o rifiutare un’autorizzazione come prestatore di servizi per le cripto-attività, le autorità competenti:
a) possono consultare le autorità responsabili della lotta al riciclaggio di denaro e al finanziamento del terrorismo e le unità di informazione finanziaria, al fine di verificare che il prestatore di servizi per le cripto-attività richiedente non sia stato oggetto di un’indagine su comportamenti in rapporto con il riciclaggio di denaro o il finanziamento del terrorismo;
b) garantiscono che il prestatore di servizi per le cripto-attività richiedente che gestisce sedi o ricorre a terzi aventi sede in paesi terzi ad alto rischio individuati a norma dell’articolo 9 della direttiva (UE) 2015/849 sia conforme alle disposizioni di diritto nazionale che recepiscono l’articolo 26, paragrafo 2, e l’articolo 45, paragrafi 3 e 5, della suddetta direttiva;
c) garantiscono, se del caso, che il prestatore di servizi per le cripto-attività richiedente abbia messo in atto procedure adeguate per conformarsi alle disposizioni di diritto nazionale che recepiscono l’articolo 18 bis , paragrafi 1 e 3, della direttiva (UE) 2015/849.
7. Quando sussistono stretti legami tra il prestatore di servizi per le cripto-attività richiedente e altre persone fisiche o giuridiche, le autorità competenti concedono l’autorizzazione solo se tali legami non ostacolano l’efficace esercizio delle loro funzioni di vigilanza.
8. Le autorità competenti rifiutano l’autorizzazione se le disposizioni legislative, regolamentari o amministrative di un paese terzo applicabili ad una o più persone fisiche o giuridiche con le quali il prestatore di servizi per le cripto-attività richiedente ha stretti legami, o le difficoltà legate all’applicazione di tali disposizioni, ostacolino l’esercizio efficace delle loro funzioni di vigilanza.
9. Entro 40 giorni lavorativi dalla data di ricevimento di una domanda completa, le autorità competenti valutano se il prestatore di servizi per le cripto-attività richiedente rispetta le disposizioni di cui al presente titolo e adottano una decisione, pienamente motivata, di concessione o rifiuto dell’autorizzazione come prestatore di servizi per le cripto-attività. Le autorità competenti notificano la loro decisione al richiedente entro cinque giorni lavorativi dalla data di tale decisione. Tale valutazione tiene conto della natura, della portata e della complessità dei servizi per le cripto-attività che il prestatore di servizi per le cripto-attività richiedente intende prestare.
10. Le autorità competenti rifiutano un’autorizzazione come prestatore di servizi per le cripto-attività se sussistono motivi oggettivi e dimostrabili per ritenere che:
a) l’organo di amministrazione del prestatore di servizi per le cripto-attività richiedente possa mettere a repentaglio la gestione efficace, sana e prudente e la continuità operativa del prestatore, nonché l’adeguata considerazione degli interessi dei suoi clienti e l’integrità del mercato, o possa esporre il prestatore di servizi per le cripto-attività richiedente a un grave rischio di riciclaggio di denaro o finanziamento del terrorismo;
b) i membri dell’organo di amministrazione del prestatore di servizi per le cripto-attività richiedente non soddisfino i criteri di cui all’articolo 68, paragrafo 1;
c) gli azionisti o i soci, siano essi diretti o indiretti, che detengono partecipazioni qualificate nel prestatore di servizi per le cripto-attività richiedente non soddisfino i criteri di sufficiente onorabilità di cui all’articolo 68, paragrafo 2;
d) il prestatore di servizi per le cripto-attività richiedente non soddisfi o rischi di non soddisfare uno qualsiasi dei requisiti del presente titolo.
11. L’ESMA e l’ABE emanano congiuntamente, in conformità rispettivamente dell’articolo 16 del regolamento (UE) n. 1095/2010 e dell’articolo 16 del regolamento (UE) n. 1093/2010, orientamenti relativi alla valutazione dell’idoneità dei membri dell’organo di amministrazione del prestatore di servizi per le cripto-attività richiedente e degli azionisti e dei soci, siano essi diretti o indiretti, che detengono partecipazioni qualificate nel prestatore di servizi per le cripto-attività richiedente. L’ESMA e l’ABE emanano gli orientamenti di cui al primo comma entro il 30 giugno 2024.
12. Durante il periodo di valutazione di cui al paragrafo 9 ed entro il 20 o giorno lavorativo di tale periodo, le autorità competenti possono chiedere qualsiasi informazione supplementare necessaria per completare la valutazione. Tale richiesta è presentata per iscritto al prestatore di servizi per le cripto-attività richiedente precisando le informazioni supplementari necessarie. Il periodo di valutazione di cui al paragrafo 9 è sospeso per il periodo compreso tra la data della richiesta di informazioni mancanti presentata dalle autorità competenti e il ricevimento, da parte delle stesse, della relativa risposta del prestatore di servizi per le cripto-attività richiedente. La sospensione non supera i 20 giorni lavorativi. Qualsiasi ulteriore richiesta di completamento o chiarimento delle informazioni presentata dalle autorità competenti è a discrezione di dette autorità ma non comporta una sospensione del periodo di valutazione di cui al paragrafo 9.
13. Entro due giorni lavorativi dalla concessione dell’autorizzazione, le autorità competenti comunicano all’ESMA le informazioni specificate all’articolo 109, paragrafo 5. Le autorità competenti informano altresì l’ESMA di ogni rifiuto o autorizzazione. L’ESMA rende disponibili le informazioni di cui all’articolo 109, paragrafo 5, nel registro di cui a tale articolo, entro la data di inizio della prestazione dei servizi di cripto-attività.
In sintesi
Indice dei contenuti
L'iter di autorizzazione CASP: panoramica generale
L'articolo 63 del Regolamento MiCA disciplina la fase valutativa e decisoria del procedimento di autorizzazione come prestatore di servizi per le cripto-attività (CASP - Crypto-Asset Service Provider). L'articolo si inserisce nel Titolo V, dedicato ai CASP, e va letto in stretta connessione con l'articolo 62, che elenca i documenti e le informazioni che il richiedente deve allegare alla domanda. Mentre l'articolo 62 riguarda il contenuto della domanda, l'articolo 63 disciplina come e in che tempi l'autorità competente deve valutarla e decidere.
I CASP sono i soggetti che prestano professionalmente uno o più dei servizi elencati all'articolo 3, paragrafo 1, punto 16 MiCA: custodia e amministrazione di cripto-attività per conto di clienti, gestione di una piattaforma di negoziazione, scambio con valuta legale o con altre cripto-attività, esecuzione di ordini per conto di clienti, collocamento, ricezione e trasmissione di ordini, consulenza e gestione di portafogli. Il regime di autorizzazione previsto da MiCA si applica a tutti questi servizi e costituisce il «passaporto europeo» che consente al CASP di operare in tutti gli Stati membri dell'UE.
Le fasi temporali del procedimento
Il procedimento si articola in tre fasi temporali consecutive, con termini perentori.
Fase 1 - Accusa di ricevuta (paragrafo 1): entro cinque giorni lavorativi dal ricevimento della domanda, l'autorità deve comunicare per iscritto l'avvenuto ricevimento. Questo termine brevissimo serve a far decorrere i successivi e a garantire certezza temporale al richiedente.
Fase 2 - Verifica della completezza (paragrafo 2): entro 25 giorni lavorativi dal ricevimento, l'autorità verifica che siano state presentate tutte le informazioni elencate nell'articolo 62, paragrafo 2. Se la domanda è incompleta, l'autorità fissa un termine per l'integrazione documentale. I paragrafi 3 e 4 gestiscono i casi limite: l'autorità può rifiutarsi di riesaminare la domanda se rimane incompleta dopo la scadenza del termine, e deve informare il richiedente non appena la domanda è considerata completa.
Fase 3 - Valutazione e decisione (paragrafo 9): entro 40 giorni lavorativi dalla data di ricevimento della domanda completa, l'autorità deve valutare la conformità ai requisiti del Titolo V e adottare una decisione pienamente motivata. La notifica della decisione al richiedente deve avvenire entro cinque giorni lavorativi dalla data della decisione. Il paragrafo 12 prevede un meccanismo di sospensione: durante i primi 20 giorni lavorativi del periodo di valutazione, l'autorità può chiedere informazioni supplementari; in tal caso il termine di 40 giorni rimane sospeso fino al ricevimento della risposta, per un massimo di 20 giorni lavorativi di sospensione.
Le consultazioni obbligatorie pre-decisione
Prima di concedere o rifiutare l'autorizzazione, l'autorità competente deve effettuare alcune consultazioni obbligatorie. Il paragrafo 5 prevede la consultazione cross-border: se il richiedente è filiale, co-filiale o soggetto controllato dalla stessa persona fisica o giuridica di un ente finanziario (banca, impresa di investimento, gestore di OICVM o FIA, istituto di pagamento, assicurazione, istituto di moneta elettronica, fondo pensione) autorizzato in un altro Stato membro, l'autorità competente deve consultare quest'ultimo. Questa previsione è funzionale alla supervisione consolidata dei gruppi finanziari che si espandono nei servizi di cripto-attività.
Il paragrafo 6 disciplina le verifiche AML/CFT: l'autorità può consultare le autorità antiriciclaggio e le FIU per verificare l'assenza di indagini penali a carico del richiedente; deve garantire che il richiedente che opera in paesi terzi ad alto rischio (elenco FATF recepito nella Direttiva (UE) 2015/849) rispetti le misure nazionali di recepimento dell'art. 26, par. 2 e art. 45, parr. 3 e 5 della stessa direttiva; e deve verificare, ove pertinente, l'adeguatezza delle procedure per il rispetto dell'art. 18-bis, parr. 1 e 3 della Direttiva AML (relativo alle misure rafforzate di adeguata verifica della clientela).
I motivi obbligatori di rifiuto
Il paragrafo 10 elenca quattro categorie di motivi per cui l'autorità deve rifiutare l'autorizzazione - non discrezionalmente, ma come obbligo giuridico (usa il verbo «rifiutano»): (a) se l'organo di amministrazione del richiedente può mettere a repentaglio la sana e prudente gestione o l'integrità del mercato, o esporre il richiedente a rischi AML/CFT; (b) se i membri dell'organo di amministrazione non soddisfano i criteri di idoneità («fit and proper») dell'articolo 68, paragrafo 1; (c) se i soci titolari di partecipazioni qualificate non soddisfano i criteri di onorabilità dell'articolo 68, paragrafo 2; (d) se il richiedente non soddisfa o rischia di non soddisfare uno qualsiasi dei requisiti del Titolo V. Quest'ultima categoria è una clausola residuale molto ampia, che di fatto consente all'autorità di rifiutare l'autorizzazione per qualsiasi inadeguatezza strutturale o di policy del richiedente.
Stretti legami e ostacoli alla vigilanza (paragrafi 7-8)
I paragrafi 7 e 8 affrontano la problematica dei gruppi societari complessi. Il paragrafo 7 prevede che l'autorizzazione sia negata se i legami societari tra il richiedente e altri soggetti ostacolano l'efficace esercizio delle funzioni di vigilanza dell'autorità. Il paragrafo 8 introduce una causa di rifiuto automatico ancora più incisiva: se le disposizioni legislative di un paese terzo applicabili a soggetti con cui il richiedente ha stretti legami ostacolano l'esercizio della vigilanza - per esempio per motivi di segreto bancario straniero o di norme che limitano la condivisione di informazioni - l'autorità deve rifiutare l'autorizzazione. Queste previsioni riflettono la lezione appresa dalla crisi finanziaria del 2008: la vigilanza efficace richiede accesso trasparente alle informazioni senza ostacoli di gruppo o di regime giuridico straniero.
La pubblicazione nel registro ESMA e la portata del passaporto europeo
Il paragrafo 13 chiude il procedimento con la fase di pubblicazione: entro due giorni lavorativi dalla concessione dell'autorizzazione, l'autorità competente trasmette all'ESMA le informazioni previste dall'articolo 109, paragrafo 5 - tra cui il nome del CASP, lo Stato membro di origine, i servizi autorizzati e la data di autorizzazione. L'ESMA le pubblica nel registro pubblico entro la data di inizio della prestazione dei servizi. Ogni rifiuto o successiva revoca dell'autorizzazione vengono parimenti comunicati all'ESMA. Questo registro è lo strumento operativo che consente il «passaporto europeo» dei CASP: chiunque voglia verificare se un exchange o un custodian è regolarmente autorizzato nell'UE può consultare il registro ESMA. Per i CASP esteri (non-UE) il registro consente altresì di distinguere i soggetti autorizzati da quelli che operano illegalmente nell'Unione.
Aspetti operativi per il richiedente
Dal punto di vista operativo, il richiedente che si appresta a presentare domanda di autorizzazione CASP deve curare in modo particolare: la completezza della domanda ex articolo 62 (ogni lacuna rallenta il procedimento); la solidità del profilo «fit and proper» dei membri dell'organo di amministrazione; la struttura del gruppo societario (legami con soggetti in paesi terzi a rischio); il sistema di compliance AML/CFT; e i requisiti prudenziali del Titolo V (fondi propri, assicurazione professionale, segregazione dei fondi clienti). Un'autorizzazione negata per uno dei motivi del paragrafo 10 implica che il richiedente debba modificare strutturalmente il proprio assetto prima di ripresentare la domanda.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Quanto tempo ha l'autorità competente per decidere su una domanda CASP?
La struttura temporale è triplice: accusa di ricevuta entro cinque giorni lavorativi dal ricevimento; verifica di completezza entro 25 giorni lavorativi; valutazione e decisione entro 40 giorni lavorativi dalla domanda completa. Il termine di 40 giorni può essere sospeso (fino a 20 giorni lavorativi) se l'autorità chiede informazioni supplementari entro il ventesimo giorno di valutazione.
Una domanda CASP può essere ritirata prima della decisione dell'autorità?
Il Regolamento non prevede espressamente la procedura di ritiro, ma nulla impedisce al richiedente di comunicare all'autorità la rinuncia alla domanda. In tal caso il procedimento si chiude senza decisione formale. È comunque consigliabile concordare con l'autorità le modalità formali di chiusura.
Se un CASP autorizzato in Italia vuole operare in Germania, deve chiedere una nuova autorizzazione?
No. Il regime MiCA prevede il passaporto europeo: un'autorizzazione concessa da un'autorità competente di uno Stato membro consente al CASP di prestare gli stessi servizi in tutti gli altri Stati UE, previa notifica all'autorità dello Stato ospitante ai sensi dell'articolo 65.
Cosa rischia un soggetto che presta servizi di cripto-attività senza autorizzazione CASP?
Sono previste sanzioni amministrative ai sensi degli articoli 111 e seguenti MiCA. Gli Stati membri possono anche prevedere sanzioni penali. Inoltre i contratti conclusi con i clienti potrebbero essere contestati e il soggetto può essere oggetto di ordini di cessazione dell'attività da parte delle autorità competenti.
L'ESMA ha accesso diretto alle informazioni sul richiedente durante la procedura di autorizzazione?
No, durante la procedura di valutazione l'ESMA non partecipa direttamente. Riceve le informazioni solo dopo la concessione (o il rifiuto) dell'autorizzazione, entro due giorni lavorativi, per la pubblicazione nel registro pubblico. Tuttavia l'ESMA esercita un ruolo di coordinamento e convergenza tra autorità nazionali attraverso le proprie linee guida.