Testo dell'articoloVigente
Art. 68 Reg. (UE) 2023/1114 – Dispositivi di governance
Regolamento (UE) 2023/1114 del Parlamento europeo e del Consiglio del 31 maggio 2023 relativo ai mercati delle cripto-attività (Markets in Crypto-Assets, MiCA)
1. I membri dell’organo di amministrazione dei prestatori di servizi per le cripto-attività possiedono sufficienti requisiti di onorabilità e le conoscenze, le capacità e l’esperienza adeguate, individualmente e collettivamente, per svolgere le loro funzioni. In particolare, i membri dell’organo di amministrazione dei prestatori di servizi per le cripto-attività non sono stati condannati per reati connessi al riciclaggio di denaro o al finanziamento del terrorismo o per altri reati che possano incidere sulla loro onorabilità. Essi dimostrano inoltre di essere in grado di dedicare tempo sufficiente per svolgere efficacemente le loro funzioni.
2. Gli azionisti e i soci, siano essi diretti o indiretti, che detengono partecipazioni qualificate nei prestatori di servizi per le cripto-attività possiedono sufficienti requisiti di onorabilità e, in particolare, non sono state condannate per reati connessi al riciclaggio o al finanziamento del terrorismo o per altri reati che potrebbero incidere sul loro onorabilità.
3. Laddove l’influenza esercitata dagli azionisti o dai soci, siano essi diretti o indiretti, che detengono partecipazioni qualificate in un prestatore di servizi per le cripto-attività sia suscettibile di pregiudicare la gestione sana e prudente di tale prestatore di servizi per le cripto-attività, le autorità competenti adottano le opportune misure per affrontare tali rischi. Tali misure possono includere la richiesta di provvedimenti giudiziari o l’imposizione di sanzioni nei confronti degli amministratori e dei dirigenti, o la sospensione dell’esercizio dei diritti di voto inerenti alle azioni detenute dagli azionisti o dai soci, siano essi diretti o indiretti, che detengono le partecipazioni qualificate.
4. I prestatori di servizi per le cripto-attività adottano politiche e procedure sufficientemente efficaci per assicurare il rispetto del presente regolamento.
5. I prestatori di servizi per le cripto-attività impiegano personale con le conoscenze, le competenze e l’esperienza necessarie per l’assolvimento delle responsabilità loro assegnate, tenendo conto della portata, della natura e della gamma dei servizi per le cripto-attività prestati.
6. L’organo di amministrazione dei prestatori di servizi per le cripto-attività valuta e riesamina periodicamente l’efficacia delle politiche e delle procedure messe in atto per conformarsi agli obblighi di cui ai capi 2 e 3 del presente titolo e adotta misure appropriate per rimediare a eventuali carenze a tale riguardo.
7. I prestatori di servizi per le cripto-attività adottano tutte le misure ragionevoli per garantire la continuità e la regolarità della prestazione dei loro servizi per le cripto-attività. A tal fine, i prestatori di servizi per le cripto-attività utilizzano risorse e procedure adeguate e proporzionate, compresi sistemi TIC resilienti e sicuri in conformità del regolamento (UE) 2022/2554. I prestatori di servizi per le cripto-attività stabiliscono una politica di continuità operativa, che comprende i piani di continuità operativa in materia di TIC e piani di risposta e risanamento relativi alle TIC predisposti ai sensi degli articoli 11 e 12 del regolamento (UE) 2022/2554 volti a garantire, in caso di interruzione dei sistemi e delle procedure TIC, la conservazione dei dati e delle funzioni essenziali e il mantenimento dei servizi per le cripto-attività o, qualora ciò non sia possibile, il tempestivo recupero di tali dati e funzioni e la rapida ripresa dei servizi per le cripto-attività.
8. I prestatori di servizi per le cripto-attività dispongono di meccanismi, sistemi e procedure in conformità del regolamento (UE) 2022/2554, nonché di procedure e dispositivi efficaci per la valutazione del rischio, al fine di rispettare le disposizioni di diritto nazionale che recepiscono la direttiva (UE) 2015/849. Essi controllano e valutano periodicamente l’adeguatezza e l’efficacia di tali meccanismi, sistemi e procedure, tenendo conto della portata, della natura e della gamma dei servizi per le cripto-attività prestati, e adottano le misure appropriate per rimediare a eventuali carenze a tale riguardo. I prestatori di servizi per le cripto-attività dispongono di sistemi e procedure per salvaguardare la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati ai sensi del regolamento (UE) 2022/2554.
9. I prestatori di servizi per le cripto-attività provvedono affinché siano tenute registrazioni di tutti i servizi per le cripto-attività, le attività, gli ordini e le operazioni da essi effettuati. Tali registrazioni sono sufficienti per consentire alle autorità competenti di espletare le loro funzioni di vigilanza e di adottare le misure di attuazione e, in particolare, di accertare se i prestatori di servizi per le cripto-attività abbiano rispettato tutti gli obblighi, compresi quelli relativi ai clienti effettivi o potenziali e all’integrità del mercato. Le registrazioni conservate a norma del primo comma sono fornite ai clienti su richiesta e sono conservate per un periodo di cinque anni e, se richiesto dall’autorità competente prima della scadenza dei cinque anni, per un periodo fino a sette anni.
10. L’ESMA elabora progetti di norme tecniche di regolamentazione per specificare ulteriormente:
a) le misure che garantiscono la continuità e la regolarità della prestazione dei servizi per le cripto-attività di cui al paragrafo 7;
b) le registrazioni da conservare relative a tutti i servizi per le cripto-attività, le attività, gli ordini e le operazioni effettuati di cui al paragrafo 9.
L’ESMA presenta i progetti di norme tecniche di regolamentazione di cui al primo comma alla Commissione entro il 30 giugno 2024. Alla Commissione è delegato il potere di integrare il presente regolamento adottando le norme tecniche di regolamentazione di cui al primo comma del presente paragrafo conformemente agli articoli da 10 a 14 del regolamento (UE) n. 1095/2010.
In sintesi
Indice dei contenuti
Governance societaria dei CASP: principi e struttura
L'articolo 68 del Regolamento MiCA detta i requisiti organizzativi e di governance applicabili a tutti i prestatori di servizi per le cripto-attività (CASP). Si tratta di una disposizione trasversale, che si applica indipendentemente dalla tipologia di servizi prestati (custodia, exchange, gestione di piattaforme, ecc.) e che riflette l'approccio del legislatore europeo di allineare la governance dei CASP a quella delle imprese di investimento e degli istituti finanziari tradizionali.
La ratio è evidente: i CASP gestiscono beni e rischi per conto di clienti in un contesto ad alta innovazione tecnologica e con un profilo di rischio peculiare (volatilità dei prezzi, vulnerabilità informatiche, potenziale utilizzo illecito). Senza un quadro robusto di governance, queste caratteristiche si tradurrebbero in un rischio sistemico per i clienti e per la stabilità del mercato. L'articolo 68 costruisce questo quadro su sei pilastri: requisiti personali dell'organo di amministrazione, requisiti degli azionisti qualificati, politiche di conformità, requisiti del personale, continuità operativa e conservazione delle registrazioni.
Requisiti dell'organo di amministrazione: fit and proper
Il paragrafo 1 stabilisce che i membri dell'organo di amministrazione dei CASP devono possedere «sufficienti requisiti di onorabilità» e «le conoscenze, le capacità e l'esperienza adeguate, individualmente e collettivamente». Questa formulazione - mutuata dalla MiFID II e dalla CRD IV - introduce un doppio test: individuale (ogni membro deve essere idoneo nel proprio ruolo) e collettivo (il board nel suo complesso deve avere le competenze necessarie per la governance del CASP).
La norma specifica espressamente che non possono far parte dell'organo di amministrazione coloro che siano stati condannati per reati connessi al riciclaggio di denaro o al finanziamento del terrorismo, o per altri reati che possano incidere sulla loro onorabilità. Questo requisito negativo si affianca ai requisiti positivi di competenza e disponibilità di tempo («in grado di dedicare tempo sufficiente per svolgere efficacemente le loro funzioni»).
Il cosiddetto regime «fit and proper» dovrà essere valutato dalle autorità competenti in sede di richiesta di autorizzazione e potrà essere verificato anche nel corso dell'attività. L'ESMA ha il compito di elaborare orientamenti sulle modalità di valutazione, tenendo conto delle differenze dimensionali e operative tra i vari tipi di CASP.
Azionisti con partecipazioni qualificate
Il paragrafo 2 estende i requisiti di onorabilità agli azionisti e soci con partecipazioni qualificate, siano essi diretti o indiretti. La definizione di «partecipazione qualificata» - che nel diritto dei mercati finanziari tradizionali corrisponde tipicamente a una quota del 10% o più del capitale o dei diritti di voto - è richiamata per relationem dal contesto normativo di MiCA.
Il paragrafo 3 introduce una misura di tutela specifica: quando l'influenza di un azionista qualificato sia «suscettibile di pregiudicare la gestione sana e prudente» del CASP, le autorità competenti possono adottare misure correttive, tra cui la sospensione dei diritti di voto. Questo strumento - già previsto per le banche dalla CRD IV - consente alle autorità di intervenire senza necessariamente revocare l'autorizzazione, con un approccio proporzionato alla gravità del rischio identificato.
Politiche di conformità e competenza del personale
I paragrafi 4 e 5 completano il quadro con obblighi di carattere organizzativo. Il paragrafo 4 impone ai CASP di adottare «politiche e procedure sufficientemente efficaci» per assicurare il rispetto del Regolamento MiCA. Questa formulazione aperta richiede ai CASP di costruire un compliance framework adeguato alla propria dimensione e ai servizi offerti, che comprenda procedure di identificazione e gestione dei rischi di non conformità, meccanismi di segnalazione interna e sistemi di formazione del personale.
Il paragrafo 5 specifica che il personale deve possedere «le conoscenze, le competenze e l'esperienza necessarie» per le responsabilità assegnate, in relazione alla «portata, natura e gamma» dei servizi prestati. Questo requisito di professionalità del personale si applica non solo agli organi apicali ma a tutti i dipendenti con ruoli rilevanti, inclusi i responsabili di compliance, risk management, IT security e customer care.
Il paragrafo 6 chiude il ciclo con un obbligo di riesame periodico: l'organo di amministrazione valuta l'efficacia delle politiche e delle procedure adottate e adotta misure correttive per eventuali carenze. Questo obbligo di autovalutazione periodica è un elemento fondamentale del ciclo PDCA (Plan-Do-Check-Act) di ogni sistema di gestione della conformità.
Continuità operativa e resilienza TIC
Il paragrafo 7 introduce uno degli obblighi tecnicamente più rilevanti dell'articolo 68: i CASP devono adottare «tutte le misure ragionevoli per garantire la continuità e la regolarità della prestazione dei loro servizi». A tal fine, devono utilizzare «risorse e procedure adeguate e proporzionate, compresi sistemi TIC resilienti e sicuri in conformità del regolamento (UE) 2022/2554» - il cosiddetto Regolamento DORA sulla resilienza operativa digitale del settore finanziario.
Il rinvio a DORA è significativo: i CASP non sono semplici aziende tecnologiche, ma soggetti finanziari vigilati che devono rispettare standard rigorosi in materia di cybersecurity, business continuity e disaster recovery. In particolare, DORA richiede: test di penetrazione, gestione del rischio informatico, classificazione e reporting degli incidenti, gestione dei fornitori terzi (cloud provider, ecc.).
Il paragrafo 7 specifica anche che i CASP devono predisporre una «politica di continuità operativa» che includa piani di continuità operativa in materia di TIC e piani di risposta e risanamento relativi alle TIC, ai sensi degli articoli 11 e 12 di DORA. In caso di interruzione, l'obiettivo è conservare dati e funzioni essenziali e riprendere i servizi nel minor tempo possibile.
Meccanismi antiriciclaggio e protezione dei dati
Il paragrafo 8 richiede ai CASP di disporre di «meccanismi, sistemi e procedure» conformi al Regolamento DORA e alle norme nazionali di recepimento della Direttiva AML (2015/849). L'integrazione dei presidi antiriciclaggio nell'organizzazione del CASP è un obbligo autonomo, che si affianca ai presidi di sicurezza informatica. I sistemi di monitoraggio delle transazioni sospette, la customer due diligence (CDD), il know your customer (KYC) e il suspicious activity reporting (SAR) devono essere implementati e periodicamente aggiornati. Il paragrafo 8 aggiunge anche l'obbligo di sistemi per «salvaguardare la disponibilità, l'autenticità, l'integrità e la riservatezza dei dati» ai sensi di DORA - un richiamo indiretto anche alle norme del GDPR in materia di trattamento dei dati personali.
Conservazione delle registrazioni
Il paragrafo 9 impone ai CASP di tenere registrazioni di «tutti i servizi per le cripto-attività, le attività, gli ordini e le operazioni». La durata minima di conservazione è di cinque anni, estendibile a sette anni se richiesto dall'autorità competente. Le registrazioni devono essere messe a disposizione dei clienti su richiesta. Questo obbligo è fondamentale per due scopi: (i) consentire alle autorità competenti di svolgere la vigilanza e accertare la conformità; (ii) garantire ai clienti la possibilità di ricostruire lo storico delle operazioni per finalità fiscali, legali o di contenzioso. L'ESMA è incaricata di elaborare RTS per specificare i contenuti e il formato delle registrazioni da conservare (par. 10, lett. b).
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
Quali sono i requisiti minimi per far parte del Consiglio di Amministrazione di un CASP?
L'art. 68, par. 1 richiede onorabilità (assenza di condanne per riciclaggio o reati affini), conoscenze e competenze adeguate individualmente e collettivamente, e disponibilità di tempo sufficiente. Non esistono requisiti di età minima o di titolo di studio specifici, ma l'ESMA pubblicherà orientamenti sulle modalità di valutazione del requisito fit and proper.
Cosa si intende per partecipazione qualificata in un CASP?
La partecipazione qualificata è quella che supera le soglie di rilevanza previste dal diritto dei mercati finanziari (tipicamente 10%, 20%, 30% o 50% del capitale o dei diritti di voto). Gli azionisti che raggiungono queste soglie devono soddisfare requisiti di onorabilità e comunicare la propria partecipazione all'autorità competente, la quale può opporsi alla variazione o imporre misure se ritiene che l'influenza dell'azionista pregiudichi la gestione sana e prudente del CASP.
Il Regolamento DORA si applica anche ai CASP?
Sì, a seguito del rinvio espresso dell'art. 68, par. 7 di MiCA. I CASP devono conformarsi agli obblighi di DORA (Reg. UE 2022/2554) in materia di gestione del rischio TIC, test di resilienza, gestione degli incidenti e governance dei fornitori terzi. L'applicazione di DORA ai CASP è entrata in vigore il 17 gennaio 2025.
Per quanto tempo un CASP deve conservare le registrazioni delle operazioni?
Per un minimo di cinque anni. Se l'autorità competente lo richiede prima della scadenza, il periodo si estende fino a sette anni. Le registrazioni devono essere messe a disposizione dei clienti su richiesta. Il contenuto esatto e il formato delle registrazioni sarà specificato dagli RTS che l'ESMA presenterà alla Commissione entro il 30 giugno 2024.
Cosa rischia un CASP che non rispetta i requisiti di governance dell'art. 68?
Le violazioni dei requisiti di governance possono portare a misure di vigilanza da parte dell'autorità competente (richieste di adeguamento, divieti temporanei di svolgere determinate attività) e, nei casi più gravi, alla revoca dell'autorizzazione. Sono previste anche sanzioni pecuniarie amministrative ai sensi degli artt. 111-114 di MiCA, con massimali variabili in funzione della gravità della violazione.