Gli Stati Uniti finalizzano le regole per le banche su come detenere criptovalute senza superare i limiti

La Federal Reserve, la Federal Deposit Insurance Corporation e l'Office of the Comptroller of the Currency hanno ufficialmente delineato nuove istruzioni su come le banche possono gestire i servizi di custodia di criptovalute senza violare alcun confine normativo.

Le agenzie, operando sotto l'amministrazione del presidente Donald Trump, hanno emesso una dichiarazione congiunta lunedì, spiegando esattamente come i prestatori tradizionali dovrebbero gestire le posizioni in criptovalute per i propri clienti.

Secondo Secondo la dichiarazione esaminata da Cryptopolitan, queste nuove istruzioni sostituiscono gli avvertimenti e le restrizioni precedenti che rendevano più difficile per le banche entrare nel mercato delle criptovalute.

L'aggiornamento arriva pochi mesi dopo che i regolatori hanno ritirato le precedenti linee guida sui rischi legati alle criptovalute ad aprile e hanno revocato la direttiva del 2022 che obbligava le banche a notificare in anticipo i regolatori prima di impegnarsi in qualsiasi attività legata alle criptovalute.

D'ora in poi, le operazioni in criptovalute saranno monitorate come parte della supervisione di routine, proprio come qualsiasi altra attività bancaria. Le agenzie hanno avvertito che qualsiasi banca che si avventura nella custodia di criptovalute deve capire bene cosa sta facendo e sviluppare sistemi in grado di gestirle.

I regolatori richiedono sistemi interni rigorosi prima dell'inizio della custodia

I regolatori hanno chiarito che la custodia sicura delle criptovalute significa avere il controllo delle chiavi crittografiche che danno accesso a tali asset, e che tale controllo deve soddisfare tutte le leggi e i regolamenti pertinenti.

Prima ancora di lanciare i servizi di custodia, ci si aspetta che le banche valutino come queste operazioni si inseriscono nel loro profilo di rischio complessivo e nella strategia. Devono conoscere la tecnologia, tenersi aggiornati sulle pratiche del settore e prepararsi agli imprevisti.

«Una valutazione del rischio efficace prenderebbe in considerazione cose come i rischi finanziari principali dell'organizzazione bancaria dati la direzione strategica e il modello di business», hanno detto le agenzie nella loro dichiarazione congiunta.

Ogni dipendente, che sia nel C-suite o che lavori nell'IT, deve avere la formazione e la conoscenza operativa per gestire correttamente i servizi di custodia di criptovalute. La dichiarazione ha aggiunto che tutte le parti della banca devono essere in grado di «stabilire una capacità operativa adeguata e controlli appropriati per condurre l'attività in modo sicuro e solido». Senza questa base, non è semplicemente consentito offrire questi servizi.

Le linee guida richiedono anche piani di contingenza. Questo significa avere un piano reale quando i sistemi si guastano o se un processo di custodia di criptovalute fallisce. Questo non è opzionale. Deve essere integrato nella configurazione della banca fin dal primo giorno. Le agenzie hanno detto che l'intero quadro dovrebbe essere abbastanza flessibile da adattarsi al panorama delle criptovalute in rapida evoluzione. Ciò che funziona oggi potrebbe non funzionare domani.

Le banche possono utilizzare aiuto esterno, ma restano pienamente responsabili

Alle banche è consentito lavorare con società di terze parti per gestire la custodia delle criptovalute, come l'utilizzo di sub-custodi o fornitori di tecnologia. Ma la dichiarazione ha sottolineato che le banche continueranno a farsi carico di tutta la responsabilità. «Soggetto ai termini e alle condizioni dell'accordo con il cliente, un'organizzazione bancaria è responsabile delle attività svolte dal sub-custode», hanno detto i regolatori.

Questa responsabilità copre tutto, da quali asset criptati la banca supporta a come funziona la tecnologia del sub-custode. Anche se la terza parte sta facendo la maggior parte del lavoro, la banca deve fare la dovuta diligenza in anticipo.

Questo significa verificare come le chiavi vengono create, archiviate ed eliminate, e confermare che il sub-custode utilizza solide misure di sicurezza. Ci si aspetta anche che le banche esaminino cosa accadrebbe agli asset dei clienti se il sub-custode fallisse o subisse problemi operativi.

I regolatori hanno affrontato anche un'altra configurazione comune: quando una banca gestisce la custodia internamente ma utilizza ancora tecnologia di terze parti. Che si tratti di software, hardware o qualsiasi cosa intermedia, ci si aspetta che le banche valutino i rischi. 

Questo include la decisione se sia più sicuro costruire i propri sistemi o affidarsi agli strumenti di qualcun altro. La dichiarazione ha detto: «Una gestione efficace del rischio… includerà generalmente il ponderare i rischi dell'acquisto di software o hardware di terze parti rispetto alla manutenzione di tale software o hardware come servizio».

Anche le verifiche (auditing) sono entrate nella lista dei requisiti. Le agenzie hanno detto che le banche devono creare programmi di audit specifici per le loro operazioni di custodia di criptovalute. Questo include la revisione dei processi di generazione, archiviazione ed eliminazione delle chiavi, la verifica dei controlli di trasferimento e la verifica che i sistemi IT soddisfino gli standard di sicurezza. Questi audit dovrebbero anche valutare se il personale ha le competenze per gestire i rischi legati alle criptovalute e, in caso contrario, deve essere assunto aiuto esterno.

«Quando l'esperienza in materia di audit non esiste all'interno dell'organizzazione bancaria, la direzione dovrebbe coinvolgere risorse esterne appropriate, con sufficiente indipendenza, per valutare le operazioni di custodia degli asset criptati», hanno detto le agenzie.