Glossario

> Avviso: Questo contenuto è destinato esclusivamente a scopi educativi e di riferimento per i software builder. Non costituisce consulenza medica, legale, finanziaria o regolamentare. Consultare un professionista qualificato prima di prendere decisioni basate su questo contenuto.

Account Monitoring (Monitoraggio del Conto)

La sorveglianza continua delle transazioni del cliente dopo la prima onboarding KYC, per rilevare variazioni nel comportamento del conto, nuove attività ad alto rischio o eventi che richiedono una nuova verifica. Le implementazioni software combinano trigger event-driven con revisioni periodiche in batch per mantenere aggiornati i profili di rischio. (31 CFR § 1020.210)

AML (Anti-Money Laundering / Antiriciclaggio)

Un insieme di leggi, regolamenti e procedure destinati a impedire ai criminali di mascherare i proventi di reato come reddito legittimo. In Italia gli obblighi AML derivano dal D.Lgs. 231/2007 (recepisce la IV e V AMLD UE); negli USA dalla Bank Secrecy Act (31 U.S.C. § 5311 e seguenti). I builder devono implementare pipeline di monitoraggio delle transazioni, workflow per la segnalazione di operazioni sospette (SOS/SAR) e procedure di Customer Due Diligence.

Bank Secrecy Act (BSA)

La principale legge AML statunitense, 31 U.S.C. § 5311 e seguenti, che richiede agli istituti finanziari di conservare registri e presentare segnalazioni che aiutino a identificare, rilevare e scoraggiare il riciclaggio e altri crimini finanziari. La BSA è amministrata dal FinCEN. I builder devono implementare la presentazione di CTR (Currency Transaction Report) per soglie di contante di $10.000, la segnalazione di attività sospette (SAR) e la conservazione dei registri per cinque anni. (31 U.S.C. § 5311)

Beneficial Owner (Titolare Effettivo)

La persona fisica che, in ultima istanza, possiede o controlla una persona giuridica cliente. Ai sensi della regola CDD del FinCEN (31 CFR § 1010.230) negli USA, e del D.Lgs. 231/2007 in Italia, gli istituti finanziari devono identificare e verificare i titolari effettivi che detengono il 25% o più di una persona giuridica e almeno un soggetto controllante. I builder modellano la titolarità effettiva come un grafo orientato: nodi entità collegati a nodi persone fisiche con archi di percentuale di proprietà.

Biometric Identity Verification (Verifica Biometrica dell'Identità)

L'utilizzo di dati biometrici - impronte digitali, riconoscimento facciale, verifica della vivezza - come metodo di verifica dell'identità KYC. I controlli biometrici integrano la verifica documentale e sono comuni nei flussi di onboarding mobile. I builder devono garantire che i dati biometrici siano trattati ai sensi della normativa applicabile (GDPR Art. 9 per gli utenti UE) e non vengano mai archiviati come template biometrici grezzi senza consenso esplicito.

CDD (Customer Due Diligence / Adeguata Verifica della Clientela)

Il processo di verifica dell'identità di un cliente, comprensione della natura della sua attività e del comportamento atteso, e valutazione del rischio che rappresenta. La regola CDD del FinCEN (31 CFR § 1010.230) richiede la CDD per tutti i clienti persone giuridiche, inclusa la raccolta dei titolari effettivi. I sistemi software devono registrare ogni azione CDD, il relativo timestamp, l'analista che l'ha eseguita e le prove documentali esaminate. (31 CFR § 1010.230)

Un archivio strutturato del consenso del cliente al trattamento dei dati, utilizzato nelle implementazioni Open Banking per tracciare quali provider terzi (TPP) abbiano ricevuto accesso a quali conti e per quale scopo. La PSD2 (Direttiva 2015/2366/UE, Art. 67) richiede che il consenso sia esplicito, limitato nel tempo e revocabile. I builder devono implementare tabelle di registro del consenso con timestamp di creazione, scadenza e revoca, nonché campi di scope. (PSD2 Art. 67, EUR-Lex 2015/2366/EU)

CTR (Currency Transaction Report)

Una segnalazione obbligatoria presentata al FinCEN quando un istituto finanziario facilita un'operazione in contante superiore a $10.000 da parte di un singolo cliente in un giorno lavorativo. Più operazioni in contante più piccole dello stesso cliente nello stesso giorno devono essere aggregate ("regola di aggregazione valutaria"). I builder implementano la presentazione di CTR tramite un processo batch notturno che aggrega le operazioni in contante dello stesso giorno e dello stesso cliente rispetto alla soglia di $10.000. (31 CFR § 1010.311)

Customer Identification Programme (CIP / Programma di Identificazione del Cliente)

Un programma scritto richiesto alle banche e ad altri istituti finanziari ai sensi dello USA PATRIOT Act (31 CFR § 1020.220) che specifica come verificare l'identità dei clienti che aprono nuovi conti. Il CIP deve raccogliere nome, data di nascita, indirizzo e numero identificativo; verificare tramite mezzi documentali o non documentali; e confrontare con le liste governative. I moduli CIP dei builder devono produrre un record di verifica per ogni cliente.

EDD (Enhanced Due Diligence / Adeguata Verifica Rafforzata)

Misure aggiuntive di verifica dell'identità e di monitoraggio applicate ai clienti ad alto rischio - inclusi PEP, clienti di giurisdizioni ad alto rischio o strutture di proprietà complesse. L'EDD richiede tipicamente l'approvazione dell'alta direzione, una verifica più frequente e un monitoraggio delle transazioni più intensivo. I builder classificano i clienti EDD nel modello dati e applicano regole di allerta più rigide.

FATF (Financial Action Task Force / GAFI)

L'organismo intergovernativo globale che stabilisce gli standard internazionali AML/CFT. Le Raccomandazioni FATF definiscono l'approccio basato sul rischio all'AML e sono recepite dai paesi membri nel diritto interno. Quando si sviluppa per clienti finanziari in più giurisdizioni, i builder consultano le valutazioni di rischio paese del FATF e le Raccomandazioni FATF (in particolare la Raccomandazione 10 sulla CDD e la 20 sulla segnalazione SAR).

FIDO2 (Fast Identity Online 2)

Uno standard di autenticazione che comprende l'API W3C WebAuthn e il protocollo CTAP della FIDO Alliance, che abilita l'autenticazione phishing-resistant tramite chiavi di sicurezza hardware, autenticatori biometrici o autenticatori di piattaforma. Il RTS PSD2 (Regolamento Delegato (UE) 2018/389) elenca gli autenticatori basati su FIDO2 come fattori di possesso/inerenza conformi per la Strong Customer Authentication. I builder implementano FIDO2 tramite l'API browser WebAuthn combinata con la verifica lato server dell'attestazione. (RTS PSD2 Art. 9, EUR-Lex 2018/389)

FinCEN (Financial Crimes Enforcement Network)

L'ufficio del Tesoro USA che amministra la Bank Secrecy Act, riceve e analizza l'intelligence finanziaria (CTR, SAR) ed emette regolamenti AML per gli istituti finanziari. Il sistema BSA E-Filing del FinCEN è il punto di invio per CTR e SAR. I builder si integrano con FinCEN generando payload XML BSA conformi allo schema XML FinCEN pubblicato. (31 CFR Parti 1010–1030)

KYC (Know Your Customer / Conosci il Tuo Cliente)

Il processo con cui un istituto finanziario verifica l'identità dei propri clienti prima e durante la prestazione di servizi. Il KYC comprende tre livelli: adeguata verifica semplificata (SDD) per prodotti a basso rischio, CDD standard per clienti ordinari e EDD per clienti ad alto rischio. I builder implementano il KYC come una macchina a stati: pending_verification → in_review → verified → expired, con trigger di ri-verifica pianificati.

KYC Data Model (Modello Dati KYC)

Il set strutturato di tabelle che memorizza i documenti di identità, i tentativi di verifica, i risultati PEP/sanzioni, il punteggio di rischio e i flag EDD per ogni cliente. Un modello dati KYC completo include: customers, identity_documents, verification_attempts, pep_screenings, sanctions_screenings, risk_assessments e kyc_events. Ogni tabella deve essere append-only per finalità di audit, con solo soft-delete.

Layering (Stratificazione)

La seconda fase del riciclaggio di denaro (dopo la fase di placement), che comprende una serie di transazioni finanziarie complesse progettate per distanziare i fondi illeciti dalla loro fonte. La stratificazione viene rilevata da regole di monitoraggio delle transazioni che tracciano il rapido spostamento di fondi attraverso più conti, trasferimenti inter-entità e salti di giurisdizione. I builder codificano le tipologie di stratificazione come regole di graph-traversal sulla rete transazionale.

MLRO (Money Laundering Reporting Officer / Responsabile Segnalazione Operazioni Sospette)

Il soggetto designato responsabile della ricezione delle segnalazioni interne SAR, della presentazione di SAR esterne al FinCEN (o all'UIF in Italia), e della supervisione del programma AML. Le piattaforme software devono fornire al MLRO/RSOS un'interfaccia di gestione dei casi che visualizzi tutti gli alert in sospeso e le decisioni SAR, tenga traccia delle scadenze e registri tutte le azioni a livello MLRO con timestamp.

OFAC (Office of Foreign Assets Control)

L'ufficio del Tesoro USA che amministra le sanzioni economiche contro paesi, regimi, individui ed entità. Gli istituti finanziari devono effettuare lo screening dei clienti e delle transazioni rispetto alla lista SDN (Specially Designated Nationals) dell'OFAC e alla Consolidated Sanctions List prima di erogare servizi. I builder implementano lo screening OFAC come un controllo sincrono durante l'onboarding e uno screening asincrono sui clienti esistenti quando la lista SDN viene aggiornata.

Open Banking

Un quadro normativo, abilitato dalla PSD2 nell'UE, che richiede alle banche di fornire ai provider terzi (TPP) l'accesso API ai dati del conto del cliente (AISP) e la capacità di avviare pagamenti (PISP) - con il consenso del cliente. I builder che implementano API Open Banking devono gestire il ciclo di vita del consenso (flusso di autorizzazione OAuth2), limitare il token API alle autorizzazioni concesse e rispettare la revoca del consenso. (PSD2 Art. 66–67, EUR-Lex 2015/2366/EU)

PEP (Politically Exposed Person / Persona Politicamente Esposta)

Un individuo che ricopre o ha ricoperto una funzione pubblica di rilievo, o un familiare stretto o associato di tale persona. I PEP presentano un rischio di corruzione più elevato e richiedono EDD ai sensi della Raccomandazione 12 del FATF e della 5AMLD (Direttiva (UE) 2018/843). I risultati dello screening PEP devono essere archiviati con la data di screening, la fonte dei dati, il confidence di corrispondenza e la disposizione dell'analista (falso positivo / PEP confermato). (Direttiva (UE) 2018/843, EUR-Lex 2018/843)

PSD2 (Payment Services Directive 2 / Seconda Direttiva sui Servizi di Pagamento)

La Direttiva (UE) 2015/2366/UE che regola i servizi di pagamento nell'UE, introduce l'Open Banking tramite standard API PSD2, richiede la Strong Customer Authentication (SCA) per i pagamenti elettronici e stabilisce le regole per i provider di servizi di avvio del pagamento e di informazione sul conto. I builder devono implementare la SCA per i pagamenti e la gestione del consenso per l'Open Banking. (Direttiva 2015/2366/EU, EUR-Lex 2015/2366/EU)

Risk Score (Punteggio di Rischio)

Una rappresentazione numerica del rischio AML valutato per un cliente. I punteggi di rischio vengono calcolati a partire da molteplici fattori di rischio (giurisdizione, prodotto, canale, status PEP, media avversi), ognuno ponderato secondo il modello di rischio dell'istituzione. I builder memorizzano i punteggi di rischio in una tabella risk_assessments con il dettaglio dei fattori, il timestamp di calcolo e la versione del modello di scoring, consentendo audit e ricalibrazione periodica.

Sanctions Screening (Screening Sanzioni)

Il processo automatizzato di confronto dei dati di clienti e transazioni con le liste di sanzioni (OFAC SDN, EU Consolidated, HMT Financial Sanctions, Consiglio di Sicurezza ONU). Lo screening deve avvenire all'onboarding, periodicamente durante la relazione con il cliente e in tempo reale sulle transazioni. I builder implementano la fuzzy matching (algoritmi fonetici, distanza di Levenshtein) per rilevare varianti di nome, gestendo al contempo i tassi di falsi positivi. (31 CFR § 1010.520)

SAR (Suspicious Activity Report / Segnalazione di Operazione Sospetta)

Una segnalazione riservata presentata al FinCEN (USA) o all'UIF (Italia) quando un istituto finanziario sa, sospetta o ha ragione di sospettare che una transazione coinvolga proventi di attività illecite, sia strutturata per eludere i requisiti BSA, sia priva di scopo legittimo o implichi potenziale riciclaggio. I SAR devono essere presentati entro 30 giorni dal rilevamento iniziale. (31 CFR § 1020.320)

SCA (Strong Customer Authentication / Autenticazione Forte del Cliente)

Un requisito di autenticazione a più fattori ai sensi del RTS PSD2 (Regolamento Delegato (UE) 2018/389), che richiede la verifica tramite almeno due dei seguenti elementi: qualcosa che il cliente conosce (password, PIN), qualcosa che il cliente possiede (dispositivo registrato, token OTP) e qualcosa che è il cliente (biometria). I builder devono applicare la SCA all'avvio delle transazioni e per le operazioni sensibili sul conto, con esenzioni per transazioni di basso valore al di sotto di €30. (RTS PSD2 Art. 4, EUR-Lex 2018/389)

Structuring (Strutturazione)

La pratica di suddividere una grande transazione in contante in molteplici transazioni più piccole per eludere la soglia di segnalazione CTR di $10.000, illegale ai sensi del 31 U.S.C. § 5324. Il rilevamento richiede l'aggregazione giornaliera delle transazioni in contante dello stesso cliente e l'analisi dei pattern su una finestra temporale di 30 giorni. I builder implementano la detection della strutturazione come una regola AML specializzata con logica di aggregazione multi-giorno. (31 U.S.C. § 5324)

Transaction Monitoring (Monitoraggio delle Transazioni)

L'analisi automatizzata delle transazioni dei clienti rispetto a un set di regole AML per rilevare pattern di attività sospette. I sistemi di monitoraggio delle transazioni elaborano gli eventi transazionali attraverso un motore di regole, generando alert per la revisione degli analisti. I builder implementano il transaction monitoring come: (a) elaborazione in streaming in tempo reale per regole basate su soglie, o (b) elaborazione batch notturna per regole di aggregazione (CTR, strutturazione, velocity). (31 CFR § 1020.210)

Velocity Rule (Regola di Velocità)

Una regola di monitoraggio AML che genera un alert quando il volume delle transazioni di un cliente (numero o importo aggregato) supera una soglia definita entro una finestra temporale mobile. Esempio: "segnalare qualsiasi cliente che avvia più di 20 transazioni in un periodo di 24 ore." I builder implementano le velocity rule mantenendo contatori mobili per cliente in un fast-access store (Redis) e confrontandoli con soglie configurabili memorizzate nella tabella delle regole.

Watchlist (Lista di Controllo)

Una lista consolidata di individui, entità e identificatori (es. numeri di conto, IBAN, rotte di spedizione) rispetto alla quale vengono continuamente verificati tutti i dati di clienti e transazioni. La watchlist di un istituto finanziario combina tipicamente OFAC SDN, EU Consolidated List, HMT UK Financial Sanctions, avvisi INTERPOL e flag interni su entità sospette. I builder implementano la matching della watchlist come un servizio dedicato con capacità di fuzzy matching e aggiornamento giornaliero delle liste.

Wire Transfer (Bonifico Bancario)

Un trasferimento elettronico di fondi tra conti bancari, disciplinato negli USA dalla Travel Rule del FinCEN (31 CFR § 1010.410). Banche e money transmitter devono raccogliere, conservare e trasmettere le informazioni sull'ordinante e sul beneficiario per bonifici di $3.000 o più. I builder implementano la conformità alla Travel Rule acquisendo e trasmettendo questi dati nel ciclo di vita del bonifico. (31 CFR § 1010.410)

Automated Clearing House (ACH)

Una rete elettronica statunitense per transazioni finanziarie utilizzata per accrediti diretti, stipendi e pagamenti di utenze. Le transazioni ACH sono disciplinate dalle regole NACHA e devono essere monitorate per pattern AML, tra cui il layering tramite rapidi bonifici ACH multipli. I builder integrano ACH nei sistemi di monitoraggio delle transazioni con regole di velocità specifiche per i limiti ACH in giornata stessa.

Blocking (OFAC) (Blocco OFAC)

Il congelamento di fondi o asset di un individuo o entità sanzionata sotto la giurisdizione OFAC. Quando una corrispondenza con le sanzioni è confermata, l'istituto finanziario deve bloccare la transazione, conservare i registri del bene bloccato e presentare un report OFAC entro 10 giorni lavorativi. Le implementazioni dei builder devono supportare uno stato blocked sulle transazioni con timestamp e il riferimento alla voce SDN corrispondente.

CKYC (Centralised Know Your Customer / KYC Centralizzato)

Un registro KYC centralizzato gestito da un regolatore o da un'utilità di settore, che consente agli istituti finanziari di condividere dati KYC verificati e ridurre la duplicazione dell'onboarding. Il registro CKYC dell'India è un esempio prominente. I builder possono integrarsi con le utilità CKYC tramite API per recuperare dati di identità pre-verificati, ma devono comunque registrare il recupero, la versione dei dati e l'affidamento dell'istituzione su di essi.

CTR (Currency Transaction Report / Segnalazione Operazione in Contante)

Una segnalazione obbligatoria presentata al FinCEN quando un istituto finanziario facilita un'operazione in contante superiore a $10.000 da parte di un singolo cliente in un giorno lavorativo. Più operazioni in contante più piccole dello stesso cliente nello stesso giorno devono essere aggregate (regola di aggregazione valutaria). I builder implementano la presentazione di CTR tramite un processo batch notturno che aggrega le operazioni in contante giornaliere dello stesso cliente rispetto alla soglia di $10.000. (31 CFR § 1010.311)

Customer Identification Programme (CIP / Programma di Identificazione del Cliente)

Un programma scritto richiesto alle banche e ad altri istituti finanziari ai sensi dello USA PATRIOT Act (31 CFR § 1020.220) che specifica come verificare l'identità dei clienti che aprono nuovi conti. Il CIP deve raccogliere nome, data di nascita, indirizzo e numero identificativo; verificare tramite mezzi documentali o non documentali; e confrontare con le liste governative. I moduli CIP dei builder devono produrre un record di verifica per ogni cliente. (31 CFR § 1020.220)

Documentary Verification (Verifica Documentale)

Il processo di conferma dell'identità tramite il controllo di un documento di identità fisico o digitale emesso da un governo (passaporto, carta d'identità nazionale, patente). La verifica documentale nelle pipeline software utilizza tipicamente un passaggio OCR di estrazione, un controllo liveness/biometrico e una ricerca in un database di autenticità del documento. I risultati devono essere registrati con il tipo di documento, il paese emittente, la data di scadenza e l'esito della verifica.

Dynamic Thresholds (Soglie Dinamiche)

Regole di monitoraggio AML con soglie che si adattano automaticamente in base al comportamento transazionale storico del cliente o alla baseline del gruppo di pari. Un builder che implementa soglie dinamiche imposta una regola come "segnalare qualsiasi transazione superiore di 3 deviazioni standard alla media mobile a 90 giorni del cliente." Le soglie dinamiche riducono i tassi di falsi positivi rispetto ai limiti universali statici.

eIDAS (Electronic Identification, Authentication and Trust Services)

Un regolamento UE (Regolamento (UE) 910/2014) che stabilisce un quadro giuridico per l'identificazione elettronica transfrontaliera e i servizi fiduciari. Rilevante per il KYC nelle piattaforme bancarie UE in quanto gli schemi eID notificati eIDAS possono soddisfare i requisiti di autenticazione forte e verifica remota dell'identità. I builder che integrano schemi eID notificati devono registrare il livello di garanzia (basso, sostanziale, elevato) e l'identificatore dello schema. (Regolamento (UE) 910/2014, EUR-Lex 910/2014)

GDPR e Settore Bancario

Il Regolamento Generale sulla Protezione dei Dati (Regolamento (UE) 2016/679) si applica ai clienti domiciliati nell'UE delle piattaforme bancarie. I dati KYC (documenti d'identità, biometria, profili finanziari) sono tipicamente dati personali sensibili che richiedono una base giuridica chiara. I builder devono implementare la minimizzazione dei dati, la limitazione della finalità e i limiti di conservazione nel medesimo modello dati KYC, incrociando l'obbligo di conservazione AML quinquennale con i diritti di cancellazione GDPR. (GDPR Art. 6, 9; EUR-Lex 2016/679)

High-Risk Jurisdiction (Giurisdizione ad Alto Rischio)

Un paese o territorio identificato dal FATF o da regolatori nazionali come avente carenze strategiche AML/CFT. I clienti provenienti da giurisdizioni ad alto rischio richiedono EDD. I builder implementano una tabella di rischio per giurisdizione aggiornata dagli output delle sessioni plenarie FATF e dalle liste OFAC CAATSA/SDN, utilizzandola per segnalare transazioni originate da o destinate a paesi ad alto rischio.

IBAN (International Bank Account Number)

Un identificatore internazionale standardizzato per i conti bancari secondo la norma ISO 13616. Gli IBAN vengono validati tramite un algoritmo di controllo MOD-97. I modelli dati KYC memorizzano l'IBAN di pagamento principale del cliente insieme al codice BIC/SWIFT della sua banca. I sistemi AML monitorano i flussi transazionali a livello IBAN per pattern di layering transfrontaliero.

LEI (Legal Entity Identifier / Codice Identificativo Persone Giuridiche)

Un codice alfanumerico ISO 17442 di 20 caratteri che identifica univocamente le persone giuridiche che partecipano alle transazioni finanziarie. Richiesto per le segnalazioni MiFID II ed EMIR. Per finalità AML, il LEI consente di collegare i clienti persona giuridica ai loro titolari effettivi nelle banche dati esterne. I builder validano e memorizzano il LEI nei record dei clienti aziendali e lo utilizzano nelle ricerche EDD per il collegamento della titolarità effettiva. (ISO 17442)

OTP (One-Time Password / Password Monouso)

Un codice di autenticazione generato dinamicamente e a tempo limitato, utilizzato come secondo fattore nell'autenticazione a più fattori. Nei contesti SCA PSD2, l'OTP è un fattore di possesso (se consegnato a un dispositivo registrato). I builder che implementano OTP devono usare un algoritmo TOTP (RFC 6238) o HOTP (RFC 4226) lato server, consegnare l'OTP su un canale separato (SMS al telefono registrato, app autenticatore) e invalidarlo dopo un singolo utilizzo o alla scadenza di 30 secondi. (RFC 6238)

Placement (Collocamento)

La prima fase del riciclaggio di denaro: l'introduzione di fondi illeciti nel sistema finanziario. Il rilevamento del placement si concentra su grandi depositi di contante, depositi strutturati appena al di sotto delle soglie di segnalazione e l'uso di money service business. I builder implementano l'aggregazione CTR e la detection della strutturazione (vedi CTR, Structuring) come controlli primari della fase di placement.

Risk-Based Approach (Approccio Basato sul Rischio)

Il principio del framework AML, prescritto dal FATF e dalla serie AMLD UE, che richiede agli istituti finanziari di allocare risorse di adeguata verifica rafforzata in modo proporzionale al rischio di riciclaggio valutato. I sistemi software implementano l'approccio basato sul rischio tramite modelli di scoring del rischio cliente che aggregano il rischio di giurisdizione, prodotto, canale e profilo cliente in un livello di rischio composito (basso / standard / alto).

SDD (Simplified Due Diligence / Adeguata Verifica Semplificata)

Un livello ridotto di adeguata verifica della clientela consentito per prodotti o tipologie di clienti valutati come a rischio inferiore (es. istituti finanziari regolamentati, enti governativi, conti di risparmio a basso valore). La SDD non elimina la CDD - riduce la profondità e la frequenza dei controlli di verifica. I builder devono documentare i criteri di ammissibilità SDD in configurazione e registrare ogni istanza di applicazione SDD con la relativa giustificazione.

Suspicious Activity Indicator (Indicatore di Attività Sospetta)

Un pattern comportamentale o una caratteristica transazionale definiti che, individualmente o collettivamente, suggeriscono potenziale riciclaggio di denaro o crimine finanziario. Indicatori comuni includono rapidi movimenti di fondi, picchi di contante non spiegati, transazioni incoerenti con l'attività dichiarata e anomalie rispetto al gruppo di pari. I builder codificano gli indicatori di attività sospetta come regole AML parametrizzate memorizzate in una tabella delle regole, consentendo ai compliance officer di regolare le soglie senza rilasci di codice.

Two-Factor Authentication (2FA / Autenticazione a Due Fattori)

Un meccanismo di autenticazione che richiede due distinti fattori di verifica prima di concedere l'accesso. Nel settore bancario, la 2FA combina tipicamente una password (conoscenza) con un OTP o un autenticatore FIDO2 (possesso). Il RTS PSD2 rende obbligatoria la 2FA (denominata SCA) per l'avvio dei pagamenti UE e l'accesso a dati sensibili del conto. I builder devono applicare la 2FA al login, all'avvio delle transazioni e quando si modificano impostazioni critiche del conto. (RTS PSD2 Art. 4, EUR-Lex 2018/389)

Zero-Knowledge Proof (ZKP) nel KYC

Una tecnica crittografica che consente a una parte di dimostrare il possesso di determinate informazioni (es. età superiore a 18 anni, nazionalità) senza rivelare i dati sottostanti. Gli ZKP stanno emergendo nei sistemi KYC che preservano la privacy come alternativa alla condivisione di dati grezzi dei documenti d'identità con ogni istituzione verificante. I builder che valutano il KYC basato su ZKP devono valutare la maturità dello specifico sistema di prove (zk-SNARKs, zk-STARKs) e l'accettazione da parte della giurisdizione della verifica basata su ZKP.