> Avviso: Questo contenuto è destinato esclusivamente a scopi educativi e di riferimento per i software builder. Non costituisce consulenza medica, legale, finanziaria o regolamentare. Consultare un professionista qualificato prima di prendere decisioni basate su questo contenuto.

4AMLD / 5AMLD / 6AMLD

Direttive antiriciclaggio dell'UE: la 4ª (2015/849/EU), la 5ª (2018/843/EU) e la 6ª (2018/1673/EU). La 4AMLD ha introdotto l'approccio basato sul rischio e i registri sulla titolarità effettiva; la 5AMLD ha esteso gli obblighi agli asset cripto e ai commercianti di beni di valore elevato; la 6AMLD ha armonizzato i reati presupposto. I builder devono verificare quale AMLD si applica alla loro giurisdizione UE. (EUR-Lex 2015/849, 2018/843, 2018/1673)

AISP (Account Information Service Provider / Fornitore di Servizi di Informazione sul Conto)

Un provider terzo autorizzato ai sensi della PSD2 ad accedere ai dati del conto di pagamento di un cliente presso la sua banca per aggregare le informazioni sui conti. Gli AISP devono essere registrati e utilizzare API Open Banking conformi alla PSD2 con il consenso del cliente. I builder che creano prodotti AISP implementano il flusso di autorizzazione OAuth2 con scope mappati sui diritti di accesso al conto PSD2. (PSD2 Art. 67, EUR-Lex 2015/2366/EU)

AML/CFT

Antiriciclaggio/Contrasto al Finanziamento del Terrorismo - il quadro normativo combinato che si rivolge sia al riciclaggio di denaro che al finanziamento del terrorismo. In Italia: D.Lgs. 231/2007 (AML) e D.Lgs. 109/2007 (CFT). In USA: BSA (AML) e 18 U.S.C. § 2339B (CFT). I sistemi software tipicamente implementano un motore di monitoraggio unificato che copre sia le tipologie AML che CFT.

Un access token OAuth2 emesso a un TPP a seguito del consenso del cliente ai sensi della PSD2 Open Banking. Il token codifica gli scope dei dati acconsentiti (conti, saldi, transazioni) e la scadenza del consenso. I builder devono implementare endpoint di revoca del token in modo che i clienti possano ritirare il consenso e devono rispettare la scadenza senza richiedere l'azione del cliente. (PSD2 Art. 67, EUR-Lex 2015/2366/EU)

BSA E-Filing

Il portale web e l'API FinCEN attraverso cui gli istituti finanziari inviano CTR, SAR, FBAR e altri report BSA in formato XML. I builder che implementano la reportistica BSA automatizzata generano payload XML conformi allo schema XML BSA FinCEN pubblicato su fincen.gov e li inviano tramite l'API E-Filing.

CDD Rule

Il regolamento FinCEN sulle Richieste di Customer Due Diligence per gli Istituti Finanziari, codificato al 31 CFR § 1010.230, che richiede agli istituti finanziari di raccogliere informazioni sulla titolarità effettiva per i clienti persone giuridiche. La regola richiede l'identificazione dei titolari effettivi che detengono il 25% o più e di un soggetto controllante. I builder devono implementare moduli di raccolta della titolarità effettiva nel workflow di onboarding.

Dynamic Linking (Collegamento Dinamico)

Un requisito SCA PSD2 che specifica che il codice di autenticazione per un pagamento deve essere dinamicamente collegato all'importo della transazione e al beneficiario, così che qualsiasi modifica a uno dei due invalidi il codice. I builder implementano il collegamento dinamico includendo l'IBAN del beneficiario e l'importo della transazione nei dati della challenge prima di calcolare il codice SCA (challenge FIDO2 o seed TOTP). (RTS PSD2 Art. 5, EUR-Lex 2018/389)

EBA RTS

Regulatory Technical Standards dell'Autorità Bancaria Europea sulla Strong Customer Authentication e sugli Standard Aperti Comuni e Sicuri di Comunicazione - Regolamento Delegato (UE) 2018/389. Stabilisce requisiti dettagliati per i fattori SCA, il collegamento dinamico, le esenzioni (TRA, basso valore, whitelist aziendale) e lo standard API Open Banking. (EUR-Lex 2018/389)

FATF / GAFI

Il Financial Action Task Force (in italiano GAFI) è l'organismo intergovernativo che stabilisce gli standard internazionali AML/CFT. Le 40 Raccomandazioni FATF definiscono l'approccio basato sul rischio per la lotta al riciclaggio di denaro e al finanziamento del terrorismo e vengono recepite nei diritti nazionali. I builder che sviluppano sistemi per clienti finanziari globali devono riferirsi alle valutazioni di rischio paese del FATF.

FIDO2

Lo standard aperto W3C e FIDO Alliance per l'autenticazione hardware-backed e phishing-resistant tramite crittografia a chiave pubblica. WebAuthn (il componente API browser di FIDO2) consente ai builder di implementare autenticatori come fattori di possesso SCA conformi al RTS PSD2 Art. 9. L'implementazione server-side richiede la verifica dell'attestazione, l'archiviazione delle credenziali e la logica challenge/response. (RTS PSD2 Art. 9, EUR-Lex 2018/389)

Il diritto alla cancellazione del GDPR (Art. 17) richiede la cancellazione dei dati personali quando non più necessari, ma le leggi AML UE e USA impongono la conservazione quinquennale dei record KYC e delle transazioni. I builder devono implementare un'architettura di retention hold: i record soggetti a obbligo AML vengono posti in un blocco di conformità che sovrascrive i cicli standard di cancellazione GDPR e viene rimosso solo alla scadenza del periodo di conservazione. (GDPR Art. 17, EUR-Lex 2016/679; 31 CFR § 1020.410)

IBAN Validation (Validazione IBAN)

Il processo di verifica che un IBAN sia strutturalmente valido utilizzando l'algoritmo MOD-97 (ISO 13616). Formato IBAN valido: codice paese a 2 lettere + 2 cifre di controllo + BBAN. I builder implementano la validazione IBAN come funzione utility usata all'inserimento delle transazioni e sui dati beneficiario archiviati.

KYC State Machine (Macchina a Stati KYC)

Una macchina a stati finiti che modella il ciclo di vita dello stato di verifica KYC di un cliente: pending_submission → documents_submitted → in_review → verified → expired → suspended. Le transizioni di stato sono attivate dai callback del sistema di verifica, dalle azioni degli analisti o dalla ri-verifica pianificata. I builder implementano la macchina a stati KYC come sistema event-sourced con un audit trail completo di ogni transizione di stato.

LEI (Legal Entity Identifier / Codice Identificativo Persone Giuridiche)

Un codice alfanumerico ISO 17442 di 20 caratteri che identifica univocamente le persone giuridiche che partecipano alle transazioni finanziarie. L'indice LEI globale su gleif.org è la fonte autorevole. I builder validano i LEI usando l'algoritmo di checksum e li archiviano nei record dei clienti aziendali, utilizzando le ricerche LEI per il collegamento della titolarità effettiva nell'EDD.

OFAC SDN

La Specially Designated Nationals and Blocked Persons List gestita dall'OFAC del Tesoro USA. Gli istituti finanziari devono effettuare lo screening di clienti e transazioni rispetto alla lista SDN prima di erogare servizi. I builder implementano lo screening SDN usando i file di dati pubblicati dall'OFAC (SDN.xml) con fuzzy matching e mantengono un registro di ogni risultato di screening con la data della lista e il punteggio di corrispondenza.

OTP TOTP

One-Time Password Time-Based (RFC 6238) - una variante OTP generata tramite un segreto condiviso e il timestamp corrente, producendo un codice di 6–8 cifre valido per 30 secondi. Utilizzato come secondo fattore SCA. I builder implementano il TOTP lato server tramite un calcolo HMAC-SHA1/SHA256; i seed segreti vengono archiviati crittografati. (RFC 6238)

PISP (Payment Initiation Service Provider / Fornitore di Servizi di Avvio del Pagamento)

Un provider terzo autorizzato ai sensi della PSD2 ad avviare un pagamento dal conto di un cliente presso la sua banca, con consenso esplicito. I PISP devono applicare la SCA prima di avviare ogni pagamento, a meno che non si applichi un'esenzione SCA. I builder che creano prodotti PISP implementano il flusso di autorizzazione del pagamento con collegamento dinamico per proteggersi dalla manipolazione. (PSD2 Art. 66, EUR-Lex 2015/2366/EU)

SAR / SOS (Suspicious Activity Report / Segnalazione di Operazione Sospetta)

Una segnalazione riservata presentata al FinCEN (USA) o all'UIF - Unità di Informazione Finanziaria per l'Italia - quando un istituto finanziario rileva attività sospette indicative di riciclaggio o altri crimini finanziari. Negli USA i SAR usano il Modulo FinCEN 111 e devono essere presentati entro 30 giorni via BSA E-Filing. In Italia le SOS sono inviate all'UIF attraverso il portale INFOSTAT-UIF. (31 CFR § 1020.320)

SCA (Strong Customer Authentication / Autenticazione Forte del Cliente)

Un requisito di autenticazione a più fattori ai sensi del RTS PSD2 (Regolamento Delegato (UE) 2018/389), che richiede la verifica tramite almeno due fattori di categorie diverse: conoscenza (password, PIN), possesso (dispositivo registrato, OTP, chiave FIDO2) e inerenza (impronta digitale, riconoscimento facciale). I builder devono applicare la SCA all'avvio dei pagamenti e per le operazioni sensibili sul conto. (RTS PSD2 Art. 4, EUR-Lex 2018/389)

TRA (Transaction Risk Analysis / Analisi del Rischio Transazionale)

Un'esenzione SCA PSD2 che consente a un PSP di non applicare la SCA per transazioni al di sotto di €100 (o fino a €500 con bassi tassi di frode) quando un punteggio di rischio frode in tempo reale è al di sotto di una soglia definita. I builder che implementano il TRA devono calcolare il punteggio di rischio prima di applicare l'esenzione, registrare la decisione di esenzione con il punteggio e le soglie, e rispettare i massimali trimestrali di tasso di frode pubblicati nel RTS PSD2 Allegato III. (RTS PSD2 Art. 18, EUR-Lex 2018/389)

Travel Rule (Regola di Trasferimento)

Il requisito FinCEN (31 CFR § 1010.410) che impone agli istituti finanziari di trasmettere le informazioni sull'ordinante e sul beneficiario insieme ai bonifici di $3.000 o più. La Raccomandazione 16 del FATF equivalente si applica ai trasferimenti di asset virtuali. I builder implementano la Travel Rule acquisendo dati strutturati sull'ordinante/beneficiario all'avvio e passandoli in messaggi SWIFT MT o payload IVMS101 per i trasferimenti VASP.

BCBS (Comitato di Basilea per la Vigilanza Bancaria)

Il principale organismo internazionale per la regolamentazione bancaria prudenziale, operante nell'ambito della Banca dei Regolamenti Internazionali (BRI). Le linee guida BCBS sui controlli AML/CFT e sulle pratiche sane per la gestione dei rischi connessi al riciclaggio di denaro sono seguite dalle autorità di vigilanza delle banche centrali. I builder che sviluppano piattaforme bancarie globali consultano la guida BCBS per i requisiti del framework di gestione del rischio.

CTR (Currency Transaction Report)

Una segnalazione obbligatoria al FinCEN per operazioni in contante superiori a $10.000 in un unico giorno lavorativo, incluse più transazioni dello stesso cliente che superano complessivamente la soglia. Presentato tramite il Modulo FinCEN 112 via BSA E-Filing entro 15 giorni di calendario dalla transazione che ha generato l'obbligo. (31 CFR § 1010.311)

DSAR (Data Subject Access Request / Richiesta di Accesso dell'Interessato)

Una richiesta di un individuo che esercita il diritto di accesso GDPR ai propri dati personali detenuti da un istituto finanziario. I DSAR interagiscono con l'obbligo AML di conservare i dati per cinque anni - i builder devono implementare un livello di riconciliazione che risponde ai DSAR mantenendo i record richiesti dalla normativa AML. (GDPR Art. 15, EUR-Lex 2016/679)

UIF (Unità di Informazione Finanziaria per l'Italia)

L'unità italiana di intelligence finanziaria, operante nell'ambito della Banca d'Italia, responsabile della raccolta, dell'analisi e della disseminazione delle segnalazioni di operazioni sospette (SOS). Le istituzioni finanziarie italiane inviano le SOS all'UIF tramite il portale INFOSTAT-UIF. I builder che integrano la segnalazione di operazioni sospette per il mercato italiano implementano il formato dati UIF e l'integrazione con il portale INFOSTAT-UIF.