Circolare FINMA 2026/1: custodire le criptovalute significa assumersi la responsabilità

Con la circolare 2026/1, la FINMA pone un chiaro accento in termini di vigilanza: le cripto-attività non sono un campo di sperimentazione tecnologica, bensì una questione di organizzazione, governance e responsabilità per gli istituti vigilati.

L'attenzione non è rivolta ai meccanismi crittografici o alle architetture blockchain, bensì alla custodia di cripto-attività (Custody), a chiare responsabilità, a strutture organizzative solide e alla gestione dei rischi operativi. In questo modo, le criptovalute entrano definitivamente nel settore centrale della vigilanza sui mercati finanziari classici.

La circolare non è una nuova legge. Piuttosto, chiarisce come le disposizioni legali e regolamentari esistenti – in particolare FINMAG, FINIG e LRD, nonché le relative circolari FINMA sull'organizzazione, l'outsourcing e i rischi operativi – debbano essere applicate ai modelli di business crypto.

In breve

  • FINMA 2026/1 chiarisce: le cripto-attività non sono soggette a un regime speciale.
  • Chi custodisce o controlla di fatto le cripto-attività si assume la piena responsabilità di vigilanza.
  • I rischi principali non risiedono nel codice, bensì nella governance, nei processi e nelle strutture di outsourcing.
  • La circolare non crea nuovi obblighi, ma rende più concreti, verificabili e applicabili i requisiti esistenti.
  • Per i partecipanti al mercato si pone ora la questione strategica di come posizionare in modo duraturo i modelli di business crypto in modo che siano conformi alla FINMA.
Classificazione: le cripto-attività nel quadro di vigilanza esistente

Dal punto di vista giuridico, le cripto-attività non sono mai state una categoria speciale a sé stante. Fin dalle sue prime prese di posizione sui temi blockchain e ICO, la FINMA ha sempre chiarito che le attività basate sulla crittografia devono essere qualificate funzionalmente e sono quindi soggette alle normative esistenti in materia di diritto dei mercati finanziari.

Tuttavia, in pratica, la novità tecnologica ha portato per anni a diversi approcci di implementazione e a una certa riluttanza nella prassi di vigilanza. La circolare 2026/1 riprende questo sviluppo e affina l'applicazione dei principi esistenti di organizzazione, governance e rischio per i modelli di business crypto.

Non si tratta quindi di una rivalutazione giuridica, bensì di una concretizzazione delle aspettative di vigilanza sullo sfondo di volumi di mercato, complessità e rilevanza sistemica crescenti.

Di cosa si tratta concretamente?

La circolare 2026/1 si rivolge a tutte le costellazioni in cui un istituto:

  • Custodisce cripto-attività per i clienti
  • Controlla o influenza tecnicamente le chiavi private
  • Avvia transazioni per conto dei clienti
  • Utilizza fornitori terzi o sub-custodian

La FINMA si aspetta in particolare:

  • una chiara Key-Governance (diritti di accesso, autorizzazioni, escalation),
  • la separazione tra i patrimoni dei clienti e i patrimoni propri,
  • principi dei quattro occhi e meccanismi di controllo solidi,
  • concetti di emergenza, guasto e uscita,
  • norme contrattuali chiare e applicabili in caso di outsourcing.
Perché questa circolare?

La FINMA reagisce a una serie di peculiarità strutturali delle cripto-attività:

  • Le transazioni sono irreversibili
  • Gli errori portano direttamente a perdite totali
  • Mancano meccanismi di ripristino o di garanzia
  • Gli errori di governance hanno un impatto immediato
  • Le strutture di custodia internazionali aumentano i rischi legali e di insolvenza

Dal punto di vista della vigilanza, questi fattori si traducono in un aumento del rischio operativo, che può essere gestito solo attraverso un'organizzazione pulita, una chiara responsabilità e controlli efficaci.

Aspetto temporale dell'attuazione

La circolare non contiene un termine fisso, ma segue una chiara logica di aspettativa:

A breve termine (0–3 mesi), entro fine marzo 2026:

  • Presa di conoscenza da parte del consiglio di amministrazione e della direzione
  • Analisi dell'impatto e delle lacune
  • valutazione documentata dei rischi e del modello

A medio termine (3–9 mesi) da marzo a settembre 2026:

  • Adeguamento della governance, delle policy e delle direttive
  • Revisione delle strutture di custodia e di outsourcing
  • affinamenti contrattuali e organizzativi

A lungo termine (9–18 mesi) da settembre 2026 a giugno 2027:

  • strutture completamente implementate e testate
  • Integrazione in Risk, Compliance, LRD e Revisione
  • architettura complessiva a prova di vigilanza
Cosa significa questo per gli operatori di mercato?

Sono interessate in particolare banche, società di intermediazione mobiliare, gestori patrimoniali, FinTech e altri istituti vigilati con riferimento alle criptovalute.

Per questi vale quanto segue:

  • I modelli di business crypto devono essere giustificati e documentati a livello di vigilanza
  • I progetti pilota o di test non sono automaticamente privilegiati
  • L'auto-custodia di solito non è un'opzione realistica per gli istituti
  • L'outsourcing aumenta i requisiti di governance e controllo
Impatto sui requisiti di conformità

La compliance diventa una funzione di controllo centrale per le attività crypto:

  • Integrazione dei processi crypto nei framework di compliance esistenti
  • ruoli, responsabilità e percorsi di escalation chiari
  • applicazione completa degli obblighi LRD
  • maggiori requisiti di documentazione e tracciabilità
  • stretta interconnessione tra Compliance, Risk, Legal e IT

La crypto-compliance non è quindi un add-on, bensì parte dell'organizzazione centrale.

Perché VELAW è l'indirizzo giusto

La vera sfida in relazione alla circolare FINMA 2026/1 non risiede nella lettura o nella comprensione del testo, bensì nella sua implementazione coerente, a prova di vigilanza e di revisione. Proprio qui si dimostra in pratica che molte iniziative crypto falliscono meno a causa della tecnologia che a causa di una governance poco chiara, di un'organizzazione insufficiente o di una mancanza di integrazione normativa.

VELAW fornisce consulenza a istituti finanziari, FinTech e fornitori di servizi crypto da anni all'intersezione tra diritto dei mercati finanziari, compliance, governance e tecnologia. Il nostro punto di forza risiede nel non interpretare astrattamente i requisiti normativi, bensì nel tradurli in strutture praticabili, solide e conformi alla FINMA, che funzionano nella pratica operativa quotidiana e resistono al dialogo di vigilanza.

Accompagniamo i nostri clienti in particolare in:

  • la classificazione e il posizionamento dei modelli di business crypto dal punto di vista del diritto di vigilanza,
  • la progettazione di strutture di custodia, Custody e Key-Governance solide,
  • la protezione giuridica e organizzativa dei modelli di outsourcing,
  • la preparazione a revisioni, colloqui di vigilanza e sviluppi normativi.

Checklist FINMA-Readiness 2026/1

Come approccio pratico, lavoriamo con una checklist FINMA-Readiness. Questa serve come determinazione strutturata della posizione per gli istituti con riferimento alle criptovalute e mostra in che misura l'organizzazione, la governance e la custodia soddisfano le aspettative della circolare 2026/1 e dove esiste un'esigenza concreta di intervento.

La checklist copre, tra l'altro, le seguenti aree tematiche:

  • classificazione del modello di business dal punto di vista del diritto di vigilanza,
  • responsabilità del consiglio di amministrazione e della direzione,
  • strutture di Custody e Key-Management,
  • Outsourcing e controllo di fornitori terzi,
  • Integrazione in Compliance, Risk Management e LRD.

Molti istituti utilizzano questa determinazione della posizione come base per decisioni strategiche, per la preparazione di revisioni o come punto di partenza per il dialogo strutturato con la FINMA.

Desiderate posizionare il vostro modello di business crypto in modo pulito dal punto di vista del diritto di vigilanza alla luce della circolare FINMA 2026/1?

VELAW supporta i fornitori di servizi finanziari nella classificazione e nell'attuazione dei requisiti normativi all'intersezione tra diritto dei mercati finanziari, compliance e tecnologia.

Ulteriori informazioni sono disponibili su www.velaw.ch oppure contattateci all'indirizzo info@velaw.ch.

Ganz unverbindlich

Wir sind für Sie da

Senza impegno

Siamo a vostra disposizione