La due diligence è il controllo che fai prima di affidare denaro, dati o ordini a un soggetto. Non consiste nel cercare recensioni positive: consiste nel confrontare informazioni indipendenti con ciò che la piattaforma dichiara.
In parole semplici — Devi dimostrare che il soggetto esiste, che può offrire proprio quel servizio e che stai parlando davvero con lui.
I cinque controlli
1. Entità legale
Leggi contratto, termini e informativa sul conto. Annota ragione sociale, paese, indirizzo e numero identificativo. Il marchio mostrato nell'app può essere usato da più società del gruppo con permessi e protezioni differenti.
2. Servizio e permesso
Parti dal sito dell'autorità competente e apri il registro ufficiale. Verifica che l'entità sia attiva e autorizzata per il servizio che userai: ricezione o esecuzione di ordini, negoziazione in conto proprio, custodia o altro. Essere presenti in un registro non significa poter offrire ogni prodotto in ogni paese.
3. Recapiti ufficiali
Confronta dominio, telefono, email e indirizzo con quelli pubblicati nel registro. Se differiscono, contatta l'impresa usando soltanto i recapiti ufficiali. Un clone può copiare nome, logo, numero di licenza e documenti di un'impresa autentica.
4. Custodia e protezioni
Chiedi chi tiene denaro e strumenti, come sono intestati i conti, quali sub-custodi intervengono e che cosa accade a prelievi o trasferimenti in caso di crisi. Protezione degli asset dei clienti distingue segregazione, custodia e indennizzo.
5. Stato e warning correnti
Cerca warning dell'autorità nazionale e, se l'offerta è transfrontaliera, consulta anche repertori come IOSCO I-SCAN. L'assenza da una warning list non prova legittimità: le liste non possono essere complete né istantanee.
Come leggere l'esito
La verifica non produce un bollino «sicuro». Produce un fascicolo di fatti: identità, perimetro autorizzato, canale autentico, struttura degli asset, condizioni contrattuali e stato osservato in una data precisa.
Un'incongruenza sull'identità, un permesso assente per il servizio proposto o recapiti incompatibili con il registro impediscono di concludere la verifica: non depositare finché non hai una risposta indipendente. Un rischio operativo o una protezione limitata richiedono invece una valutazione di esposizione, non un'accusa di frode.
Errore tipico — Cercare il marchio, trovare un nome simile in un registro e fermarsi. La corrispondenza deve riguardare entità, servizio, permesso, recapiti e data.
Esempio operativo
Una pubblicità rimanda a alpha-invest.example e mostra il numero di licenza
di «Alpha Investments Ltd». Nel registro l'impresa esiste, ma il dominio
ufficiale e il telefono sono diversi. Il controllo corretto è chiamare il
numero del registro e chiedere se quel dominio appartiene all'impresa. La sola
esistenza della licenza non autentica il sito della pubblicità.
La stessa logica vale per exchange, app crypto e consulenti. Cambiano il registro e le categorie giuridiche; non cambia la necessità di far coincidere entità, attività, giurisdizione e canale.
La verifica continua dopo l'apertura
Salva contratto, condizioni, policy di esecuzione e risultato del registro con la data del controllo. Riesamina cambi di entità contrattuale, dominio, autorizzazione, costi, custode, coordinate di pagamento o regole di prelievo. Il broker risk include anche continuità, routing, accesso agli asset e gestione dei reclami.
Per i crypto-asset nell'Unione europea, i regimi e i registri sono cambiati con MiCA. Il periodo transitorio massimo si è concluso il 1º luglio 2026; lo stato di un fornitore va quindi controllato nel registro aggiornato e presso l'autorità nazionale competente, senza riutilizzare vecchie affermazioni sul grandfathering.
Fonti
- ESMA — Is the firm regulated? — accesso ai registri delle autorità europee.
- ESMA — Markets in Crypto-Assets Regulation — registro MiCA e informazioni per operatori e investitori.
- ESMA — Statement on the end of transitional periods under MiCA — termine del periodo transitorio il 1º luglio 2026.
- FCA — How to check a firm or individual is authorised — controllo di permessi, stato, recapiti e clone.
- CFTC — Check Registration — verifica degli intermediari nei mercati regolati dalla CFTC.
- Investor.gov — Ask and Check — controlli indipendenti su professionista e investimento.
- IOSCO — I-SCAN — alert internazionali su soggetti non autorizzati e cloni; elenco non esaustivo.
Stato delle fonti variabili verificato il 18 agosto 2026. Registri, permessi e warning devono essere ricontrollati alla data della decisione.