SR 946.231.08 corre sul binario ONU 1267, non su quello che rispecchia la lista UE su cui sono costruiti la maggior parte dei desk sanzioni — il che significa che un nominativo diventa vincolante in Svizzera nel momento stesso in cui il comitato ONU lo inserisce in lista, punto, senza alcuna ordinanza del Consiglio federale nel mezzo. Ne avevamo scritto a maggio, esattamente di questa lacuna: i team che effettuano lo screening sulla lista consolidata UE e trattano la Svizzera come uno specchio a valle perdono per costruzione, non per errore, gli inserimenti sul binario ONU. Questa è la seconda modifica allo stesso allegato da aprile. Se la cadenza di aggiornamento del vostro fornitore di screening è mensile, avete già avuto una lacuna.

Il DEFR ha modificato gli allegati 12 e 14 dell'ordinanza sull'Iran del 12 dicembre 2025 — la revisione totale che, come avevamo riportato a suo tempo, ha sostituito integralmente il quadro pre-Vienna. Si tratta di manutenzione ordinaria del nuovo regime, non di un cambio di politica. Degno di nota solo perché conferma che la nuova ordinanza viene mantenuta attivamente aggiornata, a differenza della precedente, che è rimasta ferma per lunghi periodi. Non lasciate che le vostre regole di screening sull'Iran tornino per abitudine alla vecchia numerazione degli allegati.

Oltre a ISIL e Iran, questo periodo ha portato anche aggiornamenti alla lista talebana (SR 946.231.07, metà aprile) e, circa due mesi dopo, all'allegato 2 dell'ordinanza sul Sudan (SR 946.231.18, 4 giugno) e all'allegato 8 dell'ordinanza sulla Russia (SR 946.231.176.72, 15 giugno). Le modifiche su Sudan e Russia sono arrivate nell'arco della stessa quindicina — è questo abbinamento, non un pacchetto di quattro strumenti, il vero segnale: DEFR e SECO hanno fatto passare due regimi attivi nello stesso ciclo, uno dopo l'altro. Un presunto quarto aggiornamento, alla lista consolidata ai sensi dell'ordinanza del 10 aprile 2024 (SR 946.231.09), non abbiamo potuto confermarlo per questo periodo — l'unica modifica del 2026 registrata per questo strumento risale al 18 febbraio, quindi resta fuori dal conteggio invece di essere ripetuta sulla fiducia. Se il vostro team compliance aggiorna le liste di screening un regime alla volta man mano che escono le notizie, l'abbinamento Sudan/Russia è il promemoria per eseguire invece un aggiornamento collettivo anziché attendere la prossima notizia.

La revisione parziale dell'OARA-FINMA è andata in consultazione il 12 maggio e la finestra si è chiusa il 9 giugno. Avevamo segnalato a suo tempo che "nessun nuovo obbligo" sminuiva tre clausole che silenziosamente spostano l'onere della prova sulla trasparenza della titolarità effettiva. La FINMA non ha ancora pubblicato una risposta ai commenti. Se avete inviato osservazioni durante la finestra, questo è il momento di verificare se sono state recepite — le risposte alle consultazioni di queste dimensioni emergono tipicamente entro otto-dieci settimane, il che colloca una versione pubblicata intorno a metà agosto.

Il messaggio adottato dal Consiglio federale il 22 aprile passa la riforma TBTF nelle mani del Parlamento, e la dichiarazione di benvenuto della FINMA suona più calorosa di quanto la sostanza giustifichi — il regolatore stesso ha segnalato, come abbiamo dettagliato sia nell'analisi del messaggio sia nel pezzo più ampio sul TBTF, che capitale, responsabilità e strumenti di vigilanza nel disegno di legge restano ancora al di sotto di quanto richiesto dalla FINMA. Il disegno di legge è ora nelle mani delle commissioni. Tenete d'occhio il calendario della commissione economia del Consiglio nazionale per l'autunno — è lì che il numero sul capitale verrà negoziato voce per voce.

L'evento stampa del 21 aprile ha raggruppato il rapporto annuale 2025, il consuntivo enforcement e due discorsi — ma la comunicazione di vigilanza sulla frode digitale non ne faceva parte: la FINMA l'ha pubblicata come Aufsichtsmitteilung a sé stante dodici giorni prima, il 9 aprile. Abbiamo analizzato lo scarto tra il comunicato stampa e i documenti sottostanti in questo pezzo. Esiste anche una comunicazione separata sulla custodia crypto, la 01/2026, ma risale al 12 gennaio e non è nemmeno legata a questo evento — non archiviatela sotto la conferenza di aprile. Se il vostro responsabile compliance ha letto solo il comunicato stampa, ha letto il documento sbagliato, e ora sa quali altri documenti recuperare.

La comunicazione di vigilanza 02/2026 non sceglie una corsia sola: la FINMA collega esplicitamente la frode digitale sia alla gestione del rischio operativo ai sensi dell'art. 12 OBCR sia agli obblighi antiriciclaggio ai sensi dell'art. 9 LRD, con identificazione online e governance istituzionale nello stesso documento del rilevamento delle frodi. Questo conta perché abbiamo sostenuto che la frode è un reato presupposto del riciclaggio ai sensi dell'art. 146 CP — la comunicazione ora conferma che la FINMA la legge allo stesso modo, invece di archiviare la frode puramente come un problema operativo. Due angolature da leggere insieme: dove si colloca la comunicazione nel quadro del rischio operativo e perché i vostri KPI sulla frode appartengono comunque al board compliance. La lettura pratica per il vostro organigramma: non lasciate che questo ricada esclusivamente sul risk IT o esclusivamente sull'MLRO — la comunicazione si aspetta che entrambe le funzioni lavorino sugli stessi dati sulla frode, non che se li scambino attraverso un muro.

L'ordine di liquidazione della FINMA contro MBaer è diventato definitivo non perché un tribunale lo abbia confermato, ma perché MBaer ha ritirato il proprio ricorso il 27 febbraio 2026 — un giorno dopo che la designazione della banca da parte del FinCEN è arrivata a Washington. Il procedimento svizzero non è mai giunto a una decisione nel merito; l'azione statunitense ha reso il ricorso privo di oggetto prima che il tribunale dovesse decidere alcunché. Abbiamo trattato la sequenza qui. La lezione per chiunque abbia una relazione di corrispondenza bancaria con gli USA vale a prescindere dall'esito: un ricorso svizzero vi compra tempo in Svizzera. Non vi compra nulla a Washington — e qui non ha nemmeno comprato molto tempo, solo un giorno.

La sentenza del BVGer nel caso A-5373/2020, del 13 ottobre 2021, è quella che a maggio avevamo definito una linea di demarcazione quinquennale — ma il meccanismo era la classificazione del servizio, non un test di proporzionalità. Il tribunale ha stabilito che ProtonMail è un fornitore di servizi di comunicazione derivati (AAKD), non un fornitore di servizi di telecomunicazione (FDA), e che è questa classificazione a restringere i suoi obblighi di sorveglianza ai sensi della LSCPT. L'argomentazione completa qui. Il motivo per cui torna ora sul tavolo, e non viene archiviata come giurisprudenza di cinque anni fa, è l'attuale consultazione sull'OSCPT — Berna sta rivedendo esattamente le linee di categoria tracciate da questa sentenza. Se gestite un prodotto di comunicazione domiciliato in Svizzera e non avete ancora mappato in quale categoria OSCPT rientrate, questa consultazione è il motivo per farlo ora, non dopo che una richiesta arriva sulla vostra scrivania.

La domanda impostata risponde da sé una volta letto il fascicolo parlamentare: il "tocco leggero" era il marketing, e ciò che è emerso dalla commissione è un vero e proprio filtro. Abbiamo analizzato dove si trova il rischio reale — nel term sheet, non nel memorandum di chiusura. Se una controparte a controllo estero è nella vostra cap table o nella vostra pipeline di acquisizioni, questa smette di essere una storia da pagina di policy nel giro dei prossimi due trimestri.

Due domande, un solo fascicolo. Il pezzo di Swissinfo sulla lacuna nell'enforcement si accompagna naturalmente all'eterna domanda "un Rolex è una tangente" — ed entrambe tornano alla stessa risposta che abbiamo dato in questo pezzo sull'art. 102 cpv. 2 CP: la lacuna sta nel programma di compliance, non nella norma. La Svizzera non manca di una legge contro la corruzione all'estero; le mancano organizzazioni in grado di dimostrare di aver cercato di prevenirla. E la domanda sulla soglia dei regali ha la stessa forma — l'art. 322septies CP non ha una cifra in franchi, solo un collegamento a un atto ufficiale. Se la vostra policy sui regali contiene un numero, quel numero svolge meno lavoro giuridico di quanto pensiate.

Oggi ne escono quattro e nessuno è di poco conto. Il Dr. von Tatzenberg su quando l'AML e lo scoring antifrode sconfinano in un modello di rischio penale vietato ai sensi dell'art. 5 par. 1 lett. d del Regolamento IA. Il sig. von Firn sulla scadenza del 30 giugno per la quota del 40% nei consigli di amministrazione ai sensi della Direttiva (UE) 2022/2381 — inclusa la filiale quotata nell'UE di un gruppo svizzero, la parte che tutti saltano. Di nuovo von Firn sul CBAM dal 1° gennaio 2026: le merci svizzere sono esenti, il venditore svizzero che agisce da importatore no. E la Dr.ssa von Tatzenberg sulla causa C-713/23, dove il coniuge nella vostra matrice di prestazioni smette di seguire il diritto civile nazionale sullo stato civile. Leggeteli man mano che escono.