[Крипто-огляд Канг Рьон Хо] Удосконалення регуляторної системи для операторів віртуальних активів та практичні відповіді

[Блокмедіа = адвокат Канг Рьон Хо] Нещодавнє внесення змін до постанови та підзаконних актів Закону про звітність та використання інформації про специфічні фінансові транзакції (Закон про специфічну фінансову інформацію) стане важливим кроком у вдосконаленні системи боротьби з відмиванням грошей (AML) для вітчизняних операторів віртуальних активів.

Досі регулювання вітчизняних операторів віртуальних активів зосереджувалося на створенні базової системи AML, включаючи реєстрацію операторів, перевірку клієнтів, звітність про підозрілі транзакції та правило подорожей. Однак ці зміни виходять за межі простого доповнення існуючих регуляцій, розширюючи обсяг регулювання з моменту входження операторів на ринок до управління контрагентами під час операцій, внутрішнього контролю та постійного нагляду.

Зокрема, значення цих змін можна розглядати з чотирьох основних аспектів. По-перше, реєстрація операторів віртуальних активів перетворюється з формальної процедури реєстрації на реальний процес перевірки входження. По-друге, правило подорожей, яке раніше обмежувалося транзакціями вище певної суми, тепер фактично поширюється на всі транзакції.

По-третє, впроваджується ризик-орієнтований підхід, що дозволяє змінювати межі дозволених транзакцій залежно від ризику контрагентів, включаючи закордонних операторів віртуальних активів та особисті гаманці. По-четверте, в процесі перевірки реєстрації та подальшого контролю посилюється ефективність нагляду не лише за системою AML, а й за фінансовою стійкістю, організацією, персоналом, комп'ютерним обладнанням та внутрішніми контрольними системами.

Ця регуляторна спрямованість може бути позитивно оцінена як необхідний захід для ефективної блокади відмивання грошей та переміщення незаконних коштів через віртуальні активи. Однак з підвищенням рівня регулювання можуть виникнути нові практичні проблеми, такі як чіткість законодавства, реальна можливість дотримання з боку операторів, критерії оцінки закордонних контрагентів та захист персональних даних.

Отже, майбутні завдання полягають не лише в посиленні регулювання, а й у встановленні конкретних стандартів та методів роботи, щоб посилене регулювання могло передбачувано та послідовно діяти на ринку.

Від формальної реєстрації до реальної перевірки входження

Однією з найбільш помітних змін у цих змінах є те, що характер реєстрації операторів віртуальних активів фактично переходить від формальної процедури реєстрації до реального процесу перевірки входження.

Раніше перевірка вимог реєстрації зосереджувалася на кримінальному минулому представників та керівників, тоді як у нових законодавчих актах вводиться новий етап перевірки кваліфікації для великих акціонерів, а також значно розширюється обсяг перевірки.

Зокрема, не лише максимальний акціонер, а й акціонери, які призначають більшість директорів або генерального директора, а також максимальний акціонер, якщо він є юридичною особою, можуть бути включені до обсягу перевірки, що відображає намір перевірити не лише формальну структуру акціонерів, а й реальну структуру управління та прийняття рішень.

Ця зміна є позитивною з точки зору забезпечення здоров'я операторів віртуальних активів. Щоб запобігти використанню операторів для відмивання грошей або незаконних транзакцій, важливо перевірити не лише систему AML самого оператора, а й осіб, які фактично контролюють оператора.

Однак, з точки зору юридичної форми реєстрації, може виникнути необхідність у подальшому обговоренні доцільності вимагати від великих акціонерів фактично рівня кваліфікаційних вимог, подібного до ліцензування у фінансовій сфері. Особливо враховуючи можливість того, що бізнес віртуальних активів може згодом поєднатися з традиційними фінансовими послугами, можна зрозуміти, що фінансові регулятори обрали високий рівень жорсткості регулювання, але також необхідно розглянути узгодженість між системами регулювання реєстрації та ліцензування.

У цьому контексті варто зазначити, що в процесі внесення змін були частково пом'якшені підстави для недопуску великих акціонерів. Наприклад, у випадках, коли особа була покарана відповідно до правил про спільну відповідальність або коли голова фінансової інформаційної служби визнає, що ступінь порушення є незначним, це не буде автоматично вважатися підставою для недопуску, що може бути оцінено як врахування проблеми, що надмірно суворі вимоги до кваліфікації великих акціонерів можуть ускладнити нормальний вхід на ринок або продовження діяльності для звичайних операторів.

Ще однією важливою зміною є те, що об'єктом перевірки реєстрації стає не лише просте подання документів, а й реальні можливості оператора. Згідно з новими інструкціями щодо реєстрації, адекватність організації та персоналу, відповідальних за роботу з AML, комплаєнс-менеджера та відповідального за звітність, незалежної системи аудиту можуть стати реальними об'єктами перевірки. Комп'ютерне обладнання також може бути перевірене не лише на наявність системи, а й на розташування обладнання, що обробляє персональні дані.

Таким чином, у майбутньому реєстрація або оновлення реєстрації вже не може бути зрозуміла лише як адміністративна процедура подання необхідних документів. Оператори повинні бути здатні пояснити та довести наглядовим органам, що їхня структура управління, фінансовий стан, система AML та внутрішні контрольні системи дійсно функціонують нормально.

Це може стати значним тягарем і для існуючих операторів. Особливо в умовах, коли багато операторів не відповідають вимозі щодо співвідношення боргу до капіталу нижче 200%, може знадобитися структурна реакція, така як збільшення капіталу, розширення капіталу, злиття та поглинання. Тому операторам слід підходити до виконання вимог не в останній момент перед термінами оновлення реєстрації, а постійно управляти своїми фінансовими, організаційними, AML, IT та внутрішніми контрольними системами.

Повне розширення правила подорожей та блокування ухилення від регулювання

Другою важливою зміною є повне розширення застосування правила подорожей.

Раніше інформація про відправників та отримувачів надавалася лише для транзакцій між зареєстрованими операторами віртуальних активів, які перевищували певну суму. Однак у нових змінах ця грошова межа скасована, і тепер правило подорожей застосовується до всіх транзакцій.

Це має значне значення з точки зору боротьби з відмиванням грошей. Раніше існуюча грошова межа могла дозволити обійти регулювання шляхом розподілу транзакцій на кілька частин, щоб залишитися нижче межі. Особливо, оскільки були підтверджені випадки повторних малих транзакцій з незареєстрованими операторами, можна вважати, що залишення транзакцій нижче певної суми поза регулюванням є обмеженням з точки зору боротьби з відмиванням грошей.

Обов'язки отримувачів віртуальних активів також посилюються. Отримувачі повинні мати систему, яка дозволяє запитувати інформацію у відправника, якщо під час транзакції відсутня необхідна інформація, і можуть відмовитися від транзакції, якщо необхідна інформація не надається. Це можна оцінити як захід, що перетворює правило подорожей з простого обов'язку надання інформації на механізм контролю транзакцій між операторами.

Однак, якщо правило подорожей застосовується до всіх транзакцій, навантаження на системи та операції операторів неминуче зросте. Операторам з великою кількістю транзакцій доведеться в реальному часі передавати та перевіряти інформацію навіть для малих та частих транзакцій, що вимагатиме значних інвестицій в IT-інфраструктуру та персонал. Більше того, якщо нормальні транзакції будуть відхилені через помилки або пропуски інформації, це може призвести до незручностей для користувачів або конфліктів між операторами та користувачами.

Отже, для успішного впровадження розширення правила подорожей необхідно розробити не лише розширення регулювання, а й практичні операційні стандарти. Стандартизація формату даних між операторами та створення процедур для виправлення помилок або пропусків інформації є типовими завданнями. Набагато розумніше створити поетапну систему реагування, яка включає додаткову перевірку, запит на доповнення та затримку транзакцій, залежно від рівня ризику та ступеня помилки, ніж відмовляти у всіх транзакціях лише через відсутність інформації.

Зрештою, повне розширення правила подорожей є заходом, що підвищує рівень AML регулювання в Україні до міжнародного рівня, тому необхідно враховувати не лише жорсткість регулювання, а й взаємодію системи, яка дозволяє операторам стабільно виконувати ці вимоги, а також можливість дотримання.

Протягом тривалого часу система AML (анти-відмивання грошей) вітчизняних операторів розвивалася переважно на основі угод між вітчизняними користувачами та вітчизняними зареєстрованими бізнесами з віртуальних активів. Однак, через специфіку торгівлі віртуальними активами, користувачі можуть вільно переміщувати свої активи через кордони до закордонних бірж або особистих гаманців, що створює структурні обмеження для AML-регулювання, яке орієнтоване лише на вітчизняних операторів.

Ці зміни прийняті для вирішення цієї проблеми шляхом впровадження ризик-орієнтованого підходу, який диференціює можливості торгівлі залежно від ризику контрагента, замість того, щоб однозначно дозволяти або забороняти всі закордонні біржі та особисті гаманці.

Торгівля з низькоризиковими закордонними VASP (постачальниками послуг віртуальних активів) дозволена, в той час як для інших закордонних VASP або особистих гаманців встановлюються певні умови, а для високоризикових контрагентів торгівля обмежується або забороняється. Оператори повинні створити та експлуатувати власну систему моніторингу підозрілих угод для транзакцій певного обсягу, що підвищить відповідальність не лише за саму угоду, але й за моніторинг після угоди.

Цей підхід також відповідає основним напрямкам міжнародного AML-регулювання. Більш розумно оцінювати ризик контрагента, враховуючи регуляторне середовище, рівень AML, процедури перевірки клієнтів, системи моніторингу угод, а також історію санкцій та нагляду, ніж ставитися до всіх контрагентів однаково.

Однак для того, щоб ризик-орієнтований підхід працював на ринку, необхідно чітко визначити, "хто" оцінює ризик і "які критерії" використовуються для класифікації закордонних операторів.

Наприклад, якщо вітчизняні оператори повинні самостійно оцінювати ризик закордонних бірж, це може призвести до застосування різних критеріїв оцінки. З іншого боку, якщо регулятор призначає закордонні біржі для торгівлі за принципом білого списку, це може зменшити сенс ризик-орієнтованого підходу, який передбачає самостійну оцінку ризику оператора.

Отже, найкращим варіантом буде, якщо регулятор надасть спільні мінімальні критерії та фактори для оцінки закордонних VASP, а оператори на основі цього проведуть власну оцінку ризику, що відповідає їхнім клієнтам та характеристикам угод. Наприклад, можна запропонувати спільні критерії для оцінки, чи є закордонний VASP легально регульованим у певній країні, чи відповідає AML-система цієї країни міжнародним стандартам, чи адекватно здійснюються процедури перевірки клієнтів та моніторингу угод, чи були в минулому санкції або проблеми з наглядом.

У випадку особистих гаманців необхідний ще більш уважний підхід. На відміну від централізованих операторів, важко безпосередньо перевірити особу контрагента або його AML-систему. Тому необхідно оцінювати ризик, враховуючи не лише те, що це особистий гаманець, а й обсяги угод, історію угод клієнта, джерела коштів, а також потоки угод у блокчейні та ознаки аномальних угод.

Врешті-решт, ці зміни мають велике значення, оскільки вони надають віртуальним активним операторам відповідальність не лише за "які угоди проводити", а й за "з ким проводити угоди" та управляти обґрунтуванням своїх рішень.

Умови успіху посилення регулювання

Кінцевий успіх цих змін не визначається лише рівнем регулювання в законодавстві. Набагато важливіше, чи можуть оператори передбачити зміст регулювання та дійсно дотримуватися його, а також чи можуть регулятори виконувати його на основі послідовних і розумних критеріїв.

По-перше, необхідно поступове впровадження з використанням періоду відстрочки. Для існуючих операторів передбачено річний період відстрочки для певних вимог, пов'язаних з фінансовим станом, організацією, персоналом, комп'ютерним обладнанням та внутрішньою системою контролю. Однак цей період відстрочки слід розуміти не як виключення застосування вимог на рік, а як відстрочку моменту застосування санкцій, таких як анулювання або скасування ліцензії через невиконання вимог.

Тому оператори повинні не затягувати з реагуванням через наявність періоду відстрочки, а перевірити свою поточну систему та поступово вжити необхідних заходів для покращення. Особливо важливо рано розробити план покращення для таких областей, як організація та персонал, AML-система, внутрішній аудит, IT та система захисту інформації, оскільки їх важко створити за короткий час.

По-друге, необхідно змінити сприйняття щодо змін у звітуванні та постійного управління. Якщо певні зміни, пов'язані з великими акціонерами або системою дотримання законодавства, переходять від постфактумного звітування до попереднього, то зміни в структурі управління або основних внутрішніх контрольних системах більше не можуть розглядатися лише як внутрішнє управлінське рішення компанії. Оператори повинні перевіряти, чи виникає обов'язок звітування з моменту прийняття основних управлінських рішень, і, за необхідності, проводити попереднє спілкування з регуляторами.

По-третє, регулятори повинні постійно надавати конкретні тлумачення та рекомендації. Особливо класифікація ризиків закордонних VASP, угоди з особистими гаманцями, обробка помилок інформації за правилами подорожі, розташування комп'ютерного обладнання в країні тощо є сферами, де операторам важко приймати послідовні рішення лише на основі абстрактних положень закону. Якщо регулятори накопичать детальні критерії оцінки та приклади та поділяться ними з ринком, це може значно зменшити невизначеність регулювання для операторів.

По-четверте, важливо знайти баланс між захистом персональних даних та AML-регулюванням. Розширення правил подорожі та посилення перевірки інформації щодо закордонних угод підвищують ефективність запобігання відмиванню грошей, але також розширюють обсяги збору, використання та надання інформації про угоди та персональні дані. Особливо під час обміну інформацією з закордонними VASP може знадобитися окремий юридичний аналіз щодо передачі персональних даних за кордон та рівня захисту інформації. Тому важливо пам'ятати, що збір та надання інформації не можуть бути безмежно дозволені лише з метою AML.

Реакція операторів віртуальних активів: Від AML до всебічного внутрішнього контролю

Ці зміни вимагають від операторів віртуальних активів не лише простого реагування на регуляцію AML, а й створення всебічної системи управління регулюванням.

У майбутньому операторам потрібно буде створити інтегровану систему реагування, в якій братимуть участь не лише юридичні та комплаєнс-відділи, а й AML, IT, захист інформації, фінанси, внутрішній аудит та керівництво. Оскільки важливо, щоб матеріали, що подаються під час процесу звітування та поновлення, відповідали фактичному стану роботи операторів, необхідно постійно перевіряти розбіжності між внутрішніми правилами та фактичними робочими процесами.

Крім того, необхідно заздалегідь створити систему оцінки ризиків для угод з закордонними VASP та особистими гаманцями. Критерії оцінки регуляторного статусу контрагентів та AML-системи повинні бути задокументовані, а після дозволу угод також повинна бути створена система регулярної повторної оцінки ризиків. Це може стати важливим обґрунтуванням для пояснення, що рішення оператора було розумним під час перевірок або санкцій регулятора.

Правила подорожі також не можуть бути достатніми лише для впровадження системи. Необхідно класифікувати типи помилок, які виникають під час процесу обміну інформацією, і розробити конкретні робочі процедури, такі як затримка угоди або запит додаткової інформації у разі виникнення помилок. Крім того, необхідно посилити зв'язок між функціями IT та AML, проводячи оцінку впливу AML під час змін системи або впровадження нових типів угод.