«Вхід у MiCA» — що саме перевіряє регулятор на етапі авторизації

Регламент Європейського Союзу про ринки криптоактивів (Markets in Crypto-Assets Regulation, MiCA) встановлює єдину правову рамку для діяльності постачальників послуг з криптоактивами (Crypto-Asset Service Providers, CASPs) на території ЄС.

Перехід до MiCA — це не оновлення пакета документів. Це глибока організаційна трансформація.  

Метою цієї статті є узагальнення:

• ключових регуляторних вимог MiCA, що застосовуються до CASP;
• функціональних обов’язків таких суб’єктів у сфері комплаєнсу, управління ризиками, захисту клієнтів та фінансової стабільності;
• взаємозв’язку між ліцензійними вимогами, операційними процесами та ІТ-функціональністю.

Типові сірі зони: планування капіталу та методологія власних коштів, контроль щодо належної поведінки на ринку (conduct of business), обробка скарг і механізми відшкодування, системи управління конфліктами інтересів, управління розкриттям інформації.

Раннє приведення у відповідність дозволяє уникнути операційних шоків під час переходу до режиму MiCA.

Ця стаття орієнтована на криптоплатформи, фінансові установи, фінтех-компанії, юридичних та комплаєнс-фахівців, які планують отримання статусу CASP або приведення своєї діяльності у відповідність до вимог MiCA.

MiCA створює гармонізовану систему регулювання для всіх держав-членів Європейського Союзу та замінює фрагментовані національні режими єдиним ліцензійним паспортом. Регламент встановлює: вимоги до капіталу, вимоги до корпоративного управління, правила захисту активів клієнтів, вимоги з протидії відмиванню коштів (AML) та ідентифікації клієнтів (KYC), обов’язки щодо операційної стійкості, правила прозорості та розкриття інформації. 

CASP, що отримав ліцензію в одній державі-члені ЄС, має право на надання послуг на всій території ЄС за принципом єдиного паспорта (passporting) без необхідності повторного ліцензування шляхом повідомлення регулятора про намір здійснювати транскордонну діяльність.

MiCA визначає вичерпний перелік видів діяльності, які вважаються послугами з криптоактивами:

1. Зберігання та адміністрування криптоактивів від імені клієнтів (custody and administration of crypto-assets on behalf of clients), включно з контролем приватних ключів.
2. Управління торговельною платформою для криптоактивів (operation of a trading platform for crypto-assets).
3. Обмін криптоактивів на фіатні кошти (exchange of crypto-assets for funds).
4. Обмін криптоактивів на інші криптоактиви (exchange of crypto-assets for other crypto-assets).
5. Виконання ордерів на криптоактиви від імені клієнтів (execution of orders for crypto-assets on behalf of clients).
6. Розміщення криптоактивів (placement of crypto-assets).
7. Передача ордерів на криптоактиви (reception and transmission of orders for crypto-assets).
8. Надання консультацій щодо криптоактивів (advice on crypto-assets).
9. Надання послуг з управління портфелем криптоактивів (portfolio management of crypto-assets).
10. Надання послуг з переказу криптоактивів від імені клієнтів (transfer services for crypto-assets on behalf of clients).

Суб’єкт вважається CASP, якщо він: здійснює будь-яку з наведених послуг професійно, на регулярній основі, з метою отримання економічної вигоди, для третіх осіб, в межах території ЄС або з орієнтацією на клієнтів ЄС. Надання хоча б однієї з таких послуг без ліцензії CASP забороняється та тягне за собою регуляторну й адміністративну відповідальність.

Відповідно до Регламенту MiCA, будь-яка особа, яка має намір надавати послуги з криптоактивами в межах Європейського Союзу, зобов’язана: отримати попередню авторизацію як Crypto-Asset Service Provider (CASP), бути зареєстрованою у компетентному органі держави-члена, дотримуватися всіх пруденційних, організаційних та операційних вимог. 

Заява на отримання статусу CASP подається до національного компетентного органу (National Competent Authority, NCA) тієї держави-члена, де заявник: має зареєстрований офіс, здійснює основну діяльність, розміщує керівний орган (head office).

Зміст ліцензійної заявки

Заявник зобов’язаний подати розширений пакет документів, який включає, зокрема:

1. Програму діяльності, що містить: перелік запланованих послуг з криптоактивами, бізнес-модель, цільові ринки та клієнтські сегменти.
2. Опис системи корпоративного управління, включно з: органами управління, розподілом повноважень, внутрішніми політиками та процедурами.
3. Політики комплаєнсу та внутрішнього контролю: AML/CFT, управління конфліктами інтересів, управління ризиками, обробка скарг клієнтів.
4. Опис ІТ-систем та операційної інфраструктури, зокрема: заходи кібербезпеки, безперервність бізнесу, захист даних, резервне копіювання та відновлення.
5. Фінансову інформацію, що підтверджує: достатність власних коштів, джерела капіталу, фінансову стійкість.

Вимоги до керівництва (Fit & Proper)

Члени правління та ключові функціонери CASP повинні:

• мати бездоганну ділову репутацію;
• володіти достатнім професійним досвідом;
• не мати судимостей за фінансові злочини;
• відповідати критеріям компетентності та надійності.

Регулятор має право відмовити в авторизації або відкликати ліцензію, якщо ці вимоги не виконуються. Кваліфікація персоналу є для регулятора повноцінним елементом системи комплаєнсу і оцінюється через релевантність навчання, розуміння процедур та здатність здійснювати ескалацію ризиків. Непідготовлені співробітники зводять нанівець навіть формально правильно побудовані політики та системи контролю. Регулятор приділяє особливу увагу ознакам поступового послаблення системи внутрішнього контролю, яке може виникати внаслідок стрімкого зростання компанії, високої плинності кадрів або посиленого комерційного тиску. Системне зниження ефективності контрольних функцій з боку ключових співробітників з часом розглядається як індикатор недоліків корпоративного управління та зрілості системи комплаєнсу.

Пруденційні вимоги до CASP: власні кошти, капітал, страхування, фінансова стійкість

Регламент MiCA встановлює обов’язок для CASP постійно підтримувати достатній рівень власних коштів з метою: захисту клієнтів, забезпечення безперервності діяльності, покриття операційних і правових ризиків, зниження системних ризиків для фінансового ринку. Розмір мінімального капіталу залежить від виду наданих послуг.

CASP зобов’язані мати початковий капітал у розмірі не менше: 50 000 євро – для надання консультацій та приймання/передачі ордерів; 125 000 євро – для виконання ордерів, розміщення токенів, управління портфелями; 150 000 євро – для зберігання та адміністрування криптоактивів, управління торговельними платформами, обміну криптоактивів на фіат або інші криптоактиви.

Ці суми є мінімальними та можуть бути збільшені регулятором залежно від масштабу діяльності, ризикового профілю та обсягу операцій. Мінімальний розмір капіталу – це лише базовий поріг, а не запас міцності. Регулятори дедалі більше оцінюють, чи відповідає планування капіталу реальному ризиковому профілю бізнесу, а не лише формальним законодавчим мінімумам. Капітал аналізується з урахуванням: зростання обсягів транзакцій, рівня кастодіальної експозиції, складності технологічної інфраструктури, масштабування персоналу, здатності покривати витрати на відновлення після інцидентів. Зменшення капіталу внаслідок операційних збитків або неконтрольованого зростання витрат викликає занепокоєння регулятора навіть тоді, коли формальні нормативи мінімального капіталу все ще дотримані. Регулятори очікують наявності прогнозної фінансової логіки: реалістичні прогнози постійних операційних витрат, консервативні припущення щодо доходів, стрес-сценарії на випадок скорочення ринку, спроможність фінансувати комплаєнс та кібербезпеку навіть в умовах фінансового тиску. Компанії, які не можуть переконливо пояснити, за рахунок чого вони зберігатимуть платоспроможність під час ринкового спаду, розглядаються регулятором як структурно вразливі.

Окрім початкового капіталу, CASP повинні постійно підтримувати власні кошти на рівні не нижче більшої з таких величин:

• фіксованого мінімального порогу, визначеного для відповідного виду послуг;
• частки від річних операційних витрат (зазвичай ¼ від попереднього року).

Замість частини капіталу або додатково до нього CASP може бути зобов’язаний мати: договір професійного страхування або іншу порівняльну гарантію, що покриває: шкоду, завдану клієнтам, помилки персоналу, технічні збої, порушення обов’язків зберігання активів.

Авторизація CASP за MiCA — це лише перший рубіж. Ліцензія підтверджує, що модель виглядає контрольованою на папері. Але справжня перевірка починається після старту операцій: коли політики мають працювати в процесах, ІТ-системах, звітності та щоденному прийнятті рішень. У наступній статті розберу, як саме регулятор оцінює «живу» систему контролів — від сегрегації активів і Travel Rule до DORA, audit trail та маркетингових комунікацій.