MiCA lahti mõtestatud: miks reguleeriv asutus näeb teie vastavusmeeskonda üheainsa ajuina

MiCA Decoded on Bitcoin.com Newsile mõeldud 12-osaline nädalane artiklisari, mille kaasautorid on LegalBisoni asutajad ja tegevjuhid Aaron Glauberman, Viktor Juskin ja Sabir Alijev. LegalBison nõustab krüptovaluuta- ja finantstehnoloogiaettevõtteid MiCA litsentsimise, CASP- ja VASP-taotluste ning regulatiivse struktuuri küsimustes kogu Euroopas ja mujal.

Müüt: piisab compliance-ametniku teenuse sisseostmisest

Kui asutajad hakkavad planeerima krüptovara teenuste pakkujate (CASP) litsentsimist, jõuab vestlus peaaegu alati samasse punkti: „Kas me peame palkama vastavusjuhi?“
Mõnikord järgneb sellele küsimus: „Ja rahapesu teavitamise eest vastutava isiku (MLRO)? Kas see ongi kõik?“

Vastus mõlemale küsimusele on jaatav. Kuid nende kahe ametikoha täitmist lõppeesmärgina käsitlemine on kõige levinum ja tagajärgedega väärarusaam sellest, mida MiCA tegelikult compliance-funktsioonilt nõuab.
Reguleerivad asutused ei kontrolli, kas organisatsiooni skeemil on õiged ametinimetused. Nad hindavad, kas juhtorganil kui tervikul on teadmiste struktuur, struktuuriline sõltumatus ja dokumenteeritud tegevuse sügavus reguleeritud finantsasutuse juhtimiseks. MiCA litsentsi ei väljastata isikule. See väljastatakse organisatsioonile.

See eristus ongi põhjus, miks nii paljud varases staadiumis olevad taotlused takerduvad või vajavad märkimisväärset ümbertegemist, enne kui riiklik pädev asutus (NCA) annab loa.

Mida tähendab määruses tegelikult „kollektiivselt“

MiCA artikli 68 lõige 1 on selles punktis täpne. Juhtorgani liikmetel peab olema asjakohased teadmised, oskused ja kogemused „nii individuaalselt kui ka kollektiivselt”. See üks sõna, „kollektiivselt”, täidab olulist regulatiivset ülesannet.

EBA ja ESMA ühised suunised MiCA-aluste üksuste juhtorgani liikmete ja aktsionäride sobivuse kohta selgitavad selle standardi toimimist, loetledes konkreetsed kutsealase kogemuse valdkonnad, milles juhtorganil peab olema kogemus. LegalBisoni vanemjurist Eira Järvi on konkreetsed nõuded kokku võtnud allolevas tabelis.

ESMA suuniste analüüsimisel selgub, et juhtorgani ühine profiil peab tõendatavalt hõlmama kolme põhiteadmiste valdkonda, mis sisaldavad kõiki Eira poolt üksikasjalikult kirjeldatud valdkondi:

• Traditsioonilised finantsturud: regulatiivsed raamistikud, investorite kaitse kohustused, turukäitumise eeskirjad ja litsentseeritud finantsteenuste osutajatele kohaldatavad tegevusstandardid.
• Digitaalse raamatupidamise tehnoloogia (DLT) infrastruktuur ja küberturvalisus: plokiahela arhitektuur, protokollitasandi risk, nutilepingute riskid, küberturvalisuse ohumudelid ja konkreetsed operatiivsed nõrgad kohad, mis tulenevad plokiahela teenuste osutamisest.
• Äristrateegia ja organisatsiooni juhtimine: riskijuhtimise ülesehitus, sisekontrolli arhitektuur, juhtimispoliitika ning võime hinnata ja perioodiliselt läbi vaadata ettevõtte nõuetele vastavuse tõhusust.

Reguleeriv asutus ei eelda, et üks isik valdaks kõiki kolme valdkonda. Ootus, mis on vormistatud ESMA nõudega, et ettevõtted esitaksid hinnangu oma „kollektiivse sobivuse” kohta, on see, et meeskond tervikuna katab neid kõiki ilma oluliste lünkadeta.

Juhtorgan, mis koosneb täielikult traditsioonilise finantsvaldkonna taustaga isikutest, kellest keegi ei ole võimeline hindama DLT-infrastruktuuri riske, on struktuuriliselt puudulik juba enne taotluse esitamist.
Sama kehtib ka vastupidi: tehniliselt pädev krüptovaldkonna meeskond, kus keegi ei mõista reguleeritud finantsturgude toimimist, seisab silmitsi sama põhjaliku kontrolliga.

Ajakulu probleem, millest keegi ei räägi

Kollektiivse sobivuse standardil on teine kiht, mis tabab taotlejaid ootamatult.

Õiged inimesed peavad olema olemas praktikas, mitte ainult paberil. Iga juhtorgani liige peab kirjalikult dokumenteerima oma minimaalse ajakulu ettevõttele: täpsemalt hinnangu rollile pühendatud ajale (nii aastase kui ka kuise näitajaga), koos ametliku deklaratsiooniga kõigi teiste praegu täidetavate tegev- ja mitte-tegevjuhtide ametikohtade kohta.

ESMA loastamise regulatiivseid tehnilisi standardeid käsitlev eelnõu (mis põhineb esimesel konsultatsioonipaketil) on selles osas selgesõnaline. Hindamine hõlmab seda, kas iga isik on funktsionaalselt kohal, mitte ainult nimeliselt loetelus.

Mitte-tegevdirektor, kellel on neli muud juhatuse kohta ja kes täidab kahe täiendava ettevõtte nõuetele vastavuse nõustaja ülesandeid, satub otsese kontrolli alla. Riiklik pädev asutus peab olema veendunud, et juhtorgan suudab oma ülesandeid tegelikult täita, mitte ainult et taotluses on kirjas õiged nimed.

See on kõige olulisem varajases arengujärgus olevate krüptovaluutaettevõtete jaoks, kes kaasavad kogenud vastavusküsimustega tegelevaid isikuid osalise tööajaga või nõustajana, et tugevdada tegevusloa taotlust. Reguleeriv asutus vaatab täpselt, kui palju tunde kuus see isik pühendab, ja võrdleb seda arvu rolli ulatuse ja teenustega, mida ettevõte kavatseb osutada.
Vastutuse ja ajapühendumuse vaheline mittevastavus on ohumärk, mitte tehniline detail.

Sisekontrollifunktsioonid: struktuur on tähtsam kui ametinimetused

Kollektiivse sobivuse mõistmine juhtorgani tasandil on vaid osa tervikpildist. MiCA artikli 68 lõige 4 nõuab, et CASP-id võtaksid vastu poliitikad ja protseduurid, mis on „piisavalt tõhusad, et tagada nõuetele vastavus”. Artikli 68 lõige 5 nõuab, et ettevõtte igal tasandil oleksid töötajad, kellel on asjakohased teadmised. Artikli 68 lõige 6 nõuab, et juhtorgan vaataks perioodiliselt läbi nende meetmete tõhususe ja kõrvaldaks leitud puudused.

ESMA regulatiivse tehnilise standardi eelnõu läheb veelgi kaugemale. Selles nõutakse ettevõtetelt konkreetsete sisekontrollifunktsioonide kindlaksmääramist ja igaühe kohta järgmiste andmete dokumenteerimist:

• Aruandlusliin kulgeb otse juhtorganini.
• Kuidas funktsioon toimib sõltumatult ärivaldkonnast, mida ta järelevalve all hoiab.
• Kuidas funktsioon saab juhtorganiga ühendust võtta nii plaanipäraselt kui ka erakorralistel (ad hoc) juhtudel, kui avastatakse oluline nõuete täitmise risk.

Selle sisekontrolliraamistiku tuumiku moodustavad kolm funktsionaalset valdkonda:

• Järelevalvefunktsioon (regulatiivsed kohustused, käitumispõhimõtted, sisemised menetlused).
• Riskide hindamise funktsioon (riskide tuvastamine, hindamismetoodika, eskalatsiooniprotokollid).
• Siseauditi funktsioon (sõltumatu tõhususe hindamine, perioodiline hindamine).

Märkus: Rahapesu ja terrorismi rahastamise tõkestamise funktsioon ning äritegevuse jätkuvuse funktsioon on samuti volituse taotlemise kohustuslikud sambad, kuid ESMA käsitleb neid eraldiseisvate organisatsiooniliste nõuetena kõnealuse sisekontrolli raamistiku kõrval.
MiCA ei määra neid täpseid nimetusi alati 1. taseme tekstis. ESMA tehnilistes regulatiivsetes standardites on selgelt sätestatud, et neil sisekontrolli põhivaldkondadel peavad olema nimetatud vastutajad, dokumenteeritud vastutusalad ja tõendatud struktuuriline sõltumatus.

Just viimane punkt on see, kus paljud taotlused paljastavad struktuurilise puuduse.

Järelevalvefunktsioon, mis allub tegevjuhile, kes haldab ka tulusid ja äriarendust, ei ole regulatiivses mõttes sõltumatu. Ka kauplemisosakonna sisse integreeritud riskifunktsioon, mis annab aru ülespoole sama ahela kaudu, mida ta peaks jälgima, ei vasta samuti standardile.

Reguleeriv asutus küsib organisatsiooniskeemi. Seejärel küsitakse, kellele vastavusjuhi alluvuses tegelikult aru annab, millised on selle isiku muud vastutusalad ja millised on tema eskalatsioonivolitused, kui tuvastatakse tõsine vastavusrisk.

CASP-litsentsitaotluse koostamine tõelise sõltumatuse struktuuri alusel eeldab, et arhitektuur kavandatakse enne taotluse koostamist, mitte hiljem.

Füüsiline olemasolu: nimelise juhataja probleem

Litsentsitaotluses tuleb dokumenteerida tegeliku juhtimise füüsiline asukoht ELis. See tähendab peakontori aadressi, vajaduse korral filiaalide asukohti ja ettevõtte tegelikku otsustusgeograafiat.

• Vähemalt üks tegelikku volitust omav juhatuse liige peab olema ELi resident ja kättesaadav päritoluliikmesriigi pädevale järelevalveasutusele.
• ELi jurisdiktsioonis registreeritud aadress, mida toetab nimelise juhataja kokkulepe, ei vasta sellele standardile.
• Sisulise nõude kohaselt peab otsuste tegemise kaalukus tegelikult asuma liidu piires.

Riiklikud pädevad asutused hindavad seda RTS-taotluse asukohaväljade ja iga juhtorgani liikme ajakulu avalikustamise kaudu.

Juhatuse liige, kes viibib füüsiliselt ELis kaks nädalat kvartalis, ei kvalifitseeru regulatiivses mõttes elukohajärgseks juhatuse liikmeks.

See on eriti oluline punkt ettevõtetele, kes tegutsevad väljaspool ELi asuvast ülemaailmsest peakorterist ja kes taotlevad Euroopas krüptovaluuta litsentsi. ELis asuv üksus peab toimima tegeliku otsustusüksusena, mitte mujal tegutseva kontserni struktuuri halduslikuna esindusena.

Ärikatkematuse tagamine kuulub vastavuskontrolli meeskonna ülesannete hulka

Ärikatkematust käsitletakse laialdaselt IT-vastutusena. MiCA ja digitaalse operatiivse vastupidavuse seaduse (DORA) kohaselt on selline käsitlus vale iga volitatud CASP-i puhul.

Ärikatkematuse poliitika peab olema juhtorgani omanduses, heaks kiidetud ja hallatav. DORA (määrus (EL) 2022/2554) reguleerib info- ja kommunikatsioonitehnoloogiale omaseid elemente ning CASP-id kuuluvad finantsüksustena DORA reguleerimisalasse. Need kaks raamistikku toimivad samaaegselt ning vastavuskontrolli funktsioon peab suutma navigeerida mõlemas korraga.

ESMA teises MiCA konsultatsioonidokumendis kehtestati lubamatut hajutatud raamatupidamisarvestuse tehnoloogiat (avalikud plokiahelad, nagu Ethereum) kasutavatele ettevõtetele konkreetne kohustus: proaktiivne, struktureeritud suhtlus klientidega mis tahes DLT-tasandi teenusehäire korral.

Ettevõte peab kliente teavitama sellest, kas nende rahalised vahendid on ohus, ning andma selge ülevaate teenuse taastamise korraldamisest. Ettevõte jääb täielikult vastutavaks oma nutilepingutest tulenevate kahjude eest, sõltumata sellest, kas aluseks olev plokiahel on loata.

See ei ole tavaline IT-katkestuste poliitika. Selle kohustuse täitmine eeldab juhtkonnalt DLT-infrastruktuuri riskide mõistmist tasemel, mis ületab kaugelt üldise tehnilise teadlikkuse.

Järelevalvemeeskond, kes suudab kirjeldada plokiahela riske vaid üldistes mõistetes, ei suuda koostada, läbi vaadata ega hallata äritegevuse jätkuvuse poliitikat, mis vastaks regulatiivsetele nõuetele.

Andmestandardid kui vastavusvõime

Järelevalvefunktsiooni vastutus ulatub andmearhitektuuri. Kauplemisplatvorme haldavad CASP-id peavad kasutama digitaalse tokeni identifikaatori (DTI) standardit kogu arvestuse pidamisel ja aruandluses riiklikele pädevatele asutustele. DTI identifitseerib iga krüptovara unikaalselt ja seob selle konkreetse DLT-ga, millel see on välja antud, millega kaubeldakse või mille alusel arveldamine toimub. See võimaldab reguleerijatel teostada piiriülest järelevalvet järjepidevate ja võrreldavate andmete abil.

ISO 20022 sõnumistandardid reguleerivad ametiasutustele esitatavate tehinguandmete formaati. Turu kuritarvitamise vältimiseks tuleb tehingueelsed ja -järgsed läbipaistvusandmed avalikustada mittediskrimineerivate, masinloetavate avalike kanalite kaudu. Kõigil neil nõuetel on tehniline mõõde, mille eest vastutab vastavusmeeskond, mitte IT-osakond.

Ettevõte, mis käsitleb andmete säilitamist üldise süsteemi haldusülesandena, ilma et järgiks RTS-i nõutavaid konkreetseid andmestandardeid, seisab pärast volituse saamist silmitsi järelevalveprobleemidega.
Standardid on loodud just selleks, et riiklikud pädevad asutused saaksid ühe analüüsiga võrrelda sadade CASP-ide andmeid. Ettevõte, mis ei suuda esitada andmeid nõutavas formaadis, ei suuda tõendada jätkuvat nõuetele vastavust.

See on „ühtse aju” standardi praktiline tähendus. Järelevalvemeeskond integreerib regulatiivse teadlikkuse, juhtimisstruktuuri, DLT-alased operatiivteadmised ja tehnilise andmeoskuse üheks toimivaks võimeks. Ühtegi neist elementidest ei saa täielikult teise funktsiooni alla delegeerida.

Meeskonna loomine enne taotluse koostamist

CASP MiCA litsentsi taotlus dokumenteerib juba olemasolevat asutust. See on mõttemudel, mis eristab protsessi läbivaid ettevõtteid nendest, kes takerduvad.

Ettevõtted, kes taotlevad Euroopas krüptovaluuta vahetamise litsentsi, digitaalvarade hoidmise luba või muud CASP-litsentsi, peavad käsitlema meeskonna ülesehitust kui esimest tulemust, mitte kui midagi, mis tekib taotluse koostamise käigus.

Järelevalvefunktsioon peab olema struktuuriliselt sõltumatu enne esimese dokumendi koostamist. Juhtorgani kollektiivse teadmiste ulatust tuleb hinnata ja kõik lüngad täita enne, kui riiklik pädev asutus (NCA) alustab läbivaatamist. Ajakulu avalikustamine peab olema realistlik enne selle esitamist.

Sama loogika kehtib ülemaailmselt. Ettevõtted, kes taotlevad VASP-litsentsi väljaspool ELi asuvates jurisdiktsioonides, puutuvad üha sagedamini kokku sarnaste standarditega: Lähis-Ida, Aasia-Vaikse ookeani piirkonna ja Ameerika reguleerivad asutused on jõudmas sarnastele sisulistele nõuetele vastavusfunktsiooni ülesehituse osas.

ELi standard, mis on praegu kehtivatest kõige üksikasjalikum ja tehniliselt spetsiifilisem, on kasulik võrdlusalus igale meeskonnale, kes töötab reguleeritud staatuse saavutamise nimel mis tahes suuremas jurisdiktsioonis.

Peamine järeldus

Müüt: vastavusjuhi ja MLRO ametisse nimetamine täidab MiCA vastavuskohustused.

Tegelikkus: MiCA nõuab toimivat vastavusorganit, mitte ametinimetuste loetelu.

Kolm asja määravad, kas juhtorgan vastab standardile:

Kollektiivne teadmiste ulatus. Meeskond peab tervikuna hõlmama traditsioonilisi finantsturgude alaseid teadmisi, DLT- ja küberturvalisuse oskusi ning organisatsioonilise juhtimise võimekust. Lüngad üheski valdkonnas on struktuurilised puudused, mitte profiilieelistused.

Dokumenteeritud struktuuriline sõltumatus. Põhilistel sisekontrollifunktsioonidel (vastavus, riskide hindamine ja siseaudit) peab olema nimetatud vastutav isik, otsene aruandlusliin juhtorganile ning tõendatud sõltumatus järelevalvealast ärivaldkonnast. (Märkus: rahapesu ja terrorismi rahastamise tõkestamine ning äritegevuse järjepidevus on võrdselt kohustuslikud, kuid neid käsitletakse eraldiseisvate organisatsiooniliste sammastena). Organisatsiooniskeem, mis suunab vastavuse läbi tulutoova funktsiooni, ei pea vastu riikliku järelevalveasutuse kontrollile.

Tõeline institutsiooniline sisu. Ajakulu peab olema tõeline ja dokumenteeritud. Füüsiline kohalolek ELis peab peegeldama tegelikku otsustusõigust, mitte registreeritud aadressi. Ärikatkematuse poliitika peab olema juhtorgani tasandil. Andmete esitamine peab vastama DTI ja ISO 20022 standarditele alates esimesest päevast.

CASP-litsentsitaotlus on tulemus. Nõuetele vastavuse arhitektuur on alus. Ehitage kõigepealt alus.

Käesolev artikkel põhineb LegalBisoni poolt 2026. aasta aprillis läbi viidud uuringul. Sisu on mõeldud ainult teavitamiseks ega kujuta endast õigusnõustamist.