CASP-autorisatie in Malta: Waarom KYC uw licentie kan maken of breken

De Maltese Financial Intelligence Analysis Unit (FIAU) ontving in 2024 1,751 meldingen van verdachte transacties in de sector van virtuele financiële activa, een stijging ten opzichte van de 1,476 meldingen van het jaar ervoor (FIAU Jaarverslag 2024). Dat is een toename van 18.6% op jaarbasis in de aandacht van de toezichthouders, die zich richt op dezelfde kleine groep bedrijven die nu hun vergunningen opnieuw proberen te verkrijgen onder MiCA.

Een Crypto-Asset Service Provider (CASP) is elk bedrijf dat cryptogerelateerde diensten aanbiedt binnen de Europese Unie onder de Markten in Crypto-Assets-regulering (MiCA), het uniforme regelgevingskader voor crypto-activa van het blok. In Malta vallen bestaande houders van een Virtual Financial Assets (VFA)-licentie onder een overgangsperiode tot 1 juli 2026, waarna de CASP-licentie van de Malta Financial Services Authority (MFSA) de enige wettelijke basis vormt voor het aanbieden van deze diensten.

De deadline van 1 juli 2026 voor CASP wordt vaak in de juridische agenda opgenomen als een overgangsgebeurtenis. Die formulering verhult echter het werkelijke risico. De CASP-autorisatie door de MFSA is geen registratiegebeurtenis, maar een gebeurtenis die de KYC-infrastructuur betreft. Bedrijven die de MiCA-drempel halen met behoud van hun vergunning en toegang tot de bank, zijn de bedrijven waarvan het onboardingproces drie beoordelaars tegelijk kan doorstaan.

Waarom is de CASP-deadline van juli 2026 een gebeurtenis in de KYC-infrastructuur en geen wettelijke indieningstermijn?

MiCA definieert het vergunningskader. Het definieert niet de KYC-verplichting. Die verplichting vloeit voort uit de Maltese regelgeving ter voorkoming van witwassen en financiering van terrorisme (PMLFTR) en de AML-richtlijnen van de EU, die onafhankelijk van de vergunningsstructuur van MiCA functioneren. Dit onderscheid is belangrijk omdat het bepaalt waar de beoordelaars van de MFSA naar kijken tijdens de beoordeling van een CASP-aanvraag.

Een MFSA-aanvraag test of uw onboardinginfrastructuur voldoet aan de AML-regelgeving, de operationele risicoverwachtingen en de governance-normen die de MFSA hanteert voor elke gereguleerde onderneming. Een juridische aanvraag kan binnen enkele dagen worden ingediend. Een KYC-infrastructuur daarentegen niet. Als uw huidige infrastructuur is gebouwd volgens het VFA-regime, werkt u met controles die zijn ontworpen op basis van een nationaal kader met een beperktere reikwijdte dan wat de MFSA nu beoordeelt op basis van de verwachtingen uit het MiCA-tijdperk.

Het praktische gevolg voor compliance-managers is dat de CASP-beoordeling een gesprek in twee fasen is. De MFSA onderzoekt de juridische structuur, de geschiktheidsbeoordeling van bestuurders en het bedrijfsmodel. Vervolgens onderzoeken de beoordelaars of het AML-programma, de CDD- en EDD-workflows, de sancties en PEP-screening De dekking en het auditspoor voldoen aan de vereiste normen in het daadwerkelijke onboarding-systeem, niet alleen op papier.

Waarom houdt de FIAU crypto zo nauwlettend in de gaten, en wat betekent dat voor CASP-aanvragers?

De FIAU is de Maltese toezichthouder op de bestrijding van witwassen en de financiële inlichtingendienst. De FIAU controleert elke gereguleerde sector op de kwaliteit van de meldingen van verdachte transacties en de anti-witwasmaatregelen die daarop van toepassing zijn. In 2024 ontving de FIAU 9,430 meldingen van verdachte transacties in alle sectoren, waarbij de sector virtuele financiële activa het snelst groeiende aandeel in dit aantal had. Elke CASP-aanvraag komt terecht bij iemand die de kwetsbaarheden van uw bedrijf al kent.

Het jaarverslag van de FIAU over 2024 vermeldt 187 toezichtsinterventies en 70 aanvullende handhavingsmaatregelen tegen betrokken personen (FIAU-record 2024Online kansspelen blijven de belangrijkste sector voor meldingen, maar de sector van virtuele financiële activa is de snelstgroeiende. Cryptobedrijven dienden in 2024 1,751 meldingen van verdachte transacties (STR's) in, tegenover 1,476 in 2023. Deze groei was procentueel gezien hoger dan in alle andere gereguleerde categorieën.

Voor een CASP-aanvrager vertalen deze cijfers zich in specifieke verwachtingen. De FIAU, en via haar de MFSA, verwacht van CASP's dat zij een AML-programma van dezelfde kwaliteit handhaven als een instelling voor elektronisch geld of een gelicentieerde bank. Auditsporen moeten een thematische beoordeling doorstaan. Gemarkeerde klanten vereisen een gedocumenteerde onderbouwing. Afgesloten meldingen vereisen een genoemde analist, een tijdstempel en een besluitverslag dat de FIAU twee jaar later zonder reconstructiewerk opnieuw kan beoordelen.

De praktische test is of uw systeem op verzoek antwoord kan geven op de vraag die een FIAU-toezichthouder daadwerkelijk stelt.

Wat controleert MFSA nu precies tijdens een CASP-autorisatiebeoordeling?

Het CASP-autorisatieproces van MFSA is openbaar gedocumenteerd en gebaseerd op de EU MiCA-vereisten. De aanvraag lijkt op het eerste gezicht een checklist met documenten. De werkelijke diepgang zit hem in vijf aandachtsgebieden waarop MFSA in het verleden aanvragen heeft teruggestuurd voor herindiening. Elk van deze gebieden test de operationele gereedheid, niet alleen de wettelijke geschiktheid.

De evaluatie van MFSA is gebaseerd op vijf aandachtsgebieden, namelijk:

De vijf bouwstenen van een CASP-compatibel KYC-systeem

Een CASP-conforme KYC-stack bestaat uit vijf gecoördineerde onderdelen die samen één auditspoor vormen. Elk onderdeel moet een beoordeling door de MFSA, een thematisch onderzoek door de FIAU en een due diligence-vragenlijst van een correspondentbank doorstaan. De meeste stacks uit het VFA-tijdperk dekken één of twee van deze onderdelen goed af en laten de andere over aan handmatige beoordeling. Dit is de belangrijkste reden waarom een ​​ogenschijnlijk conform programma toch niet voldoet aan de CASP-eisen. De bedrijven die in één keer een vergunning hebben verkregen, hebben alle vijf onderdelen opnieuw opgebouwd.

1. Klant Due Diligence (CDD) De controle omvat identiteit, woonplaats en risicocategorie voor elke nieuwe klant, waarbij afgewezen documenten worden gemarkeerd met een redencode in plaats van een algemene foutmelding. De MFSA verwacht een volledig auditrapport van wat er is gecontroleerd en waarom een ​​beslissing is genomen.
2. Verbeterde due diligence (EDD) Dit geldt voor klanten met een hoog risico, politiek prominente personen en transactiepatronen die de risicodrempels overschrijden. EDD is waar VFA-stacks het vaakst ondermaats presteren, omdat de triggers te hoog zijn ingesteld.
3. Inkomsten bron En de verificatie van de herkomst van het vermogen maakt gebruik van gestructureerde werkprocessen, ondersteund door documentair bewijs dat de FIAU twee jaar later nog kan reconstrueren. Dit is het meest voorkomende punt waarop een MFSA-aanvraag mislukt.
4. Sancties, PEP en screening van negatieve media Nu is er een doorlopende monitoringverplichting, geen eenmalige controle meer. Zowel de MFSA als de FIAU verwachten dat een klant die een sanctie krijgt opgelegd of onderwerp van negatieve media-aandacht wordt, vrijwel direct wordt gesignaleerd.
5. Het FIAU-conforme auditspoor registreert elke onboardingbeslissing, elke melding en elk klantdossier met een tijdstempel, de betrokken analist en de onderbouwing van de beslissing. Deze registratie moet op elk moment kunnen worden gereconstrueerd en mag niet tijdens de audit worden samengesteld.

Waarom voeren Maltese banken hun eigen KYC-controle uit voordat ze een rekening voor je openen?

Toegang tot het bankwezen is een stille overlevingsvoorwaarde voor de CASP-transitie. Maltese banken zijn verplicht om klantonderzoek uit te voeren bij elke zakelijke relatie, en correspondentbanken in andere rechtsgebieden zijn verplicht om klantonderzoek uit te voeren bij de Maltese banken zelf. Een CASP-klant met zwakke onboarding-controles creëert een cumulatief risico dat zich door de correspondentketen heen verspreidt, en correspondentbanken reageren op dit cumulatieve risico door de relatie te beëindigen.

Banken letten op drie dingen bij een CASP-aanvrager. Een gedocumenteerde aanvraag AML-programma Dat dit aansluit op de verwachtingen van de MFSA is de basis. Live onboarding-controles, die worden uitgevoerd met echte aanvragers in plaats van in een beleidsdossier, verhogen de lat. En de mogelijkheid om op verzoek een compleet klantendossier te leveren, is wat de interne beoordeling van de bank doorstaat, omdat correspondentbanken in dat tempo vragen terugstellen.

Bedrijven die de toets niet kunnen halen KYC van de bank De test zal in de praktijk leiden tot het verlies van toegang tot eurobetalingssystemen. De licentie op zich is geen commercieel haalbare optie wanneer de bankrelatie wordt beëindigd.

Hoe helpt Shufti Maltese cryptobedrijven om de MFSA-controle te doorstaan ​​en toegang tot het bankwezen te behouden?

Het platform van Shufti combineert klantonderzoek, antiwitwascontroles en continue monitoring in één onboardingproces, wat standaard zorgt voor een helder auditspoor. Dat is belangrijk in Malta, omdat hetzelfde auditspoor achtereenvolgens aan de eisen van drie verschillende beoordelaars moet voldoen. De MFSA onderzoekt het tijdens de CASP-aanvraag, de FIAU onderzoekt het tijdens thematisch toezicht en een correspondentbank onderzoekt het tijdens haar eigen due diligence-onderzoek naar de Maltese bank. Eén systeem, één auditspoor, drie doelgroepen.

De KYC-verificatie Deze laag verwerkt document-, biometrische en gegevenscontroles voor een breed scala aan documenttypen en rechtsgebieden, wat van belang is wanneer een in Malta geregistreerde CASP een klantenbestand in de hele EU bedient. Continue AML screening Het systeem voert controles uit op sancties, PEP's en negatieve media-aandacht, en niet alleen tijdens de onboarding, maar ook bij het instappen. Bovendien wordt de reden achter elke waarschuwing duidelijk weergegeven, zodat analisten dossiers kunnen afsluiten met een gedocumenteerde onderbouwing. Beide processen vallen onder configureerbare workflows die zijn afgestemd op crypto-specifieke risico's, en niet onder een generieke screeningscascade.

Bedrijven die hun MFSA CASP-vergunning in één keer verkrijgen en hun relaties met Maltese banken tijdens de overgang behouden, zijn de bedrijven waarvan het onboarding-systeem op verzoek een vraag van een beoordelaar kan beantwoorden.

Elk in Malta gelicentieerd cryptobedrijf zal de komende vijftien maanden worden beoordeeld aan de hand van dezelfde normen van de MFSA, FIAU en correspondentbanken. Het onboardingproces zal ervoor zorgen dat dit een routinegebeurtenis wordt of een commerciële crisis. Shufti's uniforme platformbenadering voor KYC, AML en voortdurende monitoring Het is gebouwd rond het soort controletraject dat die drie beoordelaars verwachten, en het is bestand tegen kritische analyse zonder extra toevoegingen of lapmiddelen van leveranciers. Zie hoe Shufti ondersteunt de gereguleerde bedrijven van Malta. op de speciale Malta-pagina, of vraag een demo aan en begin binnen enkele minuten met verifiëren.