Autoryzacja CASP na Malcie: Dlaczego KYC może zadecydować o powodzeniu lub porażce licencji

Maltańska Jednostka Analizy Wywiadu Finansowego (FIAU) otrzymała 1,751 zgłoszeń o podejrzanych transakcjach z sektora wirtualnych aktywów finansowych w 2024 roku, w porównaniu z 1,476 w roku poprzednim (Raport Roczny FIAU za 2024 rok). Oznacza to wzrost zainteresowania organów regulacyjnych o 18.6% w porównaniu z rokiem poprzednim, a uwaga skupiona jest na tej samej małej grupie firm, które obecnie odnawiają swoje licencje w ramach MiCA.

Dostawca usług kryptoaktywnych (CASP) to każda firma oferująca usługi związane z kryptoaktywami w Unii Europejskiej na mocy Rozporządzenie w sprawie rynków kryptowalut (MiCA), ujednolicony zbiór zasad dotyczących kryptoaktywów w całym bloku. Na Malcie obecni posiadacze licencji na wirtualne aktywa finansowe (VFA) działają w ramach okresu przejściowego do 1 lipca 2026 r., po czym licencja CASP od Malta Financial Services Authority (MFSA) staje się jedyną podstawą prawną do świadczenia tych usług.

Termin CASP, 1 lipca 2026 r., jest często uwzględniany w kalendarzu prawnym jako zdarzenie przejściowe. Takie ujęcie ukrywa rzeczywiste ryzyko. Autoryzacja CASP przez MFSA nie jest zdarzeniem wymagającym złożenia wniosku. Jest to zdarzenie infrastrukturalne KYC. Firmy, które przekraczają próg MiCA z nienaruszonym dostępem do licencji i usług bankowych, to te, których stos onboardingowy jest w stanie przetrwać trzy kontrole jednocześnie.

Dlaczego termin CASP przypadający na lipiec 2026 r. jest wydarzeniem związanym z infrastrukturą KYC, a nie dokumentacją prawną?

Ustawa MiCA definiuje ramy licencyjne. Nie definiuje obowiązku KYC. Obowiązek ten wynika z maltańskich przepisów o zapobieganiu praniu pieniędzy i finansowaniu terroryzmu (PMLFTR) oraz unijnych dyrektyw AML, które działają niezależnie od architektury licencyjnej MiCA. To rozróżnienie ma znaczenie, ponieważ decyduje o tym, czego asesorzy MFSA szukają podczas rozpatrywania wniosków CASP.

Wniosek MFSA sprawdza, czy infrastruktura onboardingowa spełnia zbiór zasad AML, oczekiwania dotyczące ryzyka operacyjnego oraz standardy zarządzania, które MFSA stosuje w przypadku każdej regulowanej firmy. Dokumentacja prawna może zostać sporządzona w ciągu kilku dni. Infrastruktura KYC nie. Jeśli Twój obecny stos został zbudowany zgodnie z systemem VFA, korzystasz z mechanizmów kontroli opracowanych w oparciu o ramy krajowe o węższym zakresie niż te, które MFSA obecnie weryfikuje pod kątem oczekiwań z czasów MiCA.

Praktyczną konsekwencją dla liderów ds. zgodności jest to, że przegląd CASP to dwuetapowa rozmowa. MFSA bada strukturę prawną, ocenę kompetencji i rzetelności dyrektorów oraz model biznesowy. Następnie asesorzy badają, czy program AML, przepływy pracy CDD i EDD, sankcje oraz Badanie przesiewowe PEP zasięg i ślad audytu spełniają wymagane standardy w rzeczywistym systemie wdrażania, a nie na papierze.

Dlaczego FIAU uważnie obserwuje kryptowaluty i co to oznacza dla osób składających wnioski o pożyczkę CASP?

FIAU to maltański organ nadzoru ds. przeciwdziałania praniu pieniędzy i jednostka wywiadu finansowego. Kontroluje każdy regulowany sektor pod kątem jakości zgłaszania podejrzanych transakcji oraz mechanizmów kontroli przeciwdziałania praniu pieniędzy. W 2024 roku FIAU otrzymała 9,430 zgłoszeń o podejrzanych transakcjach ze wszystkich sektorów, a sektor wirtualnych aktywów finansowych miał najszybciej rosnący udział w tej liczbie. Każda aplikacja CASP trafia na biurko, które zna już obszar ataków na Twoją firmę.

Roczne sprawozdanie FIAU za rok 2024 odnotowało 187 interwencji nadzorczych i 70 dodatkowych działań egzekucyjnych wobec osób objętych kontrolą (Rekord FIAU 2024Gry zdalne pozostają wiodącym sektorem zgłaszalności, ale sektor wirtualnych aktywów finansowych rozwija się najszybciej. Firmy skoncentrowane na kryptowalutach zgłosiły 1,751 podejrzanych transakcji (STR) w 2024 r., w porównaniu z 1,476 w 2023 r., co stanowi wzrost procentowy przewyższający wszystkie inne regulowane kategorie.

Dla wnioskodawcy CASP liczby te przekładają się na konkretne oczekiwania. FIAU, a za jego pośrednictwem MFSA, oczekuje od CASP utrzymania takiego samego poziomu programu AML, jak instytucja pieniądza elektronicznego lub licencjonowany bank. Ślady audytu muszą przejść przegląd tematyczny. Klienci oznaczeni flagą muszą mieć udokumentowane uzasadnienie. Zamknięte alerty wymagają imiennego analityka, znacznika czasu i historii decyzji, którą FIAU może ponownie przeanalizować dwa lata później bez konieczności rekonstrukcji.

Test praktyczny polega na sprawdzeniu, czy system jest w stanie odpowiedzieć na żądanie na pytanie zadane przez nadzorcę FIAU.

Co właściwie sprawdza MFSA podczas przeglądu autoryzacji CASP?

Proces autoryzacji CASP MFSA jest publicznie udokumentowany i oparty na wymogach unijnego rozporządzenia MiCA. Wniosek wygląda jak lista kontrolna dokumentów. Prawdziwa szczegółowość procesu dotyczy pięciu obszarów, w których MFSA tradycyjnie odsyłała wnioski do ponownego złożenia. Każdy z nich testuje gotowość operacyjną, a nie tylko kwalifikowalność prawną.

Przegląd MFSA koncentruje się na pięciu obszarach priorytetowych, którymi są:

Pięć podstawowych elementów pakietu KYC gotowego na CASP

Gotowy do wdrożenia CASP pakiet KYC składa się z pięciu skoordynowanych mechanizmów, które generują pojedynczy ślad audytu. Każdy z nich musi przejść kontrolę MFSA, badanie tematyczne FIAU oraz kwestionariusz due diligence banku korespondenta. Większość pakietów z czasów VFA dobrze radzi sobie z jednym lub dwoma z tych elementów, a pozostałe pozostawia do ręcznej weryfikacji, co jest głównym powodem, dla którego program wyglądający na zgodny z wymogami nadal nie przechodzi przez próg CASP. Firmy, które uzyskały autoryzację za pierwszym razem, odbudowały wszystkie pięć.

1. Należyta staranność wobec klienta (CDD) Obejmuje tożsamość, miejsce zamieszkania i poziom ryzyka dla każdego nowego klienta, a odrzucone dokumenty są oznaczane kodem przyczyny, a nie ogólnym niepowodzeniem. MFSA oczekuje pełnego rejestru audytu, który pokaże, co zostało sprawdzone i dlaczego podjęto decyzję.
2. Wzmocniona należyta staranność (EDD) Dotyczy klientów wysokiego ryzyka, osób zajmujących eksponowane stanowiska polityczne oraz schematów transakcji przekraczających progi ryzyka. W przypadku EDD pakiety VFA najczęściej nie przynoszą oczekiwanych rezultatów, ponieważ ustawione są zbyt wysokie poziomy wyzwalaczy.
3. Źródło funduszy Weryfikacja źródła majątku wykorzystuje ustrukturyzowane procesy oparte na dowodach w postaci dokumentów, które FIAU może odtworzyć dwa lata po fakcie. Jest to najczęstszy punkt niepowodzenia wniosku MFSA.
4. Sankcje, PEP i kontrola niekorzystnych mediów Teraz nakładają obowiązek stałego monitorowania, a nie jednorazowej kontroli. Zarówno MFSA, jak i FIAU oczekują, że klient, który stanie się stroną objętą sankcjami lub niekorzystnym podmiotem medialnym, zostanie oznaczony flagą niemal w czasie rzeczywistym.
5. Gotowy do użycia przez FIAU rejestr audytu rejestruje każdą decyzję dotyczącą wdrożenia, każdy alert i każdy plik klienta wraz ze znacznikiem czasu, analitykiem i uzasadnieniem decyzji. Rejestr ten musi być możliwy do odtworzenia na żądanie, a nie musi być tworzony w trakcie audytu.

Dlaczego banki na Malcie przeprowadzają własną weryfikację KYC przed otwarciem konta?

Dostęp do usług bankowych jest warunkiem przetrwania transformacji CASP. Banki maltańskie są zobowiązane do przeprowadzania analizy due diligence w odniesieniu do każdej relacji biznesowej, a banki korespondencyjne w innych jurysdykcjach są zobowiązane do przeprowadzania analizy due diligence w odniesieniu do samych banków maltańskich. Klient CASP ze słabymi mechanizmami kontroli onboardingu generuje ryzyko złożone, które przepływa w górę łańcucha korespondentów, a banki korespondencyjne reagują na to ryzyko, zamykając relację.

Banki szukają trzech rzeczy u wnioskodawcy CASP. Udokumentowanego Program AML Punktem odniesienia jest zgodność z oczekiwaniami MFSA. Kontrole rejestracji na żywo, działające na podstawie rzeczywistych kandydatów, a nie w oparciu o plik polisy, podnoszą poprzeczkę. Możliwość wygenerowania kompletnego pliku klienta na żądanie to czynnik, który pozytywnie przechodzi kontrolę banku, ponieważ z taką szybkością banki korespondencyjne odpowiadają na pytania.

Firmy, które nie mogą przejść KYC banku W praktyce test oznacza utratę dostępu do systemów płatności w euro. Sama licencja nie jest opłacalna ekonomicznie po zakończeniu relacji bankowej.

W jaki sposób Shufti pomaga maltańskim firmom kryptowalutowym przejść kontrolę MFSA i zachować dostęp do usług bankowych?

Platforma Shufti łączy należytą staranność wobec klienta, weryfikację pod kątem przeciwdziałania praniu pieniędzy i stały monitoring w jednym procesie rejestracji, który domyślnie generuje czysty ślad audytu. Ma to znaczenie na Malcie, ponieważ ten sam ślad audytu musi zostać zatwierdzony przez trzech różnych recenzentów. MFSA bada go podczas składania wniosku CASP, FIAU bada go podczas nadzoru tematycznego, a bank korespondent bada go podczas własnego badania należytej staranności w banku maltańskim. Jeden stos, jeden ślad audytu, trzy grupy odbiorców.

Weryfikacja KYC Warstwa obsługuje weryfikację dokumentów, danych biometrycznych i danych w szerokim zakresie typów dokumentów i jurysdykcji, co ma znaczenie, gdy zarejestrowany na Malcie podmiot CASP obsługuje bazę klientów w całej UE. Ciągły AML screening Przeprowadza kontrole sankcji, PEP i negatywnych mediów, a nie tylko na etapie wdrażania, i przedstawia uzasadnienie każdego alertu, aby analitycy mogli zamykać pliki z udokumentowanym uzasadnieniem. Oba procesy działają w ramach konfigurowalnych przepływów pracy dostosowanych do ryzyka specyficznego dla kryptowalut, a nie ogólnej kaskady kontroli.

Firmy, które uzyskają autoryzację MFSA CASP za pierwszym podejściem i utrzymają relacje z maltańskimi bankami podczas okresu przejściowego, to te, których system wdrażania jest w stanie na żądanie odpowiedzieć na pytanie recenzenta.

Każda firma kryptowalutowa z licencją na Malcie będzie w ciągu najbliższych piętnastu miesięcy oceniana pod kątem tych samych standardów MFSA, FIAU i banku korespondenta, a system onboardingowy sprawi, że stanie się to rutyną lub kryzysem komercyjnym. Jednoplatformowe podejście Shufti do KYC, AML i monitorowanie na żywo jest zbudowany wokół ścieżki audytu, jakiej oczekują trzej recenzenci, i wytrzymuje kontrolę bez dodatków ani poprawek od dostawców. Zobacz, jak Shufti wspiera regulowane firmy na Malcie na dedykowanej stronie poświęconej Malcie lub poprosić o demo i rozpocznij weryfikację w ciągu kilku minut.