Руководство по комплаенсу VARA для компаний, осуществляющих криптоплатежи

Дубай стремительно укрепляет свои позиции в качестве одного из самых привлекательных в мире центров для компаний, занимающихся криптовалютными платежами. Ведение бизнеса в сфере виртуальных активов в ОАЭ сопряжено с рисками при отсутствии строгого соблюдения нормативных требований. VARA вынесла предписания о принудительном исполнении 37 фирмам. Эти компании занимались нелицензированной деятельностью и нарушали правила. Регулирующие нормы детально проработаны, надзор осуществляется непрерывно, а правоприменительная практика является активной. В данном руководстве объясняется, чего именно VARA ожидает от компаний, занимающихся криптовалютными платежами. Также здесь показано, как создать надежную программу соответствия требованиям для достижения успеха в Дубае.

Управление по регулированию виртуальных активов (VARA) было создано в соответствии с Законом Дубая № 4 от 2022 года. Для платежных компаний наиболее важным недавним событием стало обновление VARA ключевых обязательных правил и положений о видах деятельности в 2025 году, при этом переходный период завершается в июне 2025 года. Это первый в мире независимый регулятор, работающий исключительно с виртуальными активами. Это стало важным шагом для цифровых финансов. До появления VARA ни один регулятор не фокусировался исключительно на виртуальных активах.

Юрисдикция VARA распространяется на материковую часть Дубая и его свободные экономические зоны. Она не охватывает Международный финансовый центр Дубая (DIFC). У DIFC есть свой собственный регулятор — Управление по финансовым услугам Дубая (DFSA). Если вы ведете деятельность в DIFC, применяются другие правила.

Дубай предоставляет отличные возможности для криптовалютных платежных компаний. Некоторые страны ужесточают правила. Сингапур усилил контроль над проектами в сфере Web3. ОАЭ — иная ситуация. Страна приветствует бизнес, но требует строгого соблюдения комплаенса. VARA следует правилам Группы разработки финансовых мер борьбы с отмыванием денег (ФАТФ), а также добавляет специфические локальные нормы, выходящие за рамки базовых стандартов ФАТФ.

VARA уникальна тем, как она выдает лицензии. Регулятор не выдает одну лицензию для всех. Вместо этого предоставляются специфические лицензии для разных видов деятельности. К ним относятся трейдинг, брокерские услуги, кастодиальное хранение, кредитование и платежи. Вы должны четко обозначить, чем занимается ваш бизнес. После этого вы следуете правилам только для тех видов деятельности, на которые получили разрешение. Это называется системой лицензирования на основе видов деятельности.

Это хорошая новость для платежных компаний. Вам не нужно следовать правилам, предназначенным для трейдинговых фирм. Вам нужно соответствовать только тем стандартам, которые применяются к вашим операциям. Это делает процесс обеспечения соответствия более сфокусированным и управляемым.

Дубай также является глобальным финансовым хабом. Он соединяет Ближний Восток, Африку и Южную Азию. Компании, базирующиеся в Дубае, имеют доступ к миллиардам потенциальных пользователей. Город обладает благоприятной для бизнеса средой, сильным кадровым резервом и инфраструктурой мирового класса. Это делает его идеальной базой для криптовалютных платежных компаний. Однако необходимо серьезно относиться к комплаенсу. Без него вы не сможете вести деятельность легально.

Нужна ли вам лицензия VARA? Кого это касается

Что считается платежной услугой?

Вам необходима лицензия VARA, если ваша компания осуществляет перевод, расчеты или переводы виртуальных активов в Дубае или из него. Это охватывает множество различных бизнес-моделей. Эмитентам криптовалютных карт нужна лицензия. Платформам для трансграничных переводов она также необходима. Платежным шлюзам для мерчантов она нужна тоже. Если ваша платформа позволяет людям оплачивать товары или услуги криптовалютой, вам требуется авторизация VARA.

Подумайте, что на самом деле делает ваш продукт. Перемещает ли он криптовалюту с одного кошелька на другой? Конвертирует ли он криптовалюту в фиат для мерчанта? Позволяет ли он пользователям оплачивать покупки на кассе цифровыми активами? Если да, то вы являетесь поставщиком платежных услуг согласно правилам VARA.

Правила VARA применяются, даже если ваш офис находится не в Дубае. Если вы ориентируетесь на резидентов Дубая, вам нужна лицензия. Если вы работаете из свободной зоны Дубая, лицензия обязательна. Многие компании пытались обслуживать рынок Дубая без разрешения. Это одно из самых частых нарушений, за которые наказывала VARA.

Двухэтапный процесс лицензирования

Получить лицензию VARA непросто. Это строгий многоэтапный процесс. VARA разработала его для того, чтобы не допустить прохода недобросовестных участников. Существует два этапа: Предварительное одобрение (Initial Approval) и Полная лицензия VASP.

Во время получения Предварительного одобрения VARA рассматривает ваш бизнес-план. Они проверяют вашу корпоративную структуру. Они изучают вашу систему комплаенса. Вы должны доказать, что понимаете правила и относитесь к ним серьезно. Только компании с надежным подходом переходят к следующему этапу.

После Предварительного одобрения вы подаете заявку на получение Полной лицензии VASP. На этом этапе VARA проводит более глубокую проверку. Они проверяют ваши технологии, ваш персонал и ваши средства контроля рисков. Вы должны доказать, что ваш бизнес готов к безопасной работе.

Этот процесс требует времени. Планируйте его заранее. Не ждите момента готовности к запуску, чтобы начать процесс подачи заявки. Начните заранее и сначала приведите в порядок свою программу комплаенса.

Минимальный капитал и критерии соответствия

Для подачи заявки вы должны соответствовать требованиям к минимальному капиталу. VARA устанавливает эти пороги, чтобы гарантировать, что только сильные компании работают со средствами пользователей. Точная сумма зависит от вашей конкретной деятельности и юрисдикции.

VARA также проверяет ваши технологии и систему управления. Вы должны предоставить техническую документацию. Она включает архитектуру вашей системы, план кибербезопасности и план обеспечения непрерывности бизнеса. Если ваши системы выйдут из строя, у вас должен быть план продолжения работы.

VARA также проверяет биографию ключевых сотрудников. Они должны соответствовать стандартам «деловой репутации». Это означает отсутствие судимостей и наличие соответствующего опыта. Это не разовая проверка. VARA на постоянной основе отслеживает ключевой персонал.

Ключевые требования VARA к комплаенсу для платежных компаний

Как только вы получили лицензию, начинается настоящая работа. У VARA есть несколько сводов правил. Вы должны соблюдать их ежедневно. Это не просто чек-листы. VARA хочет видеть, что ваши средства контроля действительно работают. Они используют подход, основанный на рисках и ориентированный на результат. Это означает, что вы должны доказать эффективность своих систем на практике, а не только на бумаге.

Обязательства по ПОД/ФТ

Свод правил по комплаенсу и управлению рисками является наиболее важным для платежных компаний. У вас должны быть надежные меры по борьбе с отмыванием денег (AML) и борьбе с финансированием терроризма (CFT).

Все начинается с проверок Know Your Customer (KYC). Вы должны проверять каждого пользователя перед тем, как он присоединится к платформе. Вы также должны проводить должную осмотрительность в отношении клиентов (CDD). Это означает понимание того, кто ваши клиенты и чем они занимаются.

Но базовых проверок недостаточно. Вы должны постоянно контролировать транзакции. Криптовалюты перемещаются быстро. Платеж может пересечь несколько юрисдикций за секунды. Вам нужны умные системы для выявления подозрительного поведения. Эти системы должны работать лучше, чем простые правила. Они должны адаптироваться к новым моделям финансовых преступлений.

Вы должны сообщать о подозрительных транзакциях соответствующим органам. Также необходимо вести подробный учет. VARA может запросить проверку этих записей в любое время. Если вы не сможете их предоставить, это будет нарушением.

VARA уделяет особое внимание рискам, связанным с криптовалютами. Средства перемещаются быстро. Кошельки могут быть анонимными. Транзакции необратимы. Эти особенности делают криптовалюту привлекательной для преступников. VARA ожидает, что вы будете напрямую решать эти риски.

Проверка санкций и трансграничные риски

Платежные компании сталкиваются с высокими санкционными рисками. Один неверный платеж может привести к серьезным проблемам. Вы можете непреднамеренно обработать платеж для компании или лица, находящегося под санкциями. VARA ожидает, что вы предотвратите это.

Вы должны проверять всех. Проверяйте своих клиентов, партнеров и адреса кошельков. Сверяйте их с глобальными санкционными списками. К ним относятся списки OFAC, ООН и ЕС. Вы должны делать это в режиме реального времени.

Это сложно реализовать в масштабе. Вы можете обрабатывать тысячи транзакций в день. Ручная проверка невозможна. Вам нужны автоматизированные инструменты. Эти инструменты должны выполнять проверки мгновенно. Они также должны помечать юрисдикции с высоким уровнем риска. VARA требует именно такого уровня автоматизации.

Трансграничные платежи добавляют еще один уровень риска. Когда деньги перемещаются между странами, они могут проходить через регионы с высоким уровнем риска. Ваш мониторинг должен это отслеживать. Вы должны знать, откуда поступают средства и куда они направляются.

Технологические стандарты и стандарты кибербезопасности

Виртуальные активы — это цифровая среда. Поэтому VARA требует надежных технологий. Вы должны обеспечивать безопасность своих систем. Вам необходима проактивная кибербезопасность. Вы не можете ждать, пока произойдет атака. Вы должны подготовиться заранее.

Свод правил VARA по технологиям и информации устанавливает соответствующие стандарты. У вас должен быть протестированный план реагирования на инциденты. Если вас взломали, вы должны действовать быстро. Вы также должны иметь план обеспечения непрерывности бизнеса. Ваш бизнес должен продолжать работать, даже если системы выходят из строя.

Вы также должны вести безупречные записи. VARA требует наличие аудиторского следа для каждой транзакции. Вы должны фиксировать решения по комплаенсу и проверки рисков. Эти записи должны быть готовы к представлению, если VARA их запросит. Отсутствие записей является серьезным нарушением.

Корпоративное управление и подотчетность

VARA требует сильного корпоративного управления. У вас должны быть независимые команды по комплаенсу. Они должны отчитываться напрямую высшему руководству. Совет директоров должен контролировать все процессы. Вы должны задокументировать, кто и за что отвечает.

Вы также должны управлять конфликтами интересов. Если кто-то в вашей компании выигрывает от неверного решения, это проблема. Вы должны выявлять эти конфликты и управлять ими. Это защищает ваших клиентов и поддерживает справедливость рынка.

Комплаенс — это не просто работа бэк-офиса. Это должно быть частью вашего основного бизнеса. Высшее руководство должно нести ответственность. Они должны понимать правила и обеспечивать их соблюдение. VARA привлекает руководство к ответственности.

Последствия несоблюдения правил: принудительные меры VARA в действии

VARA пишет правила и обеспечивает их исполнение. Вы несете ответственность за соблюдение требований. Но VARA внимательно следит за этим. Если вы нарушаете правила, VARA действует быстро.

Согласно официальным записям о принудительных мерах VARA, VARA вынесла предписания 37 фирмам. Большинство из них работали без лицензии. Некоторые осуществляли неавторизованный маркетинг услуг в сфере виртуальных активов. Другие не смогли контролировать риски ПОД. У некоторых было слабое управление. Некоторые скрывали информацию от VARA.

Типы частых нарушений

Самое частое нарушение — деятельность без лицензии. Многие компании думают, что могут протестировать рынок до получения авторизации. VARA этого не позволяет. Если вы обслуживаете пользователей в Дубае без лицензии, вы нарушаете закон.

Неавторизованный маркетинг также распространен. Некоторые компании рекламируют свои услуги резидентам Дубая без одобрения VARA. Это является нарушением, даже если у вас нет местных подразделений. VARA отслеживает маркетинговую активность и реагирует на нее.

Провалы в ПОД серьезны. Если ваши системы мониторинга пропускают подозрительные транзакции, VARA об этом узнает. Фирмы уже подвергались штрафам именно за это. Слабое управление — еще один тревожный сигнал. Если ваша комплаенс-команда не обладает реальными полномочиями, VARA это заметит.

Принудительные меры VARA

VARA применяет разные наказания в зависимости от степени тяжести нарушения. За незначительные нарушения они выносят предписания о прекращении деятельности (Cease-and-Desist Orders). Это означает, что вы должны немедленно остановить незаконную деятельность.

За более серьезные нарушения предусмотрены финансовые штрафы. Они могут быть значительными. VARA также делает публичные заявления. Это означает, что факт вашего нарушения объявляется публично. Это вредит вашей репутации среди клиентов и партнеров.

В худших случаях VARA назначает «квалифицированное лицо» (Skilled Person). Это внешний эксперт, который приходит в вашу компанию. Он контролирует ваши действия по исправлению ситуации. Вы оплачиваете услуги этого эксперта. Это дорого и нарушает рабочий процесс.

Публичное принудительное исполнение является мощным сдерживающим фактором. Оно сигнализирует всему рынку, что VARA настроена серьезно. Если вы работаете с реальными средствами пользователей, не рискуйте. Принудительные меры VARA реальны и активны.

Как построить программу комплаенса, готовую к VARA

Вы не можете использовать ручные процессы для удовлетворения требований VARA. Вам нужны технологии. Вот пошаговое руководство для компаний, занимающихся криптовалютными платежами:

Шаг 1 — Соотнесите свои виды деятельности с правильной категорией лицензии. Определите каждую услугу, которую вы предлагаете. Сопоставьте каждую из них с категорией лицензии VARA. Если вы работаете вне своей лицензии, VARA накажет вас. Четко определите, занимаетесь ли вы платежами, хранением или брокерскими услугами. Не делайте предположений. Уточните у VARA, если не уверены.

Шаг 2 — Внедрите автоматизированную проверку кошельков. Знайте, кто находится на другом конце каждого платежа. Используйте автоматизированные инструменты для проверки адресов кошельков. Сверяйте их с глобальными санкционными списками. Ищите связи с даркнет-маркетами, программами-вымогателями или мошенничеством. Делайте это, когда пользователи присоединяются, и при каждой транзакции. Ручная проверка не справится с объемом транзакций.

Шаг 3 — Настройте мониторинг транзакций в реальном времени. Криптовалютные расчеты проходят за секунды. Ваши средства контроля должны быть такими же быстрыми. Контролируйте потоки в реальном времени. Изучите нормальное поведение каждого пользователя. Автоматически помечайте странную активность. Простых правил недостаточно. Вам нужны интеллектуальные системы, которые адаптируются к новым шаблонам.

Шаг 4 — Создайте рабочий процесс отчетности о подозрительной деятельности. Когда ваша система помечает подозрительную транзакцию, у вас должен быть четкий план. Задокументируйте, как вы ее расследуете. Задокументируйте, как вы передаете ее выше. Задокументируйте, как вы сообщаете о ней властям. Регулярно тестируйте этот рабочий процесс. Обновляйте его при появлении новых видов финансовых преступлений.

Шаг 5 — Готовьтесь к постоянным аудитам и регуляторной отчетности. Ведите идеальный учет всех транзакций и решений. VARA хочет доказательств того, что ваши средства контроля работают. Регулярные внутренние аудиты необходимы. Всегда будьте готовы к внешней проверке. Если VARA запросит записи, вы должны предоставить их немедленно.

ОАЭ против других криптохабов: почему VARA выделяется

VARA предлагает явные преимущества по сравнению с другими регионами. Именно поэтому Дубай так популярен среди компаний, занимающихся криптовалютными платежами.

VARA против MiCA (ЕС)

Европейский союз использует систему MiCA. Она применяется во всех 27 странах ЕС. MiCA классифицирует токены на три типа: токены электронных денег (EMT), токены, привязанные к активам (ART), и служебные токены (Utility Tokens). У каждого типа свои правила. Вы должны получить разрешение на каждый используемый тип токена.

MiCA является всеобъемлющей, но при этом очень широкой. Она применяет одни и те же правила ко всем 27 странам. Это может создать сложности для специализированных компаний. Вам, возможно, придется следовать правилам, которые не подходят вашей бизнес-модели.

VARA отличается. Регулятор выдает лицензию именно под ваши специфические виды деятельности. Вы фокусируетесь на правилах, которые важны для вашего бизнеса. Это прозрачнее и эффективнее.

VARA против MAS (Сингапур)

Денежно-кредитное управление Сингапура (MAS) очень строго относится к доступу розничных инвесторов к криптовалюте. Платежным компаниям, ориентированным на потребителей, там сложно работать. MAS отклонило или отложило многие заявки на лицензии. Среда там консервативная.

Дубай — другое дело. Он ориентирован на бизнес и поощряет инновации. Вы можете создавать потребительские продукты и получать лицензию. Но вы должны соответствовать международным стандартам комплаенса. Этот баланс делает ОАЭ отличным местом для глобального роста.

Если вы хотите выйти на глобальные рынки и вам нужна поддерживающая регуляторная среда, Дубай — правильный выбор. VARA дает вам ясность и гибкость. Вы точно знаете, что вам нужно делать.

Как BlockSec помогает криптоплатежным компаниям соблюдать требования VARA

Соблюдение строгих правил VARA требует технологий корпоративного уровня. Ручная работа не справится со скоростью и объемом криптовалютных платежей. Вам нужен надежный надзор в реальном времени.

Именно здесь BlockSec приходит на помощь. Мы предоставляем инфраструктуру, которая вам необходима. Мы обеспечиваем безопасность ваших операций и удовлетворяем требованиям регуляторов с первого дня. С помощью Phalcon Compliance вы можете автоматизировать свои средства контроля рисков. Вы можете проверять кошельки и мониторить транзакции в режиме реального времени. Вы можете блокировать взаимодействие с санкционными адресами. Вы делаете все это с одной платформы.

Phalcon Compliance напрямую соотносится с требованиями VARA. Он охватывает проверку кошельков, мониторинг транзакций и автоматизированные средства контроля рисков. Вам не нужно строить эти системы самостоятельно. Мы уже сделали это. Вам нужно только подключиться и начать работу.

Для платежных компаний, работающих по всему миру, BlockSec дает уверенность. Вы можете масштабировать бизнес, не нарушая комплаенс. Мы обслуживаем более 500 клиентов. К ним относятся криптобиржи, кошельки, OTC-дески и финансовые институты. Мы также работаем с регуляторами и правоохранительными органами в более чем 50 юрисдикциях. Мы понимаем проблемы, с которыми вы сталкиваетесь в Дубае.

Если вы создаете бизнес по проведению криптоплатежей в Дубае и вам нужно подготовиться к требованиям VARA, изучите, как Phalcon Compliance может помочь вам выполнить каждое требование структуры VARA.