Юрист по криптовалютному комплаенсу и блокчейн-проектам

Юридические риски криптовалютного бизнеса появляются раньше первого клиента и первой транзакции.

Иногда проблема заложена уже в устройстве продукта. Компания получает контроль над средствами пользователей, но считает себя обычным разработчиком программного обеспечения. Платформа позволяет переводить цифровые активы между клиентами, хотя ее документы описывают только информационные услуги. Проект начинает работу с американской аудиторией, не определив, требуется ли ему федеральная регистрация или лицензии отдельных штатов.

После запуска изменить такую модель намного сложнее. Продукт уже работает, клиенты внесли деньги, заключены договоры с банками и поставщиками, а публичное описание сервиса не совпадает с его фактическими функциями.

Arkady Bukh Law Firm консультирует криптовалютные биржи, обменные сервисы, платежные платформы, операторов кошельков, блокчейн-компании, основателей и иностранных предпринимателей по вопросам регулирования в США.

Юрист по криптовалютному комплаенсу помогает определить правовой статус бизнеса, оценить необходимость регистрации и лицензирования, подготовить внутренние правила и организовать ответ на запрос банка, аудитора или государственного органа.

Работа начинается не с готового шаблона AML-политики. Сначала нужно понять, что именно делает компания.

Название проекта не определяет его правовой статус

В презентации продукт может называться протоколом, кошельком, маркетплейсом, платежным шлюзом или программной платформой. Для правовой оценки важнее его реальные функции.

Необходимо разобраться, принимает ли компания активы клиентов, хранит ли приватные ключи, может ли блокировать или разрешать вывод, переводит ли стоимость от одного лица другому и получает ли вознаграждение за такие операции.

Также имеют значение менее очевидные детали.

Кто управляет интерфейсом? Может ли компания изменить смарт-контракт? Кто контролирует административные ключи? Имеется ли общий баланс пользователей? Каким образом клиент пополняет счет и получает активы обратно?

Две внешне похожие платформы могут требовать разного подхода.

Один сервис предоставляет пользователю программное средство, не получая доступа к активам. Другой фактически удерживает средства и выполняет переводы по поручению клиентов. Разница в технической архитектуре способна повлиять на лицензирование, AML-контроль и объем ответственности.

Поэтому юрист по блокчейн-проектам в США должен изучить не только договоры и сайт, но и реальный путь транзакции.

Что нужно выяснить до запуска

До выхода продукта на рынок полезно получить ответы хотя бы на несколько основных вопросов.

Какую услугу оказывает компания? Получает ли она контроль над цифровыми активами? Кто является клиентом? В каких штатах он находится? Может ли пользователь переводить стоимость другому лицу? Работает ли компания с обычной валютой? Какие функции выполняют банки, кастодианы и другие партнеры?

Ответы позволяют построить карту регулирования.

В одном случае потребуется регистрация в качестве money services business, то есть бизнеса по оказанию определенных денежных услуг. В другом основное внимание придется уделить лицензиям штатов. Для проекта, работающего в Нью-Йорке, может возникнуть вопрос о BitLicense или ином разрешении.

Отдельно анализируются санкционные ограничения, характер предлагаемых токенов, защита клиентских активов и заявления, используемые в рекламе.

Проверка должна проводиться до того, как техническая и коммерческая модель станет слишком дорогой для изменения.

Федеральные правила FinCEN

FinCEN — подразделение Министерства финансов США, отвечающее за применение положений Bank Secrecy Act в своей сфере.

В руководстве FinCEN используются понятия user, administrator и exchanger применительно к конвертируемой виртуальной валюте. Пользователь, который приобретает цифровой актив для оплаты товаров или услуг, сам по себе не считается money services business. В то же время administrator или exchanger, принимающий и передающий такую стоимость либо покупающий и продающий ее как бизнес, может рассматриваться как money transmitter, если не применяется исключение. Итоговая квалификация зависит от фактических обстоятельств.

Для бизнеса это означает, что нельзя ограничиться формулировкой «мы не являемся банком».

Если компания принимает цифровую стоимость от одного лица и передает ее другому лицу или в другое место, необходимо проверить, подпадает ли эта деятельность под федеральное понятие money transmission.

При этом один продукт может сочетать несколько функций. Например, платформа предоставляет программное обеспечение, хранит активы и позволяет пользователям обменивать их между собой. Каждая часть модели требует отдельного анализа.

Регистрация MSB не заменяет лицензии штатов

Федеральная регистрация и лицензирование на уровне штатов решают разные задачи.

Компания может выполнить требования FinCEN, но при этом нуждаться в разрешениях в штатах, где она обслуживает клиентов. Федеральное руководство прямо оговаривает, что его выводы по Bank Secrecy Act не определяют соответствие другим федеральным или региональным законам.

Лицензионная стратегия зависит от функций продукта, географии пользователей и порядка движения активов.

Важны следующие обстоятельства:

• работает ли сервис с обычными деньгами или только с цифровыми активами;
• принимает ли он средства на хранение;
• выполняет ли переводы по поручению клиента;
• может ли клиент отправить активы третьему лицу;
• действует ли компания напрямую или через лицензированного партнера;
• в каких штатах находится фактическая аудитория.

Карта лицензирования должна соответствовать реальной деятельности. Если компания заявляет, что не обслуживает жителей определенного штата, но принимает их документы, платежи и обращения в поддержку, одного ограничения в пользовательском соглашении может оказаться недостаточно.

Работа с клиентами из Нью-Йорка

Штат Нью-Йорк применяет отдельный режим к virtual currency business activity.

Для ведения регулируемой деятельности компания может обращаться за BitLicense либо за разрешением в рамках банковского законодательства штата, например через структуру limited purpose trust company. Выбор зависит от модели бизнеса и планируемых операций. Департамент финансовых услуг штата также указывает, что неполная заявка не считается готовой к содержательному рассмотрению и может быть существенно задержана.

Подготовка к лицензированию начинается не с заполнения анкеты.

Регулятору нужно последовательно объяснить, как работает продукт, кто контролирует активы, как проверяются клиенты и каким образом компания выявляет подозрительные операции. В документах также могут рассматриваться капитализация, кибербезопасность, управление, жалобы пользователей, внутренний контроль и отношения с поставщиками.

Противоречия между документами быстро становятся заметны.

Например, бизнес-план утверждает, что компания не хранит активы, а пользовательское соглашение позволяет ей приостанавливать вывод. AML-политика предусматривает ручное рассмотрение операций, хотя у компании нет сотрудников, которые должны выполнять такую работу.

Лицензионный пакет должен описывать существующий продукт, а не предполагаемую будущую компанию.

AML-программа должна работать в реальных ситуациях

AML означает систему мер по противодействию отмыванию денег.

Плохая AML-политика обычно выглядит убедительно только до первого вопроса: кто и что делает на практике?

В документе может быть написано, что компания оценивает риск клиента. Но как именно присваивается уровень риска? Кто утверждает высокий лимит? Что происходит после срабатывания мониторинга? Может ли сотрудник самостоятельно закрыть предупреждение? Где сохраняется объяснение принятого решения?

Рабочая программа связывает требования с устройством бизнеса.

Для розничной биржи важны регистрация аккаунта, источники пополнения, вывод активов, смена устройств и резкое изменение обычной активности.

Институциональная платформа может больше внимания уделять структуре собственности компании-клиента, уполномоченным трейдерам, происхождению средств и ожидаемому объему операций.

Криптовалютный платежный сервис должен учитывать не только отправителя, но и получателя, назначение операции и доступную информацию о кошельках.

Цель программы — не собрать как можно больше документов. Она должна позволять компании понимать риск и принимать объяснимые решения.

KYC не заканчивается после загрузки паспорта

KYC — это идентификация и проверка клиента.

На практике она может включать проверку личности, адреса, корпоративных документов, собственников бизнеса и полномочий представителей.

Однократной проверки при открытии аккаунта бывает недостаточно.

Профиль пользователя меняется. Частный клиент начинает проводить крупные операции от имени компании. Небольшой бизнес внезапно увеличивает объем переводов. Меняется собственник юридического лица. Появляются операции со странами и контрагентами, которые ранее не соответствовали заявленной деятельности.

Компания должна понимать, в каких случаях информация обновляется и когда требуется усиленная проверка.

Избыточно жесткая система тоже создает проблемы. Если любой нестандартный перевод приводит к полной блокировке аккаунта, бизнес получает жалобы и вынужден вручную разбирать большое количество ложных срабатываний.

Разумный комплаенс не означает одинакового отношения ко всем клиентам. Он строится с учетом риска.

Мониторинг блокчейн-транзакций

Специализированные аналитические системы помогают связывать адреса с биржами, сервисами, взломами, мошенническими операциями и санкционными рисками.

Но отчет аналитической программы не должен автоматически заменять решение специалиста.

Метка адреса может основываться на публичных данных, алгоритмической группировке или информации от другого клиента. Непрямая связь в несколько транзакций не всегда означает, что нынешний пользователь знал о первоначальном источнике средств.

Компания должна определить, что именно считается значимым совпадением.

Имеют значение расстояние между адресами, сумма, время, доля спорных средств, история клиента и назначение перевода. Небольшой нежелательный перевод на публичный адрес отличается от прямой операции с известным запрещенным контрагентом.

Внутренняя процедура должна объяснять, кто проверяет срабатывание и на основании чего принимает решение.

Если аккаунт закрывается или активы блокируются, спустя время компания должна иметь возможность восстановить логику своих действий.

Санкционный контроль цифровых активов

OFAC прямо указывает, что санкционные обязательства распространяются на операции с виртуальной валютой так же, как на операции с традиционными деньгами. Руководство ведомства рекомендует участникам отрасли оценивать свой риск и строить соответствующую ему программу контроля.

Для криптовалютной компании проверка может включать не только имя клиента.

Анализируются адреса кошельков, страна, IP-информация, контрагенты, структура владения компанией и история операций.

Особую сложность представляет ситуация, когда система обнаруживает потенциально заблокированную собственность после поступления активов.

Сотрудники должны заранее знать, можно ли остановить вывод, кто принимает решение, какие записи сохраняются и требуется ли сообщение государственному органу.

Санкционные меры меняются, поэтому одна проверка при регистрации клиента не решает все вопросы. OFAC подчеркивает необходимость оценки рисков и соблюдения запретов на прямые и косвенные операции с заблокированными лицами и имуществом.

Внутренняя политика не должна описывать несуществующую компанию

Комплаенс-документы часто готовятся по шаблону. Это быстрее, но может создать очевидные несоответствия.

В политике упоминается комитет, которого никогда не было. Предусмотрена ежегодная независимая проверка, но никто не назначен ответственным. Указано программное обеспечение, которое компания не использует. Описан порядок ручного анализа, хотя вся команда состоит из трех разработчиков.

Во время проверки такие детали быстро обнаруживаются.

Хорошая политика не обязана быть чрезмерно длинной. Она должна отвечать на практические вопросы:

кто несет ответственность, какой сотрудник принимает решение, когда вопрос передается руководителю и каким образом результат фиксируется.

Комплект документов зависит от продукта. Он может включать правила AML и KYC, санкционную политику, мониторинг транзакций, хранение данных, работу с жалобами, управление поставщиками и реагирование на инциденты.

Главное — чтобы сотрудники понимали эти документы и действительно следовали им.

Кто отвечает за комплаенс

В небольшой компании функции могут быть распределены между основателем, операционным директором и внешними специалистами.

По мере роста такая модель становится уязвимой.

Если никто не имеет окончательных полномочий, предупреждения остаются без решения. Если все вопросы решает один сотрудник, работа останавливается во время его отсутствия. Если комплаенс полностью передан подрядчику, руководство может не понимать, почему аккаунты открываются или блокируются.

Внутренние правила должны определять ответственность.

Кто утверждает высокорискового клиента? Кто сообщает о серьезном нарушении руководству? Кто контролирует сроки хранения данных? Кто проверяет работу поставщика KYC? Кто отвечает банку или регулятору?

Привлечение внешнего сервиса не отменяет необходимости контролировать результат.

Компания должна понимать ограничения используемых систем и сохранять собственную историю решений.

Оценка рисков бизнеса

Risk assessment — это не общий документ о том, что криптовалюта может использоваться в незаконных целях.

Оценка должна быть связана с конкретным продуктом.

Для одной компании основным риском становятся быстрые переводы между множеством личных кошельков. Для другой — непрозрачная структура корпоративных клиентов. Для третьей — работа с регионами, подверженными санкционным ограничениям.

Анализ обычно учитывает:

• типы клиентов;
• страны и штаты;
• поддерживаемые активы;
• способы пополнения и вывода;
• лимиты;
• наличие кастодиального контроля;
• скорость и необратимость операций;
• посредников и поставщиков;
• историю инцидентов.

После запуска оценку нужно обновлять.

Если биржа добавила новый токен, открыла институциональное направление или начала обслуживать новый регион, прежний документ может больше не отражать ее деятельность.

Добавление нового токена или услуги

Комплаенс-проверка нужна не только при создании компании.

Новый продукт способен изменить правовой статус уже работающего бизнеса.

Биржа добавляет стейкинг. Кошелек получает функцию обмена активов. Платформа начинает хранить средства пользователей. Разработчик выпускает токен и открывает доступ американским покупателям.

Перед запуском необходимо понять, меняется ли движение средств и появляется ли новый посреднический контроль.

Также оцениваются описание продукта, обещания пользователям, порядок хранения активов, источники дохода и возможность приостановить операцию.

Регулирование цифровых активов продолжает развиваться. SEC указывает, что ее Crypto Task Force работает над разграничением ценных бумаг и иных цифровых активов, раскрытием информации и возможными путями регистрации участников рынка. Поэтому старое юридическое заключение не следует автоматически применять к изменившемуся продукту.

Новая функция заслуживает новой оценки, даже если основная платформа уже проходила юридическую проверку.

Иностранный проект и американские пользователи

Компания может не иметь офиса в США, но все равно столкнуться с американскими требованиями.

Имеют значение не только место регистрации и сервер.

Следует учитывать, обслуживает ли проект клиентов из США, принимает ли американские платежи, рекламируется ли на американском рынке и использует ли местных посредников.

Иногда иностранная компания пишет в правилах, что не работает с пользователями из США, но продолжает принимать их документы и обрабатывать обращения. Формальный запрет в соглашении может не соответствовать фактической деятельности.

Возможные решения различаются.

Проект может ограничить доступ для отдельных регионов, изменить функциональность, создать американскую структуру, получить необходимые разрешения или работать через регулируемого партнера.

Но решение должно выполняться технически и организационно, а не существовать только на бумаге.

Работа с банками и платежными партнерами

Открытие банковского счета для криптовалютного бизнеса часто требует подробного объяснения модели.

Банк может запросить информацию о клиентах, географии, транзакционном мониторинге, санкционном контроле и происхождении дохода компании.

Ответы должны совпадать с лицензиями, пользовательскими документами и реальной практикой.

Если банку сообщается, что компания не хранит клиентские активы, а техническая схема показывает обратное, доверие быстро теряется.

Проблемы возникают и после открытия счета. Банк может запросить пояснения по отдельным переводам, статистику клиентов или результаты независимой проверки.

Такой запрос не всегда означает расследование. Но отвечать на него следует точно и последовательно.

Попытка быстро успокоить банк неподтвержденными объяснениями способна привести к закрытию счета и последующим вопросам других организаций.

Проверка поставщиков

Криптовалютный бизнес зависит от сторонних сервисов.

Компания использует платформу для проверки личности, блокчейн-аналитику, облачное хранилище, кастодиана и платежного партнера. Каждый поставщик становится частью общей системы контроля.

Перед подключением нужно понять, какие данные он использует и насколько надежны его выводы.

Например, поставщик аналитики может менять метку адреса без уведомления. Сервис KYC может плохо проверять документы определенной страны. Облачная компания может хранить данные в юрисдикции, которую бизнес не учитывал.

Договор должен соответствовать риску.

Имеют значение доступ к данным, уведомление об инцидентах, право на проверку, использование субподрядчиков и порядок возврата информации после прекращения сотрудничества.

Сам факт известности поставщика не освобождает компанию от контроля его работы.

Внутренняя проверка после обнаружения проблемы

Комплаенс-нарушение может обнаружить сотрудник, банк, регулятор или клиент.

Сначала необходимо понять масштаб.

Один неполный документ в профиле клиента отличается от ситуации, когда система мониторинга не работала несколько месяцев. Ошибка конкретного сотрудника отличается от продукта, который технически не позволял выполнять заявленные правила.

Внутренняя проверка должна установить:

когда возникла проблема, кто о ней знал, какие клиенты и транзакции затронуты и продолжается ли нарушение.

После этого выбираются меры.

Компания может обновить правила, ограничить отдельные функции, повторно проверить клиентов, изменить мониторинг, заменить поставщика или временно остановить продукт.

Исправления следует документировать. Важно показать не только факт изменения политики, но и то, как будет проверяться ее выполнение.

Если проверка может выявить правонарушение, необходимо заранее определить роль адвоката и порядок работы с конфиденциальными материалами.

Запрос регулятора или правоохранительного органа

Не каждый запрос означает, что против компании уже начато дело.

Он может быть частью обычной проверки, лицензирования или надзора. Но иногда вопросы указывают на возможное принудительное разбирательство.

Компания должна определить отправителя, правовое основание, срок и объем требуемых материалов.

Нельзя допускать, чтобы разные сотрудники отправляли противоречивые ответы.

Передача документов требует организации. Следует сохранить исходные файлы, проверить их полноту и отделить материалы, которые могут быть защищены адвокатской тайной.

Если государственный орган запрашивает об одной операции, не всегда разумно передавать неподготовленное описание всей деятельности компании. Ответ должен быть полным в пределах запроса и основанным на проверенных фактах.

При серьезном риске одновременно готовятся юридическая позиция и план исправления выявленных недостатков.

Комплаенс и уголовный риск

Плохая внутренняя процедура не всегда означает преступление.

Система может не справиться с ростом, сотрудник может допустить ошибку, а правило — оказаться недостаточно ясным.

Но ситуация становится опаснее, если руководство знало о серьезной проблеме и сознательно продолжало деятельность, скрывало информацию или давало банкам и регуляторам заведомо неверные ответы.

Поэтому внутренние сообщения и решения руководства имеют большое значение.

Протоколы совещаний, отчеты комплаенс-отдела и задачи разработчикам могут показать, что компания выявляла риск и пыталась его устранить.

Они могут показать и обратное.

Юрист по криптовалютным биржам должен учитывать не только лицензионные требования, но и то, как решения будут выглядеть в случае будущего расследования.

Как может помочь юрист по криптовалютному комплаенсу

Объем работы зависит от стадии проекта.

Перед запуском требуется понять бизнес-модель и возможные лицензии. Растущей платформе нужны более зрелые правила, проверка новых продуктов и взаимодействие с банками.

Компания, уже получившая запрос, нуждается в сохранении документов, внутреннем расследовании и подготовке ответа.

Юридическое сопровождение может включать:

• анализ движения средств и контроля над активами;
• определение возможного статуса MSB;
• оценку лицензирования в штатах;
• подготовку к BitLicense;
• разработку AML-, KYC- и санкционных процедур;
• проверку правил мониторинга транзакций;
• оценку новых токенов и сервисов;
• внутренние расследования;
• подготовку ответов банкам и государственным органам;
• координацию с техническими специалистами и местными адвокатами.

Задача состоит не в создании иллюзии полного отсутствия риска. Комплаенс должен позволять компании понимать свои обязательства и подтверждать, как они выполняются.

Вопросы о регулировании криптовалютного бизнеса

Нужна ли каждой криптовалютной бирже одинаковая лицензия?

Нет. Требования зависят от функций сервиса, контроля над активами, способов перевода стоимости и местонахождения клиентов.

Достаточно ли зарегистрироваться в FinCEN?

Не всегда. Федеральная регистрация не отменяет отдельного анализа лицензий штатов и других требований.

Когда нужно готовить AML и KYC?

До запуска. Если необходимые данные не собирались с самого начала, позднее восстановить полную историю клиентов и операций бывает сложно.

Можно ли полностью передать KYC внешнему сервису?

Поставщик может выполнять техническую проверку, но компания должна понимать методику, ограничения и порядок принятия решений.

Нужна ли BitLicense всем проектам, доступным в Нью-Йорке?

Не автоматически. Нужно определить, выполняет ли компания деятельность, регулируемую правилами штата. Для соответствующей virtual currency business activity предусмотрены BitLicense или разрешение в рамках банковского законодательства Нью-Йорка.

Исключает ли некастодиальная модель все требования?

Нет. Отсутствие хранения активов имеет значение, но необходимо также изучить контроль над переводами, интерфейс, комиссии и дополнительные услуги.

Что делать после запроса банка?

Определить его причину, собрать точные сведения и подготовить согласованный ответ. Не следует отправлять предположения или описание, противоречащее реальной работе продукта.

Когда обращаться к юристу?

До запуска в США, при добавлении новых функций, перед выходом в новый штат, после запроса банка или регулятора, а также при обнаружении существенного недостатка в системе контроля.

Комплаенс должен развиваться вместе с продуктом

Документы, подготовленные перед запуском, не могут оставаться неизменными, если сама компания выросла в несколько раз.

Появляются новые активы, клиенты, поставщики и способы перевода средств. Меняется география. Увеличивается нагрузка на сотрудников, которые проверяют операции.

Система контроля должна отражать эти изменения.

Arkady Bukh Law Firm консультирует криптовалютные биржи и блокчейн-компании по вопросам лицензирования, AML и KYC, санкционного контроля, внутренних процедур, оценки рисков и взаимодействия с американскими органами.

Юридическая работа помогает связать техническую модель, документы и фактическую деятельность компании, чтобы они не существовали как три разные версии одного бизнеса.