Безопасность криптобизнеса: какие правила обязательны
Отдельного «закона о кибербезопасности» для криптобизнеса в Грузии не существует — ни для бирж, ни для провайдеров кошельковых сервисов. Обязательная правовая рамка, которая предъявляет к такому бизнесу требования безопасности и контроля, вытекает из его статуса подотчётного лица: включив провайдера услуг на основе виртуальных активов в число финансовых институтов, закон Грузии «О предотвращении отмывания денег и финансирования терроризма» обязывает его внедрить систему контроля соответствия и обеспечить сопровождение переводов требуемой сопровождающей информацией. На этой странице мы разъясняем, что это значит на практике и какие последствия влечёт нарушение.
Статус подотчётного лица и его круг
Закон определяет три группы подотчётных лиц: финансовые институты, лиц, осуществляющих нефинансовую деятельность, и публичные учреждения. Провайдер услуг на основе виртуальных активов прямо перечислен среди финансовых институтов — рядом с коммерческими банками, микрофинансовыми организациями, провайдерами платёжных услуг и другими. Криптобизнес, таким образом, получает свои «стандарты безопасности» не из отдельного акта, а из общего режима, распространённого на весь финансовый сектор. При этом требования закона условно распространяются и на других лиц: например, адвокат или нотариус становится подотчётным, если обслуживает клиента по вопросам, связанным в том числе с управлением денежными средствами, ценными бумагами или конвертируемым виртуальным активом, управлением банковским счётом, созданием юридического лица или куплей-продажей долей. Отдельные формы профессиональной деятельности — в том числе дача юридических консультаций и представительство в суде — этим требованиям не подчиняются.
Переводы конвертируемого виртуального актива и сопровождающая информация
Закон отдельно определяет операцию перевода конвертируемого виртуального актива: это совершённая цифровым средством по инициативе инициатора либо по его поручению или с его согласия операция, обеспечивающая получателю доступность конвертируемого виртуального актива; инициатор и получатель могут быть одним и тем же лицом. К этим операциям предъявляются два прямых требования. Первое: провайдер услуг на основе виртуальных активов обязан обеспечить, чтобы переводу или приёму конвертируемого виртуального актива сопутствовала сопровождающая информация, определённая надзорным органом в установленном порядке. Второе: провайдер получателя конвертируемого виртуального актива должен изучить, существует ли основание для представления отчёта, если перевод полностью не содержит идентификационные данные инициатора или получателя в соответствии с установленным порядком. Технически это значит, что система переводов должна изначально строиться так, чтобы сопровождающие данные записывались и сохранялись — встраивать это в работающую платформу значительно дороже.
Система контроля соответствия: реальная рамка безопасности
Закон обязывает подотчётное лицо внедрить такие внутренние политики, правила, системы и механизмы контроля, которые пропорциональны характеру и объёму его деятельности и связанным с ней рискам отмывания денег и финансирования терроризма. Для внедрения разрабатывается внутренняя инструкция, утверждаемая органом управления или лицом с руководящими полномочиями. Инструкция определяет, среди прочего, права и обязанности ответственного за функционирование системы контроля соответствия лица или подразделения; правила отбора сотрудников с высокой квалификацией и репутацией; программу непрерывного обучения; и независимую функцию аудита для проверки эффективности системы. Подотчётное лицо обязано обеспечивать ответственным лицам эффективное и своевременное получение информации и право принимать независимые решения. Должность руководителя контроля соответствия должна соответствовать верхнему иерархическому уровню, а член органа управления или лицо с руководящими полномочиями отвечает за эффективность системы. Именно эти документы и роли, а не общий сертификат безопасности, и составляют «стандарт безопасности криптобизнеса» по грузинскому праву.
Ответственность и реальная граница
Закон устанавливает взыскание за неисполнение предусмотренных им требований: неисполнение лицом установленных требований влечёт предупреждение, а повторное совершение того же деяния — штраф в размере 1 000 лари. Подотчётное лицо из перечня при этом не подразумевается — к нему применяется отдельный, специальный режим ответственности, размещённый в отдельной главе и выходящий за рамки темы этой страницы. Реальный ущерб чаще лежит не в штрафе, а в ограничении деятельности и репутации: для поднадзорного провайдера дефект системы контроля напрямую отражается на доверии клиентов и партнёрских отношениях.
Чем мы можем помочь
Мы помогаем криптобизнесу разобраться в обязательном режиме: определяем, подпадает ли ваша модель под определение подотчётного лица, готовим проект внутренней инструкции и описание системы контроля соответствия, планируем правовые требования к встраиванию сопровождающей информации в платформу. Обратитесь — мы оценим вашу ситуацию по действующему законодательству.
На практике система контроля соответствия в криптобизнесе состоит из трёх слоёв: документального — утверждённой инструкции и политик; организационного — ответственного лица или подразделения, его права принимать независимые решения и подотчётности верхнему уровню; и технического — мониторинга переводов, фиксации сопровождающей информации и хранения данных. Требование пропорциональности по закону означает, что системы небольшого провайдера и масштабной платформы будут различаться, однако все три слоя одинаково необходимы обоим: дефект в любом из них обесценивает всю систему. По нашему опыту, чаще всего без внимания остаётся именно технический слой — инструкция написана, а платформа не способна сохранять сопровождающие данные.