3 dni temu
Nowy model płatności, platforma inwestycyjna oparta na algorytmach czy usługa wykorzystująca tokenizację aktywów mogą być technologicznie gotowe długo przed tym, zanim przedsiębiorca uzyska pewność co do ich statusu prawnego. Właśnie w takich sytuacjach pojawia się pytanie, jak działa piaskownica regulacyjna KNF. Nie jest to jednak strefa, w której przestają obowiązywać przepisy, ale narzędzie pozwalające wcześniej i bezpieczniej zweryfikować, jak innowacja funkcjonuje na styku rynku, prawa oraz nadzoru.
Dla założyciela fintechu piaskownica może skrócić drogę do rozpoznania kluczowych ryzyk regulacyjnych. Dla zespołu compliance jest okazją do zbudowania kontroli jeszcze przed pełnym wdrożeniem produktu. Nie zastępuje natomiast zezwolenia, wpisu do rejestru ani profesjonalnej analizy modelu biznesowego.
Czym jest piaskownica regulacyjna KNF
Piaskownica regulacyjna KNF jest formułą testowania innowacyjnych usług lub produktów finansowych w kontrolowanych warunkach, przy kontakcie z organem nadzoru i z uwzględnieniem ochrony uczestników testu. Jej praktyczny sens polega na tym, aby przedsiębiorca nie musiał podejmować najważniejszych decyzji regulacyjnych wyłącznie na podstawie abstrakcyjnej interpretacji przepisów.
W centrum nie stoi sam kod, aplikacja czy wykorzystanie blockchaina. Przedmiotem oceny jest model działalności: kto świadczy usługę, komu, za jakim wynagrodzeniem, na jakich aktywach operuje, jak przepływają środki oraz kto ponosi ryzyko. Ten sam mechanizm technologiczny może być poza obszarem reglamentacji finansowej w jednym zastosowaniu, a w drugim prowadzić do obowiązków wynikających z prawa płatniczego, regulacji inwestycyjnych, przepisów AML albo rozporządzenia MiCA.
Piaskownica ma charakter praktyczny. Jej uczestnik opisuje projekt, zakres testu, grupę użytkowników, czas trwania oraz środki zabezpieczające. Następnie test odbywa się w granicach ustalonych dla konkretnego przypadku. Zakres i forma programu mogą się zmieniać wraz z aktualnymi zasadami komunikowanymi przez UKNF, dlatego przed zgłoszeniem należy weryfikować bieżące warunki naboru i dokumentację.
Piaskownica nie jest zwolnieniem z prawa
Najczęstszy błąd polega na traktowaniu piaskownicy jako czasowego wyłączenia obowiązywania regulacji. Tak nie jest. Udział w teście nie legalizuje działalności, która wymaga zezwolenia, gdy przedsiębiorca go nie posiada. Nie usuwa też obowiązków dotyczących przeciwdziałania praniu pieniędzy, ochrony danych osobowych, tajemnicy zawodowej, praw konsumentów czy cyberbezpieczeństwa.
Znaczenie piaskownicy jest inne. Umożliwia doprecyzowanie oczekiwań nadzorczych i przetestowanie rozwiązań organizacyjnych w ograniczonej skali. o ile model wymaga działalności licencjonowanej, test powinien być osadzony w konstrukcji prawnej, która nie prowadzi do naruszenia przepisów. W praktyce może to oznaczać współpracę z podmiotem posiadającym adekwatne uprawnienia, ograniczenie funkcji produktu albo zmianę kolejności wdrożenia.
To rozróżnienie ma szczególne znaczenie dla projektów kryptoaktywnych. Fakt, iż usługa wykorzystuje token, nie przesądza ani o jej innowacyjności, ani o braku regulacji. Trzeba ustalić między innymi, czy token jest objęty rozporządzeniem MiCA, czy ma cechy instrumentu finansowego, czy usługa obejmuje przechowywanie aktywów klientów, wykonywanie zleceń lub doradztwo. Piaskownica może pomóc uporządkować te pytania, ale nie zastępuje kwalifikacji prawnej.
Jak przebiega udział w piaskownicy regulacyjnej KNF
Proces zwykle zaczyna się od przedstawienia projektu w sposób znacznie bardziej konkretny niż prezentacja dla inwestora. Organ nadzoru musi rozumieć nie tylko wartość biznesową rozwiązania, ale także jego mechanikę prawną i operacyjną. Deklaracja, iż produkt jest oparty na sztucznej inteligencji lub technologii DLT, nie będzie wystarczająca.
Przedsiębiorca powinien opisać problem, który produkt rozwiązuje, oraz wskazać, na czym polega jego rzeczywista nowość. Następnie należy przedstawić architekturę usługi, role podmiotów uczestniczących, przepływy pieniężne i danych, model przychodów oraz planowaną grupę użytkowników. Konieczne jest też wskazanie przepisów, które budzą wątpliwości, i własnego, wstępnego stanowiska prawnego.
Po ocenie zgłoszenia mogą pojawić się pytania uzupełniające. Dotyczą one często ochrony klienta, mechanizmów identyfikacji użytkownika, outsourcingu technologicznego, bezpieczeństwa środowiska teleinformatycznego, reklamacji, konfliktów interesów i zasad zakończenia testu. Dopiero po ustaleniu odpowiednich ram można przejść do testowania.
Test powinien mieć mierzalny cel. Nie wystarczy stwierdzić, iż firma chce sprawdzić zainteresowanie usługą. Lepszym celem jest weryfikacja skuteczności procedury oceny klienta, działania limitów transakcyjnych, odporności procesu autoryzacji albo zrozumiałości komunikatów o ryzyku. Wyniki testu muszą pozwolić podjąć decyzję: skalować produkt, zmienić jego konstrukcję, wystąpić o zezwolenie albo zrezygnować z określonej funkcjonalności.
Kto może skorzystać i kiedy ma to sens
Piaskownica jest adresowana przede wszystkim do podmiotów rozwijających innowacje dla sektora finansowego lub na jego pograniczu. Mogą to być startupy, dojrzałe instytucje finansowe, dostawcy technologii, a także przedsiębiorcy budujący produkt wspólnie z podmiotem regulowanym.
Nie każdy innowacyjny projekt wymaga jednak tej ścieżki. o ile problem sprowadza się do standardowego wdrożenia znanej usługi, a przepisy i praktyka rynkowa są jasne, bardziej efektywna może być zwykła analiza compliance. Piaskownica ma największą wartość tam, gdzie występuje realna niepewność interpretacyjna połączona z gotowością do przeprowadzenia ograniczonego, dobrze zabezpieczonego testu.
Warto też odróżnić piaskownicę regulacyjną od wsparcia o charakterze informacyjnym. Konsultacja dotycząca przepisów może pomóc zrozumieć stanowisko nadzoru, ale nie zawsze obejmuje etap działania produktu z użytkownikami. Piaskownica jest bardziej wymagająca organizacyjnie, ponieważ zakłada przygotowanie scenariusza testowego, kontroli ryzyka i zasad komunikacji z uczestnikami.
Ochrona uczestników testu jako warunek podstawowy
Im bliżej realnych klientów znajduje się test, tym wyższe są oczekiwania dotyczące ochrony ich interesów. Uczestnik powinien jasno wiedzieć, iż korzysta z rozwiązania testowego, rozumieć jego ograniczenia oraz otrzymać czytelne informacje o ryzykach, opłatach i procedurze reklamacyjnej. Nie może to być informacja ukryta w regulaminie liczącym kilkadziesiąt stron.
Szczególnej ostrożności wymagają produkty, w których użytkownik przekazuje środki pieniężne lub kryptoaktywa, podejmuje decyzje inwestycyjne albo ujawnia dane wrażliwe ekonomicznie. Potrzebne mogą być limity ekspozycji, ograniczenia liczby uczestników, procedury obsługi incydentów i plan uporządkowanego zakończenia testu. Trzeba również określić, co stanie się z danymi, środkami i otwartymi zleceniami, o ile projekt nie przejdzie do fazy komercyjnej.
W projektach wykorzystujących modele AI dochodzi jeszcze kwestia wyjaśnialności decyzji, jakości danych oraz nadzoru człowieka nad procesem automatycznym. o ile algorytm wpływa na ocenę zdolności klienta do poniesienia ryzyka, kwalifikację transakcji lub wykrywanie nadużyć, dokumentacja testu powinna pokazywać, jak firma monitoruje błędy i dyskryminujące skutki modelu.
Jak przygotować projekt do zgłoszenia
Najlepsze zgłoszenia nie zaczynają się od formularza, ale od wewnętrznego audytu modelu. Zespół powinien potrafić w kilku zdaniach wyjaśnić, jaką czynność finansową wykonuje produkt i dlaczego obecne otoczenie regulacyjne nie daje jednoznacznej odpowiedzi. Dopiero potem warto rozwijać opis technologii.
Praktycznie przydatne jest przygotowanie mapy przepływów: pieniędzy, kryptoaktywów, danych i odpowiedzialności. Taka mapa gwałtownie ujawnia pytania, które w prezentacji biznesowej bywają pomijane: czy firma wchodzi w posiadanie aktywów klienta, kto realizuje KYC, gdzie znajdują się serwery, jaki dostawca wykonuje krytyczną funkcję oraz kto odpowiada za szkodę powstałą wskutek awarii.
Należy także przygotować realistyczny plan testu z kryteriami wejścia i wyjścia. Nadmiernie szeroki projekt zwiększa ryzyko, iż nie będzie możliwe wykazanie adekwatności zabezpieczeń. Zbyt wąski może z kolei nie dać danych potrzebnych do oceny produktu. adekwatny zakres zależy od rodzaju usługi, profilu klienta i skali potencjalnej szkody.
Piaskownica regulacyjna nie daje przedsiębiorcy gotowej odpowiedzi na każde pytanie prawne. Daje jednak możliwość zadania tych pytań na etapie, na którym zmiana produktu, umowy lub procesu governance kosztuje znacznie mniej niż korekta po publicznym wdrożeniu. Dla projektu finansowego to często nie przywilej, ale rozsądny element zarządzania ryzykiem.
