6 dni temu
Rozporządzenie MiCA nie jest wyłącznie nowym zbiorem obowiązków dla giełd kryptowalut. W wielu przedsiębiorstwach ocena skutków MiCA powinna zacząć się od pytania bardziej podstawowego: czy dany model biznesowy w ogóle dotyczy kryptoaktywów objętych regulacją, a o ile tak – w jakiej roli firma występuje. Błędna odpowiedź może prowadzić albo do kosztownego nadmiaru compliance, albo, co groźniejsze, do świadczenia regulowanej usługi bez adekwatnego zezwolenia.
MiCA, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1114, ustanawia jednolite ramy dla emisji kryptoaktywów oraz usług związanych z kryptoaktywami w Unii Europejskiej. Jego znaczenie wykracza jednak poza podmioty, które określają się jako „crypto”. Dotyczy także fintechów, platform inwestycyjnych, dostawców portfeli, emitentów tokenów użytkowych, grup kapitałowych i projektów wykorzystujących tokenizację aktywów.
Ocena skutków MiCA zaczyna się od kwalifikacji produktu
Pierwszym etapem nie powinno być sporządzanie checklisty obowiązków, ale ustalenie przedmiotu regulacji. MiCA obejmuje co do zasady kryptoaktywa, których nie regulują odrębne akty prawa Unii dotyczące tradycyjnych instrumentów finansowych. To zastrzeżenie ma praktyczne znaczenie. Token może być technicznie zapisany w technologii DLT, ale prawnie kwalifikować się jako instrument finansowy, depozyt, produkt ubezpieczeniowy czy inny instrument wyłączony z zakresu MiCA.
W konsekwencji analiza nie może opierać się wyłącznie na nazwie marketingowej tokena. „Utility token”, „token inwestycyjny” albo „NFT” nie są samodzielnymi kategoriami rozstrzygającymi o reżimie prawnym. Liczą się cechy ekonomiczne, prawa przyznawane posiadaczowi, sposób dystrybucji, możliwość standaryzacji i faktyczna funkcja produktu.
Szczególnej ostrożności wymagają tokeny oferujące ekspozycję na przychody projektu, wartość aktywów, instrumenty finansowe lub prawa korporacyjne. W takich przypadkach konieczne może być zbadanie regulacji rynku kapitałowego, w tym MiFID II, a nie poprzestanie na MiCA. Odwrotna pomyłka również bywa kosztowna: uznanie każdego tokena za instrument finansowy może niepotrzebnie zamknąć projekt w reżimie znacznie bardziej wymagającym niż adekwatny.
Trzy kategorie o odmiennym ciężarze regulacyjnym
Jeżeli kryptoaktywo mieści się w zakresie MiCA, trzeba ustalić jego kategorię. Rozporządzenie odrębnie traktuje tokeny powiązane z aktywami, tokeny będące e-pieniądzem oraz pozostałe kryptoaktywa, do których najczęściej należą tokeny użytkowe.
Różnice nie są formalne. Token powiązany z aktywami ma utrzymywać stabilną wartość przez odniesienie do innych wartości lub praw, natomiast token będący e-pieniądzem odnosi się do jednej waluty urzędowej. Dla obu rodzajów ustawodawca przewidział podwyższone wymogi dotyczące między innymi rezerw, wykupu, governance, zarządzania ryzykiem i nadzoru. Emisja tokenów będących e-pieniądzem jest zasadniczo zastrzeżona dla instytucji kredytowych lub instytucji pieniądza elektronicznego.
Dla zwykłego tokena użytkowego najważniejsze będzie natomiast to, czy następuje oferta publiczna lub dopuszczenie do obrotu. W wielu przypadkach potrzebny będzie dokument informacyjny dotyczący kryptoaktywa, powszechnie określany jako white paper. Nie jest to prospekt emisyjny w rozumieniu prawa rynku kapitałowego, ale nie oznacza to dowolności. Dokument musi być rzetelny, jasny i niewprowadzający w błąd, a odpowiedzialność za jego treść może mieć realny wymiar cywilny i reputacyjny.
Kiedy przedsiębiorca staje się CASP
Drugim filarem analizy jest ustalenie, czy organizacja świadczy usługi w zakresie kryptoaktywów. MiCA posługuje się kategorią dostawcy usług w zakresie kryptoaktywów, czyli CASP. Obejmuje ona między innymi prowadzenie platformy obrotu, przechowywanie i administrowanie kryptoaktywami klientów, wymianę kryptoaktywów na środki pieniężne lub inne kryptoaktywa, wykonywanie zleceń, doradztwo oraz zarządzanie portfelem.
W praktyce ryzyko kwalifikacji jako CASP powstaje nie tylko przy prowadzeniu giełdy. Może dotyczyć aplikacji, która przejmuje kontrolę nad kluczami klienta, brokera pośredniczącego w transakcjach, platformy agregującej płynność albo podmiotu, który za wynagrodzeniem rekomenduje i realizuje transakcje. Decyduje rzeczywisty przebieg usługi, a nie tylko regulaminowe zastrzeżenie, iż przedsiębiorca jest „dostawcą technologii”.
Nie każda działalność związana z infrastrukturą blockchain będzie jednak działalnością regulowaną. Twórca systemu typu non-custodial, który nie uzyskuje kontroli nad aktywami klientów i nie świadczy na ich rzecz usługi objętej katalogiem MiCA, może pozostawać poza zakresem licencjonowania. Granica jest jednak zależna od architektury produktu, modelu wynagrodzenia i faktycznego wpływu operatora na transakcję. Deklarowana decentralizacja nie zastąpi analizy funkcjonalnej.
Zezwolenie to nie jedyny koszt regulacyjny
Dla CASP skutki MiCA obejmują obowiązek uzyskania zezwolenia, wymogi ostrożnościowe i organizacyjne oraz zasady postępowania wobec klientów. Przedsiębiorca powinien liczyć się z koniecznością wdrożenia procedur dotyczących konfliktów interesów, reklamacji, bezpieczeństwa ICT, ciągłości działania, ochrony aktywów klientów i outsourcingu.
To właśnie outsourcing bywa niedoszacowany. o ile najważniejsze procesy wykonuje zewnętrzny dostawca infrastruktury chmurowej, dostawca custody, podmiot z grupy albo operator analityki blockchain, model umowny musi pozwalać CASP zachować kontrolę nad ryzykiem oraz spełnić obowiązki nadzorcze. Równolegle zastosowanie mogą znaleźć wymogi DORA, zwłaszcza w obszarze zarządzania ryzykiem technologii informacyjno-komunikacyjnych.
Ocena powinna objąć także komunikację marketingową. MiCA wymaga, aby przekazy były rzetelne, jasne i niewprowadzające w błąd oraz aby ryzyka były przedstawiane w sposób widoczny. W praktyce oznacza to konieczność weryfikacji nie tylko strony internetowej i white paperu, ale także wypowiedzi influencerów, kampanii afiliacyjnych, wpisów w mediach społecznościowych i materiałów dla zespołów sprzedażowych.
Jak przeprowadzić ocenę skutków MiCA w firmie
Dobrze wykonana analiza ma charakter przekrojowy. Nie powinna być zadaniem wyłącznie działu prawnego, ponieważ kwalifikację działalności przesądzają często elementy techniczne: kto kontroluje klucze prywatne, gdzie następuje wykonanie zlecenia, czy system automatycznie dopasowuje strony transakcji oraz jakie dane są przechowywane.
Praktycznym punktem wyjścia jest mapa produktu i przepływów. Należy opisać token, kanały jego emisji i dystrybucji, kraje docelowe, role podmiotów w grupie oraz wszystkie czynności wykonywane wobec użytkownika. Następnie trzeba zestawić ten model z wyłączeniami i kategoriami MiCA, a także z przepisami sektorowymi, które mogą mieć pierwszeństwo.
Kolejny krok to analiza luk. Warto oddzielić luki krytyczne, takie jak brak wymaganego zezwolenia, od luk operacyjnych, na przykład niepełnej dokumentacji konfliktów interesów lub nieadekwatnego procesu zatwierdzania komunikacji marketingowej. Takie rozróżnienie pozwala prawidłowo ustawić kolejność działań i budżet.
Wreszcie konieczna jest decyzja strategiczna. Czasem rozsądniejsze będzie przeprojektowanie produktu, ograniczenie funkcji custody, zmiana sposobu dystrybucji tokena albo skorzystanie z licencjonowanego partnera. MiCA nie wymaga, by każdy podmiot budował pełną funkcję regulowaną samodzielnie. Partnerstwo zmniejsza jednak część ryzyk, a nie przenosi automatycznie całej odpowiedzialności za model biznesowy i komunikację z klientem.
Terminy i polski kontekst przejściowy
Przepisy MiCA dotyczące tokenów powiązanych z aktywami i tokenów będących e-pieniądzem stosuje się od 30 czerwca 2024 r., natomiast zasadnicza część regulacji, w tym dotycząca CASP, jest stosowana od 30 grudnia 2024 r. Dla podmiotów działających wcześniej istotne znaczenie mają przepisy przejściowe, których praktyczne stosowanie zależy również od krajowego otoczenia prawnego i decyzji nadzorczych.
Nie należy traktować okresu przejściowego jako zwolnienia z analizy. Jest to przede wszystkim czas na przygotowanie wniosku, dostosowanie governance, uporządkowanie dokumentacji i podjęcie decyzji, czy przedsiębiorstwo ma działać w modelu licencjonowanym. Szczególnie ryzykowne jest uruchamianie nowego produktu z założeniem, iż jego kwalifikacja prawna zostanie ustalona dopiero po wejściu na rynek.
Największą wartością oceny skutków MiCA nie jest sama odpowiedź „podlegamy” albo „nie podlegamy”. Jest nią udokumentowane rozumienie granic własnego produktu, ryzyk i decyzji zarządczych. W sektorze kryptoaktywów, gdzie architektura techniczna zmienia się szybciej niż język regulaminów, właśnie ta dyscyplina analityczna staje się elementem odpowiedzialnego prowadzenia biznesu.
