VASP w UE po MiCA: Kto otrzymał licencję, a kto ponosi ryzyko
Okno przejściowe MiCA zamknęło się 1 lipca 2026 roku, a liczby są wymowne. Spośród 1 343 dostawców usług kryptowalutowych działających w Europejskim Obszarze Gospodarczym (EOG) tylko 281 uzyskało pełną licencję CASP zgodnie z MiCA przed terminem. Pozostałe 1 062 firmy działają obecnie poza prawem, a nowa analiza firmy analitycznej ds. blockchainu TRM Labs pokazuje, że są one znacznie bardziej ryzykowne niż firmy, którym się udało. Dla firm księgowych, audytorów i dyrektorów finansowych, których klienci są dostawcami usług kryptowalutowych lub od nich zależą, nie jest to tylko kwestia regulacyjna. To zdarzenie dotyczące ryzyka kontrahenta.
Co właściwie oznaczał termin uprawnień przejściowych
Przed grudniem 2024 roku każde państwo członkowskie UE prowadziło własny rejestr lub system licencjonowania kryptowalut. Standardy różniły się ogromnie. Rejestracja uzyskana w najbardziej liberalnym kraju miała tę samą nominalną legalność co pełna licencja od jednego z surowszych nadzorców, a firmy wybierały swoją siedzibę zgodnie z tym.
MiCA zastąpiło ten patchwork jednym standardem autoryzacji zgodnie z Rozporządzeniem w sprawie rynków kryptoaktywów. Firmy działające już w oparciu o prawo krajowe przed 30 grudnia 2024 roku otrzymały okres przejściowy na podstawie art. 143(3), aby przekształcić istniejącą krajową rejestrację w pełną licencję CASP. Ten okres trwał do 1 lipca 2026 roku. Od tego dnia firma bez autoryzacji MiCA nie może legalnie świadczyć usług kryptowalutowych w UE.
Skala braku konwersji
Wskaźnik konwersji był niski. TRM zidentyfikowała 1 343 firmy oferujące obserwowalne usługi kryptowalutowe w EOG przed terminem. Z nich 281 uzyskało licencję CASP zgodnie z MiCAR. To mniej więcej jeden na pięć. Pozostałe 1 062 firmy mają teraz trzy opcje: uporządkowane wyjście z rynku, restrukturyzacja do autoryzowanego podmiotu lub przeniesienie relacji z klientami do firmy posiadającej licencję. Żadna z tych opcji nie jest szybka ani bezproblemowa, a wszystkie tworzą ekspozycje związane z zgodnością dla każdej zaangażowanej strony.
Które jurysdykcje przeszły, a które nie
Dane dotyczące autoryzacji ujawniają ostrą granicę między jurysdykcjami, które wcześnie zbudowały możliwości licencyjne, a tymi, które pozwoliły na gromadzenie dużych rejestrów w ramach bardziej liberalnych krajowych systemów.
Jurysdykcje o wysokim wskaźniku konwersji
BaFin w Niemczech autoryzowała 55 z 57 licencjonowanych firm działających w Niemczech, co odzwierciedla wieloletni wymóg BaFin dotyczący licencji na przechowywanie kryptoaktywów zgodnie z niemiecką ustawą bankową przed MiCA. Luksemburg, Cypr, Malta i Irlandia również osiągnęły wysokie wskaźniki konwersji w porównaniu do przed-MiCA rejestrów. Malta i Cypr autoryzowały więcej firm (odpowiednio 20 i 19) niż Włochy, które autoryzowały tylko 9 z 145 firm działających w ich rejestrze. Razem Malta, Cypr, Irlandia i Luksemburg posiadają 63 z 272 zidentyfikowanych domowych autoryzacji w bloku, pochodzące z bazy zaledwie 101 działających firm.
Jurysdykcje o niskim wskaźniku konwersji
Litwa i Polska przedstawiają najbardziej drastyczne przypadki przeciwnej dynamiki. TRM zaobserwowała 383 firmy oferujące usługi kryptowalutowe w ramach litewskiej rejestracji i ponad 1 800 wpisów w rejestrze Polski, chociaż większość polskich rejestrantów nigdy nie prowadziła obserwowalnych usług kryptowalutowych. Litwa autoryzowała osiem firm z rejestru liczącego ponad 400. Polska nie autoryzowała żadnej. Grecja i Portugalia również nie wydały własnych autoryzacji domowych. Te liczby ilustrują dokładnie problem arbitrażu regulacyjnego, który MiCA miało wyeliminować: reżimy krajowe o niskich barierach przyciągały dużą liczbę rejestrantów, a bardziej rygorystyczny standard MiCA teraz odfiltrował większość z nich.
Paszportowanie i koncentracja nadzoru
Paszportowanie umożliwia firmie autoryzowanej w jednym państwie członkowskim działanie w całym bloku. To celowe, ale dane pokazują efekt uboczny: odpowiedzialność nadzorcza koncentruje się teraz szybciej niż obecność rynkowa. Kilka organów regulacyjnych, szczególnie BaFin, Centralny Bank Irlandii, Maltański Urząd Usług Finansowych i Komisja Nadzoru Sektora Finansowego w Luksemburgu, staje się głównymi nadzorcami firm obsługujących klientów w krajach, w których nie wydano autoryzacji domowych. To stan, który stoi za ostrzeżeniami Urzędu ds. Przeciwdziałania Praniu Pieniędzy (AMLA) o nierównych standardach AML/CFT i arbitrażu regulacyjnym na jednolitym rynku.
Różnica w ryzyku między autoryzowanymi i nieautoryzowanymi firmami
Status autoryzacji i profil ryzyka nie są niezależne. Oceny ryzyka TRM, zastosowane do aktywnych firm w ciągu ostatnich dwunastu miesięcy do 6 lipca 2026 roku, pokazują wyraźną i znaczącą lukę między dwiema kohortami.
Oceny ryzyka High i Severe
Dwanaście procent nieautoryzowanych firm nosi ocenę ryzyka High lub Severe w TRM. Wśród autoryzowanych firm odsetek ten wynosi 2%. W ujęciu bezwzględnym 30 z 244 ocenionych nieautoryzowanych firm należy do kategorii High lub Severe, w porównaniu do zaledwie 2 z 90 ocenionych autoryzowanych firm. Co najważniejsze, każda ocena Severe w całym zbiorze danych należy do firmy, która nie uzyskała autoryzacji. Kolejne 20 nieautoryzowanych firm ma ocenę Medium, co jeszcze bardziej poszerza lukę przy uwzględnieniu pełnego rozkładu.
Bezpośrednia ekspozycja na nielegalną działalność
Nielegalne pieniądze docierają do obu grup w podobnych łącznych wskaźnikach. Nieautoryzowane firmy wysłały 0,09% swojego wolumenu bezpośrednio do nielegalnych lub wysokiego ryzyka kontrahentów; autoryzowane firmy – 0,07%. Na tym poziomie różnica wygląda na umiarkowaną. Ale wartość zagregowana ukrywa ogon, który ma znaczenie.
Większość firm w obu grupach ma znikomą bezpośrednią ekspozycję na nielegalną działalność. Niewielka liczba nieautoryzowanych firm jest inna: kilka wysyła od 1% do 12% swojego całkowitego wolumenu bezpośrednio na nielegalne adresy. Żadna autoryzowana firma nie przekracza progu 1%. To właśnie ten ogon tworzy ostre ryzyko kontrahenta dla każdej firmy przejmującej nieautoryzowanych klientów.
Ekspozycja na sankcje
Najbardziej znacząca rozbieżność między obiema grupami to ekspozycja na sankcje. Nieautoryzowane firmy wysłały około trzy razy więcej wolumenu bezpośrednio do objętych sankcjami kontrahentów niż autoryzowane firmy. Największe ekspozycje w obu kohortach są skoncentrowane w wysokiego ryzyka giełdach i usługach hazardowych, ale luka w sankcjach to liczba, która najpierw przyciągnie uwagę oficerów ds. zgodności i regulatorów.
Co według AMLA wydarzy się dalej
AMLA wydało notę doradczą w sprawie końca okresu przejściowego MiCAR, identyfikując trzy strukturalne konsekwencje: nieautoryzowane firmy opuszczają rynek, duże wolumeny relacji z klientami przenoszą się lub są zakończone, a aktywność kryptowalutowa koncentruje się wśród mniejszej liczby autoryzowanych CASP. AMLA charakteryzuje te zjawiska jako mające materialny wpływ na funkcjonowanie rynku kryptowalut w UE.
Ryzyka wskazane przez AMLA dla autoryzowanych firm
Gdy nieautoryzowane firmy wygasają w skompresowanych terminach, ich kontrole AML są pod presją. Autoryzowane CASP przejmujące ich klientów stają w obliczu nagłych zmian we własnych profilach ryzyka i natychmiastowej presji na systemy monitorowania transakcji skalibrowane do innej, węższej bazy klientów. Nadzorcy tracą natomiast widoczność nad transferami między tymi dwiema grupami właśnie wtedy, gdy ta widoczność jest najbardziej potrzebna.
AMLA zwróciło się do krajowych nadzorców o priorytetowe potraktowanie nadzoru nad planowaniem wyjścia i transferami klientów oraz o koordynację transgraniczną w miarę migracji klientów. Dane TRM nadają tej prośbie ilościowe podstawy: 30 nieautoryzowanych firm z oceną High lub Severe jest możliwych do zidentyfikowania już teraz, zanim nastąpią transfery, i stanowią one najbardziej skoncentrowane ryzyko, którym muszą zarządzać autoryzowane CASP i ich nadzorcy.
Implikacje księgowe i zgodnościowe dla firm i dyrektorów finansowych
Podział MiCA tworzy konkretną pracę dla firm księgowych, audytorów i dyrektorów finansowych z ekspozycją na kryptowaluty w UE. Wyróżniają się trzy obszary.
Due diligence kontrahenta i onboarding
Każde autoryzowane CASP przygotowujące się do przejęcia relacji z klientami od nieautoryzowanej firmy musi ponownie ocenić swoją strukturę ryzyka kontrahenta przed transferami, a nie po nich. Dane o ryzyku pokazują, że populacja migrujących klientów nie jest jednorodna. Niewielka podgrupa ponosi nieproporcjonalnie dużą ekspozycję na nielegalną działalność i sankcje. Standardowe procesy KYC zaprojektowane dla onboardingu detalicznego mogą nie być wystarczająco szybkie, aby wykryć tego rodzaju skoncentrowane ryzyko ogonowe. Firmy księgowe doradzające CASP w tej transformacji powinny już teraz przeglądać wyzwalacze wzmożonej due diligence i progi monitorowania transakcji u swoich klientów. Nasze szczegółowe omówienie budowy struktury AML dla onboardingu VASP pokazuje, jak powinien wyglądać solidny proces według obecnych oczekiwań regulacyjnych.
Ekspozycja na audyt i sprawozdania finansowe
Dla zespołów audytowych kluczowe pytanie brzmi: czy którykolwiek klient posiada materialne aktywa kryptowalutowe na platformie, która utraciła autoryzację MiCA lub znajduje się w trakcie wygaszania działalności? Aktywa przechowywane w nieautoryzowanej firmie mogą podlegać ograniczeniom wypłat, ryzyku niewypłacalności lub zakłóceniom operacyjnym podczas pospiesznego wyjścia. To kwestia kontynuacji działalności i możliwości odzyskania aktywów, która musi znaleźć się w planie audytu dla każdego zaangażowania z ekspozycją bilansową na kryptowaluty. MSSF i ESKP nie zawierają szczegółowych wytycznych dotyczących ryzyka przechowywania u nieautoryzowanych pośredników, ale ogólne ramy utraty wartości i ujawnień są wystarczająco jasne: jeśli istnieje istotna niepewność co do możliwości odzyskania składnika aktywów, należy to ujawnić.
Obowiązki AML i sprawdzania sankcji
Trzykrotna luka w ekspozycji na sankcje między nieautoryzowanymi a autoryzowanymi firmami to liczba, która powinna najszybciej przyciągnąć uwagę. Obowiązki AML w UE dotyczą podmiotów zobowiązanych przeprowadzających transakcje z dostawcami usług kryptowalutowych niezależnie od tego, czy kontrahent jest autoryzowany na mocy MiCA. Jeśli klient nadal kieruje transakcje przez nieautoryzowaną firmę po lipcu 2026 roku, ta relacja niesie teraz podwyższony obowiązek sprawdzania sankcji i potencjalny sygnał do raportowania regulacyjnego. Firmy księgowe, które pełnią również funkcję podmiotów raportujących AML, muszą ocenić, czy ich własne procedury odpowiednio obejmują ten scenariusz.
Dla firm nawigujących przez szerszy obraz zgodności z MiCA, nasza wcześniejsza analiza wpływu MiCA na zespoły księgowe zajmujące się stablecoinami omawia wymiary klasyfikacji aktywów, które idą w parze z historią licencyjną.
Często zadawane pytania
Co się stało z firmami, które nie uzyskały autoryzacji MiCA do 1 lipca 2026 roku?
Od 1 lipca 2026 roku firmy te nie mogą legalnie świadczyć usług kryptowalutowych w UE. Muszą wybrać między uporządkowanym wyjściem z rynku, restrukturyzacją do autoryzowanego podmiotu lub przeniesieniem relacji z klientami do licencjonowanego CASP. AMLA oczekuje, że te zmiany spowodują znaczące zakłócenia rynku i zwróciło się do krajowych nadzorców o ścisłe monitorowanie planowania wyjścia.
Dlaczego niektóre jurysdykcje miały bardzo niskie wskaźniki konwersji MiCA?
Jurysdykcje takie jak Litwa i Polska zgromadziły bardzo duże rejestry krajowe w stosunkowo liberalnych reżimach przed MiCA. Wielu rejestrantów nigdy nie prowadziło obserwowalnych usług kryptowalutowych, a ci, którzy to robili, często nie spełniali bardziej rygorystycznych wymogów autoryzacji MiCA. Niski wskaźnik konwersji odzwierciedla zarówno efekt filtrujący wyższych standardów, jak i dziedzictwo arbitrażu regulacyjnego w poprzednim patchworkowym reżimie UE.
O ile bardziej ryzykowne są nieautoryzowane firmy w porównaniu z autoryzowanymi?
Według danych TRM Labs, 12% nieautoryzowanych firm ma ocenę ryzyka High lub Severe w porównaniu z 2% autoryzowanych firm. Każda ocena Severe w zbiorze danych należy do nieautoryzowanej firmy. Niewielka podgrupa nieautoryzowanych firm wysyła również od 1% do 12% swojego wolumenu bezpośrednio na nielegalne adresy, czego żadna autoryzowana firma nie przekracza.
Co paszportowanie oznacza dla nadzoru po MiCA?
Paszportowanie pozwala autoryzowanemu CASP na obsługę klientów we wszystkich państwach członkowskich UE na podstawie jednej autoryzacji domowej. W związku z tym odpowiedzialność nadzorcza koncentruje się w niewielkiej liczbie państw członkowskich, szczególnie w Niemczech, Irlandii, na Malcie, Cyprze i w Luksemburgu, których organy regulacyjne są teraz odpowiedzialne za nadzorowanie firm obsługujących klientów w krajach, które nie wydały żadnych autoryzacji domowych. AMLA wskazało tę koncentrację jako czynnik potencjalnej niespójności AML/CFT w całym bloku.
Co firma księgowa lub dyrektor finansowy powinien zrobić teraz?
Trzy natychmiastowe kroki są warte podjęcia. Po pierwsze, zidentyfikuj wszelkich klientów lub spółki portfelowe, które przechowują aktywa na nieautoryzowanym CASP, i oceń skutki dla możliwości odzyskania aktywów i ujawnień. Po drugie, sprawdź, czy jakikolwiek autoryzowany klient CASP planuje przejąć klientów od nieautoryzowanych firm, a jeśli tak, upewnij się, że ich struktury due diligence i monitorowania transakcji są skalibrowane pod kątem podwyższonego ryzyka ogonowego w tej migrującej populacji. Po trzecie, sprawdź, czy jakiekolwiek istniejące relacje kontrahentów obejmują nieautoryzowane firmy, ponieważ obowiązki AML w UE i wymogi sprawdzania sankcji mają zastosowanie niezależnie od statusu kontrahenta wobec MiCA.
Źródło: TRM Labs