ייעוץ לציות ורגולציה לפרויקט קריפטו

למה אי אפשר לסגור ציות של פרויקט קריפטו עם תבנית

כמעט כל פרויקט מגיע עם תבנית מוכנה של ציות לפרויקט קריפטו: מניעת הלבנת הון, זיהוי לקוחות, נוהל תגובות לפניות של רשויות.

הבעיה אינה בכך שאין מסמכים, אלא שהם נכתבו לפי דוגמה ממוצעת ואינם מתארים את מודל הפעילות האמיתי — מאיפה מגיעים הכספים, מי הצד שכנגד, דרך אילו שירותים יוצא המשיכה. FATF והרגולטורים המקומיים מסתכלים לא על קיומו של נוהל, אלא על הקשר הניתן לאימות בין הנוהל לבין העסקאות בפועל.

המקום הראשון לסירוב — מקורות כספים לא מאומתים. אם הפלטפורמה אינה מקשרת העברה נכנסת ללקוח מאומת ולהערכת הסיכון שהוקצתה לו, הפקדה גדולה נשארת בלתי מוסברת, ואת בדיוק אותה ידרשו.

השני — פער בין מדיניות לפרקטיקה: במסמך יש מגבלות ובדיקה ידנית מעל הסף, במערכת פעולות עוברות אוטומטית, ואף אחד לא מתעד חריגים.

השלישי — דיווח שלא ניתן לאמת. החלטות לגבי לקוחות חיות במערכות פנימיות, בקריאות תמיכה ובהתכתבות; אין יומן של מי, מתי ועל מה סמך אישר פעולה. בביקורת דיווח כזה משחזרים במשך שבועות ובכל זאת לא מאמים אותו מול תפוקת נתונים לפי השרשרת.

מחיר הטעות — סיכון לחסימת פעילות קריפטו: בנקים שותפים וספקי תשלום מגבילים שירות, מסלול הסליקה נסגר, והחזרה נמשכת חודשים ודורשת חבילת ראיות מוכנה מראש. ננתח כיצד נבנה מעגל רגולטורי עבור תחום שיפוט ספציפי ומודל פעילות, כזה שעובר ביקורת ולא מחקה אותה.

אפקט מדיד: פחות חסימות, אישורים מהירים יותר

מעגל רגולטורי של פרויקט קריפטו הוא שילוב של כללים, סינון ויומנים שלפיהם משחזרים את ההיסטוריה של כל החלטה. ביקורת רגולטורית בוחנת יכולת מעקב: מי אישר את מקור הכספים, מתי הופעל סינון סנקציות. אם זה נאסף ידנית מהתכתבות ומטבלאות, המוכנות לביקורת נמדדת בשבועות עבודה של אנליסטים.

לאחר אוטומציה התמונה משתנה: סינון סנקציות של לקוחות מתבצע בכניסה ובכל שינוי מהותי בפרופיל, התאמות עוברות לבדיקה בזמן מוגדר. חלק הפעולות ללא התערבות ידנית גדל, זמן האישור מתקצר מימים לשעות.

דרישות FATF והפיקוח המקומי מתכנסות: ההחלטה חייבת להיות ניתנת להסבר ולשחזור בדיעבד. לכן יומן ההחלטות וגרסאות הכללים נשמרים לצד הפעולה — תפוקת נתונים לביקורת נוצרת תוך דקות.

הפחתת הסיכון לשלילת רישיון היא תוצאה, לא סיסמה: הפרות מתועדות מוקדם ונסגרות לפני הסלמה. המדדים נלקחים מתהליכי ציות — חלק ההחלטות האוטומטיות, זמן הבדיקה הממוצע, מספר החריגים הפתוחים — ולא ממצגת.

ציות של פרויקט קריפטו: מודלי ליווי והמגבלות שלהם

פורמט הליווי תלוי לא בגודל צוות הפרויקט, אלא באופן שבו הוא עובד עם הרגולטור — מודל הודעה או מודל רישוי. זה קובע את היקף התהליכים: במקום מסוים די בהטמעת זיהוי לקוחות, סינון סנקציות וניטור פעולות, ובמקום אחר נוספים שמירה נפרדת של כספי לקוחות, Travel Rule ודיווח תקופתי.

ביקורת חד-פעמית וליווי מתמשך עונים על שאלות שונות: הראשונה — "מה מונע לעבוד באופן חוקי עכשיו", השנייה שומרת על תשובה מעודכנת כשמשתנות דרישות, מתווספים תחומי שיפוט או מוצרים. בפועל לעתים קרובות בוחרים בשילוב: הטמעה בפרויקט, ואחר כך ליווי עם סקירה פעם במחזור דיווח.

האחריות להחלטה נשארת בידי המפעיל. אנחנו מכינים תהליכים, כללים פנימיים וטפסי דיווח, אבל החתימה ובחירת הפרשנות — בידי אחראי הציות שלכם. את הגבול הזה מבהירים לפני ההתחלה, לא ברגע הביקורת.

שלבים לבניית מעגל רגולטורי של הפרויקט

מעגל רגולטורי הוא לא תיקיית מדיניויות, אלא סט בדיקות המוטמעות בנתיב עצמו של העברת הפעולה: מקבלת כספים ועד דיווח. לכן אנחנו בונים אותו מתוך עובדות, לא מתבנית — אם הכללים מתארים מוצר שלא קיים, הפער הראשון שובר את המבנה. סדר העבודה הוא כזה.

1. ניתוח הפעולות הנוכחיות: אילו נכסים מתקבלים ומושכים, מי הצדדים שכנגד, היכן הפרויקט מחזיק כספים והיכן המשתמש מחזיק מפתחות בעצמו, באילו תחומי שיפוט נמצאים הלקוחות.
2. סיווג הטוקן והפעולות — ממנו תלוי מודל הרגולציה: אמצעי תשלום, נכס בעל ערך, טוקן שימושי. אנחנו מסמנים לא את המוצר כולו, אלא כל תרחיש מחזור, כדי שהכללים יתאימו במדויק.
3. תרשים זרימות כספים ונתונים: מפת "מקור → חשבון הפרויקט → משיכה", נקודות שבהן השרשרת יכולה להישבר, ומקומות שבהם נדרש אישור ידני.
4. הגדרת נהלים וכללי מניעת הלבנת הון: רמות זיהוי לקוחות, ספי סכומים, בדיקה מול רשימות סנקציות, נוהל חסימה ושחרור, מטריצת החלטות.
5. בדיקה על תרחישים אמיתיים: הרצת פעולות דרך המעגל, מדידת חלק ההתראות השווא והבדיקות הידניות, כוונון ספים — כדי שהזרימה לא תיתקע על לקוחות טיפוסיים.
6. הכנת דיווח לרגולטור: הרכב ותדירות הדוחות, פורמטי תפוקת נתונים, אחראים, תקופות שמירה של מסמכים תומכים.
7. מסירה לצוות: נהלים בצורה ניתנת לביצוע, יומני בדיקה, הדרכת עובדים ונוהל עדכון כללים בעת שינוי מוצר.

מדיניויות, נהלים ותרשימים שאנו מעבירים לצוות

אנחנו מעבירים לא דוח "למדף", אלא חבילת מסמכים עובדת עם בעלים מוגדרים ותאריך סקירה — לפיה הצוות ממשיך לנהל בקרה בעצמו, בלי ליווי מתמשך מצדנו.

• חבילת מדיניויות ונהלים לקריפטו — נהלי זיהוי לקוחות, בדיקה מול רשימות סנקציות וסיכון, כללי קבלה ושליחה של כספים, דרישות לשמירת בסיס ראיות לכל פעולה.
• מטריצת תפקידים והרשאות גישה לנתונים — מי רואה נתונים אישיים, מי עובד עם היסטוריית עסקאות, מי מאשר חריגים; גישה ניתנת לפי מינימום הכרחי ומתועדת.
• תרשים זרימות נתונים ודיווח — מקבלת הפעולה ועד דוח לרגולטור: היכן נוצרים הנתונים, היכן נשמרים, מי ומתי ניגש אליהם, אילו תפוקות נוצרות אוטומטית.
• נוהל בקרה פנימית על פעולות קריפטו — נקודות בקרה, הפרדת סמכויות (אחד יוזם, אחר מאשר), התאמות תקופתיות ונוהל טיפול בפערים.
• תרחישי תגובה — פנייה מבנק או רגולטור, הקפאת כספים, פנייה של רשויות אכיפה, תקרית עם גישה למפתחות: מי מחליט, למי מודיע, תוך כמה זמן.
• הוראות לצוות הציות — תזכורות שלב-אחר-שלב לקו הראשון: מה לבדוק בכניסה, אילו סימנים להיחשב חשודים, לאן להסלים ומתי לתעד סירוב.
• מפת סיכונים של פרויקט קריפטו — רשימה עם הערכת הסתברות, בעלים וצעד מתוכנן לכל סעיף, ובנוסף יומן החלטות וחריגים.

מסמכים נמסרים בצורה ניתנת לעריכה עם סימון תפקידים, כדי שעובדים חדשים יוכנסו לתהליך לפי הוראה, לא לפי הסכמות בעל-פה.

ניתוח מקרה: מתהליכים מפוזרים לדיווח שקוף

הלקוח — שירות קריפטו עם החלפה ואחסון נכסים. ביקורות רגולטוריות נערכו לפי לוח זמנים, אבל כל אחת הפכה לחירום: הרישום התנהל בשלוש מערכות, מקור הכספים בחלק מהכתובות שוחזר ידנית מדפי חשבון, והאנליטיקה של Chainalysis הופעלה נקודתית — הממצאים שלה לא תאמו את המרשם הפנימי.

מה היה לפני הניתוח

חלק הפעולות שדרשו בדיקה ידנית עמד על 18% — יותר ממאה פניות בחודש, כל אחת 20–40 דקות עבודת אנליסט. את הדיווח הכינו שלושה שבועות: תפוקות אוחדו בטבלאות, פערים חיפשו בעין, וההיסטוריה של ההחלטה לכל פעולה שוחזרה מההתכתבות. מתוך עשר פניות של הרגולטור, שבע עברו הסלמה לעורכי דין: לא היה במה לאמת את מקור הנתונים.

מה שינו ומה נהיה

הרכיבו מרשם פעולות אחיד עם סט שדות חובה: כתובת, מקור קבלה, הערכת סיכון, קישור למסמך ראשוני, ההחלטה שהתקבלה והאחראי. כללי הבדיקה עוצבו כמדיניות עם ספים — מקרים טיפוסיים נסגרים אוטומטית, לאדם מגיע רק מה שחורג מהמסגרת.

חלק הפעולות השנויות במחלוקת ירד מ-18% ל-4%, הכנת הדיווח הצטמצמה משלושה שבועות לארבעה ימים, תשע מתוך עשר פניות נסגרות בתוך הצוות בלי הסלמה. בנפרד תועד יומן מהדורות של המדיניות: בביקורת רואים לפי איזו גרסת כללים התקבלה ההחלטה ומתי היא נכנסה לתוקף.

מה לעשות אם הפעולות כבר התנהלו מחוץ לשדה הרגולטורי?

דף חלק לגמרי במעבר לא קיים: הרגולטור מסתכל לא על היעדר רישיון, אלא על השאלה אם משתחזרת תמונת הפעולות שהתנהלו מחוץ לשדה הרגולטורי. המינימום שממנו מתחילים — מרשם פעולות עם ייחוס: צד שכנגד, כיוון, עילה, מקור כספים. נתונים שנאספו באופן מפוזר משחזרים מתפוקות והיסטוריות בורסה, ולפיהם מכינים את הגילוי.

היקף הגילוי ותדירות הדיווח נקבעים לפי המודל שאליו עוברים. מודל הודעה בודק את הפעילות ואת הכללים הפנימיים, מודל רישוי — גם את המבנה, מקורות ההון ונהלי בדיקת הלקוחות.

דרישות לדיווח לפי תחומי שיפוט נבדלות לא רק בטפסים אלא גם בהיגיון: במקום מסוים מצפים לדוחות תקופתיים לפי היקפים, במקום אחר — הודעות על עסקאות מעל הסף. לכן מודל הנתונים נבנה פעם אחת, עם מאפיינים של תחום שיפוט, מודל וספים, והטפסים נאספים ממנו.

הסדר המעשי הוא כזה: ספירת מלאי של פעולות עבר, הערכת פערים מול מודל היעד, העברת הפעולות למעגל הרגולטורי בלי לעצור את השירות. תארו את המשימה — נחזור עם הערכה ותוכנית.

ספקות טכניים: רישיונות, דיווח, ביקורות

ספקות מתעוררים בדרך כלל בשלוש נקודות: האם צריך לשנות תהליכים עובדים, מה להשיב לבנק ומתי לסקור מדיניויות. להלן תשובות קצרות שמהן מתחיל ניתוח של מצב ספציפי.

הגיעה פנייה מבנק בעניין מקור הכספים — מה להכין?

החבילה נאספת מראש: היסטוריית פעולות לפי כתובות עם תאריכים וצדדים שכנגד, דוח אנליטיקה על סיכון הכתובות, תוצאות בדיקות לקוח, הסבר לכלכלת העסקה. אם זה נאסף ידנית במשך שבוע — צוואר הבקבוק נסגר עם נוהל ותפוקת נתונים בלחיצה אחת.

באיזו תדירות לעדכן מדיניויות ציות?

סקירה מתוכננת — פעם בשנה, מחוץ לתוכנית — בעת שינוי דרישות, השקת מוצר חדש או חיבור בנק שותף. גרסאות מתועדות עם תאריך ואחראי: בביקורת חשוב לא התיק עם המסמך, אלא ההיסטוריה של השינויים בו.

האם נדרש רישיון ומה יקרה בלעדיו?

סירוב בנקים לשירות והקפאת זרימות פיאט, הוראות רגולטור, אי-יכולת לחבר באופן חוקי סליקות תשלום. טכנית הפרויקט חי, אבל מפסיק להתרחב: שותפים דורשים מסמכים שאין.

נתחיל בניתוח הסכימה הנוכחית של הפעולות שלכם

מספיק לשלוח את מה שכבר קיים: תרשים תנועת הכספים, רשימת ישויות משפטיות עם תחומי שיפוט, כללי בדיקת הלקוחות הנוכחיים ותיאור קצר של המוצר. אין צורך להכין חבילת מסמכים מראש — פערים בתיאור כשלעצמם מראים היכן מעגל הפעולות אינו מכוסה. בהמשך מאמתים את הסכימה לפי סעיפים:

• מבנה הישויות המשפטיות ותחומי השיפוט: היכן נרשמת הפעילות, מי מחזיק בחשבונות וכיצד הם קשורים זה לזה.
• תנועת כספי לקוחות — קבלה, אחסון, משיכה, המרה: באיזה שלב נוצרת חובת הבדיקות.
• זיהוי לקוחות וצדדים שכנגד: נהלים, מקורות נתונים, ספקי בדיקות.
• סינון סנקציות וכללי ניטור פעולות: ספים, תרחישים, תגובה להתראה.
• מודל רישוי לפי המשימה: רישום, הודעה או עבודה במסגרת ההיקף הקיים.
• דיווח ושמירת נתונים: מה מתועד, באילו מועדים, מי מכין תפוקת נתונים לפי בקשת הרגולטור.
• תפקידים והרשאות בתוך הצוות: מי משנה כללי בדיקה ומאשר חריגים.

חוזרים במסמך כתוב: רשימת פערים עם עדיפות, הערכה ותוכנית עבודה לציות לפי שלבים עם תוצאה צפויה בכל אחד. זה לא יוצר התחייבויות מצדכם — הניתוח נעשה לפי הסכימה שלכם ונשאר אצלכם.

בהמשך או שמקבעים שלבים ומצטרפים להטמעה, או שמעבירים את המעגל לצוות הלקוח — כללים, נהלים ותיעוד עם ליווי בתקופת מעבר. כדי לדון במשימת ציות באופן ענייני, הציגו את סכימת הפעולות הנוכחית: נחזור עם הערכה ותוכנית.