Что регуляторы требуют от криптобиржи: технический файл с пояснениями

Две половины заявки

Юридическая половина — ваша и вашего юриста: юрлицо, капитал, корпоративное управление, проверка руководителей на соответствие (fit and proper), бизнес-план. Техническая половина — о системе: как активы клиентов отделены, как проверяется личность, как обрабатываются инциденты, где хранятся данные. Большинство задержек возникает из-за того, что техническая половина пишется с нуля.

Технические разделы

Раздел	Что хотят увидеть	Доказательства
Описание системы	Архитектура, среды, третьи стороны, хостинг	Схемы, список провайдеров, карта потоков данных
Кастодиальное хранение и сегрегация	Активы клиентов отдельно от активов компании; управление ключами	Уровни кошельков, политики, метод сверки, выгрузки PoR
ИКТ-риски (DORA)	Контроли, классы инцидентов, резервные копии, реестр третьих сторон	Сопоставление контролей, записи учений по восстановлению
AML / KYC	Уровни, скрининг, хранение записей	Договоры с провайдерами, журналы решений
Travel rule	Данные отправителя / получателя в переводах	Поля данных, формат выгрузки, пороги
Целостность рынка	Раскрытие маркетмейкинга, предотвращение сделок с самим собой	Отчёты о разбивке объёма
Тестирование безопасности	Независимое тестирование и устранение уязвимостей	Резюме пентеста, политика раскрытия

Что требовать от вендора

• Письменный технический файл, привязанный к вашему режиму, а не маркетинговую презентацию.
• Доказательство того, что резервы сверяются с блокчейном, а не только с собственной базой данных вендора.
• Журнал аудита, охватывающий каждую денежную операцию и изменение настроек, с возможностью выгрузки.
• Self-hosted развёртывание, если ваш режим требует контроля над ключами; спросите, где именно находятся ключи.
• Два KYC-провайдера или хотя бы задокументированный резервный вариант.

BitPolaris передаёт технический файл с каждым развёртыванием; заявку ведёт ваш юрист.

Комплаенс и лицензирование