COREDO

Когда предприниматель или финансовый директор говорит мне: «Мы хотим купить лицензированную PSP-компанию в Европе»,: я всегда задаю один и тот же встречный вопрос: «Вы уверены, что готовы к честному Due Diligence?»

Nákup platební instituce (Payment Institution) nebo instituce elektronických peněz (EMI) není jen M&A transakce, ale nákup regulační historie, kultury compliance a rizikového profilu, který buď posílí váš holding, nebo se stane zdrojem trvalých konfliktů s regulátory a bankami.

Za léta rozvoje COREDO v EU, Asii a SNS náš tým s klienty realizoval desítky projektů: od due diligence při koupi PSP společnosti v Evropě a v Singapuru až po doprovod transakcí při získávání licencí EMI/PI spolu se společnostmi a integraci těchto aktiv do velkých finančních skupin. Tato zkušenost ukázala: úspěch transakce z 80 % závisí na kvalitě předběžného due diligence: právního, finančního, daňového, provozního a, samozřejmě, AML/KYC.

Proč je výhodnější koupit licencovanou PSP

Když s klienty diskutujeme strategii vstupu na trh plateb, obvykle máme na stole dvě možnosti:

• získání nové licence (EMI/PI) v EU, Velké Británii, Singapuru nebo Dubaji;
• nákup licencované PSP společnosti s platnou licencí a infrastrukturou.

Nákup hotové PSP umožňuje:

• zkrátit time-to-market: často o 12–18 měsíců rychleji ve srovnání se získáním nové licence;
• získat hotové vztahy s korespondenčními bankami a platebními partnery;
• zdědit obchodníky, technologickou platformu a tým;
• použít stávající licenci k passportingu v rámci EU (při dodržení požadavků PSD2 a národních pravidel).

Ale spolu s licencí investor přebírá:

• regulatorní legacy‑rizika (staré porušení, neuzavřená opatření);
• historický transakční profil a portfolio klientů;
• reputační historii PSP na trhu.

Struktura prověrky poskytovatele platebních služeb společnosti

Když ke mně přicházejí s žádostí „due diligence při koupi PSP společnosti“, hned práci rozdělím minimálně do šesti bloků:

1. Právní due diligence
2. Regulační a licenční due diligence (včetně kontroly PSP licence)
3. AML/KYC due diligence a compliance prověrka
4. Finanční a daňové due diligence
5. Operační due diligence a IT/kybernetická bezpečnost
6. Strategické a business due diligence (unit‑ekonomika, udržitelnost modelu, ROI)

Každý blok poskytuje vlastní vrstvu red flags a my v COREDO jsme zvyklí výsledky prezentovat formou risk heatmap: vizuální mapy klíčových rizik transakce a jejich dopadu na cenu, strukturu SPA a plán po uzavření.

Právní due diligence: struktura a změna kontroly

Právní doprovod nákupu PSP v EU a v Asii začíná u základních, avšak kritických věcí.

Co prověřuji jako první

• Struktura vlastnictví a skuteční vlastníci (UBO)
  • transparentnost řetězce;
  • existence trustů, nominálních struktur, offshore prvků;
  • shoda skutečných vlastníků s údaji u regulátora.

  Varovné signály při koupi PSP: nesoulad mezi korporátními dokumenty a údaji regulátora, skrytí ovládající osoby, složité struktury bez obchodního důvodu.

• Právní původ licence
  • zda jsou v zakladatelských dokumentech a v licenci omezení změny kontroly;
  • je‑li vyžadováno povinné schválení změny kontroly ze strany regulátora;
  • existují‑li právní omezení na změnu ředitelů a klíčového personálu.
• Existence významných smluv a závazků
  • smlouvy s korespondenčními bankami, platebními schématy, poskytovateli anti‑fraudu a KYC;
  • agenturní, outsourcingové a white‑label smlouvy;
  • dohody s klíčovými obchodníky, partnerské a referral smlouvy.

Jaké dokumenty požadovat při due diligence PSP

Seznam vždy přizpůsobujeme jurisdikci, ale jádro zůstává:

• korporátní dokumenty (stanovy, rozhodnutí akcionářů, registr účastníků);
• licence PSP/EMI, všechny přílohy, dopisy a rozhodnutí regulátora;
• registr akcionářů a skutečných vlastníků, potvrzení UBO;
• klíčové obchodní smlouvy (banky, schémata, obchodníci, poskytovatelé KYC/AML, IT‑outsourcing);
• interní zásady a postupy (v části governance, rozhodování, outsourcingu);
• historie soudních sporů a nároků protistran.

Regulační due diligence: licence a směrnice PSD2

Jak ověřit licenci PSP v EU

Vždy trvám alespoň na:

• ověření licence v oficiálním registru regulátora;
• analýze rozsahu licence: jaké druhy platebních služeb jsou povoleny, zda existují omezení podle geografického působení nebo typu klientů;
• kontrole souladu obchodního modelu s požadavky PSD2 (a v budoucnu PSD3) a AMLD.

Historie inspekcí a předpisů regulátora

Tým COREDO vždy požaduje:

• kopie regulačních dopisů, předpisů, vymáhacích opatření za poslední 3–5 let;
• zprávy externích auditorů týkající se regulačních záležitostí;
• plány remediace a akční plány, které PSP předkládala regulátorovi.

Klíčová otázka je, jak společnost pracovala s připomínkami: řešila je včas, posílila compliance‑funkci, zlepšila governance.

Náležitá prověrka v oblasti prevence praní špinavých peněz a ověřování klientů při spolupráci s poskytovatelem platebních služeb

Co kontroluji v KYC/AML compliance

• Politiku přístupu založeného na riziku
  • zda existuje formální prohlášení o rizikovém apetitu;
  • jak jsou klienti segmentováni podle rizika (odvětví s vysokým rizikem, jurisdikce s vysokým rizikem);
  • jak se rozhoduje o onboardingu a offboardingu.
• Postupy KYC/AML
  • customer due diligence (CDD) a enhanced due diligence (EDD);
  • ověření zdroje prostředků/zdroj majetku;
  • postupy průběžného monitoringu klientů a transakcí;
  • kontrola sankcí, screening PEP, monitoring negativních zpráv.
• Monitoring transakcí a protifraudová opatření
  • existence automatizovaného systému pro monitoring transakcí;
  • scénáře a pravidla (rules‑based, risk‑based nebo hybridní modely);
  • model řízení alertů a interních šetření;
  • ukazatele chargeback ratio a dispute ratio u klíčových obchodníků.

Jaké dokumenty pro AML due diligence

V rámci projektů COREDO pro AML due diligence poskytovatele PSP obvykle požaduji:

• politiku AML, politiku KYC, hodnocení rizik a prohlášení o rizikovém apetitu;
• popisy procesů onboardingu, monitoringu, vyšetřování a reportingu (SAR/STR);
• zprávy z interního a externího AML auditu;
• statistiky STR/SAR, offboardingů a odmítnutí při onboardingu za 2–3 roky;
• záznamy o školení zaměstnanců;
• výběr klientských souborů (KYC‑dokumentace), včetně klientů s vysokým rizikem a PEP;
• výběr transakcí z high‑risk segmentů pro forenzní analýzu.

Due diligence vysoce rizikových jurisdikcí

Pro mezinárodní investory v COREDO pravidelně provádíme sankční due diligence platební společnosti:

• analyzujeme země, měny a platební koridory;
• kontrolujeme, zda existují klienti nebo transakce spojené se sankčními režimy;
• hodnotíme procesy kontroly sankcí a monitoringu negativních zpráv.

Finanční a daňový due diligence: regulační kontext

Platební byznys je specifický: samotný finanční due diligence neposkytuje úplný obraz bez pochopení regulačních omezení.

V rámci projektů COREDO zaměřených na finanční due diligence PSP sledujeme:

• strukturu příjmů: poplatky za processing, interchange, FX‑marže, doplňkové služby;
• koncentraci tržeb u několika klíčových obchodníků;
• stabilitu maržovosti a unit‑ekonomiky napříč segmenty;
• náklady na compliance, IT, licence a regulační kapitál.

Daňový due diligence při koupi společnosti ve fintechu doplňujeme o:

• analýzou mezispolečnostních dohod v rámci skupiny;
• ověřením substance v jurisdikcích, kde působí;
• hodnocením souladu daňového modelu s celkovou obchodní logikou.

Provozní due diligence IT / kybernetická bezpečnost

Pro PSP není technologie back‑office, ale jádro licencované činnosti. Provozní due diligence PSP poskytovatele v COREDO vždy zahrnuje:

• hodnocení governance: role a nezávislost představenstva, existence výboru pro compliance, tři linie obrany;
• analýzu klíčového týmu: zkušenosti CEO, COO, CCO, MLRO, IT ředitele;
• posouzení procesu řízení incidentů a zajištění kontinuity provozu.

Kontrola IT‑infrastruktury a kybernetické bezpečnosti

Minimální sada otázek:

• architektura platformy (vlastní vs white‑label, kritické závislosti na dodavatelích);
• SLA s klíčovými poskytovateli, dostupnost (uptime), plány obnovy po havárii;
• výsledky penetračního testování a hodnocení zranitelností;
• správa přístupů, logování, oddělení povinností.

GDPR a osobní údaje

V EU a ve Spojeném království vždy zvlášť sleduji:

• existenci a zavedení GDPR politik (ochrana údajů, uchovávání údajů, minimalizace údajů);
• jmenování DPO a jeho role;
• incidenty úniku dat (data breach) a reakci společnosti.

Varovné signály při náležité prověrce PSP

Během posledních let si tým COREDO vytvořil poměrně ustálený seznam „červených vlajek“, při nichž buď doporučuji vážně přehodnotit cenu a strukturu transakce, nebo se zcela vzdát:

• Nesoulad skutečné činnosti s udělenou licencí (např. skrytá činnost e‑money bez příslušné licence).
• Systémová porušení AML/KYC: chybějící odpovídající dokumentace u vysokorizikových klientů, slabé EDD postupy, formální přístup k průběžnému monitoringu.
• Otevřená regulační vyšetřování nebo nesplněná nařízení.
• Silná koncentrace na sankčně citlivých trzích nebo vysoce rizikových jurisdikcích bez promyšleného přístupu založeného na riziku.
• Kritická závislost na jedné korespondenční bance nebo jednom velkém obchodníkovi.
• Historie vážných úniků dat, slabá kyberbezpečnost, chybějící řádný plán obnovy po havárii.
• Nepřehledná struktura vlastnictví, skrytí skuteční vlastníci, nesoulady mezi údaji u regulátora a v korporačních dokumentech.
• Absence reálné řídící struktury a nezávislého compliance manažera.

Důkladná prověrka v rámci struktury transakce

Když je due diligence při koupi podniku dokončeno, pro mě je nejdůležitější převést zjištění do konkrétních právních a finančních mechanismů SPA.

V praxi COREDO často nabízí:

• earn‑out: část ceny je vázána na budoucí ukazatele (včetně indikátorů compliance, zachování licencí, absence nových sankcí/pokut);
• escrow a zadržení: část částky je zablokována na dobu dostatečnou k projevení možných rizik z minulosti;
• specializované representations & warranties týkající se:
  • neexistence skrytých regulačních šetření;
  • úplnosti zveřejnění AML/CTF incidentů;
  • stavu licence a neexistenci důvodů pro její odnětí;
• odškodnění za:
  • pokuty a sankce za porušení, jejichž kořeny sahají do období před uzavřením transakce;
  • regulační nároky týkající se historického klientského portfolia a transakcí.

Porovnání jurisdikcí pro investory

Samostatná část práce, výběr jurisdikce pro koupi licencované PSP společnosti: EU, Velká Británie, Singapur, některá asijská nebo blízkovýchodní centra.

Na co se obvykle zaměřujeme s klienty:

• přísnost a předvídatelnost regulátora;
• požadavky na kapitálovou přiměřenost a ochranu klientských prostředků (safeguarding);
• postoj bank k PSP z dané jurisdikce;
• možnosti škálování (passporting v EU, přeshraniční Licencování v Asii);
• historické případy vymáhací praxe.

Jak provádím due diligence PSP s klientem

Aby bylo due diligence platební instituce v Evropě nebo v Asii skutečně užitečné, nikoli formální, v COREDO dodržujeme jednoduchou, ale fungující metodiku:

1. Sestavujeme mapu cílů investora
   • proč se kupuje PSP (geografie, produkty, licence, technologie, zákaznická základna);
   • plánovací horizont (rychlá integrace nebo pečlivý roll‑out).
2. Vypracováváme rozsah due diligence a mapu rizik transakce
   • určujeme hloubku prověrky podle bloků: právní, regulační, AML/KYC, finanční, daňový, IT, provozní;
   • vymezujeme kritická KPI a varovné signály.
3. Provádíme postupnou analýzu
   • nejprve předběžný screening (abychom v rané fázi odfiltrovali zjevně problematické cíle);
   • poté podrobné prozkoumání klíčových oblastí.
4. Převádíme závěry do plánu transakce
   • upravujeme strukturu transakce a SPA;
   • připravujeme plán nápravy po uzavření;
   • modelujeme scénáře regulačních kontrol a stresové scénáře (např. odnětí korespondenčních účtů hlavní bankou).
5. Doprovázíme změnu kontroly a komunikaci s regulátorem
   • připravujeme balík dokumentů pro schválení změny kontroly;
   • pomáháme nastavit dialog s regulátorem, vysvětlit strategii nového vlastníka;
   • bereme v úvahu termíny a podmínky schválení v časovém harmonogramu transakce.

Co je důležité před zahájením transakce

• due diligence fintech společnosti a PSP nikdy není «příliš důkladné» z hlediska AML/KYC a regulací;
• slabý compliance cílové společnosti je téměř vždy dražší než ta nejvyšší sleva na cenu;
• správně provedený due diligence při koupi společnosti není náklad, ale nástroj vyjednávání a řízení návratnosti investice (ROI).

Pokud zvažujete koupi licencovaného platebního institutu, EMI nebo jiného fintech aktiva v EU, Asii nebo SNS, začněte ne diskusí o ceně, ale s plánem due diligence. Cena je odvozena od rizik, nikoli naopak.

Úschova kryptoměn v EU dnes přestala být «šedou zónou». Pro mě jako zakladatele COREDO je to jedna z nejvíce výmluvných oblastí: v posledních letech tým doprovázel evoluci od experimentálních kryptoplatforem k vyspělým finančním infrastrukturám, na které se vztahují stejně přísné regulační požadavky jako na banky a platební organizace.

V tomto článku podrobně vysvětlím, co ve skutečnosti znamená regulace kryptoměn v EU, jak MiCA, DAC8 a CARF mění pravidla hry a co musí být nastaveno v crypto custody‑byznysu, aby to nejen umožnilo «přežít rok 2026», ale i využít jej jako bod růstu.

Úschova kryptoměn v EU: co se považuje za úschovu

Když mi podnikatel říká: «Nejsme banka, jen držíme aktiva klientů v peněženkách», pro regulátora to zní jako klasická služba crypto custody.

Pod uchováváním kryptoaktiv v EU obvykle spadají služby, které:

• mají přístup k privátním klíčům klientů nebo mohou iniciovat transakce jejich jménem;
• poskytují strukturu peněženek (horké, studené, kustodiální) a nesou odpovědnost za bezpečnost aktiv;
• nabízejí svěřenecké řízení, maržové služby, staking, pokud tím kontrolují přístup k prostředkům.

Klíčová chyba, kterou často vidím: snaha «schovat» činnost za formulací «jsme jen IT‑platforma». Pro regulátora je kritické nikoli to, jak službu nazýváte v prezentaci pro investory, ale:

• zda má uživatel plnou a výlučnou kontrolu nad privátními klíči;
• komu právně patří aktiva;
• kdo nese odpovědnost vůči klientovi v případě ztráty nebo zablokování prostředků.

Pokud kontrolujete klíče nebo spravujete aktiva na základě pokynu, spadáte do oblasti poskytovatele kryptoslužeb (CASP) a potřebujete odpovídající status a Licencování kryptoplatform v EU.

MiCA: regulace kryptoměn v EU

Nařízení MiCA ukončuje éru fragmentárního regulování kryptoměn v Evropě. Pro podniky je to současně výzva i příležitost.

Kdo jsou CASP a proč je to důležité

MiCA zavádí jednotnou kategorii – Crypto-Asset Service Provider (CASP). Pro platformy crypto custody to znamená:

• bez CASP licence nelze poskytovat služby úschovy aktiv klientům z EU;
• po získání licence vzniká jednotné oprávnění na trhu EU: můžete obsluhovat klienty modelem «passporting» bez opakovaného licencování v každém členském státě;
• všechny klíčové požadavky na kapitál, governance a compliance jsou nyní stanoveny na úrovni nařízení, a nejsou „roztříštěny“ do národních pravidel.

Požadavky MiCA na úschovu kryptoměn

Pro služby úschovy kryptoaktiv MiCA stanovuje soubor základních oblastí:

Kapitál a finanční stabilita

korporátní správa CASP
Majitel crypto custody byznysu už nemůže zůstat jen technickým podnikatelem. Regulátor očekává:

• transparentní strukturu vlastnictví;
• představenstvo/management s relevantními zkušenostmi ve finanční a compliance oblasti;
• dokumentovaný systém řízení rizik;
• nezávislou funkci compliance a pro velké subjekty interní audit.

Organizace ukládání a IT bezpečnosti
MiCA důrazně nabádá k:

• segregaci klientských aktiv a prostředků společnosti;
• politice rozdělení úschovy mezi online (hot) a offline (cold) peněženkami;
• postupům správy privátních klíčů (generování, ukládání, rotace, zálohování, přístup na principu „nezbytného minima“).

Přechodné období MiCA a termíny

Pro existující kryptospolečnosti Evropská unie zřídila přechodné období MiCA, které končí v polovině roku 2026. Je to okno, během kterého je třeba:

• určit, zda spadáte do kategorie CASP;
• vybrat zemi primární licence;
• přestavět obchodní procesy na požadavky MiCA;
• podat kompletní balík dokumentů a projít autorizací.

DAC8 a CARF: zdanění kryptoaktiv

Если MiCA отвечает за «лицензирование и защиту инвесторов», то DAC8 и CARF, за налоговую прозрачность.

Co je DAC8 pro krypto platformy?

DAC8 директива расширяет европейский режим административного сотрудничества в налоговой сфере на криптоактивы. Для crypto custody и криптоплатформ это означает:

• povinnost předávat daňovým úřadům údaje o klientech a jejich transakcích;
• integraci do režimu automatické výměny údajů o kryptoaktivách mezi státy;
• nastavení procesů pro zjišťování neuhrazených daňových povinností a předcházení daňovým únikům.

CARF: standard vykazování kryptoaktiv

CARF стандарты отчётности: это инициатива ОЭСР, которая по сути делает с криптоактивами то, что CRS сделал со стандартными финансовыми счетами:

• jednotný formát zpráv pro automatickou výměnu informací;
• unifikovaná sada dat: identifikace klienta, zůstatky kryptoaktiv, historie transakcí, převody mezi účty;
• možnost pro daňové úřady různých zemí vidět kryptoaktiva v kontextu celkových finančních toků klienta.

KYC/AML a rizikově orientovaný přístup v kryptoměnách

Regulace bez kvalitního AML/CFT a KYC v kryptobiznisu už nefunguje. MiCA, DAC8, AMLR a národní zákony požadují od platforem zralý, zdokumentovaný a ověřitelný compliance.

KYC/AML pro úschovu kryptoměn: základní rámec

Když s týmem COREDO budujeme AML/CFT procesy v kryptu, pro platformy crypto custody standardně sestavujeme následující bloky:

Politika KYC

• identifikace fyzických a právnických osob;
• verifikace dokumentů, kontrola podle sankčních a PEP seznamů;
• aktualizace údajů podle plánu nebo podle spouštěčů (změna aktivity, podezřelé operace).

Rizikově orientovaný přístup AML/CFT v kryptu

• segmentace klientů podle rizik v kryptoslužbách (maloobchodní, profesionální, institucionální, vysoce rizikové jurisdikce, složité struktury vlastnictví);
• přiřazení základního hodnocení rizika při onboardingu;
• revize hodnocení rizik při objevení nových údajů, změně chování klienta nebo zjištění negativních informací.

monitorování transakcí kryptoměn

• scénáře pro automatické odhalování netypických nebo potenciálně podezřelých operací;
• prahové hodnoty transakcí DAC8 a interní limity pro zvýšenou kontrolu;
• integrace se systémy blockchainové analytiky.

Analýza blockchainu pro dodržování předpisů

Dnes kvalitní compliance kryptoměnových platforem není možný bez blockchainové analytiky. Z praxe:

• V jednom projektu týkajícím se licencování krypto směnárny jsme implementovali integraci s několika poskytovateli blockchainové analytiky, aby:
  • ověřovat „čistotu“ kryptoměny při příjmu a výdeji;
  • sledovat vazby na darknetové trhy, mixery, sankcionní adresy;
  • analyzovat řetězce transakcí podle typických rizikových scénářů.

Jak bezpečně uchovávat kryptoaktiva

MiCA a DAC8 určují «co» a «proč». Otázka «jak» je už inženýrství a provozní návrh.

Horké, studené a nekustodní peněženky

Для crypto custody в ЕС ключевые решения:

Horké peněženky (hot wallets)

• zajišťují vysokou rychlost transakcí;
• nesou zvýšená rizika hackerských útoků a kompromitace zařízení;
• vyžadují přísné limity, vícenásobné podpisy, segregaci podle typů operací.

Studené peněženky (cold wallets) a hardware‑zařízení

• používají se pro hlavní objem aktiv;
• integrují se do vícestupňových přístupových postupů (multisig, fyzické sejfy, offline‑úložiště);
• předpokládají promyšlenou politiku ukládání seed‑frází a záloh privátních klíčů (včetně využití sejfů a bankovních schránek).

Neklírové peněženky a regulace

Integrace monitoringu a reportování

Aby splnily požadavky MiCA, DAC8 a CARF, společnosti budují:

• systémy monitoringu transakcí s možnostmi:
  • online analýzy;
  • tvorby reportů na žádost regulátorů a daňových orgánů;
  • dokumentování všech rozhodnutí (proč byla operace schválena, odmítnuta nebo odeslána do rozšířeného Due Diligence).

Licencování krypto platforem v EU v roce 2026

S ohledem na MiCA, DAC8 a CARF se otázka „kde se licencovat“ proměňuje z daňového úkolu na strategické rozhodnutí o pozicování společnosti v Evropě.

Výběr jurisdikce pro licenci CASP

Při výběru země pro primární CASP licenci vždy zakladatelům doporučuji sledovat několik parametrů:

• rychlost a transparentnost komunikace s regulátorem;
• praxe v licencování kryptospolečností;
• požadavky na kapitál;
• přístup k AML/CTF a technologickým řešením;
• ekosystém: banky, poskytovatelé platebních služeb, poradci, auditoři.

Jak se připravit na licencování CASP?

Aby proces nezačal chaoticky, obvykle strukturuji přípravu do čtyř bloků:

Obchodní a produktový model

• jaké kryptoměnové služby v EU skutečně poskytujete (custody, směna, staking, tokenizace apod.);
• pro jaké kategorie klientů (retail, HNWI, korporátní, institucionální);
• geografie: pouze EU nebo globální pokrytí se zaměřením na EU.

Korporátní struktura a řízení

• právnická osoba v EU s jasnou strukturou konečných vlastníků;
• představenstvo a top management s prokazatelnými zkušenostmi;
• vnitřní předpisy: řízení rizik, compliance, IT‑bezpečnost, kontinuita podnikání.

Compliance rámec

• KYC/AML politiky s ohledem na rizikově orientovaný přístup;
• postupy monitoringu transakcí a blockchainová analytika;
• procesy interního vyšetřování a hlášení podezřelých operací.

IT a provozní infrastruktura

• architektura peněženek (horké/studené/neklirové);
• systém logování a auditu činností;
• integrace s poskytovateli analytiky a reportingu pro CARF/DAC8.

Strategické otázky vedoucích v roce 2026

V rozhovorech s majiteli a finančními řediteli kryptoplatforem se obvykle do popředí dostává několik strategických témat.

MiCA: konkurenční výhoda

MiCA zároveň:

• zvyšuje vstupní bariéru pro krypto-podnikání;
• vytváří předvídatelný rámec pro ty, kteří jsou ochotni investovat do regulace a compliance.

Návratnost investic do compliance

• náklady na nástroje AML/KYC a reporting podle DAC8/CARF je lepší vnímat jako investice do:
  • přístupu ke klíčovým klientům (banky, fondy, institucionální investoři, kteří vyžadují striktní compliance);
  • snížení pravděpodobnosti sankcí a kontrol;
  • zvýšení ocenění společnosti při získávání kapitálu nebo výstupu z podnikání.
• Jeden z klientů COREDO dokázal zvýšit ocenění společnosti při kole financování právě díky tomu, že měl připravený MiCA-ready compliance rámec a jasný plán licencování CASP. Pro investora to znamenalo řízené regulatorní riziko.

Škálování podnikání v EU a v zahraničí

MiCA s CASP pasportováním dělá EU jedním z nejvíce strukturovaných trhů. Pro mnoho asijských a blízkovýchodních hráčů, s nimiž COREDO spolupracuje, strategie vypadá takto:

• vytvořit regulovanou prezentační platformu v EU pod MiCA, DAC8, CARF;
• využít ji jako „kotvu důvěry“ pro globální klienty;
• budovat kolem toho další jurisdikce s jiným zaměřením (např. experimenty s DeFi, nové tokenizační modely) už v flexibilnějších režimech, ale s oporou o evropský standard compliance.

Jak COREDO pomáhá rozvíjet podniky v oblasti custody kryptoměn

Můj osobní zájem o kryptotrh byl vždy pragmatický: kdo umí pracovat v podmínkách měnící se regulace, přežije na dlouhé trati. Tým COREDO za roky práce s EU, Velkou Británií, Kyprem, Estonskem, Singapurem a Dubají vybudoval několik strategií podpory kryptoprojektů:

Od nápadu k licenci CASP

Reinženýring stávajícího crypto custody podle MiCA/DAC8

Na výstupu klient nedostane «список проблем», а plán изменений с приоритизацией и оценкой влияния на бизнес‑модель.

Komplexní podpora po získání licencí
Registrace a licencování jsou začátek, ne konec. V praxi COREDO zůstává i nadále nablízku:

• pomáhá se připravit na kontroly regulátorů;
• adaptuje procesy podle nových doporučení EBA, Evropské komise a národních regulátorů;
• podílí se na aktualizaci AML/KYC politik a postupů při uvádění nových produktů a vstupu na nové trhy.

V mezinárodním podnikání se strategie růstu dnes nevyhnutelně naráží na compliance: registrace společností v EU a v Asii, finanční licence, KYC/AML, sankční compliance, přeshraniční operace: to vše se proměňuje v jednotný úkol řízení compliance rizik na úrovni skupiny, nikoli jednotlivých právních osob.

Za deset let práce COREDO s holdingy z Evropy, Asie a SNS jsem se přesvědčil: dokud skupina nemá jasnou mapu compliance rizik a zavedené mapování compliance rizik, každá nová jurisdikce, licence nebo banka nepřináší obchodní příležitosti, ale slabá místa.

Jak prakticky přistoupit k mapování compliance rizik pro mezinárodní holdingy: co považovat za riziko, jak vytvářet mapu, jak ji provázat s apetitem k riziku představenstva a licencováním, a která řešení se v praxi osvědčila v projektech COREDO.

Mapa rizik kompliance holdingu

Если у вас:

• společnosti v několika zemích EU, Asie a SNS;
• licence (nebo plány) pro platby, forex, kryptoměny, EMI, investiční služby;
• vlastnická struktura vícestupňová, s trusty, SPV, samostatnými holdco;

то ваш ключевой ресурс: не только korporátní struktura, а průhlednost и možnost řízení compliance‑rizik.

• de‑risking bank и odmítnutí obsluhy: banky vidí „nejasnou“ strukturu, slabé KYC/AML, nepřipravenost na sankční audit;
• blocking & freezing of assets kvůli sankčním porušením nebo chybám při práci s PEP/vysoko‑rizikovými jurisdikcemi;
• poškození reputace a růst nákladů kapitálu, investoři a partneři začínají do ocenění započítávat vysoké náklady z nedodržování předpisů;
• dlouhotrvající kontroly regulátorů v EU a Asii, omezení v oblasti licencí, dodatečný kapitál a výkaznictví.

Когда команда COREDO заходит в холдинг на этапе масштабирования, большинство проблем сводится к одному: compliance‑systém не успевает за географией и продуктом. Нет централизованного registr rizik, нет vlastníků rizik, комплаенс воспринимается как набор документов, а не как инструмент řízení podnikových rizik для международных групп.

Riziko compliance v mezinárodním kontextu

Cíle compliance v globálním holdingu nejsou pouze «absence pokut». Patří sem:

• udržení přístupu k bankovní infrastruktuře a platebním poskytovatelům;
• ochrana před sankčními a AML incidenty;
• dodržování licencí (payment, EMI, crypto, MiFID‑podobné, místní režimy v Asii);
• přijatelná úroveň reputačního rizika pro investory a partnery.

• jednotná taxonomie rizik pro compliance;
• formalizovaný proces identifikace, hodnocení, zpracování a monitorování compliance rizik;
• zdokumentovaná zpráva o hodnocení rizik (risk assessment report) a registr rizik (risk register).

Když v COREDO provádíme compliance risk assessment v nadnárodní skupině, rozdělujeme rizika na:

• regulatorní (regulatorní compliance v EU a v Asii, licence, reporting);
• sankční a AML rizika pro holdingy;
• provozní (KYC/AML procesy, onboarding, monitoring, IT GRC);
• právní (smlouvy, transparentnost skutečných majitelů, CRS/FATCA, ESG compliance);
• reputační (incidenty, vyšetřování, mediální kontext, stížnosti klientů).

Mapa rizik v oblasti dodržování předpisů: metodologie

Metodologie vytváření mapy compliance rizik vychází z detailního porozumění tomu, jak je podnik uspořádán a kde přesně v jeho procesech vznikají zranitelnosti. Na základě mapy podnikání postupujeme krok za krokem k vytvoření strukturované mapy compliance rizik, která ukazuje, jaká porušení, v kterých bodech a s jakou pravděpodobností se mohou vyskytnout.

Mapa podnikání a mapa rizik

Další kroky:

1. Procesní přístup k mapování compliance
   Jasně popisujeme klíčové procesy:
   prodeje, onboarding klientů (KYC/KYB), platby, operace na účtech, práce s dodavateli a agenty, HR, IT, reporting.
   Na tomto základě se vytváří mapa compliance rizik podle podnikových procesů.
2. Identifikace zón rizika
   Pro každý proces vymezíme:
   • body generování sankčních rizik a AML rizik;
   • zóny přeshraničních compliance rizik (platby, převody mezi jurisdikcemi, použití různých měn, korespondenční účty);
   • kontakt s regulátory, bankami, platebními systémy, auditory.
3. Sběr dat a incidentů
   Tým COREDO obvykle vytváří centralizovaný risk register compliance incidentů:
   žádosti regulátorů, blokace plateb, dotazy bank, zjištěná porušení, varovné signály (red flags).
   To poskytuje reálnou statistiku pro ocenění pravděpodobnosti.

Pravděpodobnost (likelihood) a dopad (impact) podle ISO 31000
Klasická otázka: jak měřit compliance riziko, přes pravděpodobnost nebo přes závažnost následků?

V praxi COREDO s holdingy používáme dvourozměrné hodnocení:

• pravděpodobnost, frekvence výskytu: od „vzácně“ do „často“;
• dopad, vliv na: licence, přístup k bankám, finanční výsledek, reputaci, osobní odpovědnost.

Je důležité rozlišovat:

• pravděpodobnost jako expertní hodnocení na základě incidentů a specifik;
• probability jako přísnější, kvantitativní ukazatel (tam, kde jsou data).

Apetit k riziku a vlastnictví rizik
Bez provázání s apetitem k riziku představenstva zůstává mapa rizik akademickým dokumentem.

Co dělám na úrovni governance:

• představenstvo formuluje apetít k riziku v oblasti compliance:
  jaké sankční, AML, regulatorní, provozní rizika jsou přijatelné a která nikoliv;
• stanoví se risk tolerance – přijatelné rozsahy pro klíčové KRI (např. počet zamítnutých plateb z důvodu sankcí, frekvence požadavků regulátorů);
• jsou jmenováni vlastníci rizik (risk owners) – obvykle vedoucí obchodních jednotek, a ne pouze compliance officery.

Centralizované, decentralizované a hybridní compliance modely

V mezinárodních holdingových skupinách vidím tři vzory řízení compliance.

Centrum kompetencí
Centrum kompetencí pro compliance v centrále:

• jednotná metodika vytváření mapy compliance rizik;
• centralizovaný registr rizik a zpráva o hodnocení rizik;
• jednotné politiky: sankční compliance, AML, KYC/KYB, TPRM, ESG, ochrana dat;
• jedno jádro IT GRC a compliance infrastruktury (RegTech, case-management, monitoring).

Decentralizovaný model systému
Lokální compliance oficíři v dceřiných společnostech:

• vlastní matice compliance rizik pro holdingovou skupinu v každé zemi;
• silná adaptace na regulatorní compliance v EU a Asii (místní regulátoři, reporting, jazyky);
• vlastní praxe interakce s bankami, platebními institucemi, finanční rozvědkou.

Hybridní model
Ve většině projektů COREDO prosazuji hybridní model řízení compliance rizik ve skupině:

• centrála: centrum metodiky, governance, risk & compliance (GRC přístup), obecná mapa rizik pro holding;
• dceřiné společnosti: adaptace a detailizace mapy compliance rizik pro holding s aktivy v Evropě a Asii podle jejich procesů;
• jednotné standardy (ISO přístup, politiky, KYC/AML rámec), ale lokální postupy tam, kde to vyžaduje regulátor.

Sankční a AML rizika ve víceúrovňových strukturách

Sankční a AML rizika ve víceúrovňových strukturách se zvyšují kvůli složitým řetězcům vlastnictví, křížovým podílům a účasti beneficiářů z různých jurisdikcí. Aby se zabránilo skrytému vystavení omezením a nárokům regulátorů, potřebuje podnik systematický sankční audit a podrobnou mapu sankčních rizik, pokrývající každou úroveň struktury.

Sankční audit a mapa rizik
Pro skupiny s privátním kapitálem a složitou vlastnickou strukturou tým COREDO často začíná sankčním auditem a sankčním Due Diligence:

• analýza transparentnosti skutečného vlastnictví (beneficial ownership): kdo jsou skuteční vlastníci a na kterých úrovních;
• hodnocení víceúrovňových vlastnických struktur, trustů, fondů, SPV, offshore entit;
• mapování přeshraničních řetězců: platby, dividendy, financování mezi společnostmi.

Na tomto základě vytváříme:

• sankční rizika a mapu rizik holdingu:
  • riziko zařazení na sankční seznamy;
  • compliance rizika při práci s PEP a vysoce rizikovými jurisdikcemi;
  • riziko nepřímého vlastnictví/vztahů se subjekty SDN;
• «červené vlajky / red flags» pro interní systémy:
  • anomální řetězce plateb;
  • noví kontrahenti z vysoce rizikových zemí;
  • netypické změny vlastnické struktury.

Integrace AML systémů do mapy rizik
Klasická chyba: budovat AML systém odděleně od celkové mapy compliance rizik.

Řešení, které COREDO úspěšně realizovala v holdincích s platebními a kryptolicencemi:

• integrace AML systémů do celkové mapy compliance rizik holdingu;
• použití přístupu založeného na riziku (risk-based approach) při vytváření mapy compliance rizik:
  • segmentace klientů podle rizika;
  • risk-based KYC a diferencované postupy;
• nastavení AML systému pro monitorování transakcí jako zdroje KRI:
  • podíl transakcí v ruční kontrole;
  • počet zjištěných red flags;
  • počet hlášení finanční rozvědce.

Digitální infrastruktura: IT GRC a RegTech

V holdincích s velkým počtem jurisdikcí, licencí a bankovních vztahů přestává být ruční mapování rizik v oblasti compliance zvládnutelné.

Proto považuji digitální platformy pro řízení compliance rizik (RegTech, GRC systémy) za jádro compliance infrastruktury:

• IT GRC a compliance pro mezinárodní holdingy poskytují:
  • centralizovaný registr rizik a registr incidentů;
  • řízení případů (case‑management) u compliance incidentů;
  • dokumentace procesů a audit‑trail;
  • řídicí panely a dashboards / scorecards pro vedení.

• Integrace AML/KYC s GRC:
  • data lineage a kvalita dat v AML/KYC‑systémech;
  • možnost propojit případy klientů, protistran a incidenty s konkrétními riziky na mapě;
  • monitorování klíčových indikátorů rizik (KRI) v režimu téměř reálného času.

Tým COREDO v několika projektech působil jako architekt:
popisovali jsme compliance‑infrastrukturu, formulovali požadavky na RegTech‑řešení a poté je integrovali s bankovními, platebními a CRM‑systémy.

Mapa compliance‑rizik a korporátní řízení

Mapa compliance‑rizik se stává praktickým nástrojem, který propojuje korporátní řízení s reálnými oblastmi odpovědnosti a kontroly ve společnosti, ukazující, kde přesně a jak mohou vznikat porušení. Skrze tuto souvislost model «tří linií obrany» pomáhá vytvořit průhledné rozdělení rolí, od provozní úrovně po představenstvo, a zajistit jednotný systém řízení compliance‑rizik.

Tři linie obrany v bance
Efektivní compliance‑systém jako nástroj řízení rizik nefunguje izolovaně:

1. První linie, obchodní útvary a provozní personál.
   Jsou to klíčoví vlastníci rizik (risk owners), právě zde vznikají a jsou řízena primární rizika.
2. Druhá linie: právní, rizikové a compliance funkce.
   Jejich úkolem je metodologie, monitoring, aktualizace mapy compliance‑rizik a kontrola.
3. Třetí linie, interní audit.
   Ten validuje mapu compliance‑rizik, ověřuje realističnost hodnocení, existenci kontrol a efektivitu procesů.

V jednom z projektů COREDO pro holdingu s licencemi v EU a v Asii jsme začali tím, že společně s interním auditem „přeprogramovali“ mapu rizik:
část rizik, která byla považována za nízká, se v praxi ukázala jako kritická kvůli přeshraničním (cross‑border) specifikám a požadavkům konkrétních regulátorů.

Tone at the top a compliance kultura
Bez tone at the top a compliance kultury se každá mapa rizik promění v byrokracii.

• schválit apetít k riziku (risk appetite) a toleranci rizika (risk tolerance);
• zařadit compliance‑KPI na úrovni top‑managementu;
• podporovat pravidelné revize mapování compliance rizik a zprávy o KRI;
• vyčleňovat prostředky na compliance školení a programy zvyšující povědomí (awareness‑programy).

Praxe COREDO ukazuje: když se compliance‑KPI stanou součástí bonusového systému managementu, zbytkové riziko začne skutečně klesat.

Mapování compliance rizik v mezinárodním holdingu

Právě ten «krok za krokem» plán, který tým COREDO používá v typickém projektu pro skupinu s aktivy v Evropě a Asii.

1. Diagnostika
   • analýza jurisdikcí, licencí, bankovních a platebních vztahů;
   • hodnocení zralosti současné compliance funkce a IT prostředí;
   • sběr incidentů, požadavků regulátorů a bank, sankčních a AML případů.
2. Taxonomie rizik a procesy
   • tvorba struktury compliance rizik mezinárodních holdingů;
   • popisy procesů (onboardingu, plateb, TPRM, HR, IT, výkaznictví);
   • vymezení přeshraničních řetězců a oblastí sankčního/AML rizika.
3. Hodnocení a sestavení mapy
   • compliance risk assessment podle ISO přístupu: pravděpodobnost a dopad;
   • vytvoření registru rizik a zprávy z hodnocení rizik;
   • vizuální mapu rizik / heat mapu pro představenstvo.
4. Propojení s úrovní přijatelnosti rizika (risk appetite) a governance
   • sjednání úrovní rizika s představenstvem;
   • jmenování vlastníků rizik a rolí;
   • výběr modelu: centralizovaný, decentralizovaný, hybridní.
5. Integrace s vnitřním kontrolou a auditem
   • nastavení vazby «mapa rizik: kontrolní postupy – prověrky»;
   • účast interního auditu na validaci hodnocení a scénářové analýze;
   • stress‑testing compliance systému a scénářová analýza rizik.
6. Digitalizace a RegTech
   • určení požadavků na GRC platformu a AML/KYC řešení;
   • integrace s CRM, platebními, bankovními a účetními systémy;
   • spuštění dashboardů a automatizovaného compliance monitoringu.
7. Průběžný monitoring a přezkum mapy rizik
   • pravidelná aktualizace mapy compliance rizik (minimálně jednou ročně, a při zásadních regulatorních změnách: častěji);
   • analýza nových jurisdikcí, produktů, partnerů;
   • úprava KRI a procesů.

Mapa rizik nedodržování předpisů: návratnost investic (ROI) a efekt

Z praxe COREDO vidím několik stabilních efektů:

• Snížení nákladů z nedodržení compliance
  Méně pokut, méně blokací, méně odmítnutí ze strany bank.
  Pro fintechové a holdingové skupiny to přímo ovlivňuje náklady na získání kapitálu a ocenění firmy.
• Urychlení vstupu na nové jurisdikce a získávání licencí
  Když máte vybudované řízení compliance v mezinárodním byznysu, regulátoři a banky se na holding dívají jinak – jako na předvídatelného a srozumitelného hráče.
• Snížení reputačních rizik
  Jasná mapa compliance-rizik, scénářová analýza, správně nastavený sankční a AML-compliance snižují pravděpodobnost událostí, které mohou narušit důvěru trhu.
• Řízení růstu
  Při rozšiřování na nové trhy, u M&A transakcí, při spuštění nových produktů se mapa rizik stává filtrem:
  co lze dělat, kde je potřeba dodatečná kontrola, kde je lepší se tomu vyhnout.

V jednom z případů COREDO pro skupinu s aktivy v EU a Asii vedlo zavedení mapy compliance-rizik a GRC-platformy:

• snížilo počet problémových dotazů od bank více než dvojnásobně;
• snížilo podíl manuální kontroly transakcí díky lepší kalibraci založené na riziku;
umožnilo regulátorovi schválit rozšíření licence na základě předložené zprávy o hodnocení rizik a řídící struktury.

Co je právě pro vás důležité zvážit.

1. Má skupina formalizovanou mapu kompliance‑rizik, nebo jen soubor roztříštěných politik?
2. Rozumí představenstvo a vrcholové vedení své toleranci k riziku právě v oblasti kompliance a sankcí?
3. Jsou vaše IT‑systémy, AML/KYC a procesy navázány na jednotný GRC‑přístup, nebo každá právnická osoba žije svým vlastním životem?

Команда COREDO за последние годы сопровождала холдинги в ЕС, Великобритании, Чехии, Словакии, на Кипре, в Эстонии, Сингапуре и Дубае – от регистрации юридических лиц и получения финансовых лицензий до построения комплексных комплаенс‑систем и risk map на уровне группы. Этот опыт убеждает меня в одном:

Vaše mapa kompliance‑rizik – это по сути strategическая карта устойчивости холдинга. И чем сложнее ваша география и лицензии, тем важнее, чтобы эта карта была не только нарисована, но и реально работала каждый день.