COREDO

Když za mnou přijde zakladatel fintechového projektu s otázkou: „V které zemi je lepší získat licenci EMI a jak to udělat bez fatálních chyb?“, vždy nezačínám u země, ale u obchodního modelu. Právě on určuje, kde budete moci fungovat udržitelně, s jasně definovanými regulatorními riziky a předvídatelným ROI.

Během let působení COREDO v Evropě, Asii a SNS prošel tým s klienty celou cestu: od první myšlenky „chci svou licenci EMI v EU“ až po fungující platební instituce s passportingem v rámci EHP, auditem podle mezinárodních standardů a promyšlenou AML-funkcí. V tomto článku shrnu tyto zkušenosti do praktického průvodce: jak vybrat jurisdikci, které požadavky skutečně „bolí“ v praxi, kde leží hranice regulatorního apetitu k riziku a jak snížit pravděpodobnost zamítnutí na startu.

EMI licence v EU: co potřebujete vědět

EMI licence v Evropě: je to oprávnění působit jako emitent elektronických peněz a poskytovat platební služby na základě směrnic PSD2 a EMD2. V podstatě EMI licence v EU umožňuje:

• vydávat elektronické peníze (zůstatky peněženek, předplacená řešení, uložená hodnota);
• zřizovat a vést platební účty pro klienty;
• poskytovat platební služby a elektronické peníze pro modely B2B a B2C;
• budovat white‑label řešení pro partnery a škálovat fintech platformu po celém EHP prostřednictvím passportingu EMI licence.

V kterékoliv zemi Evropy regulator pohlíží na poskytovatele EMI přes tři klíčové bloky:

• obchodní model a udržitelnost (podnikatelský plán, výnosnost, řízení rizik);
• compliance pro poskytovatele EMI (AML/KYC, governance, fit & proper management);
• IT a provozní infrastruktura (bezpečnost, řízení incidentů, ochrana prostředků).

Moje praktická rada: nevnímejte EMI jako „zaškrtávací políčko“ nebo hezký status. Je to infrastrukturní řešení pro byznys na 5–10 let dopředu. Pokud neplánujete fungovat alespoň v takovém horizontu, možná je pro vás zatím blíže model práce přes partnerského poskytovatele.

Plná licence instituce elektronických peněz nebo malá instituce elektronických peněz/platební instituce: kde začít

Mnoho projektů přichází s tvrdým požadavkem: „potřebujeme pouze plnou EMI licenci“. V praxi je rozumné zvážit tři možnosti:

• plná EMI licence
  Vhodné, pokud plánujete škálování po celém EHP, zpracování významných objemů a práci s různými segmenty (B2B/B2C, cross‑border platby, peněženky, karty, API‑integrace pro open banking).
• licence small EMI (omezená Licence emitenta elektronických peněz)
  Je to kompromis: lokální nebo objemově omezené operace, zjednodušené požadavky, ale bez passportingu v EHP. V některých zemích ji používají jako „zkoušební polygon“: dokázat regulátorovi, investorům a sobě samým, že model funguje.
• PI (platební instituce)
  PI licence v EU umožňuje poskytovat platební služby bez statusu emitenta elektronických peněz. Pro některé modely money remittance, acquiring nebo určitá B2B‑řešení může být PI dostačující.

Důrazně nedoporučuji vybírat mezi EMI a PI „podle pocitu“. V COREDO vždy začínáme rozborem případů použití: jaké produkty nabízíte, komu, v kterých zemích, jaké jsou limity, kde vzniká zůstatek klienta, jak vyděláváte, jaká je struktura poplatků a floatu.

Jak vybrat zemi pro EMI licenci

Věta «v které zemi je lepší získat EMI licenci» sama o sobě není korektní. Správněji – «která jurisdikce je optimální pro můj obchodní model, profil rizika a strategii škálování».

Vždy doporučuji podnikatelům nahlížet na zemi skrze pět oblastí:

1. regulatorní rizika EMI a rizikový apetit regulátora
   • Jak regulátor reaguje na nové obchodní modely?
   • Jak často se pravidla mění?
   • Jaká je praxe dohledu (frekvence kontrol, tón komunikace, předvídatelnost rozhodnutí)?
2. Minimální kapitál pro EMI a požadavky na kapitalizaci
   • Počáteční kapitál: standardně 350 000 eur pro klasický model EMI v EU.
   • Průběžná kapitálová přiměřenost: metodika výpočtu kapitálu podle objemu operací a rizik.
   • Je potřeba nejen formální částka, ale i promyšlený model: kde budete držet kapitál, jak jej vykazovat podle IFRS, jak se změní struktura kapitálu při růstu.
3. Požadavky na substance EMI (kancelář, personál)
   • Skutečná obchodní přítomnost: místní kancelář, zaměstnanci, rezidentní ředitelé.
   • Role místního týmu: kdo skutečně rozhoduje, kdo je zodpovědný za dodržování předpisů (compliance), řízení rizik, IT.
4. IT požadavky pro EMI licenci
   • soulad s požadavky v oblasti ICT a řízení bezpečnostních rizik;
   • architektura, redundance, plán obnovy po havárii (disaster recovery plan);
   • řízení kybernetických a operačních rizik EMI, práce s outsourcingem a cloudovými poskytovateli.
5. Daňové aspekty a celková struktura skupiny
   • kompatibilita země s vašimi toky (B2B, B2C, mezinárodní platby);
   • smlouvy o zamezení dvojího zdanění;
   • vliv jurisdikce na ocenění projektu investory a budoucí kola financování.

Úkolem COREDO v takových projektech není jen «zaregistrovat», ale pomoci vybudovat strukturu, která obstojí při prověrce regulátora, auditora a investora zároveň.

Jurisdikce pro licenci EMI: kde a pro koho

Níže: ne «žebříček zemí», ale typické scénáře, které vidím v projektech přicházejících do COREDO.

EMI licence v Litvě

Litva už dlouho přitahuje fintech projekty orientované na EHP. Pro mnoho mezinárodních hráčů je EMI‑licence v Litvě praktický způsob, jak vstoupit na evropský trh s jasnými termíny a transparentními požadavky.

Kdy má tato země smysl:

• pro vás je zásadní passporting EMI‑licence v rámci EHP;
• budujete produkt zaměřený na EU, ale tým je rozprostřen v různých zemích;
• jste připraveni na důkladnou práci v oblasti IT a řízení rizik: regulátor bedlivě sleduje ICT, provozní rizika a ochranu klientských prostředků (safeguarding).

V praxi tým COREDO věnuje litevským projektům obzvlášť velkou pozornost v:

• tříletému podnikatelskému plánu a stresovému testování modelu;
• IT‑architektuře: zálohování, monitorování incidentů, logování, řízení změn;
• modelu AML/KYC: jak je přístup založený na riziku zachycen v postupech a IT systémech.

EMI licence v Irsku

EMI‑licence v Irsku je nejčastěji zvažována vyspělejšími projekty a skupinami, které budují evropské centrum (hub).

Klíčové rysy:

• vysoké požadavky Centrální banky Irska na strukturu governance, fit & proper management, nezávislé kontrolní funkce;
• vážný důraz na compliance pro poskytovatele EMI: AML, řízení rizik, interní audit;
• zvýšená pozornost udržitelnosti obchodního modelu a dlouhodobé životaschopnosti.

Často vidím, že týmy podceňují náklady na compliance v Irsku: zahrnují nejen interní specialisty, ale i externí poradce, auditory, plán pravidelných kontrol. Odměna za to: vysoká úroveň důvěry trhu a investorů.

EMI licence v Česku

Česko zajímá ty, kteří hledají rovnováhu mezi provozními náklady, úrovní regulační kontroly a možností pracovat s klienty z různých evropských zemí.

Specifika:

• jasná infrastruktura pro registraci právnické osoby a budování substance;
• rozumné požadavky na lokální přítomnost a řízení;
• možnost kombinovat EMI‑licenci s provozní činností ve střední Evropě.

Klientský případ: tým COREDO doprovázel projekt, který porovnával EMI Litva vs. EMI Česko. Nakonec se strategie rozdělila: Litva — pro škálování B2C produktu v rámci EHP, Česko — pro provozní back‑office, vývoj a část B2B směru. To je scénář, kdy jedna země pro EMI licenci není jediná odpověď.

EMI licence ve Velké Británii: požadavky FCA

EMI‑licence ve Velké Británii je volba těch, kteří se vědomě podrobují vysoké úrovni regulačního dohledu ze strany FCA, očekávajíce na oplátku silnou značku a přístup k britskému ekosystému.

Co je důležité zvážit:

• požadavky FCA na governance, řízení rizik a transparentnost struktury skutečných majitelů jsou obzvlášť detailní;
• velká pozornost je věnována outsourcingu a poskytovatelům služeb pro EMI, včetně cloudových řešení;
• posilují se požadavky na kybernetickou bezpečnost, hlášení incidentů a IT odolnost.

Pro mezinárodní projekt zaměřený na Evropu a Asii je logické uvažovat o Velké Británii jako o součásti širší struktury, nikoli jako o jediném vstupním bodu.

Mauricius: EMI licence pro offshore

EMI‑licence na Mauriciu vyvolává u podnikatelů mnoho otázek: „nakolik spolehlivé je budovat mezinárodní fintech byznys na základě takové licence?“

Viděl jsem úspěšné případy, kde Mauricius:

• byl využit jako hub pro mezinárodní platby mimo EHP;
• kombinoval se s evropskou strukturou (např. Litva / Irsko) pro práci s klienty v EU;
• umožňoval optimalizovat daňové zatížení a strukturu skupiny při splnění požadavků na substance.

Problémy původního nadpisu:

• Zbytečná kancelářština („Typické“, „úzká místa“)
• Zní to jako akademická práce, ne jako vyhledávací dotaz
• Obsahuje 9 slov, což překračuje doporučení

Úzká místa u EMI licence

Aby se snížilo riziko zamítnutí vydání EMI licence, vždy žádám klienty, aby upřímně zhodnotili tři oblasti ještě před kontaktováním regulátora.

Struktura vlastnictví a beneficiářů

Regulátor pečlivě zkoumá:

• transparentnost skutečného vlastnictví (beneficial ownership);
• zdroje prostředků (source of funds / zdroj majetku);
• historii a reputaci akcionářů a ředitelů (fit and proper test).

Komplexní vícestupňové struktury bez jasné ekonomické logiky zvyšují regulační riziko EMI v jakékoli zemi. V COREDO často začínáme právě „vyčištěním“ struktury: odstraňujeme zbytečné úrovně, upravujeme korporátní dokumenty a připravujeme zdůvodnění vlastnického řetězce.

Podnikatelský plán a model příjmů

Pro regulátora je důležité nejen vidět tříletý finanční plán, ale také pochopit:

• jak vyděláváte (předplatné, provize, interchange‑příjmy, FX‑marže, B2B‑poplatek);
• jak řídíte regulační rizika (např. vysoce rizikové segmenty, přeshraniční platby);
• co se stane se společností v stresových scénářích: odchod klíčového partnera, nárůst chargebacků, regulační změny.

Tým COREDO provádí stresové testování obchodních modelů pro EMI licenci: modelujeme několik scénářů a sledujeme, jak se mění kapitál, likvidita a náklady na compliance.

AML/KYC a přístup založený na riziku

Postupy AML/KYC pro poskytovatele EMI jsou oblastí, kde se nejčastěji objevují dodatečné otázky regulátora. Typické problémy:

• deklarativní politiky bez popisu reálného procesu;
• neexistence propojení mezi mapou rizik klientů a spouštěči v IT systému;
• neodůvodněně měkký nebo naopak přehnaně přísný přístup k vysoce rizikovým segmentům.

Vidím, že podnikatelé se obávají, že silné risk‑based AML „zabije konverzi“. V praxi však dobře navržené řešení umožňuje:

• segmentovat klienty podle rizika a nastavovat různé cesty KYC;
• využívat poskytovatele dat a automatizaci pro urychlení nízkorizikového toku;
• ponechat „ruční režim“ a posílené Due Diligence pro vysoce rizikové případy.

IT‑architektura, kybernetická bezpečnost a outsourcing očima regulátora

V evropských projektech stále častěji vidím, že osud žádosti o licenci EMI se rozhoduje právě na úrovni IT‑ a bezpečnostní architektury.

Klíčové oblasti zájmu regulátorů:

• Řízení IT a security rizik pro EMI: politika pro incidenty, obnova po havárii (disaster recovery), zajištění kontinuity provozu (business continuity);
• architektura API a logování operací;
• oddělená prostředí (development / testing / production) a řízení změn;
• používání cloudů a kritický outsourcing.

Při přípravě na licencování tým COREDO podrobně projde s klientem:

• schéma infrastruktury (servery, datová centra, poskytovatelé cloudu, VPN, klíčové služby);
• toky dat (včetně dat klientů, platebních údajů, logů);
• model zálohování a metriky RTO/RPO.

Termíny a náklady licence EMI

Na otázku „kolik trvá získání EMI licence v EU“ vždy odpovídám jedním slovem: záleží. Ale existuje realistický rámec.

S ohledem na přípravu:

• analýza obchodního modelu a výběr jurisdikce;
• strukturace společnosti, substance, výběr ředitelů a klíčových funkcí;
• příprava obchodního plánu, politik, postupů, IT popisů;
• předběžné konzultace s regulátorem (kde je to vhodné);

Plnohodnotný projekt „na klíč“ v Evropě obvykle trvá 9–18 měsíců, někdy déle: pokud je model složitý nebo struktura skupiny netriviální.

Náklady na získání EMI licence zahrnují:

• minimálního základního kapitálu (například minimální základní kapitál EMI 350 000 EUR pro některé země EU);
• profesionálních služeb (právní podpora EMI licence, finanční modelování, IT a AML design);
• nákladů na substance: kancelář, místní tým, ředitelé, kontrolní funkce;
• následného auditu a trvale fungujícího compliance oddělení.

Jak snížit riziko zamítnutí regulátorem

Регулятор nemá zájem na tom, abyste nepracovali. Jeho úkolem je, abyste pracovali bezpečně. To je důležité mít na paměti.

1. Včasný dialog a transparentnost
   • Je snazší vysvětlit složitý prvek modelu v rané fázi, než jej obhajovat po oficiálním podání.
2. Konzistence dokumentů
   • Podnikatelský plán, politiky, IT popisy, řídicí struktura a smlouvy s partnery musí být logicky provázány. Regulátor rychle zaznamená rozpory.
3. Realistický přístup
   • Příliš agresivní plány růstu, nepodpořené kapitálem, týmem a technologiemi, vyvolávají pochybnosti. V COREDO často «snižujeme» očekávání a přepracováváme finanční model.
4. Připravenost na dozor
   • Regulační dozor (inspekce na místě (on‑site) a mimo místo (off‑site), pravidelné zprávy, audit) – to není «trest», ale normální součást života licencované společnosti. Je důležité procesy vybudovat předem, a ne reagovat post factum.

Kdy je lepší spolupracovat s partnerem než získat licenci EMI

Existují scénáře, kdy upřímně doporučuji nespěchat se získáním licence:

• produkt ještě nedosáhl product‑market fitu;
• unit‑ekonomika je nestabilní;
• tým není připraven zajistit plnohodnotný compliance, řízení rizik a IT‑provoz na úrovni nositele licence.

Role COREDO zde: nejde o prodej služby licencování, ale o pomoc vidět celou cestu: od MVP do plnohodnotného licencovaného institutu, s minimálními regulačními a provozními riziky.

Jak otevřít EMI strukturu s COREDO

V praxi tým COREDO:

• analyzuje obchodní model a pomáhá vybrat zemi, kde regulační rizika EMI v různých zemích odpovídají vašemu apetitu k riziku;
• strukturuje právnickou osobu (nebo skupinu), vytváří srozumitelnou strukturu vlastnictví a substance;
• připravuje kompletní balík dokumentů pro licencování: od obchodního plánu a politiky řízení rizik až po AML/KYC postupy a IT popisy;
• doprovází komunikaci s regulátorem, pomáhá rychle odpovídat na požadavky a upravovat model;
• zajišťuje další podporu: AML poradenství, právní podpora, spolupráce s auditory, aktualizace politik podle regulatorních změn.

Moje osobní stanovisko je jednoduché: vlastní EMI licence pro mezinárodní fintech projekt je investicí do kontroly nad produktem, marží a rychlostí rozvoje. Ale jen pokud jste připraveni na důkladnou, systematickou práci s regulačními, IT a provozními riziky.

Когда предприниматель или финансовый директор говорит мне: «Мы хотим купить лицензированную PSP-компанию в Европе»,: я всегда задаю один и тот же встречный вопрос: «Вы уверены, что готовы к честному Due Diligence?»

Nákup platební instituce (Payment Institution) nebo instituce elektronických peněz (EMI) není jen M&A transakce, ale nákup regulační historie, kultury compliance a rizikového profilu, který buď posílí váš holding, nebo se stane zdrojem trvalých konfliktů s regulátory a bankami.

Za léta rozvoje COREDO v EU, Asii a SNS náš tým s klienty realizoval desítky projektů: od due diligence při koupi PSP společnosti v Evropě a v Singapuru až po doprovod transakcí při získávání licencí EMI/PI spolu se společnostmi a integraci těchto aktiv do velkých finančních skupin. Tato zkušenost ukázala: úspěch transakce z 80 % závisí na kvalitě předběžného due diligence: právního, finančního, daňového, provozního a, samozřejmě, AML/KYC.

Proč je výhodnější koupit licencovanou PSP

Když s klienty diskutujeme strategii vstupu na trh plateb, obvykle máme na stole dvě možnosti:

• získání nové licence (EMI/PI) v EU, Velké Británii, Singapuru nebo Dubaji;
• nákup licencované PSP společnosti s platnou licencí a infrastrukturou.

Nákup hotové PSP umožňuje:

• zkrátit time-to-market: často o 12–18 měsíců rychleji ve srovnání se získáním nové licence;
• získat hotové vztahy s korespondenčními bankami a platebními partnery;
• zdědit obchodníky, technologickou platformu a tým;
• použít stávající licenci k passportingu v rámci EU (při dodržení požadavků PSD2 a národních pravidel).

Ale spolu s licencí investor přebírá:

• regulatorní legacy‑rizika (staré porušení, neuzavřená opatření);
• historický transakční profil a portfolio klientů;
• reputační historii PSP na trhu.

Struktura prověrky poskytovatele platebních služeb společnosti

Když ke mně přicházejí s žádostí „due diligence při koupi PSP společnosti“, hned práci rozdělím minimálně do šesti bloků:

1. Právní due diligence
2. Regulační a licenční due diligence (včetně kontroly PSP licence)
3. AML/KYC due diligence a compliance prověrka
4. Finanční a daňové due diligence
5. Operační due diligence a IT/kybernetická bezpečnost
6. Strategické a business due diligence (unit‑ekonomika, udržitelnost modelu, ROI)

Každý blok poskytuje vlastní vrstvu red flags a my v COREDO jsme zvyklí výsledky prezentovat formou risk heatmap: vizuální mapy klíčových rizik transakce a jejich dopadu na cenu, strukturu SPA a plán po uzavření.

Právní due diligence: struktura a změna kontroly

Právní doprovod nákupu PSP v EU a v Asii začíná u základních, avšak kritických věcí.

Co prověřuji jako první

• Struktura vlastnictví a skuteční vlastníci (UBO)
  • transparentnost řetězce;
  • existence trustů, nominálních struktur, offshore prvků;
  • shoda skutečných vlastníků s údaji u regulátora.

  Varovné signály při koupi PSP: nesoulad mezi korporátními dokumenty a údaji regulátora, skrytí ovládající osoby, složité struktury bez obchodního důvodu.

• Právní původ licence
  • zda jsou v zakladatelských dokumentech a v licenci omezení změny kontroly;
  • je‑li vyžadováno povinné schválení změny kontroly ze strany regulátora;
  • existují‑li právní omezení na změnu ředitelů a klíčového personálu.
• Existence významných smluv a závazků
  • smlouvy s korespondenčními bankami, platebními schématy, poskytovateli anti‑fraudu a KYC;
  • agenturní, outsourcingové a white‑label smlouvy;
  • dohody s klíčovými obchodníky, partnerské a referral smlouvy.

Jaké dokumenty požadovat při due diligence PSP

Seznam vždy přizpůsobujeme jurisdikci, ale jádro zůstává:

• korporátní dokumenty (stanovy, rozhodnutí akcionářů, registr účastníků);
• licence PSP/EMI, všechny přílohy, dopisy a rozhodnutí regulátora;
• registr akcionářů a skutečných vlastníků, potvrzení UBO;
• klíčové obchodní smlouvy (banky, schémata, obchodníci, poskytovatelé KYC/AML, IT‑outsourcing);
• interní zásady a postupy (v části governance, rozhodování, outsourcingu);
• historie soudních sporů a nároků protistran.

Regulační due diligence: licence a směrnice PSD2

Jak ověřit licenci PSP v EU

Vždy trvám alespoň na:

• ověření licence v oficiálním registru regulátora;
• analýze rozsahu licence: jaké druhy platebních služeb jsou povoleny, zda existují omezení podle geografického působení nebo typu klientů;
• kontrole souladu obchodního modelu s požadavky PSD2 (a v budoucnu PSD3) a AMLD.

Historie inspekcí a předpisů regulátora

Tým COREDO vždy požaduje:

• kopie regulačních dopisů, předpisů, vymáhacích opatření za poslední 3–5 let;
• zprávy externích auditorů týkající se regulačních záležitostí;
• plány remediace a akční plány, které PSP předkládala regulátorovi.

Klíčová otázka je, jak společnost pracovala s připomínkami: řešila je včas, posílila compliance‑funkci, zlepšila governance.

Náležitá prověrka v oblasti prevence praní špinavých peněz a ověřování klientů při spolupráci s poskytovatelem platebních služeb

Co kontroluji v KYC/AML compliance

• Politiku přístupu založeného na riziku
  • zda existuje formální prohlášení o rizikovém apetitu;
  • jak jsou klienti segmentováni podle rizika (odvětví s vysokým rizikem, jurisdikce s vysokým rizikem);
  • jak se rozhoduje o onboardingu a offboardingu.
• Postupy KYC/AML
  • customer due diligence (CDD) a enhanced due diligence (EDD);
  • ověření zdroje prostředků/zdroj majetku;
  • postupy průběžného monitoringu klientů a transakcí;
  • kontrola sankcí, screening PEP, monitoring negativních zpráv.
• Monitoring transakcí a protifraudová opatření
  • existence automatizovaného systému pro monitoring transakcí;
  • scénáře a pravidla (rules‑based, risk‑based nebo hybridní modely);
  • model řízení alertů a interních šetření;
  • ukazatele chargeback ratio a dispute ratio u klíčových obchodníků.

Jaké dokumenty pro AML due diligence

V rámci projektů COREDO pro AML due diligence poskytovatele PSP obvykle požaduji:

• politiku AML, politiku KYC, hodnocení rizik a prohlášení o rizikovém apetitu;
• popisy procesů onboardingu, monitoringu, vyšetřování a reportingu (SAR/STR);
• zprávy z interního a externího AML auditu;
• statistiky STR/SAR, offboardingů a odmítnutí při onboardingu za 2–3 roky;
• záznamy o školení zaměstnanců;
• výběr klientských souborů (KYC‑dokumentace), včetně klientů s vysokým rizikem a PEP;
• výběr transakcí z high‑risk segmentů pro forenzní analýzu.

Due diligence vysoce rizikových jurisdikcí

Pro mezinárodní investory v COREDO pravidelně provádíme sankční due diligence platební společnosti:

• analyzujeme země, měny a platební koridory;
• kontrolujeme, zda existují klienti nebo transakce spojené se sankčními režimy;
• hodnotíme procesy kontroly sankcí a monitoringu negativních zpráv.

Finanční a daňový due diligence: regulační kontext

Platební byznys je specifický: samotný finanční due diligence neposkytuje úplný obraz bez pochopení regulačních omezení.

V rámci projektů COREDO zaměřených na finanční due diligence PSP sledujeme:

• strukturu příjmů: poplatky za processing, interchange, FX‑marže, doplňkové služby;
• koncentraci tržeb u několika klíčových obchodníků;
• stabilitu maržovosti a unit‑ekonomiky napříč segmenty;
• náklady na compliance, IT, licence a regulační kapitál.

Daňový due diligence při koupi společnosti ve fintechu doplňujeme o:

• analýzou mezispolečnostních dohod v rámci skupiny;
• ověřením substance v jurisdikcích, kde působí;
• hodnocením souladu daňového modelu s celkovou obchodní logikou.

Provozní due diligence IT / kybernetická bezpečnost

Pro PSP není technologie back‑office, ale jádro licencované činnosti. Provozní due diligence PSP poskytovatele v COREDO vždy zahrnuje:

• hodnocení governance: role a nezávislost představenstva, existence výboru pro compliance, tři linie obrany;
• analýzu klíčového týmu: zkušenosti CEO, COO, CCO, MLRO, IT ředitele;
• posouzení procesu řízení incidentů a zajištění kontinuity provozu.

Kontrola IT‑infrastruktury a kybernetické bezpečnosti

Minimální sada otázek:

• architektura platformy (vlastní vs white‑label, kritické závislosti na dodavatelích);
• SLA s klíčovými poskytovateli, dostupnost (uptime), plány obnovy po havárii;
• výsledky penetračního testování a hodnocení zranitelností;
• správa přístupů, logování, oddělení povinností.

GDPR a osobní údaje

V EU a ve Spojeném království vždy zvlášť sleduji:

• existenci a zavedení GDPR politik (ochrana údajů, uchovávání údajů, minimalizace údajů);
• jmenování DPO a jeho role;
• incidenty úniku dat (data breach) a reakci společnosti.

Varovné signály při náležité prověrce PSP

Během posledních let si tým COREDO vytvořil poměrně ustálený seznam „červených vlajek“, při nichž buď doporučuji vážně přehodnotit cenu a strukturu transakce, nebo se zcela vzdát:

• Nesoulad skutečné činnosti s udělenou licencí (např. skrytá činnost e‑money bez příslušné licence).
• Systémová porušení AML/KYC: chybějící odpovídající dokumentace u vysokorizikových klientů, slabé EDD postupy, formální přístup k průběžnému monitoringu.
• Otevřená regulační vyšetřování nebo nesplněná nařízení.
• Silná koncentrace na sankčně citlivých trzích nebo vysoce rizikových jurisdikcích bez promyšleného přístupu založeného na riziku.
• Kritická závislost na jedné korespondenční bance nebo jednom velkém obchodníkovi.
• Historie vážných úniků dat, slabá kyberbezpečnost, chybějící řádný plán obnovy po havárii.
• Nepřehledná struktura vlastnictví, skrytí skuteční vlastníci, nesoulady mezi údaji u regulátora a v korporačních dokumentech.
• Absence reálné řídící struktury a nezávislého compliance manažera.

Důkladná prověrka v rámci struktury transakce

Když je due diligence při koupi podniku dokončeno, pro mě je nejdůležitější převést zjištění do konkrétních právních a finančních mechanismů SPA.

V praxi COREDO často nabízí:

• earn‑out: část ceny je vázána na budoucí ukazatele (včetně indikátorů compliance, zachování licencí, absence nových sankcí/pokut);
• escrow a zadržení: část částky je zablokována na dobu dostatečnou k projevení možných rizik z minulosti;
• specializované representations & warranties týkající se:
  • neexistence skrytých regulačních šetření;
  • úplnosti zveřejnění AML/CTF incidentů;
  • stavu licence a neexistenci důvodů pro její odnětí;
• odškodnění za:
  • pokuty a sankce za porušení, jejichž kořeny sahají do období před uzavřením transakce;
  • regulační nároky týkající se historického klientského portfolia a transakcí.

Porovnání jurisdikcí pro investory

Samostatná část práce, výběr jurisdikce pro koupi licencované PSP společnosti: EU, Velká Británie, Singapur, některá asijská nebo blízkovýchodní centra.

Na co se obvykle zaměřujeme s klienty:

• přísnost a předvídatelnost regulátora;
• požadavky na kapitálovou přiměřenost a ochranu klientských prostředků (safeguarding);
• postoj bank k PSP z dané jurisdikce;
• možnosti škálování (passporting v EU, přeshraniční Licencování v Asii);
• historické případy vymáhací praxe.

Jak provádím due diligence PSP s klientem

Aby bylo due diligence platební instituce v Evropě nebo v Asii skutečně užitečné, nikoli formální, v COREDO dodržujeme jednoduchou, ale fungující metodiku:

1. Sestavujeme mapu cílů investora
   • proč se kupuje PSP (geografie, produkty, licence, technologie, zákaznická základna);
   • plánovací horizont (rychlá integrace nebo pečlivý roll‑out).
2. Vypracováváme rozsah due diligence a mapu rizik transakce
   • určujeme hloubku prověrky podle bloků: právní, regulační, AML/KYC, finanční, daňový, IT, provozní;
   • vymezujeme kritická KPI a varovné signály.
3. Provádíme postupnou analýzu
   • nejprve předběžný screening (abychom v rané fázi odfiltrovali zjevně problematické cíle);
   • poté podrobné prozkoumání klíčových oblastí.
4. Převádíme závěry do plánu transakce
   • upravujeme strukturu transakce a SPA;
   • připravujeme plán nápravy po uzavření;
   • modelujeme scénáře regulačních kontrol a stresové scénáře (např. odnětí korespondenčních účtů hlavní bankou).
5. Doprovázíme změnu kontroly a komunikaci s regulátorem
   • připravujeme balík dokumentů pro schválení změny kontroly;
   • pomáháme nastavit dialog s regulátorem, vysvětlit strategii nového vlastníka;
   • bereme v úvahu termíny a podmínky schválení v časovém harmonogramu transakce.

Co je důležité před zahájením transakce

• due diligence fintech společnosti a PSP nikdy není «příliš důkladné» z hlediska AML/KYC a regulací;
• slabý compliance cílové společnosti je téměř vždy dražší než ta nejvyšší sleva na cenu;
• správně provedený due diligence při koupi společnosti není náklad, ale nástroj vyjednávání a řízení návratnosti investice (ROI).

Pokud zvažujete koupi licencovaného platebního institutu, EMI nebo jiného fintech aktiva v EU, Asii nebo SNS, začněte ne diskusí o ceně, ale s plánem due diligence. Cena je odvozena od rizik, nikoli naopak.

Úschova kryptoměn v EU dnes přestala být «šedou zónou». Pro mě jako zakladatele COREDO je to jedna z nejvíce výmluvných oblastí: v posledních letech tým doprovázel evoluci od experimentálních kryptoplatforem k vyspělým finančním infrastrukturám, na které se vztahují stejně přísné regulační požadavky jako na banky a platební organizace.

V tomto článku podrobně vysvětlím, co ve skutečnosti znamená regulace kryptoměn v EU, jak MiCA, DAC8 a CARF mění pravidla hry a co musí být nastaveno v crypto custody‑byznysu, aby to nejen umožnilo «přežít rok 2026», ale i využít jej jako bod růstu.

Úschova kryptoměn v EU: co se považuje za úschovu

Když mi podnikatel říká: «Nejsme banka, jen držíme aktiva klientů v peněženkách», pro regulátora to zní jako klasická služba crypto custody.

Pod uchováváním kryptoaktiv v EU obvykle spadají služby, které:

• mají přístup k privátním klíčům klientů nebo mohou iniciovat transakce jejich jménem;
• poskytují strukturu peněženek (horké, studené, kustodiální) a nesou odpovědnost za bezpečnost aktiv;
• nabízejí svěřenecké řízení, maržové služby, staking, pokud tím kontrolují přístup k prostředkům.

Klíčová chyba, kterou často vidím: snaha «schovat» činnost za formulací «jsme jen IT‑platforma». Pro regulátora je kritické nikoli to, jak službu nazýváte v prezentaci pro investory, ale:

• zda má uživatel plnou a výlučnou kontrolu nad privátními klíči;
• komu právně patří aktiva;
• kdo nese odpovědnost vůči klientovi v případě ztráty nebo zablokování prostředků.

Pokud kontrolujete klíče nebo spravujete aktiva na základě pokynu, spadáte do oblasti poskytovatele kryptoslužeb (CASP) a potřebujete odpovídající status a Licencování kryptoplatform v EU.

MiCA: regulace kryptoměn v EU

Nařízení MiCA ukončuje éru fragmentárního regulování kryptoměn v Evropě. Pro podniky je to současně výzva i příležitost.

Kdo jsou CASP a proč je to důležité

MiCA zavádí jednotnou kategorii – Crypto-Asset Service Provider (CASP). Pro platformy crypto custody to znamená:

• bez CASP licence nelze poskytovat služby úschovy aktiv klientům z EU;
• po získání licence vzniká jednotné oprávnění na trhu EU: můžete obsluhovat klienty modelem «passporting» bez opakovaného licencování v každém členském státě;
• všechny klíčové požadavky na kapitál, governance a compliance jsou nyní stanoveny na úrovni nařízení, a nejsou „roztříštěny“ do národních pravidel.

Požadavky MiCA na úschovu kryptoměn

Pro služby úschovy kryptoaktiv MiCA stanovuje soubor základních oblastí:

Kapitál a finanční stabilita

korporátní správa CASP
Majitel crypto custody byznysu už nemůže zůstat jen technickým podnikatelem. Regulátor očekává:

• transparentní strukturu vlastnictví;
• představenstvo/management s relevantními zkušenostmi ve finanční a compliance oblasti;
• dokumentovaný systém řízení rizik;
• nezávislou funkci compliance a pro velké subjekty interní audit.

Organizace ukládání a IT bezpečnosti
MiCA důrazně nabádá k:

• segregaci klientských aktiv a prostředků společnosti;
• politice rozdělení úschovy mezi online (hot) a offline (cold) peněženkami;
• postupům správy privátních klíčů (generování, ukládání, rotace, zálohování, přístup na principu „nezbytného minima“).

Přechodné období MiCA a termíny

Pro existující kryptospolečnosti Evropská unie zřídila přechodné období MiCA, které končí v polovině roku 2026. Je to okno, během kterého je třeba:

• určit, zda spadáte do kategorie CASP;
• vybrat zemi primární licence;
• přestavět obchodní procesy na požadavky MiCA;
• podat kompletní balík dokumentů a projít autorizací.

DAC8 a CARF: zdanění kryptoaktiv

Если MiCA отвечает за «лицензирование и защиту инвесторов», то DAC8 и CARF, за налоговую прозрачность.

Co je DAC8 pro krypto platformy?

DAC8 директива расширяет европейский режим административного сотрудничества в налоговой сфере на криптоактивы. Для crypto custody и криптоплатформ это означает:

• povinnost předávat daňovým úřadům údaje o klientech a jejich transakcích;
• integraci do režimu automatické výměny údajů o kryptoaktivách mezi státy;
• nastavení procesů pro zjišťování neuhrazených daňových povinností a předcházení daňovým únikům.

CARF: standard vykazování kryptoaktiv

CARF стандарты отчётности: это инициатива ОЭСР, которая по сути делает с криптоактивами то, что CRS сделал со стандартными финансовыми счетами:

• jednotný formát zpráv pro automatickou výměnu informací;
• unifikovaná sada dat: identifikace klienta, zůstatky kryptoaktiv, historie transakcí, převody mezi účty;
• možnost pro daňové úřady různých zemí vidět kryptoaktiva v kontextu celkových finančních toků klienta.

KYC/AML a rizikově orientovaný přístup v kryptoměnách

Regulace bez kvalitního AML/CFT a KYC v kryptobiznisu už nefunguje. MiCA, DAC8, AMLR a národní zákony požadují od platforem zralý, zdokumentovaný a ověřitelný compliance.

KYC/AML pro úschovu kryptoměn: základní rámec

Když s týmem COREDO budujeme AML/CFT procesy v kryptu, pro platformy crypto custody standardně sestavujeme následující bloky:

Politika KYC

• identifikace fyzických a právnických osob;
• verifikace dokumentů, kontrola podle sankčních a PEP seznamů;
• aktualizace údajů podle plánu nebo podle spouštěčů (změna aktivity, podezřelé operace).

Rizikově orientovaný přístup AML/CFT v kryptu

• segmentace klientů podle rizik v kryptoslužbách (maloobchodní, profesionální, institucionální, vysoce rizikové jurisdikce, složité struktury vlastnictví);
• přiřazení základního hodnocení rizika při onboardingu;
• revize hodnocení rizik při objevení nových údajů, změně chování klienta nebo zjištění negativních informací.

monitorování transakcí kryptoměn

• scénáře pro automatické odhalování netypických nebo potenciálně podezřelých operací;
• prahové hodnoty transakcí DAC8 a interní limity pro zvýšenou kontrolu;
• integrace se systémy blockchainové analytiky.

Analýza blockchainu pro dodržování předpisů

Dnes kvalitní compliance kryptoměnových platforem není možný bez blockchainové analytiky. Z praxe:

• V jednom projektu týkajícím se licencování krypto směnárny jsme implementovali integraci s několika poskytovateli blockchainové analytiky, aby:
  • ověřovat „čistotu“ kryptoměny při příjmu a výdeji;
  • sledovat vazby na darknetové trhy, mixery, sankcionní adresy;
  • analyzovat řetězce transakcí podle typických rizikových scénářů.

Jak bezpečně uchovávat kryptoaktiva

MiCA a DAC8 určují «co» a «proč». Otázka «jak» je už inženýrství a provozní návrh.

Horké, studené a nekustodní peněženky

Для crypto custody в ЕС ключевые решения:

Horké peněženky (hot wallets)

• zajišťují vysokou rychlost transakcí;
• nesou zvýšená rizika hackerských útoků a kompromitace zařízení;
• vyžadují přísné limity, vícenásobné podpisy, segregaci podle typů operací.

Studené peněženky (cold wallets) a hardware‑zařízení

• používají se pro hlavní objem aktiv;
• integrují se do vícestupňových přístupových postupů (multisig, fyzické sejfy, offline‑úložiště);
• předpokládají promyšlenou politiku ukládání seed‑frází a záloh privátních klíčů (včetně využití sejfů a bankovních schránek).

Neklírové peněženky a regulace

Integrace monitoringu a reportování

Aby splnily požadavky MiCA, DAC8 a CARF, společnosti budují:

• systémy monitoringu transakcí s možnostmi:
  • online analýzy;
  • tvorby reportů na žádost regulátorů a daňových orgánů;
  • dokumentování všech rozhodnutí (proč byla operace schválena, odmítnuta nebo odeslána do rozšířeného Due Diligence).

Licencování krypto platforem v EU v roce 2026

S ohledem na MiCA, DAC8 a CARF se otázka „kde se licencovat“ proměňuje z daňového úkolu na strategické rozhodnutí o pozicování společnosti v Evropě.

Výběr jurisdikce pro licenci CASP

Při výběru země pro primární CASP licenci vždy zakladatelům doporučuji sledovat několik parametrů:

• rychlost a transparentnost komunikace s regulátorem;
• praxe v licencování kryptospolečností;
• požadavky na kapitál;
• přístup k AML/CTF a technologickým řešením;
• ekosystém: banky, poskytovatelé platebních služeb, poradci, auditoři.

Jak se připravit na licencování CASP?

Aby proces nezačal chaoticky, obvykle strukturuji přípravu do čtyř bloků:

Obchodní a produktový model

• jaké kryptoměnové služby v EU skutečně poskytujete (custody, směna, staking, tokenizace apod.);
• pro jaké kategorie klientů (retail, HNWI, korporátní, institucionální);
• geografie: pouze EU nebo globální pokrytí se zaměřením na EU.

Korporátní struktura a řízení

• právnická osoba v EU s jasnou strukturou konečných vlastníků;
• představenstvo a top management s prokazatelnými zkušenostmi;
• vnitřní předpisy: řízení rizik, compliance, IT‑bezpečnost, kontinuita podnikání.

Compliance rámec

• KYC/AML politiky s ohledem na rizikově orientovaný přístup;
• postupy monitoringu transakcí a blockchainová analytika;
• procesy interního vyšetřování a hlášení podezřelých operací.

IT a provozní infrastruktura

• architektura peněženek (horké/studené/neklirové);
• systém logování a auditu činností;
• integrace s poskytovateli analytiky a reportingu pro CARF/DAC8.

Strategické otázky vedoucích v roce 2026

V rozhovorech s majiteli a finančními řediteli kryptoplatforem se obvykle do popředí dostává několik strategických témat.

MiCA: konkurenční výhoda

MiCA zároveň:

• zvyšuje vstupní bariéru pro krypto-podnikání;
• vytváří předvídatelný rámec pro ty, kteří jsou ochotni investovat do regulace a compliance.

Návratnost investic do compliance

• náklady na nástroje AML/KYC a reporting podle DAC8/CARF je lepší vnímat jako investice do:
  • přístupu ke klíčovým klientům (banky, fondy, institucionální investoři, kteří vyžadují striktní compliance);
  • snížení pravděpodobnosti sankcí a kontrol;
  • zvýšení ocenění společnosti při získávání kapitálu nebo výstupu z podnikání.
• Jeden z klientů COREDO dokázal zvýšit ocenění společnosti při kole financování právě díky tomu, že měl připravený MiCA-ready compliance rámec a jasný plán licencování CASP. Pro investora to znamenalo řízené regulatorní riziko.

Škálování podnikání v EU a v zahraničí

MiCA s CASP pasportováním dělá EU jedním z nejvíce strukturovaných trhů. Pro mnoho asijských a blízkovýchodních hráčů, s nimiž COREDO spolupracuje, strategie vypadá takto:

• vytvořit regulovanou prezentační platformu v EU pod MiCA, DAC8, CARF;
• využít ji jako „kotvu důvěry“ pro globální klienty;
• budovat kolem toho další jurisdikce s jiným zaměřením (např. experimenty s DeFi, nové tokenizační modely) už v flexibilnějších režimech, ale s oporou o evropský standard compliance.

Jak COREDO pomáhá rozvíjet podniky v oblasti custody kryptoměn

Můj osobní zájem o kryptotrh byl vždy pragmatický: kdo umí pracovat v podmínkách měnící se regulace, přežije na dlouhé trati. Tým COREDO za roky práce s EU, Velkou Británií, Kyprem, Estonskem, Singapurem a Dubají vybudoval několik strategií podpory kryptoprojektů:

Od nápadu k licenci CASP

Reinženýring stávajícího crypto custody podle MiCA/DAC8

Na výstupu klient nedostane «список проблем», а plán изменений с приоритизацией и оценкой влияния на бизнес‑модель.

Komplexní podpora po získání licencí
Registrace a licencování jsou začátek, ne konec. V praxi COREDO zůstává i nadále nablízku:

• pomáhá se připravit na kontroly regulátorů;
• adaptuje procesy podle nových doporučení EBA, Evropské komise a národních regulátorů;
• podílí se na aktualizaci AML/KYC politik a postupů při uvádění nových produktů a vstupu na nové trhy.