COREDO

Když jsem v roce 2016 spouštěl COREDO, podnikatelé měli zřejmý požadavek: rychle, bezpečně a transparentně vstupovat na nové trhy. Za poslední roky se skládačka zkomplikovala: zpřísnily se požadavky na registraci společností, licencování a AML-compliance. Dnes nelze budovat mezinárodní byznys bez promyšlené compliance-funkce, a EU AML Package 6.0, spuštění AMLA a 6AMLD převádějí „náležitou péči“ z formality do strategické disciplíny. V tomto článku systematizuji naše zkušenosti a vysvětlím, jak vybudovat fungující systém AML a KYC/KYB, aniž byste zpomalili škálování.

Regulační mapa EU: AMLA a 6AMLD

EU AML Package 6.0 upevňuje přechod k více sjednocené regulaci: vytváří se AMLA (Evropská agentura pro boj proti praní špinavých peněz), vstupují v platnost ustanovení 6AMLD a hlavní soubor požadavků se konsoliduje v celounijní AML regulaci. Pro podniky to znamená jednotné technologické a procedurální standardy v EU a méně šedých zón při výkladu pravidel. Současně zůstává role národních regulátorů: budou spolupracovat s AMLA, předávat data, koordinovat kontroly a harmonizovat místní postupy.

Registrace společnosti s ohledem na opatření proti praní špinavých peněz

Registrace právnických osob v EU s ohledem na požadavky AML není jen stanovy a adresa. Kompetentní příprava UBO-dosje, analýza původu prostředků, posouzení obchodního modelu z hlediska AML-rizika, povinné prvky startovacího balíčku. Doporučuji začít mapou jurisdikcí: Česko, Slovensko a Kypr jsou vhodné pro obchodní a holdingové struktury; Estonsko a Velká Británie – pro technologické a servisní společnosti; Singapur a Dubaj: pro regionální centrály a struktury s aktivní platební činností.

Registrace a servis společností v EU z hlediska AML zahrnuje sladění s budoucími licencemi a bankovními potřebami. Pokud je cílem: platební služby, stojí za to předem nastavit funkční strukturu compliance, rozdělení povinností “povinných subjektů” v oblasti AML a počáteční sadu kontrol CDD/EDD. Když jsou tyto prvky zabudovány ještě před podáním žádosti o účet nebo licenci, proces probíhá značně rychleji.

Architektura programu proti praní špinavých peněz

Compliance programa AML pro společnosti, je řízený systém politik, postupů, technologické platformy a metrik. Doporučuji začít rizikově orientovaným přístupem: provést posouzení rizik AML, vymezit rizikové profily klientů a zemí, určit scénáře zvýšeného rizika a poté je zakotvit ve firemní politice. Je důležité popsat role a řetězec odpovědnosti, včetně odpovědnosti ředitele a korporátní struktury v oblasti AML, a plán vnitřní kontroly.

Z hlediska nákladů je analýza nákladů a přínosů zavedení AML platformy potřebná již ve fázi výběru RegTech. Metody měření efektivity AML (KPI a ROI) nejsou jen snížením pokut a administrativních opatření za nedodržení AML, ale také zrychlením M&A, přístupem ke korespondenčním účtům a snížením provozních nákladů. Škálování AML procesů při růstu podnikání se stává rutinním úkolem, pokud architektura dopředu podporuje nové jurisdikce, jazyky a zdroje dat.

Jak zavést KYC, KYB, CDD a EDD?

KYC a KYB požadavky v EU se opírají o 6AMLD a národní zákony, ale očekávají stejnou logiku: potvrzení identity, adresy, statusu daňového rezidenství, zdroje prostředků a statusu UBO/BO. Pro korporátní klienty KYB zahrnuje kontrolu rejstříků, stanov, struktury vlastnictví, a také posouzení obchodní pověsti vedení. Používáme automatizaci KYC procesů a nástroje pro VASP/PSP, abychom zkrátili dobu sběru dokumentů a snížili počet lidských chyb.

Sledování transakcí a hodnocení rizik

hodnocení rizik v rámci AML je to živý dokument, který se váže k modelům transakčního chování. Používáme profilování klientů a skórování rizika s využitím historických a behaviorálních parametrů: geografii, průměrné částky transakcí, typy protistran, časové vzory. Technologie pro AML, monitoring transakcí, screening, analytika: vytvářejí monitorovací okruh, který funguje v reálném čase, a zároveň podporuje off-chain monitoring pro nestandardní scénáře.

Sledování rizik protistran a dodavatelských řetězců doplňuje transakční pravidla. Pro přeshraniční společnosti zavádíme off-chain indikátory: reputaci v oborových databázích, soudní případy, změny ve struktuře vlastnictví. Taková vrstva zvyšuje přesnost EDD a pomáhá včas odhalovat spouštěče pro přehodnocení rizikového profilu.

Strategie pro krypto a VASP

Regulace virtuálních aktiv a VASP podle AMLA vyrovnává rámec pro kryptoslužby s tradičními finančními institucemi. Poskytovatelé služeb s virtuálními aktivy (VASP) a požadavky KYC by měli zahrnovat identifikaci klientů, ověření zdroje prostředků, sankční screening a kontrolu transakcí on-chain i off-chain. Analýza blockchainových řetězců a blockchainová analytika pomáhají vytvářet referenční model rizik podle adres, peněženek a burz, a také odhalovat mixery, obfuskaci a vazby na darknet.

řízení rizik při práci s kryptoaktivy vyžaduje propojení on-chain signálů s off-chain profily klientů. U tokenů a stablecoinů se přidává vrstva hodnocení emitenta, modelu rezerv a protistran pro odkupy. Regulační testy a pilotní projekty (sandboxes) jsou užitečnou možností, pokud trh umožňuje vyzkoušet nové modely compliance při kontrolovaném riziku. V několika projektech tým COREDO doprovázel piloty KYC pro VASP v EU a v Dubaji, což umožnilo klientům rychleji získat licence a navázat dialog s regulátorem.

Hlášení podezřelé transakce / hlášení podezřelé činnosti: spolupráce s Finanční zpravodajskou jednotkou

Povinnosti povinných subjektů (obliged entities) v oblasti AML zahrnují odhalování a hlášení STR/STRs (nebo SAR), uchovávání dokumentace a spolupráci s FIU. Příprava a podání STR/SAR vyžaduje jasný kontrolní seznam: známky podezřelosti, logika eskalace, úroveň podrobnosti popisu vzoru a příloh. Nastavujeme cesty zpracování signálů od první linie až po MLRO, abychom vyloučili zpoždění a zvýšili kvalitu hlášení.

Licencování: platby, forex, krypto

získání finančních licencí – je kontrola zralosti vašeho AML systému. Pro poskytovatele plateb a PSP regulátoři hodnotí governance, nezávislost funkce compliance, kvalitu KYC/KYB, EDD a monitorování transakcí. U licencí pro forex a investice je zvláštní pozornost věnována zdrojům likvidity, politice vůči vysoce rizikovým jurisdikcím a stresovému testování. Krypto-licencování v EU a Dubaji integruje požadavky na VASP, blockchainovou analytiku a řízení rizik protistran.

Dopad AML povinností na korporátní transakce a due diligence se výrazně zvýšil. Integrace AML požadavků do M&A a korporátní transformace zahrnuje audit klientské základny, retrospektivní analýzu STR, hodnocení regulační historie a prověrku dodavatelů. Účast bank a nebankovních institucí na AML je nyní hodnocena v kontextu jednotného balíčku EU AML Package, a sladění národních právních předpisů s AMLA snižuje rozpory v požadavcích při přeshraničním licencování.

Outsourcing dodržování předpisů třetích stran

Outsourcing compliance funkcí a jeho rizika jsou často podceňována. Outsourcing vs in-house – nejde o „levněji“, ale o kontrolu, kompetence a odolnost. Obvykle nastavujeme hybrid: klíčové role a přijímání rozhodnutí uvnitř, zatímco část monitoringu a screeningu u externích poskytovatelů s jasnými SLA a právem provádět audit. Takový přístup usnadňuje škálování AML-infrastruktury při vstupu na nové trhy, ale zachovává možnost řízení.

COREDO: přístup k bankám a snižování rizik

Jeden z nedávných projektů, fintech ze střední Evropy s platebním modelem pro přeshraniční e‑commerce. Klient se setkal s problémy s přístupem k bankovním službám kvůli de‑riskingu. Tým COREDO přestavěl compliance balíček: zpřesnil KYB dodavatelů, posílil sankční screening a zavedl profilování transakcí s adaptivními prahy. Banka přehodnotila rozhodnutí a otevřela korespondenční účty po pilotním období s KPI pro false positives a dobu zpracování alertů.

Plán souladu AML balíčku 6.0

Každému compliance officerovi je užitečná pragmatická cesta. Níže je kontrolní seznam, který používáme při zavádění.

1. Proveďte AML risk assessment a stanovte rizikový apetýt. Ujistěte se, že profily klientů, zemí, produktů a prodejních kanálů odrážejí současnou strategii a plány růstu. Aktualizujte mapu rizik alespoň jednou ročně a po zásadních změnách v podnikání.
2. Aktualizujte AML compliance program, role a odpovědnosti. Určete pravomoci MLRO, popište eskalaci a nezávislost kontroly. Zaznamenejte firemní politiku pro prevenci praní špinavých peněz a sankční screening.
3. Přezkoumejte KYC/KYB, CDD/EDD a postupy pro PEP. Zahrňte automatizaci KYC procesů, pravidelný sankční screening a ověřování vazeb. Upřesněte praktickou implementaci identifikace UBO a periodicitu aktualizace údajů.
4. Přenastavte transaction monitoring a rules tuning. Zaveďte metriky pro false positives, průměrnou dobu zpracování alertů a podíl eskalací do STR/SAR. Proveďte analýzu transakcí v reálném čase a off-chain monitoring pro netypické scénáře.
5. Schvalte STR/SAR playbook a interakci s FIU. Popište kritéria podezřelosti, kvalitu důkazní základny a lhůty pro podání. Prověřte mechanismy právního sdílení dat a dodržování GDPR.
6. Prověřte integraci AML do ERP/účetnictví a dashboardů. Zajistěte integritu dat, audit přístupových logů a konzistenci standardů vykazování. Nastavte KPI a ROI compliance tak, aby ukazovaly obchodní efekt.
7. Zorganizujte školení a testování personálu. Půlročně provádějte cílené moduly pro front office, analytiky a management. Pro compliance officery je užitečná externí certifikace a účast v odvětvových programech.
8. Slaďte proces outsourcingu a kontrolu třetích stran. Zaznamenejte SLA, právo na audit, bezpečnostní požadavky a plán kontinuity. Prověřte kompatibilitu přístupů dodavatelů s 6AMLD a lokálními předpisy.
9. Připravte politiku pro vysoká rizika a sankce. Vypracujte politiku pro práci s vysoce rizikovými jurisdikcemi a profily klientů. Upřesněte přístup k tokenům, stablecoinům a VASP, pokud je to relevantní.
10. Naplánujte regulatorní komunikaci a pilotní projekty. Pokud je produkt inovativní, zvažte účast v sandboxech a pilotních projektech pod dohledem regulátora. To urychlí zpětnou vazbu a sníží regulatorní nejistotu.

Co zohlednit při vstupu do nových zemí

AML-analýza při vstupu na trhy Asie a СНГ musí zohledňovat místní standardy a mezinárodní doporučení FATF. Rozdíly v přístupu k registrům UBO, lhůtách uchovávání dokumentů a formách STR mohou ovlivnit návrh procesů. Dopad AMLA na fintech a platební služby v EU činí evropskou část infrastruktury předvídatelnější, což usnadňuje propojení se Singapurem a Dubajem.

Proč sázím na systémové dodržování předpisů?

Compliance není „pojištění proti pokutám“, ale provozní disciplína, která zvyšuje kapitalizaci společnosti. AML Package 6.0, směrnice EU o boji proti praní špinavých peněz a spuštění AMLA formují společnou hru s jasnými pravidly, a ti, kdo dříve upraví procesy, získají výhodu. Vidím, jak klienti COREDO rychleji otevírají účty, s jistotou získávají licence a zkracují obchodní cyklus, když je compliance integrován do architektury podniku.

Tým COREDO realizoval projekty v EU, Velké Británii, Singapuru a Dubaji, od registrace a licencování až po nastavení monitoringu a kompletní AML podporu společností. Osobně nadále dohlížím na složité případy a přesvědčuji se: transparentnost, technologičnost a disciplína přinášejí lepší výsledky. Pokud plánujete škálování, M&A nebo vstup na nové trhy, zahrňte compliance do růstové strategie: ušetří to čas a posílí důvěru partnerů, bank a regulátorů.

Od roku 2016 buduji COREDO jako tým, který proměňuje složité regulační úkoly v fungující provozní modely. Během té doby jsme realizovali desítky projektů v EU, ve Velké Británii, v Singapuru a v Dubaji, stejně jako v řadě offshore a mid‑shore jurisdikcí v Africe a v Asii. Dnes ke mně čím dál častěji přicházejí podnikatelé a CFO s jedním dotazem: jak strategicky zvolit mezi Seychelami a Mauriciem pro VASP‑licenci, urychlit postup získání VASP‑licence v roce 2026 a při tom zajistit souladu s AML/CFT, zajištění bankovních služeb a stabilní ekonomiku projektu. V tomto článku jsem sesbíral naše praktické zkušenosti, pracovní kontrolní seznamy a pohled na trendy 2024–2026, abyste mohli učinit uvážené rozhodnutí a směřovat k ROI bez zbytečných iterací.

Volba jurisdikce VASP v roce 2026

Srovnání Seychel a Mauricia pro poskytovatele služeb v oblasti virtuálních aktiv (VASP)

Pro VASP se strategické porovnání jurisdikcí Seychel a Mauricia zaměřuje spíše na rozdíly v regulaci a v praktickém dodržování požadavků než na atraktivitu lokalit. Rozebráme klíčové rozdíly regulatorních rámců a přístupů FSA a FSC, abychom pochopili, jaká rizika a výhody každá z těchto systémů přináší.

Regulační rámce FSA proti FSC

Na Seychelách dozor nad VASP vykonává Seychelles Financial Services Authority. Regulátor se opírá o místní zákon o poskytovatelích služeb s virtuálními aktivy a obecné AML‑standardy orientované na FATF doporučení pro virtuální aktiva. Pro registraci VASP na Seychelách žadatel připravuje interní politiky, jmenuje odpovědného MLRO, popisuje custody‑architekturu a prokazuje provozní připravenost.

Kapitálové požadavky a přítomnost

Kapitálové požadavky VASP na Seychelách se tvoří podle tříd činnosti a jsou potvrzeny zaplaceným podílem kapitálu a likvidními rezervami. Ekonomická přítomnost na Seychelách zahrnuje místní kontrolu a vykazování, dostupnost odpovědných osob a vymahatelnost servisních smluv.

Zdanění, DTA a vliv substance

Na Seychelách je daňový režim zaměřen na mezinárodní spolupráci, účast v CRS (automatická výměna informací) a plnění požadavků na transparentnost. Vliv ekonomické substance na daňový status VASP v obou jurisdikcích roste, zejména v kontextu iniciativ Pillar Two (globální minimální daň). Naše zkušenost v COREDO ukázala: pečlivá dokumentace řízení rizik, transfer pricing a substance je základem pozitivní pozice při daňových kontrolách.

Bankovní služby a bankovnictví

V projektech COREDO zpracováváme mapu účtů: provozní účet v místní bance, účty v mezinárodních EMIs, escrow pro custody a segregaci prostředků, a také integraci s platebními bránami a PSP s prokazatelným dodržováním Travel rule.

Přístup na trhy a rizika

Dopad MiCA na offshore licence VASP sílí: pro cílený marketing v EU bude vyžadován soulad s MiCA a režimy národních regulátorů. Praxe COREDO potvrzuje: korektní marketingová politika a doložky v klientských dokumentech snižují riziko porušení místních pravidel.

Licence VASP 2026: od žádosti po zahájení ostrého provozu

získání licence VASP v roce 2026 je vícestupňový proces, pokrývající cestu od podání žádosti po samotné go‑live a vyžadující koordinovanou práci právníků, compliance a IT. Níže podrobně rozebereme klíčové termíny a fáze, abychom pomohli naplánovat proces a minimalizovat riziko zpoždění.

Fáze a termíny

Standardní postup zahrnuje předběžnou diagnostiku, přípravu politik a postupů, shromáždění registračních dokumentů, podání na FSC nebo FSA, odpovědi na dotazy, podmíněné schválení a závěrečné go‑live s ověřením provozní připravenosti. Termíny a Etapy získání licence VASP závisí na kategorii, složitosti custody a vybraných poskytovatelích. V naší praxi na Mauriciu je typický horizont 4–6 měsíců do podmíněného schválení a ještě 1–2 měsíce na splnění podmínek; na Seychelách: srovnatelné při dobré předběžné přípravě.

Kontrolní seznam registračních dokumentů

• firemní dokumenty, stanovy a strukturu akciového kapitálu;
• uveřejnění beneficiárů (UBO) pro VASP, soulad s pravidly registru UBO;
• podnikatelský plán, finanční modely, výpočet OPEX a likviditní rezervy;
• compliance program VASP 2026, AML/CFT politiky, postupy sankcí a screening;
• technologické požadavky pro licencování VASP: správa klíčů, custody, BCP/DRP;
• smlouvy s kritickými poskytovateli: KYC/KYB, KYT, blockchain forensics, pojištění custody.

Tým COREDO sestavuje soubor dokumentů tak, aby regulátor viděl souvislost: rizika – kontroly, metriky – reporting.

Fit and proper, UBO a prověrky

V projektech COREDO provádíme předem interní pre‑screen, abychom zmírnili možné otázky ze strany FSC/FSA a zdůvodnili jmenování MLRO, CTO a klíčových funkcí.

Prevence praní špinavých peněz a financování terorismu 2026: provozní kontrola

V kontextu AML/CFT 2026 je zásadní přesunout důraz z formulace politik na skutečnou provozní kontrolu, která skutečně snižuje rizika. To vyžaduje posílení postupů KYC, KYB, sankčního screeningu a pravidelných kontrol PEP ve všech fázích práce s klienty.

Ověření zákazníka, ověření firmy, kontrola sankcí a politicky exponovaná osoba

Požadavky AML pro VASP na Mauriciu a požadavky AML pro VASP na Seychelách jsou v zásadě shodné: důraz na prokázání účinnosti, nikoli pouze na politiku na papíře. Pomáhají zde pravidelné AML školení a testování zaměstnanců s protokolováním výsledků.

Travel rule, KYT a blockchainová forenzika

implementace AML monitoringu transakcí pro VASP se opírá o scénáře a ruční kontroly. V COREDO nastavujeme metriky efektivity: rychlost eskalace, průměrná doba uzavření alertu, podíl eskalovaných do SAR.

MLRO a SAR: spolupráce s regulátorem

MLRO a role odpovědného za AML zahrnují nezávislost, přístup k představenstvu a pravomoc zastavit operace. SAR a postup podávání hlášení o podezřelých transakcích jsou formalizovány s jasnými SLA. V dialogu s FSC/FSA pomáhá strukturované vykazování, záznam rozhodnutí a pravidelné sebehodnocení účinnosti AML/CFT 2026 pro vedení VASP.

Požadavky na VASP

Technické a provozní požadavky pro VASP určují soubor standardů a postupů, které zajišťují bezpečnost a soulad při práci s kryptoaktivy. Zvláštní pozornost je věnována architektuře hot/cold peněženek, schématům multi‑sig, modelům custodiální správy a pojištění – tato řešení tvoří základ provozní odolnosti a ochrany klientů.

Architektura horkých a studených peněženek a vícepodpisových řešení

Požadavky na hot a cold peněženky spočívají v principu minimalizace expozice a oddělení pravomocí. Architektury multi‑sig, cold wallet a hot wallet jsou doplněny segregací prostředků uživatelů a custody pravidly. Pro významné objemy doporučuji custody pojištění a nezávislé audity cold storage, včetně technického hodnocení zabezpečení klíčů (key management).

Pravidla custody a uchovávání kryptoaktiv předpokládají detailní postupy přístupu, záznamů a havarijních scénářů. Řešení vyvinuté v COREDO často zahrnuje hardwarové moduly, správu verzí a pravidelné drill‑testy.

Kyberbezpečnost: SOC2, ISO27001, ISAE

Kyberbezpečnost pro kryptobiznis v offshore: povinný blok. Požadavky bezpečnosti podle SOC 2 a ISO 27001 zvyšují důvěru bank a institucí. Pro poskytovatele služeb jsou vhodné audity ISAE 3000 / ISAE 3402. V projektech COREDO provádíme předběžné posouzení, řešíme kritické kontroly a plánujeme certifikaci v souvislosti s licencováním.

Operační odolnost BCP/DRP

Strukturování a daňový model

Správně nastavené korporátní strukturování přímo určuje praktickou použitelnost zvoleného daňového modelu a úroveň právních rizik pro podnik. V následujících bodech podrobně probereme možnosti organizace VASP v offshoru, související daňové důsledky a praktická opatření ke zmírnění rizik.

Struktura VASP v offshoru

Správa svěřenských struktur a nadací (foundations) je možná pro vlastnictví IP nebo rezervních aktiv za předpokladu transparentnosti UBO a souladu s registrem UBO.

Transferové ceny, CRS, BEPS, Pilíř Dva

CRS automatická výměna informací a pravidla OECD BEPS vyžadují správnou dokumentaci mezifiremních služeb a sazeb. Transferové ceny a transakční schémata musí odrážet substance a tržní podmínky. Pilíř Dva — globální minimální daň — se stává faktorem při plánování zisků a licenčních poplatků.

Kapitál, investice a výstup z investice / fúze a akvizice

Případy a souhrny COREDO

Praktika COREDO vychází z reálných případů a stručných výtahů zkušeností, které pomáhají rychle identifikovat fungující řešení a rizika. V první části rozebíráme registraci VASP na Mauriciu a klíčové závěry užitečné pro obdobné úkoly.

Registrace VASP na Mauriciu

Licencování kryptoburzy na Seychelách

Bankovní služby a integrace s poskytovateli platebních služeb (PSP)

Náklady na soulad s předpisy a návratnost investic (ROI)

Posouzení nákladů na soulad s předpisy není jen počáteční investice, ale i trvalé zatížení rozpočtu, které přímo ovlivňuje očekávaný ROI. Aby bylo možné adekvátně vypočítat návratnost, je třeba samostatně analyzovat OPEX, licenční poplatky a roční platby.

OPEX a roční licenční poplatky

ROI licence VASP na Mauriciu vs Seychelách

Regionální expanze a škálování

Škálování operací a regionální expanze vyžadují předem navrženou modularitu: dodatečné licence, dostupnost regionálních účtů, rozšíření compliance týmu. Passporting a přístup na trhy Afriky a EU se dosahují prostřednictvím lokálních licencí a partnerství, nikoli prostřednictvím «univerzální» offshore licence.

Dopad MiCA na trendy 2024–2026

Nové regulační trendy v období 2024–2026 zásadně mění požadavky na trh digitálních aktiv, přičemž dopad MiCA již určuje orientační pravidla pro vymáhání práva a compliance. V následujících bodech rozebereme, jak se tyto změny odrážejí v evropských pravidlech pro VASP a co bude třeba zohlednit poskytovatelům služeb.

MiCA: pravidla EU pro VASP

Virtuální aktiva, doporučení FATF

Soulad s FATF pro VASP je neformální «měna důvěry». Regulační orgány očekávají jasné propojení mezi riziky a kontrolami, včetně Due Diligence poskytovatelů pro VASP, scénářového monitoringu a SAR‑postupů. Tým COREDO věnuje pozornost modelům country‑risk a periodickému přehodnocování rizik.

Regulační sandboxy a inovace

Kontrolní seznamy rizik

Kontrola rizik a pravidelné kontrolní seznamy pomáhají předem odhalit zranitelnosti a snižovat pravděpodobnost zjištění při kontrolách. Dále rozebereme shodu s požadavky FSC/FSA a praktické kroky přípravy na inspekce on‑site.

Inspekce na místě pro FSC/FSA

Regulační kontroly a inspekce on‑site zahrnují rozhovory, výběrové přezkoumání transakcí, testování BCP/DRP a kontrolu výkaznictví. Požadavky na výkaznictví u FSC/FSA zahrnují pravidelné zprávy, audity a kontroly VASP. Náš kontrolní seznam obsahuje sebehodnocení klíčových kontrol a připravenost na namátkové kontroly.

Nominální ředitelé

Omezení marketingu v EU a ve Velké Británii

Plán licencování COREDO

Při sestavování plánu licencování COREDO klade důraz na sladění obchodních procesů a technických řešení, aby minimalizoval rizika a urychlil spolupráci s regulátory. V rámci této strategie je obzvlášť důležitý výběr technologického stacku a prověření poskytovatelé due diligence, kteří zajišťují shodu s požadavky a transparentnost v každé fázi.

Stack a poskytovatelé prověrek

Školení proti praní špinavých peněz a program dodržování předpisů

Compliance program VASP 2026 je koncipován jako živý systém: politiky, playbooky, metriky, školení. AML školení a testování zaměstnanců jsou povinné pro všechny funkce, včetně produktového týmu a podpory. Reportování, audity a kontroly VASP připravujeme ve formátu, který je vhodný pro regulátory, banky a investory.

Hybridní modely: úschova, makléř, směnárna

Funkční klasifikace VASP určuje rozsah licence: směna, peněženka, úschova. Pro hybridní modely jsou důležité hranice odpovědnosti, požadavky na rezervní uložení, audity studeného úložiště a pojištění úschovy. Také posuzujeme možnosti licencování stablecoinů a e‑money prostřednictvím partnerských schémat a místních licencí.

Krátký rizikový profil: Seychely vs Mauricius

• Seychely: rychlost, flexibilita, dostupné náklady na dodržování předpisů; větší zaměření na EMIs/PSP; důležité pečlivě nastavit AML/KYT a prokazovat účinnost kontrol.
• Mauricius: silná síť DTA, rozvinuté bankovnictví, důraz na substance; přísnější požadavky na kancelář a tým; výhodná platforma pro Afriku a institucionální toky.

Krátké závěry

Tým COREDO prošel touto cestou s různými modely: od krypto směnáren po kustody. Vidím, jak proaktivní plánování AML/CFT, technologická disciplína, správná korporátní struktura a respekt k požadavkům regulátorů transformují spuštění z «rizika» na «investici». Pokud budujete VASP v roce 2026, začněte mapou rizik, určte cílové trhy s ohledem na MiCA a FATF, sestavte silný tým ředitelů a MLRO, a pak postupně řešte kustodijní otázky, bankovnictví a výkaznictví. Praxe COREDO potvrzuje: takový přístup zkracuje lhůty, snižuje OPEX a urychluje dosažení udržitelného ROI.

Pravidelně se setkávám s vedoucími, kteří jsou připraveni škálovat práci s digitálními aktivy, ale zadrhávají se u dvou věcí: licence BaFin a architektura bezpečného ukládání klíčů. Od roku 2016 tým COREDO doprovázel desítky projektů při registraci společností v EU a v Asii, získávání finančních licencí a budování compliance funkcí. Během té doby jsem sestavil soubor osvědčených přístupů, které skutečně šetří čas a snižují provozní rizika. V tomto textu systematicky projdu cestu od právní struktury po architekturu klíčů a regulatorní reporting – s důrazem na Německo a BaFin, ale s ohledem na MiCA a požadavky EU.

Naše zkušenost v COREDO ukázala: silná kustodní služba nezačíná HSM, ale jasným regulatorním modelem, srozumitelnou provozní architekturou a disciplínou compliance. Technologie je tu důležitá vrstva, ale bez správné licence, smluvního rámce a AML/KYC postupů by podnik riskoval dostat stop-signál na startu.

Regulační rámec Německa a EU

Regulační rámec Německa a EU stále více formuje požadavky na nakládání a uchovávání kryptoaktiv, stanovuje standardy licencování, dohledu a ochrany investorů. Dále si rozebereme klíčové prvky dohledu – včetně role BaFin a zvláštností regulace krypto-custody.

Regulace kryptoměnové úschovy BaFin

MiCA: dopad na úschovu podle BaFin

Směrnice AMLD5 a AMLD6: boj proti praní špinavých peněz (AML/KYC) a Obecné nařízení o ochraně osobních údajů (GDPR)

Licence BaFin pro kryptokustodii

BaFin‑Licencování kryptokustodie vyžaduje přísné dodržování regulačních požadavků a transparentní dokumentaci. Dále podrobně rozebereme kroky a strukturu získání licence, včetně klíčových právních, provozních a technických kritérií pro úspěšné absolvování procesu.

Jak získat licenci BaFin pro kustodii

Doporučuji začít s právní strukturou pro kustodii v EU (GmbH, AG). Pro kryptokustodii v Německu obvykle vyhovuje GmbH, zatímco etablovaní hráči s plány na získání kapitálu volí AG. Požadavky na kapitál pro kustodii závisí na profilu služeb; pro čisté uchovávání privátních klíčů je počáteční kapitál obvykle od 125 000 EUR, při kombinaci s platebními službami vyšší. Náklady na získání licence BaFin se skládají z přípravy dokumentace, technologických implementací (HSM/MPC), najímání klíčových zaměstnanců (MLRO, CISO, Head of Risk), certifikací (ISO 27001, někdy SOC 2 Type II), pojištění a právního zajištění.

Etapy procesu:

• Předlicenční gap-analýza podle BaFin/BAIT/MaRisk a MiCA.
• Návrh provozního modelu: custody vs non-custodial, studené/teplé úložiště, MPC nebo multisig, procedura key ceremony a politika rotace klíčů.
• Vybudování compliance: AML/KYC, sankční kontroly, přístup založený na riziku, řízení incidentů a oznamování regulátorovi.
• IT a bezpečnost: HSM (Hardware Security Module) nebo MPC (Multi-Party Computation), infrastruktura pro studené uchovávání klíčů, air-gapped signing, audit trail a logování.
• Dokumentace a podání: politiky, předpisy, smlouvy s klienty, smlouvy o outsourcingu HSM.
• Kontroly na místě a odpovědi na dotazy.

Kontrolní seznam přípravy na prověrku BaFin

• Governance: kvalifikované vedení, nezávislé řízení rizik a compliance, výbor pro informační bezpečnost.
• Politiky a postupy: požadavky na uchovávání privátních klíčů, správa přístupu a role v kustodii, key ceremony a zálohování, plán obnovy po havárii a plán kontinuity provozu.
• IT governance podle BAIT: inventarizace aktiv, řízení zranitelností, řízení změn, reakce na incidenty.
• Bezpečnost: bezpečnostní požadavky HSM podle BaFin, popis MPC/threshold signatures, multisignatura a uchovávání klíčů, architektura cold wallet a rizika hot wallet.
• Kontrola kvality: penetration testing a red team, bug bounty programy, audit bezpečnosti pro kryptokustodii, SOC 2 Type II audit pokud k dispozici, ISO 27001 certifikace.
• Finance: požadavky na kapitál, model OPEX vs CAPEX, výpočet ROI pro investice do bezpečnosti a celkový ekonomický plán.
• Smluvní základ: příprava smluv kustodie pro korporátní klienty, SLA 99,9% dostupnost, předpisy pro uchovávání klíčů a GDPR, fiduciární povinnost kustodie, segregace klientských aktiv, custody podle trustee modelu.
• Reporting: regulatorní zprávy pro BaFin, bezpečnostní metriky pro reportování BaFin, politiky oznamování incidentů.

Dohled a hlášení incidentů

Architektura ukládání klíčů

Vytvoření technologické architektury pro ukládání klíčů určuje soubor řešení, která zajišťují bezpečnost, dostupnost a spravovatelnost kryptografických materiálů. V následujících pododdílech se podíváme na roli HSM a možnosti outsourcingu kritických komponent, abychom ukázali, jak různé přístupy ovlivňují rizika a provozní požadavky.

Outsourcing kritických komponent a HSM

MPC, multisig a rozdělení tajemství

Odolnost proti výpadkům, škálování a audit

Návrh odolné architektury klíčů zahrnuje distribuované ukládání klíčů pro škálování, geo-replikaci, nezávislé kanály kvora a deterministické runbooky pro incidenty. Platforma jako multi-tenant custody platform vyžaduje přísnou segmentaci, izolaci prostředí a kontinuální monitoring. Audit trail a logování musí pokrývat administrativní akce, transakce, přístup k tajnostem a změny konfigurace.

Kustodiální staking: rizika

Aktiva, integrace a SLA

Řízení rizik a dodržování předpisů

Efektivní řízení rizik a přísné dodržování předpisů vyžadují systematický přístup k identifikaci a snižování finančních hrozeb. V tomto kontextu se klíčovými nástroji stávají AML/KYC a pravidelné sledování transakcí pro prevenci podvodů a praní špinavých peněz.

AML/KYC: sledování transakcí

Potvrzení odolnosti a bezpečnosti

Pojištění a fiduciární povinnosti

Pojištění aktiv krypto-kustodů: samostatná oblast. Pojistná smlouva pro custody a upisování krypto rizik zohledňují limity pro horké a studené peněženky, výluky a franšízy. Jak vybrat pojišťovací produkt pro kustoda? Hodnotím finanční stabilitu pojistitele, krytí kyberrizik, limity na sociální inženýrství a požadavky na kontroly.

Ochrana údajů a regulace

Strategie a ekonomika spuštění služby

Ekonomika projektu a zvolená strategie formují rámec rozhodování při přípravě a spuštění služby, určují priority v oblasti zdrojů a úrovně přijatelného rizika. Níže podrobně rozebereme model nákladů, požadovaný kapitál a klíčové ukazatele ROI, abychom sestavili odůvodněný plán vstupu na trh.

Model nákladů a návratnosti investic

Model OPEX vs CAPEX pomáhá transparentně komunikovat s představenstvem. CAPEX, HSM, sítě, licence softwaru, certifikace; OPEX – tým compliance a informační bezpečnosti, pojištění, audit, kolokace, bug bounty. Náklady na získání licence BaFin a následný provoz závisí na rozsahu.

Interní vs řešení třetích stran a řešení pod bílou značkou

Srovnání in-house vs third-party custody se točí kolem kontroly, rychlosti spuštění a regulační křivky. White-label custody řešení umožňují rychlejší vstup na trh, ale zvyšují závislost a požadavky na third-party risk management. Migrace kryptoaktiv mezi custody poskytovateli, scénář, který předpokládám při spuštění: postupy pro výměnu klíčů, ověření zůstatků a upozornění klientů.

Právní smlouvy o outsourcingu HSM vyžadují jasná SLA, práva na audit, požadavky na geografii dat a plány obnovy. Third-party risk management zahrnuje periodické hodnocení, stresové testy a forenzní klauzule ve smlouvách.

Provozní odolnost a SLA

Případové studie COREDO: licence a integrace

V sérii případových studií COREDO ukazujeme praktické kroky – od vyřízení licence po reálné scénáře bankovní integrace. Na příkladu Německa rozebíráme požadavky BaFin, architekturu klíčů a technická řešení potřebná pro splnění regulatorních a bankovních požadavků.

BaFin: licence a architektura klíčů

Nedávno tým COREDO realizoval projekt pro fintech, který plánuje custody pro velké korporátní klienty. Zvolili jsme GmbH, připravili podání pro BaFin, nasadili HSM pro master klíče a MPC pro operativní podpis. Klient získal certifikaci ISO 27001, podstoupil audit SOC 2 Type II a nastavil metodiky proof of reserves s pravidelnými attestačními zprávami. V smluvní dokumentaci jsme zakotvili oddělení aktiv klientů (segregation of client assets) a model správy přes trustee (trustee model custody), stejně jako podmínky custodial stakingu a zveřejňování rizika slashing (slashing risk).

Pasportizace do EU po spuštění

Jiný klient spouštěl custody v Německu s výhledem na EU. Sestavili jsme model kompatibilní s MiCA a připravili pasportizaci custodiálních služeb v EU. Právní struktura a politiky hned zohledňovaly požadavky Kypru a Estonska na IT odolnost a personál, což urychlilo regionální expanzi.

Nasazení v bankovní struktuře

Samostatný případ – nasazení custody v bankovní skupině s přítomností ve Spojeném království, Singapuru a Dubaji. Integrovali jsme custody do bankovní struktury přes API, REST/WebSocket, s podporou korporátních účtů a sub-účtů. Pro CTO/CISO jsme nastavili klíčové metriky KPI, reporty pro rady pro řízení rizik a pravidelné red team cvičení.

Praktické nástroje

Aby se minimalizovala rizika při výběru poskytovatele custody, je třeba vycházet z praktických metodik a nástrojů, které převádějí abstraktní požadavky na konkrétní kontroly. Níže je uveden kompaktní kontrolní seznam pro ověření poskytovatelů custody s klíčovými kritérii bezpečnosti, souladu a provozní spolehlivosti.

Kontrolní seznam pro ověření poskytovatelů depozitářských služeb

Ověření poskytovatelů custody: kontrolní seznam pro ředitele

• Licence a dohled: licence BaFin krypto-úschovy, plány podle MiCA, regulační historie, precedenty kontrol.
• Bezpečnost: HSM/MPC, protokol key ceremony, podepisování v odpojeném prostředí (air-gapped), penetrační testy, bug bounty program, ISO 27001/SOC 2.
• Provoz: SLA 99,9 %, reakce na incidenty, obnova po havárii (disaster recovery), zajištění kontinuity provozu, auditní stopa.
• Soulad: AML/KYC, prověřování sankcí, monitorování transakcí pro AML, GDPR.
• Právo: segregace klientských aktiv, custody podle modelu správce (trustee), pojištění, outsourcing HSM a právní dohody.
• Technologie: podpora Bitcoin/Ethereum, ERC-20/ERC-721, layer-2 řešení a custody, meziřetězcová úschova, API REST/WebSocket.
• Ekonomika: tarify, limity, OPEX vs CAPEX, hodnocení ROI.
• Migrace: export klíčů/adres, prokázání rezerv (proof of reserves) při přechodu, termíny a rizika.

Co zakotvit ve smlouvách a SLA

Připrava smluv o custody pro korporátní klienty obsahuje:

• Rozsah služeb, podporovaná aktiva, požadavky na custodial staking.
• Oddělení aktiv, fiduciární povinnost, pojištění a limity.
• Řízení incidentů a oznámení regulátorovi, RTO/RPO, servisní okna.
• Politika klíčů: požadavky na uložení privátních klíčů, rotace klíčů, přístupy.
• Prokázání rezerv a atestační zprávy, práva na audit.
• Řízení provozních rizik custody a řízení rizik třetích stran.

Obnova po kompromitaci klíčů

Plán obnovení klíčů po kompromitaci by měl obsahovat:

• Identifikaci postižené oblasti a scénář odstavení.
• Generování nových klíčů (key ceremony), převod aktiv, aktualizace politik.
• Komunikace: klienti, regulátor, protistrany.
• Forenzní balíček: sběr artefaktů, uchování logů, nezávislá analýza.
• Post-incidentní plán: poučení, aktualizace kontrol, retesty a atestační ověření.

Časté otázky a krátké odpovědi

Závěry

COREDO nenabízí zázračné zkratky. Máme však nástroje, postupy a zkušenosti, které činí tuto cestu zvládnutelnou: od volby mezi HSM a MPC až po regulační zprávy BaFin a ověření rezerv. Pokud plánujete kustodní případ v Německu, Česku, na Slovensku, na Kypru, v Estonsku, ve Spojeném království, v Singapuru nebo v Dubaji – pojďme ho rozložit na srozumitelné moduly, vypočítáme ROI a postavíme architekturu, která obstojí jak při kontrolách regulátora, tak i požadavcích vašich korporátních klientů. Zkušenost COREDO ukazuje: systémový přístup se vyplatí rychleji než sliby «udělat vše za tři týdny».