COREDO

Založil jsem COREDO v roce 2016 a od té doby náš tým doprovázel desítky mezinárodních projektů: od registrace společností v EU a v Asii až po získání krypto-, platebních a forexových licencí. Během těchto let se jedno téma pravidelně vrací do agendy vedení a CFO: je možné pracovat s klienty z EU bez licence, pokud kontakty vycházejí od nich samotných. To je MiCA reverse solicitation – úzký koridor zákonného křížového hrančního servisu, kde jde o čas uvedení produktu na trh, compliance rizika a rentabilitu.

MiCA: что попадает под регулирование

Pravidla MiCA pro CASP pokrývají custody a administraci kryptoaktiv pro klienty, operace na obchodních platformách, směnu kryptoaktiv za fiat nebo jiná aktiva, plnění příkazů, umisťování kryptoaktiv, přijímání a předávání pokynů a také poradenství ohledně kryptoaktiv. Pokud tyto funkce provádíte pro klienty z EU z území třetí země, musíte rozumět hranicím reverse solicitation podle MiCA a národním pravidlům komplementace v jednotlivých členských státech.

European Securities and Markets Authority koordinuje praxi společně s národními příslušnými orgány (NCAs), ale detaily uplatňování práva se často formují na úrovni země. Naše zkušenost v COREDO ukázala: ignorovat místní pokyny je krátká cesta k vymáhání a regulatorním dotazům, i když formálně se opíráte o pravidla napříč EU.

Что такое reverse solicitation
Používám pracovní definici: MiCA reverse solicitation je situace, kdy klient z EU z vlastní iniciativy (client-initiated contact) osloví poskytovatele z třetí země a ten poskytne službu bez předchozího individuálního nebo hromadného stimulování poptávky v EU. To je passive reception doctrine: přijímáte pasivní inbound, a nevytváříte ekonomický nexus aktivními kroky v Unii.

Логика и исключения лицензирования MiCA
Výjimky z povinnosti licencování podle MiCA se v podstatě redukují na korektní uplatnění reverse solicitation, ale národní regulátoři různě kalibrují prah povolených akcí. V jednom projektu COREDO pro klienta z Dubaje jsme s místními právníky ve dvou jurisdikcích EU dohodli hranice přijatelné webové komunikace: neutrální obsah, absence personalizovaných nabídek, přísný zákaz retargetingu podle EU-ID.

Transitional provisions MiCA jsou důležité pro poskytovatele, kteří už vykonávají činnost podle místních režimů před plnou implementací. Zároveň přechodná ustanovení nedělají reverse solicitation bezmezné: NCAs nadále aplikují vlastní testy ekonomické přítomnosti a ESMA publikuje orientace pro uplatňování práva, které ovlivňují výklady.

Vnější obsluha klientů z EU ze třetí země (onshore vs offshore obsluha) je přípustná za předpokladu nepřítomnosti presence and substance v EU, vytvoření smluvní struktury mimo EU a budování procesů založených na passive reception. Ale při růstu podílu klientů z EU a vzniku onshore týmů, zastoupení nebo agentů v Unii vzniká riziko vynucené jurisdikce a enforcement.

Легально предлагать услуги криптоактивov
Klíčová otázka je, jak dokumentovat inbound žádosti klientů. Řešení vyvinuté v COREDO zahrnuje víceúrovňové zaznamenávání client-initiated contacts v CRM a logech webové platformy: záznam primárního zdroje kliknutí, uchování formuláře dobrovolného oslovení, timestamp, IP a geodata, stejně jako screenshoty uživatelských cest.

Nejlepší praxe pro poskytovatele krypto služeb zahrnují opt-in onboarding proces, kde klient potvrzuje, že inicioval kontakt sám, rozumí absenci licence v EU a chápe, že obsluha probíhá z konkrétní třetí země. Consent documentation a record-keeping požadavky podle MiCA vyžadují uchovávat tato potvrzení po dobu nejméně rovnou dokument retention policy přijaté ve vaší jurisdikci a sladěné s očekáváními EU.

Důkazní základ při sporu s regulátorem stojí na audit trail a IT logování. V COREDO doplňujeme právní memoranda o evidence preservation: zachycené verze webu v okamžiku oslovení (web-archivy), cold logy kampaní (s nulovým EU-targetingem), interní instrukce manažerům o zákazu preventivních kontaktů. Taková praxe COREDO potvrzuje, že i při regulatorním požadavku předkládáte strukturovanou linii obrany.

KYC и EDD при reverse solicitation
Principy AML při reverse solicitation nejsou oslabené: rizikově orientovaný přístup je povinný stejně jako při licencované činnosti. Doporučuji od začátku budovat KYC/CDD procesy pro nerezidenty, zahrnující PEP screening a sankční seznamy EU, potvrzení beneficientního vlastnictví (UBO), kontrolu zdroje prostředků a majetku při překročení interních prahů.

Enhanced Due Diligence pro klienty z EU je nezbytné při zvýšeném riziku jurisdikce, typologii transakcí nebo produktové kategorii (например, высоковолатильныеtokeny, účast na off-chain transakcích, práce s mixéry). V některých projektech tým COREDO zavedl hybridní model: základní KYC in-house, zatímco EDD a screening prostřednictvím certifikovaného poskytovatele s transparentním outsourcingem compliance třetí straně.Marketing: předkontraktační komunikace
Omezení reklamy a nevyžádaného oslovení, základní pravidlo reverse solicitation podle MiCA. Jakákoli kontaktní aktivita zaměřená na rezidenty EU, včetně partnerských programů s blogery z EU, referralových plateb, lokalizovaných vstupních stránek “pro klienty z EU”, jsou červené vlajky pro orgány dohledu (NCAs). právní stanovisko pro reverse solicitation u nás vždy zahrnuje právní posouzení reklamních kampaní a kontrolu marketingových materiálů.

Pravidla předkontraktační komunikace podle MiCA umožňují odpovědi na konkrétní dotazy, но zakazují rozšiřovat dialog na hromadné rozesílání.

Strukturovat vztahy s klientem z EU

Transparentnost a zveřejňování informací při reverse solicitation jsou pomocníkem, ne překážkou. Správné product governance, segmentace klientů a teritoriální rizika, stejně jako zdokumentované posouzení použitelnosti MiCA scope k konkrétním aktivům (např. ART nebo EMT) pomohou orgánům dohledu (NCAs) prokázat poctivost modelu. V COREDO upevňujeme governance a board-level oversight formou zprávy představenstvu o podílu klientů z EU a spouštěčích migrace k licencování.

Ochrana dat a dopady GDPR jsou také kritické. I když jste mimo EU, zpracování osobních údajů rezidentů EU vyžaduje dodržování GDPR: jmenování DPO podle potřeby, právní základy zpracování, přeshraniční přenos dat a smlouvy s procesory. Důvěrnost a výměna informací s protistranami by měly zohlednit bankovní tajemství, místní pravidla ohledně AML a požadavky orgánů dohledu (NCAs).

Rizika: compliance, reputace, daně

Omezení reputačních rizik vyžaduje konzervativní informační politiku a připravenost na regulační žádost. Evidence preservation a document retention policy: nejsou formalita: absence logů a screenshotů často znehodnocuje právní pozici poskytovatele. Naši klienti, u kterých byla vybudována auditní stopa, procházeli kontrolami s minimálními ztrátami.

Daňové důsledky přeshraničních služeb závisí na ekonomické přítomnosti. Economic nexus test a riziko stálé provozovny (PE) v EU závisí na tom, kde jsou přijímána klíčová řídicí rozhodnutí, kde se nacházejí zaměstnanci a odkud je veden marketing. Doporučujeme posuzovat cross-border tax reporting implications společně s daňovými poradci a zohlednit CRS/FATCA při strukturování.

Kontrolní seznam reakce na žádost klienta z EU

• Potvrdit contact iniciovaný klientem: zaznamenat kanál, čas, IP, souhlas.
• Zkontrolovat geotargeting: vyloučit retargeting a individuální nabídky pro EU.
• Provest KYC/CDD, provést screening PEP/sankcí, určit rizikový profil.
• Ohodnotit tokeny: MiCA scope a klasifikace (ART/EMT/utility), produktová omezení.
• Poskytnout zveřejnění: status nerezidentského poskytovatele, absence licence v EU, jurisdikce smlouvy.
• Jmenovat MLRO odpovědným za monitoring a travel rule, stanovit prahové hodnoty a upozornění.
• Uložit veškeré důkazy: screenshoty webu, logy CRM a marketingových platforem.
• Odhadnout podíl klientů z EU a prahy migrace k licencování v EU.
• Připravit právní stanovisko po MiCA reverse solicitation a interní instrukce pro tým.

Licencování nebo reverse solicitation
Licencování vs servis podle reverse solicitation: otázka cost-benefit analýzy. Ekonomická vhodnost bez licence je vysoká v raných fázích, kdy je třeba rychle otestovat produkt a dosáhnout prvních transakcí. Ale modelování nákladů na compliance ukazuje: při růstu podílu tržeb z EU náklady na kontrolu marketingu, právní stanoviska a rizika enforcement začínají převyšovat CAPEX na získání licence v zvolené jurisdikci EU.

Strategie výstupu zahrnují migraci byznysu do EU nebo provoz na dálku s získáním licence v zemi orientované na CASP. Volba se sandbox programem regulátorů někdy urychluje testování inovativních produktů. Registracní formality v EU a spolupráce s místním advokátem, příprava governance-dokumentů, AML politiky a postupy pro CASP — to je oblast, kde tým COREDO realizoval kompletní cykly, včetně product governance a board supervision.

Praxe a spolupráce ESMA/NCAs

Tým COREDO připravuje právní stanoviska k MiCA reverse solicitation s ohledem na národní nuance, včetně právní pozice třetích zemí a MiCA, mapování produktů a hodnocení marketingového dosahu. S klientem předem dohodneme plán reakce: kdo odpovídá, jaká data se zveřejní, jak se předkládá interní compliance manuál pro CASP a jak se zabezpečuje uchování důkazů.

Практический совет: провести pre-emptive gap review по marketing, onboarding и IT-логированию до выхода на EU-трафик. Это быстрее и дешевле, чем срочно чинить следы после регуляторного письма.

Vnitřní politiky a kontrola
Sestavení politiky vnitřní kontroly pro CASP při reverse solicitation není zjednodušenou verzí „plné“ licence. Dokumenty by měly pokrývat risk-based approach v oblasti AML/CFT, KYC/EDD, algoritmy transaction monitoringu, prahy pro SAR, travel rule, outsourcing governance a kontrolu kvality dat. Interní compliance manuál pro CASP strukturuje role MLRO, second line of defense a eskalace k představenstvu.

Governance a board-level oversight řeší strategické otázky: limity na podíl tržeb z EU, spouštěče přechodu k licencování, model rozpočtování compliance a rezerv na právní rizika. Právě na této úrovni se rozhoduje, zůstane‑li reverse solicitation experimentem nebo se stane mostem k plnohodnotné přítomnosti v EU.

Příklady praxe COREDO, co funguje
Кейс 1: сингапурский провайдер, обслуживающий холдинги из ЕС запросно. Tým COREDO vybudoval opt-in onboarding, centralizované KYC s EDD pro high-risk profily a přísnou politiku “no EU marketing”. Připravili jsme legal opinion по MiCA reverse solicitation s mapou rizik a plánem migrace na kyperskou licenci při dosažení hranice EU‑podílu 25%. Regulační žádost od jednoho z NCAs jsme uzavřeli důkazovou bází: logy, screenshoty, instrukce.

Кейс 2: дубайский VASP с активным контент-маркетингом. Audit COREDO odhalil skrytý geotargeting na několik zemí EU a referral síť s EU‑bloggery. Zmrazili jsme kampaně, přepsali veřejná zveřejnění, zavedli pre-clearance, proškolili obchodní tým a zpracovali document retention policy. Paralelně jsme spustili proces licencování v Estonsku; po 8 měsících společnost přešla na onshore model.

Кейс 3: британская финтех-платформа с utility tokens. Právní posouzení ukázalo výjimky pro část tokenů, ale ancillary služby spadaly do rozsahu MiCA. Praxe COREDO potvrdila: smíšené modely častěji chybují v klasifikaci. Rozdělili jsme produktové toky, pro část – reverse solicitation s neutrální web‑architekturou, pro část – žádost o licenci na Slovensku.

Modely smluv a ochrana dat
Smluvní modely s klientem z EU by měly obsahovat: volbu práva a jurisdikce sporu mimo EU, jasná omezení produktu, podmínky ukončení služby z regulatorních důvodů a oznámení, zveřejnění ekonomických a právních rizik. Ve smlouvách je důležité zakotvit mechanismy KYC/EDD, souhlasy se zpracováním a předáním dat, stejně jako práva poskytovatele na transakční monitoring a zmrazení operací při červených vlajkách.

Kdy je reverse solicitation nevýhodný
Business model alignment с MiCA vyžaduje poctivé zhodnocení. Pokud váš růst závisí na marketingu, partnerstvích a veřejné propagaci, reverse solicitation omezí škálování a zvýší náklady na compliance. Pokud obchodní případ předpokládá významný tok klientů z EU, je vhodné plánovat licencování v EU předem, vybírat jurisdikce s jasnou praxí NCAs a dostupnou infrastrukturou (např. Kypr, Estonsko, některé země střední Evropy).

Modelování nákladů na compliance pomáhá vedení vidět, kde je bod zlomu mezi náklady na právní ochranu reverse modelu a CAPEX/OPEX licencované přítomnosti. Tým COREDO často počítá scénáře: základní reverse na 6–9 měsíců, hybridní model s omezeným marketingem a úplný přechod na licenci s onshore týmem a požadavky na presence and substance.

Co se zeptá regulátor při kontrole
Příprava na kontrolu regulátora ohledně client-initiated contacts: to nejsou jen dokumenty. Regulátoři kontrolují produktové governance, posloupnost stop informací o klientovi, stabilitu monitoringu, reakci na alerty a kompetenci MLRO. Provádíme simulační požadavky, kde klientský tým odpovídá na otázky o struktuře webu, logice onboardingu, klasifikaci tokenů a používání sankčních seznamů EU.

Regulatory perimeter under MiCA se mění s publikacemi ESMA a COREDO pravidelně aktualizuje šablony interního compliance manuálu pro CASP. To umožňuje rychle zavádět změny: například zesílit požadavky na pre-contractual disclosures nebo přezkoumat postup testu pasivity klienta.

Nuance tokenů ART, EMT a utility
Asset-referenced tokens jsou regulovány přísněji, zejména v části emise, rezerv a zveřejnění. E-money tokens pod MiCA tíhnou k požadavkům podobným elektronickým penězům, včetně kapitálu a ochrany prostředků. Utility tokens mohou být mimo MiCA při úzkém funkčním určení, ale jakmile se objeví obchodní dostupnost nebo investiční motiv, vracíme se do rozsahu MiCA.

COREDO pomáhá klientům s product mapping: matice funkcí tokenů, scénáře použití, dopad na AML/KYC a produktová omezení při reverse solicitation. To snižuje riziko nesprávné klasifikace a nároků NCAs.

Od hypotézy к udržitelné модели

• Provesti MiCA scope и применимость к продукту, учесть национальные комплементации.
• Rozhodnout, zda model umožňuje pasivní inbound bez marketingu v EU.
• Postavit web‑ a CRM‑architekturu s evidencí inbound, vypnout EU‑targeting.
• Vypracovat interní compliance manuál, AML politiky, postupy travel rule, roli MLRO.
• Nastavit KYC/CDD/EDD, sankční a PEP kontroly, monitorování transakcí.
• Připravit právní posudek k MiCA reverse solicitation a plán reakce na žádosti.
• Dohodnout obchodní podmínky (ToS), smlouvy, zveřejnění, oznámení o ochraně osobních údajů (privacy notice) a GDPR procesy.
• Určit spouštěče přechodu k licencování, vypočítat ROI a zvolit jurisdikci.
• Zajišťovat vedení záznamů (record-keeping), uchování důkazů (evidence preservation) a pravidelný dohled představenstva (board oversight).

Závěry

Tým COREDO tuto cestu absolvoval s klienty mnohokrát: od právního závěru a nastavení procesů až po přechod na licencovaný model v EU. Jsem přesvědčen, že odolnost v kryptoekonomice stojí na dvou pilířích – strategické jasnosti a provozní bezchybnosti. Reverse solicitation může být vaším mostem do Evropy, pokud předem stanovíte hranice, nevybočíte z regulačního perimetru a včas učiníte rozhodnutí o licencování.

Od roku 2016 vedu COREDO napříč desítkami regulačních cyklů a změn v EU, Velké Británii, Singapuru a SAE. Tým COREDO prošel celou cestu od registrace právnických osob a licencování CASP/VASP až po budování zralých AML‑programů, dokazování rezerv a nastavení provozní odolnosti. V tomto článku jsem sestavil strategii, kterou skutečně používáme v projektech: jak připravit kryptoburzu a související fintech‑služby na MiCA v EU a na VARA v Dubaji do roku 2026, s detaily, bez teorie ради теории.

MiCA a VARA: co je důležité vědět v roce 2026

MiCA a VARA již formují nový regulační rámec pro kryptoaktivy, proto je třeba jasně si představit hlavní důsledky pro podnikání a uživatele. Níže rozebíráme, co je důležité vědět v roce 2026: oblast působnosti MiCA, požadavky na poskytovatele a praktická interakce s VARA.

Oblast působnosti MiCA

Mandát VARA v Dubaji

CASP vs VASP, termíny a povinnosti

V EU podle MiCA Crypto‑Asset Service Provider (CASP), v Dubaji – Virtual Asset Service Provider (VASP). Rozdíl není jen v termínech. Praxe COREDO potvrzuje: VARA podrobněji popisuje technologické a informační požadavky (logování, kybernetická ochrana, BCM), zatímco MiCA se zaměřuje na prudenciální a integritu trhu pro účastníky trhu v EU. Pro kryptoburzy otázka «MiCA vs VARA для криптобирж» neznamená volbu «nebo», ale často «a», když mezinárodní struktura buduje licenční architekturu pro obě jurisdikce.

Extraterritorialita a ekvivalence

Vstup na trh: EU vs Dubaj

Volba strategie při vstupu na trh v EU nebo v Dubaji je určena rozdíly v regulaci, daních a přístupu ke klientské a technologické infrastruktuře. Zvláštní pozornost je třeba věnovat pasportingu podle MiCA a jeho omezením, která přímo ovlivňují rychlost a škálovatelnost přítomnosti v Evropě.

Pasporting podle MiCA: omezení

Licence VARA pro burzy v Dubaji

ROI z dodržování předpisů: CapEx vs OpEx

Jak získat licenci pro kryptoměnovou burzu

Licencování kryptoburz je komplexní cesta, realizovaná prostřednictvím jasně uspořádaných kroků, které minimalizují regulatorní a provozní rizika. Prvním klíčovým krokem je registrace právnické osoby v EU a přizpůsobení činnosti požadavkům MiCA, po čemž následuje příprava dokumentace, compliance procesů a technická integrace.

Registrace právnické osoby v EU podle MiCA

Registrace v SAE: volná zóna / pevnina

Migrace licence, klientů a dat

Kapitál, správa a řízení rizik

Pochopení požadavků na kapitál, efektivního governance a spolehlivých procesů řízení rizik tvoří základ finanční odolnosti a souladu s regulačními standardy. V následující části rozebereme minimální kapitál a rezervy potřebné k udržení platební schopnosti a krytí potenciálních ztrát.

Minimální kapitál a rezervy

Řízení konfliktů zájmů

Provozní odolnost (BCM)

AML/KYC: od politiky k technologiím

AML/KYC dnes vyžaduje přechod od formálních politik k technologickým řešením, která automatizují prověřování a minimalizují provozní rizika. To je obzvlášť důležité při naplňování požadavků MiCA a VARA a při organizaci KYC/EDD pro korporátní klienty.

Požadavky KYC/EDD podle MiCA a VARA

Pravidlo o sdílení údajů při přeshraničních transakcích

FATF, AMLD5/6 a STR/CTR s orgány

Sankce, prověřování, PEP/SDN a výměna informací

Důkaz rezerv a úschova aktiv

Témata úschovy (custody), proof of reserves, a také obecná bezpečnost aktiv určují pravidla ukládání a transparentnosti při práci s digitálními aktivy. Dále rozebereme požadavky MiCA na ukládání a klíčová ustanovení smluv s kustody, která pomáhají zajistit soulad s těmito standardy.

Smlouvy a úschova podle MiCA

Modely úschovy podle VARA a pojištění

Důkaz rezerv: audit a certifikace

CISO a kybernetická rizika poskytovatelů peněženek

Zveřejňování a ochrana investorů

Transparentnost operací a podrobné zveřejňování informací: klíčové prvky efektivní ochrany investorů v oblasti digitálních aktiv. V následujících pododdílech rozebereme požadavky MiCA na zveřejňování, organizaci registru tokenů a obsah whitepaperu, které pomáhají tyto principy uvést do praxe.

Zveřejňování podle MiCA: registr a bílá kniha

Regulace stablecoinů a rezerv

Ochrana spotřebitelů tokenových tržišť

Soulad a provozní integrace

Nástroje pro kompliance a podporu provozních integrací kombinují automatizované monitorování rizik, analýzu blockchainové aktivity a ML modely pro boj proti podvodům. Níže podrobně rozebíráme klíčové prvky: KYT a on‑chain monitoring, anti‑fraud ML a graph analytics.

KYT a monitorování v blockchainu

Hodnocení návratnosti investic (ROI): automatizace, BPM, KPI/KRI

Integrace s bankami: PSD2 a KYC

Interoperabilita blockchainů a oracly

Dohled a sankce v regulaci

Poznámka k dohledu a možným sankcím se stává klíčovým faktorem pro účastníky trhu: nedodržení pravidel často nese provozní a reputační rizika. Dále rozebereme praxi regulace na úrovni ESMA a národních regulátorů, včetně požadavků na vykazování a frekvence podávání dokumentů.

Zprávy ESMA a národních regulátorů: frekvence

Regulační sandboxy VARA: odvolání

Dohledové sankce a pokuty

Případy COREDO: expanze burz do EU a do Dubaje

Případy COREDO ukazují, jak uvádíme burzy na trhy EU a Dubaje prostřednictvím postupné strategie dodržování regulací. Níže rozebíráme plán souladu v rámci MiCA — od onboardingu protistran a nastavení interních procesů až po škálování operací a udržení souladu s předpisy.

Plán souladu burzy s MiCA

Rizika a kontrola VARA v Dubaji

Migrace z Asie do EU: klienti a data

Likvidita, M&A a výstupy

Pro udržitelnou expanzi podnikání zůstávají klíčové likvidita, správné plánování M&A a promyšlené výstupní strategie. V následující části rozebereme zásady řízení likvidity a stres‑testování, které pomáhají posoudit schopnost společnosti zvládnout šoky a připravit se na transakce a výstupy.

Řízení likvidity a stres‑testy

Výstupová strategie IPO a M&A: regulační požadavky

Dopad geopolitiky a sankcí

Kontrolní seznam spuštění burzy podle MiCA/VARA 2026

• Právní struktura: SPV/pobočka/dceřiná společnost; rejstřík skutečných majitelů; daňové plánování.
• Licencování: CASP podle MiCA s passportingem; třídy VASP u VARA pro exchange/custody/broker‑dealer.
• Řízení: představenstvo, nezávislí ředitelé, výbor pro rizika; role CCO, MLRO, CISO.
• Kapitál a rezervy: minimální požadavky a pufry; plán likvidity a stresové testy.
• AML/KYC: rizikově založené KYC/EDD, sankce PEP/SDN, STR/CTR, FATF/AMLD5/6, Travel Rule (OpenVASP/Sygna/TRP).
• Custody: horké/studené peněženky, multisig, HSM, pojištění; smlouvy s kustodiány podle MiCA.
• Proof of Reserves a audit: metodologie, nezávislé ověření, pravidelné veřejné vykazování.
• Technologie: KYT, on‑chain analytika, anti‑fraud ML, SIEM/PAM; BPM automatizace, KPI/KRI.
• Transparentnost: rejstřík tokenů a klasifikace podle MiCA; whitepaper a zveřejnění; market conduct.
• Provozní odolnost: BCM, incident‑management, RTO/RPO, záložní lokality a zálohy.
• Integrace: bankovní brány, kompatibilita s PSD2, požadavky bank na KYC.
• Regulace: hlášení a frekvence, sandboxy VARA, právo na odvolání, spolupráce s dohledem.
• Data a GDPR: DPIA, migrace klientů a dat, smlouvy s poskytovateli, řízení přístupu.
• Chytré smlouvy: audity, bug‑bounty, řízení nasazení; rizika oraclů a interoperabilita.

Proč COREDO, dlouhodobý partner

Regulace MiCA kryptoaktiv z roku 2026 a regulace VARA pro virtuální aktiva v Dubaji z roku 2026 nastavují vysokou laťku pro kryptoburzy. Pro někoho je to překážka, já v tom ale vidím okno příležitostí: pasporting v rámci MiCA, ekvivalence a mezinárodní uznání VARA, vyspělé postupy, základ pro škálování bez regulačních překvapení. Naše zkušenost v COREDO ukázala, že správná architektura compliance nejen umožňuje vstup na trh, ale také šetří kapitál, zrychluje transakce a zvyšuje ocenění společnosti.

Od roku 2016 buduji COREDO jako společnost, která odstraňuje regulatorní nejistotu pro podnikatele a finanční ředitele. Za tu dobu tým COREDO zajišťoval licence a nastavoval provozní modely v EU, Velké Británii, v Česku, na Slovensku, na Kypru, v Estonsku, Litvě, Singapuru a v Dubaji. V tomto článku jsem shromáždil praktická doporučení pro licencování CASP, se zaměřením na kapitál, personál, AML a technologickou odolnost. Opírám se o zkušenosti z četných projektů, abyste hned viděli, kde leží hlavní hodnota a jak se vyhnout nákladným chybám.

Proč právě teď MiCA a globální dohled

Evropské nařízení MiCA zavádí obecné požadavky pro CASP ohledně kapitálu, organizační struktury a ochrany klientů, a také poskytuje mechanismy passportingu v EU. Praxe COREDO potvrzuje: nový režim zvyšuje vstupní práh, ale při správné přípravě urychluje škálování napříč regiony a snižuje fragmentaci požadavků. Bereme v úvahu, že MiCA a kapitálové požadavky pro CASP vážou vlastní prostředky na sadu služeb a fixní režijní náklady.

Výběr jurisdikce a vstup na trh

Rozhodnutí o výběru jurisdikce a vytvoření modelu vstupu na trh určují právní, daňové a obchodní rámce expanze. Níže postupně rozebereme, jak se tyto faktory projevují v kontextu EU: od regulatorní harmonizace po požadavky na hospodářskou substanci.

Regulační harmonizace v EU

MiCA vytváří jednotná pravidla, ale v praxi si každá země zachovává specifika dohledu a očekávání ohledně lokální přítomnosti. Hospodářská substance a místní přítomnost CASP nejsou formalitou: reální rezidentní ředitelé, kancelář, stálý MLRO a řídící funkce v rámci země posilují pozici při podání žádosti. V COREDO předem navrhujeme organizační strukturu CASP pro licencování a připravujeme pasportní strategii, aby bylo možné následně využívat přeshraniční služby CASP bez duplicitních licencí.

Estonsko, Malta, Litva nabízejí odlišné bariéry vstupu. V Estonsku minimální základní kapitál VASP závisí na poskytovaných službách a obvykle se pohybuje od 100 tis. do 250 tis. eur; požadavky na personál a kontrolu byly od roku 2022 zpřísněny. Na Maltě klasifikace VFA zvyšuje laťku z hlediska kapitálu a governance: u pokročilejších tříd jde o stovky tisíc eur a posílenou vnitřní kontrolu. Litva aktivně přijímá krypto‑byznys: registrace VASP je možná, ale banky a platební poskytovatelé očekávají potvrzenou substanci a vyzrálý AML‑rámec.

Hloubka a modely dohledu ve čtyřech zemích

FCA vede přísnou registraci kryptospolečností: neexistuje formální minimum kapitálu, ale vlastní prostředky CASP musí pokrývat rizika a fixní náklady a personál musí prokázat kompetence a nezávislost compliance funkcí. FINMA a švýcarští kantonální regulátoři praktikují vysokou úroveň prověrek custody řešení a odpovědnosti ředitelů. V Singapuru pod dohledem MAS podle PSA pro poskytovatele DPT závisí minimální kapitál a security deposit na objemu operací; očekávají se zralé procesy v oblasti kyberbezpečnosti a správy klíčů. V Dubaji VARA klade jasné požadavky na produktovou dokumentaci, outsourcing kritických funkcí a SLA s poskytovateli.

SNS: most k EU a Asii

Kapitál pro CASP: termíny a výpočty

Pro správné řízení kapitálu v rámci CASP je důležité nejprve si vybudovat jasné porozumění klíčovým termínům, než přejdete k praktickým výpočtům. V první části si vysvětlíme základní terminologii a regulatorní logiku, abychom položili základy pro další metody hodnocení kapitálu a konkrétní výpočty.

Terminologie a regulatorní logika

Kapitál versus likvidita: regulátor pro CASP vyžaduje obojí. Kapitál je polštář proti ztrátám, likvidita je schopnost plnit závazky a odolat odlivům. Řada jurisdikcí aplikuje prvky ICAAP: interního hodnocení kapitálu, včetně stresových testů, a rizikově vážená aktiva (RWA) se přizpůsobují povaze krypto-expozic a provozních rizik.

Rizika, stresové testy a kapitalizace

Jak vypočítat kapitálovou potřebu pro kryptoburzu? Vezmeme minimální statutární kapitál CASP, přidáme rezervu k FOE (fixed overheads) na 12–18 měsíců, zohledníme požadavky na rezervní kapitál CASP pro custody a krytí kyberrizik. Strategie kapitalizace při škálování CASP zahrnují dodatečné emise, podřízený dluh (subordinated debt) jako zdroj regulatorního kapitálu v rámci limitů, a pojištění kyberrizik, které nepřímo snižuje čisté ztráty ve stresových scénářích.

Financování a korporátní kroky

Personál: způsobilost a bezúhonnost a organizační uspořádání

Efektivita společnosti do značné míry závisí na personálu, na dodržování principů fit and proper a na promyšleném organizačním designu. V následujících bodech podrobně rozebereme požadavky na personál a role vedoucích, abychom pochopili, jak budovat kompetence, odpovědnost a manažerská interakce uvnitř organizace.

Požadavky a role vedoucích

Role MLRO, CCO, CTO, CFO, CIO v CASP rozdělují odpovědnost: MLRO: řízení AML a SAR; CCO – obecné compliance rámce a reporting; CTO/CIO – bezpečnost, klíče, infrastruktura; CFO: kapitál, likvidita, výkazy. Odpovědnost ředitelů a personálu CASP je osobní: regulátor posuzuje jejich rozhodnutí, řízení střetu zájmů v managementu CASP a nezávislost kontrol.

Efektivita náboru a prověrek

Postupy náboru a prověrek personálu pro CASP zahrnují background checks, ověření životopisu, trestní bezúhonnosti a sankční čistoty ředitele, verifikaci vzdělání a skutečných úspěchů. Příprava CV a důkazů zkušeností pro žadatele CASP by měla být věcná: projekty, KPI, dosažené implementace, certifikace. Složení oddělení compliance a AML v CASP budujeme z MLRO, KYC/KYB analytiků, důstojníka pro sankce, důstojníka pro reporting a nezávislého interního auditora.

Provozní stálé náklady na personál CASP je třeba plánovat na 12–18 měsíců dopředu. Ukazatele efektivity compliance funkce (KRI, KPI) zahrnují SLA pro KYC, dobu zpracování alertů, podíl eskalací, kvalitu SAR, a také ukazatele ROI z investic do compliance personálu. Hodnocení ekonomické efektivity náboru vs outsourcingu ukazuje: některé funkce je výhodné mít interně, jiné předat externímu poskytovateli. Compliance funkce: interní vs centralizovaná pro skupinu CASP: často hybridní model s koordinací na úrovni holdingu.

Nástupnictví, motivace a udržení

Technologie, bezpečnost a odolnost

Spolehlivé technologie, nedílný základ pro zajištění bezpečnosti a provozní odolnosti služeb. Dále podrobně probereme praktiky úschovy, segregace a správy klíčů, které jsou kriticky důležité pro ochranu aktiv a udržení provozu při incidentech.

Úschova a správa klíčů

Pojištění aktiv a krytí ztrát klientů snižují provozní rizika; pojištění kyberrizik a kapitálové požadavky jsou provázány: dostupnost adekvátního krytí může ovlivnit hodnocení residual risk v ICAAP. Smlouvy s poskytovateli likvidity a pákového financování musí omezovat protistranná rizika, a outsourcing burzovních engineů a SLA pro kritické funkce vyžadují transparentní RTO/RPO.

Dodržování předpisů a ochrana soukromí

Technologické požadavky: SOC2, ISO27001, pravidelné pentesty, řízení zranitelností a kontrola přístupu. Politiky kontinuity podnikání a zálohování podporují provozní odolnost, a hlášení incidentů a spolupráce s regulátorem snižují regulatorní rizika při výpadcích. Praktiky prevence úniků osobních údajů (GDPR/PDPA) a integrace HR a compliance pro kontrolu přístupu k aktivům uzavírají podstatné bezpečnostní mezery.

Nezávislost kontroly kvality

interní audit a kontrola kvality personálu CASP hodnotí efektivitu první a druhé linie obrany. Kritické funkce lze outsourcovat, ale odpovědnost zůstává na ředitelích; stanovujeme kontrolní KPI dodavatele a nezávislé monitorování. Spolupráce s externími auditory a přezkum kapitalizace pomáhá prokázat zralost řízení rizik.

Žádost o licenci: dokumenty a proces

Správně sestavené dokumenty a nastavený proces podání jsou klíčem k úspěšné žádosti, a kontrolní body pomohou sledovat připravenost v každé fázi. Začneme organizačními otázkami, poté rozebreme požadavky na substanci a zakončíme praktickou částí – podnikatelským plánem, který potvrzuje ekonomické odůvodnění projektu.

Podstata organizace a podnikatelského plánu

Produktová dokumentace podrobně popisuje custody-řetězce, postupy směny, brokeridž, limity pro operace klientů a maržová rizika. Segregace zákaznických prostředků je zakotvena ve smlouvách a provozních instrukcích s ohledem na regulatorní pokyny týkající se custodian vs exchange liabilities. Organizační struktura CASP pro licencování ukazuje nezávislost compliance a rizikových funkcí.

Struktura transakce: lhůty a náklady

Lhůty a náklady na získání licence CASP závisí na jurisdikci a připravenosti materiálů. V EU při kvalitním balíčku trvá posouzení od 3 do 9 měsíců, v Singapuru a Dubaji: déle u složitých modelů. Předem odhadujeme trvalé provozní náklady na personál CASP a zdroje financování pro licenci CASP, abychom se vyhnuli hotovostním propadům na konci.

Výkaznictví a kontrola v provozní fázi

V provozní fázi se klíčovými stávají spolehlivé výkaznictví a průběžná vnitřní kontrola k minimalizaci rizik a dodržování standardů. Zvlášť důležité jsou regulatorní výkaznictví a AML — vyžadují jasnou koordinaci postupů, průhlednost dat a rychlou reakci na incidenty.

AML a regulatorní výkaznictví

Postupy vnitřního výkaznictví a regulatorní zprávy zaznamenávají shodu s kapitálem a likviditou, bezpečnostní incidenty a změny v řízení (governance). Požadavky na výkaznictví o kapitálu a likviditě se liší, ale všude je potřeba transparentní evidence vlastních prostředků CASP a FOE. Výkaznictví v oblasti AML a hlášení podezřelé činnosti (Suspicious Activity Reports, SAR) vyžaduje kvalifikaci MLRO a přesnost postupů eskalace.

Řízení likvidity při praní špinavých peněz a prudkých výběrech se opírá o předem schválené limity a stresové plány. Nastavení limitů na klientské operace a maržová rizika snižuje pravděpodobnost náhlých prasknutí a tržních kaskád. Regulatorní pokuty a případy odmítnutí licence obvykle nastávají kvůli podkapitalizaci, slabému AML a nepotvrzeným zdrojům kapitálu; tým COREDO tyto situace řešil dokapitalizací a přepracováním KYC/KYB procesu.

Audit struktury, změny a ukončení

Regulatorní schválení změn kapitálové struktury a korporačních práv: standardní praxe při škálování. Externí auditoři ověřují kapitalizaci, IT kontroly a soulad s GDPR/PDPA. Postupy pro uzavření podnikání a ochrana zájmů klientů zahrnují plán vrácení aktiv, oznámení regulátorům a nezávislý audit segregace.

Případy COREDO: kde se rozhodují detaily

V Litvě tým COREDO realizoval projekt pro burzovní CASP s orientací na MiCA-pas. Klíčem byla strategie: minimální kapitál pro CASP jsme pokryli equity, a vlastní prostředky CASP jsme posílili podřízeným dluhem v rámci limitů. Implementovali jsme přístup ICAAP a stresové testy odtoků, přepočítali FOE na 18 měsíců a dosáhli komfortního hodnocení ze strany dozoru.

V Singapuru řešení vyvinuté v COREDO pomohlo poskytovateli DPT získat status vyhovující požadavkům PSA. Vytvořili jsme architekturu kompatibilní se SOC2, nasadili KMS/HSM a multisig, provedli pentest a zavedli reporting incidentů. MAS pozitivně ocenil kompetence MLRO a nezávislost interního auditu.

V Estonsku naše zkušenost v COREDO ukázala, jak kritické jsou personální požadavky pro kryptospolečnosti. Doplnili jsme tým silným MLRO, oddělili CCO a MLRO, posílili integraci Travel Rule, aktualizovali politiky AML s ohledem na AMLD6 a FATF. Výsledek: úspěšné přezkoumání licence, snížené riziko nařízení a stabilní vztahy s bankami.

V Dubaji tým COREDO vybudoval outsourcing burzovních enginů s přísnými SLA, uzavřel dohody s kustodiány a podmínky úschovy, zajistil pojištění aktiv a kybernetických rizik. To umožnilo snížit kapitálové příplatky vůči provozním rizikům a urychlit schválení VARA. Také jsme zavedli KPI/KRI pro compliance, aby bylo transparentně demonstrováno ROI na úrovni představenstva.

Kontrolní seznamy pro licenci CASP

• Kapitál a likvidita:
  • Vlastní prostředky (own funds): minimum a FOE ≥ 25% ročních výdajů.
  • Dokladování zdrojů kapitálu: bankovní výpisy, SPA, audit.
  • Plán dokapitalizace: další emise, subordinated debt, pojištění kyberrizik.
  • Rezervy likvidity a stresové testy: odtoky prostředků, margin calls, výpadky poskytovatelů.
• Personál a řízení:
  • Posouzení způsobilosti a poctivosti (fit and proper) pro vedení CASP; nezávislý CCO, kvalifikovaný MLRO.
  • Postup ověřování životopisu, trestních záznamů a absence na sankčních seznamech ředitele.
  • Plán nástupnictví vedení; výbory Risk, Audit, RemCo; střet zájmů.
  • Modely odměňování a rizikově orientované bonusy; KPI/KRI compliance.
• Technologie a bezpečnost:
  • Segregace klientských prostředků; studené/teplé peněženky, KMS, HSM, multisig.
  • KYT: Chainalysis/Elliptic/TRM; poskytovatel Travel rule; sankční seznamy.
  • SOC2/ISO27001; pentest; BCP/DR; hlášení incidentů a kontakt s regulátorem.
  • SLA s outsourcingovými partnery; smlouvy s kustody a poskytovateli likvidity.
• Dokumenty a proces:
  • Organizační diagram a popis funkcí; lokální substance.
  • Podnikatelský plán: produkty, modely příjmů, stresová scénária, finanční prognózy.
  • Politiky AML/CTF, sankce, KYC/KYB, hlášení SAR; interní výkaznictví.
  • Plán passportingu v EU; posouzení daňových a licenčních důsledků.

Plánování nákladů a návratnost investic

Hodnocení ekonomické efektivity náboru vs outsourcingu vyžaduje porovnání TCO: mzdy, školení a certifikace zaměstnanců v oblasti AML/CTF, licence softwaru, externí auditoři. Metriky návratnosti investic do compliance a bezpečnosti se měří snížením ztrát z incidentů, odmítnutí bankovních vztahů, pokut a lhůt spojených s licencováním. Techniky optimalizace nákladů na personál a compliance zahrnují centralizované centrum odbornosti pro skupinu, sjednocení politik a sdílené služby.

Plánování počtů zaměstnanců při vstupu na nové trhy předpokládá zvýšení zátěže na MLRO a IT-bezpečnost, stejně jako posílení Travel Rule a reportingu. Hodnocení ekonomické efektivity s ohledem na kapitálové prahové požadavky podle jurisdikcí (EU/Asie/SNS) pomáhá vybrat optimální cestu škálování. porovnání jurisdikcí podle bariéry vstupu a nákladů na personál zaznamenáváme do finančního modelu, abychom podpořili rozhodnutí představenstva.

Trendy a doporučení

Regulační trendy: posílení kapitálových požadavků po incidentech a upřesnění regulačních pokynů ohledně povinností depozitáře vs závazků burzy. Benchmarking kapitálových požadavků mezi EU a Asií ukazuje rostoucí důraz na FOE a operační riziko. Dopad pojištění kryptoměn na kapitálové požadavky se stává zřetelným: regulátoři pozitivně vnímají reálná krytí s minimálními výjimkami.

Řízení likvidity a prudkého nárůstu odlivů se stává klíčovou kompetencí. Řízení střetu zájmů, role představenstva a výborů, opatření ke snížení operačního a reputačního rizika: to vše ovlivňuje hodnocení «fit and proper» organizace. Zdanění a požadavky na vykazování pro CASP vyžadují průběžnou kalibraci při změnách produktové nabídky a geografie.

Poučení z praxe COREDO

V jednom z projektů dozor inicioval zrušení licence kvůli nedostatku kapitálu po tržních výkyvech a nárůstu FOE. Tým COREDO v krátkém čase připravil plán dokapitalizace, zajistil podřízený dluh, aktualizoval ICAAP a stresové scénáře. Regulační orgán přijal úpravy a klient se vyhnul zastavení provozu a posílil likvidní rezervy.

Jiný případ se týkal travel rule: poskytovatel nedodržoval SLA a AML alerty se hromadily. Řešení vyvinuté v COREDO zahrnovalo výměnu poskytovatele, přepracování logiky alertů, KPI pro tým a zvýšení kompetencí MLRO. Za dva měsíce se doba zpracování snížila třikrát a SAR byly přesnější co do struktury i obsahu.

Zvlášť zmíním projekt přechodu z dceřiné společnosti na pobočku v EU. Předem jsme zhodnotili dopady na licence, upravili kapitál a interní reporty a dohodli změny governance. Výsledkem bylo, že klient zachoval passporting a optimalizoval daňovou pozici bez regulačních prodlení.

Jak získat čas a snížit rizika

Čím dříve proměníte regulatorní požadavky v konkrétní plán, tím snazší bude škálovat podnikání a chránit zájmy klientů. Regulátoři v EU, Velké Británii, Švýcarsku, Singapuru a Dubaji očekávají od CASP totéž, co od zavedených finančních subjektů: dostatečný kapitál, odpovědné vedení, transparentnost a stabilitu provozu. Praxe COREDO potvrzuje: právě tyto principy činí krypto byznys dlouhodobým a předvídatelným.