Ліцензія MFSA Мальта: де заявка ламається на перевірці
Заявка на ліцензію MFSA Мальта ламається не на формі, а на невідповідності бізнес-моделі класу регулювання.
Компанія описує обмін і кастодіальне зберігання, а ліцензію запитує за вузьким класом — регулятор зіставляє заявлені операції з фактичним потоком активів і бачить розходження.
Вимоги регулятора до заявки перевіряють не декларації, а те, як операції виконуються.
Другий злам — джерело коштів клієнтів і походження капіталу: формулювання «кошти надходять від клієнтів» не проходить, потрібні дерево володіння до кінцевих бенефіціарів, підтверджені джерела та сегрегація коштів клієнтів від капіталу компанії. Слабке розкрите джерело коштів — найчастіша причина відмови в ліцензії.
Третя зона — простежуваність операцій і розподіл функцій усередині команди. Потрібен наскрізний облік від надходження активу до виведення, регулярне звіряння гаманців із внутрішніми реєстрами, окремий відповідальний за комплаєнс-функцію і окремий — за протидію відмиванню.
Коли торгівлю, кастоді та контроль веде одна людина, регулятор читає це як відсутність незалежного контролю.
Комплаєнс крипто-компанії під мальтійську юрисдикцію ми збираємо від бізнес-моделі: спочатку фіксуємо клас регулювання та перелік операцій, потім будуємо під них політики, облік і розподіл ролей. Розбираємо, як закрити це до подання заявки.
Що дає регульований статус на Мальті: строки та ризики
Регульований статус на Мальті — це не разовий документ, а режим постійної звітності: поки ліцензія активна, кожна нова послуга та зміна структури володіння проходять через погодження.
Тому пакет збирають від зворотного — спочатку описують фактичні операції, і лише потім готують документи.
Строки розгляду та повторні запити регулятора
Основний час з'їдає не регулятор, а цикл «запит — відповідь». Одне коло уточнень додає до строку розгляду заявки кілька тижнів, а за слабко описаної моделі роботи кіл буває три-чотири.
Ми заздалегідь готуємо відповіді на типові питання MFSA: як формується дохід, хто кінцеві власники, як влаштовані ідентифікація клієнтів і зберігання коштів клієнтів.
Клас відмов, який закривається до подання
- Розходження між заявленою діяльністю та фактичними операціями в системі.
- Розриви в підтвердженні джерела коштів у власників і клієнтів.
- Відсутність моніторингу підозрілих операцій і зберігання історії за ними.
Будь-яка така прогалина — це або повернення заявки на доопрацювання, або, що гірше, ризик зупинення операцій уже після видачі ліцензії.
Навантаження на команду під час перевірки лягає на юристів, інженерів і фінансовий контроль одночасно — ми закриваємо його регламентом і матрицею відповідальності до старту, а не в процесі погодження.
Способи отримати й утримувати регульований статус
Вибір шляху — не про швидкість подання, а про те, який режим витримає подальшу перевірку. Регулятор дивиться на фактичну відповідальність за операції, а не на форму заявки.
| Варіант | Коли підходить | Обмеження |
|---|---|---|
| Власна ліцензія | Є штат ключових посад, процеси вибудувані до подання | Тривалий розгляд; ключові ролі — усередині юрисдикції; звітність і аудит незалежно від обороту |
| VFA-агент | Потрібен вихід на ринок зараз, функція контролю — на супроводі | Відповідальність за агента залишається на вас; рішення погоджуються; зміна агента перебудовує процеси |
| Купівля ліцензованої компанії | Є ресурс на юридичну перевірку та інтеграцію | Успадковані зобов'язання попередніх власників; розходження процесів із заявленими знімає статус |
| Поетапний вхід | Потрібно перевірити попит вузьким набором операцій | Початковий режим обмежує приймання коштів третіх осіб і роботу з частиною інструментів |
Обмеження кожного варіанта
Агентська модель дешевша на старті, але контроль розділений: спірний випадок іде через погодження, і час реакції на інцидент зростає. Купівля компанії скорочує шлях до першої операції, але переносить на вас історію рішень продавця.
Що регулятор перевіряє насамперед
Наявність управлінської структури, а не паперової: хто відповідає за дотримання вимог, як влаштований облік клієнтських активів, як фіксуються та розслідуються підозрілі операції. Окремо — стійкість: підтверджений капітал, роздільне зберігання коштів, план відновлення після збою.
Етапи роботи: від аудиту моделі до передачі регламентів
Робота йде послідовно: кожен етап спирається на артефакти попереднього. Досьє, зібране без аудиту моделі, регулятор повертає — тому порядок кроків фіксований, а не обирається за зручністю.
- Аудит бізнес-моделі. Розбираємо, звідки надходить вартість, хто зберігає кошти клієнтів, які операції йдуть через вашу інфраструктуру. На виході — карта потоків і висновок про те, у якому статусі ви потрапляєте під регулювання.
- Клас ліцензії та перелік послуг. Співвідносимо модель із вимогами регулятора й фіксуємо, які операції ви маєте право надавати, а які доведеться винести за периметр або віддати партнеру.
- Підготовка досьє. Опис бізнесу, структура володіння, походження коштів, відомості про керівництво та ключових співробітників, анкети й підтвердні документи.
- Проєктування процесів контролю. Процедури перевірки клієнтів, моніторингу операцій, розгляду підозрілих активностей, роздільного зберігання коштів клієнтів і роботи з конфліктом інтересів.
- Технічна реалізація. Облік операцій і вивантаження для звітності, ролі та права доступу, журналювання дій, регулярне звіряння активів — так, щоб контроль не тримався на ручних нагадуваннях.
- Передача регламентів. Навчаємо команду, передаємо пакет процедур і шаблонів, залишаємося на зв'язку до рішення регулятора та перших перевірок.
Хто бере участь з боку замовника
Власник продукту підтверджує, що описана модель збігається з фактичною. Технічний керівник відповідає за реалізацію контролю в системі, керівник напряму — за строки та комунікацію. Формулювання й листування з MFSA беремо на себе.
Скільки триває кожен етап
Аудит моделі — від кількох днів до пари тижнів. Досьє та проєктування процесів займають основну частину строку: він залежить від кількості послуг і структури володіння. Реалізацію контролю ведемо паралельно погодженню, а точні межі називаємо після аудиту — не раніше.
Що залишається у вас після впровадження комплаєнсу
Комплаєнс — це не папка з підсумковим звітом, а набір робочих документів, за якими команда діє щодня. Нижче — що саме залишається у вас на руках після впровадження.
Політики та регламенти
- політика протидії відмиванню коштів, приведена до вимог мальтійського регулятора, з описом сфери застосування;
- процедури перевірки клієнтів: рівні ризику, перелік даних, які запитуються, порядок дій у разі розходжень;
- регламент моніторингу операцій: пороги спрацювання, правила ескалації, строки реакції на сигнал;
- правила обробки та зберігання персональних даних із розмежуванням доступу за ролями.
Схеми потоків і матриця відповідальності
- схеми руху коштів від вхідного платежу до виведення: точки контролю та відповідальний на кожній ділянці;
- матриця відповідальності: за кожною процедурою видно, хто погоджує, хто виконує, хто підписує звітність;
- журнали та звітність: шаблони журналів операцій, реєстрів перевірок і періодичних звітів регулятору з прикладами заповнення;
- карта документації комплаєнсу: повний перелік, строки актуалізації та власник кожного документа.
Комплект залишається у вас і працює без нашої участі: новий співробітник вводиться в процедури за документом, а не за переказом. На запит регулятора відповідь збирається з готових журналів, а не відновлюється з листування.
Кейс: від відмови регулятора до робочого статусу
Три відмови поспіль — типовий вхід для проєктів, де токеноміку та корпоративну структуру проєктували окремо від вимог регулятора.
До нас прийшли після третього повернення досьє, коли вже зсунулися погоджені з інвесторами строки: регулятор бачив розрив між заявленими правами держателів токена та фактичною схемою їх отримання. Це кейс ліцензування, де ціна помилки — не окремі зауваження, а весь запуск продукту.
Що було до
Заявка збиралася фрагментами: структура володіння рознесена по двох юрисдикціях, серед директорів немає резидента, внутрішні правила протидії відмиванню існують типовим документом без прив'язки до реальних операцій.
Моніторинг підозрілих транзакцій не мав відповідального, а звітність розходилася з тим, що декларувалося в досьє. Підсумок — 38 зауважень у трьох листах, і жодне подання не дійшло до інтерв'ю з керівництвом.
Що змінилося після
Права держателів розвели за класами: розподіл доходу та голосування описали роздільними документами, додали розкриття за великими держателями та джерелами їхніх коштів.
Досьє перезібрали цілком — від схеми власності до процедур ідентифікації клієнтів, призначили комплаєнс-офіцера й директора-резидента, запровадили регулярний внутрішній аудит операцій.
Після повторного подання досьє частка зауважень, закритих у першому раунді, зросла з нуля до близько 90%, а сам розгляд тривав удвічі менше часу, ніж найкоротша з відхилених заявок.
Статус підтверджено в публічному реєстрі MFSA: запис відкритий для перевірки контрагентами та банками.
Що робити, якщо бізнес уже працює в іншій юрисдикції
Питання не в тому, де отримати ліцензію, а що робити з уже працюючим контуром: договорами з клієнтами, рахунками, звітністю перед поточним регулятором і історією операцій. Ліцензія MFSA сама цю історію не переносить — її потрібно перепакувати під новий нагляд.
Вибір зводиться до трьох схем: зміна юрисдикції, подвійна структура та визнання статусу в ЄС через паспортизацію чинного дозволу. Схему підбирають за картою функцій, а не за швидкістю подання документів.
| Варіант | Коли підходить | Обмеження |
|---|---|---|
| Перенесення структури | Один операційний центр, готові змінити регулятора | Згода поточного регулятора, переоформлення договорів і платежів, повторний аудит |
| Подвійна структура: холдинг і мальтійська компанія | Чинні дозволи та потоки клієнтів потрібно зберегти | Розподіл функцій, обґрунтування трансфертних цін, подвійна звітність |
| Визнання статусу в ЄС: паспортизація | Уже є ліцензія в країні ЄЕЗ, продукт збігається | Працює лише в межах директиви, нові види діяльності не покриває |
Ключове — розподіл функцій між компаніями.
Приймання коштів, кастодіальне зберігання, торгові операції, маркетинг і ІТ закріплюються за конкретною юрособою зі своїм штатом і повноваженнями: регулятор перевіряє, що мальтійська компанія веде діяльність, а не перепродає доступ до ліцензії.
Порядок робіт: аудит поточного контуру, карта функцій і потоків, вибір схеми, погодження з чинним регулятором, перенесення та повторний комплаєнс-аудит. Окремо проєктуємо відкат — якщо перенесення не погоджено в строк, робочий контур залишається в строю.
Часті технічні сумніви перед поданням заявки
Сумніви перед поданням заявки в MFSA майже завжди технічні, а не юридичні: як доводиться присутність на острові, хто відповідає за звітність, що допустимо робити до присвоєння статусу. Нижче — п'ять питань, які найчастіше випливають на етапі підготовки досьє, з короткими відповідями.
Чи потрібен реальний офіс і чи обов'язковий місцевий директор?
Формально потрібна адреса та присутність у юрисдикції, а не «поштова скринька». Практика перевірки: договір оренди, робочі місця, локальний директор-резидент із реальними повноваженнями та підписом.
Схема з номінальним директором без доступу до операцій і банківських рахунків розвалюється на етапі перевірки.
Які вимоги до керівництва та ключових співробітників?
Збирається досьє на кожного: підтвердження кваліфікації та досвіду, довідки про відсутність судимості, розкриття часток, пов'язаних компаній і конфліктів інтересів.
Регулятор оцінює ділову репутацію та здатність керувати саме цим класом діяльності, тому досвід у суміжній сфері потрібно описувати предметно.
Як проходить перевірка звітності?
Затверджується склад регулярної звітності, порядок аудиту та зберігання даних. Ключове — збіжність: цифри у звіті звіряються з транзакційною історією, журналами операцій і внутрішніми регламентами. Розходження між заявленою моделлю та фактичними записами — найчастіша причина питань.
Що можна робити до отримання статусу?
Підготовчі роботи — так: розробка, інфраструктура, регламенти, найм. Залучати клієнтів і проводити операції за регульованим напрямом — ні. План запуску будується так, щоб технічна готовність наставала раніше за статус, але публічна активність вмикалася лише після нього.
Чи перевіряються системи та розмежування доступів?
Так. Дивляться на зберігання ключів, журналювання дій, ролі та права співробітників, відновлення після збою.
Якщо доступи видаються «на всіх» і немає незмінюваних журналів, це закривається до подання — переробити інфраструктуру після зауважень довше, ніж спроєктувати її одразу під вимоги.
Обговоримо структуру та план подання заявки
Щоб обговорення ліцензії MFSA на Мальті було предметним, а не оглядовим, для першої розмови достатньо чернеток і фактичних вхідних — ідеальних документів на цьому етапі не потрібно.
Ми розберемо бізнес-модель, визначимо застосовний клас реєстрації та повернемося з оцінкою строків і планом подання заявки, де кожен етап прив'язаний до відповідального й результату.
Що варто підготувати до розмови:
- Опис продукту: що саме робить платформа — обмін, кастодіальне зберігання, випуск токенів, залучення капіталу. Від цього залежить і клас ліцензії, і обсяг вимог регулятора.
- Структура володіння: де зареєстровано поточну юрособу, хто власники й директори, чи планується мальтійська компанія та холдинг над нею, чи є пов'язані структури в інших юрисдикціях.
- Дані про керівництво для перевірки ділової репутації: досвід у фінансовому секторі, участь в інших компаніях, підтвердні документи на ключових осіб.
- Рух коштів клієнтів: де зберігаються активи, як розділені кошти компанії та клієнтів, хто відповідає за приватні ключі та як влаштоване холодне зберігання.
- Поточні процедури внутрішнього контролю та KYC: навіть чернетки політик, порядок моніторингу операцій, хто призначений відповідальним за комплаєнс.
- Календарні орієнтири: бажана дата запуску та вже зроблені кроки — переговори з мальтійським представником, аудит коду, заявки в інших країнах.
За цим переліком вихідних даних ми зберемо реалістичний графік: підготовка пакета, взаємодія з регулятором, відповіді на його запити, технічне доопрацювання платформи під вимоги. Опишіть задачу — повернемося з оцінкою строків за етапами та планом подання заявки.
