Hvad er en VASP (udbyder af tjenester for virtuelle aktiver)?

VASP står for Virtual Asset Service Provider. Det er den betegnelse, tilsynsmyndigheder bruger om en virksomhed, der håndterer kryptoaktiver på andres vegne: driver en børs, opbevarer kundewallets, flytter tokens mellem adresser eller formidler en ny coin for udstederen.

Forkortelsen er kort, men har stor betydning: Når en virksomhed falder inden for definitionen, træder en række hvidvaskforpligtelser i kraft. Denne side forklarer, hvor begrebet kommer fra, hvilke aktiviteter det omfatter, hvem det ikke omfatter, og hvordan det forholder sig til den europæiske betegnelse CASP.

Hvad betyder VASP i almindeligt sprog?

To afgrænsninger i den sætning gør det meste af arbejdet. Erhvervsmæssigt udelukker enkeltstående private handler. Andres udelukker enhver, der kun håndterer egne beholdninger.

En tredje afgrænsning er let at overse: Kategorien omfatter kun det, som andre regler ikke allerede omfatter. En virksomhed, der allerede er reguleret som bank, betalingsinstitut eller investeringsselskab, bliver ikke også VASP — den beholder sin eksisterende status og tilsynsmyndighed. Betegnelsen findes for virksomheder, der ellers helt ville falde uden for finansiel regulering.

Hvor kommer VASP-begrebet fra? FATF-standarden

Begrebet VASP blev skabt af Financial Action Task Force, eller FATF — det mellemstatslige organ, der fastsætter globale standarder mod hvidvask og terrorfinansiering. Dets anbefalinger følges, direkte eller gennem regionale partnere, af omkring to hundrede lande.

Da digitale aktiver begyndte at flytte væsentlige værdier på tværs af grænser uden for banksystemet, udvidede FATF sin anbefaling 15 til også at omfatte dem. Dermed skabte den en ny kategori af forpligtede enheder — udbyderen af tjenester for virtuelle aktiver — ved siden af banker og betalingsinstitutter.

FATF er ikke en lovgiver og udsteder ingen tilladelser. Organisationen offentliggør standarder og vurderer derefter, hvor trofast hvert land indarbejder dem i lovgivningen; efterslæb risikerer en listeføring, som hurtigt bliver et bankproblem. Derfor findes den samme ordlyd nu verden over.

De fem aktiviteter, der gør en virksomhed til en VASP

VASP-definitionen bygger på en liste over aktiviteter. Det er nok at udføre én af dem erhvervsmæssigt og for en anden person.

Listen beskriver funktioner, ikke produkter. At kalde sig en teknologivirksomhed hjælper ikke en virksomhed, og blot det at have tokens i forretningsmodellen medfører ikke i sig selv, at man omfattes.

Hvad tæller som et virtuelt aktiv, og hvad gør ikke?

Den ledsagende definition er bevidst bred: En digital værdirepræsentation, der kan handles eller overføres digitalt og bruges til betaling eller investering. Kryptovalutaer, utility tokens og stablecoins er alle omfattet.

Tre ting falder udenfor. Digitale repræsentationer af almindelige penge, såsom en bank- eller e-penge-saldo, er allerede reguleret som penge. Instrumenter, der kvalificerer som værdipapirer, har deres egne regler. Og loyalitetspoint eller genstande i spil, som ikke kan forlade et lukket system, er undtaget.

Digitale samlerobjekter er det vanskelige tilfælde. En unik genstand, der købes som minde, opfører sig som memorabilia; omsættelige enheder udstedt i serier og købt i håb om prisstigning opfører sig som en investering. Det afgørende er, hvordan en genstand bruges, ikke hvad den kaldes.

Hvem er en VASP, og hvem er ikke?

De fleste tvister om VASP-status kan føres tilbage til tre spørgsmål.

Er det erhvervsmæssigt, og sker det for en anden?

En person, der køber, opbevarer og senere sælger tokens for egne penge, yder ingen tjeneste for andre. Det gør en møbelbutik, der tager imod krypto ved kassen, heller ikke: Her er tokens betaling for noget andet. Der skal være en kunde på den anden side og tilstrækkelig regelmæssighed til, at det er kommercielt.

Matcher betegnelsen det, der faktisk sker?

Det er den test, der ofte fanger folk. At kalde en platform decentraliseret, non-custodial eller blot en grænseflade fjerner den ikke fra anvendelsesområdet, hvis nogen reelt kontrollerer, hvordan tjenesten drives, tjener gebyrer på den eller kan slukke den. Omvendt er et team på tre, som faktisk opbevarer kunders nøgler, en VASP, uanset hvor lille driften er.

Hvilke roller falder uden for kategorien?

Disse roller kvalificerer normalt ikke, selv om national lovgivning kan være bredere, og forholdene i en konkret struktur altid er afgørende:

• Privatpersoner, der handler eller opbevarer egne aktiver.
• To personer, der overfører aktiver direkte mellem sig uden en udbyder som mellemled.
• Virksomheder, der accepterer tokens som betaling for varer og tjenester, som ikke er relateret hertil.
• Minere og validatorer, der sikrer et netværk uden at håndtere kundesaldi.
• Udviklere af wallet-software og producenter af enheder, som aldrig opbevarer nøgler eller midler.
• Leverandører til sektoren: analysevirksomheder, revisorer, bureauer og hostingvirksomheder.

En virksomhed, der opbevarer kryptovaluta på sin egen balance, står i samme situation: som ejer, ikke som tjenesteudbyder. Denne grænse adskiller passive beholdninger i virksomhedens treasury i et estisk anpartsselskab (OÜ) fra en reguleret virksomhed, og de to følger forskellige regler.

VASP-forpligtelser: AML-pligterne, der følger med status

Status er ikke et mærke, men et sæt AML-pligter, og de følger et genkendeligt mønster på tværs af jurisdiktioner:

• Tilladelse først. Virksomheden skal have licens eller være registreret, før den starter, og den skal derefter stå til ansvar over for en navngiven tilsynsmyndighed.
• Kend din kunde. Kunder identificeres ved onboarding, reelle ejere bag erhvervskunder spores, og relationer med højere risiko underkastes tættere kontrol.
• Løbende overvågning. Transaktioner kontrolleres op mod kundeprofilen, og alt mistænkeligt indberettes til den finansielle efterretningsenhed.
• Travel rule. Oplysninger om afsender og modtager skal følge overførsler mellem udbydere, ligesom ved bankbetalinger.
• Sanktionsscreening. Kunder og modparter kontrolleres løbende mod lister over restriktive foranstaltninger.
• Fit-and-proper-kontrol. Personerne bag virksomheden vurderes, ligesom oprindelsen af deres penge.

Drift uden tilladelse er ikke en bagatel: I de fleste lande er det en lovovertrædelse, og banker lukker typisk konti, når det opdages, længe før en tilsynsmyndighed når frem til sagen.

VASP vs. CASP: to regelsæt for samme idé

I EU har terminologien ændret sig. Forordningen om markeder for kryptoaktiver, eller MiCA, har skabt et direkte anvendeligt regelsæt omkring en omdøbt aktør: udbyderen af kryptoaktivtjenester, eller CASP. De to betegnelser overlapper, men kan ikke bruges i flæng.

En skelnen bliver ofte udvisket. MiCA regulerer tilladelse og adfærd; AML-pligterne ovenfor kommer fra Unionens særskilte hvidvasklovgivning og fra reglerne om overførsel af midler, der overfører travel rule til krypto. En europæisk CASP er underlagt to regelsæt, og dens compliancefunktion omfatter begge.

Estland illustrerer overdragelsen. Udbydere af virtuelle valutaydelser blev tidligere registreret i et register, som blev ført af Financial Intelligence Unit (Rahapesu Andmebüroo). Tilsynet overgik til Financial Supervision and Resolution Authority (Finantsinspektsioon), eksisterende registreringer blev ikke automatisk konverteret, og deres overgangsperiode er udløbet. At tilbyde disse tjenester i Estland kræver nu tilladelse som udbyder af kryptoaktivtjenester (CASP).

Uden for Unionen er VASP fortsat den gængse betegnelse: Nationale love i Asien og Amerika bruger den, ligesom FATF-evalueringer gør.

Hvorfor spørgsmålet også angår stiftere uden en børs

Stiftere møder dette spørgsmål længe før, de møder en tilsynsmyndighed: Bankernes onboardingformularer spørger direkte, om ansøgeren er en VASP, og det gør softwareleverandører, forsikringsselskaber og investorer også. Et forkert svar kan koste en konto. Den pålidelige tilgang er at beskrive kryptovirksomheden efter funktion, ikke navn, sammenholde den med de fem aktiviteter og gemme begrundelsen i sagen.

Stil et spørgsmål

Ofte stillede spørgsmål