Wat is een VASP (Virtual Asset Service Provider)?

VASP staat voor Virtual Asset Service Provider. Toezichthouders gebruiken deze benaming voor een onderneming die cryptoactiva namens anderen behandelt: een beurs exploiteert, klantwallets bewaart, tokens tussen adressen verplaatst of een nieuwe munt voor de uitgever plaatst.

De afkorting is kort, maar heeft gewicht: zodra een onderneming onder de definitie valt, wordt een hele laag antiwitwasverplichtingen van kracht. Deze pagina legt uit waar de term vandaan komt, welke activiteiten eronder vallen, wie erbuiten blijft en hoe deze zich verhoudt tot de Europese benaming CASP.

Betekenis van VASP in gewone taal

Twee beperkingen in die zin doen het meeste werk. Beroepsmatig sluit eenmalige privétransacties uit. Iemand anders sluit iedereen uit die uitsluitend eigen bezittingen beheert.

Een derde beperking wordt gemakkelijk gemist: de categorie omvat alleen wat andere regels niet al omvatten. Een onderneming die al als bank, betalingsinstelling of beleggingsonderneming gereguleerd is, wordt daarbovenop geen VASP — zij behoudt haar bestaande status en toezichthouder. De benaming is bedoeld voor ondernemingen die anders geheel aan financiële regulering zouden ontsnappen.

Waar de term VASP vandaan komt: de FATF-norm

De term VASP is bedacht door de Financial Action Task Force, of FATF — de intergouvernementele organisatie die mondiale normen tegen witwassen en terrorismefinanciering opstelt. Haar aanbevelingen worden, rechtstreeks of via regionale partners, door zo’n tweehonderd landen gevolgd.

Toen digitale activa aanzienlijke waarde over grenzen begonnen te verplaatsen buiten het banksysteem, breidde de FATF haar Aanbeveling 15 uit om ze te omvatten. Daarmee ontstond naast banken en betalingsinstellingen een nieuwe categorie meldingsplichtige instelling: de virtual asset service provider.

De FATF is geen wetgever en verleent geen vergunningen. Zij publiceert normen en beoordeelt vervolgens hoe getrouw elk land die in wetgeving omzet; achterstand kan leiden tot een vermelding die al snel een bankenprobleem wordt. Daarom komt dezelfde formulering nu wereldwijd voor.

De vijf activiteiten die een onderneming tot VASP maken

De VASP-definitie is opgebouwd rond een lijst van activiteiten. Het beroepsmatig verrichten van één daarvan voor een andere persoon is voldoende.

De lijst beschrijft functies, geen producten. Zichzelf een technologiebedrijf noemen helpt een onderneming niet, en louter tokens in het bedrijfsmodel hebben brengt haar niet automatisch binnen het toepassingsgebied.

Wat geldt als virtueel activum, en wat niet

De bijbehorende definitie is bewust ruim: een digitale weergave van waarde die digitaal kan worden verhandeld of overgedragen en voor betaling of investering kan worden gebruikt. Cryptovaluta, utility tokens en stablecoins vallen er allemaal onder.

Drie zaken blijven erbuiten. Digitale weergaven van gewoon geld, zoals een banksaldo of e-geldsaldo, zijn al als geld gereguleerd. Instrumenten die als effecten kwalificeren, hebben eigen regels. En loyaliteitspunten of items in een spel die een gesloten systeem niet kunnen verlaten, zijn uitgesloten.

Digitale verzamelobjecten vormen het lastige geval. Een uniek voorwerp dat als aandenken wordt gekocht, gedraagt zich als een verzamelstuk; onderling verwisselbare eenheden die in serie worden uitgegeven en worden gekocht in de hoop op prijsstijging, gedragen zich als een belegging. Doorslaggevend is hoe een voorwerp wordt gebruikt, niet hoe het heet.

Wie is wel en wie is geen VASP?

De meeste geschillen over de VASP-status draaien om drie vragen.

Is het een onderneming en gebeurt het voor iemand anders?

Iemand die tokens met eigen geld koopt, aanhoudt en later verkoopt, verleent niemand een dienst. Dat geldt ook voor een meubelzaak die crypto aan de kassa accepteert: daar zijn de tokens betaling voor iets anders. Er moet een klant aan de andere kant zijn en voldoende regelmaat om als commercieel te gelden.

Komt het label overeen met wat er werkelijk gebeurt?

Deze toets verrast mensen vaak. Een platform gedecentraliseerd, non-custodial of slechts een interface noemen, haalt het niet buiten het toepassingsgebied als iemand feitelijk controleert hoe de dienst draait, er vergoedingen aan verdient of die kan uitschakelen. Omgekeerd is een team van drie dat werkelijk de sleutels van klanten bewaart een VASP, hoe klein de operatie ook is.

Welke rollen vallen buiten de categorie?

Deze rollen kwalificeren normaal gesproken niet, al kan nationaal recht ruimer zijn en zijn de feiten van een bepaalde opzet altijd doorslaggevend:

• Particulieren die eigen activa verhandelen of aanhouden.
• Twee personen die activa rechtstreeks overdragen, zonder tussenkomst van een dienstverlener.
• Ondernemingen die tokens accepteren als betaling voor niet-gerelateerde goederen en diensten.
• Miners en validators die een netwerk beveiligen zonder klanttegoeden te behandelen.
• Ontwikkelaars van walletsoftware en makers van apparaten die nooit sleutels of geld beheren.
• Leveranciers aan de sector: analysebedrijven, auditors, bureaus en hostingbedrijven.

Een onderneming die cryptocurrency op haar eigen balans aanhoudt, bevindt zich in dezelfde positie: eigenaar, geen dienstverlener. Die grens scheidt passieve corporate treasury-holdings in een Estse besloten vennootschap (OÜ) van een gereguleerde onderneming, en voor beide gelden verschillende regels.

VASP-verplichtingen: de AML-plichten die bij de status horen

De status is geen onderscheiding, maar een pakket AML-plichten. Die volgen in verschillende rechtsgebieden een herkenbaar patroon:

• Eerst toestemming. De onderneming moet vóór aanvang een vergunning hebben of geregistreerd zijn en valt vervolgens onder een aangewezen toezichthouder.
• Ken uw klant. Klanten worden bij onboarding geïdentificeerd, de uiteindelijk belanghebbenden achter zakelijke klanten worden achterhaald en relaties met een hoger risico krijgen nader onderzoek.
• Doorlopende monitoring. Transacties worden getoetst aan het klantprofiel en alles wat verdacht is, wordt gemeld aan de financiële-inlichtingeneenheid.
• De travel rule. Gegevens over verzender en ontvanger moeten overdrachten tussen dienstverleners vergezellen, net als bij bankbetalingen.
• Sanctiescreening. Klanten en tegenpartijen worden voortdurend gecontroleerd aan de hand van lijsten met beperkende maatregelen.
• Toetsing op geschiktheid en betrouwbaarheid. De personen achter de onderneming worden beoordeeld, evenals de herkomst van hun geld.

Zonder toestemming opereren is geen formaliteit: in de meeste landen is het strafbaar en banken sluiten rekeningen doorgaans al bij ontdekking, lang voordat een toezichthouder het dossier bereikt.

VASP versus CASP: twee regelboeken voor één idee

Binnen de Europese Unie is de terminologie veranderd. De Markets in Crypto-Assets Regulation, of MiCA, creëerde een rechtstreeks toepasselijk regime rond een hernoemde exploitant: de crypto-asset service provider, of CASP. De twee termen overlappen, maar zijn niet uitwisselbaar.

Eén onderscheid wordt vaak vertroebeld. MiCA regelt vergunningverlening en gedrag; de hierboven genoemde AML-plichten komen voort uit de afzonderlijke antiwitwaswetgeving van de Unie en de regels inzake geldovermakingen, die de travel rule naar crypto brengen. Een Europese CASP valt onder twee rechtsgebieden en haar compliancefunctie bestrijkt beide.

Estland illustreert de overdracht. Aanbieders van virtuelevalutadiensten werden vroeger opgenomen in een register dat werd bijgehouden door de Financial Intelligence Unit (Rahapesu Andmebüroo). Het toezicht ging over naar de Financial Supervision and Resolution Authority (Finantsinspektsioon), bestaande inschrijvingen werden niet automatisch omgezet en hun overgangsperiode is gesloten. Het aanbieden van deze diensten in Estland vereist nu een vergunning als aanbieder van cryptoactivadiensten (CASP).

Buiten de Unie is VASP nog steeds de gangbare term: nationale wetgeving in Azië en Noord- en Zuid-Amerika gebruikt hem, evenals FATF-evaluaties.

Waarom deze vraag ook oprichters zonder beurs bereikt

Oprichters krijgen deze vraag lang vóór zij een toezichthouder ontmoeten: formulieren voor bankonboarding vragen rechtstreeks of de aanvrager een VASP is, net als softwareleveranciers, verzekeraars en investeerders. Een verkeerd antwoord kan een rekening kosten. De betrouwbare aanpak is een cryptobedrijf naar functie te beschrijven, niet naar naam, dit met de vijf activiteiten te vergelijken en de onderbouwing te bewaren.

Stel een vraag

Veelgestelde vragen