Vad är en VASP (leverantör av tjänster för virtuella tillgångar)?

VASP står för Virtual Asset Service Provider. Det är den beteckning tillsynsmyndigheter använder för en verksamhet som hanterar kryptotillgångar för andra: driver en handelsplats, förvarar kundplånböcker, flyttar token mellan adresser eller placerar ett nytt mynt för dess utfärdare.

Förkortningen är kort men betydelsefull: när ett företag omfattas av definitionen träder ett helt lager av skyldigheter mot penningtvätt i kraft. Den här sidan förklarar var termen kommer ifrån, vilka aktiviteter den omfattar, vilka den lämnar utanför och hur den förhåller sig till den europeiska beteckningen CASP.

VASP i klartext

Två avgränsningar i den meningen gör det mesta av arbetet. Yrkesmässigt utesluter enstaka privata affärer. Någon annans utesluter den som endast hanterar sina egna innehav.

En tredje avgränsning är lätt att missa: kategorin omfattar bara sådant som inte redan omfattas av andra regler. Ett företag som redan regleras som bank, betalningsinstitut eller värdepappersföretag blir inte dessutom en VASP — det behåller sin status och tillsynsmyndighet. Beteckningen finns för verksamheter som annars helt skulle undgå finansiell reglering.

Varifrån kommer termen VASP? FATF-standarden

Termen VASP myntades av Financial Action Task Force, eller FATF — det mellanstatliga organ som utformar globala standarder mot penningtvätt och finansiering av terrorism. Dess rekommendationer följs, direkt eller genom regionala partner, av omkring tvåhundra länder.

När digitala tillgångar började flytta betydande värden över gränserna utanför banksystemet utvidgade FATF sin rekommendation 15 till att omfatta dem. Därmed skapades en ny kategori av rapporteringsskyldiga — leverantörer av tjänster för virtuella tillgångar — vid sidan av banker och betalningsinstitut.

FATF är ingen lagstiftare och utfärdar inga tillstånd. Organisationen publicerar standarder och granskar sedan hur troget varje land inför dem i lag; att hamna efter riskerar en listning som snabbt blir ett bankproblem. Därför förekommer samma formulering nu över hela världen.

De fem aktiviteter som gör en verksamhet till en VASP

VASP-definitionen bygger på en lista över aktiviteter. Det räcker att utföra en av dem yrkesmässigt och för någon annan.

Listan beskriver funktioner, inte produkter. Att kalla sig teknikföretag hjälper inte ett bolag, och att token ingår i affärsmodellen innebär inte i sig att bolaget omfattas.

Vad räknas som en virtuell tillgång — och vad gör det inte?

Den kompletterande definitionen är avsiktligt bred: en digital värderepresentation som kan handlas eller överföras digitalt och användas för betalning eller investering. Kryptovalutor, nyttotoken och stablecoins omfattas alla.

Tre saker hålls utanför. Digitala representationer av vanliga pengar, såsom ett bank- eller e-pengasaldo, regleras redan som pengar. Instrument som kvalificerar som värdepapper har egna regler. Och lojalitetspoäng eller föremål i spel som inte kan lämna ett slutet system är undantagna.

Digitala samlarföremål är gränsfallet. Ett unikt föremål som köps som minnessak fungerar som samlarobjekt; utbytbara enheter som ges ut i serie och köps i hopp om stigande pris fungerar som investering. Avgörande är hur ett föremål används, inte vad det kallas.

Vem är VASP och vem är det inte?

De flesta tvister om VASP-status handlar om tre frågor.

Är det en verksamhet, och sker det för någon annan?

Den som köper, innehar och senare säljer token för egna pengar betjänar ingen annan. Detsamma gäller en möbelbutik som tar emot krypto i kassan: där är token betalning för något annat. Det måste finnas en kund på andra sidan och tillräcklig regelbundenhet för att verksamheten ska räknas som kommersiell.

Stämmer beteckningen med vad som faktiskt sker?

Det här testet överraskar många. Att kalla en plattform decentraliserad, icke-depåbaserad eller bara ett gränssnitt tar inte bort den från tillämpningsområdet om någon faktiskt kontrollerar hur tjänsten drivs, tjänar avgifter på den eller kan stänga av den. Omvänt är ett team på tre personer som verkligen förvarar kundnycklar en VASP, hur liten verksamheten än är.

Vilka roller faller utanför kategorin?

Dessa roller kvalificerar sig normalt inte, även om nationell lag kan vara bredare och omständigheterna i varje upplägg alltid är avgörande:

• Privatpersoner som handlar med eller innehar egna tillgångar.
• Två privatpersoner som överför tillgångar direkt, utan någon leverantör däremellan.
• Företag som tar emot token som betalning för orelaterade varor och tjänster.
• Gruvarbetare och validerare som säkrar ett nätverk utan att hantera kundsaldon.
• Utvecklare av plånboksprogram och tillverkare av enheter som aldrig förvarar nycklar eller medel.
• Leverantörer till sektorn: analysföretag, revisorer, byråer och hostingleverantörer.

Ett företag som har kryptovaluta i sin egen balansräkning befinner sig i samma situation: ägare, inte tjänsteleverantör. Den gränsen skiljer passiva innehav i företagets kassa i ett estniskt privat aktiebolag (OÜ) från en reglerad verksamhet, och de två följer olika regler.

VASP-skyldigheter: AML-krav som följer med statusen

Statusen är inte en utmärkelse utan ett paket av AML-skyldigheter, och de följer ett igenkännbart mönster mellan jurisdiktioner:

• Tillstånd först. Verksamheten måste ha licens eller vara registrerad innan den startar och står sedan under en namngiven tillsynsmyndighet.
• Känn din kund. Kunder identifieras vid etableringen, verkliga huvudmän bakom företagskunder spåras och relationer med högre risk granskas närmare.
• Löpande övervakning. Transaktioner kontrolleras mot kundprofilen och allt misstänkt rapporteras till finansunderrättelseenheten.
• Travel rule. Uppgifter om avsändare och mottagare måste följa med överföringar mellan leverantörer, på samma sätt som vid bankbetalningar.
• Sanktionskontroll. Kunder och motparter kontrolleras löpande mot listor över restriktiva åtgärder.
• Lämplighetsprövning. Personerna bakom bolaget bedöms, liksom ursprunget till deras pengar.

Att bedriva verksamhet utan tillstånd är ingen formalitet: i de flesta länder är det ett brott, och banker brukar stänga konton när det upptäcks långt innan en tillsynsmyndighet hinner ta upp ärendet.

VASP jämfört med CASP: två regelverk för samma idé

Inom Europeiska unionen har terminologin gått vidare. Förordningen om marknader för kryptotillgångar, eller MiCA, skapade ett direkt tillämpligt regelverk kring en omdöpt aktör: leverantör av kryptotillgångstjänster, eller CASP. De två beteckningarna överlappar men är inte utbytbara.

En skillnad suddas ofta ut. MiCA reglerar auktorisation och uppförande; AML-skyldigheterna ovan kommer från unionens separata lagstiftning mot penningtvätt och från reglerna om överföring av medel, som för in travel rule i krypto. En europeisk CASP omfattas av två regelverk, och dess regelefterlevnadsfunktion täcker båda.

Estland illustrerar övergången. Leverantörer av tjänster för virtuella valutor registrerades en gång i ett register som fördes av Financial Intelligence Unit (Rahapesu Andmebüroo). Tillsynen övergick till Financial Supervision and Resolution Authority (Finantsinspektsioon), äldre registreringar omvandlades inte automatiskt och deras övergångsperiod har löpt ut. Att erbjuda dessa tjänster i Estland kräver nu auktorisation som leverantör av kryptotillgångstjänster (CASP).

Utanför unionen är VASP fortfarande den etablerade termen: nationella lagar i Asien och Amerika använder den, liksom FATF:s utvärderingar.

Varför frågan når grundare som inte driver någon handelsplats

Grundare möter frågan långt innan de möter en tillsynsmyndighet: bankernas formulär vid kundetablering frågar direkt om sökanden är en VASP, liksom programvaruleverantörer, försäkringsgivare och investerare. Ett fel svar kan kosta ett konto. Det tillförlitliga tillvägagångssättet är att beskriva kryptoverksamheten utifrån funktion, inte namn, jämföra den med de fem aktiviteterna och dokumentera bedömningen.

Ställ en fråga

Vanliga frågor