La clasificación de custodia depende del control práctico sobre un activo virtual convertible o un control habilitador de instrumentos, no en la etiqueta adjunta al producto de la cartera.
Examinamos la generación clave, la autoridad firmante, los motores de políticas, la recuperación, la omnibus o la contabilidad segregada, los retiros, la reconciliación, la contratación externa y la respuesta a incidentes para determinar qué controla la entidad georgiana y debe demostrar.
Clasificación reglamentaria
El perímetro del proveedor de servicios de activos virtuales georgianos incluye el mantenimiento y/o la administración de activos virtuales convertibles o un control que les permita controlar. Por lo tanto, una etiqueta “no confidencial” no es concluyente si el operador puede prácticamente autorizar, recuperar, redirigir o controlar los activos del cliente.
- Control de claves y facultades de firma
- Registros Omnibus o segregados
- Controles de retirada y recuperación
- Funciones de custodia subcontratadas
Mapa de cada ruta por la que se puede mover un activo
El análisis de control debe abarcar la semilla y la creación clave, las funciones de MPC o multisignatura, los motores de políticas, el acceso privilegiado, los procedimientos de recuperación, la lista blanca, las acciones de emergencia y las circunstancias en que el personal o los proveedores pueden influir en una transferencia.
Pruebas de custodia requeridas
Un archivo de custodia creíble vincula la arquitectura de la cartera a los libros de clientes, registros de propiedad, matrices de aprobación, límites de retiro, reconciliación, pruebas de copia de seguridad y recuperación, registros de incidentes, contratos de proveedores y responsabilidad de comunicaciones de clientes.
Riesgos de control principales
Los fallos de custodia generalmente surgen de derechos inequívocos de control de activos, la segregación débil entre los bienes del cliente y de la empresa, los registros internos incoherentes, los arreglos de recuperación que no se prueban o los proveedores externos cuyas responsabilidades no se reflejan en los controles del proveedor virtual de servicios de activos.
“No-custodial” debe ser cierto en la arquitectura operativa
Si la empresa o su proveedor pueden restaurar las credenciales, aprobar retiros, anular la política, redirigir transacciones o ejercer de otro modo control práctico, el análisis legal debe abordar esa capacidad en lugar de depender de la terminología del producto.
Capital regulatorio
La seguridad y la administración entran dentro del GEL 250.000 categoría de capital mínimo. Si el mismo proveedor virtual de servicios de activos también administra una plataforma comercial, se aplica el umbral GEL 350.000 más alto. Al menos el 75% del mínimo aplicable debe consistir en capital primario.
Alcance de nuestro compromiso
Nuestra labor de custodia puede abarcar el análisis del perímetro, la cartografía de cartera y control clave, la segregación de activos al cliente, el diseño de contabilidad y reconciliación, la gobernanza de retiro, la diligencia debida del proveedor, los procedimientos de recuperación y incidentes, pruebas de aplicación y pruebas de control. Estructuramos el compromiso alrededor de la arquitectura de custodia realmente propuesta.
Mapa de control
Identificar a cada persona, sistema y proveedor capaz de crear, aprobar, recuperar o redirigir movimientos de activos.
Integridad récord
Reconcile on-chain balances, derechos de los clientes, subprocesadores omnibuses y empresas con pruebas claras de propiedad.
Pruebas de resiliencia
Demostrar recuperación, gobernanza de acceso privilegiado, manejo de incidentes y continuidad de proveedores antes del lanzamiento.
Cadena de control de custodia
Una secuencia práctica utilizada para comprobar si los contratos, sistemas, proveedores y propiedad de control describen el mismo servicio.
Cuestiones que deben resolverse antes de presentar
No, el análisis gira en control real. Si el operador puede autorizar, recuperar, redirigir o ejercitar de otro modo control práctico sobre los activos virtuales del cliente o el control habilitador del instrumento, debe evaluarse el perímetro de custodia.
La evaluación puede incluir claves privadas, frases de semillas, acciones de firma, credenciales de recuperación, permisos de creación de políticas y otros mecanismos que permitan a una persona ejercer un control efectivo. La implementación técnica importa más que la etiqueta de marketing.
La estructura debe identificar la propiedad del cliente, la cartera y la asignación de subprocesadores, los saldos de empresa versus clientes, el historial de transacciones, los honorarios, los ajustes y la reconciliación. Los registros deben permitir que se establezca un derecho específico al cliente de forma rápida y sistemática.
Prueba las aprobaciones normales, los límites, la lista blanca, el acceso privilegiado, la recuperación perdida-credencial, la firma fallida, la suspensión de emergencia, la salida del proveedor, la reconciliación del libro mayor y la escalada de incidentes. Mantenga evidencia de la prueba, resultado, propietario y remediación.
Ninguna conclusión automática se deriva de la contratación externa. El proveedor de servicios de activos virtuales de Georgia todavía necesita comprender y documentar el papel del proveedor, la asignación contractual de responsabilidades, la divulgación de los clientes, los derechos de acceso, la vigilancia, la escalada de incidentes, la continuidad y los controles mantenidos por el proveedor virtual de servicios de activos.
