Lacunes fréquentes des dossiers VASP et moyens d’y remédier

Faiblesse 1 — l'activité est décrite par le langage de marque

Les conditions telles que l'échange, le courtier, le portefeuille, le bureau OTC, le marché ou la couche de paiement peuvent cacher qui reçoit les instructions, contrôle l'actif, exécute la transaction et les contrats avec le client. Cette ambiguïté s'étend au cadre de lutte contre le blanchiment d'argent, aux contrats avec les fournisseurs et au plan financier.

Réparation : cartographiez chaque service du premier contact client au règlement final. Identifier les personnes morales, les points de contrôle, les portefeuilles et les comptes, les pieds de fiat et d'actif virtuel, les frais et tous les tiers matériels. Classez les faits seulement une fois la carte terminée.

Faiblesse 2 — la propriété et le financement ne se réconcilient pas

Les problèmes courants sont les extraits d'entreprises inexistants, les pourcentages qui diffèrent entre les graphiques et les registres, les sociétés intermédiaires inexpliquées, les conclusions incertaines de l'UBO, le capital provenant d'une personne non décrite dans le dossier ou les documents sources qui ne se connectent pas au transfert réel.

Réparation : créer un dossier de propriété et de financement daté avec des documents pour chaque couche, une analyse UBO claire, des sources narratives, des preuves bancaires ou des transactions et des contrôles d'uniformité. Résoudre les changements avant la traduction et le dépôt.

Faiblesse du capital — le budget de dépôt ignore le seuil de surveillance

Les frais de demande GEL 5 000 sont traités comme le seul montant réglementaire, ou le capital est prévu sans cartographier les services réels. Cela peut laisser l'entité au-dessous du seuil de 150 000 GEL, 250 000 GEL ou 350 000 GEL et peut confondre les avoirs de réserve, le fonds de roulement et le capital réglementaire admissible.

Réparation : classer chaque service proposé, appliquer le seuil pertinent le plus élevé, documenter la source de capital et la composition, préserver au moins 75 % du capital primaire et vérifier l'adéquation continue par rapport au budget de fonctionnement triennal.

Faiblesse 3 — les administrateurs semblent qualifiés sur papier mais ne peuvent pas faire fonctionner le modèle

Un CV n'est pas un système de gouvernance. Un administrateur peut avoir une expérience commerciale générale, mais il manque de temps, d'accès ou de connaissances pertinentes en matière de garde, d'opérations d'échange, d'escalade de la lutte contre le blanchiment d'argent, de technologie et de surveillance des fournisseurs. Les nominations locales ne portant que sur les noms créent un fossé visible entre la responsabilité juridique et l'autorité réelle.

Réparation : définir d'abord les responsabilités, évaluer les candidats contre eux, attribuer les questions réservées et les permissions du système, planifier la présence et couvrir, former en utilisant le produit réel, et conserver la preuve des décisions et des compétences.

Faiblesse 4 — l'évaluation des risques est générique

La mise à jour des risques du secteur de la Banque nationale de Géorgie en 2024 met en évidence des faiblesses dans les instructions internes de lutte contre le blanchiment d'argent, les mesures préventives, l'attribution et la réévaluation des risques à la clientèle et la détection d'opérations suspectes ou inhabituelles. Une matrice de risque téléchargée qui n'identifie pas les pays candidats, l'exposition en espèces, les actifs, les canaux, les clients, les contreparties et le comportement des transactions ne peut pas conduire à des contrôles significatifs.

Réparation : évaluer les risques inhérents par produit et canal, définir l'efficacité du contrôle, établir des décisions sur les risques résiduels et relier chaque facteur de risque à l'acceptation, à la DDE, aux limites, à la surveillance, à la fréquence d'examen et à l'information de gestion.

Faiblesse 5 — Le risque pour le client ne change pas lorsque le comportement change

Les données initiales d'enregistrement et de vérification des clients peuvent devenir inexistantes. Un client peut ajouter de nouveaux corridors, transagir à travers différents portefeuilles, augmenter la vitesse, interagir avec des contreparties à risque plus élevé ou passer d'un objectif déclaré à faible risque à un comportement inexpliqué.

Réparation : définir les déclencheurs liés aux événements et l'examen périodique. Relier l'activité transactionnelle et l'activité portefeuille à la réévaluation des risques des clients, aux demandes de sources, à l'approbation accrue, aux limites et, au besoin, à la sortie ou à la déclaration.

Faiblesse 6 — L'analyse de la blockchain existe mais n'est pas régie

Un fournisseur KYT peut identifier des indicateurs de risque, mais il ne décide pas de la réponse du fournisseur de services d'actifs virtuels. Les implémentations faibles utilisent des seuils par défaut, ne distinguent pas directement de l'exposition indirecte, ignorent l'incertitude de regroupement et n'ont pas de règles pour les mélangeurs, la technologie d'amélioration de la vie privée, le saut en chaîne, les ponts à chaînes croisées ou les portefeuilles autoportés.

Réparation : documenter les sources et les limites des données; étalonner les scénarios en fonction des produits et des risques pour le client; définir les règles de retenue, de rejet, d'enquête et d'escalade; consigner les décisions humaines; tester les faux positifs et les cas manqués; et signaler la qualité de l'alerte et l'arriéré à la direction.

Faiblesse 7 — Les contrôles à la source s'arrêtent au fiat

Pour l'activité de l'actif virtuel, un relevé bancaire à lui seul peut ne pas expliquer d'où vient le crypto. Le fournisseur de services d'actifs virtuels peut avoir besoin de preuves d'acquisition, de propriété ou de contrôle de portefeuille, d'historique des transactions, de documents d'échange, de fins commerciales et de la source de richesse appuyant l'activité.

Réparation : créer des flux de travail fondés sur la source de fonds et la source d'actifs virtuels. Préciser les éléments de preuve acceptables, la corroboration, l'escalade, la conservation des dossiers et la façon dont l'information de la chaîne de blocs est rapprochée des explications du client.

Faiblesse 8 — Les risques liés à l'encaisse, aux succursales et aux kiosques sont traités comme un facteur de réflexion

La trésorerie réduit la transparence offerte par les rails bancaires et peut permettre des transactions liées ou structurées. Les emplacements physiques ajoutent également des risques de surveillance vidéo, de conduite du personnel, de sécurité, de réconciliation, de panne et de récupération de documents. La mise à jour des risques de la Banque nationale de Géorgie de 2024 traite les activités face à l'encaisse et les kiosques comme nécessitant une attention accrue.

Réparation : concevoir des limites de localisation, une logique de transaction liée, l'identification du client, l'examen des sources de trésorerie, l'escalade du personnel, la surveillance, le rapprochement quotidien, les règles d'arrêt de la disponibilité du système et les rapports de gestion avant le lancement du canal.

Faiblesse 9 — Les politiques et le système électronique ne sont pas d'accord

Le manuel promet l'approbation à quatre yeux, une surveillance accrue ou un bloc de pays interdit, alors que le système permet un seul utilisateur, ne crée pas l'alerte, ou ne peut pas récupérer le dossier de décision. Cela est particulièrement dommageable parce qu'il peut être exposé lors d'une démonstration.

Réparation : construire une matrice de contrôle à configuration. Pour chaque règle importante, identifiez l'établissement du système, le rôle responsable, le cas d'essai, le dossier de sortie, la voie d'exception et la preuve de l'examen périodique.

Faiblesse de résilience — les documents de sécurité ne sont pas un cadre testé

Les politiques génériques de cybersécurité n'établissent pas la continuité des activités, la reprise après sinistre de la TI, la propriété d'incidents, le contrôle de l'externalisation, les dossiers en temps réel ou un calendrier de tests étayé par des preuves.

Réparation : relier l'architecture aux tests annuels de pénétration des systèmes critiques et connectés, aux tests fondés sur le risque d'autres systèmes, au balayage de vulnérabilité deux fois par an, aux tests de changement de matériel, aux registres d'incidents et à une assurance indépendante qualifiée.

Faiblesse 10 — le plan d'affaires ne paie pas pour l'environnement de contrôle

Une équipe nominale, un faible budget des fournisseurs et aucune capacité d'assurance ou de continuité ne peuvent soutenir de façon crédible les activités de vente au détail ou en espèces à volume élevé. Inversement, un organigramme gonflé sans plan d'embauche ni flux de trésorerie n'est pas plus persuasif.

Réparation : traduire les volumes, les heures, les clients, les alertes et les emplacements en charge de travail. Reconcile les dates de début du personnel, les coûts des fournisseurs, le bureau, la sécurité, la formation et l'assurance avec les étapes de lancement et les scénarios de baisse.

Faiblesse 11 — Les réponses réglementaires créent de nouvelles contradictions

Une réponse rapide à une question de la Banque nationale de Géorgie peut accidentellement changer un produit, fournisseur, pays ou responsabilité sans mettre à jour les annexes connexes. Cela crée une cible mouvante et affaiblit la crédibilité de la direction.

Réparation : effectuer chaque réponse au moyen d'une vérification d'impact couvrant les formulaires, les flux, les contrats, l'évaluation des risques, les politiques, la configuration du système, les prévisions, la dotation en personnel et la traduction. Tenir un registre des faits approuvé.

Une séquence d'assainissement professionnelle