Aligner l'application, le cadre de lutte contre le blanchiment d'argent et le comportement du système afin que l'entreprise puisse démontrer des contrôles et conserver des preuves.
Examiner build-versus-buy, fournisseurs, vérification d'identité et d'entreprise, sanctions/PEP/médias indésirables, analyse de blockchain, portefeuille/garde, échange, grand livre, rapprochement, cas, rapports, journaux, conservation des données, contrôle d'accès, incidents et continuité.
Aperçu des services
La pile de technologies doit transformer les exigences légales en voyages exécutoires, permissions, contrôle, surveillance, dossiers et traitement des exceptions.
- Architecture de la solution et des données
- Tableau des fournisseurs et des dépendances
- KYC/KYB, sanctions et flux de travail KYT
- Contrôles du portefeuille, du grand livre et de la conciliation
Concevoir la piste de preuves avant l'intégration
L'architecture doit connecter les données d'identité, de portefeuille et de transaction, les règles, les alertes, les cas, les approbations, les rapports et les journaux immuables. Les brochures des fournisseurs ne prouvent pas que le demandeur peut exercer le contrôle.
La norme de démonstration
L'équipe peut reproduire un parcours client, expliquer chaque décision et récupérer les preuves sous-jacentes sans compter sur un représentant commercial.
Cycle obligatoire de résilience et d ' essai
Le cadre de gestion des risques des fournisseurs d'actifs virtuels doit couvrir les risques opérationnels et cybernétiques, la fraude, l'externalisation, la continuité des opérations, la reprise après sinistre informatique, la gestion des incidents et la communication de rapports sur la surveillance. Les systèmes critiques et connectés nécessitent des tests annuels de pénétration; d'autres systèmes exigent des tests fondés sur le risque au moins tous les trois ans. Les changements matériels apportés à l'infrastructure critique déclenchent des essais supplémentaires, et l'analyse de la vulnérabilité est nécessaire au moins deux fois par année.
Les dossiers opérationnels, les registres des incidents et les données consolidées doivent être disponibles en temps réel. Un fournisseur de services d'actifs virtuels nouvellement inscrit doit obtenir une opinion d'audit qualifiée, indépendante et actuelle sur le cadre dans les 12 mois suivant l'enregistrement.
Concevoir la piste des preuves
Les ateliers d'architecture suivent un client depuis l'enregistrement et la vérification des clients jusqu'à la transaction, le suivi, le cas, la décision, le rapport et le rapprochement. Chaque fournisseur se voit attribuer des responsabilités en matière de données, de contrôle, d'incidents et de preuves.
Un échec commun
Le demandeur s'appuie sur des brochures et des captures d'écran du fournisseur, mais manque de règles configurées, de registres de vérification, de droits d'accès et d'une démonstration de bout en bout reproductible.
Ce que vous pouvez attendre de nous
Nous commençons par le modèle en direct et les preuves actuelles, nous convenons des décisions et des dépendances, puis nous émettons une portée écrite. Vous pouvez nous engager pour des conseils et un examen seulement, pour un module de mise en œuvre défini, ou pour la construction complète et la coordination réglementaire. Le devis plafonne nos frais professionnels pour les hypothèses convenues et sépare les frais d'inscription officiels GEL 5 000, les traductions, le personnel, le bureau, le logiciel, l'assurance et d'autres coûts tiers.
Décision du fondateur
D'accord sur le périmètre du produit, les marchés, les contreparties et l'appétit pour les risques avant un travail de construction coûteux.
Preuves opérationnelles
Relier chaque revendication à une personne responsable, configurer le contrôle, enregistrer et tester les résultats.
Résultat du lancement
Transmettre les hypothèses approuvées dans le dépôt, les services bancaires, l'enregistrement des clients et la vérification des fournisseurs et les opérations supervisées.
Questions que nous abordons dans ce domaine de travail
La demande doit décrire un système opérationnel crédible, et la Banque nationale de Géorgie peut avoir besoin d'un accès et d'une démonstration opérationnelle. La sélection des fournisseurs à elle seule n'est pas prête : les intégrations, les règles, les dossiers, les autorisations, les cas, les rapports, le rapprochement et les pistes de vérification devraient être configurés et vérifiables.
Une démonstration utile suit l'enregistrement et la vérification des clients, les vérifications d'identité et de sanctions, l'activité de portefeuille ou de commande, la surveillance des transactions, les alertes, les enquêtes, l'approbation ou le rejet, les rapports, le rapprochement et la récupération des dossiers. Le personnel devrait expliquer ses décisions sans compter sur un vendeur.
Les fournisseurs peuvent traiter et stocker des preuves dans le cadre d'arrangements contrôlés, mais le fournisseur de services d'actifs virtuels a besoin de droits contractuels, d'accès en temps opportun, de conservation, d'exportation, de vérification, d'avis d'incident et de continuité. La direction doit être en mesure de récupérer et de comprendre les dossiers pendant la surveillance ou la panne d'un fournisseur.
Concevoir des données d'origine et de bénéficiaire, identifier les contreparties, gérer les portefeuilles auto-organisés, prendre des décisions concernant les données manquantes, assurer un échange sécurisé, tenir des registres d'audit et contrôler la vie privée maintenant. La date limite de mise en œuvre de la Géorgie est le 31 décembre 2027, mais la modernisation tardive peut être coûteuse.
La sécurité et la continuité déterminent si les actifs, les données et les dossiers des clients demeurent contrôlés pendant le compromis clé, la défaillance du système ou la panne du fournisseur. Le cycle réglementaire comprend un plan intégré de récupération des catastrophes informatiques, des tests annuels de pénétration de systèmes critiques et connectés, une analyse de vulnérabilité biannuelle, des dossiers d'incidents et une assurance indépendante. Les preuves d'essai et de récupération doivent correspondre à l'architecture utilisée.
Textes législatifs et réglementaires applicables
- Banque nationale de Géorgie — Questions et réponses des prestataires de services d'actifs virtuels
- Décret no 94/04 du Gouverneur de la Banque nationale de Géorgie — enregistrement, annulation et réglementation des prestataires de services d'actifs virtuels
- Décret no 207/04 du Gouverneur de la Banque nationale de Géorgie — risque opérationnel, cybersécurité et capital de surveillance
- Modification de l'information sur le transfert d'actifs virtuels en Géorgie
