คำแนะนำการปรึกษาด้าน Blockchain ใน Munich

มิวนิกกลายเป็นฐานที่ตั้งที่เหมาะสมในทางปฏิบัติสำหรับบริษัทบล็อกเชนที่ให้บริการในตลาดเยอรมนีและตลาดยุโรปในวงกว้าง แต่การเริ่มดำเนินธุรกิจให้ถูกต้องตามกฎเกณฑ์นั้นต้องทำมากกว่าการเลือกรูปแบบนิติบุคคลและดีพลอยสมาร์ตคอนแทรกต์ของโทเคน โครงการต้องทำให้การจัดประเภทตามกฎเกณฑ์กำกับดูแล มาตรการป้องกันและปราบปรามการฟอกเงิน ความมั่นคงปลอดภัยสารสนเทศ วิศวกรรมความเป็นส่วนตัว และธรรมาภิบาลในการดำเนินงาน สอดคล้องกันทั้งหมดก่อนจะเข้าหาธนาคาร พันธมิตรระดับสถาบัน หรือหน่วยงานกำกับดูแล

ความท้าทายด้านการปฏิบัติตามกฎเกณฑ์ยังมีมิติข้ามพรมแดนด้วย บริษัทที่ตั้งอยู่ในมิวนิกอาจอยู่ภายใต้ความคาดหวังของหน่วยงานกำกับดูแลเยอรมนี กฎระเบียบว่าด้วยตลาดสินทรัพย์คริปโตของสหภาพยุโรป (MiCA) GDPR และหากทำการตลาดเข้าไปในสหรัฐอเมริกา ก็อาจอยู่ภายใต้การกำกับดูแลสินทรัพย์บนบล็อกเชนของ SEC ด้วย บทความนี้อธิบายว่าภาระหน้าที่เหล่านี้เชื่อมโยงกันอย่างไร และผู้ก่อตั้งจะวางโครงสร้างแผนงานกำกับการปฏิบัติตามกฎเกณฑ์ที่ชี้แจงและยืนยันได้อย่างไร

บริการที่ปรึกษาด้านบล็อกเชนในมิวนิกครอบคลุมอะไรบ้าง

บริการที่ปรึกษาด้านบล็อกเชนในมิวนิกผสานการจัดประเภทตามกฎเกณฑ์กำกับดูแล มาตรการ AML ความมั่นคงปลอดภัยสารสนเทศ วิศวกรรมความเป็นส่วนตัว และการวางแผนการนำไปปฏิบัติ สำหรับบริษัทที่ใช้เทคโนโลยีบัญชีแยกประเภทแบบกระจายศูนย์ เป้าหมายไม่ได้อยู่ที่การจัดทำเอกสารทางกฎหมายเพียงอย่างเดียว แต่คือการสร้างรูปแบบการดำเนินงานที่ผ่านการตรวจสอบสถานะ (due diligence) จากพันธมิตรที่อยู่ภายใต้การกำกับของ BaFin ธนาคาร ผู้สอบบัญชี นักลงทุน และลูกค้าองค์กรได้

ในทางปฏิบัติ งานที่ปรึกษาที่จริงจังมักครอบคลุมสายงานห้าด้าน ดังนี้

1. การจัดประเภทธุรกิจและโทเคน
2. สินทรัพย์นั้นเป็นยูทิลิตีโทเคน สเตเบิลคอยน์ โทเคนเงินอิเล็กทรอนิกส์ (e-money token) โทเคนอ้างอิงสินทรัพย์ (asset-referenced token) หลักทรัพย์ หรือตราสารที่ถูกกำกับดูแลประเภทอื่น
3. ธุรกิจให้บริการรับฝากสินทรัพย์ แลกเปลี่ยน เป็นนายหน้า โอน บริหารพอร์ตการลงทุน หรือออกสินทรัพย์หรือไม่

4. กิจกรรมดังกล่าวอยู่ภายใต้ MiCA กฎหมายหลักทรัพย์ของเยอรมนี กฎเกณฑ์กำกับบริการชำระเงิน หรือหลายระบอบพร้อมกันหรือไม่

5. มาตรการ AML และการควบคุมอาชญากรรมทางการเงิน

6. การระบุและพิสูจน์ตัวตนลูกค้า
7. การระบุผู้รับประโยชน์ที่แท้จริง
8. การตรวจคัดกรองรายชื่อคว่ำบาตรและบุคคลที่มีสถานภาพทางการเมือง
9. การติดตามตรวจสอบธุรกรรม
10. การส่งต่อเรื่องเมื่อพบกิจกรรมอันควรสงสัย

11. การปฏิบัติตาม Travel Rule ในกรณีที่มีผลบังคับใช้

12. ความมั่นคงปลอดภัยและความทนทานของระบบ

13. มาตรการควบคุมการบริหารจัดการกุญแจ
14. ความปลอดภัยของสมาร์ตคอนแทรกต์และโครงสร้างพื้นฐาน
15. การรับมือเหตุการณ์
16. ความเสี่ยงจากผู้ให้บริการภายนอก
17. ความต่อเนื่องทางธุรกิจ

18. การเก็บรักษาพยานหลักฐานและการบันทึกล็อกเพื่อการตรวจสอบ

19. ความเป็นส่วนตัวและธรรมาภิบาลข้อมูล

20. การจัดทำแผนผังข้อมูลตาม GDPR
21. ฐานทางกฎหมายในการประมวลผล
22. การเก็บข้อมูลเท่าที่จำเป็น
23. กำหนดระยะเวลาการเก็บรักษาข้อมูล
24. สิทธิของเจ้าของข้อมูล

25. การกำหนดบทบาทผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล

26. ธรรมาภิบาลและการนำไปปฏิบัติ

27. นโยบายและระเบียบปฏิบัติ
28. ผู้รับผิดชอบงานกำกับการปฏิบัติตามกฎเกณฑ์
29. การรายงานต่อฝ่ายบริหาร
30. การควบคุมการจ้างบุคคลภายนอก
31. การฝึกอบรมพนักงาน
32. การทดสอบอย่างต่อเนื่อง

สำหรับบริษัทในมิวนิก การวิเคราะห์ด้านกฎเกณฑ์ต้องคำนึงถึงโครงสร้างของนิติบุคคลเยอรมันด้วย ไม่ว่าจะเป็น GmbH สาขา มูลนิธิ หรือบริษัทย่อยของต่างชาติ แต่ละรูปแบบก่อให้เกิดคำถามที่แตกต่างกันในเรื่องความรับผิดชอบของผู้บริหาร ภาษี ฐานการดำเนินงานจริง (substance) การเปิดบัญชีธนาคาร และการประสานงานกับหน่วยงานกำกับดูแล โครงสร้างที่ถูกต้องขึ้นอยู่กับผลิตภัณฑ์และลูกค้า ไม่ใช่แม่แบบสำเร็จรูปของ “บริษัทคริปโต”

จากประสบการณ์ของ Soken ในการตรวจสอบและให้คำปรึกษาแก่ธุรกิจ Web3 ความผิดพลาดในระยะแรกที่พบบ่อยที่สุดคือการมองงานกำกับการปฏิบัติตามกฎเกณฑ์เป็นเพียงชุดเอกสาร นโยบายที่ไม่ตรงกับสถาปัตยกรรมกระเป๋าเงิน เส้นทางการใช้งานของลูกค้า หรือขีดความสามารถในการติดตามตรวจสอบธุรกรรมที่มีอยู่จริง จะไม่ผ่านการตรวจสอบสถานะของนักลงทุน ธนาคาร หรือหน่วยงานกำกับดูแล

โดยปกติ โครงการที่ตั้งอยู่ในมิวนิกควรจัดทำเอกสารพื้นฐานต่อไปนี้ก่อนเปิดตัว

• บันทึกความเห็นว่าด้วยขอบเขตการกำกับดูแลและการจัดประเภทโทเคน
• แผนภาพผลิตภัณฑ์และการไหลของเงิน
• การประเมินความเสี่ยงด้าน AML
• บัญชีรายการข้อมูลและแผนผังการประมวลผลตาม GDPR
• ทะเบียนความเสี่ยงด้านความมั่นคงปลอดภัยสารสนเทศ
• แผนรับมือเหตุการณ์
• ทะเบียนการจ้างบุคคลภายนอกและผู้ให้บริการ
• บันทึกการอนุมัติของคณะกรรมการหรือฝ่ายบริหาร
• ข้อกำหนดสำหรับลูกค้าและประกาศความเป็นส่วนตัว
• ตารางพยานหลักฐานที่แสดงว่าจะทดสอบมาตรการควบคุมแต่ละรายการอย่างไร

สำหรับการค้นคว้าด้านกฎเกณฑ์และตลาดในวงกว้างขึ้น Soken Hub เป็นจุดเริ่มต้นที่มีประโยชน์ในการทบทวนเนื้อหาที่เกี่ยวข้องด้านการปฏิบัติตามกฎเกณฑ์และความปลอดภัยของ Web3

การกำกับดูแลของ SEC และ MiCA ส่งผลต่อธุรกิจบล็อกเชนในมิวนิกอย่างไร

การกำกับดูแลโครงการบล็อกเชนของ SEC ยังคงเกี่ยวข้องกับบริษัทในมิวนิกทุกครั้งที่บริษัทเสนอ ขาย ส่งเสริม หรืออำนวยความสะดวกให้ผู้เข้าร่วมในสหรัฐอเมริกาเข้าถึงสินทรัพย์ดิจิทัล MiCA กำกับกรอบกฎเกณฑ์ของยุโรปเป็นส่วนใหญ่ แต่ไม่ได้ทำให้ความเสี่ยงตามกฎหมายหลักทรัพย์ของสหรัฐฯ หมดไป และทั้งสองระบอบก็ไม่อาจประเมินได้จากการดูเพียงว่าบริษัทจดทะเบียนจัดตั้งที่ใด

การวิเคราะห์ของ SEC มักมุ่งไปที่คำถามว่าธุรกรรมนั้นเข้าข่ายสัญญาการลงทุน (investment contract) ตามกรอบ Howey หรือไม่ ข้อเท็จจริงที่เกี่ยวข้องอาจรวมถึง

• ผู้ซื้อนำเงินหรือสิ่งมีค่ารูปแบบอื่นมาลงทุนหรือไม่
• เงินถูกนำไปรวมไว้ในกิจการร่วมกันหรือไม่
• ผู้ซื้อคาดหวังผลกำไรหรือไม่
• ผลกำไรนั้นขึ้นอยู่กับความพยายามด้านการบริหารจัดการหรือการประกอบการอย่างมีนัยสำคัญหรือไม่

ป้ายชื่อ “ยูทิลิตีโทเคน” ไม่ใช่ตัวชี้ขาด ถ้อยคำทางการตลาด กลไกการกระจายโทเคน คำมั่นเรื่องการซื้อคืน ข้อตกลงสเตกกิง สิทธิด้านธรรมาภิบาล และบทบาทของทีมผู้ก่อตั้ง ล้วนอาจมีผลต่อการวิเคราะห์ คดีความในปี 2023 ที่เกี่ยวข้องกับ Ripple แสดงให้เห็นว่าสถานะทางกฎหมายของสินทรัพย์ดิจิทัลอาจแตกต่างกันระหว่างการขายให้นักลงทุนสถาบัน ธุรกรรมบนศูนย์ซื้อขาย และช่องทางการกระจายอื่น ๆ

การยอมความในปี 2024 ที่เกี่ยวข้องกับ Terraform Labs และอดีตประธานเจ้าหน้าที่บริหาร ซึ่งมีรายงานว่ามีมูลค่าประมาณ 4.47 พันล้านดอลลาร์สหรัฐ ยังแสดงให้เห็นผลกระทบทางการเงินของการให้ข้อมูลอันเป็นเท็จและการฝ่าฝืนกฎหมายหลักทรัพย์ตามที่ถูกกล่าวหา ซึ่งเกี่ยวเนื่องกับระบบนิเวศบล็อกเชนขนาดใหญ่ ดังนั้น บริษัทในมิวนิกที่มุ่งเป้าไปยังผู้ใช้ในสหรัฐฯ จึงควรจัดทำเอกสารบันทึกข้อจำกัดทางภูมิศาสตร์ มาตรการควบคุมการตลาด คำรับรองของนักลงทุน และช่องทางการกระจายโทเคนของตน

MiCA นำกรอบกฎเกณฑ์ของยุโรปที่มีโครงสร้างชัดเจนขึ้นมาใช้ นับตั้งแต่วันที่เริ่มมีผลบังคับใช้ในปี 2024 ภาระหน้าที่ที่เกี่ยวข้องได้รวมถึงข้อกำหนดเกี่ยวกับ

• ไวต์เปเปอร์ของสินทรัพย์คริปโต
• การป้องกันการกระทำอันไม่เป็นธรรมในตลาด
• การขออนุญาตของผู้ให้บริการสินทรัพย์คริปโต
• มาตรการคุ้มครองด้านความมั่นคงทางการเงิน
• ธรรมาภิบาลและการจัดการข้อร้องเรียน
• การคุ้มครองทรัพย์สินของลูกค้า
• ภาระหน้าที่ด้านเงินสำรองและการเปิดเผยข้อมูลสำหรับโทเคนบางประเภท

ตารางเปรียบเทียบด้านล่างแสดงให้เห็นว่าเหตุใดนโยบายกำกับการปฏิบัติตามกฎเกณฑ์ระดับโลกเพียงฉบับเดียวจึงแทบไม่เคยเพียงพอ

ประเด็น	สหภาพยุโรป / เยอรมนี	ความเสี่ยงที่เกี่ยวกับสหรัฐอเมริกา
แนวทางการกำกับดูแลหลัก	MiCA กฎหมายเยอรมนี กฎเกณฑ์ AML กฎเกณฑ์ด้านการชำระเงินและหลักทรัพย์	กฎเกณฑ์ระดับสหพันธรัฐด้านหลักทรัพย์ สินค้าโภคภัณฑ์ การโอนเงิน และกฎเกณฑ์ระดับมลรัฐ
การจัดประเภทโทเคน	ประเภทสินทรัพย์และกิจกรรมการให้บริการเป็นหัวใจสำคัญ	ความเป็นจริงทางเศรษฐกิจและการวิเคราะห์ตามแนว Howey เป็นหัวใจสำคัญ
สเตเบิลคอยน์	อาจมีข้อกำหนดเพิ่มเติมสำหรับโทเคนอ้างอิงสินทรัพย์และโทเคนเงินอิเล็กทรอนิกส์	การจัดประเภทอาจเกี่ยวข้องกับหลักทรัพย์ สินค้าโภคภัณฑ์ การชำระเงิน หรือความเสี่ยงจากการบังคับใช้กฎหมาย
ผู้ให้บริการ	อาจต้องได้รับอนุญาตและปฏิบัติตามข้อกำหนดด้านองค์กร	การจดทะเบียน การขอใบอนุญาต หรือความเสี่ยงจากการบังคับใช้กฎหมาย ขึ้นอยู่กับกิจกรรม
การตลาด	มาตรการควบคุมด้านไวต์เปเปอร์ การเปิดเผยข้อมูล การกระทำอันไม่เป็นธรรมในตลาด และการประพฤติปฏิบัติ	มาตรการควบคุมด้านการต่อต้านการฉ้อโกง การเปิดเผยข้อมูล การชักชวน และเขตอำนาจ
ความเป็นส่วนตัว	GDPR ใช้บังคับกับการประมวลผลข้อมูลส่วนบุคคล	ภาระหน้าที่ด้านความเป็นส่วนตัวของสหรัฐฯ แตกต่างกันไปตามมลรัฐและภาคธุรกิจ
มาตรการควบคุมในทางปฏิบัติ	รักษาขอบเขตการได้รับอนุญาตในสหภาพยุโรปพร้อมพยานหลักฐาน	จำกัดหรือวางโครงสร้างการเข้าถึงจากสหรัฐฯ เว้นแต่จะได้ประเมินแยกต่างหากแล้ว

บริษัทในมิวนิกควรจัดทำและดูแลเมทริกซ์เขตอำนาจที่ระบุผลิตภัณฑ์ ที่ตั้งของลูกค้า ช่องทางการตลาด ประเภทบริการ และสมมติฐานด้านกฎเกณฑ์แต่ละรายการ ระเบียบวิธีของ Soken ถือว่าเมทริกซ์นี้เป็นเอกสารควบคุมที่ต้องปรับปรุงอยู่เสมอ ไม่ใช่บันทึกความเห็นทางกฎหมายที่ทำครั้งเดียวจบ เพราะการเปลี่ยนแปลงผลิตภัณฑ์อาจทำให้ขอบเขตการกำกับดูแลเปลี่ยนไป

สำหรับบริษัทที่ดำเนินงานทั้งในเยอรมนีและเขตอำนาจอื่น Crypto Map ช่วยจัดระเบียบการค้นคว้าด้านกฎเกณฑ์ตามเขตอำนาจได้ แต่ควรใช้เสริม ไม่ใช่ใช้แทนการวิเคราะห์ทางกฎหมายที่เจาะจงกับผลิตภัณฑ์

โครงการในมิวนิกควรนำมาตรการ AML สำหรับบล็อกเชนใดมาใช้

มาตรการ AML สำหรับบล็อกเชนควรผสานการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าแบบดั้งเดิมเข้ากับการวิเคราะห์กระเป๋าเงิน ธุรกรรม และความเสี่ยงที่เฉพาะเจาะจงกับบล็อกเชน แผนงานที่เป็นไปตามกฎเกณฑ์ต้องอธิบายได้ว่าลูกค้าคือใคร ใครเป็นผู้ควบคุมเงินในท้ายที่สุด รูปแบบธุรกรรมมีความหมายอย่างไร และธุรกิจตอบสนองอย่างไรเมื่อพยานหลักฐานบนเชนและนอกเชนขัดแย้งกัน

กรอบ AML ของสหภาพยุโรปและภาระหน้าที่ของเยอรมนีตามกฎหมายป้องกันการฟอกเงิน (Geldwäschegesetz) กำหนดให้ใช้แนวทางตามระดับความเสี่ยง ซึ่งหมายความว่ามาตรการควบคุมควรได้สัดส่วนกับฐานลูกค้า ภูมิศาสตร์ ผลิตภัณฑ์ ความเร็วของธุรกรรม ประเภทสินทรัพย์ รูปแบบการรับฝากสินทรัพย์ และความเกี่ยวข้องกับบริการที่มีความเสี่ยงสูงกว่า

รูปแบบการดำเนินงานด้าน AML ที่น่าเชื่อถือควรประกอบด้วย

1. การรับลูกค้า
2. การพิสูจน์ตัวตนโดยใช้แหล่งข้อมูลที่เชื่อถือได้
3. การตรวจสอบผู้รับประโยชน์ที่แท้จริงสำหรับลูกค้านิติบุคคล
4. การตรวจสอบกรรมการและผู้แทนที่ได้รับมอบอำนาจ

5. การให้คะแนนความเสี่ยงตามภูมิศาสตร์ กิจกรรม และโปรไฟล์ลูกค้า

6. การประเมินกระเป๋าเงิน

7. การตรวจคัดกรองแอดเดรสสำหรับฝากและถอน
8. การระบุความเกี่ยวข้องกับรายชื่อคว่ำบาตร
9. การตรวจจับความเชื่อมโยงกับมิกเซอร์ แรนซัมแวร์ ตลาดมืดในดาร์กเน็ต การหลอกลวง และเงินที่ถูกขโมย

10. การส่งต่อเรื่องเมื่อไม่สามารถยืนยันความเป็นเจ้าของกระเป๋าเงินได้

11. การติดตามตรวจสอบธุรกรรม

12. กฎเกณฑ์สำหรับความเร็วของธุรกรรม การแตกยอดธุรกรรม การเคลื่อนย้ายอย่างรวดเร็ว และคู่สัญญาที่ผิดปกติ
13. การแจ้งเตือนเมื่อธุรกรรมไม่สอดคล้องกับโปรไฟล์ลูกค้า
14. การติดตามบริดจ์ ศูนย์ซื้อขายแบบกระจายศูนย์ และกลไกเสริมความเป็นส่วนตัว

15. การบริหารจัดการเคสพร้อมบันทึกผลการสอบสวนเป็นลายลักษณ์อักษร

16. การรายงานและการส่งต่อเรื่อง

17. บันทึกการตัดสินใจเกี่ยวกับกิจกรรมอันควรสงสัย
18. การส่งต่อเรื่องภายในไปยังเจ้าหน้าที่รายงานการฟอกเงิน
19. การรายงานต่อหน่วยงานที่มีอำนาจในกรณีที่กฎหมายกำหนด

20. การเก็บรักษาพยานหลักฐานและการสื่อสาร

21. Travel Rule และข้อมูลการโอน

22. การรวบรวมและส่งต่อข้อมูลผู้โอนและผู้รับโอนตามที่กำหนด
23. ระเบียบปฏิบัติสำหรับการโอนที่เกี่ยวข้องกับกระเป๋าเงินที่ผู้ใช้ดูแลเอง (unhosted wallet)
24. กฎการปฏิเสธหรือการทบทวนเมื่อข้อมูลไม่ครบถ้วน

การวิเคราะห์ข้อมูลบล็อกเชนมีคุณค่า แต่ไม่อาจใช้แทนธรรมาภิบาลได้ เครื่องมือตรวจคัดกรองอาจให้ผลบวกลวง พลาดรูปแบบการกระทำผิดใหม่ ๆ หรือกำหนดระดับความเสี่ยงผิดพลาดเมื่อสินทรัพย์เคลื่อนผ่านบริดจ์และสมาร์ตคอนแทรกต์ โมเดลการแจ้งเตือนทุกตัวจำเป็นต้องมีเกณฑ์ที่บันทึกเป็นลายลักษณ์อักษร การประกันคุณภาพ การปรับจูนเป็นระยะ และการทบทวนโดยมนุษย์

ข้อคิดด้านความปลอดภัย: มาตรการ AML ที่แข็งแกร่งที่สุดไม่ใช่กฎการบล็อกกระเป๋าเงินที่เข้มงวดที่สุด แต่คือกระบวนการตัดสินใจที่บันทึกเป็นลายลักษณ์อักษร ซึ่งเชื่อมโยงความเสี่ยงของลูกค้า พยานหลักฐานของธุรกรรม ผู้มีอำนาจรับเรื่องที่ส่งต่อ และการทดสอบโมเดลเป็นระยะเข้าด้วยกัน การบล็อกอัตโนมัติที่มากเกินไปอาจก่อให้เกิดความเสี่ยงด้านการดำเนินงานและความเป็นธรรม ขณะที่ยังคงตรวจไม่พบรูปแบบการฟอกเงินที่ซับซ้อน

เหตุโจรกรรม Ronin Bridge ในปี 2022 ซึ่งมีมูลค่าประมาณ 625 ล้านดอลลาร์สหรัฐ แสดงให้เห็นว่าข้อมูลรับรองการเข้าถึงที่ถูกเจาะและมาตรการควบคุมการดำเนินงานที่อ่อนแอสามารถสร้างความเสี่ยงเชิงระบบได้รวดเร็วเพียงใด แม้เหตุการณ์ดังกล่าวจะเป็นความล้มเหลวด้านความปลอดภัยเป็นหลัก แต่ก็ชี้ให้เห็นด้วยว่าเหตุใด AML การรับฝากสินทรัพย์ ธรรมาภิบาลการเข้าถึง และการรับมือเหตุการณ์ จึงไม่อาจทำงานแบบแยกส่วนเป็นแผนกเดี่ยว ๆ ได้

ในงานตรวจสอบของ Soken เราคาดหวังให้โครงการแสดงให้เห็นไม่เพียงว่ามีการสมัครใช้บริการเครื่องมือวิเคราะห์ แต่ยังต้องแสดงด้วยว่านักวิเคราะห์สอบสวนการแจ้งเตือนอย่างไร ฝ่ายบริหารอนุมัติข้อยกเว้นอย่างไร และเก็บรักษาพยานหลักฐานไว้ให้ผู้ตรวจสอบหรือหน่วยงานกำกับดูแลอย่างไร

โครงการในมิวนิกควรบันทึกเป็นลายลักษณ์อักษรอย่างน้อยในเรื่องต่อไปนี้

• ความรับผิดชอบของผู้รับผิดชอบงานกำกับการปฏิบัติตามกฎเกณฑ์และ MLRO ที่ได้รับการแต่งตั้ง
• ระเบียบวิธีประเมินความเสี่ยงของลูกค้า
• ผู้ให้บริการตรวจคัดกรองกระเป๋าเงินและขั้นตอนสำรอง
• เกณฑ์การแจ้งเตือนและระดับการให้บริการในการทบทวน
• เส้นทางการส่งต่อเรื่อง
• ระยะเวลาการเก็บรักษาบันทึก
• ข้อกำหนดด้านการฝึกอบรมพนักงาน
• กำหนดการทดสอบโดยผู้ตรวจสอบอิสระ

เนื่องจากมาตรการ AML ขึ้นอยู่กับการออกแบบผลิตภัณฑ์ที่เป็นฐาน โครงการจึงควรทบทวนสถาปัตยกรรมด้านการปฏิบัติตามกฎเกณฑ์ให้เสร็จสิ้นก่อนจะสรุปเส้นทางการเคลื่อนไหวของกระเป๋าเงินหรือขั้นตอนการรับลูกค้า บริการด้านกฎหมายและงานองค์กรของ Soken สามารถสนับสนุนการจัดประเภทโทเคน การวิเคราะห์การขอใบอนุญาต VASP และ MiCA การจัดตั้งบริษัท และเอกสารทางกฎหมายที่เกี่ยวข้อง สำหรับรูปแบบการดำเนินงานที่ตั้งอยู่ในมิวนิก

ควรออกแบบมาตรการควบคุมตาม ISO 27001 และความมั่นคงปลอดภัยสารสนเทศสำหรับบล็อกเชนอย่างไร

มาตรการควบคุมตาม ISO 27001 สำหรับบล็อกเชนควรนำมาใช้ในรูปของระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศที่ปรับให้เหมาะกับบัญชีแยกประเภทแบบกระจายศูนย์ กระเป๋าเงิน สมาร์ตคอนแทรกต์ โครงสร้างพื้นฐานคลาวด์ และข้อมูลลูกค้าที่อ่อนไหว การได้รับการรับรองมีประโยชน์ แต่เป้าหมายเชิงสาระคือระบบบริหารความเสี่ยงที่ใช้งานได้จริง ซึ่งคุ้มครองการรักษาความลับ ความถูกต้องครบถ้วน ความพร้อมใช้งาน และความรับผิดชอบที่ตรวจสอบได้

ISO/IEC 27001:2022 ให้กรอบของระบบบริหารจัดการ ขณะที่ ISO/IEC 27002:2022 ให้แนวทางด้านมาตรการควบคุม ธุรกิจบล็อกเชนควรพิจารณา NIST Cybersecurity Framework 2.0 ซึ่งเผยแพร่ในปี 2024 ด้วย โดยเฉพาะในด้านธรรมาภิบาล การระบุ การป้องกัน การตรวจจับ การตอบสนอง และการกู้คืน

สภาพแวดล้อมการควบคุมควรครอบคลุม

• การบริหารจัดการกุญแจ: การสร้าง การจัดเก็บ การหมุนเวียน การสำรอง การกู้คืน และการทำลาย
• การเข้าถึงแบบสิทธิพิเศษ: การแบ่งแยกบทบาท การอนุมัติโดยหลายฝ่าย การให้สิทธิ์เข้าถึงเฉพาะเมื่อจำเป็น (just-in-time) และการยืนยันตัวตนที่เข้มแข็ง
• ธรรมาภิบาลสมาร์ตคอนแทรกต์: การทบทวนโดยผู้ตรวจสอบอิสระ มาตรการควบคุมการดีพลอย อำนาจในการหยุดการทำงานชั่วคราว ข้อจำกัดในการอัปเกรด และขั้นตอนฉุกเฉิน
• ความปลอดภัยของโครงสร้างพื้นฐาน: การตั้งค่าคลาวด์ การเสริมความแข็งแกร่งของโหนด การบริหารจัดการข้อมูลลับ การบันทึกล็อก และการแก้ไขช่องโหว่
• การบริหารการเปลี่ยนแปลง: การทบทวนโดยเพื่อนร่วมทีม สภาพแวดล้อมทดสอบ การอนุมัติการปล่อยเวอร์ชัน และการวางแผนย้อนกลับ
• ความปลอดภัยของซัพพลายเออร์: ผู้ให้บริการรับฝากสินทรัพย์ ผู้ให้บริการ RPC แพลตฟอร์มวิเคราะห์ ผู้ให้บริการคลาวด์ และผู้รับจ้างพัฒนา
• การบริหารจัดการเหตุการณ์: การจัดระดับความรุนแรง การสื่อสาร การจัดการพยานหลักฐาน และการตัดสินใจเรื่องการแจ้งหน่วยงานกำกับดูแล
• ความทนทานของระบบ: การสำรองข้อมูล การสำรองระบบข้ามพื้นที่ทางภูมิศาสตร์ เป้าหมายการกู้คืน และการซ้อมรับมือวิกฤต

ข้อแตกต่างสำคัญคือ การที่บล็อกเชนแก้ไขเปลี่ยนแปลงไม่ได้ไม่ได้รับประกันความถูกต้องครบถ้วนของแอปพลิเคชัน ธุรกรรมที่แก้ไขไม่ได้สามารถบันทึกการกระทำที่มุ่งร้ายหรือผิดพลาดไว้อย่างเที่ยงตรงได้ แผนงานด้านความปลอดภัยจึงต้องคุ้มครองอินเทอร์เฟซ ระบบลงนาม กระบวนการธรรมาภิบาล และบัญชีปฏิบัติงานที่เป็นตัวกำหนดว่าสิ่งใดจะถูกบันทึกลงบัญชีแยกประเภท

การโจมตี Euler Finance ในเดือนมีนาคม 2023 ก่อให้เกิดความสูญเสียประมาณ 197 ล้านดอลลาร์สหรัฐ หลังจากผู้โจมตีใช้ประโยชน์จากข้อบกพร่องในตรรกะการบริจาค (donation) และการบังคับชำระหลักประกัน (liquidation) ของโปรโตคอล เหตุการณ์นี้ตอกย้ำข้อค้นพบจากการตรวจสอบที่พบซ้ำแล้วซ้ำอีก คือ ตรรกะทางการเงิน ฟังก์ชันสิทธิพิเศษ และการรับมือเหตุฉุกเฉิน จำเป็นต้องได้รับการทดสอบร่วมกัน ไม่ใช่ทบทวนเป็นองค์ประกอบทางเทคนิคที่แยกจากกัน

สำหรับโครงการบล็อกเชนที่ให้ความสำคัญกับความมั่นคงปลอดภัยสารสนเทศ ชุดพยานหลักฐานที่ใช้ได้จริงประกอบด้วย

ขอบเขตการควบคุม	พยานหลักฐานที่ผู้ทบทวนควรคาดหวัง
การควบคุมการเข้าถึง	เมทริกซ์บทบาท การทบทวนสิทธิ์การเข้าถึง บันทึก MFA ล็อกของเซสชันสิทธิพิเศษ
ความปลอดภัยของกุญแจ	การออกแบบการเก็บรักษากุญแจ นโยบายจำนวนผู้ลงนามขั้นต่ำ (quorum) การทดสอบการกู้คืน การอนุมัติการลงนาม
การพัฒนาอย่างปลอดภัย	แบบจำลองภัยคุกคาม การรีวิวโค้ด การสแกนไลบรารีที่พึ่งพา การทดสอบเจาะระบบ
การเฝ้าระวัง	รายการการแจ้งเตือน การตั้งค่าการเก็บรักษาล็อก ทิกเก็ตเหตุการณ์
ความทนทานของระบบ	การทดสอบการสำรองข้อมูล เป้าหมายระยะเวลาการกู้คืน ผลการซ้อมแผนบนโต๊ะ
บุคคลภายนอก	บันทึกการตรวจสอบสถานะ สัญญา หนังสือรับรองด้านความปลอดภัย
ธรรมาภิบาล	ทะเบียนความเสี่ยง การทบทวนของฝ่ายบริหาร การติดตามการดำเนินการแก้ไข

งานตรวจสอบสมาร์ตคอนแทรกต์และทดสอบเจาะระบบของ Soken โดยทั่วไปจะพิจารณาปฏิสัมพันธ์ระหว่างช่องโหว่ระดับโค้ดกับมาตรการควบคุมการดำเนินงาน สมาร์ตคอนแทรกต์ที่ถูกต้องในทางเทคนิคยังอาจตกอยู่ในความเสี่ยงได้จากกุญแจดีพลอยที่ไม่ปลอดภัย การบริหารจัดการออราเคิลที่อ่อนแอ หรือกระบวนการอัปเกรดที่ไม่มีการอนุมัติโดยผู้ที่เป็นอิสระ

GDPR ใช้บังคับกับธุรกิจบล็อกเชนในมิวนิกอย่างไร

การปฏิบัติตาม GDPR สำหรับบล็อกเชนกำหนดให้โครงการต้องลดข้อมูลส่วนบุคคลบนเชนให้เหลือน้อยที่สุด กำหนดความรับผิดชอบของผู้ควบคุมข้อมูลและผู้ประมวลผลข้อมูล และออกแบบมาตรการควบคุมความเป็นส่วนตัวก่อนการดีพลอย แอดเดรสกุญแจสาธารณะไม่ได้เป็นข้อมูลนิรนามโดยอัตโนมัติ เมื่อถูกเชื่อมโยงกับบุคคลที่ระบุตัวได้ผ่านศูนย์ซื้อขาย บัญชีลูกค้า แฟ้ม KYC หรือบันทึกการวิเคราะห์ แอดเดรสเหล่านั้นอาจถือเป็นข้อมูลส่วนบุคคล

หลักการออกแบบที่เป็นแกนกลางคือการเก็บข้อมูลที่ระบุตัวบุคคลได้โดยตรงไว้นอกเชนทุกครั้งที่ทำได้ สถาปัตยกรรมที่ดีกว่ามักจัดเก็บข้อผูกมัดเชิงวิทยาการเข้ารหัสลับ (cryptographic commitment) ข้อมูลอ้างอิง หรือตัวบ่งชี้สถานะไว้บนเชน ขณะที่เก็บข้อมูลส่วนบุคคลต้นทางไว้ในระบบนอกเชนที่มีการควบคุม แม้เป็นเช่นนั้น โครงการก็ยังต้องประเมินว่าค่าแฮช ตัวระบุ เมทาดาทา และประวัติธุรกรรม ยังเชื่อมโยงกลับไปยังตัวบุคคลได้หรือไม่

บทบัญญัติของ GDPR ที่เกี่ยวข้อง ได้แก่

• มาตรา 5: การจำกัดวัตถุประสงค์ การเก็บข้อมูลเท่าที่จำเป็น ความถูกต้อง การจำกัดระยะเวลาการจัดเก็บ ความถูกต้องครบถ้วน และการรักษาความลับ
• มาตรา 6: ฐานทางกฎหมายในการประมวลผล
• มาตรา 25: การคุ้มครองข้อมูลตั้งแต่การออกแบบและโดยค่าเริ่มต้น
• มาตรา 32: มาตรการรักษาความมั่นคงปลอดภัยเชิงเทคนิคและเชิงองค์กรที่เหมาะสม
• มาตรา 35: การประเมินผลกระทบด้านการคุ้มครองข้อมูลสำหรับการประมวลผลที่มีความเสี่ยงสูง
• มาตรา 44–49: การโอนข้อมูลระหว่างประเทศ

ความขัดแย้งที่ดูเหมือนจะมีอยู่ระหว่างการแก้ไขเปลี่ยนแปลงไม่ได้กับสิทธิต่าง ๆ เช่น สิทธิในการลบข้อมูล ต้องจัดการผ่านสถาปัตยกรรมและธรรมาภิบาล ไม่ใช่ผ่านคำมั่นว่าข้อมูลสามารถลบออกจากเชนสาธารณะได้ง่าย ๆ เทคนิคที่ใช้ได้อาจรวมถึงการจัดเก็บนอกเชน การเข้ารหัสพร้อมการทำลายกุญแจแบบมีการควบคุม บัญชีแยกประเภทแบบต้องได้รับอนุญาต (permissioned ledger) การเปิดเผยแบบเลือกได้ และการลดเมทาดาทาอย่างเข้มงวด

บริษัทในมิวนิกควรตอบคำถามต่อไปนี้ก่อนการดีพลอย

1. ข้อมูลที่ถูกเขียนลงบัญชีแยกประเภทมีอะไรบ้างโดยละเอียด
2. ข้อมูลนั้นสามารถระบุตัวบุคคลธรรมดาได้โดยตรงหรือโดยอ้อมหรือไม่
3. ใครเป็นผู้กำหนดวัตถุประสงค์และวิธีการประมวลผล
4. นิติบุคคลใดเป็นผู้ตอบสนองต่อคำขอเข้าถึง แก้ไข คัดค้าน และลบข้อมูล
5. โหนด ฐานข้อมูล ข้อมูลสำรอง และระบบวิเคราะห์ตั้งอยู่ที่ใด
6. จะเกิดอะไรขึ้นหากเจ้าของข้อมูลใช้สิทธิที่ขัดแย้งกับความคงอยู่ถาวรของข้อมูลบนบัญชีแยกประเภท
7. ได้จัดทำการประเมินผลกระทบด้านการคุ้มครองข้อมูลเสร็จสิ้นแล้วหรือไม่

วิศวกรรมความเป็นส่วนตัวต้องครอบคลุมเครื่องมือสนับสนุนลูกค้า ผู้ให้บริการ KYC การวิเคราะห์ข้อมูลบล็อกเชน ข้อมูลเทเลเมทรี คุกกี้ และระบบของพนักงานด้วย การออกแบบบนเชนอาจรักษาความเป็นส่วนตัวได้ดี ขณะที่เว็บแอปพลิเคชันที่อยู่รายรอบเก็บรวบรวมข้อมูลส่วนบุคคลเกินจำเป็นอยู่อย่างเงียบ ๆ

เคล็ดลับจากผู้เชี่ยวชาญ: นำแผนผังข้อมูลตาม GDPR มาตรวจเทียบกับแผนภาพการไหลของธุรกรรมทีละบรรทัด ในการทบทวนจริง ช่องว่างด้านความเป็นส่วนตัวที่ใหญ่ที่สุดมักปรากฏในล็อก RPC แดชบอร์ดวิเคราะห์ ทิกเก็ตงานสนับสนุน และฐานข้อมูลที่เชื่อมโยงกระเป๋าเงิน มากกว่าในตัวสมาร์ตคอนแทรกต์เอง

บริษัทบล็อกเชนในมิวนิกจะสร้างแผนงานกำกับการปฏิบัติตามกฎเกณฑ์ที่พร้อมรับการตรวจสอบได้อย่างไร

บริษัทบล็อกเชนในมิวนิกจะพร้อมรับการตรวจสอบได้ด้วยการแปลงภาระหน้าที่ทางกฎหมายให้เป็นมาตรการควบคุมที่มีชื่อเรียกชัดเจน มอบหมายผู้รับผิดชอบ ทดสอบมาตรการควบคุมเหล่านั้น และเก็บรักษาพยานหลักฐานที่แสดงว่ามาตรการทำงานจริงอย่างต่อเนื่องตลอดช่วงเวลา นโยบายเพียงอย่างเดียวไม่เพียงพอ ธนาคาร นักลงทุน ผู้ตรวจสอบ และหน่วยงานกำกับดูแล ตรวจสอบมากขึ้นเรื่อย ๆ ว่าการตัดสินใจด้านธรรมาภิบาลตรงกับผลิตภัณฑ์ที่ดีพลอยจริงหรือไม่

ลำดับการนำไปปฏิบัติที่ใช้ได้จริงมีดังนี้

1. กำหนดขอบเขตของผลิตภัณฑ์
2. จัดทำแผนผังฟังก์ชันของโทเคน กระแสการรับฝากสินทรัพย์ ประเภทผู้ใช้ เขตอำนาจ และแหล่งรายได้

3. ระบุกิจกรรมที่อาจทำให้เกิดภาระหน้าที่ตาม MiCA กฎหมาย AML ของเยอรมนี กฎเกณฑ์ด้านการชำระเงิน หรือกฎหมายหลักทรัพย์

4. จัดทำทะเบียนการตัดสินใจด้านกฎเกณฑ์

5. บันทึกสมมติฐานทางกฎหมาย เขตอำนาจที่ไม่ให้บริการ วันที่อนุมัติ และเหตุที่ทำให้ต้องทบทวนใหม่

6. ประเมินทะเบียนใหม่เมื่อประโยชน์ใช้สอยของโทเคน สเตกกิง การรับฝากสินทรัพย์ หรือการตลาดเปลี่ยนแปลง

7. ออกแบบกรอบการควบคุม

8. เชื่อมโยงภาระหน้าที่แต่ละข้อเข้ากับนโยบาย เจ้าของกระบวนการ มาตรการควบคุมในระบบ วิธีทดสอบ และที่จัดเก็บพยานหลักฐาน

9. รวมข้อยกเว้นและมาตรการควบคุมชดเชยไว้ด้วย

10. นำ AML และความเป็นส่วนตัวมาใช้ตั้งแต่การออกแบบ

11. ผนวก KYC การตรวจคัดกรองกระเป๋าเงิน การติดตามตรวจสอบธุรกรรม การเก็บรักษาข้อมูล และขั้นตอนรับคำขอใช้สิทธิ เข้าไว้ในวงจรชีวิตของผลิตภัณฑ์

12. วางธรรมาภิบาลด้านความปลอดภัย

13. ดูแลทะเบียนความเสี่ยงที่สอดคล้องกับ ISO 27001

14. ดำเนินการสร้างแบบจำลองภัยคุกคาม การทดสอบเจาะระบบ การทบทวนสิทธิ์การเข้าถึง การทดสอบการกู้คืนจากภัยพิบัติ และการซ้อมรับมือเหตุการณ์

15. ทดสอบก่อนเปิดตัว

16. ใช้การทบทวนโดยผู้ตรวจสอบอิสระสำหรับการจัดประเภททางกฎหมาย สมาร์ตคอนแทรกต์ โครงสร้างพื้นฐาน การดำเนินงานด้าน AML และความเป็นส่วนตัว

17. ติดตามข้อค้นพบจนปิดประเด็น ไม่ใช่ถือว่ารายงานคือจุดสิ้นสุดของกระบวนการ

18. ดำเนินการให้ความเชื่อมั่นอย่างต่อเนื่อง

19. กำหนดตารางการทบทวนความเสี่ยงรายไตรมาส การรับรองสิทธิ์การเข้าถึงซ้ำเป็นประจำ การประเมินผู้ให้บริการใหม่ การปรับปรุงนโยบาย และการทดสอบมาตรการควบคุม
20. เก็บรักษาพยานหลักฐานไว้ในคลังจัดเก็บที่ทนต่อการแก้ไขดัดแปลงและมีการควบคุมการเข้าถึง

ทะเบียนมาตรการควบคุมที่มีประโยชน์อาจประกอบด้วยฟิลด์ต่อไปนี้

ฟิลด์	ตัวอย่าง
ข้อกำหนด	GDPR มาตรา 32
ความเสี่ยง	การเข้าถึงบันทึก KYC โดยไม่ได้รับอนุญาต
เจ้าของมาตรการควบคุม	หัวหน้าฝ่ายความมั่นคงปลอดภัยสารสนเทศ
มาตรการควบคุม	MFA การเข้ารหัส การทบทวนสิทธิ์การเข้าถึงรายไตรมาส
ความถี่	การเฝ้าระวังอย่างต่อเนื่องและการทบทวนรายไตรมาส
พยานหลักฐาน	รายงานการเข้าถึง บันทึกการแจ้งเตือน การลงนามรับรองการทบทวน
วิธีทดสอบ	การทบทวนภายในและการประเมินโดยผู้ตรวจสอบอิสระ
การแก้ไข	ผู้รับผิดชอบ กำหนดเวลา ระดับความรุนแรง พยานหลักฐานการปิดประเด็น

สำหรับการให้ความเชื่อมั่นด้านเทคนิค โครงการสามารถใช้ Security X-Ray ของ Soken เป็นการประเมินเบื้องต้นเพื่อระบุจุดอ่อนที่เห็นได้ชัดในสถาปัตยกรรม การควบคุมการเข้าถึง เอกสาร และความพร้อมในการดำเนินงาน ควรถือว่าเป็นการวินิจฉัยขั้นต้น ไม่ใช่สิ่งทดแทนการตรวจสอบอย่างเป็นทางการ การทดสอบเจาะระบบ ความเห็นทางกฎหมาย หรือกระบวนการรับรอง

ระเบียบวิธีของ Soken คือการเชื่อมโยงสามชั้นเข้าด้วยกัน ได้แก่ สิ่งที่กฎหมายกำหนด สิ่งที่สถาปัตยกรรมทำ และสิ่งที่พยานหลักฐานพิสูจน์ได้ ความเชื่อมโยงนี้สำคัญเป็นพิเศษสำหรับธุรกิจในมิวนิกที่ต้องการเป็นพันธมิตรกับสถาบัน เพราะงานนำเสนอที่ดูดีมีน้ำหนักน้อยกว่าสภาพแวดล้อมการควบคุมที่ตรวจสอบซ้ำได้

บริษัทควรมีแผนผังการตัดสินใจเมื่อเกิดเหตุการณ์ที่ชัดเจนด้วย ตัวอย่างเช่น กุญแจลงนามที่ถูกเจาะอาจทำให้ต้องระงับธุรกรรมทันที เก็บรักษาพยานหลักฐานทางนิติวิทยาศาสตร์ สื่อสารกับลูกค้า ทบทวนด้าน AML แจ้งคู่สัญญาตามสัญญา และประเมินหน้าที่ในการรายงานตาม GDPR หรือต่อหน่วยงานกำกับดูแล การดำเนินการเหล่านี้ควรได้รับการซักซ้อมก่อนที่เหตุการณ์จะเกิดขึ้น

ขั้นตอนถัดไปที่ได้ผลที่สุดคือการประเมินช่องว่าง (gap assessment) ที่บันทึกเป็นลายลักษณ์อักษร ซึ่งครอบคลุมโมเดลโทเคน เส้นทางการใช้งานของลูกค้า สถาปัตยกรรมกระเป๋าเงิน มาตรการ AML การไหลของข้อมูลส่วนบุคคล และมาตรการด้านความปลอดภัยที่สอดคล้องกับ ISO 27001 ผลลัพธ์ควรจัดลำดับความสำคัญตามความเสี่ยงทางกฎหมาย ผลกระทบทางการเงิน ความเป็นไปได้ที่จะถูกโจมตี และการพึ่งพากันของงานที่ต้องนำไปปฏิบัติ

มิวนิกเปิดโอกาสให้เข้าถึงตลาดเทคโนโลยี การเงิน และลูกค้าองค์กรของยุโรปได้อย่างดี แต่โอกาสนั้นมาพร้อมกับขอบเขตการกำกับดูแลที่เข้มงวด ธุรกิจบล็อกเชนที่ชี้แจงและยืนยันได้ต้องเชื่อมโยงการวิเคราะห์การกำกับดูแลของ SEC ในกรณีที่เกี่ยวข้อง ข้อกำหนดของ MiCA และของเยอรมนี มาตรการควบคุมธุรกรรมด้าน AML ธรรมาภิบาลตาม ISO 27001 วิศวกรรมความมั่นคงปลอดภัยสารสนเทศ และสถาปัตยกรรมที่คำนึงถึง GDPR เข้าด้วยกัน

ขั้นตอนถัดไปที่เป็นรูปธรรมคือการจัดทำเมทริกซ์กฎเกณฑ์และมาตรการควบคุมแบบบูรณาการหนึ่งฉบับก่อนเปิดตัวหรือก่อนการเปลี่ยนแปลงผลิตภัณฑ์ครั้งใหญ่ แล้วตรวจยืนยันเมทริกซ์นั้นผ่านการทบทวนทางกฎหมาย การทดสอบความปลอดภัย และพยานหลักฐานการดำเนินงาน ผู้เชี่ยวชาญด้านกฎหมาย การปฏิบัติตามกฎเกณฑ์ และเทคนิคของ Soken สามารถสนับสนุนการประเมินดังกล่าวในขณะที่โครงการเคลื่อนจากแนวคิดไปสู่การดำเนินงานที่มีการควบคุม