США завершают разработку правил для банков о том, как хранить криптоактивы, не нарушая границ регулирования

Федеральная резервная система, Федеральная корпорация страхования депозитов и Управление контролера валюты официально изложили новые инструкции о том, как банки могут предоставлять услуги кастодиального хранения криптоактивов, не нарушая никаких регуляторных границ.

Агентства, действующие в администрации президента Дональда Трампа, выпустили совместное заявление в понедельник, объяснив, как именно традиционные кредиторы должны управлять криптоактивами своих клиентов.

Согласно Согласно заявлению, рассмотренному Cryptopolitan, эти новые инструкции заменяют более ранние предупреждения и ограничения, которые затрудняли банкам вход на крипторынок.

Обновление выходит всего через несколько месяцев после того, как регуляторы отозвали предыдущие указания по крипто-рискам в апреле и отменили директиву 2022 года, которая обязывала банки заранее уведомлять регуляторов перед началом любой криптодеятельности.

Теперь криптооперации будут контролироваться в рамках рутинного надзора, как и любой другой банковский бизнес. Агентства предупредили, что любой банк, вступающий в сферу кастодиального хранения криптоактивов, должен понимать, во что он ввязывается, и выстроить системы, способные с этим справиться.

Регуляторы требуют строгих внутренних систем перед началом кастодиального хранения

Регуляторы четко дали понять, что безопасное хранение криптоактивов означает наличие контроля над криптографическими ключами которые обеспечивают доступ к этим активам, и что этот контроль должен соответствовать всем соответствующим законам и нормативным актам.

Еще до запуска услуг кастодиального хранения банки должны оценить, как эти операции вписываются в их общий профиль рисков и стратегию. Им нужно разбираться в технологиях, быть в курсе отраслевых практик и быть готовыми к неожиданностям.

«Эффективная оценка рисков должна учитывать такие вещи, как основные финансовые риски банковской организации с учетом стратегического направления и бизнес-модели», — сказано в их совместном заявлении.

Каждый сотрудник, будь то топ-менеджер или специалист по ИТ, должен иметь подготовку и операционные знания для надлежащего управления услугами кастодиального хранения криптоактивов. В заявлении добавлено, что все части банка должны быть способны «создать адекватную операционную мощность и соответствующие механизмы контроля для безопасного и надежного проведения деятельности». Без этого фундамента им просто не разрешается предлагать эти услуги.

Руководящие принципы также требуют наличия планов действий в чрезвычайных ситуациях. Это означает наличие реального плана на случай сбоев в системах или если процесс кастодиального хранения криптоактивов дает сбой. Это не является необязательным. Это должно быть заложено в структуру банка с первого дня. Агентства заявили, что вся система должна быть достаточно гибкой, чтобы адаптироваться к быстро меняющемуся криптоландшафту. То, что работает сегодня, может не работать завтра.

Банки могут использовать внешнюю помощь, но несут полную ответственность

Банкам разрешено сотрудничать с сторонними компаниями для обеспечения безопасного хранения криптоактивов — например, использовать суб-кастодианов или провайдеров технологий. Но в заявлении подчеркивается, что банки по-прежнему несут всю ответственность. «При условии соблюдения условий и положений клиентского соглашения, банковская организация несет ответственность за деятельность, выполняемую суб-кастодианом», — заявили регуляторы.

Эта ответственность охватывает все: от того, какие криптоактивы поддерживает банк, до того, как работает технология суб-кастодиана. Даже если третья сторона выполняет большую часть работы, банк должен провести должную проверку заранее.

Это означает проверку того, как ключи создаются, хранятся и удаляются, и подтверждение того, что суб-кастодиан использует надежные средства защиты. От банков также ожидается оценка того, что произойдет с активами клиентов, если суб-кастодиан обанкротится или столкнется с операционными проблемами.

Регуляторы также рассмотрели еще одну распространенную схему: когда банк осуществляет кастодиальное хранение внутри компании, но все же использует сторонние технологии. Будь то программное обеспечение, аппаратное обеспечение или что-то среднее, банки должны оценивать риски. 

Это включает в себя решение о том, безопаснее ли создавать собственные системы или полагаться на инструменты других. В заявлении сказано: «Эффективное управление рисками… как правило, включает взвешивание рисков покупки стороннего программного обеспечения или оборудования по сравнению с обслуживанием такого программного обеспечения или оборудования в качестве услуги».

Аудит также вошел в список требований. Агентства заявили, что банки должны создавать программы аудита, специально предназначенные для их операций по кастодиальному хранению криптоактивов. Это включает в себя проверку процессов генерации, хранения и удаления ключей, проверку механизмов контроля переводов и проверку соответствия ИТ-систем стандартам безопасности. Эти аудиты также должны оценивать, обладают ли сотрудники навыками для управления крипто-рисками — и если нет, необходимо привлекать внешнюю помощь.

«Когда экспертиза в области аудита отсутствует внутри банковской организации, руководство должно привлекать соответствующие внешние ресурсы с достаточной независимостью для оценки операций по безопасному хранению криптоактивов», — заявили агентства.