Artykuły eksperckie

Rynek kryptowalut w Polsce dynamicznie się rozwija pomimo braku regulacji krajowych wydanych na podostawie rozporządzenia MICA, a wraz z nim rośnie zainteresowanie przejęciami spółek posiadających wpis do rejestru dostawców usług w zakresie walut wirtualnych (VASP). Zakup takiej spółki może znacznie przyspieszyć wejście na rynek, jednak wymaga przeprowadzenia kompleksowego due diligence. W obliczu nadchodzącej w 2025 roku pełnej implementacji rozporządzenia MiCA, proces weryfikacji nabiera szczególnego znaczenia i wymaga znacznie bardziej pogłębionego podejścia.

Szukasz gotowej spółki wpisanej do rejestru VASP przed 30.12.2024 r.?
Skontaktuj się z nami poprzez formularz kontaktowy znajdujący się na końcu tego artykułu!

Status regulacyjny i zgodność z przepisami

Fundamentem działalności każdej spółki VASP jest wpis do odpowiedniego rejestru prowadzonego przez Ministra Finansów. Weryfikacja statusu regulacyjnego powinna obejmować sprawdzenie daty wpisu do rejestru oraz nadanego numeru identyfikacyjnego. Równie istotne jest potwierdzenie aktualnego statusu podmiotu w rejestrze oraz dokładne ustalenie zakresu usług, do których świadczenia spółka jest uprawniona. Nie można zapomnieć o weryfikacji, czy podmiot dokonał obowiązkowego zgłoszenia do Generalnego Inspektora Informacji Finansowej, co jest wymogiem ustawowym dla wszystkich podmiotów wpisanych do rejestru VASP.

Kluczową zmianą jest nadchodząca transformacja z systemu rejestracji VASP do obowiązkowego licencjonowania CASP w ramach rozporządzenia MiCA. Od 2025 roku Polska rozpocznie wdrażanie ogólnoeuropejskiego rozporządzenia o rynkach kryptoaktywów, które wprowadza obowiązkowe licencjonowanie dla firm kryptowalutowych, teraz określanych jako dostawcy usług w zakresie kryptoaktywów (CASP). Nowe przepisy znacząco zaostrzają dotychczasowe wymogi, wprowadzając wyższe progi kapitałowe, bardziej rygorystyczne kontrole wewnętrzne, rozszerzone obowiązki informacyjne oraz wymóg fizycznej obecności w UE.

Okres przejściowy pozwala podmiotom, które legalnie świadczyły usługi przed 30 grudnia 2024 roku, kontynuować działalność do połowy 2026 roku. Ta kontynuacja jest jednak warunkowa i wymaga zgodności z przepisami MiCA oraz terminowego złożenia kompleksowej aplikacji o licencję CASP. Przedłużenie to nie jest automatyczne i wymaga proaktywnego zaangażowania oraz pomyślnego przejścia nowego procesu aplikacyjnego przez VASP.

Sprawdź również: Jak uzyskać licencję kryptowalutową CASP w Polsce?

Historia działalności operacyjnej spółki z licencją VASP

Rzeczywista działalność gospodarcza stanowi kluczowy element weryfikacji wartości przejmowanej spółki. Praktyka pokazuje, że niektóre podmioty posiadające wpis do rejestru VASP prowadzą jedynie marginalną działalność operacyjną, która nie ma charakteru zorganizowanego, ciągłego i rentownego. Taka sytuacja może sugerować, że spółka została utworzona głównie w celu uzyskania wpisu do rejestru, a nie prowadzenia rzeczywistego biznesu w obszarze kryptowalut.

Dogłębna analiza powinna obejmować przegląd historii transakcji i obrotów spółki, szczegółową weryfikację dokumentacji finansowej, w tym wyciągów bankowych i faktur, oraz ocenę bazy klientów i zawartych umów. Nie mniej istotne jest zbadanie infrastruktury technicznej i operacyjnej, która powinna odpowiadać deklarowanemu zakresowi działalności.

Szczególną uwagę należy zwrócić na fakt, że Polska Komisja Nadzoru Finansowego (KNF) sama przyznała, że istnieje „obecny brak regulacji i nadzoru” na rynku walut wirtualnych. Dodatkowo, międzynarodowe organy takie jak MONEYVAL, choć odnotowały pewne poprawy w polskich środkach AML/CFT, nadal kategoryzują kraj jako „częściowo zgodny” w kilku kluczowych rekomendacjach.

Szczególnie niepokojący jest wynik audytu Najwyższej Izby Kontroli (NIK), który wykazał „ograniczoną skuteczność” krajowego systemu AML/CFT, plasując Polskę wśród dziesięciu europejskich krajów o najwyższym ryzyku prania pieniędzy (9. miejsce na 31).

Struktura właścicielska i kapitał zakładowy

Transparentność struktury właścicielskiej jest fundamentalna w branży kryptowalutowej, gdzie zaufanie stanowi podstawę relacji biznesowych. Wiele spółek VASP w Polsce posiada minimalny kapitał zakładowy wynoszący 5000 PLN, co choć jest zgodne z wymogami prawnymi dla spółek z ograniczoną odpowiedzialnością, może wskazywać na ograniczone zasoby finansowe podmiotu.

W ramach MiCA wymogi kapitałowe dramatycznie wzrastają. Wprowadzany jest system poziomowy dla minimalnego kapitału autoryzowanego, bezpośrednio powiązany z zakresem i charakterem świadczonych usług kryptoaktywowych. Dla CASP klasy 1, świadczących usługi takie jak doradztwo, przyjmowanie i przekazywanie zleceń czy zarządzanie portfelem, minimalny kapitał wynosi 50 000 euro. CASP klasy 2, obejmujące dodatkowo wymianę kryptoaktywów i prowadzenie platformy obrotu, wymagają kapitału 125 000 euro. Najwyższa klasa 3, obejmująca dodatkowo usługi powiernicze, wymaga kapitału 150 000 euro. Dodatkowo wszystkie CASP muszą utrzymywać kapitał rezerwowy równy 25% stałych wydatków z poprzedniego roku.

Szczególną uwagę należy zwrócić na historię zmian właścicielskich, gdyż częste zmiany udziałowców mogą sygnalizować problemy lub spekulacyjny charakter działalności. Weryfikacja obywatelstwa i pochodzenia udziałowców oraz identyfikacja rzeczywistego beneficjenta są niezbędne dla oceny ryzyka związanego z transakcją. Nadchodzące rozporządzenie UE w sprawie przeciwdziałania praniu pieniędzy (AMLR) obniża próg identyfikacji UBO do „25% lub więcej” udziałów lub praw głosu, co będzie wymagało od podmiotów zobowiązanych identyfikacji szerszego grona beneficjentów rzeczywistych.

Zgodność z przepisami podatkowymi

Status podatkowy spółki może ujawnić istotne problemy z przestrzeganiem przepisów. Weryfikacja powinna obejmować sprawdzenie obecności podmiotu na białej liście podatników VAT oraz uzyskanie aktualnego certyfikatu o braku zaległości podatkowych z urzędu skarbowego. Terminowość składania sprawozdań finansowych świadczy o rzetelności prowadzenia działalności, a analiza historii rozliczeń podatkowych może ujawnić potencjalne ryzyka fiskalne.

Przypadki odmowy rejestracji jako podatnika VAT lub wykreślenia z rejestru mogą wskazywać na problemy z rozliczeniami lub brak rzeczywistej działalności gospodarczej, co powinno być sygnałem ostrzegawczym dla potencjalnego nabywcy.

Zgodnie z przepisami MiCA, CASP są zobowiązane do przestrzegania ustalonych standardów rachunkowości i regularnego składania raportów finansowych organom regulacyjnym. Certyfikowany audyt staje się obowiązkowy, jeśli firma spełnia co najmniej dwa z następujących warunków: roczne przychody przekraczające 5 milionów euro, roczny obrót przekraczający 2,5 miliona euro lub liczba pracowników większa niż 50.

Dokumentacja finansowa i sprawozdawczość

Rzetelność sprawozdań finansowych pozwala ocenić rzeczywistą kondycję spółki. Analiza powinna obejmować weryfikację złożonych sprawozdań finansowych za poprzednie lata obrotowe oraz dokładne zbadanie wyników finansowych, ze szczególnym uwzględnieniem trendów w zakresie zysków i strat. Struktura przychodów i kosztów może ujawnić źródła dochodów spółki oraz efektywność jej działalności operacyjnej. Ocena płynności finansowej jest kluczowa dla określenia zdolności spółki do kontynuowania działalności.

Sprawozdania finansowe polskich spółek można uzyskać poprzez publiczne zasoby, takie jak Krajowy Rejestr Sądowy (KRS) lub wyspecjalizowane serwisy. Znaczący wzrost wymogów kapitałowych, w połączeniu z obowiązkiem certyfikowanych audytów dla większych podmiotów, sygnalizuje wyraźne przesunięcie w kierunku zapewnienia rzeczywistej substancji finansowej i stabilności.

Due diligence musi teraz obejmować dokładną analizę finansową, która wykracza poza proste sprawdzanie kapitału minimalnego. Powinna krytycznie oceniać długoterminowe prognozy finansowe VASP, polityki zarządzania płynnością oraz wskaźniki wypłacalności, aby upewnić się, że firma może utrzymać działalność i wchłonąć wstrząsy rynkowe.

Obecność online i reputacja

W branży fintech i kryptowalut profesjonalna obecność online jest standardem rynkowym. Brak funkcjonującej strony internetowej, platformy transakcyjnej czy aktywności w mediach społecznościowych powinien budzić poważne wątpliwości co do rzeczywistego charakteru działalności spółki. Weryfikacja reputacji powinna obejmować analizę opinii klientów, wzmianek w mediach zarówno pozytywnych, jak i negatywnych, oraz ogólnego wizerunku spółki w branży.

Podmioty prowadzące rzeczywistą działalność w zakresie usług kryptowalutowych z reguły dbają o swoją widoczność online i aktywnie komunikują się z rynkiem, dlatego jej brak może wskazywać na fasadowy charakter działalności. MiCA nakłada obowiązek uczciwych praktyk marketingowych i zakazuje wprowadzających w błąd oświadczeń o kryptoaktywach. CASP są zobowiązane do działania w sposób uczciwy, rzetelny i profesjonalny wobec swoich klientów, konsekwentnie stawiając interes klienta na pierwszym miejscu.

Zgodność z przepisami AML/CFT

Wdrożenie solidnej struktury AML/CFT jest najważniejsze dla każdego VASP, szczególnie w jurysdykcji takiej jak Polska, która była przedmiotem kontroli w zakresie historycznej skuteczności w tym obszarze. Instytucje zobowiązane są wymagane do wdrożenia i utrzymywania wewnętrznych polityk, procedur i kontroli AML, które zasadniczo obejmują kompleksowe środki oceny ryzyka.

Ocena ryzyka musi być skrupulatnie dostosowana do specyficznego charakteru i zakresu działalności VASP, obejmując krytyczne czynniki, takie jak profile klientów, kraje lub obszary geograficzne działalności, rodzaje oferowanych produktów i usług, wzorce transakcji i kanały dostawy. Zauważalną luką jest jednak brak w obecnej ustawie AML/CFT konkretnego przepisu wymagającego od podmiotów raportujących identyfikacji i oceny ryzyk AML/TF, które mogą wynikać konkretnie z rozwoju nowych produktów, nowych praktyk biznesowych lub wykorzystania nowych lub rozwijających się technologii.

Due diligence musi zatem wyraźnie ocenić, jak VASP identyfikuje, ocenia i łagodzi ryzyko AML/TF związane z nowymi lub ewoluującymi produktami krypto, usługami i technologiami (np. protokoły zdecentralizowanych finansów (DeFi), tokeny niewymienne (NFT), monety prywatności, miksery i tumblery). Wewnętrzna struktura oceny ryzyka VASP powinna idealnie wykraczać poza minimalne wymogi ustawowe, aby proaktywnie radzić sobie z tymi pojawiającymi się zagrożeniami.

Szczególnie niepokojący jest udokumentowany zaległości w analizie STR przez GIFI, ze średnim czasem oczekiwania wynoszącym co najmniej 338 dni roboczych (490 dni kalendarzowych) na zakwalifikowanie raportów do analizy. Ta sytuacja podkreśla znaczną lukę między wymogami regulacyjnymi de jure a zdolnościami egzekucyjnymi i nadzorczymi de facto.

Odporność operacyjna i techniczna

Cyfrowy charakter usług związanych z aktywami wirtualnymi nieodłącznie wiąże rentowność VASP z jego odpornością operacyjną i techniczną. Wejście w życie rozporządzenia o cyfrowej odporności operacyjnej (DORA) dodatkowo formalizuje te krytyczne wymagania w całym sektorze finansowym UE.

Rozporządzenie DORA, które ma zastosowanie od 17 stycznia 2025 roku, nakłada obowiązkowe wymagania dotyczące zarządzania ryzykiem ICT i zarządzania, reagowania na incydenty i raportowania, testowania odporności operacyjnej cyfrowej oraz zarządzania ryzykiem stron trzecich. CASP są zobowiązane do definiowania, ustanawiania i wdrażania kompleksowych polityk zarządzania ryzykiem technologii informacyjno-komunikacyjnych (ICT). Obejmuje to przeprowadzanie regularnych ocen ryzyka ICT w celu identyfikacji podatności, zagrożeń i potencjalnych skutków biznesowych.

Dobrze zdefiniowany proces zarządzania incydentami związanymi z ICT jest podstawowym wymogiem, umożliwiającym CASP wykrywanie, zarządzanie i powiadamianie odpowiednich organów o incydentach. Poważne incydenty muszą być zgłaszane regulatorom w ciągu czterech godzin od wykrycia, a kompleksowy raport uzupełniający musi być złożony w ciągu jednego miesiąca.

MiCA dodatkowo formalizuje oczekiwania dotyczące cyberbezpieczeństwa, nakazując CASP wdrożenie odpowiednich technicznych i organizacyjnych środków bezpieczeństwa w celu ochrony ich systemów i danych. CASP są wyraźnie zobowiązane do przeprowadzania regularnych audytów bezpieczeństwa i testów penetracyjnych.

Zarządzanie i kluczowy personel

Integralność i kompetencje kierownictwa VASP oraz kluczowego personelu mają fundamentalne znaczenie dla zgodności regulacyjnej i sukcesu operacyjnego. Zarząd i beneficjenci rzeczywiści muszą spełniać rygorystyczne kryteria „odpowiedniości i stosowności”. Wymaga to od nich posiadania odpowiedniego doświadczenia lub wykształcenia w sektorze finansowym lub aktywów wirtualnych oraz braku karalności, szczególnie w zakresie przestępstw gospodarczych lub finansowych.

Menedżerowie wyższego szczebla muszą wykazać się niezbędnym doświadczeniem i kwalifikacjami, takimi jak ukończenie szkoleń lub kursów obejmujących kwestie prawne lub praktyczne związane z walutami wirtualnymi lub co najmniej jeden rok udowodnionego doświadczenia w tej dziedzinie. Szerszy skład personelu powinien również obejmować specjalistów z doświadczeniem w kryptowalutach, fintech i zgodności.

Informacje o karalności osób fizycznych w Polsce można uzyskać z Krajowego Rejestru Karnego za opłatą (30 PLN za wersję papierową, 20 PLN za elektroniczną). Due diligence powinno dążyć do oceny kultury zgodności i etyki w kierownictwie VASP. Może to obejmować przeprowadzanie szczegółowych wywiadów z kluczowym personelem, przeglądanie ich zawodowego doświadczenia pod kątem wszelkich wcześniejszych naruszeń regulacyjnych oraz ocenę ich zrozumienia i rzeczywistego zaangażowania w zasady MiCA.

Relacje bankowe i stabilność operacyjna

Zdolność VASP do nawiązania i utrzymania stabilnych relacji bankowych jest krytycznym komponentem operacyjnym, szczególnie w celu ułatwienia fiat on/off-ramps. Otwarcie konta bankowego dla firmy kryptowalutowej jest generalnie możliwe z polską licencją krypto, często ułatwiane przez europejskie instytucje pieniądza elektronicznego (EMI).

Kluczową korzyścią uzyskania licencji kryptowalutowej jest jej rola w wykazaniu wiarygodności wobec tradycyjnych instytucji bankowych, które często są ostrożne w angażowaniu się w sektor krypto ze względu na postrzegane ryzyko AML/CFT. MiCA wyraźnie wymaga, aby CASP zapewniły, że środki klientów są przechowywane na oddzielnych rachunkach w instytucjach kredytowych UE. Jest to kluczowe zabezpieczenie dla ochrony aktywów klientów, szczególnie w przypadku niewypłacalności VASP.

Due diligence musi ocenić stabilność i solidność relacji bankowych VASP, a nie tylko ich istnienie. Obejmuje to zrozumienie liczby i reputacji ich partnerów bankowych, ich planów awaryjnych w przypadku zakończenia relacji bankowej oraz ich udowodnionej zdolności do zapewnienia segregacji środków klientów zgodnie z wymogami MiCA.

Zgodność z regułą podróży i zarządzanie ryzykiem kontrahenta

Reguła podróży FATF nakłada obowiązek na VASP zbierania, przechowywania i przesyłania określonych informacji o nadawcy i odbiorcy dla transakcji aktywów wirtualnych przekraczających próg 1000 USD lub 1000 EUR. Co kluczowe, reguła podróży wymaga również od VASP przeprowadzenia due diligence na kontrahentach VASP.

Obejmuje to ocenę solidności programów AML/CFT kontrahenta, ich ram przechowywania danych i bezpieczeństwa, ich statusu licencjonowania i rejestracji oraz ich zgodności z samą regułą podróży. Ta ocena musi nastąpić przed jakimkolwiek transferem danych w ramach reguły podróży. Historia Polski w nakładaniu kar za naruszenia sankcji podkreśla powagę tych obowiązków.

Licencja CASP – Kancelaria After Legal

Zakup spółki z wpisem do rejestru VASP może być atrakcyjną opcją wejścia na rynek kryptowalut w Polsce, jednak wymaga szczególnej ostrożności i przeprowadzenia kompleksowego procesu weryfikacyjnego. Transformacja z systemu rejestracji na obowiązkowe licencjonowanie w ramach MiCA fundamentalnie zmienia krajobraz operacyjny i finansowy dla VASP. Przed podjęciem decyzji o akwizycji niezbędne jest przeprowadzenie dokładnego due diligence obejmującego wszystkie wymienione obszary, ze szczególnym uwzględnieniem przygotowania strategicznego do MiCA, skuteczności wewnętrznych ram zgodności, odporności operacyjnej i zarządzania ryzykiem stron trzecich, substancji finansowej i integralności zarządzania oraz podatności reputacyjnej.

Tylko kompleksowa weryfikacja, wsparta ciągłym monitorowaniem ewolucji regulacyjnej i proaktywnym zaangażowaniem w proces transformacji MiCA, pozwoli uniknąć zakupu podmiotu nieprzygotowanego na nowe wymogi regulacyjne i zapewni solidne podstawy do rozwoju biznesu kryptowalutowego w Polsce. Warto również rozważyć zaangażowanie wyspecjalizowanych doradców prawnych i finansowych, którzy pomogą w przeprowadzeniu profesjonalnego procesu due diligence dostosowanego do szybko ewoluującego środowiska regulacyjnego.

Zespół Kancelarii After Legal zapewnia kompleksowe wsparcie na każdym etapie prowadzonej działalności. Obsługujemy podmioty VASP i koordynujemy ich przekształcenie w CASP w miarę kształtowania się krajowych przepisów. Doradzamy nowym podmiotom, jak uzyskać CASP. Dzięki naszemu doradztwu prawnemu przedsiębiorcy mogą działać zgodnie z prawem i dalej się rozwijać!