עסקי נכסים וירטואליים באיחוד האמירויות נושאים במלוא משטר ה-AML הפדרלי, ו-VARA וה-CMA מוסיפות עליו

החוק הפדרלי משנת 2025 מתייחס לחברות נכסים וירטואליים כאל מוסדות פיננסיים

כל ספק שירותי נכסים וירטואליים (VASP) הפועל מתוך איחוד האמירויות חייב להעריך את סיכוני הלבנת ההון שלו, לזהות לקוחות ונהנים בפועל, לדווח על חשד ליחידת המודיעין הפיננסי (FIU), להחיל סנקציות פיננסיות ממוקדות באופן מיידי ולשמור רשומות (סעיפים 18 ו-19 לצו-חוק פדרלי מס׳ 10 משנת 2025). צו-החוק, שהוצא ב-30 בספטמבר 2025, ביטל את חוק ה-AML משנת 2018 (סעיף 41); תקנות הביצוע שלו, החלטת מועצת השרים מס׳ 134 משנת 2025, החליפו את התקנות משנת 2019 (סעיף 70) ונכנסו לתוקף ב-14 בדצמבר 2025, לפי פורטל החקיקה של איחוד האמירויות.

ספק שירותי נכסים וירטואליים הוא כל מי שמבצע, כפעילות מסחרית, פעילויות בנכסים וירטואליים עבור אדם אחר או מטעמו (סעיף 1). סעיף 4 לתקנות מונה אותן: החלפה בין נכסים וירטואליים למטבע פיאט או בין נכסים וירטואליים, העברה, שמירה או ניהול, ושירותים הקשורים להצעה או למכירה של מנפיק. סעיף 20 לצו-החוק אוסר את הפעילות ללא רישיון, רישום או הרשמה.

מי מפקח: VARA בדובאי, ה-CMA ברמה הפדרלית

בדובאי, מחוץ למרכז הפיננסי הבינלאומי של דובאי (DIFC), VARA הוגדרה כרשות פיקוח (Supervisory Authority) על כל ספקי הנכסים הווירטואליים לפי חוקי ה-AML הפדרליים (תקנה VI.A.3 לתקנות VARA), והיא מפעילה שם את סמכויות הרישוי והפיקוח של הרגולטור הפדרלי, לרבות פעולה בעניין עסקאות חשודות, מכוח ההאצלה שבהחלטת מועצת השרים מס׳ 112 משנת 2022 (סעיפים 2 ו-4). בעלי הרישיון שלה פועלים לפי החוקים הפדרליים ולפי כללי VARA (תקנה VI.B.1), ובעיקר לפי חלק III של ספר הכללים לציות ולניהול סיכונים.

ברמה הפדרלית, רשות שוק ההון (CMA) מפקחת על פעילות בנכסים וירטואליים בכל המדינה ובאזורים החופשיים שאינם פיננסיים שבה, לפי צו-חוק פדרלי מס׳ 33 משנת 2025, שבתוקף מ-1 בינואר 2026 (סעיף 39(3)). החלטות מועצת השרים מס׳ 111 ו-112 משנת 2022 נותרות בתוקף ככל שהן מתיישבות עם החוקים משנת 2025 (סעיף 27(3) לצו-חוק פדרלי מס׳ 32 משנת 2025); החלטה 111 מחייבת כל ספק לציית לחקיקת ה-AML (סעיף 8) ומסמיכה את הרגולטור הפדרלי לפקח על ספקים בעלי רישיון מקומי (סעיף 9(2)). החלטת ה-CMA מס׳ 04/יו״ר משנת 2026, שבתוקף מ-28 בפברואר 2026, מחילה על בעלי הרישיון שלה את חלק ה-AML שבספר הכללים של ה-CMA (מודול הסדרת העסקים, סעיף 4).

לא הפיקוח של ה-CMA ולא החלטה 111 (סעיף 3(2)(a)) חלים על האזורים החופשיים הפיננסיים, ותחום סמכותה של VARA נעצר ב-DIFC; המאמר הנלווה שלנו ממפה את הרגולטורים שם.

בדיקת נאותות: כל קשר עסקי, ועסקאות מזדמנות מ-3,500 דירהם

בדיקת נאותות נדרשת בתחילת קשר עסקי, כשיש חשד וכאשר יש ספק בנתוני זיהוי קודמים (סעיף 7(1) לתקנות). בעסקאות מזדמנות, חברת נכסים וירטואליים מבצעת אותה בסכום של 3,500 דירהם ומעלה, תוך צירוף עסקאות קשורות (סעיף 7(3)); VARA משתמשת באותו סכום ומוסיפה כל עסקה של לקוח בסיכון גבוה (כלל III.E.4).

לגבי לקוח תאגידי, החברה מזהה כל יחיד המחזיק ב-25% או יותר, לאחר מכן את מי ששולט בו בדרכים אחרות, ובהיעדר שניהם, את מנהליו הבכירים (סעיף 10). לגבי לקוחות בסיכון גבוה ונהנים בפועל בעלי חשיפה פוליטית, בעל רישיון VARA מאמת את מקור הכספים ואת מקור העושר, מקבל את אישור ההנהלה הבכירה ודורש שהעסקה הראשונה תגיע מחשבון על שם הלקוח במוסד מפוקח (כלל III.E.10).

אם לא ניתן להשלים את בדיקת הנאותות, לא הקשר העסקי ולא העסקה יכולים להתקדם (סעיף 14; כלל III.E.8). מותר להסתמך על צד שלישי מפוקח, אך האחריות נשארת על החברה (סעיף 20; כלל III.E.9).

העברות, סינון וסנקציות פועלים בזמן אמת

לפי סעיף 36(2), החברה המעבירה משיגה את שמו של יוזם ההעברה, את מספר חשבונו או כתובת הארנק שלו ואת כתובת המגורים או העסק שלו, ואת שמו של המוטב ואת חשבונו או ארנקו, ושולחת אותם באופן מיידי ומאובטח לספק של המוטב, שגם הוא מחזיק בהם. VARA מחילה את אותו מינימום על העברות בשווי של יותר מ-3,500 דירהם, ודורשת בדיקת נאותות של הספקים שכנגד והחלטה בעניין ארנקים שאינם מתארחים אצל ספק (unhosted wallets; כללים III.G.2 עד III.G.7).

סעיף 36(2) מחיל על חברות נכסים וירטואליים גם את סעיפים 26 עד 33, ובהם כללי העברות הכספים האלקטרוניות (wire transfers), באופן מידתי וכפי שהרשות המפקחת מורה, וסעיף 1 רואה בהעברה של ספק נכסים וירטואליים לספק אחר או לארנק העברת כספים אלקטרונית. לכן הנתונים מלווים כל העברה בינלאומית, ופרטי יוזם ההעברה מאומתים מ-3,500 דירהם (סעיף 28(1) ו-(3)). גם חלק ה-AML של ה-CMA דורש נתונים בסיסיים בכל העברה ופרטים מלאים יותר על יוזם ההעברה מ-3,500 דירהם (פרק חמישי, סעיפים 1 ו-4(1)). הכלל של VARA, שנכתב לפני התקנות משנת 2025, מתחיל מעל 3,500 דירהם, אך הוא רף מינימום שהדין הפדרלי רשאי להשלים (כלל III.G.1), וסעיף 35(1) מאפשר לרשות המפקחת לקבוע את היקף ההעברות ואת מגבלותיהן.

סעיף 36(3) מטיל על חברות נכסים וירטואליים את כל חובות הסנקציות של מוסדות פיננסיים, לרבות רישום במשרד המבצע (Executive Office) וסינון לקוחות, בעלים ועסקאות מול רשימות האו״ם והרשימות המקומיות (סעיף 21 להחלטת מועצת השרים מס׳ 74 משנת 2020). סעיף 15 לאותה החלטה מחייב הקפאה בתוך 24 שעות מההכללה ברשימה והודעה למשרד המבצע בתוך חמישה ימי עסקים. VARA מוסיפה סינון סנקציות אוטומטי בזמן אמת של עסקאות, וכללי סיכון המסננים לקוחות, בעלים וכתובות ארנקים (כללים III.B.3 ו-III.H.1 עד III.H.5).

דיווחי חשד, נושאי משרה ורשומות

עסקאות חשודות מדווחות ל-FIU ללא דיחוי, יהא ערכן אשר יהא (סעיף 18 לצו-החוק); VARA נוקבת במערכת goAML (כלל III.F.4) ומעניקה לקצין הדיווח על הלבנת הון (MLRO) פרק זמן של 48 שעות להשיב לבקשות של ה-FIU או של VARA (כלל III.F.3). חל איסור על התרעה בדבר הדיווח (tipping off; סעיף 19 לתקנות). לפי צו-החוק, דינה של התרעה כזו מאסר וקנס של 50,000 דירהם לפחות, או אחד מהם (סעיף 29(1)), ודינה של אי-דיווח, במזיד או ברשלנות רבתי, מאסר וקנס של 100,000 דירהם עד מיליון דירהם, או אחד מהם (סעיף 28).

התקנות מחייבות קצין ציות בלתי תלוי בדרג הנהלה (סעיף 22), שמינויו טעון אישור מראש של הרשות המפקחת (סעיף 49(18)). VARA דורשת קצין ציות (Compliance Officer) בעל ניסיון של חמש שנים בתחום הציות, תושבות באיחוד האמירויות או דרכון שלה, העסקה במשרה מלאה וקו ישיר לדירקטוריון (כלל I.C.1), ו-MLRO בעל ניסיון של שנתיים בתחום ה-AML המדווח לדירקטוריון מדי רבעון (כללים III.A.1 ו-III.A.2); ניתן למסור את תפקיד ה-MLRO למיקור חוץ (ספר הכללים לחברות, כלל IV.A.3). ה-CMA דורשת ששני נושאי המשרה יתגוררו במדינה (מודול המסגרת הכללית, סעיף 54(2)), וכן דוח חצי-שנתי על הבקרות הפנימיות (חלק ה-AML, פרק שביעי).

ברמה הפדרלית יש לשמור רשומות חמש שנים לפחות, מתום העסקה או הקשר העסקי, ולגבי תיקי בדיקת נאותות, מכל ביקורת, חקירה או פסק דין חלוט מאוחרים יותר (סעיף 25 לתקנות); שמונה שנים לפי VARA, וללא הגבלת זמן כאשר הן עשויות להיות קשורות לביטחון לאומי (כללים I.F.2 ו-III.I.2); ועשר שנים לפי חלק ה-AML של ה-CMA (פרק שנים-עשר, סעיף 1). VARA דורשת גם הערכות סיכונים עסקיות והערכות סיכון של לקוחות לפחות אחת לשלושה חודשים (כללים III.D.3 ו-III.D.8), ומדיניות AML שאושרה בידי צד שלישי מוסמך ומוגשת מחדש בתוך 21 ימים קלנדריים משינוי (כלל III.B.4).

העיצומים מגיעים לחברה ולאנשים המנהלים אותה

רשות מפקחת רשאית להתרות, להטיל קנס של 10,000 דירהם עד 5 מיליון דירהם על כל הפרה, להשעות דירקטורים או את הפעילות, לבטל את הרישיון ולפרסם את התוצאה (סעיף 17 לצו-החוק). חברה שנציגיה או הדירקטורים שלה מבצעים מטעמה עבירות כגון אי-דיווח, הפרת סנקציות או פעילות ללא רישיון צפויה לקנס של 200,000 דירהם עד 10 מיליון דירהם (סעיף 27(2)). עסקאות בנכסים וירטואליים שנבנו לאנונימיות מוחלטת הן עבירה (סעיף 30(2)); VARA אוסרת בדובאי מטבעות קריפטו בעלי אנונימיות מוגברת ופעילות הקשורה בהם (תקנה II.C.1).

טבלת הקנסות של VARA מותירה את קביעת הקנסות בתחומי ה-AML והכרת הלקוח (KYC) לדין המקומי והפדרלי (התקנות, תוספת 3, מס׳ 1). הפרות אחרות של כללי הציות וניהול הסיכונים כרוכות בקנסות אינדיקטיביים לחברה של עד 50 מיליון דירהם, 15% מההכנסות השנתיות או 300% מהרווח שהושג או מההפסד שנמנע, הגבוה מביניהם (מס׳ 2), ו-VARA רשאית לפעול ישירות נגד דירקטורים, אנשים אחראים (Responsible Individuals) וה-MLRO (כלל III.J.2; תקנה IX.C.3).

החלטת מועצת השרים מס׳ 71 משנת 2024 אינה חלה על חברות נכסים וירטואליים: הקנסות שבה, 50,000 דירהם עד מיליון דירהם על כל הפרה, שהמשרד רשאי להכפיל בהפרה חוזרת, חלים על עסקים מוגדרים שבפיקוח משרד המשפטים ומשרד הכלכלה (סעיפים 2 ו-5), ואלה יכולים לכלול את נותן השירותים התאגידיים של החברה.

היכן הטקסטים חופפים או טרם עודכנו

הטקסטים של VARA עדיין מפנים לחוק משנת 2018 ולתקנות משנת 2019 שבוטלו (תקנה VI.A.1; תוספת 4), וספר הכללים לחברות שלה שואב את הגדרת האדם בעל החשיפה הפוליטית מהתקנות משנת 2019, שבוטלו בסעיף 70 להחלטת מועצת השרים מס׳ 134 משנת 2025. מאחר שתוספת 4 מכסה גם את חקיקת ה-AML הפדרלית שבתוקף מעת לעת, אנו קוראים את ההפניות של VARA כמכוונות לטקסטים משנת 2025, לרבות הגדרת האדם בעל החשיפה הפוליטית בסעיף 1 לתקנות.

חלק ה-AML של ה-CMA חל על חברות נכסים וירטואליים בעלות רישיון "מהרשות או מגופים מקומיים" (פרק ראשון, סעיף 3), ומכתב ה-CMA מאפריל 2026 מונה את ספר הכללים של VARA בין הטקסטים שהחברות חייבות לפעול לפיהם. החלטת מועצת השרים מס׳ 112 משנת 2022 מחייבת את VARA לפעול עם הרגולטור הפדרלי לקראת מנגנון אחוד לפיקוח על בעלי הרישיון שלה (סעיף 3(1)), אך לא מצאנו טקסט שפורסם המפרט מנגנון זה או הקובע כיצד חלק ה-AML של ה-CMA חל עליהם. חלק זה של ה-CMA גם עדיין מפנה לעיצומים לפי החוק משנת 2018 שבוטל (פרק שנים-עשר, סעיף 4).

באשר לנושאי המשרה, VARA מתירה לאדם אחד לשמש קצין ציות ו-MLRO (כלל III.A.4), ואילו חלק ה-AML של ה-CMA מרחיק את קצין הציות מתפקידים תפעוליים אחרים (פרק שביעי, סעיף 1(2)), אף שהתקנה של ה-CMA משנת 2026 מתירה איחוד תפקידים (סעיף 54(4)).

מה בודקים עסק נכסים וירטואליים ונותני השירותים שלו

מכתב ה-CMA מאפריל 2026 לחברות ניירות ערך ול-VASP מצביע על בדיקות קונקרטיות: ניתוח פערים מתועד מול הטקסטים משנת 2025; סגן MLRO ייעודי או חלופה מורשית אחרת לכיסוי היעדרויות, כשכל סגן מועסק במשרה מלאה, בלתי תלוי ותושב איחוד האמירויות; סינון סנקציות הכולל כתובות ארנקים היכן שהדבר אפשרי; וכלי ניתוח בלוקצ׳יין מכוילים ומתוקפים, ולא כאלה שמתקבלים כמות שהם מספק צד שלישי. הכללים שתוארו לעיל מוסיפים גישה ל-goAML ולוח זמנים לשמירת רשומות המותאם לתקופה הארוכה ביותר החלה.

בצד התאגידי, החברה מנהלת את מרשם בעלי המניות שלה, מעדכנת את המידע הבסיסי ואת המידע על הנהנים בפועל בתוך 15 ימי עבודה משינוי, ובעלי מניות ממונים (nominees) מגלים את זהות מי שמינה אותם (סעיפים 38 ו-39 לתקנות). בעל רישיון VARA זקוק לאישור בכתב של VARA לפני כל שינוי מהותי בבעליו או בנהנים בפועל שלו (ספר הכללים לחברות, כלל I.A.5). נותן שירותים תאגידיים המקים את החברה, מספק לה משרד או משמש מזכיר או ממונה שלה הוא עצמו עסק מוגדר (סעיף 3(5) לתקנות), והוא מבצע בדיקת נאותות משלו על החברה.

במיזם חדש, מסגרת ה-AML היא חלק מתיק הרישוי: VARA מצפה למדיניות מאושרת ולתוכנית ליישום כלל המסע כבר בשלב הרישוי (כללים III.B.4 ו-III.G.8).

מאמר זה מתאר את חוקי איחוד האמירויות ואת כללי הרגולטורים נכון ל-2 בנובמבר 2026. זהו מידע כללי ואינו ייעוץ משפטי או ייעוץ השקעות. Polaris אינה משרד עורכי דין ואינה בעלת רישיון של VARA, של ה-CMA, של הבנק המרכזי, של ה-DFSA או של ה-FSRA.