UAE의 가상자산 기업은 연방 자금세탁방지 체계 전체를 적용받으며, VARA와 CMA는 그보다 더 나아간다

2025년 연방법은 가상자산 회사를 금융기관처럼 다룬다

UAE 안에서 영업하는 모든 가상자산 서비스 제공자(VASP)는 자금세탁 위험을 평가하고, 고객과 실소유자를 확인하며, 의심 사항을 금융정보분석원(FIU)에 보고하고, 표적 금융제재(targeted financial sanctions)를 즉시 이행하며, 기록을 보관해야 한다(2025년 연방법령 제10호 제18조 및 제19조). 2025년 9월 30일 공포된 이 연방법령은 2018년 자금세탁방지법을 폐지했다(제41조). 그 시행령인 2025년 내각결의 제134호는 2019년 시행령을 대체했으며(제70조), UAE 법령 포털에 따르면 2025년 12월 14일 시행되었다.

가상자산 서비스 제공자란 상업 활동으로서 타인을 위하여 또는 타인을 대신하여 가상자산 활동을 수행하는 모든 자를 말한다(제1조). 시행령 제4조는 그 활동을 열거한다. 가상자산과 법정화폐 간 또는 가상자산 간의 교환, 이전, 보관 또는 관리, 그리고 발행인의 공모나 판매와 관련된 서비스다. 연방법령 제20조는 라이선스, 등록 또는 등재 없이 이러한 활동을 하는 것을 금지한다.

감독 주체: 두바이는 VARA, 연방 차원은 CMA

두바이 국제금융센터(DIFC)를 제외한 두바이에서 VARA는 연방 자금세탁방지 법령상 모든 가상자산 사업자에 대한 지정 감독기관(Supervisory Authority)이며(VARA 규정 VI.A.3), 2022년 내각결의 제112호에 따른 위임에 근거하여 그 지역에서 의심 거래에 대한 조치를 포함한 연방 규제 당국의 라이선스 부여 및 감독 권한을 행사한다(제2조 및 제4조). VARA 라이선스 보유자는 연방 법령과 VARA 규칙(규정 VI.B.1), 그중에서도 주로 컴플라이언스 및 리스크 관리 규칙집 제III부를 따른다.

연방 차원에서는 CMA가 2026년 1월 1일부터 시행 중인 2025년 연방법령 제33호에 따라 UAE 국내와 그 비금융 자유구역 전반의 가상자산 활동을 감독한다(제39조 제3항). 2022년 내각결의 제111호와 제112호는 2025년 법률과 상충하지 않는 범위에서 효력을 유지한다(2025년 연방법령 제32호 제27조 제3항). 결의 제111호는 모든 사업자가 자금세탁방지 법령을 따르도록 하고(제8조), 연방 규제 당국이 지방 라이선스를 받은 사업자를 감독할 수 있게 한다(제9조 제2항). 2026년 2월 28일부터 시행 중인 CMA의 2026년 의장 결정 제04호는 CMA 규칙집의 자금세탁방지 편을 CMA 라이선스 보유자에게 적용한다(영업 규제 모듈 제4조).

CMA의 감독도 결의 제111호(제3조 제2항 (a)호)도 금융자유구역에는 미치지 않으며, VARA의 관할은 DIFC에서 멈춘다. 그곳의 규제 당국은 당사의 관련 기사에서 정리한다.

고객확인: 모든 거래관계, 그리고 3,500 AED 이상의 일회성 거래

고객확인은 거래관계를 시작할 때, 의심이 있을 때, 그리고 이전에 확보한 신원 확인 정보가 의심스러울 때 필요하다(시행령 제7조 제1항). 일회성 거래의 경우 가상자산 회사는 연결된 거래를 합산하여 3,500 AED 이상이면 고객확인을 한다(제7조 제3항). VARA도 같은 금액을 쓰며, 고위험 고객의 모든 거래를 대상에 추가한다(규칙 III.E.4).

법인 고객의 경우 회사는 25% 이상을 소유한 각 자연인을 확인하고, 다음으로 다른 수단으로 법인을 지배하는 자를 확인하며, 둘 다 없으면 그 고위 경영진을 확인한다(제10조). 고위험 고객과 정치적 주요인물(PEP)인 실소유자에 대해서는 VARA 라이선스 보유자가 자금 출처와 재산 출처를 검증하고, 고위 경영진의 승인을 받으며, 첫 거래가 규제 대상 금융기관에 있는 고객 명의 계좌에서 이루어지도록 요구한다(규칙 III.E.10).

고객확인을 완료할 수 없으면 거래관계도 거래도 진행할 수 없다(제14조; 규칙 III.E.8). 규제 대상 제3자에게 의존하는 것은 허용되지만, 책임은 회사에 남는다(제20조; 규칙 III.E.9).

이전, 스크리닝, 제재는 실시간으로 이루어진다

시행령 제36조 제2항에 따라 송금 측 회사는 송금인의 이름, 계좌번호 또는 지갑 주소, 거주지 또는 사업장 주소, 그리고 수취인의 이름과 계좌 또는 지갑 정보를 확보하여 이를 즉시, 안전하게 수취인 측 사업자에게 보내며, 수취인 측 사업자도 이 정보를 보유한다. VARA는 3,500 AED를 초과하는 이전에 같은 최소 기준을 적용하고, 상대방 사업자에 대한 실사와 비수탁 지갑(unhosted wallet)에 관한 판단을 요구한다(규칙 III.G.2부터 III.G.7까지).

제36조 제2항은 또한 전신송금 규칙을 포함한 제26조부터 제33조까지를 가상자산 회사에 비례적으로, 감독기관이 지시하는 바에 따라 적용하며, 제1조는 가상자산 사업자가 다른 사업자나 지갑으로 하는 이전을 전신송금으로 본다. 따라서 모든 국제 이전에는 정보가 함께 전달되고, 송금인 정보는 3,500 AED부터 검증된다(제28조 제1항 및 제3항). CMA의 자금세탁방지 편도 마찬가지로 모든 이전에 기본 정보를, 3,500 AED부터는 더 상세한 송금인 정보를 요구한다(제5장 제1조 및 제4조 제1항). 2025년 시행령 이전에 작성된 VARA 규칙은 3,500 AED 초과부터 적용되지만 연방법이 보충할 수 있는 최소 기준이며(규칙 III.G.1), 제35조 제1항은 감독기관이 이전의 범위와 한도를 정할 수 있게 한다.

제36조 제3항은 가상자산 회사에 금융기관의 모든 제재 관련 의무를 부과하며, 여기에는 집행사무국(Executive Office)에 등록하고 고객, 소유자, 거래를 UN 및 국내 명단과 대조하여 스크리닝하는 것이 포함된다(2020년 내각결의 제74호 제21조). 같은 결의 제15조는 명단 등재 후 24시간 이내의 동결과 5영업일 이내의 집행사무국 통지를 요구한다. VARA는 거래에 대한 자동화된 실시간 제재 스크리닝과, 고객, 소유자, 지갑 주소를 스크리닝하는 위험 규칙을 추가한다(규칙 III.B.3 및 III.H.1부터 III.H.5까지).

의심거래 보고, 담당 임원, 기록

의심 거래는 금액과 관계없이 지체 없이 FIU에 보고한다(연방법령 제18조). VARA는 goAML을 보고 경로로 지정하고(규칙 III.F.4), 자금세탁 보고책임자(MLRO)가 FIU나 VARA의 요청에 48시간 이내에 응답하도록 한다(규칙 III.F.3). 정보 누설(tipping off)은 금지된다(시행령 제19조). 연방법령상 정보 누설은 징역과 5만 AED 이상의 벌금 또는 그중 하나에 처해지며(제29조 제1항), 고의 또는 중대한 과실로 보고하지 않으면 징역과 10만 AED 이상 100만 AED 이하의 벌금 또는 그중 하나에 처해진다(제28조).

시행령은 경영진급의 독립적인 준법감시인(compliance officer)을 요구하며(제22조), 그 선임은 감독기관이 사전에 승인한다(제49조 제18항). VARA는 5년의 컴플라이언스 경력, UAE 거주 또는 UAE 여권, 상근 고용, 이사회에 대한 직접 보고 라인을 갖춘 준법감시인(규칙 I.C.1), 그리고 2년의 자금세탁방지 경력을 갖추고 분기마다 이사회에 보고하는 MLRO를 요구한다(규칙 III.A.1 및 III.A.2). MLRO 역할은 외부에 위탁할 수 있다(회사 규칙집 규칙 IV.A.3). CMA는 두 담당 임원 모두 UAE 국내에 거주할 것(일반 체계 모듈 제54조 제2항)과 내부통제에 관한 반기 보고서(자금세탁방지 편 제7장)를 요구한다.

기록은 연방 차원에서 최소 5년간 보관해야 하며, 그 기간은 거래나 거래관계가 끝난 때부터 진행하고, 고객확인 파일은 그 이후에 검사, 수사 또는 확정판결이 있으면 그 시점부터 진행한다(시행령 제25조). VARA에서는 8년이며 국가안보와 관련될 수 있는 기록은 무기한 보관하고(규칙 I.F.2 및 III.I.2), CMA 자금세탁방지 편에서는 10년이다(제12장 제1조). VARA는 또한 최소 3개월마다 사업 및 고객 위험평가를 하고(규칙 III.D.3 및 III.D.8), 역량 있는 제3자의 확인을 받은 자금세탁방지 정책을 갖추며 변경 시 21역일 이내에 다시 제출하도록 요구한다(규칙 III.B.4).

제재는 회사와 그 운영자에게 미친다

감독기관은 경고, 위반 1건당 1만 AED 이상 500만 AED 이하의 벌금, 이사나 활동의 정지, 라이선스 취소, 결과 공표를 할 수 있다(연방법령 제17조). 대표자나 이사가 회사를 위하여 보고 불이행, 제재 위반, 무허가 영업 같은 범죄를 저지른 경우 그 회사는 20만 AED 이상 1,000만 AED 이하의 벌금에 처해진다(제27조 제2항). 완전한 익명성을 위해 설계된 가상자산을 거래하는 것은 범죄이며(제30조 제2항), VARA는 두바이에서 익명성 강화 암호화폐와 관련 활동을 금지한다(규정 II.C.1).

VARA의 벌금표는 자금세탁방지와 고객알기(KYC) 관련 벌금을 지방법과 연방법에 따라 정하도록 남겨 둔다(규정 별표 3 항목 1). 그 밖의 컴플라이언스 및 리스크 관리 위반에는 5,000만 AED, 연간 매출의 15%, 얻은 이익 또는 회피한 손실의 300% 중 가장 큰 금액까지의 회사 대상 기준 벌금이 적용되며(항목 2), VARA는 이사, 책임자(Responsible Individual), MLRO에 대해 직접 조치할 수 있다(규칙 III.J.2; 규정 IX.C.3).

2024년 내각결의 제71호는 가상자산 회사에는 미치지 않는다. 위반 1건당 5만 AED 이상 100만 AED 이하이고 반복 시 해당 부처가 두 배로 올릴 수 있는 이 결의의 벌금은 법무부와 경제부가 감독하는 지정 비금융사업자에게 적용되며(제2조 및 제5조), 여기에는 가상자산 회사의 기업서비스 제공자가 포함될 수 있다.

문언이 겹치거나 아직 따라잡지 못한 지점

VARA의 문서는 여전히 폐지된 2018년 법률과 2019년 시행령을 인용하며(규정 VI.A.1; 별표 4), 회사 규칙집은 정치적 주요인물의 정의를 2025년 내각결의 제134호 제70조로 폐지된 2019년 시행령에서 가져온다. 별표 4가 그때그때 시행 중인 연방 자금세탁방지 법령도 포괄하므로, 당사는 VARA의 인용을 시행령 제1조의 정치적 주요인물 정의를 포함한 2025년 문서를 가리키는 것으로 읽는다.

CMA의 자금세탁방지 편은 ‘당국 또는 지방 기관이’ 라이선스를 부여한 가상자산 회사에 적용되며(제1장 제3조), CMA의 2026년 4월 서한은 회사가 따라야 할 문서 가운데 VARA 규칙집을 열거한다. 2022년 내각결의 제112호는 VARA가 자신의 라이선스 보유자를 감독하기 위한 통합 체계를 연방 규제 당국과 함께 마련하도록 요구하지만(제3조 제1항), 당사는 그 체계를 정하거나 CMA 자금세탁방지 편이 이들에게 어떻게 적용되는지 밝힌 공표 문서를 찾지 못했다. CMA의 이 편은 또한 여전히 폐지된 2018년 법률에 따른 제재를 언급한다(제12장 제4조).

담당 임원에 관해서는, VARA는 한 사람이 준법감시인과 MLRO를 겸할 수 있게 하는 반면(규칙 III.A.4), CMA 자금세탁방지 편은 준법감시인이 다른 운영 업무를 맡지 못하게 한다(제7장 제1조 제2항). CMA의 2026년 규정은 직위 겸임을 허용하는데도 그렇다(제54조 제4항).

가상자산 기업과 그 서비스 제공자가 점검하는 사항

CMA가 2026년 4월 증권회사와 VASP에 보낸 서한은 구체적인 점검 항목을 제시한다. 2025년 문서를 기준으로 한 문서화된 격차 분석, 부재 시 업무를 대신할 지정 부(副) MLRO 또는 그 밖의 권한 있는 대리인(부 MLRO를 두는 경우 상근이고 독립적이며 UAE에 거주할 것), 가능한 경우 지갑 주소까지 포함하는 제재 스크리닝, 그리고 제3자 제공업체의 결과를 그대로 믿지 않고 보정과 검증을 거친 블록체인 분석이다. 위의 규칙들은 여기에 goAML 접속과, 적용되는 가장 긴 기간에 맞춘 보관 일정을 더한다.

회사 측면에서는, 회사가 주주명부를 비치하고, 변경이 있으면 15영업일 이내에 기본 정보와 실소유자 정보를 갱신하며, 명의인은 자신을 지명한 자를 공개한다(시행령 제38조 및 제39조). VARA 라이선스 보유자는 소유자나 실소유자에 중요한 변경이 있기 전에 VARA의 서면 승인을 받아야 한다(회사 규칙집 규칙 I.A.5). 회사를 설립하거나, 사무실을 제공하거나, 비서나 명의인 역할을 하는 기업서비스 제공자는 그 자신이 지정 비금융사업자이며(시행령 제3조 제5항), 해당 회사에 대해 스스로 고객확인을 한다.

신규 사업이라면 자금세탁방지 체계는 라이선스 신청 서류에 포함되어야 한다. VARA는 라이선스 심사 과정에서 확인을 받은 정책과 트래블 룰 이행 계획을 기대한다(규칙 III.B.4 및 III.G.8).

이 글은 2026년 11월 2일 현재의 UAE 법령과 규제 당국의 규칙을 설명한다. 일반적인 정보이며 법률 자문이나 투자 자문이 아니다. Polaris는 로펌이 아니며, VARA, CMA, 중앙은행, DFSA, FSRA로부터 라이선스를 받지 않았다.