На бизнес с виртуальными активами в ОАЭ распространяется весь федеральный режим ПОД/ФТ, а VARA и CMA требуют ещё больше

Федеральный закон 2025 года приравнивает фирмы с виртуальными активами к финансовым учреждениям

Каждый поставщик услуг в сфере виртуальных активов (VASP), работающий из ОАЭ, обязан оценивать свои риски отмывания денег, идентифицировать клиентов и бенефициарных владельцев, сообщать о подозрениях в Подразделение финансовой разведки (FIU), незамедлительно применять адресные финансовые санкции и хранить записи (статьи 18 и 19 Федерального декрета-закона № 10 от 2025 года). Декрет-закон, изданный 30 сентября 2025 года, отменил закон о ПОД/ФТ 2018 года (статья 41); его исполнительный регламент — Постановление Кабинета министров № 134 от 2025 года — заменил регламент 2019 года (статья 70) и, по данным Портала законодательства ОАЭ, вступил в силу 14 декабря 2025 года.

Поставщик услуг в сфере виртуальных активов — это любое лицо, которое в качестве коммерческой деятельности осуществляет операции с виртуальными активами для другого лица или от его имени (статья 1). Статья 4 Исполнительного регламента перечисляет эти операции: обмен между виртуальными активами и фиатной валютой или между виртуальными активами, перевод, хранение или администрирование, а также услуги, связанные с предложением или продажей со стороны эмитента. Статья 20 Декрета-закона запрещает такую деятельность без лицензии, регистрации или постановки на учёт.

Кто надзирает: VARA в Дубае, CMA на федеральном уровне

В Дубае за пределами Дубайского международного финансового центра (DIFC) VARA является назначенным надзорным органом (Supervisory Authority) для всех поставщиков услуг в сфере виртуальных активов по федеральному законодательству о ПОД/ФТ (п. VI.A.3 Регламента VARA) и осуществляет там лицензионные и надзорные полномочия федерального регулятора, включая меры в отношении подозрительных операций, в порядке делегирования по Постановлению Кабинета министров № 112 от 2022 года (статьи 2 и 4). Лицензиаты VARA соблюдают федеральные законы и правила VARA (п. VI.B.1 Регламента VARA), прежде всего часть III Свода правил по комплаенсу и управлению рисками.

На федеральном уровне Управление по рынку капитала (CMA) осуществляет надзор за деятельностью с виртуальными активами по всей стране и в её нефинансовых свободных зонах на основании Федерального декрета-закона № 33 от 2025 года, действующего с 1 января 2026 года (статья 39(3)). Постановления Кабинета министров № 111 и 112 от 2022 года остаются в силе в той мере, в какой согласуются с законами 2025 года (статья 27(3) Федерального декрета-закона № 32 от 2025 года); Постановление № 111 обязывает каждого поставщика соблюдать законодательство о ПОД/ФТ (статья 8) и позволяет федеральному регулятору осуществлять надзор за поставщиками с местной лицензией (статья 9(2)). Решение CMA № 04/Председатель от 2026 года, действующее с 28 февраля 2026 года, распространяет на лицензиатов CMA раздел свода правил CMA о ПОД/ФТ (Модуль регулирования деятельности, статья 4).

Ни надзор CMA, ни Постановление № 111 (статья 3(2)(a)) не распространяются на финансовые свободные зоны, а компетенция VARA заканчивается на границе DIFC; регуляторы в этих зонах описаны в нашей парной статье.

Надлежащая проверка: все деловые отношения и разовые операции от 3500 AED

Надлежащая проверка обязательна при установлении деловых отношений, при возникновении подозрений и при сомнениях в ранее полученных идентификационных данных (статья 7(1) Исполнительного регламента). При разовых операциях фирма, работающая с виртуальными активами, проводит её начиная с 3500 AED, суммируя связанные операции (статья 7(3)); VARA использует ту же сумму и добавляет любую операцию клиента с высоким уровнем риска (правило III.E.4).

В отношении клиента — юридического лица фирма устанавливает каждое физическое лицо, владеющее 25% или более, затем того, кто контролирует его иными способами, а при отсутствии тех и других — его высших руководителей (статья 10). В отношении клиентов с высоким уровнем риска и бенефициарных владельцев, являющихся публичными должностными лицами, лицензиат VARA проверяет источник средств и источник благосостояния, получает одобрение высшего руководства и требует, чтобы первая операция была проведена со счёта на имя клиента в регулируемом учреждении (правило III.E.10).

Если надлежащую проверку невозможно завершить, ни деловые отношения, ни операция не могут продолжаться (статья 14; правило III.E.8). Опора на проверку, проведённую регулируемым третьим лицом, допускается, но ответственность остаётся на фирме (статья 20; правило III.E.9).

Переводы, скрининг и санкции — в реальном времени

Согласно статье 36(2) фирма отправителя получает имя или наименование отправителя, номер его счёта или адрес кошелька и адрес места жительства или ведения деятельности, а также имя или наименование получателя и его счёт или кошелёк и незамедлительно и защищённым способом передаёт эти данные поставщику получателя, который также их хранит. VARA применяет тот же минимум к переводам на сумму свыше 3500 AED и требует надлежащей проверки поставщиков-контрагентов и решения в отношении некастодиальных кошельков (правила III.G.2–III.G.7).

Статья 36(2) также распространяет на фирмы, работающие с виртуальными активами, статьи 26–33, в том числе правила об электронных переводах, — соразмерно и в соответствии с указаниями надзорного органа, а статья 1 считает электронным переводом перевод, совершаемый поставщиком услуг в сфере виртуальных активов другому поставщику или на кошелёк. Поэтому данные сопровождают каждый международный перевод, а сведения об отправителе проверяются начиная с 3500 AED (статья 28(1) и (3)). Раздел CMA о ПОД/ФТ также требует базовых данных по каждому переводу и более полных сведений об отправителе начиная с 3500 AED (глава пятая, статьи 1 и 4(1)). Правило VARA, написанное до Исполнительного регламента 2025 года, начинается с сумм свыше 3500 AED, но является минимумом, который может дополняться федеральным законодательством (правило III.G.1), а статья 35(1) позволяет надзорному органу устанавливать объём и пределы переводов.

Статья 36(3) возлагает на фирмы, работающие с виртуальными активами, все санкционные обязанности финансовых учреждений, включая регистрацию в Исполнительном офисе и проверку клиентов, владельцев и операций по спискам ООН и местным спискам (статья 21 Постановления Кабинета министров № 74 от 2020 года). Статья 15 этого Постановления требует заморозить активы в течение 24 часов после включения лица в список и уведомить Исполнительный офис в течение пяти рабочих дней. VARA добавляет автоматизированный санкционный скрининг операций в реальном времени и правила управления рисками, по которым проверяются клиенты, владельцы и адреса кошельков (правила III.B.3 и III.H.1–III.H.5).

Сообщения о подозрениях, ответственные лица и записи

О подозрительных операциях сообщается в FIU без промедления, независимо от их суммы (статья 18 Декрета-закона); VARA называет систему goAML (правило III.F.4) и даёт ответственному сотруднику по сообщениям об отмывании денег (MLRO) 48 часов на ответ на запросы FIU или VARA (правило III.F.3). Предупреждение клиента о направлении сообщения (tipping off) запрещено (статья 19 Исполнительного регламента). По Декрету-закону оно наказывается лишением свободы и штрафом не менее 50 000 AED либо одним из этих наказаний (статья 29(1)), а несообщение, умышленное или по грубой неосторожности, — лишением свободы и штрафом от 100 000 AED до 1 млн AED либо одним из этих наказаний (статья 28).

Исполнительный регламент требует назначить независимого комплаенс-офицера на уровне руководства (статья 22), назначение которого надзорный орган одобряет заранее (статья 49(18)). VARA требует комплаенс-офицера с пятилетним опытом в комплаенсе, резидентством или паспортом ОАЭ, полной занятостью и прямым доступом к совету директоров (правило I.C.1), а также MLRO с двухлетним опытом в сфере ПОД/ФТ, ежеквартально отчитывающегося перед советом директоров (правила III.A.1 и III.A.2); функцию MLRO можно передать на аутсорсинг (Свод правил для компаний, правило IV.A.3). CMA требует, чтобы оба ответственных лица проживали в ОАЭ (Модуль общих положений, статья 54(2)), и полугодового отчёта о внутреннем контроле (раздел о ПОД/ФТ, глава седьмая).

Записи должны храниться не менее пяти лет по федеральному праву — с момента завершения операции или деловых отношений, а для досье надлежащей проверки — с момента любой более поздней инспекции, расследования или окончательного судебного решения (статья 25 Исполнительного регламента); восемь лет по правилам VARA и бессрочно, если они могут касаться национальной безопасности (правила I.F.2 и III.I.2); и десять лет по разделу CMA о ПОД/ФТ (глава двенадцатая, статья 1). VARA также требует оценки рисков бизнеса и клиентов не реже одного раза в три месяца (правила III.D.3 и III.D.8) и политик ПОД/ФТ, заверенных компетентным третьим лицом и повторно подаваемых в течение 21 календарного дня после изменения (правило III.B.4).

Санкции касаются и компании, и тех, кто ею управляет

Надзорный орган вправе вынести предупреждение, наложить штраф от 10 000 AED до 5 млн AED за каждое нарушение, отстранить директоров или приостановить деятельность, отозвать лицензию и опубликовать результат (статья 17 Декрета-закона). Компании, чьи представители или директора от её имени совершают такие преступления, как несообщение, нарушение санкций или работа без лицензии, грозит штраф от 200 000 AED до 10 млн AED (статья 27(2)). Операции с виртуальными активами, рассчитанными на полную анонимность, являются преступлением (статья 30(2)); VARA запрещает в Дубае криптовалюты с повышенной анонимностью и связанную с ними деятельность (п. II.C.1 Регламента VARA).

Шкала штрафов VARA оставляет определение штрафов за нарушения в сфере ПОД/ФТ и KYC местному и федеральному законодательству (Регламент VARA, Приложение 3, № 1). За иные нарушения правил по комплаенсу и управлению рисками компаниям грозят ориентировочные штрафы до 50 млн AED, 15% годовой выручки или 300% полученной прибыли либо избежанного убытка — в зависимости от того, какая сумма больше (№ 2), а VARA вправе принимать меры непосредственно против директоров, ответственных лиц (Responsible Individuals) и MLRO (правило III.J.2; п. IX.C.3 Регламента VARA).

Постановление Кабинета министров № 71 от 2024 года на фирмы, работающие с виртуальными активами, не распространяется: его штрафы от 50 000 AED до 1 млн AED за каждое нарушение, которые министерство может удвоить при повторном нарушении, применяются к установленным нефинансовым предприятиям и профессиям, находящимся под надзором Министерства юстиции и Министерства экономики (статьи 2 и 5), — в их число может входить поставщик корпоративных услуг такой фирмы.

Где тексты пересекаются или не успели обновиться

Тексты VARA по-прежнему ссылаются на отменённые закон 2018 года и регламент 2019 года (п. VI.A.1 Регламента VARA; Приложение 4), а Свод правил VARA для компаний берёт определение публичного должностного лица из регламента 2019 года, отменённого статьёй 70 Постановления Кабинета министров № 134 от 2025 года. Поскольку Приложение 4 охватывает и федеральное законодательство о ПОД/ФТ в редакции, действующей на соответствующий момент, мы читаем ссылки VARA как отсылающие к текстам 2025 года, включая определение публичного должностного лица в статье 1 Исполнительного регламента.

Раздел CMA о ПОД/ФТ применяется к фирмам, работающим с виртуальными активами и лицензированным «Управлением или местными органами» (глава первая, статья 3), а письмо CMA от апреля 2026 года включает свод правил VARA в число текстов, которые фирмы обязаны соблюдать. Постановление Кабинета министров № 112 от 2022 года обязывает VARA вместе с федеральным регулятором вырабатывать единый механизм надзора за лицензиатами VARA (статья 3(1)), но мы не нашли ни одного опубликованного текста, который устанавливал бы такой механизм или говорил, как раздел CMA о ПОД/ФТ применяется к этим лицензиатам. Раздел CMA к тому же по-прежнему отсылает к санкциям по отменённому закону 2018 года (глава двенадцатая, статья 4).

Что касается ответственных лиц, VARA позволяет одному человеку быть одновременно комплаенс-офицером и MLRO (правило III.A.4), тогда как раздел CMA о ПОД/ФТ не допускает совмещения комплаенс-офицером других операционных функций (глава седьмая, статья 1(2)), хотя регулирование CMA 2026 года разрешает совмещение должностей (статья 54(4)).

Что проверяют бизнес с виртуальными активами и его поставщики услуг

Письмо CMA от апреля 2026 года фирмам, работающим с ценными бумагами, и VASP указывает на конкретные проверки: задокументированный анализ несоответствий текстам 2025 года; назначенный заместитель MLRO или иная уполномоченная замена на время отсутствия, причём заместитель должен работать на полной ставке, быть независимым и проживать в ОАЭ; санкционный скрининг, охватывающий адреса кошельков, где это осуществимо; и инструменты блокчейн-аналитики, которые откалиброваны и валидированы, а не приняты на веру от стороннего поставщика. Описанные выше правила добавляют к этому доступ к goAML и график хранения записей, рассчитанный на самый длительный из применимых сроков.

С корпоративной стороны компания ведёт реестр акционеров, обновляет базовые сведения и сведения о бенефициарных владельцах в течение 15 рабочих дней после изменения, а номинальные лица раскрывают лицо, по поручению которого действуют (статьи 38 и 39 Исполнительного регламента). Лицензиату VARA требуется письменное одобрение VARA до любого существенного изменения в составе его владельцев или бенефициарных владельцев (Свод правил для компаний, правило I.A.5). Поставщик корпоративных услуг, который создаёт компанию, предоставляет ей офис или выступает её секретарём или номинальным лицом, сам является установленным нефинансовым предприятием (статья 3(5) Исполнительного регламента) и проводит собственную надлежащую проверку фирмы.

Для нового проекта система ПОД/ФТ должна входить в лицензионное досье: VARA ожидает заверенных политик и плана исполнения правила передачи данных о переводах уже на этапе лицензирования (правила III.B.4 и III.G.8).

Статья описывает законодательство ОАЭ и правила регуляторов по состоянию на 2 ноября 2026 года. Это общая информация, а не юридическая или инвестиционная консультация. Polaris не является юридической фирмой и не имеет лицензии VARA, CMA, Центрального банка, DFSA или FSRA.