Федеральний закон 2025 року прирівнює фірми у сфері віртуальних активів до фінансових установ
Кожен постачальник послуг у сфері віртуальних активів (VASP), що працює на території ОАЕ, має оцінювати свої ризики відмивання коштів, ідентифікувати клієнтів і бенефіціарних власників, повідомляти про підозри Підрозділ фінансової розвідки (FIU), негайно застосовувати цільові фінансові санкції та зберігати записи (статті 18 і 19 Федерального декрет-закону № 10 від 2025 року). Декрет-закон, виданий 30 вересня 2025 року, скасував закон про AML 2018 року (стаття 41); його виконавчі правила — Постанова Кабінету міністрів № 134 від 2025 року — замінили правила 2019 року (стаття 70) і, за даними Порталу законодавства ОАЕ, набрали чинності 14 грудня 2025 року.
Постачальник послуг у сфері віртуальних активів — це будь-хто, хто як комерційну діяльність здійснює діяльність з віртуальними активами для іншої особи або від її імені (стаття 1). Стаття 4 Виконавчих правил перелічує її види: обмін між віртуальними активами та фіатною валютою або між віртуальними активами, переказ, зберігання чи адміністрування, а також послуги, пов’язані з пропозицією чи продажем, які здійснює емітент. Стаття 20 Декрет-закону забороняє таку діяльність без ліцензії, реєстрації чи внесення до реєстру.
Хто наглядає: VARA в Дубаї, CMA на федеральному рівні
У Дубаї поза Дубайським міжнародним фінансовим центром (DIFC) Управління з регулювання віртуальних активів Дубая (VARA) є визначеним наглядовим органом (Supervisory Authority) для всіх постачальників у сфері віртуальних активів відповідно до федеральних законів про AML (положення VI.A.3 Регламенту VARA) і здійснює там повноваження федерального регулятора з ліцензування та нагляду, включно із заходами щодо підозрілих операцій, на підставі делегування за Постановою Кабінету міністрів № 112 від 2022 року (статті 2 і 4). Його ліцензіати дотримуються федеральних законів і правил VARA (положення VI.B.1), передусім частини III Зводу правил з комплаєнсу та управління ризиками.
На федеральному рівні Управління ринку капіталу (CMA) наглядає за діяльністю з віртуальними активами по всій Державі та в її нефінансових вільних зонах відповідно до Федерального декрет-закону № 33 від 2025 року, чинного з 1 січня 2026 року (стаття 39(3)). Постанови Кабінету міністрів № 111 і 112 від 2022 року залишаються чинними в частині, сумісній із законами 2025 року (стаття 27(3) Федерального декрет-закону № 32 від 2025 року); Постанова № 111 зобов’язує кожного постачальника дотримуватися законодавства про AML (стаття 8) і дозволяє федеральному регулятору наглядати за постачальниками з місцевою ліцензією (стаття 9(2)). Рішення Голови CMA № 04/Голова від 2026 року, чинне з 28 лютого 2026 року, поширює на ліцензіатів CMA розділ про AML зводу правил CMA (Модуль регулювання діяльності, стаття 4).
Ні нагляд CMA, ні Постанова № 111 (стаття 3(2)(a)) не поширюються на фінансові вільні зони, а компетенція VARA закінчується на межі DIFC; регуляторів у цих зонах описує наша супутня стаття.
Належна перевірка: усі ділові відносини та разові операції від 3 500 AED
Належна перевірка обов’язкова на початку ділових відносин, у разі підозри та коли є сумніви щодо отриманих раніше ідентифікаційних даних (стаття 7(1) Виконавчих правил). Щодо разових операцій фірма у сфері віртуальних активів застосовує її від 3 500 AED, враховуючи пов’язані операції разом (стаття 7(3)); VARA використовує той самий поріг і додає до нього будь-яку операцію клієнта з високим ризиком (правило III.E.4).
Щодо клієнта — юридичної особи фірма ідентифікує кожну фізичну особу, якій належить 25 відсотків або більше, далі — тих, хто контролює її в інший спосіб, а якщо таких немає — її вищих керівників (стаття 10). Щодо клієнтів із високим ризиком і бенефіціарних власників, які є політично значущими особами, ліцензіат VARA перевіряє джерело коштів і джерело статків, отримує схвалення вищого керівництва і вимагає, щоб перша операція надійшла з рахунку на ім’я клієнта в регульованій установі (правило III.E.10).
Якщо належну перевірку неможливо завершити, ні ділові відносини, ні операція не можуть тривати (стаття 14; правило III.E.8). Покладатися на регульовану третю особу дозволено, але відповідальність залишається на фірмі (стаття 20; правило III.E.9).
Перекази, скринінг і санкції — у реальному часі
Згідно зі статтею 36(2) фірма, що ініціює переказ, отримує ім’я платника, номер його рахунку чи адресу гаманця та адресу проживання чи місцезнаходження, а також ім’я отримувача і його рахунок чи гаманець, і негайно та безпечно передає ці дані постачальнику отримувача, який також їх зберігає. VARA застосовує такий самий мінімум до переказів на суму понад 3 500 AED і вимагає належної перевірки постачальників-контрагентів і рішення щодо некастодіальних гаманців (unhosted wallets) (правила III.G.2–III.G.7).
Стаття 36(2) також поширює на фірми у сфері віртуальних активів статті 26–33, зокрема правила щодо електронних переказів коштів, — пропорційно і відповідно до вказівок наглядового органу, а стаття 1 вважає переказ, здійснений постачальником у сфері віртуальних активів іншому постачальнику чи на гаманець, електронним переказом. Тож дані супроводжують кожен міжнародний переказ, а дані платника перевіряються від 3 500 AED (стаття 28(1) і (3)). Розділ CMA про AML так само вимагає базових даних щодо кожного переказу та повніших даних платника від 3 500 AED (глава п’ята, статті 1 і 4(1)). Правило VARA, написане до Виконавчих правил 2025 року, починає діяти з сум понад 3 500 AED, але є мінімумом, який федеральне законодавство може доповнювати (правило III.G.1), а стаття 35(1) дозволяє наглядовому органу визначати обсяг і межі переказів.
Стаття 36(3) покладає на фірми у сфері віртуальних активів усі санкційні обов’язки фінансових установ, включно з реєстрацією у Виконавчому офісі та скринінгом клієнтів, власників і операцій за списками ООН і місцевими списками (стаття 21 Постанови Кабінету міністрів № 74 від 2020 року). Стаття 15 цієї Постанови вимагає замороження протягом 24 годин після внесення до списку та повідомлення Виконавчого офісу протягом п’яти робочих днів. VARA додає автоматизований санкційний скринінг операцій у реальному часі та ризик-правила, за якими перевіряються клієнти, власники й адреси гаманців (правила III.B.3 і III.H.1–III.H.5).
Повідомлення про підозри, посадові особи та записи
Про підозрілі операції повідомляють FIU без зволікання, незалежно від їхньої суми (стаття 18 Декрет-закону); VARA визначає для цього систему goAML (правило III.F.4) і дає MLRO (офіцеру зі звітування щодо відмивання коштів) 48 годин на відповідь на запити FIU чи VARA (правило III.F.3). Попередження клієнта про подання повідомлення (tipping off) заборонене (стаття 19 Виконавчих правил). За Декрет-законом воно карається позбавленням волі та штрафом щонайменше 50 000 AED або одним із цих покарань (стаття 29(1)), а неповідомлення — умисне чи через грубу необережність — позбавленням волі та штрафом від 100 000 AED до 1 млн AED або одним із цих покарань (стаття 28).
Виконавчі правила вимагають незалежного комплаєнс-офіцера на рівні керівництва (стаття 22), призначення якого наглядовий орган погоджує заздалегідь (стаття 49(18)). VARA вимагає комплаєнс-офіцера з п’ятирічним досвідом у сфері комплаєнсу, який проживає в ОАЕ або має паспорт ОАЕ, працює на повний робочий день і має прямий доступ до ради директорів (правило I.C.1), а також MLRO з дворічним досвідом у сфері AML, який щокварталу звітує раді директорів (правила III.A.1 і III.A.2); функцію MLRO можна передати на аутсорсинг (Звід правил для компаній, правило IV.A.3). CMA вимагає, щоб обидві посадові особи проживали в Державі (Модуль загальних засад, стаття 54(2)), і щопіврічного звіту про внутрішній контроль (розділ про AML, глава сьома).
Записи мають зберігатися щонайменше п’ять років за федеральними правилами — від завершення операції чи ділових відносин, а для досьє належної перевірки — від будь-якої пізнішої інспекції, розслідування чи остаточного судового рішення (стаття 25 Виконавчих правил); вісім років за правилами VARA і безстроково, якщо вони можуть стосуватися національної безпеки (правила I.F.2 і III.I.2); і десять років за розділом CMA про AML (глава дванадцята, стаття 1). VARA також вимагає оцінювати ризики бізнесу та клієнтів щонайменше раз на три місяці (правила III.D.3 і III.D.8), а політики AML мають бути засвідчені компетентною третьою особою і повторно подані протягом 21 календарного дня після змін (правило III.B.4).
Санкції зачіпають і компанію, і тих, хто нею керує
Наглядовий орган може винести попередження, накласти штраф від 10 000 AED до 5 млн AED за кожне порушення, відсторонити директорів або зупинити діяльність, відкликати ліцензію та оприлюднити результат (стаття 17 Декрет-закону). Компанія, чиї представники чи директори вчиняють від її імені злочини, як-от неповідомлення, порушення санкцій чи діяльність без ліцензії, підлягає штрафу від 200 000 AED до 10 млн AED (стаття 27(2)). Операції з віртуальними активами, створеними для повної анонімності, є злочином (стаття 30(2)); VARA забороняє криптовалюти з посиленою анонімністю та пов’язану з ними діяльність у Дубаї (положення II.C.1).
Шкала штрафів VARA залишає визначення штрафів у сфері AML і «знай свого клієнта» (KYC) місцевому та федеральному законодавству (Регламент, Додаток 3, № 1). Інші порушення правил з комплаєнсу та управління ризиками тягнуть орієнтовні штрафи для компаній до 50 млн AED, 15 відсотків річного доходу або 300 відсотків отриманого прибутку чи уникнутих збитків — залежно від того, яка сума більша (№ 2), і VARA може вживати заходів безпосередньо проти директорів, Відповідальних осіб (Responsible Individuals) і MLRO (правило III.J.2; положення IX.C.3).
Постанова Кабінету міністрів № 71 від 2024 року на фірми у сфері віртуальних активів не поширюється: її штрафи від 50 000 AED до 1 млн AED за кожне порушення, які Міністерство може подвоїти в разі повторення, застосовуються до визначених суб’єктів господарювання (designated businesses), нагляд за якими здійснюють Міністерство юстиції та Міністерство економіки (статті 2 і 5), а до них може належати постачальник корпоративних послуг фірми.
Де тексти перетинаються або ще не встигли за змінами
Тексти VARA досі посилаються на скасовані закон 2018 року та правила 2019 року (положення VI.A.1; Додаток 4), а його Звід правил для компаній бере визначення політично значущої особи з правил 2019 року, скасованих статтею 70 Постанови Кабінету міністрів № 134 від 2025 року. Оскільки Додаток 4 охоплює також федеральне законодавство про AML у чинній на відповідний момент редакції, ми читаємо посилання VARA як такі, що відсилають до текстів 2025 року, включно з визначенням політично значущої особи у статті 1 Виконавчих правил.
Розділ CMA про AML застосовується до фірм у сфері віртуальних активів, ліцензованих «Управлінням або місцевими органами» (глава перша, стаття 3), а лист CMA від квітня 2026 року включає звід правил VARA до текстів, яких мають дотримуватися фірми. Постанова Кабінету міністрів № 112 від 2022 року вимагає від VARA співпрацювати з федеральним регулятором над створенням єдиного механізму нагляду за його ліцензіатами (стаття 3(1)), але ми не знайшли жодного опублікованого тексту, який би визначав цей механізм або вказував, як розділ CMA про AML застосовується до них. Розділ CMA також досі посилається на санкції за скасованим законом 2018 року (глава дванадцята, стаття 4).
Щодо посадових осіб: VARA дозволяє одній особі бути і комплаєнс-офіцером, і MLRO (правило III.A.4), тоді як розділ CMA про AML не допускає виконання комплаєнс-офіцером інших операційних функцій (глава сьома, стаття 1(2)), хоча регулювання CMA 2026 року дозволяє суміщення посад (стаття 54(4)).
Що перевіряють бізнес із віртуальними активами та його постачальники послуг
Лист CMA від квітня 2026 року до фірм, що працюють із цінними паперами, та VASP указує на конкретні перевірки: задокументований аналіз розбіжностей (gap analysis) з текстами 2025 року; призначений заступник MLRO чи інша уповноважена особа на заміну на час відсутності, причому будь-який заступник має працювати на повний робочий день, бути незалежним і проживати в ОАЕ; санкційний скринінг, що за можливості охоплює адреси гаманців; і блокчейн-аналітика, яку калібрують і валідують, а не приймають на віру від стороннього постачальника. Викладені вище правила додають доступ до goAML і графік зберігання записів, розрахований на найдовший застосовний строк.
З корпоративного боку компанія веде реєстр акціонерів, оновлює базову інформацію та інформацію про бенефіціарних власників протягом 15 робочих днів після змін, а номінальні власники розкривають особу, що їх призначила (статті 38 і 39 Виконавчих правил). Ліцензіату VARA потрібне письмове схвалення VARA до будь-якої суттєвої зміни його власників чи бенефіціарних власників (Звід правил для компаній, правило I.A.5). Постачальник корпоративних послуг, який створює компанію, надає їй офіс або діє як її секретар чи номінальний власник, сам є визначеним суб’єктом господарювання (стаття 3(5) Виконавчих правил) і проводить власну належну перевірку фірми.
Для нового проєкту система AML має бути частиною ліцензійного досьє: VARA очікує засвідчених політик і плану виконання правила передавання даних уже під час ліцензування (правила III.B.4 і III.G.8).
Норми, на яких ґрунтується ця стаття
| Нормативний акт | Положення | Що в ньому сказано |
|---|---|---|
| Федеральний декрет-закон № 10 від 2025 року про протидію відмиванню коштів, фінансуванню тероризму та фінансуванню розповсюдження зброї | Статті 1, 17, 18, 19, 20, 27(2), 28, 29(1), 30(2) і 41 | Покладає на постачальників послуг у сфері віртуальних активів обов’язки щодо оцінки ризиків, належної перевірки, санкцій, зберігання записів і негайного повідомлення про підозрілі операції, з адміністративними штрафами від 10 000 AED до 5 млн AED за кожне порушення. |
| Постанова Кабінету міністрів № 134 від 2025 року (Виконавчі правила до Декрет-закону про AML) | Статті 1, 3(5), 4, 7, 10, 14, 19, 20, 22, 25, 28, 35(1), 36, 38, 39, 49(18) і 70 | Перелічує види діяльності з віртуальними активами, вимагає належної перевірки разових операцій від 3 500 AED, встановлює п’ятирічний строк зберігання записів і критерій володіння 25 відсотками та застосовує обов’язки щодо електронних переказів і правило передавання даних. |
| Звід правил VARA з комплаєнсу та управління ризиками (редакція від 19 червня 2025 року) | Правила I.C.1, I.F.2 і III.A–III.J | Вимагає комплаєнс-офіцера та MLRO, щоквартальної оцінки ризиків, посиленої перевірки, даних за правилом передавання даних для переказів понад 3 500 AED, санкційного скринінгу й замороження в реальному часі та восьмирічного строку зберігання записів. |
| Регламент VARA щодо віртуальних активів і пов’язаної діяльності 2023 року (редакція від 19 червня 2025 року) | Положення II.C.1, VI.A.1, VI.A.3, VI.B.1, IX.C.3; додатки 3 і 4 | Визначає VARA наглядовим органом у сфері AML для дубайських постачальників у сфері віртуальних активів, зобов’язує ліцензіатів дотримуватися федерального законодавства про AML і правил VARA та встановлює орієнтовні штрафи і заходи щодо фізичних осіб. |
| Постанова Кабінету міністрів № 74 від 2020 року про терористичні списки та виконання резолюцій Ради Безпеки ООН | Статті 1, 15 і 21 | Вимагає заморожувати кошти осіб, внесених до списків, протягом 24 годин після внесення без попереднього повідомлення, повідомляти про замороження протягом п’яти робочих днів і постійно перевіряти за списками ООН і місцевими списками. |
| Рішення Голови CMA № 04/Голова від 2026 року про постачальників послуг у сфері віртуальних активів та операторів альтернативних торговельних систем | Модуль загальних засад, стаття 54; Модуль регулювання діяльності, стаття 4 | Вимагає від ліцензованих CMA постачальників у сфері віртуальних активів дотримуватися розділу про AML зводу правил і призначити комплаєнс-офіцера та офіцера зі звітування щодо AML, які проживають у Державі. |
| Рішення CMA № 13/Голова від 2021 року, Звід правил щодо фінансової діяльності, розділ п’ятий (AML) | Глава перша, стаття 3; глава п’ята, статті 1 і 4; глави сьома і дванадцята | Застосовує стандарти CMA у сфері AML до постачальників у сфері віртуальних активів, ліцензованих CMA чи місцевими органами, зокрема правило передавання даних, щопіврічні звіти з комплаєнсу та десятирічний строк зберігання записів. |
| Постанова Кабінету міністрів № 111 від 2022 року про регулювання віртуальних активів та їхніх постачальників послуг | Статті 3(2)(a), 8 і 9(2) | Вимагає від усіх постачальників у сфері віртуальних активів в ОАЕ дотримуватися законодавства про AML, виключає фінансові вільні зони і дозволяє федеральному регулятору наглядати за постачальниками з місцевою ліцензією; чинна в частині, сумісній із законами 2025 року. |
| Постанова Кабінету міністрів № 71 від 2024 року про порушення у сфері AML та адміністративні санкції (Міністерство юстиції та Міністерство економіки) | Статті 2, 3 і 5; список-додаток | Встановлює штрафи у сфері AML від 50 000 AED до 1 млн AED за кожне порушення для визначених суб’єктів господарювання під наглядом двох міністерств, які можуть бути подвоєні в разі повторного порушення. |
- Федеральний декрет-закон № 10 від 2025 року та Постанова Кабінету міністрів № 134 від 2025 року покладають на постачальників послуг у сфері віртуальних активів ті самі ключові обов’язки у сфері AML, що й на фінансові установи.
- Належна перевірка застосовується до всіх ділових відносин і до разових операцій з віртуальними активами від 3 500 AED, а щодо клієнтів із високим ризиком потрібна перевірка джерела коштів і джерела статків.
- Кошти осіб, внесених до списків, мають бути заморожені протягом 24 годин після внесення, а про замороження потрібно повідомити протягом п’яти робочих днів; VARA вимагає автоматизованого санкційного скринінгу операцій у реальному часі та ризик-правил, за якими перевіряються клієнти, власники й адреси гаманців.
- VARA вимагає зберігати записи вісім років і щокварталу оцінювати ризики, а розділ CMA про AML — зберігати записи десять років; обидва строки перевищують федеральний мінімум у п’ять років.
- Низка текстів VARA та CMA досі посилається на скасований закон 2018 року, а Постанова Кабінету міністрів № 112 від 2022 року передбачає єдиний механізм нагляду для VARA та федерального регулятора, якого не визначає жоден знайдений нами опублікований текст.
- Суттєві зміни власників чи бенефіціарних власників ліцензіата VARA потребують попереднього письмового схвалення VARA, а компанія має оновлювати базову інформацію та інформацію про бенефіціарних власників протягом 15 робочих днів після змін.
Погляд Polaris
Polaris працює на корпоративному боці бізнесу з віртуальними активами. Ми створюємо та адмініструємо операційну компанію, підтримуємо в актуальному стані її реєстри акціонерів і бенефіціарних власників, щоб зміни, які потребують попереднього схвалення регулятора, подавалися до того, як вони відбудуться, і готуємо рішення ради директорів про призначення комплаєнс-офіцерів і MLRO. У межах нашої роботи з комплаєнсу AML ми зіставляємо політики з Декрет-законом 2025 року та його Виконавчими правилами, допомагаємо з реєстрацією в goAML і тестуємо досьє KYC; наша послуга зі звітності щодо UBO охоплює подання інформації про бенефіціарних власників. Ми не маємо ліцензії VARA, CMA, Центрального банку, DFSA чи FSRA, не є юридичною фірмою і не надаємо інвестиційних консультацій; регуляторна кваліфікація та аналіз щодо ліцензування здійснюються разом із радниками клієнта з регуляторних питань.
Джерела
- Федеральний декрет-закон № 10 від 2025 року про протидію відмиванню коштів, фінансуванню тероризму та фінансуванню розповсюдження зброї — Портал законодавства ОАЕ
- Постанова Кабінету міністрів № 134 від 2025 року про Виконавчі правила до Федерального декрет-закону № 10 від 2025 року — Портал законодавства ОАЕ
- Звід правил з комплаєнсу та управління ризиками — Управління з регулювання віртуальних активів Дубая (VARA)
- Регламент щодо віртуальних активів і пов’язаної діяльності 2023 року — Управління з регулювання віртуальних активів Дубая (VARA)
- Звід правил для компаній — Управління з регулювання віртуальних активів Дубая (VARA)
- Постанова Кабінету міністрів № 74 від 2020 року про регулювання терористичних списків і виконання резолюцій Ради Безпеки ООН — Центральний банк ОАЕ
- Рішення № 04/Голова від 2026 року про регулювання діяльності постачальників послуг у сфері віртуальних активів та оператора альтернативної торговельної системи — Управління ринку капіталу (CMA)
- Рішення № 13/Голова від 2021 року про Посібник з регулювання фінансової діяльності та Звід правил про механізми врегулювання статусу — Управління ринку капіталу (CMA)
- Ключові обов’язки у сфері AML/CFT/CPF, нові ризики та наглядові спостереження для фірм, що працюють із цінними паперами, та VASP, 2025 (лист від 14 квітня 2026 року) — Управління ринку капіталу (CMA)
- Постанова Кабінету міністрів № 111 від 2022 року про регулювання віртуальних активів та їхніх постачальників послуг — Портал законодавства ОАЕ
- Федеральний декрет-закон № 33 від 2025 року про регулювання ринку капіталу — Управління ринку капіталу (CMA)
- Федеральний декрет-закон № 32 від 2025 року про Управління ринку капіталу — Управління ринку капіталу (CMA)
- Постанова Кабінету міністрів № 112 від 2022 року про делегування окремих повноважень щодо регулювання віртуальних активів (англійський переклад) — Управління з регулювання віртуальних активів Дубая (VARA)
- Постанова Кабінету міністрів № 71 від 2024 року про регулювання порушень та адміністративних санкцій щодо заходів AML/CFT під наглядом Міністерства юстиції та Міністерства економіки — Портал законодавства ОАЕ
Ця стаття описує законодавство ОАЕ та правила регуляторів станом на 2 листопада 2026 року. Вона містить загальну інформацію і не є юридичною чи інвестиційною консультацією. Polaris не є юридичною фірмою і не має ліцензії VARA, CMA, Центрального банку, DFSA чи FSRA.