Dubai’s Virtual Assets Regulatory Authority (VARA) đã siết chặt hướng dẫn chống rửa tiền đối với các công ty crypto được cấp phép, yêu cầu đánh giá rủi ro phải cập nhật thường xuyên và dựa trên dữ liệu thực tế.
Quy định mới nâng đáng kể chuẩn tuân thủ tại một trong những trung tâm cấp phép crypto sôi động nhất thế giới. Với các sàn giao dịch, đơn vị lưu ký và VASP đang hoạt động tại Dubai, nghĩa vụ vận hành và giám sát giờ nặng hơn trước.
- VARA yêu cầu các VASP cập nhật đánh giá rủi ro ít nhất mỗi 3 tháng hoặc sớm hơn khi mô hình kinh doanh thay đổi.
- Các rủi ro phải được tách riêng, gồm rửa tiền, tài trợ khủng bố, tài trợ phổ biến vũ khí và trừng phạt tài chính có mục tiêu.
- Dubai vẫn mở cho crypto, nhưng doanh nghiệp phải duy trì kiểm soát tuân thủ chặt hơn và chứng minh bằng dữ liệu vận hành.
VARA yêu cầu đánh giá rủi ro cập nhật theo hoạt động thực tế
VARA yêu cầu các công ty crypto được cấp phép phải duy trì đánh giá rủi ro phản ánh đúng hoạt động hiện tại. Các yếu tố cần xem xét gồm hồ sơ khách hàng, loại giao dịch, sản phẩm, kênh phân phối và mức độ phơi nhiễm theo khu vực địa lý.
Các quốc gia nằm trong danh sách rủi ro cao hoặc tăng cường giám sát của FATF phải được đưa vào quy trình đánh giá kịp thời. Việc rà soát phải diễn ra ít nhất mỗi 3 tháng, hoặc sớm hơn nếu doanh nghiệp thay đổi sản phẩm, dịch vụ, mô hình kinh doanh, cơ cấu sở hữu hay cấu trúc công ty.
Hướng dẫn cũng yêu cầu phân biệt rõ giữa rủi ro rửa tiền, tài trợ khủng bố, tài trợ phổ biến vũ khí và trừng phạt tài chính có mục tiêu. VARA muốn các doanh nghiệp không gom tất cả rủi ro tài chính thành một nhóm chung.
Ban lãnh đạo phải hiểu rõ mức rủi ro còn lại
Senior management, hội đồng quản trị và bộ phận tuân thủ phải nắm được mức rủi ro còn lại của doanh nghiệp và cách rủi ro đó đang được kiểm soát. VARA cũng yêu cầu doanh nghiệp tính đến các rủi ro mới liên quan đến AI, machine learning, giao dịch tăng cường ẩn danh và hoạt động crowdfunding.
Cách tiếp cận này đẩy tuân thủ ra khỏi mô hình kiểm tra giấy tờ định kỳ. Thay vào đó, VARA muốn doanh nghiệp chứng minh hệ thống kiểm soát có thể thích ứng khi quy mô và phạm vi hoạt động thay đổi.
Với các công ty chỉ có quy trình tuân thủ cơ bản, yêu cầu này có thể tạo thêm áp lực vận hành đáng kể. Phần khó không chỉ nằm ở việc có chính sách, mà còn ở việc chứng minh chính sách đó được hỗ trợ bởi dữ liệu thực tế.
Dubai vẫn mở cho crypto nhưng chuẩn tuân thủ cao hơn
Dubai tiếp tục định vị mình là trung tâm pháp lý cho doanh nghiệp crypto toàn cầu, nhưng môi trường quản lý đang khắt khe hơn. Khung của VARA bám sát chuẩn FATF và đưa nhiều khuyến nghị của FATF thành yêu cầu có tính thực thi, gồm Travel Rule, sàng lọc trừng phạt, thẩm định khách hàng và giám sát dựa trên rủi ro.
Điều này tạo lợi thế tương đối cho những doanh nghiệp đã quen vận hành theo chuẩn cao tại EU, Singapore, Thụy Sĩ hoặc Mỹ, vì nhiều kiểm soát cốt lõi có sự tương đồng. Tuy vậy, VARA vẫn đòi hỏi thêm các bước như giám sát trừng phạt cập nhật, sàng lọc tự động, phân tích địa chỉ ví và kiểm soát rủi ro địa lý chi tiết hơn.
NeosLegal ước tính hiện có hơn 100 VASP đang nắm giấy phép hoặc chấp thuận từ các cơ quan quản lý tại UAE, gồm VARA, ADGM, DFSA, CBUAE và CMA. Con số này cho thấy hệ sinh thái vẫn mở rộng, nhưng việc tuân thủ sẽ ngày càng là yếu tố sàng lọc doanh nghiệp.
Áp lực thực thi tại UAE đang tăng lên
Động thái của VARA diễn ra trong lúc các cơ quan quản lý UAE tiếp tục siết giám sát rủi ro tài chính trên diện rộng. Từ đầu năm 2025, Ngân hàng Trung ương UAE đã áp hơn 370 triệu AED, tương đương hơn 100 triệu USD, tiền phạt liên quan đến AML và chống tài trợ khủng bố đối với các tổ chức tài chính.
Dubai cũng đang theo dõi chặt hơn các rủi ro liên quan đến tính ẩn danh, đặc biệt với những tài sản hoặc giao dịch tăng cường che giấu thông tin. Với doanh nghiệp crypto, thông điệp hiện tại khá rõ: có giấy phép chưa đủ, hệ thống kiểm soát phải luôn theo kịp quy mô và mức độ phơi nhiễm thực tế.
Tổng kết
Hướng dẫn mới của VARA cho thấy Dubai vẫn là điểm đến mở cho crypto, nhưng yêu cầu AML và giám sát rủi ro đã được nâng lên đáng kể, buộc các VASP phải vận hành thận trọng và cập nhật liên tục.
