L'avancée de la réglementation des fournisseurs de services d'actifs virtuels (PSAV) a fait entrer le marché brésilien dans une étape dans laquelle, en plus de l'autorisation d'opérer, les entreprises doivent démontrer qu'elles disposent d'une infrastructure, de contrôles de sécurité, de surveillance et de procédures capables de soutenir leurs opérations dans un environnement réglementé.
Pour Jason Jiang, Chief Business Officer (CBO) chez CertiK, l'un des principaux effets du nouveau scénario est de transformer la sécurité et la conformité en éléments structurels de l'opération.
Selon l'exécutif, quatre fronts devraient figurer parmi les priorités des entreprises qui envisagent d'opérer sur le marché brésilien : l'adaptation aux réglementations locales, l'infrastructure technologique, la surveillance en chaîne et la sécurité opérationnelle et la réponse aux incidents (OpSec).
La première consiste à comprendre quelles exigences réglementaires s’appliquent à l’exploitation et à établir des processus capables de démontrer leur conformité.
L’existence de règles plus détaillées augmente le travail d’adaptation, mais offre également une plus grande prévisibilité aux entreprises qui doivent décider d’investir ou non sur le marché et aux institutions financières qui évaluent leur exposition aux actifs numériques.
Le deuxième front est lié à la capacité de l’infrastructure technologique à prendre en charge les opérations à grande échelle.
Pour une entreprise mondiale, par exemple, il ne suffit pas d'utiliser une infrastructure cloud qui fonctionne sur d'autres marchés : il est nécessaire d'évaluer si l'architecture, les applications, les API, les contrôles d'accès et autres composants peuvent soutenir de manière adéquate les opérations brésiliennes et leurs exigences spécifiques.
« La clarté de la réglementation modifie la manière dont les institutions évaluent le marché. Lorsque les exigences sont définies, les entreprises peuvent mieux comprendre quels contrôles, investissements et structures elles doivent mettre en œuvre pour fonctionner dans le respect des règles. Ceci est particulièrement important pour les institutions qui traitent les actifs numériques comme une stratégie à long terme.« , dit Jiang.
Couche de surveillance supplémentaire
Le troisième front découle d’une caractéristique spécifique des actifs numériques : une partie importante des opérations se déroule en chaîne.
Cela crée des risques différents de ceux que l’on trouve exclusivement dans les infrastructures financières traditionnelles et nécessite l’intégration d’outils capables de suivre les adresses, les contreparties et les mouvements d’actifs sur la blockchain.
Cette surveillance peut compléter les contrôles de conformité traditionnels, la lutte contre le blanchiment d'argent et le financement du terrorisme (LAB/CFT) et les contrôles de gestion des risques, vous permettant d'identifier les comportements ou expositions potentiellement suspects.
Le quatrième front est la préparation aux situations dans lesquelles les contrôles préventifs ne suffisent pas.
Les plans de réponse aux incidents doivent définir à l'avance des procédures telles que la communication avec les autorités, l'enquête sur l'attaque, la tentative de gel ou de suivi des actifs et la coordination avec d'autres plateformes et partenaires.
La confiance au cœur de l’institutionnalisation
Plus les banques, les fintechs et autres institutions élargissent leur participation au marché des actifs numériques, plus l’existence et l’efficacité des contrôles sont nécessaires, et ils tendent à gagner en importance tant parmi les régulateurs que parmi les partenaires et clients institutionnels.
Jiang estime que le Brésil part d'une position pertinente dans ce processus.
Différents marchés internationaux construisent leurs modèles avec des priorités différentes : tandis que l'Union européenne a progressé avec MiCA et une forte attention portée à la protection des consommateurs, les États-Unis ont développé un programme particulièrement pertinent en matière de pièces stables. Au Brésil, la différence réside dans le niveau de détail du cadre développé pour le marché des actifs virtuels.
La réglementation n’élimine toutefois pas le besoin de transparence et de coopération entre les régulateurs, les opérateurs et les experts en sécurité, d’autant plus que les technologies, les modèles économiques et les menaces continuent d’évoluer.
Pour les entreprises, le résultat pratique est que la préparation au marché réglementé doit aller au-delà d’une liste de conditions requises pour l’obtention d’une licence.
La conformité, l'infrastructure, la surveillance en chaîne, la cybersécurité et la réponse aux incidents font partie de la même stratégie de préparation réglementaire.