ドバイの暗号資産規制当局は、コンプライアンスをインフラとして捉えている。

最新の暗号通貨関連の規制では、単に事業を営むことができるかどうかではなく、その際にどれだけ慎重に考えるべきかが重要です。

ドバイの仮想資産規制機関（VARA）は、以前は規則を定めるだけでしたが、今では実際にリスクを管理するような仕組みを求めています。2025年11月に発行された通達によると、この首長国内のすべての仮想資産サービスプロバイダーは、必ずこの要件を遵守しなければなりません。ビジネスリスク評価について、四半期ごとにレビューを行っています。それは、企業がマネーロンダリング、テロ資金提供、その他の金融犯罪の脅威にさらされているかどうかを明らかにするための内部文書です。この評価結果は、必ず考慮されなければなりません。データドリブンで、証拠に基づいており、取締役会の承認を得ている。VASPには、以下のように指示されていました。2025年11月30日までに、最初の四半期の再評価を完了させること。そして、VARAもそうなるでしょう。検査やテーマ別の評価、規制に関する報告を通じて、遵守状況を確認する。.

正直言って、四半期ごとの評価の仕方こそ、注意すべき点です。ほとんどの暗号資産関連の地域では、ライセンス取得時に一度リスク評価を行い、その後はその評価結果を維持しようとします。しかし、VARAでは、この文書を銀行がストレステストモデルを扱うように扱っています。つまり、新しいデータを継続的に提供しなければ、その文書は無意味になってしまいます。

ここで、実際に「データ駆動型」が何をしているのでしょうか？

その通知書には、「リスク評価を常に最新の状態に保つ」とだけ書かれていません。実際には、その評価はデータに基づいて行われる必要があり、また、それが適切なものであることも要求されています。UAE国家リスク評価政府が自ら行う、国の金融犯罪に関する脆弱性の評価結果は、定期的に更新される必要があります。この整合性の要求こそが、全体のプロセスを成り立たせるための重要な要素です。VASPは、もはや、紙に記録されている静的なリスクプロフィールを作成することはできません。VASPは、自分自身のリスク状況を、政府が認識している国家の脅威と照らし合わせて、継続的に把握する必要があります。

基本的な規則書（規則III.D）によれば、VASPは…記録化された、データに基づくAML/CFTのビジネスリスク評価を維持する必要があります。その後、円形のグラフでは、四半期ごとのレビューがその基準値の上に重ねられています。また、AIによって引き起こされる脅威を含む、新たなリスクも明確に対象とされています。

これは重要です。なぜなら、暗号通貨企業に対して、従来の金融機関が10年かけて構築するような内部情報収集機能を実現させる必要があるからです。コンプライアンスのコストは確かに上昇しています。しかし、コンプライアンスチームが報告書を提出した後も、そのリスク対応の基盤が維持されるという点では、その質も向上しているのです。

施行は、理論上のものではありません。

VARAは、すでに…これらの評価要件を遵守しなかった複数のVASPに対して警告を行った。2025年11月の報道によると、その通知書自体は、2025年5月に発表されたリスク管理規則に基づいて作成されていました。また、2025年6月には、国家レベルでのリスク評価に関する通知も出されました。これらは、単一の規制としてではなく、より複雑なシステムとして構成されているようです。

その順序付けは意図的なものです。まず、リスク管理の枠組みを確立します。次に、それを国のリスク状況と結びつけます。そして、それを定期的に実施する必要があるものにします。もしVARAが第一ステップで止まっていたら、これは単なるライセンス要件に過ぎなかっただろう。第三ステップになると、それは制度的な規則となります。

ヨーロッパとの比較

EUの「暗号資産市場規制」（MiCA）は、現在実施段階にあります。この規制では、暗号資産サービス提供者に対しても、以下のような要件が求められています。強力なAML/CFTの規制、内部ポリシー、およびリスク管理手順を維持する必要があります。しかし、MiCAのAMLフレームワークでは、重要な運用上の詳細については、各国の監督機関や、EU自身の反マネーロンダリング規制に委ねられています。EUの規制では、一般的な原則が定められているだけで、具体的な監視の頻度については規定されていません。

ドバイでは、従うべきルールを明確にしている。四半期ごとのサイクルは、単なる行政的な決定ではなく、意図的な設計によるものだ。これは、VARAがリスク評価を一時的な状態として捉えず、むしろプロセスとして捉えていることを示している。そして、そのプロセスは、暗号資産市場や脅威環境が実際に変化する速度に合わせて行われる必要があるのだ。

ここで重要なのは、四半期ごとの評価がドバイでのイノベーションの速度を低下させるかどうかということではありません。むしろ、このような運営上の特徴が、他の地域でも採用されるモデルになるかどうかです。つまり、一度行ったリスク評価では不十分だと気づいた場合、他の地域も同じような運営方式を採用する可能性があります。

次に何が起こるのか

実際的なプレッシャーは、VASPの取締役会にかかっています。もしリスク評価が毎四半期に取締役会の承認を必要とするならば、企業のコンプライアンスを担当する人々は、定期的にリスクプロフィールと対応しなければなりません。つまり、コンプライアンス担当者に任せて、1年間そのことを忘れていてはいけないのです。これは、運営上の規則として隠されたガバナンスの変更です。

注目すべき点は、VARAの検査によって、実際に企業がデータ駆動型の評価を行っている際に存在する体系的な問題が明らかになるかどうかです。また、シンガポールやイギリス、あるいはアメリカの各州といった他の地域でも、同様の定期的な監査要件が導入されるかどうかも重要です。もしそうなれば、ドバイのこの取り組みは、単なる地方の規制というよりは、暗号資産に関するコンプライアンスをどのように実施すべきかという基準として機能することになるでしょう。

もしそうでなければ、問題は、企業が単にデュバイの基準を実際に適用しているという理由だけで、それを事実上の基準として扱うようになるかどうかです。