두바이의 암호화폐 규제 기관은 준수를 인프라로 여기고 있습니다.

최근의 암호화폐 관련 규제는, 그 사업을 할 수 있는지 여부와는 관련이 없습니다. 중요한 것은, 그러한 활동을 할 때 얼마나 신중하게 행동해야 하는가입니다.

두바이의 가상자산 규제 기관인 VARA는 단순히 규정을 정하는 것에서 벗어나, 실질적인 위험 관리 절차를 요구하고 있습니다. 2025년 11월에 발표된 지침에 따르면, 이 Emirate 내 모든 허가를 받은 가상자산 서비스 제공업체들은 이러한 규정을 준수해야 합니다.비즈니스 위험 평가를 매 분기마다 검토합니다.회사가 자금 세탁, 테러리스트 자금 조달 및 기타 금융 범죄와 같은 위협에 어떻게 노출되어 있는지를 명확히 설명하는 내부 문서입니다. 이러한 평가 결과는 반드시…데이터 기반의 접근 방식, 증거에 기반한 결정, 그리고 이사회의 승인을 받은 방식으로 진행됩니다.VASP들은 다음과 같은 명령을 받았습니다:2025년 11월 30일까지 첫 번째 분기별 재평가를 완료해야 합니다.그리고 VARA는…검사, 특정 분야에 대한 점검, 그리고 규제 관련 보고서를 통해 준수 여부를 확인합니다..

솔직히 말해서, 분기별로 이루어지는 심사 과정이야말로 주목해야 할 부분입니다. 대부분의 암호화폐 관련 규제 기관들은 라이선싱 절차 중에 한 번만 위험 평가를 요구하고, 그 이후에는 그 평가가 계속 유효하길 바랍니다. VARA는 이 문서를 마치 은행이 사용하는 스트레스 테스트 모델처럼 취급합니다. 즉, 새로운 데이터를 지속적으로 제공하지 않으면 그 문서도 의미가 없어집니다.

과연 “데이터 기반”이라는 것이 여기서 무엇을 하고 있는 걸까?

그 안내문에는 “위험 평가를 정기적으로 업데이트해야 한다”고만 적혀 있지 않습니다. 오히려 그 평가는 데이터에 기반을 두어야 하며, 관련된 규정들과도 일치해야 한다고 명시되어 있습니다.아랍에미리트 국가적 위험 평가정부가 국가의 재정 관련 위험 요소들을 평가하는 것은 정기적으로 업데이트되어야 합니다. 이러한 조정이 필요한 이유는, 전체적인 평가 과정을 성공적으로 진행하기 위해서입니다. VASP는 더 이상 단순히 고정된 위험 프로필을 작성하는 방식으로는 충분하지 않습니다. VASP는 계속해서 자신들의 위험 상황을 국가가 인식하는 위협 상황과 비교해야 합니다.

기본적인 규칙에 따르면, VASP들은…문서화된 데이터를 기반으로 한 AML/CFT 비즈니스 위험 평가를 유지해야 합니다.그러므로, 이 순환형 구조는 그 기준선 위에 분기별 검토 결과를 더해줍니다. 또한, 인공지능에 의한 위협을 포함한 새로운 위험들도 명시적으로 고려됩니다.

이것은 중요한 문제입니다. 왜냐하면 암호화폐 기업들이 전통적인 금융 기관들이 10년이나 걸려야만 구축할 수 있었던 내부 정보 수집 시스템을 직접 구축해야 하기 때문입니다. 규정 준수에 드는 비용은 증가하고 있습니다. 하지만 규정 준수 팀이 보고서를 작성한 후에도 그 시스템이 계속 작동할 수 있도록 하는 위험 관리 체계의 질도 함께 향상되고 있습니다.

강제적인 조치는 이론적인 것만이 아닙니다.

VARA는 이미 그렇게 했습니다.이러한 평가 요구사항을 준수하지 않은 여러 VASP들에게 경고를 보냈습니다.2025년 11월의 보고서에 따르면, 해당 규정은 2025년 5월에 발표된 위험 관리 규정과 2025년 6월에 발표된 국가 차원의 위험 평가 지침을 기반으로 만들어졌습니다. 이는 세 단계로 구성된 체계적인 절차이며, 단순한 규정이라기보다는 일종의 시스템처럼 작동하는 것입니다.

그러한 순서 조정은 의도적인 것입니다. 먼저, 위험 관리 체계를 구축해야 합니다. 그 다음으로, 그 체계를 국가의 위험 상황과 연관시켜야 합니다. 마지막으로, 그것을 반복적으로 이행해야 하는 의무로 만들어야 합니다. 만약 VARA가 첫 번째 단계에서 멈추었다면, 그것은 단순한 라이선스 요구사항에 불과했을 것입니다. 세 번째 단계에서는, 그것이 제도적 관행이 되어야 합니다.

유럽과의 비교

EU의 암호화폐 자산 거래에 관한 규정(MiCA)은 현재 시행 단계에 있습니다. 이 규정에 따르면, 암호화폐 자산 관련 서비스 제공자들은 반드시…강력한 자금세탁 방지/테러 자금 단속 체계를 유지해야 합니다. 또한, 내부 규정과 위험 관리 절차도 철저히 준수해야 합니다.하지만 MiCA의AML 프레임워크는 중요한 운영 관련 사항들을 각국의 감독 기관들과 유럽연합의 자체적인 돈세탁 방지 규정에 위임하고 있습니다. 유럽연합의 규정은 광범위한 원칙을 제시할 뿐, 구체적인 검토 주기나 절차를 명시하지는 않습니다.

두바이는 다르게 일하고 있습니다. 즉, 준수의 리듬을 명확하게 정해두고 있습니다. 분기별로 진행되는 이러한 절차는 단순한 행정적 요소가 아니라, 의도적인 설계입니다. 이는 VARA가 위험 평가를 단순한 순간적인 사건으로 보지 않고, 지속적인 과정으로 여긴다는 것을 의미합니다. 그리고 그 과정은 암호화폐 시장과 위협 환경이 변화하는 속도와 일치해야 합니다.

제 생각에, 여기서 중요한 질문은 두바이에서의 분기별 평가가 혁신을 늦추는지 여부가 아닙니다. 중요한 것은, 이러한 운영 방식이 다른 지역들도 모델로 삼게 될지 여부입니다. 다른 지역들도, 위험 프로필이 규제 체계보다 더 빠르게 변화하는 산업에서는 단일한 위험 평가만으로는 충분하지 않다는 것을 깨닫게 되면 말입니다.

다음에 무슨 일이 일어날까요?

실질적인 압박점은 바로 VASP의 이사회입니다. 만약 위험 평가 결과가 매 분기마다 이사회의 승인을 받아야 한다면, 결국 회사의 준법성 유지에 책임이 있는 사람들은 반드시 위험 프로필과 정기적으로 접촉해야 합니다. 그렇지 않으면, 그 일을 준법 담당자에게 맡겨서 1년 동안 아무것도 하지 않는 것과 같습니다. 이는 사실상 운영 규칙으로 위장된 새로운 거버넌스 체계입니다.

주목해야 할 점은, VARA의 검사 결과가 기업들이 실제로 데이터 기반 평가를 수행하는 방식에 있어서 체계적인 결함이 있는지를 밝혀낼 수 있을지입니다. 또한, 싱가포르, 영국, 혹은 미국의 다른 주들도 유사한 규제를 도입하기 시작할지도 관심거리입니다. 만약 그렇게 된다면, 두바이의 이러한 조치는 단순한 현지 규정과는 거리가 멀고, 암호화폐 관련 규제가 어떻게 이루어져야 하는지에 대한 모델처럼 보일 것입니다.

만약 그렇지 않다면, 문제는 기업들이 두바이의 표준을 사실상의 기준으로 삼게 될지 여부입니다. 왜냐하면 두바이의 표준만이 실제로 적용되고 있기 때문입니다.