Mezery v řízení a auditu, které ničí projekty tokenizace

Projekty tokenizace podniků se mohou při zavádění setkat s problémy, i když blockchainová část funguje tak, jak má. Chytrá smlouva by mohla provádět transakce správně, tokeny by mohly být vytvářeny bez problémů a systém by mohl projít bezpečnostními testy. Projekt by však stále mohl mít potíže se získáním interního schválení, splnění pravidel auditu, zajištění správnosti záznamů o vlastnictví nebo prokázání, že jsou vždy dodržována pravidla pro investory.

Pro lidi, kteří ve firmě rozhodují, je to důležitý rozdíl. Tokenizace neznamená přeměnu aktiva na digitální verzi. Přidává technologickou část, která musí odpovídat právům, finančním záznamům, způsobu provozu a platným pravidlům. Pokud se s těmito částmi zachází odděleně, problémy se často objevují při uvádění projektu do provozu, když ho lidé kontrolují, nebo když se z něj stává větší projekt než testovací verze.

Robustní přístup ke správě tokenizace podniků zahrnuje všechny tyto úkoly do systému hned po jeho vytvoření. Rozhoduje o tom, kdo může schvalovat akce, jak se kontroluje vlastnictví, jaká pravidla platí pro přesun tokenů a jaký důkaz je potřeba při posuzování volby.

Cílem není přidávat kroky k provedení věcí. Cílem je vytvořit systém, který může společnost používat, sledovat, vysvětlovat a obhajovat během doby, kdy je aktivum používáno.

Proč projekty tokenizace podniků selhávají při kontrole správných postupů?

Projekty tokenizace podniků mají často problémy s řízením, když se technologická část posouvá rychleji, než je potřeba, aby s ní společnost pracovala. Inženýři se mohou zaměřit na smlouvy, používání peněženek a provádění transakcí, zatímco týmy pro právní dodržování předpisů, finance a provoz pracují s různými dokumenty a kroky k získání schválení.

Toto rozdělení vytváří prostor mezi tím, co systém může dělat, a tím, co je společnosti dovoleno dělat.

Představte si realitní platformu. Chytrá smlouva by mohla zvládat přesun tokenů. Společnost také potřebuje vytvořit práva, která tyto tokeny reprezentují, podmínky, kdy se může vlastnictví změnit, a záznamy, které tyto změny ukazují. Pokud způsob, jakým systém přesouvá tokeny, neodpovídá pravidlům, i technicky fungující transakce by mohla způsobit problémy se záznamy nebo pravidly.

Stejný problém se děje s penězi, půjčkami, dluhopisy, zbožím a dalšími věcmi, které se přeměňují na tokeny. Pravidla pro každou věc se mění v závislosti na typu věci a místě, kde se nachází, ale hlavní požadavek je stejný: způsob, jakým se věci dělají, musí odpovídat tomu, co společnost smí dělat. Jaká pravidla platí?

Zde se dodržování tokenizace stává součástí návrhu systému, nikoli konečnou kontrolou. Pravidla pro zajištění souladu se zákonem musí určovat, kdo může co dělat, jak se pravidla uplatňují, jak se podávají zprávy a jaké důkazy se uchovávají, než systém začne skutečně fungovat.

Kontrola správy a řízení by se měla zaměřit nad rámec kvality kódu. Měla by ověřit, zda systém zachovává práva k aktivům, dodržuje povolená pravidla, uchovává záznamy o volbách a pomáhá lidem kontrolovat fungování systémů.

7 způsobů, jak mohou problémy s řízením způsobit potíže projektům tokenizace podniků

Problémy se správou a řízením obvykle nepramení z jedné chyby. S větší pravděpodobností se objeví, když odpovědnosti, kontroly a záznamy nejsou sladěny v celém životním cyklu aktiv. Než bude systém skutečně použit, je třeba se zaměřit na následující problémy.

1. Nejasné vlastnictví aktiv a odpovědnost emitenta

Samotné vytvoření tokenů neznamená, že podkladové aktivum bylo legálně převedeno, ani že osoby, které tokeny vlastní, mají práva popsaná v dokumentech, které vysvětlují jejich prodej. Pravidla musí stanovit, zda je token určen k vlastnictví něčeho, k užitku, k půjčce, k části fondu nebo k jiné dohodě.

Bez tohoto porozumění může dojít ke sporům o platbách, hlasování, vrácení peněz nebo o tom, zda je povolen přesun tokenů. Osoba, která tokeny vytvořila, musí také rozhodnout, kdo je zodpovědný za kontrolu věci, za to, aby měla k dispozici dokumenty, za to, aby o ní informovala lidi, a za vedení přehledů.

Ideální model správy a řízení propojuje každé tokenizované aktivum s dokumenty, které ho vysvětlují, kdo ho vytvořil, záznamy o tom, kdo ho vlastní, a jasná práva lidí, kteří tokeny vlastní. Změny věci nebo jejích pravidel musí projít papírovou kontrolou a schválením, než k nim dojde.

2. Slabá kontrola identity, přístupu a oprávnění

Systém může mít způsoby, jak lidem umožnit provádět určité činnosti, ale nemusí být jasné, kdo může spustit, schválit a provést důležité operace. To lidem usnadňuje provádět činnosti bez povolení, měnit pravidla pro přesun tokenů nebo se dostat k informacím, které by neměli vidět.

Aby byla správa tokenizace v podniku efektivní, musí přístupové zásady odrážet skutečné organizační odpovědnosti. Vytváření tokenů, které mění fungování systému, jejich návrat do peněženky, což mění pravidla, a manipulace s penězi musí mít jasná pravidla. Velké změny mohou vyžadovat souhlas více než jedné osoby, v závislosti na jejich riziku.

Kontroly přístupu by měly zohledňovat i odchody zaměstnanců, změny rolí, externí administrátory a ohrožení přihlašovacích údajů. Cílem je zajistit, aby bylo povoleno vše, co lze s oprávněním dělat.

3. Neúplné auditní záznamy chytrých smluv

Chytrá smlouva může ukázat, že k transakci došlo, ale nemusí vyprávět příběh, který se za ní skrývá. Auditor může vidět, že k pohybu došlo, ale stále potřebuje vědět, kdo to schválil, pokud byla dodržena správná pravidla, a která verze pravidel byla použita.

To je důležité, když lidé mění pravidla, zastavují tahy, aktualizují systém nebo opravují chyby. Pokud systém tyto volby a důkazy, které s nimi souvisejí, nesleduje, může být těžké zjistit, co se stalo.

Efektivní dodržování předpisů v oblasti tokenizace vyžaduje více než jen záznam o tom, co se stalo na blockchainu. Je třeba sledovat, co dělali lidé, kteří souhlasili, historii pravidel, protokoly o věcech a odkazy na dokumenty, které nejsou na blockchainu. Soukromé nebo finanční informace by měly být chráněny pravidly přístupu a ukládání, místo aby byly zapisovány do veřejného záznamu.

4. Nedostatky v KYC, AML a vymáhání způsobilosti investorů 

Kontrola vlastníka tokenů na začátku neznamená, že na daném místě zůstanou po celou dobu jejich používání. Pravidla pro to, kdo může tokeny vlastnit, se mohou lišit v závislosti na typu osoby, na pravidlech nabídky, na tom, kolik jich může držet, nebo na tom, zda se změní její situace.

Pokud se tato pravidla nacházejí v části, kde se lidé poprvé připojují k systému, nemusí je vždy používat. Token by mohl jít do peněženky, která nedokončila kontroly nebo nemá povolení vlastnit takový typ tokenu.

Pravidla by měla propojovat ověřování totožnosti osob, zda jsou na seznamu osob, se kterými se nesmí obchodovat, s ověřováním, zda mají povoleno používat tokeny, s pravidly pro přesun tokenů a s neustálou kontrolou. Systém by měl také uvádět, co dělat, pokud dokumenty nejsou aktuální, pokud přesun není povolen, pokud je převod zpochybněn nebo pokud je problém s pravidly.

Potřebná pravidla by měla být určena tím, kde se token nachází. Způsob, který funguje pro jednu nabídku, nemusí být vhodný pro jinou.

5. Chybějící odsouhlasení na řetězci a mimo řetězec

Množství tokenů a pohyby v blockchainu nejsou všechny potřebné dokumenty. Společnosti mohou mít také dokumenty o vlastnících dané věci, záznamy o tom, kdo ji má, výpisy z bankovního účtu, dokumenty o finančních dohodách o přidružení a záznamy o vyplacení peněz.

Pokud tyto systémy nespolupracují, mohou nastat problémy. Pohyb na blockchainu může být zaznamenán, aniž by se o něm změnil dokument. Platba může být provedena peněžním systémem, aniž by byl systém tokenů informován. Ani jednu z těchto situací nelze vyřešit hádáním.

Způsob, jak ověřit shodu různých částí, by měl uvádět, která z nich je pro každou část dokumentů ta pravá, jak často se kontroly provádějí a jak řešit problémy, když se vyskytnou. Problémy by měly zůstat viditelné, dokud je někdo, kdo k tomu má právo, neopraví a neprokáže.

6. Nejasné postupy pro upgrade, obnovu a reakci na incidenty

Systémy, které zpracovávají tokeny, potřebují kroky pro případ, že se něco pokazí, například když je někomu odcizen přístup, pokud je v kódu chyba, pokud není pohyb správný, pokud systém nelze použít nebo pokud způsob, jakým systém funguje, není očekávaný. Pouhé zabezpečení nestačí, pokud společnost nemůže nic dělat, když pravidla přestanou fungovat.

Pravidla pro správu a řízení by měla stanovit, kdo může věci zastavit, kdo může systém změnit, kdo se může vrátit a kdo může řešit problémy. Měla by také stanovit, jak zaznamenat učiněná rozhodnutí a informovat o nich ostatní.

Způsob, jak věci opravit, by měl také zohledňovat, co se stane z provozního hlediska, když dojde ke změnám. Vrácení provedeného kroku na blockchainu nemusí být možné a jakákoli oprava musí splňovat pravidla pro daný token a zákon.

7. Nedostatečné důkazy pro interní a externí audity

Je těžké se připravit na kontroly, když se důkazy nacházejí na místech, jako jsou e-maily, tabulky, oddělené systémy a různé týmy. I když existují zavedená pravidla, společnost nemusí být schopna prokázat, že byly použity tímto způsobem.

Příprava na kontrolu vyžaduje způsob, jak důkaz získat, ochránit a najít. To zahrnuje schvalování pravidel, kontrolu přístupu, volby, kdo může mít token, kontroly vlastněných věcí, změny pravidel, problémy, které se objeví, a jejich řešení.

Způsob uchovávání důkazů by měl uvádět, jak dlouho se uchovávají, kdo je může vidět, kdo je zodpovědný a jak je každé pravidlo spojeno s dokumenty, které je dokazují. Mělo by to také lidem umožnit, aby si je zkontrolovali, aniž by viděli věci, které by vidět neměli.

Platforma navržená zkušenou společností zabývající se vývojem projektů tokenizace podniků by se měla těmito požadavky zabývat jako součástí implementace, a ne jako dokumentací, která má být sestavena bezprostředně před auditem.

Proč audity chytrých smluv samy o sobě nemohou zajistit soulad s tokenizací

Kontrola kódu je důležitým způsobem, jak zajistit bezpečnost systému, ale řeší pouze část problému s tokenizačním projektem společnosti. Obvykle se v kódu hledají chyby, neočekávané chování a slabá místa. Nekontroluje se automaticky, zda jsou pravidla, která se vztahují k tokenu, správná dokumentace mimo systém nebo zda kroky společnosti k získání schválení fungují.

Smlouva může dělat to, co má dělat, ale může se řídit pravidlem, které není úplné nebo je nesprávné. Například způsob přesunu tokenů může fungovat bez chyb. Pravidla, která k ní patří, mohou vyžadovat více kontrol, kdo může token vlastnit. Smlouva může také tokeny rozdávat správně. Dokumenty, které vysvětlují, co token je, nemusí být správné.

Toto rozlišení má praktické důsledky pro řešení dodržování předpisů v oblasti tokenizace . Bezpečnostní testování by mělo být doplněno ověřováním kontrol, právním přezkumem, testováním odsouhlasení, posouzením přístupu a testováním provozních scénářů.

Kontrola by měla zajistit, aby systém dělal přesně to, co společnost slibuje. Testy by měly zahrnovat jak pohyby, tak i neobvyklé situace, jako jsou pohyby, které selžou u lidí, kteří nesmí vlastnit token, u lidí, kteří změní aktualizace pravidel systému, a problémy mezi záznamy v blockchainu a dokumenty ve společnosti.

Nezávislý audit může hodně pomoci. Nemůže nahradit společnost, která zajišťuje dodržování pravidel. Musí být jasně stanoveno, kdo je za to zodpovědný.

Co by měl zahrnovat rámec pro správu tokenizace podniků?

Efektivní rámec propojuje obchodní odpovědnosti s technickým vymáháním a ověřitelnými důkazy. Spíše než aby se řízení považovalo za jediný dokument s pravidly, měly by podniky zavést koordinovaný soubor kontrol napříč platformou a organizací, která ji provozuje. 

Pro společnosti, které se zabývají správou tokenizace, by měl systém odpovídat riziku aktiva, způsobu fungování transakcí, osobám zapojeným do nich a platným pravidlům. Soukromá investice, kterou nelze snadno přesunout, může vyžadovat větší kontrolu než systém, který zpracovává mnoho typů aktiv a obchodování po počátečním prodeji.

S tím, jak se mění systém, se musí změnit i správa. Nové typy aktiv, aktualizované smluvní podmínky a spolupráce s jinými společnostmi mohou přinést rizika, která na začátku neexistovala.

Jak mohou podniky identifikovat mezery v řízení před spuštěním?

Strukturované předběžné posouzení pomáhá firmám najít vhodné nabídky dříve, než se náklady výrazně zvýší. Mělo by zahrnovat lidi, kteří mají na starosti aktiva, technologie, právní nastavení, dodržování předpisů, finance a provoz systému.

Následující seznam nabízí výchozí bod.

• Ověřte, zda práva k tokenům odpovídají příslušným právním dokumentům.
• Přiřaďte vlastníky pro vydávání, převody, upgrady, obnovu a reporting.
• Ověření totožnosti testu a omezení způsobilosti investorů.
• Ověřte oprávnění správce a oddělení schvalování.
• Odsouhlaste zůstatky tokenů s autoritativními záznamy o aktivech a financích.
• Dokumentujte změny chytrých smluv a administrativní zásahy.
• Reakce na testovací incidenty, zajištění kontinuity provozu a postupy obnovy.
• Ověřte, zda oprávnění kontroloři mohou získat důkazní informace z auditu.
• Projděte si závislosti třetích stran a definujte jejich odpovědnosti.
• Získejte zdokumentované schválení od příslušných vlastníků podniku a kontrolních subjektů.

Organizace, které si najímají společnost zabývající se vývojem projektů tokenizace podniků, by si měly před zahájením vývoje stanovit kritéria pro akceptaci v oblasti správy a řízení. To zajistí, že tým bude vědět, jaké kontroly je třeba zavést, které systémy musí fungovat a jaký důkaz je potřeba pro spuštění.

Kontrola správných postupů je nejlepší, když se jich dotkne natolik, že se změní způsob, jakým je systém postaven. Přidání pravidel přístupu, která mění reporting nebo opravují problémy s daty po spuštění systému, může zkrátit dobu trvání.

Začlenění správy do tokenizace od samého začátku

Řízení funguje nejlépe, když je součástí projektu ještě předtím, než jsou vydělány první peníze. Pravidla pro kontrolu aktiv, kdo se může zapojit, schvalování, kontrolu čísel a důkazy pro audity by měla být jasně stanovena v probíhajících plánech v raných fázích.

To vyžaduje spolupráci lidí z různých částí společnosti. Každá skupina by měla vědět, jaké volby činí, jaká pravidla musí systém dodržovat a jak se vypořádat s výjimkami. Práce by měla zahrnovat kontrolu kontrol v dané chvíli, kontrolu funkcí a zabezpečení s jasnými pravidly, která je třeba splnit před spuštěním.

Ideální řešení pro dodržování předpisů v oblasti tokenizace by měla s tímto způsobem práce pomoci, aniž by to věci příliš komplikovalo. V závislosti na potřebách by to mohlo znamenat pravidla, která zakazují určité kroky, řídí, kdo co může dělat, vedou záznamy o akcích s odkazem na osoby, které ověřují totožnost, způsoby kontroly čísel a vymazání zpráv.

Společnosti by se také měly zamyslet nad tím, jak se tato pravidla změní s tím, jak se systém rozroste na různá místa nebo typy aktiv. Způsob správy, který funguje pro jeden typ investice, může vyžadovat pravidla, více způsobů reportování nebo více právních kontrol, když podnik přidá něco nového.

Cílem je, aby se řízení stalo běžnou součástí fungování společnosti, nikoli něčím, co se děje pouze před jejím začátkem.

Jak Antier pomáhá s projekty tokenizace podniků

Antier vnímá tokenizaci podniků jako kombinaci nastavení aktiv, fungování blockchainu, fungování systému a pravidel, která je třeba dodržovat. Jeho práce zahrnuje vytváření systémů pro nemovitosti, fondy, zboží a další reálné věci s designem, který odpovídá každému projektu.

Jakožto společnost zabývající se vývojem projektů tokenizace podniků pomáhá Antier s tvorbou tokenů, kontrolovanými převody, chytrými smlouvami, s tím, jak zapojit lidi, jak spravovat, kdo co dělá, a jak se propojit za účelem správy životnosti aktiva. Přesný postup závisí na druhu aktiva, jeho fungování a požadavcích klienta.

Cílem je sladit to, co systém dokáže, s pravidly a schopnostmi kontrolovat, které byly stanoveny při plánování. Právní odpovědi, pravidla a kontroly od ostatních jsou stále úkolem lidí a skupin.

Společnosti, které se zabývají tokenizačním projektem, mohou začít tím, že zjistí své problémy s pravidly, která říkají, jaké kontroly jsou potřebné, a zjistí, jak by se měly projevit v návrhu systému.