Lacune in materia di governance e audit che stroncano i progetti di tokenizzazione

I progetti di tokenizzazione aziendale possono incontrare problemi durante la fase di implementazione, anche se la parte blockchain funziona correttamente. Un contratto intelligente potrebbe eseguire le transazioni in modo corretto, i token potrebbero essere creati senza problemi e il sistema potrebbe superare i test di sicurezza. Tuttavia, il progetto potrebbe avere difficoltà a ottenere l'approvazione interna, a rispettare le normative di audit, a garantire la correttezza dei registri di proprietà o a dimostrare il rispetto delle regole degli investitori.

Per chi prende decisioni in azienda, questa è una differenza importante. La tokenizzazione non consiste nel trasformare un asset in una versione digitale. Aggiunge una componente tecnologica che deve essere compatibile con i diritti, i registri finanziari, le modalità operative e le normative applicabili. Quando questi aspetti vengono gestiti separatamente, spesso sorgono problemi durante la fase di implementazione del progetto, quando viene testato o quando viene esteso oltre la fase di test.

Un approccio solido alla governance della tokenizzazione aziendale integra tutte queste attività nel sistema fin dalla sua progettazione. Stabilisce chi può approvare le azioni, come viene verificata la proprietà, quali regole si applicano al trasferimento dei token e quali prove sono necessarie quando si valuta una scelta.

L'obiettivo non è aggiungere passaggi per fare le cose, bensì creare un sistema che l'azienda possa utilizzare, monitorare, spiegare e difendere durante tutto il periodo di utilizzo della risorsa.

Perché i progetti di tokenizzazione aziendale falliscono quando vengono verificati in termini di governance?

I progetti di tokenizzazione aziendale spesso presentano problemi di governance quando la parte tecnologica si evolve più rapidamente rispetto alle esigenze operative dell'azienda. Gli ingegneri potrebbero concentrarsi sui contratti, sull'utilizzo dei wallet e sulle transazioni, mentre i team legali, finanziari e operativi si occupano di documenti e procedure diverse per ottenere le approvazioni necessarie.

Questa separazione crea uno spazio tra ciò che il sistema può fare e ciò che l'azienda è autorizzata a fare.

Immaginate una piattaforma immobiliare. Lo smart contract potrebbe gestire il trasferimento dei token. L'azienda deve anche definire i diritti che tali token rappresentano, le condizioni in cui la proprietà può cambiare e i registri che documentano tali cambiamenti. Se il modo in cui il sistema trasferisce i token non è conforme alle regole, una transazione tecnicamente funzionante potrebbe comunque causare problemi con i registri o le normative.

Lo stesso problema si presenta con denaro, prestiti, obbligazioni, beni e altre cose che vengono trasformate in token. Le regole per ciascuna cambiano in base al tipo di bene e al luogo in cui si trova, ma l'esigenza principale rimane la stessa: le modalità operative devono essere conformi a ciò che l'azienda è autorizzata a fare. Quali regole si applicano?

È qui che la conformità alla tokenizzazione diventa parte integrante della progettazione del sistema, non un controllo finale. Le regole per essere in linea con la legge devono definire chi può fare determinate cose, come vengono applicate le regole, come vengono redatti i report e quali prove vengono conservate prima che il sistema entri effettivamente in funzione.

Una verifica della governance dovrebbe andare oltre la qualità del codice. Dovrebbe controllare se il sistema tutela i diritti sugli asset, rispetta le regole consentite, tiene traccia delle scelte e aiuta gli utenti a verificare il funzionamento del sistema.

7 modi in cui i problemi di governance possono causare problemi ai progetti di tokenizzazione aziendale

I problemi di governance non derivano solitamente da un singolo errore. È più probabile che emergano quando responsabilità, controlli e registrazioni non sono allineati lungo l'intero ciclo di vita degli asset. I seguenti problemi richiedono attenzione prima che il sistema venga effettivamente utilizzato.

1. Proprietà degli asset e responsabilità dell'emittente poco chiare

La creazione di token di per sé non implica che l'asset sottostante sia stato legalmente trasferito o che i possessori dei token abbiano i diritti descritti nei documenti che ne regolano la vendita. Le normative devono specificare se un token è destinato al possesso di qualcosa a scopo di lucro, a titolo di prestito, per la partecipazione a un fondo o per altri motivi previsti da un accordo.

Senza questa comprensione possono sorgere controversie sui pagamenti, sui voti, sul recupero del denaro o sulla legittimità dello spostamento dei token. Chi ha creato i token deve anche decidere chi è responsabile della verifica, della documentazione necessaria per informare il pubblico e della redazione dei report.

Un modello di governance ideale collega ogni asset tokenizzato alla documentazione che lo descrive, indicando chi lo ha creato, chi ne è il proprietario e i diritti chiari di chi possiede i token. Qualsiasi modifica all'asset o alle sue regole deve essere verificata e approvata prima di poter essere implementata.

2. Controlli deboli di identità, accesso e autorizzazione

Un sistema potrebbe prevedere diverse modalità per eseguire determinate azioni, ma non specificare chiaramente chi può avviare, approvare ed eseguire le operazioni più importanti. Questo facilita l'accesso non autorizzato a informazioni riservate, consentendo di modificare le regole per lo spostamento dei token o di accedere a dati non consentiti.

Affinché la governance della tokenizzazione aziendale sia efficace, le politiche di accesso devono rispecchiare le effettive responsabilità organizzative. La creazione di token (che modifica il funzionamento del sistema), l'accesso a un wallet (che ne modifica le regole) e la gestione del denaro devono essere regolamentati in modo chiaro. Per modifiche sostanziali potrebbe essere necessario il consenso di più persone, a seconda del livello di rischio.

Le verifiche degli accessi dovrebbero tenere conto anche delle cessazioni del rapporto di lavoro, dei cambi di ruolo, degli amministratori esterni e delle credenziali compromesse. L'obiettivo è garantire che tutto ciò che è possibile fare con i privilegi di amministratore sia consentito.

3. Tracce di controllo incomplete degli smart contract

Uno smart contract può dimostrare che una transazione è avvenuta, ma potrebbe non raccontarne la storia. Un revisore dei conti potrebbe constatare che un'operazione ha avuto luogo, ma avrebbe comunque bisogno di sapere chi ha dato il via libera, verificando che le regole siano state rispettate e quale versione di tali regole sia stata utilizzata.

Questo è importante quando le persone cambiano le regole, interrompono le operazioni, aggiornano il sistema o correggono gli errori. Se il sistema non tiene traccia di queste scelte e delle prove che le accompagnano, può essere difficile capire cosa è successo.

Per una conformità efficace alla tokenizzazione non basta registrare tutto ciò che è accaduto sulla blockchain. È necessario tenere traccia delle azioni compiute da chi ha dato il proprio consenso, della cronologia delle regole applicate, dei registri degli eventi e dei link ai documenti non presenti sulla blockchain. Le informazioni private o finanziarie devono essere protette dalle regole di accesso e archiviazione, anziché essere inserite in un registro pubblico.

4. Lacune nell'applicazione delle normative KYC, AML e di ammissibilità degli investitori 

Verificare all'inizio chi possiede i token non significa che rimarrà in possesso di tali token per tutta la durata del loro utilizzo. Le regole relative a chi può possedere i token potrebbero dipendere dal tipo di persona, dal contesto dell'offerta, dalla quantità massima di token che può detenere o da eventuali cambiamenti nella sua situazione.

Se queste regole sono presenti nella sezione in cui gli utenti si iscrivono per la prima volta al sistema, potrebbero non essere sempre applicate. Un token potrebbe finire in un portafoglio che non ha completato i controlli o che non è autorizzato a detenere quel tipo di token.

Le regole dovrebbero collegare la verifica dell'identità delle persone, controllando se sono presenti in un elenco di persone a cui è vietato fare affari, con la verifica del loro diritto a possedere i token, le regole relative al trasferimento dei token e i controlli continui. Il sistema dovrebbe anche specificare cosa fare se la documentazione non è aggiornata, se un trasferimento non è consentito, se un trasferimento viene contestato o se si riscontra un problema con le regole.

Le regole necessarie dovrebbero essere stabilite in base alla natura del token e al contesto in cui si trova. Un metodo che funziona per un'offerta potrebbe non essere adatto a un'altra.

5. Mancanza di riconciliazione on-chain e off-chain.

La quantità di token e le transazioni sulla blockchain non sono gli unici documenti necessari. Le aziende potrebbero anche avere documenti che attestano la proprietà di un bene, registrazioni di chi lo possiede, estratti conto bancari, documenti relativi ad accordi finanziari, contratti di adesione e registrazioni di pagamenti effettuati.

Quando questi sistemi non collaborano, possono sorgere dei problemi. Una transazione sulla blockchain potrebbe essere registrata senza che la relativa documentazione cartacea venga aggiornata. Un pagamento potrebbe essere effettuato da un sistema monetario senza che il sistema dei token ne sia a conoscenza. Nessuna di queste situazioni può essere risolta con delle ipotesi.

Un metodo per verificare la corrispondenza tra le diverse parti dovrebbe indicare quale parte del documento corrisponde a ciascuna sezione, con quale frequenza vengono effettuati i controlli e come risolvere eventuali problemi. I problemi dovrebbero rimanere visibili finché una persona autorizzata non possa risolverli, fornendo una prova della loro efficacia.

6. Procedure poco chiare per l'aggiornamento, il ripristino e la gestione degli incidenti.

I sistemi che gestiscono i token necessitano di procedure per gestire eventuali problemi, come ad esempio il furto di accesso, un errore nel codice, un'operazione non corretta, l'impossibilità di utilizzo del sistema o un funzionamento anomalo. La sola sicurezza non è sufficiente se l'azienda non è in grado di intervenire quando le regole smettono di funzionare.

Le regole di governo dovrebbero stabilire chi può fermare le cose, chi può cambiare il sistema, chi può rientrare in carica e chi può risolvere i problemi. Dovrebbero anche specificare come documentare le decisioni prese e comunicarle agli altri.

Il modo in cui si cerca di risolvere i problemi dovrebbe anche considerare cosa succede a livello operativo quando vengono apportate delle modifiche. Potrebbe non essere possibile annullare un'operazione effettuata sulla blockchain e qualsiasi soluzione deve rispettare le regole del token e la legge.

7. Prove insufficienti per le verifiche interne ed esterne

È difficile prepararsi ai controlli quando le prove si trovano in luoghi come e-mail, fogli di calcolo, sistemi separati e team diversi. Anche se esistono delle regole, l'azienda potrebbe non essere in grado di dimostrare che siano state utilizzate in modo fraudolento.

Essere pronti per un controllo richiede un modo per ottenere, proteggere e trovare le prove. Ciò include le approvazioni per le regole che verificano chi ha accesso, le scelte su chi può avere i token, i controlli sugli oggetti di proprietà, le modifiche alle regole, i problemi che si presentano e le relative soluzioni.

Le modalità di conservazione delle prove dovrebbero specificare per quanto tempo vengono conservate, chi può consultarle, chi ne è responsabile e come ogni norma è collegata ai documenti che la comprovano. Dovrebbe inoltre consentire a chiunque di verificarle senza accedere a informazioni riservate.

Una piattaforma progettata da un'azienda esperta nello sviluppo di progetti di tokenizzazione aziendale dovrebbe affrontare questi requisiti come parte integrante dell'ambito di implementazione, anziché considerarli come documentazione da raccogliere immediatamente prima di un audit.

Perché le verifiche dei contratti intelligenti da sole non possono garantire la conformità alla tokenizzazione

Verificare il codice è un modo importante per assicurarsi che il sistema sia sicuro, ma affronta solo una parte del problema di un progetto di tokenizzazione aziendale. In genere, si esamina il codice alla ricerca di errori, comportamenti inattesi e punti deboli. Non verifica automaticamente se le regole associate al token siano corrette, se la documentazione esterna al sistema sia ineccepibile o se le procedure aziendali per ottenere l'approvazione stiano funzionando.

Un contratto potrebbe eseguire gli ordini impartiti, ma potrebbe anche seguire una regola incompleta o errata. Ad esempio, un metodo per trasferire token potrebbe funzionare senza errori, ma le regole che lo regolano potrebbero richiedere ulteriori verifiche per stabilire chi può possedere il token. Inoltre, un contratto potrebbe assegnare correttamente i token, ma i documenti che ne descrivono la funzione potrebbero non essere esatti.

Questa distinzione ha implicazioni pratiche per le soluzioni di conformità alla tokenizzazione . I test di sicurezza dovrebbero essere integrati da convalida dei controlli, revisione legale, test di riconciliazione, valutazioni degli accessi e test di scenari operativi.

La verifica dovrebbe accertarsi che il sistema funzioni come dichiarato dall'azienda. I test dovrebbero coprire sia le operazioni standard che le situazioni anomale, come ad esempio operazioni che non vanno a buon fine per utenti non autorizzati a possedere un token, modifiche alle regole di sistema e discrepanze tra le registrazioni sulla blockchain e la documentazione cartacea aziendale.

Un audit indipendente può essere di grande aiuto. Non può però sostituirsi all'azienda stessa, che deve assicurarsi che le regole siano rispettate. La responsabilità per l'applicazione delle regole e per il loro rispetto deve essere chiara. Chi è responsabile deve esserlo.

Cosa dovrebbe includere un framework di governance per la tokenizzazione aziendale?

Un quadro di riferimento efficace collega le responsabilità aziendali con l'applicazione tecnica e le prove verificabili. Anziché trattare la governance come un singolo documento di policy, le imprese dovrebbero stabilire un insieme coordinato di controlli a livello di piattaforma e dell'organizzazione che la gestisce. 

Per le aziende che valutano come gestire la tokenizzazione, il sistema deve essere adeguato al rischio dell'asset, al funzionamento delle transazioni, ai soggetti coinvolti e alle regole applicabili. Un investimento privato, difficilmente trasferibile, potrebbe richiedere controlli più rigorosi rispetto a un sistema che gestisce diverse tipologie di asset e le negoziazioni successive alla vendita iniziale.

Anche la governance deve evolversi di pari passo con il sistema. Nuove tipologie di beni, termini contrattuali aggiornati e la collaborazione con altre aziende possono far emergere rischi che non esistevano all'inizio.

Come possono le imprese individuare le lacune di governance prima del lancio sul mercato?

Una valutazione pre-lancio strutturata aiuta le aziende a individuare le aree di mercato prima che comportino costi elevati. Dovrebbe coinvolgere le persone responsabili delle risorse, della tecnologia, degli aspetti legali, della conformità, della gestione finanziaria e del funzionamento del sistema.

Il seguente elenco può essere un punto di partenza.

• Verificare che i diritti relativi ai token corrispondano a quanto previsto dai documenti legali di riferimento.
• Assegnare i responsabili per l'emissione, i trasferimenti, gli aggiornamenti, il ripristino e la reportistica.
• Verifica dell'identità e restrizioni relative all'ammissibilità degli investitori.
• Convalidare le autorizzazioni amministrative e la separazione delle approvazioni.
• Riconciliare i saldi dei token con i registri contabili e finanziari ufficiali.
• Documentare le modifiche apportate ai contratti intelligenti e gli interventi amministrativi.
• Testare le procedure di risposta agli incidenti, di continuità operativa e di ripristino.
• Verificare che la documentazione di audit possa essere recuperata dai revisori autorizzati.
• Esamina le dipendenze da terze parti e definisci le relative responsabilità.
• Ottenere l'approvazione documentata dai responsabili aziendali e di controllo competenti.

Le organizzazioni che si affidano a una società di sviluppo di progetti di tokenizzazione aziendale dovrebbero anche stabilire criteri di accettazione della governance prima dell'inizio dello sviluppo. Ciò garantisce che il team sappia quali controlli devono essere implementati, quali sistemi devono funzionare e quali prove sono necessarie per la messa in produzione.

Un controllo sulla governance è più efficace quando si verifica con una frequenza tale da indurre a modificare la struttura del sistema. L'aggiunta di regole di accesso, la modifica dei report o la correzione di problemi relativi ai dati dopo la loro implementazione possono allungare i tempi più del necessario.

Integrare la governance nel processo di tokenizzazione fin dall'inizio.

La governance funziona al meglio quando è parte integrante del progetto, prima ancora che vengano generati i primi profitti. Le regole relative al controllo delle risorse, all'ammissibilità dei membri, alle approvazioni, alla verifica dei dati e alla documentazione a supporto delle verifiche contabili dovrebbero essere chiaramente definite nei piani operativi fin dalle prime fasi.

Ciò richiede la collaborazione di persone provenienti da diverse aree aziendali. Ogni gruppo deve essere a conoscenza delle scelte che effettua, delle regole che il sistema deve seguire e di come gestire le eccezioni. Il lavoro dovrebbe includere la verifica dei controlli in tempo reale, nonché il controllo delle funzionalità e della sicurezza, con regole chiare da rispettare prima della messa in produzione.

Le soluzioni ideali per la conformità alla tokenizzazione dovrebbero agevolare questo metodo di lavoro senza complicarlo eccessivamente. A seconda delle esigenze, ciò potrebbe significare definire regole che impediscano determinate azioni, gestire chi può fare cosa, tenere traccia delle azioni, collegare le persone che verificano le identità, implementare metodi per controllare i numeri e generare report chiari.

Le aziende dovrebbero anche riflettere su come queste regole cambieranno man mano che il sistema si espanderà includendo nuove aree geografiche o tipologie di asset. Un metodo di gestione efficace per un tipo di investimento potrebbe richiedere nuove regole, modalità di rendicontazione più ampie o controlli legali più rigorosi quando l'azienda introduce una novità.

L'obiettivo è rendere la governance parte integrante del funzionamento aziendale, e non qualcosa che si verifica solo prima dell'avvio dell'attività.

Come Antier aiuta nei progetti di tokenizzazione aziendale

Antier considera la tokenizzazione aziendale come un insieme di fattori, tra cui la configurazione degli asset, il funzionamento della blockchain, l'esecuzione del sistema e le regole da rispettare. Il suo lavoro comprende la creazione di sistemi per immobili, fondi, beni e altri oggetti reali, con design specifici per ogni progetto.

In qualità di società di sviluppo di progetti di tokenizzazione aziendale, Antier offre supporto nella creazione di token, trasferimenti controllati, smart contract, nell'acquisizione di partecipanti, nella gestione delle responsabilità e nell'integrazione per la gestione dell'intero ciclo di vita dell'asset. Il lavoro specifico dipende dal tipo di asset, dal suo funzionamento e dalle esigenze del cliente.

L'obiettivo è quello di far coincidere le capacità del sistema con le regole e le possibilità di verifica stabilite in fase di pianificazione. Le risposte legali, le regole e i controlli da parte di terzi rimangono comunque compito delle persone e dei gruppi.

Le aziende che prendono in considerazione un progetto di tokenizzazione possono iniziare individuando i problemi relativi alle regole che definiscono i controlli necessari e valutando come questi dovrebbero essere integrati nella progettazione del sistema.