Penulis Asli: Pengacara Shao Jiadian
Dalam dua tahun terakhir, semakin banyak klien yang menanyakan tentang pembayaran kripto.
Ada yang menerima pembayaran untuk e-niaga lintas batas, ada yang menyelesaikan pembayaran dengan stablecoin, ada yang membuat kartu U, ada yang melakukan akuisisi pedagang, ada yang membuat pembayaran bawaan di dompet Web3, juga ada perusahaan pembayaran tradisional yang ingin perlahan-lahan menghubungkan bisnis penerimaan dan pembayaran mata uang fiat mereka ke jaringan penyelesaian stablecoin, akun pertukaran, atau on-chain.
Kebanyakan orang langsung bertanya pertanyaan yang sama:
"Pengacara Shao, izin apa yang harus kami dapatkan dulu?"
Pertanyaan ini tentu penting. Bisnis pembayaran, baik pembayaran tradisional maupun kripto, tidak mungkin menghindari izin. MSB AS (Money Services Business, pendaftaran bisnis jasa moneter, secara ketat adalah pendaftaran di tingkat federal bukan izin tradisional), MTL negara bagian (Money Transmitter License, lisensi transmisi uang), MSO Hong Kong (Money Service Operator, operator layanan uang), MPI Singapura (Major Payment Institution, lisensi lembaga pembayaran utama), izin layanan DPT (Digital Payment Token, token pembayaran digital), CASP di bawah MiCA Eropa (Crypto-Asset Service Provider, penyedia layanan aset kripto), semuanya bisa menjadi pintu masuk regulasi yang harus dihadapi proyek.
Tapi dalam praktiknya, saya semakin merasakan satu hal:
Izin hanyalah hal pertama, hal kedualah yang benar-benar menentukan apakah sebuah proyek bisa berjalan atau tidak.
Hal kedua ini bukan mencari bank, bukan mencari saluran, juga bukan buru-buru meluncurkan App.
Melainkan merancang siklus bisnis tertutup yang dapat dipahami dan dieksekusi bersama oleh bank, lembaga pembayaran, bursa, penyedia layanan pengendalian risiko on-chain, badan pengawas, serta tim internal proyek.
Izin adalah tiket masuk, siklus tertutup adalah kemampuan operasional.
Kesalahan paling umum proyek pembayaran kripto adalah mengira izin dapat menyelesaikan segalanya
Banyak pemilik proyek memiliki keyakinan yang hampir naif terhadap izin. Setelah menyelesaikan pendaftaran MSB AS, merasa bisa melakukan penerimaan dan pembayaran stablecoin untuk klien global; mendapatkan MSO Hong Kong, merasa bisa sekaligus memasukkan USDT, USDC; melihat biaya aplikasi VASP di suatu negara rendah, mengira bisa menggunakannya untuk menangani semua bisnis pembayaran kripto; mendengar EMI atau PI di suatu tempat bisa melakukan uang elektronik dan pembayaran, merasa secara alami juga bisa mencakup penyelesaian stablecoin on-chain.
Pemahaman ini berbahaya.
Izin menyelesaikan masalah "apakah Anda berhak berada di meja permainan", tidak menyelesaikan masalah "apakah Anda bisa benar-benar melakukan bisnis ini".
Meski sama-sama disebut pembayaran, perbedaan bisnis bisa sangat besar.
Apakah Anda membantu klien melakukan pengiriman uang fiat, atau membantu klien menyelesaikan konversi stablecoin? Apakah Anda menyediakan alat penerimaan pembayaran untuk pedagang, atau membuat jaringan penyelesaian lintas batas? Apakah Anda hanya menyediakan antarmuka teknis, atau benar-benar menangani dana klien? Apakah Anda hanya menampilkan halaman pihak ketiga, atau ikut serta dalam penawaran, pencocokan, kliring, penyelesaian? Apakah Anda membiarkan klien sendiri mentransfer koin ke pedagang, atau platform menerima, membayar, menukar atas nama klien?
Setiap perubahan detail akan menyebabkan perubahan dalam izin, kepatuhan anti-pencucian uang, sanksi, perlindungan dana klien, tanggung jawab kontrak, dan risiko pajak.
Misalnya, MSO Hong Kong sendiri terutama sesuai dengan layanan penukaran uang dan pengiriman uang, tidak secara otomatis mencakup aktivitas perdagangan aset virtual, penukaran, penitipan, atau terkait stablecoin; pendaftaran MSB AS juga tidak sama dengan memenuhi persyaratan lisensi transmisi uang di tingkat negara bagian AS; regulasi CASP di bawah MiCA Eropa juga tidak bisa secara sederhana mengganti pengaturan regulasi yang terlibat dalam kerja sama bank, pembayaran tradisional, uang elektronik, atau rekening bank.
Jadi, keadaan paling berbahaya bagi proyek pembayaran kripto, bukan tidak memiliki izin, tetapi setelah mendapatkan satu izin, mengira bisa melakukan segalanya.
Beberapa izin memang bisa membuat proyek mendapatkan status regulasi, beberapa izin juga memang menguntungkan untuk pembukaan rekening, pendanaan, kerja sama bisnis, dan promosi eksternal. Tetapi izin itu sendiri tidak secara otomatis membantu Anda menjawab pertanyaan paling diperhatikan bank dan mitra: siapa kliennya? Dari mana uangnya berasal? Dari mana koinnya berasal? Apa tujuan transaksinya? Akhirnya diselesaikan kepada siapa? Peran apa sebenarnya yang dimainkan platform di tengah?
Jika pertanyaan-pertanyaan ini tidak dijawab dengan jelas, semakin banyak izin, justru semakin mudah mengekspos kekacauan desain bisnis.
Hal kedua bukan mencari bank, tetapi menjelaskan rantai bisnis dengan jelas
Banyak pemilik proyek akan berkata, setelah izin, hal kedua tentu saja mencari bank.
Ini hanya setengah benar.
Bank tentu penting. Tanpa rekening bank, tanpa setoran fiat, tanpa rekening penyelesaian pedagang, banyak bisnis pembayaran tidak bisa berjalan. Tetapi masalahnya, bank tidak menerima proyek berdasarkan perasaan, bank ingin melihat apakah bisnis ini bisa dijelaskan dengan jelas, apakah bisa melakukan pengendalian risiko secara berkelanjutan, dan apakah bisa dituntut jika terjadi masalah.
Jika rantai bisnis itu sendiri belum dirancang dengan baik, mencari lebih banyak bank hanya akan mengulangi kegagalan.
Yang seharusnya dilakukan terlebih dahulu adalah membongkar rantai bisnis.
Lapisan pertama, adalah rantai klien.
Siapa sebenarnya yang dilayani proyek? Pengguna individu, atau klien perusahaan? E-niaga lintas batas, pedagang game, jaringan iklan, pekerja lepas, atau pemilik proyek Web3? Klien berasal dari negara dan wilayah mana? Apakah ada warga AS, penduduk UE, pengguna Tiongkok daratan? Apakah ada pengguna dari daerah berisiko tinggi? Apakah ada industri berisiko tinggi seperti sanksi, perjudian, penipuan, konten dewasa, rumah perantara gelap, perdagangan palsu?
Siapa klien, menentukan kedalaman KYC (Know Your Customer, mengenal klien Anda), juga menentukan warna dasar risiko bisnis.
Lapisan kedua, adalah rantai dana.
Dari mana fiat masuk, masuk ke rekening siapa, apakah dana klien, dana penyelesaian pedagang, atau dana milik platform? Apakah platform memegang dana klien? Apakah membentuk kumpulan dana? Apakah melakukan penerimaan dan pembayaran atas nama? Apakah melibatkan pertukaran lintas batas? Apakah perlu menyelesaikan transfer dana melalui bank, EMI, lembaga pembayaran, lembaga akuisisi, lembaga pengiriman uang, atau badan berizin lainnya?
Aliran dana yang tidak jelas, bank tidak akan tenang.
Lapisan ketiga, adalah rantai aliran koin.
Dari mana stablecoin berasal? Apakah klien sendiri mentransfer on-chain, atau platform membantu klien membeli? Apakah platform memberikan penawaran? Apakah melakukan pencocokan? Apakah melakukan penitipan? Apakah menangani kunci pribadi? Apakah mengontrol alamat on-chain? Apakah menggunakan bursa pihak ketiga, OTC, penyedia likuiditas, atau lembaga penitipan?
Dalam pembayaran kripto, aliran koin lebih mudah diabaikan daripada aliran dana. Tetapi regulator dan mitra sekarang menanyakan pertanyaan yang sama: mengapa koin ini bisa diterima? Apakah transaksi on-chain ini terkontaminasi? Apakah alamat pernah bersentuhan dengan mixer, alamat penipuan, pasar dark web, platform perjudian, atau daftar sanksi?
Lapisan keempat, adalah rantai penyelesaian.
Apa sebenarnya yang diterima pedagang? Menerima fiat, atau stablecoin? Jika pedagang menerima fiat, siapa di tengah yang menyelesaikan konversi aset kripto ke fiat? Jika pedagang menerima stablecoin, apakah pedagang sendiri memiliki kemampuan untuk menerima dan memproses stablecoin? Jika mata uang pembayaran klien dan penerimaan pedagang tidak sama, siapa yang menanggung nilai tukar, slippage, biaya, pengembalian dana, dan penolakan di tengah?
Jika lapisan ini tidak jelas, akan banyak sengketa.
Lapisan kelima, adalah rantai tanggung jawab.
Bagaimana jika dana atau akun klien dibekukan? Bagaimana jika pedagang dikeluhkan? Bagaimana jika alamat on-chain ditandai sebagai berisiko tinggi oleh KYT (Know Your Transaction, pemantauan transaksi on-chain)? Bagaimana jika setelah transaksi selesai, ditemukan sumber dana mencurigakan? Jika regulator atau penegak hukum mengirim surat meminta pembekuan, pengungkapan, bantuan investigasi, siapa yang menanganinya? Jika saluran pihak ketiga terputus, siapa yang bertanggung jawab kepada klien dan pedagang?
Bisnis pembayaran tidak takut kompleks, yang ditakuti adalah setelah kompleks tidak ada batas tanggung jawab.
Mengapa banyak proyek mati bukan karena izin, tetapi karena siklus tertutup
Beberapa tahun ini saya melihat banyak proyek pembayaran kripto, tempat yang akhirnya benar-benar mentok, sering kali bukan "apakah ada izin".
Lebih sering, pemilik proyek memegang identitas regulasi yang terlihat bagus, produk yang terlihat bisa berjalan, saluran teknis yang terlihat sudah terhubung, tetapi begitu sampai pada pembukaan rekening bank, due diligence saluran, audit mitra, due diligence investor, atau komunikasi regulator, seluruh cerita tidak bisa dilanjutkan.
Due diligence ini tidak akan berhenti di tingkat "apakah Anda memiliki izin", tetapi akan terus membongkar ke bawah.
Jika proyek mengatakan dirinya hanya penyedia layanan teknis, mitra biasanya akan melihat lebih lanjut: apakah dana dan stablecoin klien melewati rekening atau dompet yang dikendalikan platform, apakah platform terlibat dalam pemilihan jalur transaksi, apakah memutuskan pelepasan transaksi, apakah menjanjikan kedatangan, apakah memberikan janji penyelesaian kepada pedagang.
Jika proyek mengatakan tidak melakukan penukaran, mitra biasanya akan terus melihat: apakah aset pembayaran klien dan aset penerimaan pedagang konsisten, apakah terjadi pertukaran koin-koin, pertukaran koin-fiat, atau konversi nilai tukar di tengah, siapa yang memberikan penawaran, siapa yang mendapatkan spread, siapa yang menanggung slippage dan pengembalian dana.
Jika proyek mengatakan hanya menghubungkan lembaga berizin pihak ketiga, due diligence juga tidak akan berhenti di sini. Mitra akan terus melihat: hubungan klien sebenarnya didirikan atas nama siapa, KYC dan KYT diselesaikan oleh siapa, data transaksi disimpan oleh siapa, transaksi abnormal ditangani oleh siapa, jika layanan pihak ketiga gagal, siapa yang bertanggung jawab kepada klien dan pedagang.
Jika proyek menggunakan bursa, OTC, penyedia likuiditas, atau lembaga penitipan untuk menyelesaikan beberapa bagian, akan terus melibatkan serangkaian masalah seperti penggunaan rekening perusahaan, bahan latar belakang transaksi, penyimpanan pesanan dan faktur, penyaringan alamat on-chain, verifikasi keaslian pedagang, penyaringan daftar sanksi, dll.
Ini adalah dilema nyata banyak proyek.
Di PPT tertulis PayFi (Payment Finance, keuangan pembayaran), Crypto Payment (pembayaran kripto), Stablecoin Settlement (penyelesaian stablecoin), Global Merchant Acquiring (akuisisi pedagang global), terdengar sangat canggih. Tetapi begitu masuk due diligence, masalah menjadi sangat spesifik: setiap uang, setiap koin, setiap klien, setiap pedagang, apakah bisa dijelaskan?
Bisnis pembayaran tidak pernah sesederhana "memindahkan nilai dari A ke B". Bisnis pembayaran yang sebenarnya adalah, sebelum setiap transfer nilai, menjawab dengan jelas terlebih dahulu: mengapa bisa transfer, siapa yang berhak transfer, siapa yang menanggung risiko, jika ada masalah cari siapa.
Inilah pentingnya siklus tertutup.
Siklus tertutup kepatuhan pembayaran kripto, setidaknya harus menjawab tujuh pertanyaan
Siklus tertutup pembayaran kripto yang bisa berjalan, setidaknya harus menjawab tujuh pertanyaan. Siapa klien? Siapa pedagang? Siapa yang menerima uang? Siapa yang menerima koin? Siapa yang melakukan penukaran? Siapa yang melakukan penitipan? Siapa yang menanggung tanggung jawab AML (Anti-Money Laundering, anti-pencucian uang), penyaringan sanksi, pengembalian dana, pembekuan, penolakan, transfer keliru, kontaminasi aset on-chain, dan pertanyaan regulator?
Tujuh pertanyaan ini tampak sederhana, tetapi cukup untuk membuat sebagian besar proyek pembayaran kripto terungkap aslinya.
Misalnya, sebuah proyek mengatakan hanya melakukan "agregasi pembayaran stablecoin". Maka harus dilihat lebih lanjut: mengagregasi apa? Mengagregasi saluran pembayaran, atau mengagregasi likuiditas penukaran? Apakah klien memesan di sini, atau langsung dialihkan ke pihak ketiga? Apakah Anda terlibat dalam penawaran? Apakah mengendalikan jalur transaksi? Apakah menerima aset klien? Apakah menjanjikan waktu dan jumlah kedatangan kepada pedagang?
Contoh lain, sebuah proyek mengatakan tidak menyentuh dana klien. Maka lihat rantai aktual: apakah klien mentransfer uang ke rekening yang dikendalikan platform? Apakah klien mentransfer stablecoin ke dompet yang dikendalikan platform? Apakah platform berhak memutuskan pelepasan, pembekuan, pengembalian, atau pembayaran? Jika ya, ini tidak bisa dijelaskan hanya dengan kata-kata "tidak menyentuh dana".
Contoh lain lagi, sebuah proyek mengatakan menggunakan lembaga berizin pihak ketiga untuk menyelesaikan penukaran dan penyelesaian. Ini juga harus dilihat: pihak ketiga siapa? Izin pihak ketiga mencakup wilayah dan bisnis apa? Hubungan klien atas nama siapa? KYC siapa yang melakukan? Data transaksi disimpan siapa? Transaksi abnormal dilaporkan siapa? Keluhan klien ditangani siapa? Apakah ada pemisahan tanggung jawab dan peringatan risiko yang jelas antara halaman pihak ketiga dan halaman platform?
Pembayaran kripto bukan kepatuhan titik tunggal, melainkan kepatuhan rantai.
Jika dilihat sendiri-sendiri, proyek mungkin memiliki izin, bank, teknologi, protokol, alat KYT. Tetapi jika hal-hal ini tidak dimasukkan ke dalam siklus bisnis tertutup yang sama, akan muncul situasi yang canggung: setiap bagian terlihat ada, tetapi mobil tidak bisa berjalan stabil.
Apa yang sebenarnya harus dilakukan pengacara, bukan hanya membantu klien mencari izin murah
Banyak proyek di awal mencari pengacara, paling suka bertanya: "Di mana izin termurah? Di mana paling cepat? Di mana regulasi paling longgar?"
Pertanyaan ini bisa ditanyakan, tetapi tidak hanya ini.
Izin murah belum tentu bisa mendukung bisnis nyata, jalur tercepat belum tentu bisa bertahan melewati due diligence bank, tempat yang regulasinya terlihat longgar juga belum tentu mendapatkan pengakuan mitra utama. Lebih realistis, proyek pembayaran kripto sering kali bukan diselesaikan dengan satu izin, tetapi hasil kombinasi dari badan hukum berbeda, izin berbeda, mitra berbeda, batas bisnis berbeda.
Nilai pengacara di sini, bukan hanya memberi tahu pemilik proyek ke mana harus mengajukan izin, tetapi membantu pemilik proyek membongkar bisnis menjadi struktur yang dapat dipahami regulator, diterima mitra, dan dieksekusi tim.
Secara spesifik, setidaknya termasuk:
Merancang struktur badan hukum, menjelaskan badan mana yang bertanggung jawab atas kontrak klien, badan mana yang bertanggung jawab atas layanan teknis, badan mana yang bertanggung jawab atas layanan pembayaran, badan mana yang menghubungkan bursa, bank, atau penyedia likuiditas.
Merancang jalur izin, menilai bisnis mana yang harus memiliki izin sendiri, bisnis mana yang dapat diselesaikan melalui mitra berizin, bisnis mana yang tidak bisa dilakukan pada tahap ini, bisnis mana yang bisa disediakan untuk peningkatan di masa depan.
Merancang aliran dana dan aliran koin, menggambar dengan jelas jalur masuk dan keluar setiap fiat dan stablecoin, menghindari bisnis yang sebenarnya sudah membentuk penerimaan dan pembayaran atas nama, pengiriman uang tanpa izin, penukaran tanpa izin, penitipan tanpa izin, atau layanan aset virtual tanpa izin, tetapi pemilik proyek sendiri masih mengira hanya "layanan teknis".
Merancang aturan KYC, KYT, AML, dan penyaringan sanksi, membuat tim operasional lini depan tahu klien mana yang bisa masuk, klien mana yang perlu due diligence diperkuat, transaksi mana yang harus dicegat, situasi mana yang perlu dibekukan, ditolak, dilaporkan, atau dihentikan layanannya.
Merancang sistem kontrak, membuat perjanjian pengguna, perjanjian pedagang, perjanjian saluran, perjanjian likuiditas, pengungkapan risiko, pernyataan layanan pihak ketiga, aturan penanganan transaksi abnormal, dan batas tanggung jawab menjadi satu set, bukan sekadar menyusun beberapa template dari internet.
Merancang ekspresi eksternal, membuat situs web, whitepaper, halaman App, ucapan penjualan, PPT bisnis, dan bisnis nyata tetap konsisten. Banyak proyek mati bukan karena bisnisnya sendiri, tetapi karena "terlalu berlebihan dalam berbicara ke luar, internal tidak bisa melakukannya, regulator melihat langsung ada masalah".
Skema kepatuhan pembayaran kripto yang baik, bukan membatasi proyek hingga mati, tetapi membuat proyek tahu bagian mana yang bisa dilakukan, bagian mana yang tidak bisa dilakukan, bagian mana yang sekarang tidak bisa dilakukan tetapi nanti bisa disediakan.
Setelah izin, proyek harus beralih dari "apakah bisa dilakukan" ke "bagaimana melakukannya agar tidak terbalik"
Pembayaran kripto pasti akan terus berkembang di masa depan.
Stablecoin sedang memasuki skenario pembayaran dan penyelesaian yang lebih mainstream, bank, lembaga pembayaran, organisasi penerbit kartu, bursa, dompet, penyedia layanan pedagang, semuanya mengevaluasi kembali posisi mereka. Bagi pemilik proyek, ini tentu peluang. Tetapi semakin besar peluang, persyaratan regulator dan mitra juga akan semakin spesifik.
Dulu banyak orang melakukan bisnis kripto, suka berbicara konsep, lalu lintas, teknologi, globalisasi. Sekarang berbeda. Sekarang bank akan melihat aliran dana Anda, regulator akan melihat batas izin Anda, mitra akan melihat pembagian tanggung jawab Anda, investor akan melihat biaya kepatuhan berkelanjutan Anda, klien akan bertanya siapa yang bertanggung jawab jika ada masalah.
Jadi, melakukan pembayaran kripto, hal pertama tentu saja izin.
Tetapi hal kedua, sama sekali bukan buru-buru mencari bank, juga bukan buru-buru menghubungkan saluran, apalagi buru-buru meluncurkan.
Hal kedua, adalah membuat seluruh bisnis menjadi siklus tertutup.
Siklus tertutup ini setidaknya harus mencapai: bisnis bisa dijelaskan dengan jelas, rantai bisa digambar, risiko bisa diidentifikasi, tanggung jawab bisa dibagi dengan jelas, kontrak bisa terhubung, tim bisa mengeksekusi, mitra bisa memahami, jika regulator bertanya bisa dijawab.
Jika tidak bisa mencapai ini, izin hanyalah sertifikat di dinding. Jika bisa mencapai ini, izin akan benar-benar menjadi titik awal bisnis.
Daya saing sebenarnya proyek pembayaran kripto, bukan siapa yang lebih dulu mendapatkan izin murah, tetapi siapa yang lebih dulu menyatukan izin, bank, saluran, pengendalian risiko on-chain, akses klien, tanggung jawab kontrak, dan disiplin operasional menjadi sistem yang bisa berjalan jangka panjang.
