De behandeling van de ontwerpwet betreffende het toezicht op virtuele activa dienstverleners mag niet ontaarden in een haastige poging om onder druk van een mogelijke internationale blacklisting zo snel mogelijk een juridisch raamwerk te produceren, zonder eerst grondig vast te stellen of de voorgestelde bepalingen uitvoerbaar, evenwichtig en technisch verantwoord zijn. Een toezichtswet die de Centrale Bank van Suriname verregaande bevoegdheden verleent, moet vooraf voldoende zekerheid bieden dat zij blockchaintechnologie niet alleen vanuit juridisch en compliancegericht perspectief kan beoordelen, maar ook beschikt over de gespecialiseerde kennis om complexe digitale systemen, transactiestromen en beveiligingsrisico’s technisch te doorgronden. Gebrekkig voorbereid toezicht kan ondernemers onnodig belasten, vernieuwende bedrijven naar andere landen verdrijven en het financiële stelsel een gevaarlijk gevoel van schijnveiligheid bezorgen, omdat krachtige wetgeving zonder aantoonbare technische deskundigheid en begrensde bevoegdheden vooral op papier bescherming biedt.
Een wettelijke basis voor toezicht is noodzakelijk, omdat handelsplatformen, bewaardiensten, wisseldiensten en uitgevers van virtuele activa niet buiten iedere controle mogen opereren wanneer zij geld en digitale bezittingen van klanten beheren, grensoverschrijdende transacties uitvoeren of financiële producten aanbieden waarvan de risico’s voor burgers moeilijk te overzien zijn. Antiwitwascontrole, cliëntenonderzoek, transactiemonitoring, sanctiescreening en bescherming van klanttegoeden moeten daarom stevig worden geregeld, maar noodzakelijk toezicht mag niet worden verward met een vrijwel onbeperkte volmacht waarmee een instelling diep kan ingrijpen in het eigendom, het bestuur en de bedrijfsvoering van particuliere ondernemingen.
De vergadering van de Commissie van Rapporteurs had vandaag daarom verder moeten gaan dan de gebruikelijke uitleg over compliance, integriteit en corporate governance, omdat de centrale vraag is of de CBvS technisch kan vaststellen wat zich binnen een platform voor virtuele activa afspeelt en of zij complexe blockchainstructuren, digitale transactiestromen en cyberrisico’s zelfstandig kan beoordelen. Voor de uitvoering van deze wet moet de Bank aantoonbaar beschikken over gespecialiseerde deskundigen, geavanceerde analysemiddelen en duidelijke technische beoordelingsnormen, want algemene IT kennis is onvoldoende om smartcontracts, digitale sleutelbewaring, beveiligingsarchitecturen, klanttegoeden en kwetsbaarheden in gedistribueerde systemen verantwoord te controleren. Die technische capaciteit moet voor de inwerkingtreding zijn georganiseerd en onafhankelijk worden getoetst, omdat de CBvS daarna onmiddellijk vergunningen moet beoordelen, diepgaande inspecties mag uitvoeren, ondernemingen kan laten stoppen en zware sancties kan opleggen, met mogelijk onherstelbare gevolgen wanneer een technisch oordeel onjuist of onvolledig blijkt te zijn.
Virtuele activa laten zich namelijk niet beoordelen met uitsluitend jaarrekeningen, antecedentenonderzoek en formulieren over de herkomst van geld, omdat een onderneming op papier volledig compliant kan lijken en technisch toch levensgevaarlijk kan zijn. Deskundig toezicht vereist kennis van smartcontracts, code, digitale sleutelbewaring, online en offline portemonnees, meervoudige ondertekening, toegangsrechten, beheeraccounts, blockchainbruggen, prijsorakels, digitale verdienmodellen, cloudbeveiliging, netwerksegmentatie, penetratietesten, incidentrespons, herstelprocedures en de werkelijke scheiding tussen klanttegoeden en het vermogen van de onderneming. Een accountant kan verklaren dat financiële cijfers goed zijn weergegeven en een compliancefunctionaris kan controleren of een klantdossier volledig is, maar geen van beiden kan zonder gespecialiseerde technische deskundigheid bepalen of een gestolen privésleutel, verkeerd ingesteld smartcontract of onbeveiligde beheerfunctie alle klanttegoeden binnen enkele minuten kan laten verdwijnen.
Artikel 16 maakt de technische zwakte van het ontwerp pijnlijk zichtbaar, omdat de Bank daarin te allen tijde onbeperkte toegang krijgt tot de gedistribueerde grootboektechnologie, het grootboek, het consensusmechanisme, netwerkknooppunten en alle relevante systemen. Die formulering klinkt mooi, maar is technisch onnauwkeurig, aangezien een gedecentraliseerd consensusmechanisme niet als een bedrijfsserver kan worden geopend en veel openbare blockchains niet door de vergunninghouder worden beheerd. De wet maakt evenmin duidelijk of toegang ook betrekking kan hebben op broncode, cloudomgevingen, beveiligingssleutels, herstelcodes en beheerdersaccounts waarmee transacties kunnen worden goedgekeurd, waardoor een bevoegdheid die toezicht moet versterken zelf een ernstig beveiligingsrisico kan veroorzaken. Wettelijk moet daarom ondubbelzinnig worden vastgelegd dat toezichthouders nooit privésleutels, herstelzinnen of andere middelen mogen verlangen waarmee zij direct of indirect over de virtuele activa van klanten kunnen beschikken.
De macht van de CBvS blijft niet beperkt tot technische inspecties, want het ontwerp staat toe dat zonder voorafgaande schriftelijke aanzegging informatie wordt ingewonnen wanneer dringende redenen aanwezig worden geacht, dat aanvullende voorwaarden via richtlijnen worden vastgesteld en dat vergunningen worden geweigerd wanneer de Bank een ontwikkeling ongewenst vindt. Schriftelijke toestemming is daarnaast vereist voor dividenduitkeringen, statutenwijzigingen, reorganisaties, overnames, de oprichting van andere rechtspersonen, gekwalificeerde deelnemingen en het aanbieden van nieuwe virtuele activa, terwijl geen persoon meer dan 51 procent van het geplaatste aandelenkapitaal van een dienstverlener mag bezitten. Een algemene eigendomsbeperking van deze omvang vloeit niet vanzelfsprekend voort uit FATF Aanbeveling 15 en kan ertoe leiden dat een oprichter de zeggenschap over zijn eigen innovatieve onderneming moet afbouwen zonder dat sprake is van misbruik, criminaliteit of een concreet risico voor de financiële stabiliteit.
De administratieve en financiële lasten voor beginnende ondernemingen zijn eveneens bijzonder zwaar, omdat een dienstverlener via een afzonderlijke rechtspersoon moet opereren, minstens twee bestuurders en een toezichthoudend orgaan moet hebben, een externe accountant moet inschakelen, een uitgebreid ondernemingsplan met financiële ramingen voor drie jaren moet overleggen en zijn boekhouding, informatiedragers en systemen in Suriname moet aanhouden. De Bank mag daarnaast het minimumkapitaal, aanvullende financiële buffers, behandelingskosten, jaarlijkse toezichtbijdragen en boetebedragen later via richtlijnen bepalen, waardoor een ondernemer bij de behandeling van de wet niet kan berekenen hoeveel toetreding werkelijk zal kosten. Externe deskundigen en bijzondere onderzoeken kunnen eveneens aan de onderneming worden doorberekend, terwijl iedere aanvullende informatievraag de beslistermijn voor een vergunning opnieuw kan laten beginnen en geen harde uiterste termijn bestaat waarbinnen definitief moet worden beslist.
De CBvS heeft nog geen omvangscriteria vastgesteld en dat de toekomstige markt waarschijnlijk zal bestaan uit kleine startups, middelgrote technologiebedrijven en grotere internationale aanbieders, maar het ontwerp creëert desondanks geen afzonderlijk vergunningenstelsel voor verschillende risicoklassen. Een kleine ontwikkelaar met een beperkt aantal klanten kan daardoor worden geconfronteerd met vrijwel dezelfde bestuurlijke structuur en toezichtslasten als een internationaal handelsplatform dat grote hoeveelheden klanttegoeden beheert. Een wettelijk proefregime, een innovatieloket, tijdelijke testvergunningen en vereenvoudigde verplichtingen voor ondernemingen met een laag risicoprofiel ontbreken, waardoor eerlijke startups kunnen worden gedwongen te kiezen tussen hoge nalevingskosten, vertrek naar het buitenland of het volledig staken van hun plannen.
De rechtsbescherming staat evenmin in verhouding tot de omvang van de bevoegdheden, omdat de Bank haar eigen besluiten eerst zelf heroverweegt, bezwaar en beroep de werking van een besluit in beginsel niet opschorten en functionarissen van de Bank slechts onder zware voorwaarden persoonlijk aansprakelijk kunnen worden gesteld. Formuleringen als naar het oordeel van de Bank laten de toezichthouder veel beoordelingsruimte, terwijl objectieve criteria, concrete waarborgen voor de beveiliging en privacy van bedrijfsgegevens en een brede bezwaarprocedure noodzakelijk zijn om willekeur en onevenredige besluiten te voorkomen. Een vergunning kan de levensader van een onderneming vormen, waardoor een onmiddellijk werkende intrekking het voortbestaan van een bedrijf ernstig kan bedreigen voordat een onafhankelijke rechter heeft vastgesteld of het besluit juridisch houdbaar, technisch correct en evenredig is.
Een geloofwaardig Surinaams toezichtstelsel behoort daarom pas volledig in werking te treden nadat de technische gereedheid onafhankelijk is getoetst, de CBvS een gespecialiseerde eenheid met blockchainanalisten, cybersecuritydeskundigen, digitale forensische onderzoekers en auditors van smartcontracts heeft ingericht, de toegang tot bedrijfssystemen wettelijk is begrensd en iedere ingrijpende maatregel aan noodzaak, proportionaliteit en onafhankelijke toetsing is onderworpen. Verschillende vergunningen voor verschillende activiteiten en risicoklassen, een gecontroleerde proeftuin voor startups, wettelijke grenzen aan kosten en boetes, duidelijke bescherming van broncode en klantgegevens, verplichte incidentrapportage en objectieve technische beveiligingsnormen kunnen voorkomen dat toezicht verandert in een bestuurlijke muur waar uitsluitend grote en kapitaalkrachtige spelers overheen komen.
De keuze ligt uiteindelijk niet tussen regulering en vrijheid, maar tussen volwassen toezicht dat financiële criminaliteit bestrijdt en ondernemerschap mogelijk maakt, en een haastig stelsel dat op papier indrukwekkend oogt maar in de praktijk vooral de zichtbare, geregistreerde en eerlijke ondernemer raakt. Die zware verantwoordelijkheid rust mede op de Commissie van Rapporteurs onder voorzitterschap van drs. Rabindre Parmessar, waarbij drs. Asiskumar Gajadien, Kishan Ramsukul, drs. Rossellie Cotino MSc en Jennifer Vreedzaam tijdens de vergadering aanwezig waren, terwijl Ameerani Jarbandhan PT, MSc, PhD de bijeenkomst als toehoorder bijwoonde. Blacklisting voorkomen is belangrijk, maar een wet aannemen zonder aantoonbare technische capaciteit, begrensde bevoegdheden en werkbare voorwaarden voor innovatie zou Suriname slechts van het ene risico naar het andere brengen, waarbij de internationale controlelijst misschien wordt ontlopen, maar de eigen digitale economie al wordt verstikt voordat zij werkelijk heeft kunnen ontstaan.
Volg Ko’W’ Checking voor nieuws, data en meer gesprekken over samenleving, ondernemerschap, leiderschap en ontwikkeling, op de Facebookpagina, TIKTOK and Youtube kanaal. Voor alle nieuws uit Suriname en de wereld check: www.kowchecking.com
