APAC 암호화폐 컴플라이언스: AML 위험과 라이선스 현실, 기업이 무시할 수 없는 과제

아시아태평양 지역은 세계에서 가장 규모가 크고 거래가 활발한 암호화폐 시장을 다수 보유하고 있으며, 그 규모에 비례해 컴플라이언스 환경도 까다롭습니다. 호주, 일본, 홍콩, 한국을 비롯한 역내 시장에서 사업을 영위하는 은행, 핀테크 기업, 암호자산 사업자는 자금세탁방지 의무, 고객확인 요건, 트래블룰 이행 방식, 라이선스 기준이 관할권마다 실질적으로 다른 환경을 마주하게 됩니다. 이 지형을 잘못 읽는 것은 이론적인 위험에 그치지 않습니다. 라이선스 거절, 제재 조치, 그리고 극단적인 경우에는 금융범죄에 직접 노출되는 결과로 이어집니다. 이 글에서는 회계법인, CFO, 컴플라이언스 책임자가 아시아태평양 디지털자산 사업을 시작하기 전에 또는 운영하는 과정에서 반드시 이해해야 할 핵심 위험 범주와 규제 현실을 정리합니다.

APAC 암호화폐 컴플라이언스가 단일한 접근을 허용하지 않는 이유

아시아태평양을 하나의 규제 블록으로 취급하고 싶은 유혹은 큽니다. 그러나 실제로는 서로 인접해 있는 십여 개의 개별 규제 체제에 가깝습니다. 호주 AUSTRAC이 요구하는 사항은 일본 금융청이 요구하는 사항과 다르고, 그 어느 쪽도 홍콩 증권선물위원회의 라이선스 체계나 한국의 보고 의무와 깔끔하게 대응되지 않습니다. 각 관할권은 FATF 권고를 자국 법령으로 옮기면서 저마다의 속도, 저마다의 예외 규정, 저마다의 기준선을 적용했습니다.

따라서 역내 진출을 검토하는 기업에게 필요한 것은 지역 전략이 아니라 관할권별 전략입니다. 하나의 정책 문서로 세 개 이상의 관할권을 동시에 관리하려는 시도는 대체로 가장 느슨한 기준에 맞춰 정렬되며, 이는 가장 엄격한 규제기관 앞에서 문제가 됩니다.

이 지역이 암호자산 서비스를 얼마나 진지하게 다루고 있는지를 보여주는 지표 가운데 하나는 역내 주요 은행들의 태도입니다. 여러 은행이 암호자산을 주변적 위험으로 취급하기보다 하나의 사업 영역으로 접근하는 방향으로 움직여 왔습니다. 이러한 기관의 참여는 컴플라이언스의 부담을 한층 높입니다. 디지털자산에 대한 수탁 또는 결제 서비스를 제공하는 은행은 기존의 건전성 규제 요건에 더해 해당 활동에 수반되는 자금세탁방지 및 고객확인 의무를 함께 지게 되기 때문입니다.

이들 기관의 컴플라이언스 조직에는 전통적인 금융범죄 패턴뿐 아니라 온체인 유형론을 이해하는 인력이 필요합니다. 이는 채용과 교육의 문제이며, 단기간에 해결되지 않습니다. 규제기관이 요구하는 수준의 전문성을 갖춘 인력은 역내에서 여전히 희소하고, 그 결과 컴플라이언스 역량 자체가 사업 확장의 속도를 결정하는 제약 조건이 되는 경우가 적지 않습니다.

FATF 기준은 각국 규제로 어떻게 달라지는가?

FATF 권고 15와 개정된 가상자산 가이던스는 대부분의 아시아태평양 규제기관이 이행하고자 하는 기준선을 제시합니다. 그러나 이행 시점은 서로 다릅니다. 일부 시장은 가상자산사업자에 대한 트래블룰을 완전히 도입했고, 다른 시장은 이를 집행하기 위한 기술적, 법적 기반을 아직 구축하는 중입니다.

세 개 이상의 아시아태평양 관할권에서 동시에 사업을 운영하는 기업에게 이러한 차이는 단일 정책 문서로는 관리할 수 없는 컴플라이언스 매트릭스를 만들어냅니다. 그룹 내 각 법인에는 관할권별 위험평가가 필요하며, 이 평가는 현지 규정이 변화함에 따라 재검토되어야 합니다. 이러한 현지 규정이 출발점으로 삼는 글로벌 기준선에 관해서는 FATF 모니터링 강화 동향을 다룬 분석이 참고가 됩니다.

APAC 암호화폐 시장에 특화된 금융범죄 유형은 무엇인가?

아시아태평양에 기반을 둔 암호화폐 사업자가 직면하는 불법자금 위험은 일반적이지 않습니다. 이 위험은 역내의 지리적 조건, 정치적 역학, 시장 구조를 반영합니다. 지역적 맥락을 반영하지 않은 채 글로벌 유형론 목록에만 의존하는 컴플라이언스 조직은 통제 수준을 잘못 설정할 가능성이 높습니다.

북한과 연계된 행위자는 전 세계적으로 가장 큰 규모의 암호화폐 탈취 사건에 관여해 왔으며, 탈취한 자금은 이후 지갑 연쇄, 믹서, 크로스체인 브리지를 거쳐 세탁되었습니다. 아시아태평양의 거래소와 수탁기관은 역내의 거래량과 유동성 때문에 빈번한 표적이 됩니다. 2020년 9월 싱가포르에 기반을 둔 거래소 쿠코인에서 약 2억 8100만 달러 상당의 암호자산이 탈취된 사건은 통제가 미흡할 때 거액이 얼마나 빠르게 생태계를 통과할 수 있는지를 보여주는 기준점으로 남아 있습니다. 기업에는 일반적인 고액 거래 경보뿐 아니라 이러한 활동에 수반되는 레이어링 패턴을 탐지할 수 있도록 조정된 거래 모니터링이 필요합니다.

또한 암호화폐는 동남아시아 일부 지역에서 마약 거래 대금의 결제 수단으로 자리 잡았고, 역내에서는 조직적인 사기 활동도 급증했습니다. 여기에는 이른바 돼지도살 수법이 포함되는데, 피해자를 온라인에서 장기간 신뢰 관계로 유인한 뒤 가짜 투자 플랫폼을 통해 상당한 금액을 편취하는 방식입니다. 이러한 사기는 거래소, 장외 거래 데스크, 개인 간 거래 플랫폼을 통과하는 대규모 암호화폐 자금 흐름을 발생시킵니다. 이들 네트워크와 연결된 고객이나 거래상대방을 식별하려면 블록체인 분석, 고위험 지역에 대한 강화된 고객확인, 그리고 사기 연계 계정의 행동 지표를 인지하도록 훈련된 인력의 조합이 필요합니다.

방어 가능한 아시아태평양 컴플라이언스 프로그램은 이러한 지역적 유형론을 명시적으로 반영한 위험선호 기준서에서 출발합니다. 이 기준서는 기업의 고객 기반, 상품 구성, 지리적 범위, 거래 규모를 포괄하는 위험평가로 이어집니다. 그다음으로는 식별된 위험에 통제를 대응시켜야 합니다. 고객확인, 고위험 관계에 대한 강화된 고객확인, 거래 모니터링 기준과 규칙, 그리고 의심거래보고를 위한 명확한 보고 체계가 여기에 해당합니다. 위험평가는 일회성 작업이 아닙니다. 규제 요건과 불법자금 수법이 모두 변화하는 지역에서는 문서화된 재검토 주기가 필요합니다.

일본, 홍콩, 호주, 한국의 라이선스 요건은 어떻게 다른가?

아시아태평양 전역의 라이선스 요건은 최근 몇 년 사이 크게 강화되었고, 기준은 높습니다. 거래소, 수탁, 중개, 자문 가운데 어떤 형태든 암호자산 서비스를 제공하는 사업자는 자신이 영업하고 있거나 영업하려는 각 시장에서 무엇이 요구되는지 파악해야 합니다.

일본 금융청은 세계적으로 가장 정착된 가상자산 라이선스 체계 가운데 하나를 운영합니다. 등록된 암호자산 교환업자는 자본 요건, 사이버보안 기준, 이용자 자산 분별관리 규정을 충족해야 합니다. 위반에는 실질적인 결과가 따르며, 여러 기업이 제재 조치와 영업 정지 명령을 통해 이를 경험했습니다. 금융청이 사기 예방에 지속적으로 초점을 맞추고 있다는 사실은 이미 라이선스를 보유한 사업자에 대해서도 규제기관이 기대 수준을 계속 높여가고 있음을 보여줍니다.

홍콩 증권선물위원회는 가상자산 거래 플랫폼에 대한 의무 라이선스 체계로 이행해 왔으며, 그 요건은 자금세탁방지, 고객확인, 투자자 보호를 포괄합니다. 호주 AUSTRAC은 디지털통화 거래 제공자에게 등록과 함께 자금세탁방지 및 테러자금조달방지법에 따른 프로그램 의무 준수를 요구합니다. 한국 금융정보분석원은 가상자산사업자에게 정보보호 관리체계 인증을 취득하고 실명 계좌 확인을 위해 은행과 제휴할 것을 요구하며, 이 요건은 영업 중인 거래소의 수를 실질적으로 제한해 왔습니다.

트래블룰은 APAC에서 어떻게 적용되고 있는가?

FATF 트래블룰, 즉 일정 기준을 초과하는 가상자산 이전에 송금인과 수취인 정보가 함께 전달되도록 하는 요건을 이행하는 일은 기술적으로도 운영적으로도 까다롭습니다. 아시아태평양 관할권은 서로 다른 단계에 있습니다. 일본은 해당 요건을 이행했고, 다른 시장들은 규정 제정과 기술적 준비의 여러 단계에 걸쳐 있습니다.

아시아태평양 역내에서 이전을 주고받는 기업에게 이러한 비대칭은 실무적인 문제를 만들어냅니다. 송신 측 기업은 전송할 의무가 있는 데이터를 수신 측 기업의 인프라가 아직 수용하지 못하는 상황이 발생하기 때문입니다. 컴플라이언스 조직에는 이러한 불일치를 어떻게 처리할지에 관한 명확한 정책이 필요하며, 여기에는 트래블룰 연결 고리가 완결되지 않았을 때 어떤 추가 실사 절차를 적용할지가 포함되어야 합니다. 이 판단을 사안별로 즉흥적으로 내리는 조직은 일관성을 유지하기 어렵고, 사후에 그 판단을 설명하기는 더 어렵습니다.

회계 및 보고 의무에서 무엇을 준비해야 하는가?

자금세탁방지와 라이선스를 넘어, 아시아태평양 암호화폐 사업자를 자문하는 회계법인과 CFO는 관할권마다 달라지는 보고 의무를 함께 관리해야 합니다. 여기에는 의심거래 보고 기한, 기준금액 초과 거래 보고, 그리고 일부 시장에서는 고위험 지역과 연결된 고객에 대한 강화된 공시 요건이 포함됩니다.

재무보고 관점에서 디지털자산의 재무상태표 처리는 계속 변화하는 기준의 영향을 받고 있습니다. 아시아태평양 전역에서 사업을 운영하는 기업은 현지 법정 재무제표를 해당 지역에서 채택된 국제회계기준이든 관할권별 개별 기준이든 적용되는 회계 프레임워크의 요건에 맞춰 정렬해야 합니다. 다중 관할권 거래 기록을 처리하고 감사에 대응할 수 있는 산출물을 생성하는 견고한 암호화폐 회계 소프트웨어는 이러한 복잡성을 대규모로 관리하는 기업에게 선택적 투자가 아니라 실질적인 필수 요건입니다.

회계법인 입장에서 실무적으로 중요한 것은 고객 위험평가에 지역적 층위를 추가하는 일입니다. 아시아태평양에서 사업을 운영하는 암호자산 고객을 신규로 수임하거나 계속 지원하는 회계법인은 해당 관계에 대해 자체적인 자금세탁방지 위험평가를 수행해야 합니다. 이는 고객이 어느 아시아태평양 관할권에서 영업하는지, 어떤 라이선스를 보유하고 있는지, 트래블룰 인프라가 요건을 충족하는지, 어떤 거래 모니터링 통제를 갖추고 있는지를 파악한다는 뜻입니다. 이러한 질문에 명확히 답하지 못하는 고객은 더 높은 위험을 지닌 고객이며, 회계법인 자체의 위험 관리 체계가 이를 반영해야 합니다.

CFO에게는 컴플라이언스 비용이 변동 항목이 아니라 예산 항목이라는 점이 핵심입니다. 아시아태평양으로 확장하는 암호화폐 기업에서 규제를 준수하는 조직을 구축하는 비용은 사업 계획 초기부터 반영되어야 합니다. 라이선스 신청, 자금세탁방지 프로그램 구축, 거래 모니터링 도구, 트래블룰 기술 구현, 지속적인 컴플라이언스 인력 운영은 선택적인 부가 항목이 아닙니다. 일본과 홍콩 같은 시장은 컴플라이언스를 사후에 처리할 사항으로 취급하는 기업에 대해 규제기관이 라이선스를 거부하거나 취소할 수 있음을 보여주었습니다. 이미 재무보고를 위해 디지털자산 회계 소프트웨어를 사용하고 있는 기업이라면, 거래 기록, 지갑 주소, 거래상대방 정보, 의심거래보고 문서를 포함한 컴플라이언스 데이터 계층에도 동일한 수준의 엄밀함을 적용해야 합니다.

앞으로 APAC 규제는 어느 방향으로 움직이는가?

역내의 방향성은 기준을 낮추는 쪽이 아니라 높이는 쪽입니다. FATF 가상자산 가이던스를 아직 완전히 이행하지 않은 시장의 규제기관은 그 방향으로 움직이고 있고, 이미 포괄적인 체계를 갖춘 시장은 집행을 강화하고 있습니다. 회계법인과 CFO에게 이는 열여덟 달 전에 충분했던 컴플라이언스 태세가 오늘은 충분하지 않을 수 있으며, 다시 열여덟 달 뒤에는 거의 확실히 충분하지 않으리라는 뜻입니다.

규제기관이 직원 교육을 형식적 절차가 아니라 실질적인 컴플라이언스 요건으로 취급하는 경향이 강해지고 있다는 점도 함께 고려해야 합니다. 컴플라이언스 조직에는 아시아태평양 고유의 유형론을 이해하고, 블록체인 분석 결과를 해석할 수 있으며, 현지 규제 요건이 일상적인 운영 판단으로 어떻게 이어지는지를 아는 인력이 필요합니다.

현행 수준을 유지하려면 체계적인 접근이 필요합니다. 관련 관할권별로 규제 동향을 추적하고, 중대한 변화가 발생하면 위험평가를 갱신하며, 새롭게 등장하는 유형론에 대해 통제를 시험하고, 암호화폐 장부 관리 소프트웨어든 거래 모니터링 시스템이든 트래블룰 솔루션이든 기술이 과거가 아니라 현재의 요건을 충족하도록 구성되어 있는지 확인해야 합니다. 지금 그러한 규율을 갖추는 기업은 다음 규제 변화의 물결이 도래할 때 더 나은 위치에 서게 되며, 아시아태평양에서 그 물결은 먼 미래의 이야기가 아닙니다.

출처: Elliptic