英国金融行為規制機構（FCA）は、2026年10月21日にDeFiガイダンスに関する協議を開始し、回答期限を11月18日としました。直近の問題は説明責任です。金融会社が分散型プロトコルを利用する場合、どの責任がその会社に残るのでしょうか。

GC26/7協議は、既存の適用要件の下でのオペレーショナル・レジリエンスと金融犯罪を扱っています。これは新たなDeFiライセンスや個々のプロトコルの承認ではなく、提案されたガイダンスです。この違いは、インフラを選択する事業者や、誰を信頼できるのかを判断する顧客にとって重要です。

2つの協議は異なる問いに答える

GC26/7は、企業がどのようにリスクを管理するかに関するものです。これに付随するCP26/36は、一定の技術サービスに対する除外を含む、規制の対象範囲に関するものです。どちらか一方の名称を、もう一方の評価の近道として使用すべきではありません。

簡単に言えば、事業者はまず、自らが実際にどのような活動を行っているのか、その活動が英国で事業として行われているのか、そして除外または免除が関係するのかを確認する必要があります。義務が適用される場合、次に問われるのは、DeFiに依存しながら事業者がその義務をどのように果たすかです。ウェブサイトの運営、ソフトウェアの作成、戦略の選択、顧客取引の執行はそれぞれ異なる機能であり、法的な答えはその構成によって異なります。

CP26/36の規制対象範囲に関するガイダンス案は、実質を重視し、関係する参加者を個別に評価することを強調しています。分散型ガバナンスや海外のインフラだけで結論が決まるわけではありません。同様に、すべての開発者やガバナンストークン保有者が自動的に認可を必要とすると推論するのも誤りです。

顧客が実際に受けるサービスを追う

融資プールを選択し、顧客の預金をルーティングし、出金ボタンを表示する仮想的なアプリを考えてみましょう。プールのコントラクトは一般にアクセス可能かもしれません。しかし、そのアプリは依然として、表示する商品について判断を下しています。出金できない顧客に対して、ブロックチェーンが稼働し続けているという説明だけでは不十分です。

有用な調査では、画面から決済までサービスをたどります。誰がプールを選択したのか。誰がインターフェースを管理しているのか。どのデータソースが担保を評価しているのか。誰でもコントラクトのパラメータを変更できるのか。出金が失敗した際に、どの当事者がアラートを受け取るのか。これらは、構成を評価するための実務的な問いであり、普遍的な法的テストでも、あらかじめ定められた責任分担でもありません。

このアプローチによって、異なるリスクも分けて考えられます。ある当事者が資産をカストディせずにフロントエンドを管理している場合があります。戦略マネージャーがプロトコルを選択しても、そのコードを管理しているとは限りません。顧客は、プロバイダーが行う選択と、プロバイダーの介入権限の限界の両方を理解する必要があります。

監査はコードに関する証拠であり、復旧計画ではない

FCAが確立してきたオペレーショナル・レジリエンスに関する所見は、依存関係のマッピングと障害への対応テストを求めています。SYSC 15Aの下では、対象となる企業は、顧客への潜在的な被害を考慮し、重要な業務サービスについて影響許容度を設定します。問題は、サーバーが稼働しているかどうかだけにとどまりません。

例えば、あるウォレットが取引を送信するために1つのRPCプロバイダーに依存しているとします。その接続が失敗しても、チェーン自体は健全なまま、ウォレットの顧客がアクセスを失う可能性があります。2つ目のRPCプロバイダーがその障害に役立つ場合はありますが、ブリッジのエクスプロイトを修復したり、プロトコルの出金キューを取り除いたりすることはできません。テストは、実際に起こり得る障害に合わせる必要があります。

現実的な演習では、顧客が正確な残高を確認できるか、代替経路を通じて取引を送信できるか、復旧時期が不明な場合に企業が何を説明できるかを問うことになります。預金を移動できないために清算に近づいている借り手にとって、「資産は盗まれていない」と報告しても、安心材料にはほとんどなりません。

コードレビューの目的は、より限定的です。レビューの範囲内にある脆弱性を特定することはできますが、中断のないアクセスや、レシートトークンの買い手を保証することはできません。KTXによるリキッドステーキングの解説は、プロトコルからの償還と、譲渡可能なレシートの売却が異なる出口である理由を示しています。

公開された取引記録にも解釈が必要

金融犯罪対策には、アドレスが見えること以上のものが必要です。FCAの金融犯罪ガイドは、ブロックチェーン分析の理解、アラートの調査、適切な制裁措置管理の維持について説明しています。リスクスコアは意思決定へのインプットであり、人物や取引に関する完全な説明ではありません。

複数回のスワップとブリッジ移転を経た後に、仮想的な預金が到着した場合を考えてみましょう。分析担当者は、アラート、その根拠、限界を理解する必要があります。自動執行ではタイミングが重要になります。企業が不可逆的な移転を完了した後にアラートを確認することと、その前に確認することは異なります。この例は、ブリッジされた移転がすべて疑わしいことを意味するものではありません。

より広範な政策の方向性は、FATFの2026年7月のDeFi報告書にも見られます。この報告書は、管理の特定を含む、機能ベースかつリスクベースの分析を支持しています。FATFの勧告と英国の法的義務は、同一の規則として示すべきではありません。

商業上の影響はサービスの提供方法によって異なる

私たちの評価では、より明確な境界線によって、依存関係の連鎖とインシデント時の意思決定を説明できるプロバイダーが有利になる可能性があります。それは、より良い記録、裏付けのない統合の減少、またはより選択的な商品の利用機会を意味するかもしれません。一方で、運営コストが増加する可能性もあります。協議自体は、どの企業が提供内容を変更するかを定めるものではありません。

ユーザーにとって有用な比較は、「中央集権型か分散型か」よりも具体的なものです。誰がサービスを提供しているのか、サービスは何を約束しているのか、どこで資産が利用不能になり得るのか、実際にどのような復旧手段が存在するのかを確認しましょう。KTXの自動イールドファーミングガイドは、基礎となるプロトコルへのエクスポージャーの上に自動化が存在する別の例を示しています。教育目的の記事も、プロバイダーのブランディングも、FCAの認可を示すものではありません。

日程と最終文言を確認する

協議のウェブページでは、GC26/7の最終ガイダンスを2027年1月に予定していますが、PDFでは2027年第1四半期と記載されています。CP26/36は2027年春を予定しています。より広範な新しい暗号資産制度は、2027年10月25日に施行される予定です。これらは異なる節目です。協議の終了は、制度の開始を意味しません。

次に有用な証拠となるのは、技術的アクセスの最終的な扱い、分散した参加者間の責任に関する説明、フィードバック後の変更です。それまでは、提案された解釈を提案として明確に表示しておくべきです。

よくある質問

スマートコントラクトの監査によって、規制遵守が証明されますか？

いいえ。監査が対象とするのは、定められた技術的範囲です。その事業者が活動に必要な許可や管理体制を有していることを証明するものではありません。

ノンカストディ型であれば、自動的に規制対象外になりますか？

いいえ。カストディは構成の1つの要素です。その他のサービスと、適用される除外についても評価する必要があります。

すべてのDeFi参加者が、同一の本人確認を実施しなければなりませんか？

協議からそのような結論を導くことはできません。義務は、単一のエコシステム全体の名称ではなく、参加者の活動と適用される要件によって決まります。

協議によって、損失後の補償が保証されますか？

いいえ。協議は補償の約束ではありません。権利や保護の有無は、関連するサービス、法的な構成、適格要件によって決まります。

11月18日は、ユーザーが資産を移動させる期限ですか？

いいえ。これは協議への回答期限であり、一般的な出金指示ではありません。

情報提供のみを目的としたものであり、法的助言または投資助言ではありません。提案されたガイダンスは変更される可能性があります。DeFiには、コントラクト上の損失、アクセスの中断、限られた復旧手段が伴う可能性があります。