Ngay sau khi kết thúc hoàn toàn giai đoạn chuyển tiếp MiCA, ESMA đã khởi động một hành động kiểm toán chung nhắm vào các nhà cung cấp dịch vụ lưu ký tiền mã hóa, một dấu hiệu cụ thể cho thấy quy định về tiền mã hóa của châu Âu đang chuyển từ giai đoạn cấp phép sang giai đoạn kiểm toán thực tế.

Hành động Kiểm toán Chung này đã được công bố vào ngày 8 tháng 7 và sẽ diễn ra từ nửa cuối năm 2026 đến nửa đầu năm 2027, với báo cáo cuối cùng tổng hợp các phát hiện sẽ được gửi lên Ban Giám sát của ESMA vào nửa cuối năm 2027. Đây thực sự là một quá trình kéo dài, không phải là một bức ảnh chụp nhanh, mà là một cuộc rà soát kéo dài nhiều tháng.

Việc kiểm toán sẽ không do ESMA tự thực hiện, mà do cơ quan quản lý quốc gia của mỗi quốc gia thành viên, chẳng hạn như BaFin ở Đức, AMF ở Pháp và CNMV ở Tây Ban Nha. Mỗi cơ quan quốc gia sẽ chọn một mẫu các công ty được cấp phép dựa trên rủi ro trong khu vực của mình để tiến hành kiểm toán; nghĩa là không phải mọi công ty đều bị kiểm tra, mà những công ty có khối lượng giao dịch lớn nhất, hoạt động xuyên biên giới hoặc có tài sản khách hàng lớn nhất sẽ được ưu tiên.

Các lĩnh vực được xem xét khá kỹ thuật và chuyên sâu, chủ yếu tập trung vào việc tạo và quản lý khóa riêng, kiểm soát ủy quyền giao dịch, quy trình phát hiện và ứng phó sự cố, rủi ro hợp đồng thông minh và sự phụ thuộc vào các nhà cung cấp công nghệ bên thứ ba. Điểm cuối cùng này đặc biệt quan trọng vì nhiều nhà cung cấp dịch vụ lưu ký dựa vào các đối tác công nghệ bên ngoài cho cơ sở hạ tầng cốt lõi của họ, tạo ra một điểm yếu mà nếu không sẽ nằm ngoài phạm vi xem xét của cơ quan quản lý. ESMA nhằm mục đích thu hẹp khoảng cách này bằng cách đưa nó vào trực tiếp.

Thời điểm không phải ngẫu nhiên; giai đoạn chuyển tiếp MiCA chính thức kết thúc vào ngày 1 tháng 7 và số lượng nhà cung cấp đã đăng ký tăng từ 243 lên 280, phần lớn nhờ các đơn vị được cấp phép mới như Standard Chartered, FalconX và Sygnum Europe. Síp cũng là quốc gia có nhiều giấy phép nhất, với sáu phê duyệt mới. Chỉ hai ngày trước cuộc kiểm toán này, Ripple cũng đã nhận được ủy quyền CASP đầy đủ từ CSSF của Luxembourg, cho phép công ty hoạt động trên toàn bộ Khu vực Kinh tế Châu Âu gồm ba mươi quốc gia. CNMV của Tây Ban Nha đã tuyên bố rõ ràng rằng sẽ không có gia hạn nào cho các nền tảng chưa được cấp phép.

Ý nghĩa thực sự của sự giám sát này nằm ở chỗ việc có giấy phép hiện được coi là sàn, không phải trần. ESMA muốn kiểm tra xem các công ty có thực sự sở hữu khả năng phục hồi hoạt động hay không, chứ không chỉ tỏ ra tuân thủ trên giấy tờ. Phần lớn cơ sở hạ tầng lưu ký tiền mã hóa của châu Âu được xây dựng trên một số lượng hạn chế các nhà cung cấp cơ sở hạ tầng — hạ tầng đám mây, mô-đun bảo mật phần cứng hoặc các công ty quản lý khóa riêng. Nếu các cơ quan quản lý quốc gia phát hiện cùng một nhà cung cấp bên thứ ba có vấn đề trên nhiều công ty, điều này có thể dẫn đến việc di dời cơ sở hạ tầng tốn kém trên toàn thị trường — một rủi ro hệ thống chính xác mà luật phục hồi hoạt động kỹ thuật số song song của châu Âu, DORA, nhằm ngăn chặn.

Đối với những người theo dõi các dịch vụ lưu ký tiền mã hóa hoặc các nền tảng được cấp phép MiCA ở châu Âu qua Gate, điểm quan trọng là kết quả của cuộc kiểm toán này sẽ cung cấp một chỉ số hữu hình về mức độ an toàn của tài sản người dùng, và mức độ nghiêm ngặt mà các cơ quan quốc gia thực thi cuộc kiểm toán này sẽ quyết định các tiêu chuẩn kiểm toán khác nhau như thế nào đối với một công ty được cấp phép ở một quốc gia thành viên này so với một quốc gia khác. Đây sẽ là bài kiểm tra cụ thể đầu tiên về việc liệu MiCA có thể thực sự tạo ra một tiêu chuẩn kiểm toán thống nhất hay không.