Các nhà cung cấp thanh toán crypto có thể trông khá giống nhau trong giai đoạn rà soát thương mại ban đầu. Phí xử lý nằm trong một khoảng hẹp, các loại tiền mã hóa lớn được hỗ trợ rộng rãi, và quyền truy cập API đã trở thành tiêu chuẩn trên nhiều nền tảng đã được thiết lập. Những điểm tương đồng này không cho biết nhóm mua hàng ai là người kiểm soát tiền của người bán, pháp nhân nào cung cấp dịch vụ, việc phê duyệt rút tiền diễn ra như thế nào, hoặc tài chính nhận được gì sau khi thanh toán của khách hàng được ghi vào blockchain.
Đối với các công ty xử lý khối lượng đáng kể, những câu hỏi này sẽ ảnh hưởng đồng thời đến nhiều bộ phận. Nhóm bảo mật xem xét việc quản lý tài sản và các biện pháp kiểm soát truy cập. Nhóm tuân thủ cần sự rõ ràng về phạm vi quy định và giám sát giao dịch. Bộ phận ngân quỹ quan tâm đến việc chuyển đổi và thanh toán, trong khi bộ phận kỹ thuật và tài chính dựa vào các tích hợp đáng tin cậy và dữ liệu đối soát. Đánh giá nhà cung cấp hữu ích cần có bằng chứng từ từng mảng liên quan.
Kiểm soát an ninh cần có bằng chứng có thể xác minh
Việc rà soát bảo mật cần xác định cách tài sản và thông tin xác thực của người bán được bảo vệ trong suốt luồng thanh toán. Kiến trúc ví là một phần của đánh giá đó, nhưng chỉ nhãn lưu ký không thể giải thích được ai có thể ủy quyền chuyển tiền hoặc cách thức hạn chế truy cập có thể được thực hiện nhanh như thế nào trong một sự cố.
Bản rà soát có thể bao gồm:
Thiết lập ví nóng và ví lạnh
Phê duyệt rút tiền đa chữ ký hoặc đa bước
Danh sách trắng địa chỉ và giới hạn giao dịch
Xác thực 2FA và phân quyền theo vai trò
Xác thực API, quản lý khóa và xác minh webhook
Kiểm toán độc lập và chứng nhận an ninh
Các quy trình được lập tài liệu cho kiểm soát và khôi phục
ISO/IEC 27001 có thể cung cấp bằng chứng rằng tồn tại một hệ thống quản lý an ninh thông tin chính thức, mặc dù các doanh nghiệp vẫn cần kiểm tra phạm vi và ngày của chứng nhận đó. Nhóm kỹ thuật cũng nên thử nghiệm cách thức cấp phát, hạn chế, xoay vòng và thu hồi thông tin xác thực.
Tuân thủ bắt đầu từ bên ký kết hợp đồng
Tên thương hiệu của một nhà cung cấp không xác định khung pháp lý nào áp dụng cho tài khoản người bán. Công ty ký hợp đồng, khu vực pháp lý, việc đăng ký hoặc ủy quyền và phạm vi dịch vụ được phép cần được xác định trước khi triển khai.
KYB có thể bao gồm các tài liệu thành lập, chủ sở hữu hưởng lợi, hoạt động kinh doanh và khối lượng giao dịch dự kiến. Sau khi hoàn tất onboarding, việc rà soát chuyển sang các kiểm soát cấp độ giao dịch như phân tích blockchain, sàng lọc lệnh trừng phạt, chấm điểm rủi ro và quy trình xử lý các hoạt động cần điều tra thêm. Tiêu chuẩn FATF cũng đặt kỳ vọng đối với các nhà cung cấp dịch vụ tài sản ảo trong các lĩnh vực như thẩm định khách hàng, lưu trữ hồ sơ, kiểm soát tội phạm tài chính và báo cáo theo quy định.
Người bán cần lập tài liệu về các trách nhiệm vẫn nằm ngoài phạm vi dịch vụ của nhà cung cấp. Thuế, bảo vệ người tiêu dùng, giấy phép hoạt động theo lĩnh vực, và tuân thủ hướng tới khách hàng vẫn có thể thuộc về doanh nghiệp ngay cả khi nhà cung cấp dịch vụ thanh toán xử lý KYB và giám sát giao dịch.
Thiết kế thanh toán cần theo yêu cầu của kho bạc
Tài sản được sử dụng tại thời điểm thanh toán và tài sản đến được kho bạc của người bán có thể khác nhau. BTC người mua gửi có thể vẫn ở dạng BTC, được chuyển sang stablecoin như USDC, hoặc được chuyển đổi sang tiền pháp định để chuyển vào tài khoản ngân hàng.
Mỗi lựa chọn đều làm thay đổi mô hình vận hành. Thanh toán bằng crypto có thể hỗ trợ chi phí bằng tài sản số hoặc một kho bạc crypto hiện có. Stablecoin cho phép giá trị vẫn nằm trên chuỗi trong khi giảm rủi ro biến động giá gắn với các tài sản như BTC hoặc ETH. Thanh toán bằng tiền pháp định phù hợp tự nhiên hơn với các công ty có lương, nhà cung cấp và kế toán vẫn được định danh bằng các loại tiền tệ thông thường.
Các kiểm soát chuyển đổi cũng rất quan trọng. Việc trao đổi tự động có thể áp dụng chính sách kho bạc ngay khi giao dịch đầu vào được xác nhận. Thực thi thủ công để quyết định thời điểm thuộc về bộ phận tài chính. Một số nhà cung cấp cho phép doanh nghiệp giữ lại một phần khoản thu của mình trong khi chuyển đổi phần còn lại.
Tích hợp và chi phí trở nên rõ ràng trong quá trình vận hành
API thanh toán cần hoạt động ngay cả khi giao dịch không đi theo đúng tuyến dự kiến. Nhóm kỹ thuật nên thử nghiệm việc tạo thanh toán, thay đổi trạng thái, hoàn tiền, chi trả, gửi webhook và xử lý ngoại lệ trước khi cam kết với một nhà cung cấp.
Thiếu thanh toán và vượt thanh toán là lỗi về số tiền. Chuyển giao thông qua một chuỗi không được hỗ trợ là lỗi về định tuyến. Thời gian xác nhận dài và hóa đơn hết hạn tạo ra các ngoại lệ về thời điểm. Gom các ca kiểm thử theo cách này giúp nhóm kỹ thuật lập kế hoạch tích hợp hữu ích hơn so với một danh sách kiểm tra tính năng API chung chung.
Đối soát đòi hỏi một lần rà soát dữ liệu riêng. Bộ phận tài chính cần có thể liên kết các định danh vận hành như mã tham chiếu đơn hàng và hash giao dịch với thông tin giá như tỷ giá và phí, sau đó đối chiếu các bản ghi đó với loại tiền thanh toán cuối cùng, giá trị và thời điểm. Đánh giá độ tin cậy cần bao gồm lịch sử sự cố và cách thức liên lạc cùng với dữ liệu về thời gian hoạt động.
Tổng chi phí cần phản ánh đầy đủ toàn bộ tuyến đường đi vào kho bạc. Phí thanh toán qua ngân hàng và phí rút tiền, chênh lệch FX, chi phí chuyển đổi tài sản, phí mạng blockchain và phí xử lý của nhà cung cấp đều có thể ảnh hưởng đến số tiền ròng nhận được. Chi phí mạng cũng thay đổi theo điều kiện blockchain và đặc tính giao dịch, vì vậy không nhất thiết tăng tương ứng với giá trị pháp định của một khoản thanh toán.
CryptoProcessing.com và các nhà cung cấp thanh toán crypto thay thế
Để so sánh sản phẩm một cách trung lập, cần áp dụng cùng các tiêu chí vận hành cho từng nhà cung cấp: các biện pháp kiểm soát an ninh, các tùy chọn thanh toán, tích hợp và báo cáo, các chức năng thanh toán doanh nghiệp và kho bạc, cùng các điều khoản thương mại được công bố.
CryptoProcessing.com kết hợp tiếp nhận thanh toán, chi trả hàng loạt, chuyển đổi tự động, các chức năng kho bạc và tích hợp dựa trên API. Ấn phẩm sản phẩm của họ bao gồm hơn 20 tài sản số và hơn 40 loại tiền tệ pháp định. Các tính năng bảo mật gồm lưu trữ lạnh, danh sách trắng địa chỉ, phân quyền theo vai trò, giám sát giao dịch và kiểm soát rút tiền đa bước. Phí xử lý được công bố ở mức dưới 1,5%.
BitPay hỗ trợ việc chấp nhận thanh toán với phương thức thanh toán bằng tiền pháp định, tiền điện tử hoặc một hỗn hợp đã cấu hình. Thanh toán tự động có sẵn vào mỗi ngày làm việc. Các tài nguyên API của họ bao gồm hóa đơn, hoàn tiền, chi trả, sổ cái và đối soát thanh toán, trong khi chương trình đảm bảo an ninh của họ bao gồm SOC 1 Type 2, SOC 2 Type 2 và báo cáo SOC 3. Giá chấp nhận được công bố dao động từ 2% cộng $0,25 dưới $500.000 về khối lượng theo tháng đến 1% cộng $0,25 tại $1 triệu trở lên.
CoinGate cung cấp các tích hợp API và plugin cho thanh toán, hoàn tiền, chi trả, chuyển đổi và báo cáo. Tài liệu về lưu ký của CoinGate mô tả các quyền lợi của khách hàng được tách biệt, hạ tầng ví lạnh sâu, ví lạnh và ví nóng, các cơ chế kiểm soát truy cập, và đối soát hằng ngày. Gói Standard liệt kê phí xử lý 1% với thanh toán tự động hằng tuần, trong khi giá Enterprise theo khối lượng và có thể bao gồm thanh toán theo yêu cầu.
Sự khác biệt về sản phẩm trở nên quan trọng nhất khi được ánh xạ với cơ cấu giao dịch của người bán, sở thích thanh toán, yêu cầu báo cáo, quy trình kho bạc và tổng chi phí vận hành.
Khung đánh giá 2 giai đoạn
Quy trình 2 giai đoạn giúp tách các kiểm soát bắt buộc khỏi các lựa chọn giao dịch mang tính thương mại. Giai đoạn 1 bao gồm bảo mật và tuân thủ. Lưu ký, kiểm soát rút tiền, trạng thái pháp lý, KYB, AML và giám sát giao dịch phải đáp ứng các yêu cầu tối thiểu của công ty trước khi tiến hành mua sắm.
Giai đoạn 2 có thể áp dụng điểm số theo trọng số sau khi đã vượt qua các kiểm tra bắt buộc. Một mô hình khả thi phân bổ 25% cho bảo mật, 25% cho tuân thủ, 20% cho tính linh hoạt trong thanh toán, và 10% cho mỗi hạng mục: tích hợp, độ tin cậy và tính minh bạch về chi phí. Một điểm yếu nghiêm trọng về kiểm soát vẫn là vấn đề cần khắc phục ngay cả khi nhà cung cấp làm tốt ở các nhóm khác.
Hồ sơ mua sắm cuối cùng phải lưu giữ bằng chứng cho các quyết định. Tối thiểu, hồ sơ đó có thể xác định được bên ký hợp đồng và khu vực pháp lý, các biện pháp kiểm soát bảo mật và tuân thủ đã được xác minh, tuyến thanh toán đã được thử nghiệm, các kịch bản tích hợp, các giả định về giá, và các nhóm chịu trách nhiệm phê duyệt. Hồ sơ này cung cấp cho doanh nghiệp một mốc tham chiếu khi phạm vi dịch vụ, khối lượng giao dịch hoặc điều kiện quy định thay đổi.