1. 목적
본 규정은 International Digital Securities Exchange(“IDSX”)를 통한 활동과 관련된 고객 자산의 보호, 통제, 분리, 대사 및 기록 보존 요건을 정한다. 오용, 손실, 무단 이전과 부당한 혼합을 방지하고, 검증 가능한 소유권·권리 기록을 보장하며, 디지털 증권과 블록체인 기록에 대한 통제를 마련하고, 완전하고 신뢰할 수 있는 장부와 기록을 유지하며, 대사·감사·감독·규제 심사를 지원하고 투자자의 운영·수탁·결제·도산 위험을 줄이는 것을 목적으로 한다. 본 규정은 IDSX 시장 규정의 일부로 다른 적용 IDSX 규정, 정책 및 법률과 함께 읽어야 한다.
2. 적용 범위
관련되는 경우 본 규정은 브로커, 수탁기관, 결제 서비스 제공자, 고객 자산을 보유·통제하는 시장 참가자, 고객을 대신해 지갑이나 개인 키를 통제하는 참가자, 디지털 증권의 소유 기록을 보유하는 발행사, 참가자를 대신해 수탁·기록관리·결제 기능을 수행하는 제3자 제공자 및 IDSX가 지정한 기타인에게 적용된다. 의무는 실제 수행하는 기능에 따라 달라진다.
3. 정의
“고객”은 IDSX 증권 관련 서비스를 시장 참가자로부터 제공받는 사람이다. “고객 자산”은 고객을 위해 또는 대신 시장 참가자가 보유·통제·관리·보호하는 금전, 증권, 디지털 증권, 결제 자산 및 기타 재산이다. “고객 자금”은 고객을 위해 보유·통제하는 자금이다. “고객 증권”은 고객을 위해 보유·통제·관리하는 증권이다. “디지털 증권”은 IDSX 규정에 따라 분산원장 또는 블록체인 기술로 표시·기록·이전·관리되는 증권이다. “수탁기관”은 고객 자산 수탁 서비스를 제공한다. “결제 서비스 제공자”는 IDSX 거래의 결제 기능을 수행하는 자 또는 인프라 제공자다. “지갑”은 디지털 증권 또는 승인된 디지털 결제 자산을 보유·통제·사용하는 블록체인 주소 또는 기술적 장치다. “장부와 기록”은 전자·거래·블록체인·지갑 기록, 통신, 대사 및 본 규정상 요구 정보다.
4. 일반 원칙
고객 자산을 책임지는 시장 참가자는 상당한 기술, 주의 및 성실성을 발휘하고 자산을 합리적으로 보호할 장치를 유지해야 한다. 고객 자산을 자체 목적으로 사용하거나, 적절한 권한 없이 담보 제공·대여·이전·부담 설정하거나, 자기 자산과 부당하게 혼합하거나, 무권한자에게 이전하거나, 참가자의 채무 변제에 사용하거나, 법률·고객 지시·IDSX 규정에 반해 취급해서는 안 된다.
5. IDSX와 고객 자산
명시적으로 달리 정하지 않는 한, 증권의 거래 승인이나 IDSX를 통한 거래 체결만으로 IDSX가 고객 자산의 수탁기관이 되는 것은 아니다. 고객 자산은 통상 적절한 인가를 받은 브로커, 수탁기관, 결제 서비스 제공자 또는 승인된 장치가 보유·통제한다. IDSX의 거래, 매칭, 감시, 지갑 적격성 또는 블록체인 인프라 운영만으로 고객 자산의 실질 소유권을 취득하지 않는다. IDSX가 적용 법률상 수탁·보호·통제 기능을 수행하면 그 기능에 적용되는 요건을 준수해야 한다.
6. 시장 참가자의 책임
각 참가자는 활동이 고객 자산의 보유·통제·보호·관리에 해당하는지 판단해야 한다. 블록체인 사용은 수탁·고객 자금·고객 재산 의무를 없애거나 회피하지 않는다. 책임은 실제 법률·운영 구조에 따라 평가하며, 자산·계좌·지갑 통제자, 개인 키 관리 주체, 이전 개시·차단 권한자, 법적으로 인정되는 소유 기록의 관리 주체, 결제 책임자 및 도산 시 고객 권리를 고려한다.
7. 고객 자산 분리
고객 자산은 참가자의 자기 자산과 적절히 분리해야 한다. 별도 은행·증권 계좌, 분리 수탁 계정, 지정 블록체인 지갑, 정확한 보조원장이 있는 통합 계정 또는 법률상 허용되고 필요시 IDSX가 승인한 다른 방식으로 분리할 수 있다. 기록은 항상 고객 자산과 자기 자산을 명확히 구분해야 한다.
8. 고객 자금
고객 자금을 수령·보유하는 참가자는 보호에 적합한 장치를 유지한다. 고객 자금은 정확히 식별하고 신속히 기록하며, 적절한 계정에 보관하고, 필요한 경우 분리하며, 출금 통제를 적용하고, 정기적으로 대사하며, 승인된 목적에만 사용해야 한다. 참가자 운영비나 다른 고객의 채무에 사용할 수 없다.
9. 고객 증권
고객의 권리를 확인할 수 있는 방식으로 고객 증권을 보유·기록해야 한다. 고객 신원, 증권과 수량, 취득·처분, 제한, 기업행위, 이전 및 현재 권리를 입증할 기록을 유지한다.
10. 디지털 증권
고객 자산에 디지털 증권이 포함되면 블록체인 자산 특성에 맞는 통제를 마련한다. 해당되는 경우 지갑 소유·적격성, 개인 키 통제, 서명 권한, 이전 제한, 화이트리스트, 블록체인 거래 기록, 스마트 계약 상호작용, 복구, 사이버보안 및 온체인·내부 기록 대사를 다룬다.
11. 지갑 식별
고객 디지털 증권에 사용되는 지갑을 식별하는 기록을 유지한다. 필요시 블록체인 네트워크, 주소, 고객, 지갑 유형, 수탁자·통제자, 승인일, 적격성, 제한, 승인 지갑 목록의 정지·삭제일을 포함한다.
12. 허용 목록 지갑
IDSX 이전 통제 대상 디지털 증권은 적격 요건을 충족하는 지갑으로만 이전할 수 있다. 참가자는 부적격 지갑으로의 이전을 알면서 지원해서는 안 된다. 지갑 적격성은 IDSX 지갑 및 온체인 이전 규정에 따라 관리한다.
13. 통합 보유 방식
법률이 허용하면 통합 계정·지갑을 사용할 수 있다. 참가자는 고객별 권리를 식별하는 내부 기록을 유지하고, 고객 권리 총액을 통합 계정·지갑의 자산과 대사할 수 있어야 한다.
14. 개별 분리 방식
고객 자산을 개별 분리 계정·지갑에 보관하면 각 계정·지갑과 고객을 연결하는 기록을 유지한다. 개별 분리도 대사·보안 통제·정확한 기록관리 의무를 면제하지 않는다.
15. 자기 자산
고객 자산, 참가자 자기 자산 및 다른 법인을 위해 보유한 자산을 명확히 분리한다. 법률상 명시적으로 허용되고 IDSX가 승인한 구조가 아니면 고객 계정·지갑으로 자기매매를 해서는 안 된다.
16. 고객 자산의 사용
고객 자산은 유효한 고객 지시, 승인 거래의 결제, 정당하게 승인된 수수료 지급, 고객 계약과 법률이 허용하는 경우, 법률·법원 명령·권한 있는 규제기관의 요구에 한해 사용·이전·담보 제공·대여·기타 처분할 수 있다. 허용된 사용은 정확히 기록한다.
17. 무단 재담보 금지
적절한 권한이 있고 법률상 허용되는 경우가 아니면 고객 증권·디지털 증권을 타인의 채무를 위해 담보·재담보·대여·사용해서는 안 된다. 증권 대여 등은 별도로 문서화하고 IDSX 규정 및 법률을 따라야 한다.
18. 고객 지시
고객 자산 관련 지시를 수령·인증·기록할 합리적 절차를 둔다. 기록에는 고객, 일시, 지시 내용, 자산·수량, 해당되는 경우 목적지 계정·지갑, 인증 방법 및 실행 상태를 포함한다.
19. 승인 통제
고객 자산 이전은 성격과 가치에 비례한 승인 통제를 받아야 한다. 이중 승인, 역할 기반 접근, 거래 한도, 다중 서명, 하드웨어 보안 모듈, 출금 허용 목록, 독립 검증, 자동 준수 통제를 포함할 수 있다.
20. 고객 자산 이전
고객 자산 이전 기록을 완전하게 유지한다. 디지털 증권은 가능한 경우 출발·도착 지갑, 네트워크, 거래 식별자, 블록·확인 정보, 타임스탬프, 수량, 증권 식별자 및 이전 상태를 기록한다.
21. 결제
결제 책임자는 각 결제 의무의 상태와 완료를 입증할 충분한 기록을 유지한다. 거래 체결, 결제 지시, 대기·완료·실패·취소 또는 정정·철회된 결제를 구분한다.
22. 인도 대금 결제 및 기타 모델
인도 대금 결제(DvP), 원자적 결제, 증권 대 증권 결제 또는 승인된 모델을 사용하는 경우 각 결제 부분의 이동을 입증할 기록을 보유한다. 디지털 증권·결제 자산의 블록체인 기록은 증거 일부가 될 수 있으나 내부 장부·기록 의무를 없애지 않는다.
23. 결제 실패
실패·지연 결제를 식별하고 관리하는 절차를 마련한다. 대상 거래, 알려진 원인, 영향받은 고객·자산, 시정 조치, 해결 상태 및 고객·시장에 대한 중대한 영향을 기록한다.
24. 기업행위
고객 증권 책임자는 배당, 분배, 의결권, 신주인수권, 주식 분할·병합, 합병, 인수, 상환 등 기업행위 기록을 유지하고 고객 권리를 정확히 계산·기록한다.
25. 실질 소유 기록
증권이 명의인, 수탁기관, 브로커 또는 중개자 명의로 등록되면 법률·IDSX 규정상 요구되는 경우 실질 소유자나 기초 고객의 권리를 식별할 기록을 유지한다. 법적으로 허용된 소유 정보 요청을 명의·통합 구조가 방해해서는 안 된다.
26. 법적 소유권과 블록체인 기록
디지털 증권에 대해 블록체인 기록, 증권 등록부, 법적·실질 소유권 및 내부 고객 기록의 관계를 명확히 문서화한다. 블록체인 기록이 법적으로 인정되는 등록부가 아니면 그렇게 표시해서는 안 된다. 법적 소유 기록과 차이가 있으면 신속히 조사·해결한다.
27. 장부와 기록
시장 참가자는 IDSX 활동에 관한 완전하고 정확하며 최신인 장부와 기록을 유지한다. 관련 활동을 재구성하고 고객 신원·자산, 거래, 주문, 이전, 결제, 수탁, 지갑 활동, 기업행위, 수수료, 대사 및 중대한 운영 사건을 확인할 수 있어야 한다.
28. 기록 무결성
장부와 기록은 무단 변경·삭제·손상·손실·접근·파괴로부터 보호한다. 중대한 변경은 합리적으로 가능한 범위에서 추적할 수 있게 하고 적절한 감사 추적을 유지한다.
29. 전자 기록
전자 기록은 정확하고 접근·열람·재현 가능하며 안전해야 한다. 요구 시 IDSX·권한 기관에 제공할 수 있고 필요한 기간 보관되어야 한다.
30. 블록체인 기록
블록체인 기록은 거래, 소유권 이동, 결제의 보조 증거가 될 수 있지만 내부 기록 유지 의무를 없애지 않는다. 필요할 때 블록체인 거래를 관련 고객·거래·업무 사건과 연결할 수 있어야 한다.
31. 대사
고객 자산 보유·통제자는 활동의 성격·규모·위험에 적합한 빈도로 대사한다. 관련되는 경우 내부 고객 원장, 은행·수탁 계정, 증권 등록부, 블록체인 지갑, 결제 기록 및 제3자 명세서를 비교한다.
32. 대사 빈도
고객 자산은 차이를 신속히 발견할 수 있도록 정기적으로 충분한 빈도로 대사한다. IDSX는 자산 유형·활동·참가자별 최소 빈도를 정할 수 있고, 고위험 활동에는 매일 또는 더 빈번한 대사가 필요할 수 있다.
33. 대사 차이
중대한 차이는 신속히 조사한다. 원인·영향 고객을 찾고, 필요한 경우 추가 차이를 방지하며, 기록을 수정하고 필요한 부족분을 보충하며, 조사·해결을 문서화하고 요구 시 IDSX나 권한 기관에 알린다.
34. 고객 자산 부족
부족을 식별·대응할 절차를 유지한다. 발견 즉시 고객 보호 및 신속한 해결 조치를 취한다. 중대한 부족은 내부 보고하고 필요한 경우 IDSX 및 관계 당국에 보고한다.
35. 지갑 대사
블록체인 지갑에 보관한 디지털 증권은 온체인 잔액과 내부 고객 권리를 대사한다. 예상·온체인 잔액, 대기·미확인·실패·무단 거래 및 기타 차이를 식별한다.
36. 개인 키 관리
고객 디지털 증권의 개인 키를 통제하는 참가자는 키 생성·저장·접근·서명 권한·다중 서명·교체·백업·복구·침해 대응·폐기 통제를 둔다. 적절한 승인, 직무 분리, 보안 통제 없이 한 개인에게 무제한 접근·이전·통제 능력을 부여해서는 안 된다. 무단 접근, 손실, 도난, 공개, 파괴, 침해로부터 키를 보호한다. 침해가 의심되거나 확인되면 고객 자산을 보호하고 조사·기록 보존을 신속히 수행하며 필요한 경우 IDSX, 고객, 규제기관에 알린다. 활동의 성격·규모·복잡성에 맞춰 관리 방식을 문서화하고 정기 검토·시험한다.
37. 사이버보안 및 접근 통제
고객 자산·기록 책임자는 위험에 맞는 사이버보안·접근 통제를 유지한다. 해당되는 경우 신원·접근 관리, 다중 인증, 특권 접근, 네트워크 보안, 암호화, 악성코드·취약성 관리, 보안 모니터링·탐지·로그, 정기 보안 시험을 포함한다. 정당한 업무상 필요가 있는 승인자에게만 접근을 허용한다.
38. 업무 연속성 및 복구
고객 자산 시스템에 적합한 업무 연속성·재해 복구 장치를 둔다. 시스템·시설 장애, 사이버 사고, 핵심 인력 부재, 데이터 손상, 지갑 인프라 상실, 블록체인 중단, 제3자 실패 등 중대 사건을 다루고 정기 검토·시험한다.
39. 기록 백업
중요한 고객 자산 기록을 적절히 백업하고 무단 접근·손상·손실로부터 보호한다. 운영·기술 장애 후 중요 기록을 복구할 합리적인 장치를 유지한다.
40. 고객 자산 명세서
법률, 고객 계약 또는 IDSX 규정이 요구하면 보유자산과 중요 거래를 이해할 명세서를 제공한다. 증권·디지털 증권, 현금·결제 자산 잔액, 거래, 이전, 수수료, 기업행위 및 기타 중요한 계정 활동을 포함할 수 있다.
41. 고객 정보 접근
고객이 자신의 자산 정보를 합리적으로 이용할 수 있도록 한다. 공개 블록체인 정보만으로 정확한 고객 기록 유지·제공을 대체해서는 안 된다. 자산과 수량·잔액, 거래·이전, 미결제 결제, 제한, 기업행위, 주요 수수료 등을 확인할 수 있게 해야 한다. 고객이 제기한 중대한 차이는 합리적인 기간 내 조사한다.
42. 기록 보존
법률상 기간 및 IDSX가 추가 지정한 기간 동안 장부와 기록을 보존한다. 기간이 정해지지 않았다면 활동에 적합하고 감독·감사·분쟁 해결·집행에 충분한 기간 보관한다. 진행 중이거나 합리적으로 예상되는 조사·소송, IDSX·권한 기관 요구, 미해결 고객 민원·분쟁 또는 법률상 계속 보존 대상 기록을 파기해서는 안 된다.
43. 감사 추적
중대한 고객 자산 활동을 재구성할 감사 추적을 유지한다. 필요한 경우 개시·승인한 사람 또는 시스템, 일시, 고객·자산, 전후 잔액, 거래·이전 식별자, 지갑·계정, 수정·정정 및 재구성에 필요한 정보를 포함한다. 무단 변경·삭제로부터 감사 기록을 보호한다.
44. IDSX의 기록 접근
시장 참가자는 시장 감독·준수·조사·집행에 합리적으로 필요한 장부와 기록을 IDSX가 지정한 기간 내, 법률에 따라 제공한다. IDSX는 고객 자산, 대사, 거래, 결제, 지갑 활동, 수탁, 부족, 운영 사고, 내부 통제, 제3자 제공자 및 준수 관련 정보를 요구할 수 있다. 법률이 공개를 금지하면 공개 의무는 없다. 법적 제한이 있으면 법률이 허용하는 경우 IDSX에 알리고 적법한 제공 방법을 찾는 데 협조한다.
45. 규제기관 접근
규제·감독·사법·수사기관의 적법한 요청에 응할 수 있도록 기록을 유지한다. 법률상 요구되면 합리적으로 접근 가능하고 이해할 수 있는 형태로 제공한다. 블록체인, 분산원장, 클라우드, 제3자 사용은 의무를 없애지 않는다.
46. 아웃소싱 및 제3자 서비스 제공자
법률이 허용하면 수탁·기술·지갑·기록관리·결제 등 기능을 제3자에게 맡길 수 있으나 IDSX 규정 준수 책임은 유지된다. 중요한 제공자 선정 전 역량·경험, 관련 재무 상태·규제 지위, 사이버보안, 운영 회복력, 수탁, 데이터 보호, 기록 접근, 업무 연속성, 재위탁, 종료 및 법률·IDSX 요건 준수 역량을 검토한다. 중요한 계약은 문서화하고 지속 감독한다.
47. 제3자 수탁기관
제3자 수탁기관이 고객 자산을 보유하면 담당 참가자는 기관, 계정·지갑, 자산, 고객 권리, 법적 소유 구조, 주요 수탁 조건 및 관할권을 기록한다. 선임 전 합리적인 실사를 하고 정기적으로 적정성을 평가한다. 제3자 사용은 적용되는 정확한 고객 권리 기록 의무를 없애지 않는다.
48. 중대 사고 및 위반 통지
자산 손실, 무단 이전, 중대한 부족, 키 침해, 자산 관련 사이버 침해, 대사 실패, 중요 기록 상실·손상, 수탁·결제 실패, 수탁기관·결제 제공자의 도산·중대한 재무 곤란 또는 기타 중대한 위험 등 고객 자산·기록에 영향을 주는 사고를 신속히 평가한다. IDSX 규정상 요구되면 인지 후 즉시 IDSX에 통지한다. 합리적으로 알려진 범위에서 사고 성격·발생 또는 확인 시점, 영향 자산·고객, 알려지거나 추산되는 재무 영향, 즉시 보호·시정 조치, 규제기관 통지 여부를 포함한다. 추후 정보를 보완할 수 있다. IDSX 통지는 고객·당국·수사기관 등에 대한 법률상 통지를 대체하지 않는다.
49. 준수 및 집행
미준수는 IDSX 시장 규정 위반이 될 수 있다. IDSX는 징계·집행 조치에 따라 시정, 추가 대사, 통제 개선, 독립 검토·감사, 추가 보고, 활동 제한, 참여 조건, 기능 접근 정지, 허용되는 경우 참여 정지·종료, 징계 회부 또는 의심 법률 위반의 규제기관 회부를 할 수 있다. 위반의 심각성, 고객 위험, 기간, 반복, 협조, 시정 및 기타 사정을 고려한다.
50. 적용 법률과의 관계
본 규정은 IDSX 시장 요건을 정하며 법률 의무를 대체·제한·변경하지 않는다. 참가자는 고객 자산 수탁·보호, 고객 자금, 증권 소유·등록, 금융서비스 인허가·등록, 금융상품 시장, AML/CFT, 제재·금융범죄 통제, 기록 보존, 개인정보·데이터 보호, 사이버보안, 도산·고객 자산 보호, 세금, 국경 간 활동 및 기타 금융시장·증권·회사·상법 요건을 스스로 확인하고 준수한다. 강행 법률과 충돌하면 충돌 범위에서 법률이 우선한다. 본 규정 준수만으로 법률 준수가 되지 않는다. 법률상 필요한 인가·등록·승인 없이 규제 대상 수탁·고객 자금·결제 서비스를 제공하도록 허용하지 않는다. IDSX는 준수 입증에 합리적으로 필요한 정보, 법률 분석, 규제 확인, 독립 보증 또는 기타 증거를 요구할 수 있다.