MiCA移行期間が完全に終了した直後、ESMAは暗号資産カストディサービスプロバイダーを対象とした共同監査措置を開始した。これは、欧州の暗号資産規制がライセンス付与段階から実際の監査段階へと移行していることを示す具体的な兆候である。

この共同監査措置は7月8日に発表され、2026年下半期から2027年上半期にかけて実施され、調査結果をまとめた最終報告書は2027年下半期にESMAの監督委員会に提出される予定である。これは非常に長期間にわたるプロセスであり、一瞬のスナップショットではなく、数ヶ月に及ぶ審査である。

監査はESMA自身ではなく、各国の規制当局（ドイツのBaFin、フランスのAMF、スペインのCNMVなど）が実施する。各国の規制当局は、自国内の認可事業者の中からリスクベースでサンプルを選定して監査を実施する。つまり、すべての事業者が検査されるわけではなく、取扱高が最大の事業者、国境を越えた事業を展開する事業者、または顧客資産が最も多い事業者が優先的に監査対象となる。

審査の対象範囲は非常に技術的かつ詳細であり、主に秘密鍵の生成と管理、取引承認の制御、インシデント検知と対応プロセス、スマートコントラクトリスク、および第三者テクノロジープロバイダーへの依存に焦点が当てられる。特に最後の点は重要である。なぜなら、多くのカストディサービスプロバイダーが中核インフラを外部のテクノロジーパートナーに依存しており、これが規制審査の範囲外となる脆弱性を生み出す可能性があるからだ。ESMAはこれを直接的に監査対象に含めることで、このギャップを解消しようとしている。

このタイミングは偶然ではない。MiCA移行期間は7月1日に正式に終了し、登録事業者数は243社から280社に増加した。これは主に、スタンダードチャータード、FalconX、Sygnum Europeなどの新規ライセンシーによるものである。また、キプロスは最も多くのライセンスを発行した国であり、6件の新規承認があった。この監査のわずか2日前には、リップル社もルクセンブルクのCSSFからCASP（暗号資産サービスプロバイダー）の完全な認可を取得し、30カ国からなる欧州経済領域全体で事業を展開できるようになった。スペインのCNMVは、未認可プラットフォームに対して猶予期間を一切認めないと明確に表明している。

この監督の真の重要性は、ライセンスが「上限」ではなく「下限」と見なされるようになった点にある。ESMAは、事業者が書類上でのコンプライアンスを満たしているだけでなく、実際に運用上の回復力を備えているかどうかを検証しようとしている。欧州の暗号資産カストディインフラの多くは、限られた数のインフラプロバイダー（クラウドインフラ、ハードウェアセキュリティモジュール、秘密鍵管理会社）に依存して構築されている。各国の規制当局が、同じ第三者プロバイダーを複数の事業者にわたって問題ありと判断した場合、市場全体で高額なインフラ移行が発生する可能性がある。これはまさに、欧州の並行するデジタル運用回復力法（DORA）が防止しようとしている系統リスクである。

Gateを通じて欧州の暗号資産カストディサービスやMiCAライセンス取得プラットフォームをフォローしている者にとって、重要な点は、この監査の結果がユーザー資産の安全性を示す具体的な指標となること、そして各国当局がこの監査をどの程度厳格に実施するかが、ある加盟国でライセンスを取得した事業者と別の加盟国でライセンスを取得した事業者の間で監査基準がどれほど異なるかを決定づけることになる点である。これこそが、MiCAが真に統一された監査基準を創出できるかどうかを試す最初の具体的な試金石となるだろう。