VASP 虚拟资产常见问题

数字资产托管首先应明确谁控制资产或私钥，并建立可识别、适当分隔、核算及保护安排。VASP托管服务有独立注册要求；基金保管安排则按类别和资产特点判断。多签、冷存储可作为技术措施，但不是适用于所有主体的统一法定配置。

风险提示：实际控制客户私钥却未评估VASP注册要求，可能构成无注册经营。

须先区分基金资产保管与经营VASP托管服务。VASP须使客户资产可识别、适当分隔和核算，并建立保护安排；基金保管须与类别、策略及风险相称。多签、冷热分离和恢复测试是可选控制方式，不能概括为所有实体的统一最低要求。

风险提示：控制权不清可能造成客户资产与自有资产混用。

关键控制包括权限管理、私钥保护、漏洞处置、网络安全、备份恢复及事件响应。VASP申请须说明相称的技术设施、独立技术保证或系统审计、容量测试和灾难恢复；多签与冷热分离应按模式选择，不是所有管理人的统一法定配置。

风险提示：备份未经恢复测试可能在事故发生时无法使用。

SIBA主要处理投资交易、交易安排、管理和建议等投资业务；VASP Act处理法定虚拟资产交换、转移、托管及相关金融服务。是否适用取决于资产性质和实际服务，数字资产业务也可能同时触发多个制度，并非只能二选一。

风险提示：仅因涉及加密资产便只评估VASP，可能遗漏投资业务许可。

VASP Act以实际服务和资产控制权为监管核心：在或自BVI经营虚拟资产服务须向FSC注册，个人不得以业务形式经营。一般服务、托管和交易所须分别判断，客户在境外或平台不持有法币并不当然排除适用；注册也不自动覆盖证券、银行或支付等活动。

风险提示：将VASP注册视为通用加密牌照，可能开展未获授权业务。

法定范围包括为他人提供虚拟资产与法币或其他虚拟资产交换、转移、保管或管理，以及与发行人要约或销售相关的金融服务。判断重在服务实质和资产控制权；VASP注册不自动覆盖一般投资、银行、保险或货币服务业务。

风险提示：把所有Web3业务都归为同一种VASP服务，可能选错注册类别。

VASP是针对法定虚拟资产服务的注册制度，SIBA则按投资业务类别和子类别授权。关键不是资产是否被称为加密资产，而是资产性质、合同权利及实际操作；同一模式可能涉及两条路径，任何一项资格都不会自动替代另一项。

风险提示：仅按产品名称选制度，可能遗漏另一项监管要求。

FSC重点判断申请人能否持续满足适当人选、审慎经营、资源及公共利益要求。申请应清楚呈现业务模式、所有权与控制结构、管理能力及风险控制；个人不能以业务形式经营或自称经营VASP，注册也不由代理人自行核发。

风险提示：申请描述与实际运营能力不一致，可能影响注册审查。

应配置清晰的治理、合规、AML报告及技术风险职责，但不能把全部核心岗位一概写成必须驻BVI。各岗位所在地、兼任、外包及审批要求须按实际业务和最新申请文件核验；注册代理及注册地址不等同于运营人员安排。

风险提示：用注册地址替代实际人员能力证明，可能无法支持申请承诺。

VASP同样需要风险为本的AML/CFT控制，但实践上应额外关注链上地址、钱包控制、资产转移路径及交易对手资料衔接。可将这些作为风险识别和监控设计建议；具体数据、Travel Rule及报告要求须按最新适用文件核验。

风险提示：只依赖链上工具而忽略客户身份核验，可能漏识别实际交易风险。

注册分一般虚拟资产服务、托管服务及交易所三类。转移和兑换等须按具体服务评估，不应擅自增加独立牌照类别；托管关注资产或控制工具的保管，交易所涉及交易平台及对资金或资产的控制，不能因不持法币就排除后两类。

风险提示：低估平台实际控制权，可能错误申请一般服务类别。

兼有虚拟资产服务和投资业务时，可以分别评估VASP注册与SIBA牌照，但同一实体能否同时获准须由FSC按模式及条件审查。申请应区分业务权限、客户资产控制及风险管理，不能把取得一种资格视为另一种业务已获授权。

风险提示：双业务权限及资产流程混用，可能造成越权经营。

Travel Rule实施应先确认适用转移及资料传递规则；具体门槛、字段和例外须按最新AML/CFT文件核验。实践上建议建立发送方、接收方及交易对手资料的收集、核对、传递和缺失处理流程，不将工具采购等同于完成合规。

风险提示：资料不完整仍自动放行，可能造成合规及追溯缺口。

实控人尽调不能停留在直接股东名单。为支持适当人选审查，实践上应穿透所有权和控制链，核实自然人身份、控制依据及资金来源并留存证据；监管尽调与公司BO登记是不同事项，具体材料深度须按最新申请文件核验。

风险提示：遗漏非股权控制人，可能使申请与BO资料失实。

应按资产控制风险设计客户资产保障及钱包权限管理。实践上建议区分客户与自有资产账务、定期对账、设置多重授权及恢复机制；冷热钱包比例、技术测试频率和具体隔离形式不能编作统一法定数字，须结合注册类别与条件核验。

风险提示：密钥权限集中于单一人员，可能导致客户资产被误转或盗用。

VASP网络安全要求主要由《VASP Act, 2022》及FSC注册申请指引界定。申请材料应说明系统控制、独立技术保证或系统审计方法、压力与容量测试、网络安全及灾难恢复，并提供与业务风险相称的测试证据。

风险提示：只有安全政策而无实际测试证据，可能无法证明控制有效。

FSC关注智能合约风险能否被识别、测试和治理，并非所有VASP都适用相同的智能合约审计频率。涉及智能合约时，应说明独立技术保证方法、权限控制、漏洞管理和事件响应，并以报告及整改证据支持。

风险提示：合约漏洞或升级权限失控可能导致客户资产损失。

不能仅凭BVI VASP注册认定可以向中国大陆零售客户提供服务。注册只解决BVI监管路径，不构成境外市场准入许可；是否可以营销、开户及提供具体服务，须按实际业务和中国大陆最新适用文件个案核验。

风险提示：未经目标市场准入核验即展业，可能违反当地监管要求。

不能笼统认定BVI VASP比香港SFC VATP更容易或更难。BVI按服务类别、客户资产控制、资源及风险审查；有意义的比较应采用相同业务模型，再分别核验两地最新的客户范围、技术、治理和资本要求。

风险提示：以所谓审批难度排名选址，可能选错监管路径。

BVI VASP的定位是对在BVI境内或从BVI经营的法定虚拟资产服务进行注册监管，并非全球通行许可。与新加坡DPT、迪拜VARA的区域定位比较，应围绕实际服务和目标市场，分别核验当地最新制度，不能直接视为可互换资格。

风险提示：把不同地区监管资格视为互认，可能造成市场准入缺口。

VASP注册不自动授权发行稳定币。应分别分析代币性质、发行与赎回机制、储备安排，以及是否提供与发行人要约或销售有关的金融服务；法币数字化表示等存在定义排除，其他受监管活动也须单独判断。

风险提示：误把VASP注册当作稳定币发行许可，可能遗漏其他监管要求。

VASP须履行年度审计报告报送义务，通常在财政年度结束后六个月内提交，获准延展的累计期限不超过六个月。但这不等于每年必须更换或重新聘请审计师；审计师资格、任命及变更安排应按最新适用文件和注册条件核验。

风险提示：审计资料准备不足可能导致报告逾期提交。

不能把客户资产保险视为所有VASP统一的强制配置。FSC可按风险把专业责任保险或类似安排列为注册条件，但它不等同于客户资产全额保险。无论是否投保，客户资产仍须可识别、适当分隔、核算并受到保护。

风险提示：误认为保险覆盖全部客户资产损失，可能留下重大保障缺口。

白皮书或代币经济学说明不是所有VASP申请可一概套用的文件要求。若业务涉及代币发行、销售相关金融服务或协议运营，建议提交足以解释代币权利、控制权、收费和资产流向的材料；具体文件应与申请指引及FSC问询对应。

风险提示：白皮书与申请材料不一致可能引发进一步问询。

建议以具体客户地域和获客流程说明跨境营销策略，包括目标客户、投放渠道、服务内容、开户筛选及受限地域控制。这是实务准备方法，不是统一法定模板；BVI注册不替代目标市场许可，当地边界须按最新文件核验。

风险提示：营销范围超过已核验的市场准入边界，可能触发境外违规。

可预先围绕FSC审查重点准备问询答复：服务类别、股权与适当人选、资金来源、三年财务预测、AML/CFT、系统安全及客户资产控制。托管和交易所还应清楚解释对账、清算、流动性和退出安排；实际问题取决于个案。

风险提示：业务描述与系统权限或资金流不一致，可能延长审查。

风险评估应结合业务性质、规模和复杂性，覆盖客户及地域、洗钱与制裁、交易量、杠杆、托管、流动性、技术和网络风险。建议逐项记录风险情景、控制措施、剩余风险和责任人，并与财务压力预测及实际系统安排对应。

风险提示：使用通用模板可能漏掉本业务的关键风险。

VASP有持续监管报送义务，但不宜把所有年度提交事项统称为一份固定的“合规报告”。年度审计报告通常须在财年结束后六个月内提交；其他合规、AML或监管回报的表格、范围和期限，应按当年适用通知及注册条件分别确认。

风险提示：以审计报告代替其他适用回报，可能造成漏报。

VASP应保存能够展示投诉处理过程的记录。建议建立投诉接收、登记、调查、升级和回复流程，并保留处理证据；相关记录至少保存五年，起算点按适用规则确定。如发现客户资产遭非法干预或受损，应立即通知受影响客户及FSC。

风险提示：投诉处理不可追溯，可能无法证明已采取适当保护措施。

预算应区分官方费用、设立成本和持续运营资金。一般VASP申请、初始及年费分别为5,000、7,500、7,500美元；托管为10,000、15,000、15,000美元；交易所为10,000、25,000、25,000美元。另须预算技术、AML、审计、授权代表及压力资金，并准备三年预测。

风险提示：只预算政府费用可能导致运营资金不足。

建议按合作伙伴能否支持真实监管控制选择，而非仅看品牌。重点评估系统安全、权限管理、客户资产对账、独立测试证据、事件响应和灾难恢复，并把第三方服务的职责、数据流及退出安排纳入治理文件；这些是实务评估方法。

风险提示：关键系统依赖缺乏可核验控制的供应商，可能形成运营单点故障。

可以探讨与香港、新加坡持牌机构协作，但BVI VASP注册不带来资格互认或自动的双牌照便利。合作应明确各主体的客户关系、服务范围、资产控制和责任，并分别核验各地最新规则及双方获准业务范围。

风险提示：合作分工不清可能使某一主体实际提供未经授权的服务。

BVI VASP注册不自动允许在所有国家投放虚拟资产广告。跨境广告须结合受众所在地、宣传内容、获客链接及后续服务，核验目标市场最新适用要求；也不得把BVI注册宣传成覆盖证券、银行或其他业务的通用授权。

风险提示：广告触达禁止或受限市场，可能构成当地违规营销。

战略价值应从业务是否匹配BVI法定服务类别、能否承担持续监管成本，以及目标市场准入是否可行来评估。BVI VASP可成为项目监管架构的一部分，但不能保证全球展业、合作机构接受或特定税务结果，也不能替代其他业务许可。

风险提示：把注册身份当作全球通行证，可能高估项目商业可行性。

没有可统一承诺的VASP获批时限。资源需覆盖业务定性、股权和人员资料、三年财务预测、AML/CFT、技术测试及客户资产控制。建议按材料准备、递交问询、补件和条件落实分阶段排期；复杂度、资料质量及FSC审查均会影响进度。

风险提示：按固定获批日期承诺上线，可能导致未注册即开展受监管服务。

注资来源审查应能说明资金来自谁、经过哪些主体，以及是否真实可用。申请材料宜以股权控制图、注资文件及可追溯资金记录相互印证；例如VASP申请须说明资本来源和财务预测。具体证明范围依实际资金结构及适用要求确定。

风险提示：资金来源链条无法解释可能引发进一步尽调。

网络安全不能概括为所有牌照适用的一套固定技术指标。建议按业务及客户资产风险建立访问控制、系统监测、备份恢复、事故升级和外包监督安排；这些是运营建议，具体强制要求及注册条件须按牌照核验，VASP还须解释技术与网络风险控制。

风险提示：关键系统失效可能中断服务并影响客户资产安全。

加密资产业务应先确认是否属于VASP或其他受规活动，再按客户、地域、交易及资产控制风险决定增强尽调。建议核对客户及UBO、资金来源、交易目的和异常资金流；技术分析可辅助判断，但不替代客户核验，具体要求按最新AML文件确定。

风险提示：仅依赖链上分析可能遗漏真实控制人风险。

专业服务预算可包括监管分类与法律审阅、申请材料和政策编制、注册代理及授权代表、审计、合规、技术与人员支持。并非每项都由同一服务商提供，也没有统一总价；应区分一次性筹备、问询补件及年度维护服务。

风险提示：服务边界不清可能产生重复收费或工作遗漏。

覆盖十二至二十四个月的预算可作为项目管理建议，按筹备、监管审查及运营阶段分月列示。分开计算官方规费、公司维持、人员办公室、法律审计、合规技术和开户支出，并预留补件或延期情景；该预算期间不是法定审批周期。

风险提示：未预留延期期间的固定支出可能导致资金中断。

容易遗漏的成本包括公司年度维持、授权代表、文件认证与翻译、额外法律审阅、审计合规、技术整改及延期期间的人员和场地支出。实践上应按具体架构列示，不能把这些项目宣传为人人必付的固定费用或统一金额。

风险提示：仅预算FSC规费可能无法承担实际持续经营成本。

加密资产、稳定币和代币化资产应按资产性质及实际服务逐项分类，不能统称为VASP业务。重点核查代客交易、托管控制权、发行相关金融服务及法币或证券债权属性；VASP注册不自动覆盖证券、支付或银行业务，境外市场要求亦须另查。

风险提示：将代币化证券或法币支付误归为一般VASP服务，可能遗漏其他许可。

有，但准确说法是FSC的VASP注册制度，分一般虚拟资产服务、托管及交易所路径。是否触发注册须看实际服务及控制权，并非所有Web3活动都适用；BVI公司向境外客户提供相关服务也可能受规。个人不得以业务形式经营VASP，注册亦不自动覆盖证券、银行或支付业务。

风险提示：误认为境外客户业务不受BVI监管，可能构成未注册经营。

应选择在服务所在地具相应资格的平台，核对法人账户准入、资产托管及资金来源要求，并留存钱包和交易记录。公司为自身投资开户与为他人提供兑换、托管等服务须分开分析；VASP注册并非所有加密业务的通用许可，经济实质也不自动适用或豁免。

风险提示：实际控制客户资产却未识别托管服务可能触发注册义务。

可向香港服务商查询是否接受BVI法人开设有关账户或钱包，但是否支持USDT及能否开户须按当地规则和平台政策确认。仅持有自有资产与为他人提供服务应分别判断；董事背景清晰及通过KYC不等于保证开户，也不能替代业务监管分析。

风险提示：使用不具适当资格的服务商可能影响资产保障。

主要应评估价格波动、托管及交易对手风险、资金来源和所在地监管要求。投资前宜确认资产归属、钱包权限和交易记录安排；若同时为他人提供兑换、转移或托管服务，须另核VASP注册边界，不能笼统宣称数字资产没有明确法律地位。

风险提示：托管方失效或钱包权限失控可能造成资产损失。

接收虚拟货币付款应先区分自有商品收款与为他人提供虚拟资产服务，不能仅凭收款方式认定须注册VASP。作为风险管理建议，可核验付款方、资金来源并保存交易记录；强化尽调及可疑活动报告须按适用AML规则判断，不存在可在此统一套用的金额门槛。

风险提示：替他人兑换或转付可能触及未取得的服务授权。

Web3项目应先按实际服务及资产控制权判断监管范围，不是所有项目都须VASP注册。代客交换、转移、托管及与发行销售有关的金融服务可能落入VASP；公司注册、授权代表及经济实质属于不同测试，不能以Web3名称代替业务分析。

风险提示：忽略私钥或资产控制权可能误判VASP注册义务。