香港虚拟资产服务合规架构设计

Q: 内地的科技公司如果想在香港做虚拟资产交易平台,是不是一定要同时拿 Type 1、Type 7 和 VASP 三张牌照?

不一定。文章明确区分了两种情形:若平台仅撮合非证券型虚拟资产(例如主流加密货币),VASP 牌照是核心;若平台撮合证券型代币(STO)或基金权益代币,才需要叠加 Type 1(证券交易)与 Type 7(自动化交易服务)双重发牌,再加上 VASP。建议企业在 POC 阶段就与具备虚拟资产经验的香港律师行做牌照地图映射,避免上线后才发现业务线与牌照不匹配。

Q: 申请 VASP 牌照对负责人员(RO)和 AML 主任(MLRO)有什么硬性要求?

RO 须配置至少两名全职,其中至少一名常驻香港;需具备虚拟资产或相关金融业务 6 年以上经验,并通过 SFC 认可的本地资格考试(卷一至卷十七)。MLRO 须独立履职,可由 RO 兼任,但要与业务部门做好利益冲突隔离,主要负责可疑交易上报(SAR)与监管沟通。详细任职门槛以 SFC 官方最新公布为准。

Q: 香港虚拟资产平台对客户虚拟资产的冷热钱包比例和保险覆盖有什么具体要求?

根据文章引述的《虚拟资产交易平台营运者的监管指引》,平台须将 95% 以上 的客户虚拟资产存放于冷钱包,热钱包余额控制在 5% 以内,且其中 98% 以上 须有保险覆盖。客户资产以信托方式持有,公司在破产清算时不会被纳入自有资产池。具体阈值以 SFC 官方最新公布为准。

Q: 平台发现可疑交易后,需要多久通过什么渠道上报给香港监管部门?

一旦识别可疑交易,MLRO 须在一个工作日内完成初步评估;经评估确认须上报的,通过STELLA 系统提交可疑交易报告(SAR),并遵守"不上不报、不通知客户"的禁止通风报信原则。同时,平台应建立实时更新的制裁名单库,涵盖 OFAC、欧盟、联合国、香港海关等清单,对客户、交易对手及链上地址进行持续筛查。

Q: 从零开始在香港申请虚拟资产牌照,整个流程大概要多久?

按文章给出的落地路径,完整流程通常耗时 9-18 个月:第 1-2 月做业务地图与牌照匹配;第 2-4 月设立香港 SPV 并招聘 RO、MLRO;第 4-8 月完成全套内部监控文件;第 8-12 月与 SFC 预沟通并提交正式申请;上线后前 6 个月进入强化监控期。具体审批时长以 SFC 实际进度与官方最新公布为准。

过去三年,香港证监会(SFC)对虚拟资产的监管框架从”选择参与”走向”全面落地”,《打击洗钱及恐怖分子资金筹集条例》下的虚拟资产服务提供者(VASP)发牌制度于2023年6月生效,意味着所有在香港经营虚拟资产交易、资管、托管、经纪等业务的主体,均须取得相应牌照或受规管安排覆盖。对于以香港为跳板出海的内地企业而言,合规架构不再是”锦上添花”,而是决定能否长期运营的分水岭。本文从牌照分层、受规管活动、合规官、内部监控、客户资产隔离、AML/CFT与跨境协作七个维度,梳理一套可落地的设计思路。

一、牌照分层:三类受规管活动,三种核心义务

SFC针对虚拟资产业务设有 三类主要受规管活动(Type 1、Type 7、Type 9),企业在搭建架构时首先应回答:”我们究竟要做什么业务?”

受规管活动与牌照对照

业务场景	主要受规管活动	核心义务
营运虚拟资产交易平台、为客户提供撮合服务	Type 1(证券交易)+ Type 7(自动化交易服务)双重发牌 + VASP牌照	平台纳入 SFC 监管沙盒或正式发牌、客户资产隔离、保险或补偿基金安排
为客户管理含虚拟资产的基金或全权委托账户	Type 9(资产管理)	仅可投资获 SFC 认可的虚拟资产,机构投资者销售限制
虚拟资产托管(包括冷热钱包私钥管理)	受相关发牌条件约束	实体隔离、私钥分片、保险、第三方审计
经纪、介绍、咨询服务涉及虚拟资产	Type 1(证券交易)	KYC、适当性、披露义务

关键判断点:若平台仅撮合非证券型虚拟资产(如主流加密货币),VASP牌照为核心;若平台撮合证券型代币(STO)或基金权益代币,则需 Type 1 + Type 7 双牌叠加 VASP。建议架构师在 POC 阶段即与具备虚拟资产经验的香港律师行做牌照地图映射,避免上线后才发现业务线与牌照不匹配。

二、VASP牌照:六项”适当人选”门槛

VASP牌照申请人须同时满足 公司层面(适当人选、实缴股本、注册地址、保管安排)与 人员层面(负责人员 RO、合规主任 CO、AML 主任 MLRO)的多项条件。具体门槛以 SFC 官方最新公布为准,常见核心要件包括:

1. 适当人选(Fit and Proper)

所有大股东、董事、最终受益人(UBO)、RO、CO、MLRO 均须通过 SFC 的适当人选审查,涉及刑事记录、破产记录、监管处罚、过往从业合规情况等。内地企业若计划通过香港 SPV 申请牌照,需要穿透披露至境内实际控制人。

2. 负责人员(Responsible Officer)

平台须至少配置 两名全职 RO,其中至少一名常驻香港。RO 须具备虚拟资产或相关金融业务的 6 年以上经验,并通过 SFC 认可的本地资格考试(卷一至卷十七)。

3. AML 主任(MLRO)

MLRO 须独立履职,可由 RO 兼任,但须确保与业务部门利益冲突隔离。MLRO 主导可疑交易上报(SAR)与监管沟通。

4. 实缴股本与持续资金

平台须维持 不少于港币 500 万元 的实缴股本(具体以官方最新公布为准),并具备至少 12 个月的运营资金覆盖能力。

5. 客户资产隔离

平台须以 信托形式 为客户持有虚拟资产与法币,与公司自有资产严格区分,并委任 SFC 认可的独立保管人或合资格保管安排(包括冷钱包方案与保险)。

6. 财务汇报与外部审计

须按 SFC 要求委任独立核数师,提交年度经审计账目、合规报告与持续监控报告。

实操提示:内地集团若希望整合资源,可将研发、运营、风控主体放在内地,香港侧仅设立持牌 SPV + 实体运营团队。架构上需确保两地数据传输、运营操作符合内地数据出境合规与香港 SFC 双重要求。

三、内部监控框架:三层治理 + 五大支柱

SFC 内部监控永久性合格指引(SFC Handbook)将虚拟资产业务纳入与传统券商一致的监管口径。架构设计建议采用 三层治理 + 五大支柱:

三层治理

决策层:董事会下设合规与风险管理委员会,直接对接 RO 与 MLRO;
执行层:合规部、风控部、法务部、AML 团队形成日常监控回路;
业务层:产品、风控、运营、客服一线嵌入合规检查项,实现”业务即合规”。

五大支柱

支柱	落地重点
客户准入(KYC/CDD)	实名认证、地址证明、UBO 穿透、政治敏感人物(PEP)筛查
适当性评估	仅向专业投资者(PI)销售虚拟资产基金;零售客户须通过认知评估
风险监控	异常交易识别、地址黑名单、可疑资金路径追踪
投诉与赔偿	客户投诉登记、补偿基金、保险机制
持续合规报告	月度合规报告、季度风控报告、年度外部审计

四、客户资产隔离与托管:把”安全”做成可审计

虚拟资产最敏感的合规环节在于 私钥管理与客户资产隔离。SFC 在《虚拟资产交易平台营运者的监管指引》中明确,平台须:

隔离安排

95% 以上客户虚拟资产 须存放于冷钱包;
热钱包余额须控制在 5% 以内,且 98% 以上 须有保险覆盖;
客户资产以 信托方式持有,公司在破产清算时不被纳入自有资产池。

私钥分片与多方签名

建议采用 MPC(多方安全计算)或多签(Multi-sig)方案,将私钥拆分为多片,分别由独立托管人、不同地理区域、不同人员持有,任何单方均无法独立转移资产。

第三方审计与证明

每月由独立第三方对客户资产进行 储备证明(Proof of Reserves) 审计,并出具报告;链上地址与负债端快照须可公开验证。

五、AML/CFT 与可疑交易上报

虚拟资产是反洗钱与反恐融资监管的重点领域。SFC 与香港海关共同执法,平台须配合执行:

1. 客户尽职调查(CDD)

零售客户:KYC + 地址证明 + 风险评分;
高风险客户:加强尽职调查(EDD),包括资金来源、财富来源核验;
跨境客户:执行《税务事项自动交换财务帐户资料》共同申报准则(CRS)与海外账户税收合规法案(FATCA)申报义务。

2. 可疑交易识别

监控维度应至少包括:异常大额入金、频繁小额拆分(俗称”smurfing”)、混币器(Tumbler)流入、与 OFAC/联合国制裁名单地址交互等。建议引入 链上分析工具(如 Chainalysis、TRM Labs)辅助识别。

3. SAR/STR 上报

一旦识别可疑交易,MLRO 须在 一个工作日内 完成初步评估,经评估须上报的,通过 STELLA 系统 提交可疑交易报告(SAR),并遵守”不上不报、不通知客户”的禁止通风报信原则。

4. 制裁合规

须建立实时更新的制裁名单库,涵盖 OFAC、欧盟、联合国、香港海关 等制裁清单,并对客户、交易对手、链上地址进行持续筛查。

六、跨境合规协作:内地与香港的双向接口

内地企业出海香港,合规架构须同时回应 内地监管与香港监管 的双向要求。

内地侧关注点

数据出境合规:客户 KYC 数据、链上交易数据涉及个人信息与重要数据,须通过安全评估、标准合同备案、个人信息保护认证等通道合规出境;
外汇与跨境支付:虚拟资产兑换法币涉及外汇管理,境内主体不得直接参与虚拟资产交易;
网信办备案:若平台涉及金融信息服务、互联网新闻信息服务等,须履行相应备案。

香港侧关注点

与 SFC、海关、警务处保持定期沟通;
在港版 “FATF Travel Rule” 框架下,对价值 8,000 港元以上 的转账须收集并传递发起人/受益人信息(具体门槛以官方最新公布为准);
加入虚拟资产行业自律组织(如 HKVA),配合行业最佳实践。

建议在架构设计阶段即建立”合规接口清单”,将内地数据出境、备案、外汇等要求与香港牌照、内部监控、AML 要求做成 对照矩阵,避免上线后才发现冲突。

七、落地路径建议

对于希望以香港为跳板出海的内地企业,合规架构搭建可按以下顺序推进:

业务地图与牌照匹配(第 1-2 月):梳理业务线,明确受规管活动类型与牌照组合;
SPV 设立与人员招聘(第 2-4 月):注册香港有限公司,招聘两名常驻 RO、MLRO 与合规团队;
内部监控文件编写(第 4-8 月):完成合规手册、AML 政策、风控模型、客户协议、隐私政策等全套文件;
SFC 预沟通与正式申请(第 8-12 月):通过律师行与 SFC 进行多轮预沟通,提交正式牌照申请;
试运营与持续合规(上线后):上线后前 6 个月为”强化监控期”,每月向 SFC 提交运营与合规报告;
年度审计与牌照续期:按 SFC 要求提交年度审计报告,持续满足持续合规义务。

完整流程通常 耗时 9-18 个月,具体时长以 SFC 审批进度与官方最新公布为准。

合规架构从来不是一次性交付物,而是 与业务共成长的运营系统。对内地企业而言,香港虚拟资产牌照既是出海通行证,也是建立国际投资者信任的硬通货。把合规做在前面,远比事后补救划算得多。

香港大全持续更新香港公司注册、税务筹划、人才签证与行业牌照等出海指南,欢迎进一步查阅。

常见问答

内地的科技公司如果想在香港做虚拟资产交易平台,是不是一定要同时拿 Type 1、Type 7 和 VASP 三张牌照?

不一定。文章明确区分了两种情形:若平台仅撮合非证券型虚拟资产(例如主流加密货币),VASP 牌照是核心;若平台撮合证券型代币(STO)或基金权益代币,才需要叠加 Type 1(证券交易)与 Type 7(自动化交易服务)双重发牌,再加上 VASP。建议企业在 POC 阶段就与具备虚拟资产经验的香港律师行做牌照地图映射,避免上线后才发现业务线与牌照不匹配。

申请 VASP 牌照对负责人员(RO)和 AML 主任(MLRO)有什么硬性要求?

RO 须配置至少两名全职,其中至少一名常驻香港;需具备虚拟资产或相关金融业务 6 年以上经验,并通过 SFC 认可的本地资格考试(卷一至卷十七)。MLRO 须独立履职,可由 RO 兼任,但要与业务部门做好利益冲突隔离,主要负责可疑交易上报(SAR)与监管沟通。详细任职门槛以 SFC 官方最新公布为准。

香港虚拟资产平台对客户虚拟资产的冷热钱包比例和保险覆盖有什么具体要求?

根据文章引述的《虚拟资产交易平台营运者的监管指引》,平台须将 95% 以上 的客户虚拟资产存放于冷钱包,热钱包余额控制在 5% 以内,且其中 98% 以上 须有保险覆盖。客户资产以信托方式持有,公司在破产清算时不会被纳入自有资产池。具体阈值以 SFC 官方最新公布为准。

平台发现可疑交易后,需要多久通过什么渠道上报给香港监管部门?

一旦识别可疑交易,MLRO 须在一个工作日内完成初步评估;经评估确认须上报的,通过STELLA 系统提交可疑交易报告(SAR),并遵守”不上不报、不通知客户”的禁止通风报信原则。同时,平台应建立实时更新的制裁名单库,涵盖 OFAC、欧盟、联合国、香港海关等清单,对客户、交易对手及链上地址进行持续筛查。

从零开始在香港申请虚拟资产牌照,整个流程大概要多久?

按文章给出的落地路径,完整流程通常耗时 9-18 个月:第 1-2 月做业务地图与牌照匹配;第 2-4 月设立香港 SPV 并招聘 RO、MLRO;第 4-8 月完成全套内部监控文件;第 8-12 月与 SFC 预沟通并提交正式申请;上线后前 6 个月进入强化监控期。具体审批时长以 SFC 实际进度与官方最新公布为准。

内地企业把香港子公司作为持牌主体,数据出境和外汇方面需要注意什么?

文章提示需关注三个内地侧要点:一是客户 KYC 数据、链上交易数据涉及个人信息与重要数据,须通过安全评估、标准合同备案、个人信息保护认证等通道合规出境;二是虚拟资产兑换法币涉及外汇管理,境内主体不得直接参与虚拟资产交易;三是若平台涉及金融信息服务、互联网新闻信息服务等,须履行网信办相应备案。建议在架构设计阶段就将内地数据出境、备案、外汇要求与香港牌照、内部监控、AML 要求做成对照矩阵。