加密支付公司 VARA 合規指南

杜拜正迅速鞏固其作為全球最具吸引力的加密貨幣支付公司樞紐之一的地位。若缺乏嚴格的合規措施，在阿聯酋經營虛擬資產業務將面臨巨大的風險。VARA 已向 37 家公司發出了執法通知，這些公司因從事未經許可的業務並違反了條例。VARA 的規則詳盡、監管持續且執法積極。本指南旨在說明加密貨幣支付公司應如何滿足 VARA 的要求，並展示如何建立強大的合規計劃以在杜拜取得成功。

虛擬資產監管局（VARA）是根據 2022 年第 4 號《杜拜法律》成立的。對於支付公司而言，最近最重要的進展是 VARA 在 2025 年更新了關鍵的強制性規則手冊與活動規則手冊，過渡期將於 2025 年 6 月結束。這是全球首個專門針對虛擬資產的獨立監管機構，是數位金融領域的重大里程碑。在 VARA 成立之前，尚無專注於虛擬資產的監管機構。

VARA 的管轄範圍涵蓋杜拜大陸及各個自由區，但不包括杜拜國際金融中心（DIFC）。DIFC 擁有自己的監管機構，即杜拜金融服務管理局（DFSA）。如果您在 DIFC 運營，則適用不同的規則。

杜拜為加密貨幣支付公司提供了絕佳的機會。有些國家正不斷收緊規則，例如新加坡加強了對 Web3 專案的管制。阿聯酋則不同，它歡迎商業發展，但同時要求嚴格的合規。VARA 遵循金融行動特別工作組（FATF）的規則，並增加了超越 FATF 基線的特定當地法規。

VARA 的獨特之處在於其牌照發放方式。它不會發放統一的「萬能」牌照，而是針對不同業務活動發放特定的許可證。這些活動包括交易、經紀、託管、借貸和支付。您必須明確定義您的業務範疇，並僅需遵守針對這些業務活動的規則。這被稱為「基於活動的許可制度」。

這對支付公司來說是個好消息，因為您無需遵守針對交易公司制定的規則，只需滿足適用於您特定營運的標準，這使得合規工作更集中、更易於管理。

杜拜也是全球金融樞紐，連接了中東、非洲和南亞。總部位於杜拜的公司可以接觸到數十億潛在用戶。該市擁有對商業友好的環境、強大的人才庫和世界級的基礎設施，這使其成為加密貨幣支付公司的理想基地。然而，您必須嚴肅對待合規問題；否則，將無法合法運作。

您是否需要 VARA 牌照？適用對象說明

什麼屬於支付服務？

如果您的公司在杜拜境內或從杜拜轉移、結算或匯款虛擬資產，則需要申請 VARA 牌照。這涵蓋了許多不同的商業模式：加密貨幣卡發行商、跨境匯款平台、商戶支付網關都需要申請。如果您的平台允許用戶使用加密貨幣支付商品或服務，則必須獲得 VARA 授權。

請思考您的產品實際功能：它是否將加密貨幣從一個錢包移動到另一個錢包？它是否為商戶將加密貨幣轉換為法幣？它是否允許用戶在結帳時以數位資產支付？如果答案是肯定的，那麼根據 VARA 的規則，您就是支付服務提供商。

即使您的辦公室不在杜拜，VARA 的規則依然適用。如果您將目標客戶鎖定為杜拜居民，則需要牌照；如果您從杜拜自由區運營，也需要牌照。許多公司曾嘗試在未經許可的情況下服務杜拜市場，這是 VARA 處罰中最常見的違規行為之一。

兩階段許可申請流程

取得 VARA 牌照絕非易事，這是一項嚴格的多階段流程，旨在將不良行為者拒之門外。流程分為兩個階段：初步批准（Initial Approval）和完整 VASP 牌照（Full VASP License）。

在「初步批准」階段，VARA 會審查您的商業計畫、公司結構以及合規框架。您必須證明自己了解規則並嚴肅對待。只有具備可靠策略的公司才能進入下一階段。

在「初步批准」後，您可以申請「完整 VASP 牌照」。此階段 VARA 會進行更深入的審查，檢查您的技術、人員和風險控制措施。您必須證明您的企業已準備好安全營運。

此流程需要時間，請務必提前規劃。不要等到準備啟動時才開始申請，應儘早行動並率先建立您的合規計劃。

最低資本要求與資格標準

您必須滿足最低資本要求才能申請。VARA 設定這些門檻是為了確保只有實力雄厚的公司才能處理用戶資金。確切金額取決於您的具體活動和管轄區。

VARA 還會審查您的技術和治理結構。您必須提供技術文件，包括系統架構、網路安全計畫和業務連續性計畫。如果您的系統出現故障，您需要有一套確保業務持續運作的方案。

VARA 還會檢查關鍵人員的背景，他們必須符合「適當人選」（fit and proper）的標準，這意味著不得有犯罪紀錄並需具備相關經驗。這不僅是一次性檢查，VARA 會持續監控關鍵人員。

分類	詳細說明
註冊實體	必須是杜拜境內的法人實體（大陸或 DMCC 等自由區）；需提供公司章程及股東文件。
最低資本	視業務活動而定，介於 5 萬至 50 萬迪拉姆之間；高風險活動（如交易所服務）需要更多資金。
治理結構	高階管理人員必須具備合格資歷且無犯罪紀錄；需具備適當的技術與營運能力。
AML/CFT 準備度	必須建立運作中的 KYC/AML 框架，並任命合資格的洗錢防制主管（MLRO）。
申請流程	1. 向 VARA 提交意向書 (LOI) 2. 初步批准：審查商業計畫、風險評估、技術架構 3. 完整申請：提交合規文件及審計報告 4. 獲得 MVP 許可或正式牌照 — 預計耗時：3–6 個月
許可業務活動	顧問 · 經紀自營商 · 託管 · 交易所 · 借貸 · 虛擬資產管理與投資 · 虛擬資產傳輸與結算 · 虛擬資產發行

VARA 對支付公司的核心合規要求

一旦獲得牌照，真正的工作才剛開始。VARA 擁有多項規則手冊，您必須每日遵循。這些不僅僅是檢查表，VARA 還要求看到您的控制措施能實際運作。他們採用「以風險為基礎，以結果為導向」的方法，這意味著您必須證明您的系統在實踐中有效，而不僅僅是紙上談兵。

AML/CFT 義務

《合規與風險管理規則手冊》是支付公司最重要的指南。您必須擁有強大的反洗錢（AML）控管和反恐怖主義融資（CFT）控管措施。

這始於「了解您的客戶」（KYC）檢查。您必須在用戶加入平台之前驗證每位用戶的身份，並進行客戶盡職調查（CDD），這意味著要了解您的客戶是誰以及他們的活動背景。

但基礎檢查是不夠的，您必須持續監控交易。加密貨幣流動迅速，一筆付款可能在幾秒鐘內跨越多個司法管轄區。您需要智慧型系統來識別違規行為，且這些系統必須具備適應新的金融犯罪模式的能力。

您必須將可疑交易報告給相關當局，並保留詳細紀錄。VARA 可能隨時要求審查這些紀錄；如果無法提供，即視為違規。

VARA 對加密貨幣特有的風險給予了特別關注。資金流動快、錢包可能匿名、交易不可逆，這些特性使加密貨幣容易受到犯罪分子青睞。VARA 要求您直接解決這些風險。

制裁審查與跨境風險

支付公司面臨極高的制裁風險，一次違規支付可能引發嚴重後果。您可能會不知情地為受制裁的個人或實體處理付款，VARA 要求您預防此類情況。

您必須對所有人進行審查，包括客戶、合作夥伴和錢包地址，並將其與官方的全球制裁名單（如 OFAC、聯合國和歐盟制裁名單）進行即時比對。

在大規模業務下，手動審查是不可能的，您必須使用自動化工具進行即時檢查，並對高風險管轄區進行標記。

跨境支付增加了另一層風險。當資金跨國流動時，可能會途徑高風險區域。您的監控系統必須追蹤資金來源和去向。

技術與網路安全標準

由於虛擬資產是數位的，VARA 對技術標準要求極高。您必須確保系統安全，主動進行網路防禦，不能等到攻擊發生才採取行動。

VARA 的《技術與資訊規則手冊》設定了標準。您必須制定經過測試的事件響應計畫，以便在遭攻擊時迅速反應；同時還需制定業務連續性計畫，確保系統故障時業務仍能運作。

此外，您必須保留完美的紀錄。VARA 要求每一筆交易都有審計軌跡，並需詳細記錄合規決策和風險檢查。這些紀錄必須隨時備查。

治理與問責

VARA 要求強大的公司治理結構。您必須擁有獨立的合規團隊，直接向高階管理層報告，並由董事會進行監管。您必須明確記載每項職責的負責人。

您還必須管理利益衝突。如果公司內部有人因不當決策獲益，這就是嚴重問題，必須識別並管理這些衝突，以保護客戶並維持市場公平。

合規不僅是後台工作，更是核心業務的一部分。高階領導層必須承擔責任，理解並執行規則。VARA 將嚴格追究領導層的問責。

不合規的後果：VARA 實際上路執法

VARA 制訂規則並負責執行。您負責合規，但 VARA 會密切監督。一旦違反規則，VARA 的執法極為迅速。

根據 VARA 官方執法紀錄，VARA 已向 37 家公司發出執法通知。大多數是因未經許可運營，有些則是對虛擬資產服務進行未經授權的行銷，或未能控制 AML 風險、治理不善、對 VARA 隱瞞資訊等。

常見違規類型

最常見的違規是「無照經營」。許多公司認為可以在獲得授權前先測試市場，但 VARA 不允許這樣做。如果您在沒有牌照的情況下服務杜拜用戶，就已觸法。

未經授權的行銷也很常見。即使您沒有當地業務，若向杜拜居民廣告您的服務且未經 VARA 批准，也是違規行為。

AML 缺失問題也非常嚴重。如果您的監控系統未能識別可疑交易，VARA 必會發現。治理不善也是明顯的警訊，若您的合規團隊缺乏實權，VARA 也會注意到。

VARA 的執法措施

VARA 會根據違反程度採取不同懲處。輕微違規通常會收到「停止並糾正命令」（Cease-and-Desist Orders），要求立即停止違法活動。

針對嚴重違規，VARA 會開出高額的金融罰款，並發布公開聲明，這會顯著損害您的市場商譽。

最嚴重的情況下，VARA 會指派一名「專業人士」（Skilled Person），即外部專家進入您的公司監督整改，且費用由您承擔。這不僅昂貴，更會導致業務中斷。

公開執法具有強大的威懾力，向市場傳達了 VARA 的堅定立場。如果您處理的是用戶資金，請勿冒險。VARA 的執法是真實且積極的。

如何建立符合 VARA 標準的合規計畫

您無法單靠手動流程來滿足 VARA 的要求，必須仰賴技術。以下是加密貨幣支付公司的逐步指南：

第 1 步 — 將您的業務活動對應到正確的牌照類別。 定義您提供的每一項服務，並對應到 VARA 的牌照類別。如果您在牌照許可範圍外營運，必會遭到處罰。務必明確區分您是否從事支付、託管或經紀業務。若有疑問，請直接與 VARA 確認。

第 2 步 — 實施自動化錢包審查。 了解每一筆付款對象的底細。使用自動化工具審查錢包地址，並將其與全球制裁名單進行比對。檢查其是否與暗網市場、勒索軟體或詐騙有關聯。這項檢查應涵蓋用戶加入時以及交易進行過程，手動審查的速度跟不上交易量。

第 3 步 — 建立即時交易監控。 加密貨幣在幾秒鐘內結算，您的控管措施必須同樣迅速。即時監控資金流向，學習每位用戶的正常行為，並自動標記異常活動。簡單的規則是不夠的，您需要具備適應新模式的智慧型系統。

第 4 步 — 建立可疑活動報告工作流程。 當系統標記了異常交易時，需有明確計畫：記錄調查過程、升級處理程序以及呈報監管機構的流程。定期測試此工作流程，並在出現新的金融犯罪手法時進行更新。

第 5 步 — 準備持續的審計與監管報告。 完整保留所有交易和決策紀錄。VARA 要求證明您的控制措施有效，內部審計不可或缺，且需隨時為外部審查做好準備。若 VARA 要求提供數據，您必須立即提交。

阿聯酋與其他加密貨幣樞紐：為何 VARA 脫穎而出

相較於其他地區，VARA 提供了獨特的優勢，這也是杜拜受歡迎的原因。

VARA vs. MiCA (歐盟)

歐盟採用 MiCA 框架，適用於所有 27 個成員國。MiCA 將代幣分為電子貨幣代幣 (EMT)、資產參考代幣 (ART) 和應用型代幣，每種代幣都有不同規則，您必須為每一種類型獲得授權。

MiCA 涵蓋面廣但結構過於寬泛，這對專業公司而言可能過於複雜，強制執行並不完全適配商業模型的規則。

VARA 則不同，它根據您的具體任務發放牌照，讓您專注於業務相關的規則，更為清晰且高效。

維度	VARA (杜拜)	MiCA (歐盟)
方法	模組化，基於活動的許可制	和諧化，基於代幣分類
範圍	杜拜大陸及各自由區	27 個歐盟成員國
AML/CFT	與 FATF 接軌並具備在地化要求	統一的 AMLR/AMLA 框架
支付服務	特定的支付服務牌照	需要 EMT/ART 授權
對創新的立場	積極鼓勵商業與創新	全面但範疇較廣