VARA 加密支付公司合规指南

迪拜正迅速巩固其作为全球最具吸引力的加密支付公司枢纽之一的地位。在阿联酋经营虚拟资产业务,若没有严格的合规措施,风险很高。VARA 已向 37 家公司发出执法通知。这些公司从事无牌照活动并违反了法规。规则详尽,监管持续不断,执法也十分积极。本指南阐述了 VARA 对加密支付公司的期望,并展示了如何建立强大的合规计划以在迪拜取得成功。

虚拟资产监管局(VARA)是根据 2022 年第 4 号迪拜法律设立的。对于支付公司而言,最重要的近期进展是 VARA 在 2025 年更新了关键的强制性和活动规则手册,过渡期截止到 2025 年 6 月。它是全球首个专门针对虚拟资产的独立监管机构。这是数字金融领域的一大重要举措。在 VARA 之前,没有任何监管机构专门致力于虚拟资产监管。

VARA 的管辖范围涵盖迪拜大陆区域及其自由区。它不涵盖迪拜国际金融中心(DIFC)。DIFC 拥有自己的监管机构,称为迪拜金融服务管理局(DFSA)。如果您在 DIFC 运营,则适用不同的规则。

迪拜为加密支付公司提供了绝佳机遇。一些国家正在收紧监管规则。新加坡已加强对 Web3 项目的管控。阿联酋则不同,它欢迎商业发展,但同时也要求严格的合规。VARA 遵循金融行动特别工作组(FATF)的规则,同时还添加了超出 FATF 基准的具体本地规则。

VARA 的独特之处在于其发放牌照的方式。它并非为所有人提供统一的牌照,而是针对不同的活动发放特定牌照。这些活动包括交易、经纪、托管、借贷和支付。您必须明确界定您的业务内容,然后只需遵守适用于这些活动的规则。这被称为基于活动的许可制度。

对支付公司来说,这是个好消息。您不必遵循针对交易公司制定的规则,只需满足适用于您具体运营的标准即可。这使合规工作更加聚焦且易于管理。

迪拜同时也是全球金融枢纽,连接着中东、非洲和南亚地区。总部设在迪拜的公司可以触及数十亿潜在用户。这座城市拥有友好的营商环境、雄厚的人才储备以及世界一流的基础设施。这使其成为加密支付公司的理想据点。但您必须认真对待合规问题。没有合规,您就无法合法运营。

您是否需要 VARA 牌照?适用对象

什么算作支付服务?

如果您的公司在迪拜境内或从迪拜转移、结算或汇兑虚拟资产,您就需要 VARA 牌照。这涵盖了许多不同的商业模式。加密卡发行商需要牌照。跨境汇款平台需要牌照。商户支付网关也需要牌照。如果您的平台允许人们使用加密货币支付商品或服务,您就需要获得 VARA 授权。

想想您的产品实际做什么。它是否将加密货币从一个钱包转移到另一个钱包?它是否为商户将加密货币转换为法定货币?它是否允许用户在结账时使用数字资产付款?如果是,那么根据 VARA 的规则,您就是一家支付服务提供商。

即使您的办公室不在迪拜,VARA 的规则同样适用。如果您的目标用户是迪拜居民,您就需要牌照。如果您在迪拜自由区运营,您就需要牌照。许多公司曾尝试在未经许可的情况下服务迪拜市场。这是 VARA 惩处的最常见违规行为之一。

两阶段许可流程

获得 VARA 牌照并非易事。这是一个严格的多阶段流程。VARA 设计此流程是为了排除不良行为者。共有两个阶段:初步批准和完整 VASP 牌照。

在初步批准阶段,VARA 会审查您的商业计划,检查您的公司结构,审视您的合规框架。您必须证明自己理解规则并认真对待它们。只有具备可信方案的公司才能进入下一阶段。

获得初步批准后,您需申请完整 VASP 牌照。这时 VARA 会进行更深入的审查。他们会检查您的技术、员工以及风险控制。您必须证明您的业务已准备好安全运营。

这个流程需要时间。请提前规划。不要等到准备启动时才开始申请。应尽早开始,并首先理顺您的合规计划。

最低资本和资格标准

申请时您必须满足最低资本要求。VARA 设定这些门槛,以确保只有实力强大的公司才能处理用户资金。具体金额取决于您的具体活动和司法管辖区。

VARA 还会检查您的技术和治理情况。您必须提供技术文件,包括系统架构、网络安全计划和业务连续性计划。如果您的系统宕机,您需要有计划确保业务持续运行。

VARA 还会审查关键员工的背景。他们必须符合"胜任与适当"标准。这意味着没有犯罪记录并具备相关经验。这不仅仅是一次性检查,VARA 会持续监控关键人员。

VARA 对支付公司的核心合规要求

获得牌照后,真正的工作才刚刚开始。VARA 有多本规则手册,您必须每天遵守它们。这些不仅仅是清单——VARA 希望看到您的控制措施确实有效。他们采用基于风险、注重成果的方法。这意味着您必须证明您的系统在实践中确实有效,而不仅仅是纸面文章。

AML/CFT 义务

《合规与风险管理规则手册》是支付公司最重要的规则手册。您必须具备强有力的反洗钱(AML)控制措施,也必须具备打击资助恐怖主义(CFT)的控制措施。

这从了解您的客户(KYC)检查开始。您必须在每位用户加入平台之前对其进行核实。您还必须开展客户尽职调查(CDD)。这意味着要了解您的客户是谁,以及他们从事什么活动。

但基础检查还不够。您必须持续监控交易。加密货币的流动速度很快,一笔支付可能在几秒钟内跨越多个司法管辖区。您需要智能系统来发现不良行为。这些系统必须超越简单的规则,能够适应新的金融犯罪模式。

您必须向相关部门报告可疑交易,还必须保存详细记录。VARA 可能随时要求查看这些记录。如果您无法提供,即属违规。

VARA 特别关注加密货币特有的风险。资金流动迅速,钱包可以是匿名的,交易是不可逆的。这些特点使加密货币对犯罪分子具有吸引力。VARA 期望您直接应对这些风险。

制裁筛查和跨境风险

支付公司面临着高度的制裁风险。一笔糟糕的支付就可能引发严重麻烦。您可能在不知情的情况下为受制裁的个人或实体处理支付。VARA 期望您防止这种情况发生。

您必须对每个人进行筛查。核查您的客户、合作伙伴和钱包地址,将其与全球制裁名单进行比对。这些名单包括来自 OFAC、联合国和欧盟的名单。您必须实时进行此项检查。

大规模执行这项工作十分困难。您可能每天处理数千笔交易。人工检查是不可能完成的任务。您需要自动化工具,这些工具必须能即时进行检查,还必须能标记高风险司法管辖区。VARA 要求达到这种自动化水平。

跨境支付增加了另一层风险。当资金跨国流动时,可能经过高风险地区。您的监控必须能追踪这一点。您需要知道资金的来源和去向。

技术和网络安全标准

虚拟资产是数字化的。因此,VARA 要求具备强大的技术能力。您必须保持系统的安全性,需要具备主动的网络安全措施。您不能等到攻击发生后才行动,必须提前做好准备。

VARA 的《技术与信息规则手册》设定了相关标准。您必须制定并测试过应急响应计划。如果遭遇黑客攻击,您需要迅速行动。您还必须制定业务连续性计划。即使系统出现故障,您的业务也必须保持运转。

您还必须保持完善的记录。VARA 希望每笔交易都有审计追踪记录。您必须记录合规决策和风险检查。这些记录必须随时准备好,以应对 VARA 的查询。记录缺失属于严重违规行为。

治理与问责

VARA 要求具备强有力的公司治理。您必须设立独立的合规团队,他们必须直接向高级管理层汇报。董事会必须对一切进行监督。您必须记录清楚谁对什么负责。

您还必须管理利益冲突。如果公司内部有人从不当决策中获利,那就是个问题。您必须识别这些冲突并加以管理。这既保护了您的客户,也维护了市场的公平性。

合规不仅仅是后台工作,它必须成为您核心业务的一部分。高级管理者必须承担责任,他们必须理解规则并加以执行。VARA 要求管理层承担问责。

不合规的后果:VARA 执法在行动

VARA 制定规则并执行这些规则。合规责任在于您自身,但 VARA 密切关注。如果您违反规则,VARA 会迅速采取行动。

根据官方 VARA 执法记录,VARA 已向 37 家公司发出执法通知。其中大多数公司在无牌照的情况下运营,一些公司未经授权推销虚拟资产服务,还有一些未能控制 AML 风险,一些治理不善,一些则向 VARA 隐瞒信息。

常见违规类型

最常见的违规行为是无牌照运营。许多公司认为可以在获得授权之前先试探市场。VARA 不允许这种做法。如果您在没有牌照的情况下为迪拜用户提供服务,即属违法。

未经授权的营销行为也很常见。一些公司未经 VARA 批准就向迪拜居民宣传其服务。即使您在当地没有实际运营,这也构成违规。VARA 监控营销活动并对其采取行动。

AML 失败问题严重。如果您的监控系统未能发现可疑交易,VARA 会发现这一点。已有公司因此受到处罚。治理不善也是一个危险信号。如果您的合规团队没有实际权力,VARA 会注意到这一点。

VARA 的执法措施

VARA 根据违规行为的严重程度采取不同的处罚措施。对于轻微违规行为,他们会发出停止令(Cease-and-Desist Orders),要求您立即停止违法活动。

对于更严重的违规行为,他们会实施经济处罚,金额可能相当可观。VARA 还会发布公开声明,这意味着您的违规行为将被公开宣布。这会损害您在客户和合作伙伴中的声誉。

在最严重的情况下,VARA 会任命一名"专业人士"(Skilled Person)。这是一位外部专家,会进入您的公司,监督您的整改工作。您需要为此支付费用,这既昂贵又具破坏性。

公开执法是一种强大的威慑手段。它向整个市场表明 VARA 是认真的。如果您处理真实用户资金,请不要冒险。VARA 的执法是真实且积极的。

如何建立符合 VARA 要求的合规计划

您无法依靠人工流程来满足 VARA 的要求,您需要技术支持。以下是加密支付公司的分步指南:

第一步 —— 将您的活动对应到正确的牌照类别。 明确定义您提供的每一项服务,将每项服务对应到一个 VARA 牌照类别。如果您在牌照范围之外运营,VARA 会对您进行处罚。明确您从事的是支付、托管还是经纪业务,不要凭假设行事。如有疑问,请向 VARA 核实。

第二步 —— 实施自动化钱包筛查。 了解每笔支付另一端的对象是谁。使用自动化工具筛查钱包地址,将其与全球制裁名单进行比对,查找与暗网市场、勒索软件或欺诈行为的关联。应在用户加入平台时以及每笔交易过程中都进行此项检查。人工筛查无法跟上交易量的步伐。

第三步 —— 建立实时交易监控。 加密货币在几秒钟内就能结算,您的控制措施必须同样迅速。实时监控资金流动,了解每位用户的正常行为模式,自动标记异常活动。简单的规则是不够的,您需要能够适应新模式的智能系统。

第四步 —— 建立可疑活动报告工作流程。 当您的系统标记出一笔可疑交易时,您需要有一个明确的计划。记录您如何进行调查,记录您如何进行升级处理,记录您如何向相关部门报告。定期测试此工作流程,并在出现新的金融犯罪手法时及时更新。

第五步 —— 为持续审计和监管报告做好准备。 妥善保存所有交易和决策的完整记录。VARA 需要证据证明您的控制措施确实有效。定期内部审计至关重要,应始终为外部审查做好准备。如果 VARA 要求提供记录,您必须立即提供。

阿联酋与其他加密枢纽的比较:VARA 为何脱颖而出

VARA 相较于其他地区具有明显优势,这正是迪拜对加密支付公司如此受欢迎的原因。

VARA 与 MiCA(欧盟)

欧盟采用 MiCA 框架,适用于全部 27 个欧盟国家。MiCA 将代币分为三类:电子货币代币(EMTs)、资产参考代币(ARTs)和实用型代币。每种类型都有不同的规则。您必须为您使用的每种代币类型获得授权。

MiCA 内容全面,但也非常宽泛。它对全部 27 个国家适用相同的规则。这可能给专业化公司带来复杂性。您可能不得不遵循一些不适合您商业模式的规则。

VARA 则不同。它只为您的具体活动提供牌照。您只需专注于对您业务真正重要的规则,这更加清晰高效。

VARA 与新加坡 MAS

新加坡金融管理局(MAS)对零售加密货币准入非常严格。面向消费者的支付公司在那里很难运营。MAS 拒绝或延迟了许多牌照申请,整体环境较为保守。

迪拜则不同。它支持商业发展并鼓励创新。您可以打造面向消费者的产品并获得牌照,但必须满足国际合规标准。这种平衡使阿联酋成为全球扩张的绝佳之地。

如果您希望触及全球市场,并需要一个支持性的监管环境,迪拜是正确的选择。VARA 为您提供了清晰性和灵活性,让您明确知道自己需要做什么。

BlockSec 如何帮助加密支付公司保持符合 VARA 要求

满足 VARA 的严格规则需要企业级技术。人工工作无法应对加密支付的速度和量级。您需要强大的实时监督能力。

这正是 BlockSec 能够提供帮助的地方。我们提供您所需的基础设施,从第一天起就确保您的运营安全并满足监管要求。通过 Phalcon Compliance,您可以自动化风险控制,可以实时筛查钱包并监控交易,可以阻止与受制裁地址的交互。您可以在一个平台上完成所有这些工作。

Phalcon Compliance 直接对应 VARA 的各项要求。它涵盖钱包筛查、交易监控和自动化风险控制。您无需自行构建这些系统——我们已经为您完成了这项工作。您只需连接即可使用。

对于在全球运营的支付公司,BlockSec 为您带来信心。您可以扩展业务而不必担心合规失败。我们服务超过1,000名客户,包括加密货币交易所、钱包、OTC 柜台和金融机构。我们还与超过50个司法管辖区的监管机构和执法部门合作。我们深刻理解您在迪拜面临的确切挑战。

如果您正在迪拜打造加密支付业务,并需要为符合 VARA 要求做好准备,请了解 Phalcon Compliance 如何帮助您满足 VARA 框架中的每一项要求。