Tham khảo Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số (Singapore)

Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số

TRANG 1

MAS
Cơ quan Tiền tệ Singapore
ĐẠO LUẬT VỀ DỊCH VỤ VÀ THỊ TRƯỜNG TÀI CHÍNH 2022
HƯỚNG DẪN CẤP PHÉP CHO CÁC NHÀ CUNG CẤP DỊCH VỤ TOKEN KỸ THUẬT SỐ

TRANG 2

Mục lục
1. Mục đích
2. Giấy phép theo Đạo luật FSM
3. Tiêu chí được chấp thuận
4. Yêu cầu nộp đơn xin cấp phép
5. Các yêu cầu liên tục đối với người được cấp phép A1. Yêu cầu về Quản trị và Quyền sở hữu A2. Sắp xếp tuân thủ tối thiểu A3. Hướng dẫn về thông tin cần thiết cho hồ sơ xin cấp phép A4. Phí cấp phép hàng năm A5. Quy tắc tham gia cho quy trình xem xét hồ sơ A6. Đánh giá độc lập của kiểm toán viên bên ngoài

TRANG 3

1. Mục đích
- 1.1. Hướng dẫn về Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số (“Hướng dẫn”) nhằm cung cấp hướng dẫn về các thủ tục nộp đơn, tiêu chí cấp phép và các yêu cầu liên tục đối với các Nhà Cung cấp Dịch vụ Token Kỹ thuật số theo Phần 9 của Đạo luật Dịch vụ và Thị trường Tài chính 2022 (“Đạo luật FSM”). Theo đó, các nhà cung cấp dịch vụ token kỹ thuật số được định nghĩa là các cá nhân, đối tác hoặc tập đoàn Singapore đang hoạt động từ một địa điểm kinh doanh tại Singapore hoặc được thành lập hoặc hợp nhất tại Singapore nhưng thực hiện hoạt động kinh doanh cung cấp dịch vụ token kỹ thuật số ở bên ngoài Singapore (“DTSPs”).
- 1.2. Hướng dẫn này nên được đọc cùng với các quy định của Đạo luật FSM, Quy định về Dịch vụ và Thị trường Tài chính (Nhà Cung cấp Dịch vụ Token Kỹ thuật số) (“Quy định FSM”) và các luật, thông báo, hướng dẫn và câu hỏi thường gặp khác có liên quan do Cơ quan Tiền tệ Singapore (“MAS”) ban hành.
- 1.3. MAS sẽ cập nhật các Hướng dẫn này định kỳ để cung cấp thêm hướng dẫn.
2. Giấy phép theo Đạo luật FSM
- 2.1. Theo điều 137 của Đạo luật FSM, bất kỳ người nào thực hiện các dịch vụ token kỹ thuật số tại Singapore theo định nghĩa trong Phụ lục thứ nhất của Đạo luật FSM đều phải có giấy phép, trừ khi người đó được miễn trừ. Điều 137(5) của Đạo luật FSM quy định các trường hợp miễn trừ áp dụng đối với việc giữ giấy phép.
- 2.2. Vì MAS sẽ không cung cấp một sự sắp xếp chuyển tiếp cho các DTSPS, các DTSPs phải tuân thủ yêu cầu cấp phép theo điều 137 của Đạo luật FSM phải tạm ngừng hoặc chấm dứt hoạt động kinh doanh cung cấp dịch vụ token kỹ thuật số ở bên ngoài Singapore trước ngày 30 tháng 6 năm 2025. Một DTSP vi phạm yêu cầu cấp phép là phạm tội và sẽ phải chịu các hình phạt được quy định trong điều 137(6) của Đạo luật FSM.
Các loại Dịch vụ Token Kỹ thuật số
- 2.3. Người nộp đơn nên xem xét liệu mình có đang cung cấp các dịch vụ token kỹ thuật số theo mô hình kinh doanh của mình hay không, phù hợp với mười dịch vụ token kỹ thuật số trong Phụ lục thứ nhất của Đạo luật FSM. Người nộp đơn cũng nên xem xét liệu các hoạt động đề xuất của mình có thuộc bất kỳ trường hợp loại trừ nào khỏi phạm vi các dịch vụ token kỹ thuật số được quy định theo Đạo luật FSM, theo Phần 2 của Phụ lục thứ nhất hay không.

TRANG 4

3. Tiêu chí được chấp thuận
- 3.1. Các DTSPs dễ bị tổn thương trước các rủi ro về rửa tiền, tài trợ khủng bố và tài trợ phổ biến vũ khí hủy diệt hàng loạt (“ML/TF”) cao hơn do tính chất dựa trên internet và xuyên biên giới của các dịch vụ đó. Điều này sẽ dẫn đến nguy cơ cao hơn là các nhà cung cấp như vậy bị lạm dụng cho các mục đích bất hợp pháp, gây tổn hại đến danh tiếng của Singapore. Trước những rủi ro này, MAS tiếp cận việc cấp phép cho các DTSPs một cách thận trọng và sẽ có rất ít trường hợp MAS xem xét cấp giấy phép DTSP cho người nộp đơn theo Đạo luật FSM.
- Các trường hợp rất hạn chế này bao gồm:
  - Người nộp đơn có một mô hình kinh doanh hợp lý về mặt kinh tế và có thể chứng minh cho MAS sự hài lòng rằng họ có lý do chính đáng để không có ý định thực hiện hoạt động kinh doanh cung cấp dịch vụ token kỹ thuật số tại Singapore mặc dù hoạt động tại hoặc được thành lập hoặc hợp nhất tại Singapore;
  - Người nộp đơn không hoạt động theo cách thức gây lo ngại cho MAS và đã được quy định và giám sát về việc tuân thủ các tiêu chuẩn được quốc tế thống nhất có liên quan, chẳng hạn như các tiêu chuẩn do Hội đồng Ổn định Tài chính, Tổ chức Quốc tế của các Ủy ban Chứng khoán và Lực lượng Đặc nhiệm Tài chính (FATF) thiết lập; và
  - MAS không có lo ngại về cấu trúc kinh doanh của người nộp đơn liên quan đến, ví dụ, khả năng tuân thủ các nghĩa vụ pháp lý của họ.
- 3.2. Người nộp đơn phải đáp ứng đầy đủ các tiêu chí được quy định dưới đây và chứng minh rõ ràng cách thức họ có thể tuân thủ các nghĩa vụ của mình theo Đạo luật FSM với tư cách là một người được cấp phép.
  - 3.2.1 Yêu cầu về quản trị và quyền sở hữu – Người nộp đơn phải tuân thủ cấu trúc quản trị và quyền sở hữu được quy định trong Phụ lục 1 và phải được đăng ký với ACRA.
  - 3.2.2 Phù hợp và Chính đáng – Người nộp đơn phải chứng minh cho MAS rằng chủ sở hữu duy nhất, các đối tác, người quản lý hoặc giám đốc và CEO, cổ đông và nhân viên của họ, cũng như bản thân người nộp đơn, là phù hợp và chính đáng, phù hợp với Hướng dẫn về Tiêu chí Phù hợp và Chính đáng [FSG-G01]. Trách nhiệm thuộc về người nộp đơn để đảm bảo rằng các cá nhân có liên quan là phù hợp và chính đáng theo sự hài lòng của MAS, chứ không phải để MAS chứng minh điều ngược lại. Ngoài tính trung thực, liêm chính và danh tiếng, năng lực và khả năng cũng như sự vững mạnh về tài chính, MAS cũng sẽ xem xét các yếu tố khác như liệu có bất kỳ xung đột lợi ích nào và thời gian cam kết của các cá nhân có liên quan đối với pháp nhân tại Singapore hay không. Đặc biệt, pháp nhân và nhóm liên quan của nó không nên có bất kỳ danh tiếng bất lợi nào, đặc biệt là liên quan đến tội phạm tài chính và tuân thủ lệnh trừng phạt.
  - 3.2.3 Năng lực của các Cá nhân chủ chốt – Người nộp đơn phải đảm bảo rằng chủ sở hữu duy nhất, các đối tác, người quản lý hoặc giám đốc điều hành và CEO của họ có đủ kinh nghiệm trong việc điều hành một doanh nghiệp trong ngành dịch vụ token kỹ thuật số, bao gồm việc có đủ hiểu biết về khung pháp lý cho các DTSPs tại Singapore. Khi cá nhân sẽ quản lý một đội ngũ có quy mô đáng kể, chủ sở hữu duy nhất, các đối tác, người quản lý hoặc giám đốc điều hành và CEO cũng nên có kinh nghiệm, năng lực và ảnh hưởng liên quan, để cho phép họ thực hiện sự giám sát và kiểm soát hiệu quả đối với các hoạt động kinh doanh và nhân viên. Người nộp đơn cũng nên xem xét trình độ học vấn và chứng chỉ chuyên môn của các cá nhân chủ chốt của mình.
TRANG 5
- 3.2.4 Địa điểm kinh doanh cố định hoặc văn phòng đăng ký – Người nộp đơn phải có một địa điểm kinh doanh cố định hoặc văn phòng đăng ký tại Singapore. Đó phải là một khu vực văn phòng nơi sách và hồ sơ của người nộp đơn có thể được giữ an toàn. Người nộp đơn cũng phải chỉ định ít nhất một người có mặt để giải quyết bất kỳ thắc mắc hoặc khiếu nại nào từ khách hàng¹, cũng như các yêu cầu/thông tin từ các cơ quan chức năng.
- 3.2.5 Vốn cơ bản – Một người nộp đơn xin cấp phép phải chứng minh cho MAS rằng họ quen thuộc với các yêu cầu về vốn cơ bản được quy định trong Quy định FSM² và chứng minh rõ ràng cách họ sẽ đáp ứng các yêu cầu này một cách liên tục, được tóm tắt trong Bảng 3 dưới đây. Với nghĩa vụ này, người nộp đơn phải đảm bảo rằng họ duy trì đủ vốn đệm dư thừa so với yêu cầu vốn cơ bản, lưu ý đến quy mô và phạm vi hoạt động cũng như tiềm năng lợi nhuận và thua lỗ của họ. Theo nguyên tắc chung, vốn cơ bản của pháp nhân phải có khả năng trang trải ít nhất 6 đến 12 tháng chi phí hoạt động của người nộp đơn. Người nộp đơn cũng nên có một quy trình giám sát hiệu quả để đảm bảo rằng họ có thể đáp ứng yêu cầu vốn cơ bản mọi lúc, ví dụ: đưa ra báo cáo định kỳ hoặc một khoản vốn đệm cụ thể cao hơn yêu cầu tối thiểu.
- Bảng 1 – Yêu cầu Vốn cơ bản
  - Loại hình kinh doanh | Yêu cầu Vốn cơ bản
  - Cá nhân kinh doanh độc lập | Duy trì tiền gửi tiền mặt ít nhất S$250,000 với MAS
  - Công ty hợp danh/Công ty hợp danh trách nhiệm hữu hạn | Tổng vốn góp ít nhất S$250,000
  - Tập đoàn | Vốn cơ bản ít nhất S$250,000
- 3.2.6 Sắp xếp Tuân thủ – Người nộp đơn phải có kế hoạch về các sắp xếp tuân thủ hiệu quả và đảm bảo rằng họ có đầy đủ nguồn lực tuân thủ tương xứng với bản chất, quy mô và mức độ phức tạp trong kinh doanh của mình.
TRANG 6
- Các yêu cầu tối thiểu đối với các sắp xếp tuân thủ được quy định trong Phụ lục 2. Bất kể việc sắp xếp tuân thủ được thiết lập như thế nào, trách nhiệm và trách nhiệm giải trình cuối cùng để đảm bảo tuân thủ các luật và quy định hiện hành thuộc về chủ sở hữu duy nhất, các đối tác, người quản lý hoặc giám đốc và CEO của người nộp đơn.
- 3.2.7 Quản lý rủi ro công nghệ – Người nộp đơn phải thực hiện một bài kiểm tra thâm nhập đối với các dịch vụ token kỹ thuật số được đề xuất, khắc phục tất cả các phát hiện có rủi ro cao được xác định và tiến hành xác minh độc lập về tính hiệu quả của các hành động khắc phục. Điều này không cần phải hoàn thành trước khi nộp đơn nhưng phải được hoàn thành trước khi giấy phép được cấp.
- 3.2.8 Sắp xếp Kiểm toán – Người nộp đơn phải có kế hoạch về các sắp xếp kiểm toán độc lập đầy đủ để thường xuyên đánh giá sự đầy đủ và hiệu quả của các thủ tục, kiểm soát và việc tuân thủ các yêu cầu pháp lý của họ. Các sắp xếp kiểm toán nên tương xứng với quy mô, bản chất và mức độ phức tạp của hoạt động của họ. Việc kiểm toán có thể được thực hiện bởi một chức năng kiểm toán nội bộ trong nội bộ người nộp đơn, một nhóm kiểm toán nội bộ độc lập từ trụ sở chính của người nộp đơn, hoặc được thuê ngoài cho một nhà cung cấp dịch vụ bên thứ ba.
- 3.2.9 Yêu cầu Kiểm toán Hàng năm – Người nộp đơn phải có kế hoạch để đáp ứng các yêu cầu kiểm toán hàng năm được quy định trong điều 158 của Đạo luật FSM. Kiểm toán viên phải được chỉ định với chi phí của người nộp đơn để thực hiện kiểm toán các tài khoản và giao dịch, và việc tuân thủ các quy định và yêu cầu liên quan của họ.
- 3.2.10 Thư Trách nhiệm và/hoặc Thư Cam kết – Khi thích hợp, MAS có thể yêu cầu người nộp đơn cung cấp Thư Trách nhiệm và/hoặc Thư Cam kết từ các cổ đông đa số, công ty mẹ và/hoặc công ty liên quan của người nộp đơn. Mẫu sẽ được MAS cung cấp nếu đơn đăng ký được chấp thuận.
- Các Yếu tố Khác – MAS cũng có thể xem xét các yếu tố như:
  - 3.2.11 Hồ sơ và tình hình tài chính của người nộp đơn, công ty mẹ hoặc các tập đoàn liên quan, nếu có;
  - 3.2.12 Sự sẵn sàng hoạt động của người nộp đơn, bao gồm khả năng tuân thủ các yêu cầu pháp lý;
  - 3.2.13 Liệu người nộp đơn đã chứng minh nhận thức đầy đủ về các rủi ro chính liên quan đến các hoạt động kinh doanh của mình và đã xác định, đánh giá và giảm thiểu các rủi ro liên quan một cách đầy đủ hay chưa; và
  - 3.2.14 Liệu lợi ích công cộng có được phục vụ bằng việc cấp giấy phép hay không.
- 3.3. MAS xem xét từng hồ sơ trên cơ sở ưu điểm riêng của nó và có thể tính đến các yếu tố khác trên cơ sở từng trường hợp cụ thể. Các tiêu chí và cân nhắc được liệt kê ở trên không có nghĩa là đầy đủ; MAS có thể áp đặt các điều kiện hoặc yêu cầu bổ sung để giải quyết các rủi ro duy nhất do người nộp đơn gây ra.
TRANG 7
- 3.4. Người nộp đơn phải nộp một đơn trong Mẫu 1. Tất cả người nộp đơn và người được cấp phép đều phải trả các khoản phí liên quan được quy định trong Phụ lục của Quy định FSM. Vui lòng tham khảo Phụ lục 4 để biết thêm thông tin về các khoản phí. Người nộp đơn cũng nên tham khảo Phụ lục 5 để biết thêm thông tin về các quy tắc tham gia cho quy trình xem xét hồ sơ.
4. Yêu cầu nộp đơn xin cấp phép
- 4.1. Các người nộp đơn đã đánh giá rằng họ có thể đáp ứng các tiêu chí được chấp thuận nên tham khảo Phụ lục 3 để biết hướng dẫn về thông tin cần thiết như một phần của hồ sơ xin cấp phép.
Ý kiến Pháp lý cho Hồ sơ Xin Cấp phép Mới
- 4.1.1 Các người nộp đơn mới xin giấy phép DTSP sẽ cần phải nộp một ý kiến pháp lý từ một công ty luật uy tín cùng với hồ sơ của họ. Ý kiến pháp lý nên bao gồm một bản tóm tắt rõ ràng và súc tích về mô hình kinh doanh của người nộp đơn và một đánh giá về việc liệu các dịch vụ và/hoặc sản phẩm được đề xuất của người nộp đơn có phải là các dịch vụ token kỹ thuật số được quy định theo Đạo luật FSM hay không.
- 4.1.2 Trong mọi trường hợp, MAS bảo lưu quyền yêu cầu một ý kiến pháp lý thứ hai nếu ý kiến pháp lý ban đầu không rõ ràng.
Đánh giá Độc lập của Kiểm toán viên Bên ngoài
- 4.1.3 Khi được cấp phê duyệt về nguyên tắc (“IPA”), người nộp đơn sẽ được yêu cầu chỉ định một Kiểm toán viên Bên ngoài độc lập có trình độ để thực hiện một đánh giá độc lập về các chính sách, thủ tục và kiểm soát của mình trong các lĩnh vực rủi ro Công nghệ và An ninh mạng³.
TRANG 8
- 5. Các yêu cầu liên tục đối với Người được cấp phép
- 5.1. Người được cấp phép phải tuân thủ, trên cơ sở liên tục, tất cả các yêu cầu hiện hành được quy định theo Đạo luật FSM, cũng như các luật liên quan khác. Người được cấp phép được mong đợi sẽ thiết lập các quy trình, hệ thống, chính sách và thủ tục để đảm bảo rằng họ thực hiện tất cả các nghĩa vụ liên tục, bao gồm các hồ sơ và thông báo cho MAS khi cần thiết. Một số yêu cầu này được tóm tắt dưới đây. Xin lưu ý rằng danh sách này không đầy đủ và người được cấp phép nên cập nhật các phát triển pháp lý và có thể tham khảo trang web của MAS để biết các yêu cầu mới nhất.
- 5.2 Yêu cầu Chống Rửa tiền và Chống Tài trợ Khủng bố (“AML/CFT”) – Người được cấp phép phải tuân thủ các yêu cầu AML/CFT được quy định trong Quy định Dịch vụ và Thị trường Tài chính (bao gồm các quy định về trừng phạt tài chính có mục tiêu), Đạo luật Khủng bố (Ngăn chặn Tài trợ) 2002, Đạo luật Tội phạm Buôn bán Ma túy, Buôn người và các Tội phạm Nghiêm trọng Khác (Tịch thu Lợi ích) 1992, Thông báo về Phòng chống Rửa tiền và Chống Tài trợ Khủng bố [FSM-N27] và Thông báo về Báo cáo Hoạt động Đáng ngờ & Sự cố Gian lận [FSM-N28]. Người được cấp phép cũng nên tham khảo Hướng dẫn về Thông báo FSM-N27 để biết hướng dẫn về các yêu cầu AML/CFT của họ.
- 5.3 Báo cáo Định kỳ – Người được cấp phép phải nộp các báo cáo pháp lý định kỳ liên quan đến các hoạt động token kỹ thuật số của mình, phù hợp với Quy định FSM. Các yêu cầu được quy định trong Thông báo về Nộp Báo cáo Pháp lý [FSM-N29].
- 5.4 Vệ sinh Mạng – Người được cấp phép phải tuân thủ các yêu cầu về vệ sinh mạng được quy định trong Thông báo về Vệ sinh Mạng [FSM-N31] và thiết lập các biện pháp bảo vệ thích hợp để bảo vệ thông tin khách hàng.
- 5.5 Quản lý Rủi ro Công nghệ – Người được cấp phép phải tuân thủ Thông báo về Quản lý Rủi ro Công nghệ [FSM-N30] và tham khảo Hướng dẫn về Các Thực hành Quản lý Rủi ro – Rủi ro Công nghệ để biết hướng dẫn về các yêu cầu quản lý rủi ro công nghệ.
- 5.6 Hành vi Kinh doanh – Người được cấp phép phải tuân thủ các yêu cầu về hành vi kinh doanh trong Đạo luật FSM, Quy định FSM và Thông báo về Hành vi [FSM-N32]. Các nghĩa vụ này bao gồm ghi chép giao dịch, phát hành biên lai, hiển thị tỷ giá hối đoái và phí, và thông báo giờ làm việc bình thường. Người được cấp phép cũng phải đảm bảo rằng họ tuân thủ tất cả các lệnh cấm và hạn chế, bao gồm các hoạt động kinh doanh bị cấm.
- 5.7 Công bố và Giao tiếp – Người được cấp phép phải đưa ra tuyên bố chính xác về phạm vi giấy phép của mình và cung cấp các công bố được quy định trong Thông báo về Công bố và Giao tiếp [FSM-N33] khi áp dụng cho hoạt động kinh doanh của mình. Người được cấp phép cũng nên đảm bảo rằng khách hàng nhận được các cập nhật kịp thời về bất kỳ thay đổi quan trọng nào đối với các công bố.
- 5.8 Yêu cầu Kiểm toán Hàng năm – Người được cấp phép phải, trên cơ sở hàng năm, chỉ định một kiểm toán viên để thực hiện kiểm toán các tài khoản và giao dịch, và việc tuân thủ các quy định và yêu cầu. Người được cấp phép phải đảm bảo rằng kiểm toán viên nộp một báo cáo cho MAS trong Mẫu 3.
TRANG 9
- Phụ lục 1
- A1 Yêu cầu về Quản trị và Quyền sở hữu
- Bảng A1 – Yêu cầu về Quản trị/Quyền sở hữu đối với Người được cấp phép
  - Loại hình pháp nhân | Yêu cầu về Quản trị/Quyền sở hữu
  - Cá nhân | Không áp dụng.
  - Công ty hợp danh hoặc Công ty hợp danh trách nhiệm hữu hạn (LLP) | Ít nhất một đối tác hoặc người quản lý phải là cư dân Singapore.
  - Tập đoàn | Ít nhất một giám đốc điều hành phải là cư dân Singapore.
TRANG 10
- Phụ lục 2
- A2 Sắp xếp Tuân thủ Tối thiểu
- Người nộp đơn nên đảm bảo rằng họ có các sắp xếp tuân thủ hiệu quả và các nguồn lực tuân thủ đầy đủ, tương xứng với quy mô, bản chất và mức độ phức tạp của hoạt động của họ.
- Điều này có thể dưới dạng:
  - Một chức năng tuân thủ độc lập – Người nộp đơn nên thiết lập một chức năng tuân thủ độc lập tại Singapore với nhân viên có trình độ phù hợp trong các lĩnh vực liên quan đến hoạt động kinh doanh của họ. Nhân viên tuân thủ có thể thực hiện các vai trò không xung đột và bổ sung khác như vai trò của một cố vấn pháp lý nội bộ.
  - Hỗ trợ tuân thủ từ công ty mẹ hoặc pháp nhân liên quan ở nước ngoài – Người nộp đơn có thể nhận được hỗ trợ tuân thủ từ một đội ngũ tuân thủ độc lập và chuyên trách tại công ty mẹ của họ, hoặc tại một pháp nhân liên quan ở nước ngoài, miễn là họ có thể chứng minh rằng có sự giám sát đầy đủ bởi cán bộ tuân thủ, chủ sở hữu duy nhất, các đối tác, người quản lý hoặc giám đốc và CEO và các quản lý cấp cao khác của người nộp đơn.
- Người nộp đơn cũng phải phát triển các sắp xếp quản lý tuân thủ thích hợp, bao gồm ít nhất, việc chỉ định một cán bộ tuân thủ có trình độ phù hợp ở cấp quản lý. Cá nhân này nên có trụ sở tại Singapore. Cá nhân này nên có đủ chuyên môn trong các lĩnh vực liên quan đến hoạt động kinh doanh, và quyền hạn để giám sát chức năng tuân thủ của người nộp đơn, mặc dù anh ta có thể được hỗ trợ bởi các nhân viên khác trong các hoạt động hàng ngày.
- Người nộp đơn cũng nên thiết lập cấu trúc quản trị phù hợp để giám sát các vấn đề về tuân thủ và AML/CFT (bao gồm cả những vấn đề liên quan đến trừng phạt tài chính có mục tiêu). Tùy thuộc vào quy mô của doanh nghiệp và cấu trúc nhóm của nó, người nộp đơn có thể xem xét việc để cán bộ tuân thủ thường xuyên báo cáo các vấn đề về tuân thủ và AML/CFT cho hội đồng quản trị hoặc một ủy ban hội đồng quản trị và để đưa ra quyết định về các vấn đề nằm ngoài thẩm quyền của cán bộ tuân thủ.
- Người nộp đơn nên lưu ý rằng bất kể sự sắp xếp nào được chọn, chủ sở hữu duy nhất, các đối tác, người quản lý hoặc giám đốc và CEO của người nộp đơn cuối cùng phải chịu trách nhiệm về tất cả các vấn đề tuân thủ và pháp lý và phải duy trì sự giám sát đầy đủ đối với các sắp xếp đó.
- Theo đó, quản lý cấp cao và cán bộ tuân thủ của người nộp đơn được mong đợi có thể chứng minh sự hiểu biết đầy đủ của họ về các rủi ro tuân thủ và ML/FT mà người nộp đơn phải đối mặt liên quan đến các hoạt động kinh doanh của mình và các biện pháp mà họ đã thiết lập để quản lý rủi ro một cách hiệu quả.
TRANG 11
- Phụ lục 3
- A3 Hướng dẫn về Thông tin cần thiết cho Hồ sơ Xin Cấp phép
- Người nộp đơn nên đảm bảo rằng họ đáp ứng đầy đủ các tiêu chí được chấp thuận, và đã đảm bảo rằng hồ sơ là đầy đủ, không có lỗi và mâu thuẫn, và được đính kèm các tài liệu hỗ trợ cần thiết được nêu trong mẫu đơn.
- Thông tin Cần thiết trong Kế hoạch Kinh doanh Đề xuất
- Đặc biệt, nó nên bao gồm các thông tin sau đây trong kế hoạch kinh doanh được đề xuất:
  - Người nộp đơn nên cung cấp một mô tả rõ ràng về mô hình kinh doanh và kế hoạch của mình, được hỗ trợ bởi kinh nghiệm và chuyên môn chuyên nghiệp của đội ngũ quản lý được đề xuất. Kế hoạch kinh doanh nên minh họa việc tuân thủ Đạo luật FSM và luật con liên quan, và bao gồm thông tin dưới đây:
  - Các khu vực pháp lý được phục vụ, bao gồm bằng chứng rằng người nộp đơn được cấp phép hoạt động tại và được giám sát về việc tuân thủ các tiêu chuẩn được quốc tế thống nhất có liên quan, chẳng hạn như các tiêu chuẩn do Hội đồng Ổn định Tài chính, Tổ chức Quốc tế của các Ủy ban Chứng khoán và FATF thiết lập bởi tất cả các cơ quan giám sát liên quan tại các khu vực pháp lý nơi họ cung cấp dịch vụ token kỹ thuật số.
  - Hồ sơ của đối tượng khách hàng mục tiêu.
  - Các sản phẩm và dịch vụ được đề xuất. Người nộp đơn nên chỉ ra rõ ràng đánh giá của mình về dịch vụ token kỹ thuật số nào sẽ được thực hiện ở mỗi giai đoạn của quá trình giao dịch. Khi người nộp đơn có ý định cung cấp nhiều hơn một loại dịch vụ token kỹ thuật số, người nộp đơn nên cung cấp một đánh giá riêng cho mỗi loại dịch vụ token kỹ thuật số.
  - Lý do tại sao họ không có ý định thực hiện hoạt động kinh doanh cung cấp dịch vụ token kỹ thuật số tại Singapore mặc dù hoạt động tại hoặc được thành lập hoặc hợp nhất tại Singapore.
  - Kế hoạch luân chuyển vốn và các kênh chi tiết, bao gồm các sơ đồ luân chuyển giao dịch và/hoặc quy trình. Nếu có nhiều hơn một sản phẩm hoặc dịch vụ, hoặc nhiều hơn một loại luân chuyển giao dịch và/hoặc quy trình, một sơ đồ nên được cung cấp cho mỗi luân chuyển.
- Các sơ đồ nên:
  - Mô tả từ đầu đến cuối một giao dịch điển hình, bắt đầu từ các nguồn vốn mà người nộp đơn sẽ chấp nhận (ví dụ: chuyển khoản ngân hàng, tiền mặt, thẻ) cho đến khi nghĩa vụ đối với khách hàng được thực hiện đầy đủ.
  - Minh họa cả sự tương tác giữa khách hàng và người nộp đơn và luân chuyển vốn.
  - Có các mốc thời gian được chỉ định, bao gồm các thỏa thuận mức độ dịch vụ với các bên thứ ba, và chu kỳ thanh toán và quyết toán, nếu có.
TRANG 12
- Tên tài liệu: Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số
- Số trang: 18
- Tiếp tục các sơ đồ nên:
  - Làm nổi bật nơi nó sử dụng công nghệ đổi mới (ví dụ: sử dụng hoặc cung cấp các token kỹ thuật số, công nghệ sổ cái phân tán) hoặc một cách thức cung cấp sản phẩm hoặc dịch vụ khác so với cách thường thấy trên thị trường.
  - Bao gồm tất cả các bên thứ ba liên quan (ví dụ: các nhà cung cấp dịch vụ token kỹ thuật số khác, các đối tác ngân hàng, các bên trung gian, các đại lý khác) và thể hiện vai trò của họ trong quy trình.
- Các kế hoạch triển khai, bao gồm thời gian dự kiến cho việc ra mắt kinh doanh/sản phẩm, cũng như các hệ thống, quy trình và các bên thứ ba sẽ đóng vai trò chủ chốt trong hoạt động của nó.
- Liệu các dịch vụ token kỹ thuật số có phải là ngẫu nhiên, hoặc được gộp với, bất kỳ sản phẩm hoặc dịch vụ nào khác được cung cấp bởi người nộp đơn hay không.
- Mô tả ngắn gọn về bất kỳ hoạt động nào khác được MAS quy định mà nó thực hiện hoặc có ý định thực hiện (ví dụ: tư vấn tài chính, giao dịch chứng khoán, v.v.).
- Mô tả ngắn gọn về bất kỳ hoạt động nào được miễn trừ và không được quy định mà nó hiện đang thực hiện hoặc có ý định thực hiện.
- Đối với những người nộp đơn là một phần của một tập đoàn dịch vụ token kỹ thuật số toàn cầu:
  - Vai trò của người nộp đơn trong tập đoàn, bao gồm các chức năng hoặc dịch vụ mà nó sẽ nhận và/hoặc cung cấp cho các tập đoàn liên quan trong tập đoàn, nếu có. Khi có sẵn, người nộp đơn nên cung cấp một ước tính về mức độ nguồn lực (về số lượng nhân viên và thời gian dành ra) trong các tập đoàn liên quan khác sẽ hỗ trợ các hoạt động tại Singapore.
  - Xác nhận rằng tất cả các pháp nhân của nó được cấp phép/đăng ký đầy đủ, với các chi tiết cấp phép/đăng ký của mỗi pháp nhân. Người nộp đơn nên cung cấp bản sao giấy phép/chứng nhận đăng ký hoặc thông tin về tình trạng cấp phép/đăng ký của nó trên các trang web của cơ quan quản lý. Người nộp đơn nên công bố bất kỳ hành động/điều tra thực thi pháp lý nào mà bất kỳ pháp nhân nào của nó có thể đã tham gia.
- Đánh giá rủi ro toàn diện của tất cả các token kỹ thuật số và dịch vụ token kỹ thuật số (ví dụ: nền tảng trao đổi, lưu ký) mà họ có ý định hỗ trợ hoặc cung cấp, bao gồm quy trình quản trị niêm yết token của họ. Người nộp đơn nên cung cấp một danh sách đầy đủ các token kỹ thuật số được hỗ trợ và chỉ ra đánh giá của mình về bản chất của token theo khung pháp lý của MAS (ví dụ: nếu nó là một token chứng khoán hoặc một token thanh toán).
- Thông tin về các biện pháp tiếp cận khách hàng và các biện pháp hành vi kinh doanh được thiết lập để duy trì quyền truy cập và kiểm soát hoạt động đối với các token kỹ thuật số của khách hàng tại Singapore, đối chiếu hàng ngày các tài khoản của khách hàng và cung cấp báo cáo tài khoản hàng tháng cho khách hàng, các kiểm soát quản lý rủi ro (kiểm soát việc di chuyển tài sản của khách hàng), công bố cho khách hàng.
- Ý kiến pháp lý
- Người nộp đơn được yêu cầu cung cấp một ý kiến pháp lý từ một công ty luật uy tín về các dịch vụ token kỹ thuật số được quy định sẽ được cung cấp dựa trên mô hình kinh doanh được đề xuất của người nộp đơn.
TRANG 13
- Tên tài liệu: Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số
- Số trang: 19
- Ý kiến pháp lý nên bao gồm (nhưng không giới hạn ở) những điều sau đây:
  - Một bản tóm tắt rõ ràng và súc tích về mô hình kinh doanh của người nộp đơn, cũng như mỗi dịch vụ và sản phẩm mà người nộp đơn có ý định cung cấp (bao gồm luân chuyển tài sản/vốn và các bên liên quan cho mỗi dịch vụ/sản phẩm nếu có).
  - Một đánh giá về việc liệu các dịch vụ hoặc sản phẩm được đề xuất có phải là các dịch vụ token kỹ thuật số được quy định theo Đạo luật FSM hay không. Đánh giá nên bao gồm một phân tích chi tiết và toàn diện về cách mỗi dịch vụ token kỹ thuật số được quy định có hoặc không áp dụng cho mỗi dịch vụ hoặc sản phẩm được đề xuất. Đánh giá cũng nên xem xét tất cả các Luật, Thông báo, Hướng dẫn, Thông tư và Câu hỏi thường gặp có liên quan.
  - Nếu bất kỳ dịch vụ hoặc sản phẩm nào được đề xuất được đánh giá là được miễn trừ hoặc loại trừ khỏi quy định, một giải thích chi tiết về cách miễn trừ hoặc loại trừ có liên quan được áp dụng.
  - Một sự thừa nhận rằng ý kiến pháp lý sẽ được công bố cho Cơ quan chức năng.
- Thông tin Cần thiết về Tuân thủ, Quản lý Rủi ro, Hệ thống & Kiểm soát
- Quản lý rủi ro công nghệ
- Người nộp đơn nên trình bày khung của mình để đánh giá và quản lý rủi ro công nghệ, và thực hiện các biện pháp để bảo vệ dữ liệu khách hàng, giao dịch và hệ thống tương xứng với mức độ rủi ro và mức độ phức tạp của các dịch vụ tài chính được cung cấp và các công nghệ hỗ trợ các dịch vụ đó. Người nộp đơn nên tham khảo Thông báo về Quản lý Rủi ro Công nghệ [FSM-N30], Thông báo về Vệ sinh Mạng [FSM-N31], và Hướng dẫn về Các Thực hành Quản lý Rủi ro – Rủi ro Công nghệ để biết hướng dẫn về các nguyên tắc quản lý rủi ro CNTT và các kỳ vọng giám sát.
- Tuân thủ và kiểm toán
- Người nộp đơn nên cung cấp các thông tin và tài liệu sau đây phù hợp với bản chất của mô hình kinh doanh được đề xuất:
  - Các chính sách và thủ tục AML/CFT chứng minh sự tuân thủ Thông báo MAS FSM-N27, cũng như các yêu cầu trừng phạt tài chính có mục tiêu liên quan. Điều này nên bao gồm khung để đánh giá và duy trì sự giám sát đối với các đại lý và các đối tác bên thứ ba (địa phương và nước ngoài).
  - Đánh giá rủi ro rửa tiền/tài trợ khủng bố/tài trợ phổ biến vũ khí hủy diệt hàng loạt toàn doanh nghiệp (“EWRA”). Người nộp đơn cũng nên bao gồm một đánh giá về rủi ro trốn thuế trong EWRA.
  - Các sắp xếp quản trị, leo thang và báo cáo AML/CFT. Điều này nên bao gồm các chi tiết về sự tham gia của chủ sở hữu duy nhất, các đối tác, người quản lý hoặc giám đốc và CEO và các quản lý cấp cao khác trong việc giám sát và giải quyết các vấn đề AML/CFT có thể phát sinh trong quá trình kinh doanh của người được cấp phép.
  - Các kế hoạch triển khai các sắp xếp quản lý tuân thủ, bao gồm các quy trình đã được triển khai và các hệ thống sẽ được sử dụng.
TRANG 14
- Tên tài liệu: Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số
- Số trang: 20
- Tiếp tục các thông tin và tài liệu cần thiết:
  - Tên và Sơ yếu lý lịch (“CV”) của cán bộ tuân thủ, bao gồm chi tiết về bất kỳ chứng nhận tuân thủ chính thức nào, ví dụ: chứng nhận ACAMS, IBF.
  - Sắp xếp nhân sự và các tuyến báo cáo cho chức năng tuân thủ nếu nó chưa được cung cấp như một phần của sơ đồ tổ chức. Điều này nên bao gồm các chi tiết về tất cả các chức năng tuân thủ được thuê ngoài, bao gồm nơi nhà cung cấp và đội ngũ được thuê ngoài đặt, mối quan hệ giữa người nộp đơn và nhà cung cấp được thuê ngoài (ví dụ: nhà cung cấp, công ty mẹ), tình trạng cấp phép/đăng ký của nhà cung cấp được thuê ngoài, và các sắp xếp giám sát.
  - Các sắp xếp kiểm toán nội bộ và bên ngoài.
- Sơ đồ Cổ phần
  - Người nộp đơn nên cung cấp sơ đồ cổ phần hoàn chỉnh (lên đến (các) người kiểm soát cuối cùng) là (các) cá nhân tự nhiên.
  - Nếu người nộp đơn không có bất kỳ người kiểm soát 20% nào, người nộp đơn sẽ phải cung cấp một xác nhận bằng văn bản.
TRANG 15
- Phụ lục 4
- A4 Phí Cấp phép Hàng năm
- Theo điều 140 của Đạo luật FSM, phí cấp phép phải được trả hàng năm, như được quy định trong Phụ lục của Quy định FSM. Tất cả các khoản phí cấp phép đã thanh toán đều không được hoàn lại.
- Người được cấp phép nên có một thỏa thuận GIRO với MAS để thanh toán phí cấp phép hàng năm. Người được cấp phép nên đảm bảo rằng các chi tiết thỏa thuận GIRO của mình được cập nhật và có đủ tiền trong tài khoản ngân hàng vào ngày khấu trừ được nêu trên phiếu tư vấn phí.
- Phí cấp phép theo tỷ lệ cho những người giữ giấy phép mới
- Đối với những người được cấp phép mới không được cấp phép vào ngày 1 tháng 1 của năm, phí cấp phép phải trả cho năm dương lịch đầu tiên được cấp phép được tính dựa trên số tiền theo tỷ lệ của phí cấp phép cố định hàng năm cho giai đoạn từ ngày cấp giấy phép đến ngày 31 tháng 12 của cùng năm. Ví dụ 1 cho thấy cách tính phí cấp phép của năm đầu tiên.
- Ví dụ 1
- Một công ty được cấp giấy phép DTSP vào ngày 1 tháng 12 năm 2025.
- Ngày cấp giấy phép: 1 tháng 12 năm 2025
- Phí theo tỷ lệ phải trả cho năm dương lịch đầu tiên (cho giai đoạn từ 1 tháng 12 năm 2025 – 31 tháng 12 năm 2025 tức là 31 ngày): (31/365) * $10,000 = $849.32
- Phí cấp phép hàng năm phải trả cho các năm dương lịch tiếp theo: $10,000
TRANG 16
- Phụ lục 5
- A5 Quy tắc Tham gia cho Quy trình Xem xét Hồ sơ
- Đánh giá Ban đầu và Yêu cầu Thông tin
- Quy trình xem xét một hồ sơ bắt đầu khi một cán bộ phụ trách được chỉ định và sau khi nộp đầy đủ tất cả thông tin và tài liệu theo yêu cầu. Tùy thuộc vào số lượng hồ sơ nhận được, việc chỉ định vụ việc có thể không diễn ra ngay lập tức khi MAS nhận được một hồ sơ. Sau khi chỉ định vụ việc, cán bộ phụ trách sẽ liên hệ với người nộp đơn để thông báo cho người nộp đơn về các bước tiếp theo cần thiết, có thể bao gồm một cuộc họp mở đầu.
- Cán bộ phụ trách sẽ kiểm tra bộ tài liệu đầy đủ đã nộp, và điều này thường tạo thành vòng yêu cầu thông tin ban đầu mà người nộp đơn sẽ nhận được. Cán bộ phụ trách cũng sẽ thực hiện một đánh giá ban đầu về mô hình kinh doanh của người nộp đơn. Trong quá trình xem xét, có thể có nhiều vòng yêu cầu thông tin và làm rõ, tùy thuộc vào sự đầy đủ của các phản hồi được nộp bởi người nộp đơn.
- Người nộp đơn nên luôn đảm bảo rằng hồ sơ đáp ứng các tiêu chí được chấp thuận như được quy định trong Hướng dẫn này, và chứa thông tin cần thiết như được yêu cầu trong Phụ lục 3 của Hướng dẫn này trước khi nộp hồ sơ. Khi các hồ sơ được đánh giá là thiếu sót nghiêm trọng hoặc thiếu hụt đáng kể, MAS bảo lưu quyền từ chối hồ sơ.
- Người nộp đơn cũng được mong đợi có một người liên hệ sẵn sàng mọi lúc để theo dõi các yêu cầu thông tin này và cung cấp một phản hồi đầy đủ một cách kịp thời. Nếu có bất kỳ thay đổi nào đối với người liên hệ, người nộp đơn được mong đợi sẽ thông báo cho MAS một cách kịp thời.
- Điều quan trọng là người nộp đơn phải chủ động và công bố đầy đủ tất cả thông tin quan trọng mà không có bất kỳ sự che giấu nào cho cán bộ phụ trách một cách kịp thời. Trong các tình huống mà người nộp đơn bị phát hiện đã cố ý che đậy, giấu giếm hoặc trì hoãn các công bố của họ cho MAS mà không có lý do chính đáng, những điều này sẽ được coi là những thiếu sót đáng kể. Người nộp đơn được nhắc nhở rằng họ phải sử dụng sự cẩn trọng hợp lý để đảm bảo rằng thông tin và tài liệu được cung cấp cho MAS không sai lệch hoặc gây hiểu lầm. Một cá nhân vi phạm điều 176(1) hoặc 176(3) của Đạo luật FSM có thể phạm tội và bị phạt tiền hoặc phạt tù khi bị kết tội.
- Tính kịp thời và Chất lượng của Phản hồi
- MAS thường cung cấp cho người nộp đơn một thời hạn để phản hồi các yêu cầu thông tin. Nếu người nộp đơn không phản hồi trong thời gian quy định, MAS sẽ coi hồ sơ đã bị rút lại. Nếu người nộp đơn yêu cầu thêm thời gian để chuẩn bị phản hồi, người nộp đơn nên thông báo cho cán bộ phụ trách trước.
- Người nộp đơn cũng phải cân bằng thời gian cần thiết để cung cấp một phản hồi đầy đủ và toàn diện với việc đưa ra một phản hồi vội vàng với hy vọng đẩy nhanh quá trình xem xét.
TRANG 17
- Tên tài liệu: Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số
- Số trang: 23
- Việc không cung cấp một phản hồi thỏa đáng và toàn diện sẽ được đánh giá là thiếu sót và sẽ dẫn đến việc xem xét hồ sơ một cách bất lợi.
- Phỏng vấn
- Cán bộ phụ trách thường sẽ sắp xếp một cuộc phỏng vấn với các nhân sự quản lý chủ chốt của người nộp đơn và/hoặc cán bộ tuân thủ. Tất cả các đại diện của người nộp đơn được mong đợi sẽ coi trọng các tương tác của họ với cán bộ phụ trách. Mục đích của cuộc phỏng vấn là để người nộp đơn giải thích cách họ dự định quản lý kinh doanh và rủi ro tuân thủ các yêu cầu pháp lý. Các nhà tư vấn, cố vấn pháp lý bên ngoài và các bên thứ ba khác không được phép tham dự cuộc phỏng vấn. Điều này là do người nộp đơn vẫn chịu trách nhiệm đáp ứng các nghĩa vụ pháp lý của mình, ngay cả khi họ thuê ngoài bất kỳ chức năng nào của mình.
- Các lý do tiềm năng để một cán bộ phụ trách hình thành một cơ sở hợp lý rằng người nộp đơn sẽ không thể thực hiện các nghĩa vụ của mình với tư cách là một pháp nhân được cấp phép một cách đầy đủ bao gồm, nhưng không giới hạn ở những điều sau đây:
  - Không có mặt trong cuộc phỏng vấn mà không có lý do chính đáng;
  - Không thể trả lời các câu hỏi một cách rõ ràng trong cuộc phỏng vấn; hoặc
  - Lăng mạ bằng lời nói cán bộ phụ trách.
- Nếu có những thay đổi quan trọng đối với hồ sơ sau cuộc phỏng vấn nhưng trước khi có kết quả hồ sơ, cán bộ phụ trách có thể sắp xếp (các) cuộc phỏng vấn bổ sung với người nộp đơn. Ví dụ về những thay đổi như vậy bao gồm bất kỳ thay đổi nào trong việc bổ nhiệm nhân sự chủ chốt của người nộp đơn, hoặc bất kỳ thay đổi nào trong mô hình kinh doanh của người nộp đơn.
- Quy trình Xem xét của MAS
- Các cán bộ phụ trách có nghĩa vụ thực hiện một đánh giá toàn diện các hồ sơ. Ngay cả ở giai đoạn nộp hồ sơ, mục tiêu của người nộp đơn là được cấp phép, và do đó phải chịu sự giám sát và giám sát liên tục, theo chế độ pháp lý. Cán bộ phụ trách sẽ xem xét hồ sơ trong bối cảnh này và mong đợi người nộp đơn cư xử như thể họ đã là một tổ chức tài chính được quy định. Những người nộp đơn không làm như vậy sẽ được đánh giá là có những thiếu sót tiềm ẩn đáng kể, có thể dẫn đến việc từ chối hồ sơ.
- Đưa Hồ sơ vào Trạng thái Tạm dừng
- Nếu có bất kỳ thay đổi nào đối với thông tin được cung cấp trong hồ sơ sau khi nộp, MAS nên được thông báo ngay lập tức. Trong trường hợp có những thay đổi đáng kể/chính đối với hồ sơ, người nộp đơn có thể muốn xem xét việc rút hồ sơ của mình và nộp lại sau khi các thay đổi đã được hoàn thành vì hồ sơ sẽ không sẵn sàng để xem xét cho đến lúc đó.
TRANG 18
- Tên tài liệu: Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số
- Số trang: 24
- MAS bảo lưu quyền đưa bất kỳ hồ sơ nào được đánh giá là không đủ sẵn sàng để xem xét vào trạng thái tạm dừng trong sáu tháng trong trường hợp người nộp đơn có tái cấu trúc công ty lớn, những thay đổi đáng kể đối với nhân sự quản lý chủ chốt410, hoặc những thay đổi quan trọng trong mô hình kinh doanh/hoạt động, tại bất kỳ thời điểm nào trong quá trình xem xét. Mặc dù những thay đổi đáng kể như vậy có thể không lường trước được từ phía người nộp đơn, thời gian tạm dừng cho phép các nguồn lực được chuyển hướng khỏi các hồ sơ không đầy đủ như vậy, để đảm bảo sự công bằng cho tất cả các người nộp đơn sẵn sàng khác trong hàng đợi.
- Trong thời gian tạm dừng này, trách nhiệm thuộc về người nộp đơn để đảm bảo giải quyết/hoàn thành kịp thời tất cả các thay đổi cần thiết và cung cấp cho MAS các tài liệu liên quan để được đánh giá vào cuối thời gian tạm dừng. Thời gian tạm dừng mặc định là sáu tháng và không thể gia hạn. Nếu thay đổi đáng kể không được hoàn thành trong thời gian tạm dừng, hồ sơ sẽ được đánh giá là không đủ sẵn sàng để xem xét và người nộp đơn nên xem xét việc rút hồ sơ.
- Rút hồ sơ
- Người nộp đơn có quyền rút hồ sơ của mình bất cứ lúc nào. Sau khi MAS xem xét, một người nộp đơn có những lo ngại cơ bản không thể được giải quyết đầy đủ trong một khung thời gian hợp lý, hoặc có hồ sơ đã được đánh giá là thiếu sót đáng kể, cũng có thể được đề xuất rút hồ sơ. Người nộp đơn nên nhận thức rằng nếu cán bộ phụ trách đã đưa ra một đánh giá như vậy, cán bộ phụ trách đã xác định rằng các người nộp đơn khác trong các vị trí tương tự đã không nhận được phê duyệt.
- Các kiểm soát mạnh mẽ được thiết lập để đảm bảo rằng các cán bộ phụ trách thực hiện một đánh giá công bằng, khách quan và có thể xác minh được. Mỗi hồ sơ và các tài liệu hỗ trợ của nó đều được xem xét kỹ lưỡng bởi một đội ngũ bao gồm cán bộ phụ trách, các cán bộ giám sát, cũng như bởi các cơ quan xem xét và phê duyệt. Do đó, người nộp đơn nên coi trọng quy trình xem xét và các kết quả của nó.
- Nếu người nộp đơn có ý định nộp lại hồ sơ, người nộp đơn cần phải đảm bảo rằng họ đã giải quyết đầy đủ tất cả các lo ngại và thiếu sót trước khi làm như vậy. Việc nộp lại một hồ sơ mà không khắc phục các lo ngại đã được MAS nêu ra trước đó có khả năng sẽ bị từ chối.
TRANG 19
- Phụ lục 6
- A6 Đánh giá Độc lập của Kiểm toán viên Bên ngoài
- A. Rủi ro Công nghệ & An ninh mạng: (Bắt buộc đối với người nộp đơn khi được cấp phê duyệt về nguyên tắc)
- 1) Tiêu chí đối với Kiểm toán viên Bên ngoài được chỉ định để Thực hiện Đánh giá Độc lập về Rủi ro Công nghệ và An ninh mạng
- Kiểm toán viên Bên ngoài được chỉ định bởi người nộp đơn để thực hiện đánh giá độc lập nên đáp ứng các tiêu chí sau:
- Tiêu chí | Yêu cầu Tối thiểu
- 1. Trình độ chuyên môn, bằng cấp và hồ sơ của Kiểm toán viên Bên ngoài và đối tác phụ trách/trưởng nhóm phụ trách
  - a) Kiểm toán viên Bên ngoài phải là một công ty, công ty hoặc công ty hợp danh trách nhiệm hữu hạn được phê duyệt hoặc được coi là được phê duyệt là một tập đoàn kế toán, công ty kế toán hoặc công ty hợp danh trách nhiệm hữu hạn kế toán, tương ứng, theo Đạo luật Kế toán viên 2004.
  - b) Kiểm toán viên Bên ngoài, cũng như đối tác phụ trách/trưởng nhóm phụ trách, phải đã thực hiện:
    - ít nhất một báo cáo liên quan đến một cuộc kiểm toán theo luật định theo các quy định của MAS trên một tổ chức tài chính được MAS quy định hoặc ủy quyền, hoặc
    - ít nhất một đánh giá/đánh giá độc lập trong lĩnh vực rủi ro công nghệ và an ninh mạng trên một tổ chức tài chính được MAS quy định hoặc ủy quyền.
- 1. Tính độc lập
  - a) Kiểm toán viên Bên ngoài phải độc lập với người nộp đơn, nhóm của nó hoặc các công ty trong nhóm.
  - b) Trong việc cung cấp các dịch vụ của mình cho mục đích thực hiện đánh giá độc lập cho người nộp đơn, Kiểm toán viên Bên ngoài phải tự đảm bảo rằng không có xung đột lợi ích nào phát sinh từ các mối quan hệ kinh doanh đang diễn ra của nó với người nộp đơn, nhóm của nó hoặc các công ty trong nhóm, cho đến khi kết thúc hợp đồng của nó.
- 2) Phạm vi Đánh giá
- Phần sau đây quy định các lĩnh vực Rủi ro Công nghệ và An ninh mạng cần được đánh giá bởi một Kiểm toán viên Bên ngoài Độc lập, sẽ được áp đặt như một điều kiện phê duyệt về nguyên tắc (IPA).
TRANG 20
- Tên tài liệu: Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số
- Số trang: 26
- I. Vệ sinh Mạng:
  - a. Cân nhắc mô hình kinh doanh, sản phẩm, dịch vụ, luân chuyển vốn và các kênh phân phối được đề xuất của người nộp đơn,
  - i. xác định bất kỳ khoảng trống nào so với các yêu cầu pháp lý liên quan được quy định trong Thông báo MAS FSM-N31 Vệ sinh Mạng; và
  - ii. làm nổi bật bất kỳ lĩnh vực cải tiến nào cần thiết để giảm thiểu rủi ro vệ sinh mạng.
- II. Ngăn chặn Mất mát Dữ liệu:
  - a. Xem xét và đánh giá IPPC được đề xuất của người nộp đơn về ngăn chặn mất mát dữ liệu trong các lĩnh vực sau:
  - i. Bảo vệ dữ liệu nhạy cảm (bao gồm dữ liệu khách hàng) trong quá trình truyền và lưu trữ;
  - ii. Phát hiện và ngăn chặn truy cập hoặc tiết lộ trái phép (bao gồm giao tiếp, chuyển giao và lưu trữ) dữ liệu nhạy cảm (bao gồm thông tin khách hàng); và
  - iii. Bảo vệ các khóa mật mã cho ví lưu ký.
  - b. Cân nhắc mô hình kinh doanh, sản phẩm, dịch vụ, luân chuyển vốn và các kênh phân phối được đề xuất của người nộp đơn,
  - iv. xác định bất kỳ khoảng trống nào so với các yêu cầu pháp lý quản lý rủi ro công nghệ hiện hành được quy định bao gồm nhưng không giới hạn ở Thông báo MAS FSM-N30 Thông báo về Quản lý Rủi ro Công nghệ và điều 11 của Hướng dẫn về Quản lý Rủi ro Công nghệ; và
  - v. làm nổi bật bất kỳ lĩnh vực cải tiến nào cần thiết để giảm thiểu rủi ro công nghệ do mô hình kinh doanh được đề xuất của nó gây ra.
- III. Kiểm tra Thâm nhập:
  - a. Xem xét và đánh giá IPPC được đề xuất của người nộp đơn về các hệ thống kiểm tra thâm nhập, bao gồm:
  - i. tần suất của việc kiểm tra thâm nhập được xác định dựa trên các yếu tố như tính quan trọng của hệ thống và mức độ tiếp xúc của hệ thống với các rủi ro mạng. Đối với các hệ thống có thể truy cập trực tiếp từ Internet, người nộp đơn nên tiến hành kiểm tra thâm nhập để xác minh sự đầy đủ của các kiểm soát an ninh ít nhất một lần hàng năm hoặc bất cứ khi nào các hệ thống này trải qua các thay đổi hoặc cập nhật lớn; và
  - ii. Thỏa thuận Mức độ Dịch vụ (“SLAs”) để khắc phục các phát hiện kiểm tra thâm nhập tương xứng với các mức độ rủi ro liên quan.
  - b. Xem xét và đánh giá liệu (các) bài kiểm tra thâm nhập đã được thực hiện (trong vòng 12 tháng qua) trên (các) dịch vụ tài chính trực tuyến được đề xuất của người nộp đơn có liên quan và đầy đủ để xác định các điểm yếu an ninh quan trọng hay không.
  - c. Cân nhắc mô hình kinh doanh, sản phẩm, dịch vụ, luân chuyển vốn và các kênh phân phối được đề xuất của người nộp đơn,
  - i. xác định bất kỳ khoảng trống nào so với các kỳ vọng pháp lý quản lý rủi ro công nghệ hiện hành được quy định bao gồm nhưng không giới hạn ở điều 13.2 của Hướng dẫn về Quản lý Rủi ro Công nghệ; và
TRANG 21
- Tên tài liệu: Hướng dẫn Cấp phép cho các Nhà Cung cấp Dịch vụ Token Kỹ thuật số
- Số trang: 27
- Tiếp tục các yêu cầu kiểm tra thâm nhập:
  - ii. làm nổi bật bất kỳ lĩnh vực cải tiến nào cần thiết để giảm thiểu rủi ro công nghệ do mô hình kinh doanh được đề xuất của nó gây ra.
- IV. Ví Kỹ thuật số và Hợp đồng Thông minh:
  - a. Xem xét IPPC được đề xuất của người nộp đơn và đánh giá liệu IPPC được đề xuất có bao gồm các kiểm soát sau đây tương xứng với mô hình kinh doanh, sản phẩm, dịch vụ, luân chuyển vốn và các kênh phân phối được đề xuất của người nộp đơn hay không:
  - i. Tuân thủ các nguyên tắc bảo mật theo thiết kế (bao gồm kiểm soát truy cập phù hợp, thử nghiệm kỹ lưỡng, cập nhật thường xuyên lên các phiên bản ổn định, phân tích mã tĩnh và động) trong suốt vòng đời phát triển hệ thống của nó cho (các) hệ thống và hợp đồng thông minh được đề xuất của nó, nếu có liên quan;
  - ii. Phát triển hợp đồng thông minh, bao gồm các kiểm soát để đảm bảo hợp đồng thông minh được an toàn khỏi các mối đe dọa và lỗ hổng mạng bằng cách có phát triển an toàn, DevSecOps và thử nghiệm, để ngăn chặn truy cập trái phép, vi phạm dữ liệu và khai thác các lỗ hổng bảo mật;
  - iii. Các kiểm soát để đảm bảo tính sẵn sàng cao của các hệ thống quan trọng, cũng như phục hồi hệ thống và các ưu tiên tiếp tục kinh doanh (bao gồm phân tích nguyên nhân gốc rễ và tác động) để đảm bảo chiến lược phục hồi nhanh chóng cho các hệ thống như vậy;
  - iv. Áp dụng các kỹ thuật, chẳng hạn như tính toán đa bên và sơ đồ chữ ký ngưỡng, để bảo vệ ví lưu ký;
  - v. Triển khai cách ly mạng giữa các hệ thống ví lưu ký và các hệ thống thông tin/Internet khác để ngăn chặn các kết nối trái phép; và
  - vi. Phân tách các thành phần khóa mật mã cho ví lưu ký để đảm bảo rằng không có cá nhân hoặc hệ thống đơn lẻ nào có quyền truy cập vào khóa hoàn chỉnh bất cứ lúc nào (tức là tuân thủ nguyên tắc “không bao giờ một mình” bằng cách yêu cầu ít nhất hai nhân sự được ủy quyền phối hợp và phê duyệt các hoạt động quản lý khóa).

Bản gốc: https://www.mas.gov.sg/-/media/guidelines-on-licensing-for-digital-token-service-providers.pdf