*本文由Beosin特邀作者廖望律師、顧劼寧律師共同完成。
為積極呼應2022 年10 月的《有關香港虛擬資產發展的政策宣言》，以推動香港發展成為國際虛擬資產中心，香港立法會於2022 年12 月7 日通過了《2022 年打擊洗錢及恐怖分子資金籌集條例》的最新修訂（《打擊洗錢條例》），這意味著香港全新的虛擬資產服務商發牌制度（VASP 制度）將於2023 年6 月1 日起正式實施。
2023 年2 月20 日，香港證監會（SFC）發布了《VASP 諮詢文件》，並於5 月23 日發布了《VASP 諮詢總結》，明確《適用於虛擬資產交易平台運營者的指引》（VASP 指引）將於2023 年6 月1 日正式生效。這標誌著港府通過半年多的籌劃，以對虛擬資產市場的開放態度，積極迎接全新的VASP 制度，屆時：
- 所有在香港經營業務或向香港投資者積極推廣其服務的中心化虛擬資產交易所，不論它們有否提供證券型代幣交易服務，都必須獲SFC 發牌並受其監管。
- SFC 將於下半年落實允許持牌虛擬資產交易所向零售投資者提供服務的事宜，但只有非證券且在傳統金融指數之一中具有高流動性的代幣可以向零售投資者提供。
- 對於穩定幣，將在2023/24 年落實穩定幣的監管安排，並建立針對穩定幣相關的活動持牌、許可製度。在穩定幣受到規管前，SFC 認為穩定幣不應納入以供零售買賣。
本文將從VASP 制度的修訂背景，什麼是虛擬資產及虛擬資產服務，VASP 牌照的申請要求，交易所的合規要求，雙重牌照制度，過渡期安排等方面幫助大家更好地理解即將於6 月1 號實施的香港虛擬資產VASP 發牌制度。
一、VASP 制度的修訂背景
SFC 在《VASP 諮詢文件》中，對建立全新VASP 制度的修訂背景進行了明確的闡述：在持續的加密寒冬中，崩盤事件接二連三地發生，致使虛擬資產市場的風險加劇，尤其是FTX 倒閉，令千萬投資者承受重大損失。目前虛擬資產市場與傳統金融市場日趨緊密而帶來的風險，凸顯了對虛擬資產行業施行有效監管重要性和必要性。全球主要司法轄區正將監管方針從寬鬆（即從打擊洗錢和支付的角度進行監管）轉變為較全面（即從投資者保障角度進行監管）。
SFC 領先於其他司法轄區，早在2018 年便逐步建立了一套針對證券型代幣虛擬資產的“自願發牌”制度，明確規定SFC 無權監管僅買賣非證券型虛擬資產或代幣的平台。在“自願發牌”制度下，如果是從事非證券型代幣的虛擬資產交易平台，是不需要持牌的。只有兩家虛擬資產交易所在“自願發牌”制度下獲得了交易所業務的牌照：BC 科技集團旗下的OSL Digital Securities Limited 以及HashKey Group 旗下的Hash Blockchain Limited 獲得1 號牌（證券交易）和7 號牌（提供自動化交易服務）。
時至今日，虛擬資產行業已經發生了巨大的轉變，原有的“自願發牌”制度已經不能覆蓋如今以零售投資者為主，以非證券型代幣為主要交易對象的市場。為了全面監管香港所有的中心化虛擬資產交易平台，並落實金融行動特別工作組（Financial Action Task Force on Money Laundering, FATF）的最新標準，港府通過修訂了《打擊洗錢條例》，並建立全新的VASP“強制發牌”制度，以期在投資者保護與市場發展之間達到更適宜的平衡。待VASP 制度正式實施後，所有在香港經營業務或向香港投資者積極推廣其服務的中心化虛擬資產交易所，不論它們有否提供證券型代幣交易服務，將需獲SFC 發牌並受其監管。
二、虛擬資產與虛擬資產服務
在VASP 制度“強制發牌”的背景下，理清什麼是虛擬資產，什麼是虛擬資產服務至關重要。
2.1 什麼是虛擬資產
根據《打擊洗錢條例》53 ZRA 及VASP 指引，虛擬資產（Virtual Asset，VA），被廣泛界定為：
符合以下說明的加密保護數字形式的價值表示：
以計算單位或經濟價值的儲存形式表述；
符合以下其中一項：
A. 作為或擬作為公眾接受的交易媒介，用於一個或多於一個以下目的：（I）為貨品或服務付款；(II) 清償債務；(III) 投資；或
B. 提供權利、資格或途徑，對以下事宜進行投票：任何加密保護數字形式價值的相關事務的管理、運作或管治，或任何適用於加密保護數字形式價值的安排的條款的改變；
可透過電子方式轉移、儲存或買賣；及
具備SFC 不時於憲報刊登公告訂明的其他特徵；
根據香港財經事務及庫務局以憲報刊登公告的形式訂明為虛擬資產的數字形式價值表示。
任何證券型代幣，指構成《證券及期貨條例》附表1 第1 部第1 條所界定的“證券”的加密保護數碼形式價值。
根據《打擊洗錢條例》53 ZRA，以下項目被排除在VA 的定義之外：
由中央銀行、執行中央銀行職能的實體發行，或由中央銀行授權的實體代中央銀行發行的數字貨幣（CBDC）；
有限用途數字代幣（在性質上不可轉讓、不可交換且不可替代，例如禮品卡、客戶忠誠度獎勵計劃和電子支付服務）；
儲值支付工具（受《支付系統及儲值支付工具條例》規管）；
證券或期貨合約（受《證券及期貨條例》監管）。
《打擊洗錢條例》關於VA 的定義將涵蓋市場上大部分的虛擬貨幣，包括BTC、ETH、穩定幣（Stablecoin）、實用型代幣（Utility Token）和治理代幣（Governance Token）等。對於穩定幣，SFC 在《諮詢總結》中也明確表示：香港金管局已於2023 年1 月發布了《加密資產和穩定幣討論文件的諮詢總結》，表示將在2023/24 年落實穩定幣的監管安排，將建立針對穩定幣相關的活動持牌、許可製度。在穩定幣受到規管前，SFC 認為穩定幣不應納入以供零售買賣。
NFT 的屬性與其背後的資產屬性掛鉤，目前暫未看到VASP 制度下的明確定義。 SFC 在2022 年6 月6 日發布提醒投資者註意NFT 風險時，就表示如果NFT 是收藏品（藝術品、音樂或影片）的真實數字表示，與其相關的活動不屬於SFC 的監管範圍。然而有些NFT 跨越了收藏品與金融資產之間的界限，可能具有《證券及期貨條例》監管的“證券”的屬性，因此將受到監管。
2.2 什麼是虛擬資產服務
根據《打擊洗錢條例》附表3 B 及VASP 指引，虛擬資產服務（VA Service）有關活動被定義為：經營虛擬資產交易所，即：
透過電子設施方式，提供符合以下說明的服務：
該項服務：
A. 買賣虛擬資產的要約，經常以某種方式被提出或接受，而以該種方式提出或接受該等要約，形成具約束力的交易，或導致具約束力的交易產生；或
B. 人與人之間經常互相介紹或辨識，以期洽商或完成虛擬資產的買賣，或經常在有他們將會以某種方式洽商或完成虛擬資產的買賣的合理期望的情況下互相介紹或辨識，而以該種方式洽商或完成該等買賣，形成具約束力的交易，或導致具約束力的交易產生；及
在該項服務中，客戶款項或客戶虛擬資產由提供該項服務的人直接或間接管有；及
平台運營者向其客戶提供的任何在平台以外進行的虛擬資產交易活動和附帶服務，及就在平台以外進行的虛擬資產交易活動而作出的任何活動。
因此，對於（1）在香港運營的中心化虛擬資產交易所，和（2）向香港投資者積極推廣其服務的離岸運營的中心化虛擬資產交易所，如從事上述相關活動，均屬於虛擬資產服務的範疇。根據《打擊洗錢條例》53 ZRD，任何經營虛擬資產服務的主體都必須獲得SFC 的VASP 牌照。
目前，除上述虛擬資產服務外，其他業務如做市商、自營交易、期貨合約及衍生品等均不得開展，但不排除後續香港財經事務及庫務局會通過以憲報刊登公告的形式納入其他虛擬資產服務。
三、VASP 牌照申請
在全新的VASP 制度下，由SFC 根據《打擊洗錢條例》和VASP 指引向申請人進行發牌和監管。申請VASP 牌照對公司及其人員有非常高的要求：
A. 公司：1. 有在香港成立的公司，且有固定的辦公地點；2. 需要設有不低於500 萬港元的註冊資本，流動資金需達到300 萬港元以上；3. 子公司或關聯公司須具有香港信託TCSP 牌照，用於虛擬資產託管。
B. 人員：1. VASP 的申請人、負責人員、持牌代表、董事及最終擁有人須符合SFC 的適當人選測試；2. 至少必須任命2 名有虛擬資產服務經驗的負責人員（RO），同時須滿足以下條件：至少一名RO 必須是VASP 的執行董事、至少一名RO 常居於香港、必須始終至少有一名RO 監督業務；3. 至少一位RO 持牌代表；4. 需要有虛擬資產業務經驗的審計師。
C. 合規要求：除滿足公司資質、公司人員要求外，同時還需要滿足虛擬資產交易業務展業評估報告、AML/CTF、客戶資產管理等一系列合規制度。根據VASP 指引細則，這些申請的細節要求還包括：適當人選的規定、勝任能力的規定、持續培訓的規定、業務操守原則、財務穩健性、虛擬資產在平台的運營、預防市場操縱及違規活動、與客戶進行交易、保護客戶資產、管理、監督及內部控制、網絡安全、避免利益衝突、保存記錄、核數師審計、持續匯報及通知責任等。
四、交易所的合規要求
根據VASP 指引，以及中心化虛擬資產交易所在運營時需要滿足以下合規要求：
A. 穩妥保管客戶資產
平台營運者應透過一家全資擁有的附屬公司（即“有聯繫實體”）以信託方式（TCSP 信託牌照）持有客戶款項及客戶虛擬資產。平台營運者應確保儲存在線上錢包內的客戶虛擬資產不多於2%。
此外，由於存取虛擬資產需透過利用私人密鑰方能進行，故保管虛擬資產基本上講求的是穩妥管理有關私人密鑰。平台營運者應在私人密鑰管理方面設立並實施書面內部政策及管治程序，藉以確保安全地產生、儲存及備份所有加密種子及密鑰。
另外，平台營運者不應存入、轉移、借出、質押、再質押或以其他方式買賣客戶虛擬資產，或就客戶虛擬資產產生任何產權負擔。其亦須備有保險，而其保障範圍應涵蓋保管客戶虛擬資產所涉及的風險。
B. 認識你的客戶（KYC）
平台營運者應採取一切合理步驟，以確立其每位客戶的真實和全部身份、財政狀況、投資經驗及投資目標。另外，平台營運者在向客戶提供任何服務前，須確保客戶對虛擬資產有充分認識（包括對所涉及的風險有所認識）。
C. 打擊洗錢/恐怖分子資金籌集
平台營運者應設立和實施充分及適當的打擊洗錢/恐怖分子資金籌集政策、程序和監控措施。平台營運者可運用虛擬資產追踪工具追索特定虛擬資產在區塊鏈上的記錄。
D. 預防利益衝突
平台營運者不應從事自營交易或自營的莊家活動，並且應設有用來管理內部員工就虛擬資產進行交易的政策，以消除、避免、管理或披露實際或潛在利益衝突。
E. 納入虛擬資產以供買賣
平台營運者應設立一項職能，負責訂立、實施及執行有關納入虛擬資產的準則，有關中止、暫停及撤銷虛擬資產買賣的準則，連同客戶可行使的選擇權。
此外，平台營運者在納入任何虛擬資產以供買賣之前，應先對該等虛擬資產進行合理的盡職審查，及確保該等虛擬資產繼續符合所有準則。
F. 預防市場操縱及違規活動
平台營運者應訂立和實施書面政策及監控措施，以識別、預防及匯報在其平台上出現的任何市場操縱或違規交易活動。有關監控措施應包括在發現操縱或違規活動後限製或暫停買賣。平台營運者應採用由信譽良好的獨立供應商所提供的有效市場監察系統，以識別、監察、偵測及預防該等操縱或違規交易活動，並向SFC 提供這個系統的接達權。
G. 會計及審計
平台營運者須以適當的技能、小心審慎和勤勉盡責的態度揀選核數師，並考慮他們為虛擬資產相關業務和平台營運者進行審計的經驗、往績紀錄及能力。此外，平台營運者應該在每個財政年度呈交核數師報告，當中應載有一項就有否出現違反適用監管規定的情況而作出的聲明。此外，SFC 還要求平台營運者應在每個歷月結束後兩個星期內及在SFC 提出要求時，就其業務活動每月向SFC 提供報告。
H. 風險管理
平台營運者應設立穩健的風險管理框架，使它們能夠識別、衡量、監察及管理因其業務及運作而引致的所有風險。平台營運者亦應要求客戶預先將資金注入其賬戶內，並且不得向客戶提供任何財務融通以購買虛擬資產。
五、雙重牌照制度
根據不同的監管授權，SFC 將根據《證券及期貨條例》，對虛擬資產交易所進行的證券型代幣交易作出監管（1 號牌+ 7 號牌）；同時亦會根據《打擊洗錢條例》，對虛擬資產交易所進行的非證券型代幣交易作出監管（VASP 牌照）。
考慮到虛擬資產的性質可能隨時間而演變，如從非證券型代幣轉變為證券型代幣，為避免違反任何發牌制度的規定的行為，虛擬資產交易所應同時根據《證券及期貨條例》及《打擊洗錢條例》向SFC 獲取雙重發牌及核准（即同時申請VASP 牌照及1 號牌，7 號牌）。
為簡化雙重牌照的申請程序，申請人如要同時根據《證券及期貨條例》下的現行製度及《打擊洗錢條例》下的虛擬資產服務提供者制度申領牌照，只需在網上提交一份綜合申請表格，並註明同時申領該兩項牌照即可。
SFC 預期，獲雙重發牌的平台營運者只需作出呈報一次，便足以符合《證券及期貨條例》下的現行製度及《打擊洗錢條例》下的虛擬資產服務提供者制度的發牌或通知規定。
六、過渡期安排
《打擊洗錢條例》對於“原有虛擬資產交易所”提供過渡安排，規定2024 年6 月1 日前為過渡期。針對2023 年6 月1 日前已於香港營運並設具有意義且實質的業務的交易所，包括（1）在《證券及期貨條例》項下已有或正在申請牌照的交易所，亦包括（2）在《證券及期貨條例》項下就非證券代幣開展業務的無牌交易所，方合資格參與過渡安排。
符合資格參與過渡安排的交易所必須符合《打擊洗錢條例》附表3 G 所載列條件，才可於2023 年6 月1 日至2024 年5 月31 日內繼續在香港營業，並將由2024 年6 月1 日起受限於VASP 的發牌制度。
如果該經營者在2023 年6 月1 日後的9 個月內向SFC 提出申請，並確認其將遵守SFC 制定的監管規定，則該經營者可被視為已獲發牌直至SFC 就其牌照申請作出決定，在此期間將能夠繼續提供服務，直到（i）第一個12 個月結束，(ii）撤回申請，(iii） SFC 拒絕申請，以及（iv） SFC 授予牌照，以較早者為準。
如果其虛擬資產服務商牌照申請被SFC 拒絕，則必須在收到拒絕通知後的3 個月內或2024 年6 月1 日前（以較晚者為準）終止其虛擬資產服務之業務。在此期間，經營者只可採取純粹為關閉其服務而作出的行動。經營者可向SFC 申請延長關閉期，延長期為SFC 在考慮到經營者的業務和活動的情況下認為適當的期限。
對於“非原有虛擬資產交易所”，且計劃在2023 年6 月1 日後在香港提供虛擬資產服務的，必須事先向SFC 申請並獲發VASP 牌照。
七、“監管套利”漸行漸遠
根據《打擊洗錢條例》，將對違法行為和不合規行為採取相關製裁措施，其中包括在未獲得許可的情況下提供虛擬資產服務，以及不符合AML/CTF 要求。此外，任何向香港公眾主動推銷服務的行為都將被視為提供虛擬資產服務，無論服務提供地點或服務提供方是否在香港。
2023 年6 月1 日之後，在沒有VASP 牌照的情況下經營提供虛擬資產服務屬於犯罪行為。若經循公訴程序定罪，可處罰款500 萬港元及7 年監禁，如屬持續的罪行，則可就罪行持續期間的每一日，另處罰款10 萬港元。若經循簡易程序定罪，可處罰款500 萬港元及2 年監禁，如屬持續的罪行，則可就罪行持續期間的每一日，另處罰款1 萬港元。
如不遵守法定的AML/CTF 規定，持牌服務商及其負責人員即屬犯罪，一經公訴罪名成立，每人可處罰款100 萬港元及2 年監禁。除刑事責任之外，他們還會受到SFC 的紀律處分，包括暫停或撤銷牌照、譴責、責令採取補救行動及罰款。
除此之外，虛擬資產交易所運營過程中的各種“失當行為”還可能面臨來自SFC 的紀律處分罰款。
相較於其他法域，尤其是東亞其他地區，香港之前對虛擬資產交易的監管環境可以說是非常寬鬆的。所以才會有大大小小、不計其數將總部或運營中心放在香港。然而，隨著“VASP 加密新政”的出台，香港與“監管套利”漸行漸遠。
八、結語
VASP 制度即將實施，無論是以下哪種情況：（1）已經在香港運營的虛擬資產交易所；（2）向香港投資者積極推廣其服務的離岸運營的虛擬資產交易所；（3）擬在香港運營虛擬資產交易所；還是（4）傳統金融機構擬涉獵虛擬資產交易所，VASP 牌照申請人都應提前為業務合規性及相關牌照申請做好準備。
VASP制度通過持牌交易所“引水入渠”是港府正在做的事情，在這個背景下KYC 以及反洗錢合規是重中之重。在第一步“引水入渠”之後，關於開放零售投資者的投資以及如何保護投資者的問題，我們將會在下半年看到一系列細則規定出台。欲戴王冠，必承其重，只有在滿足監管要求的基礎上，交易所們才能在參與這塊巨大蛋糕的分配，才能推動市場的長遠發展。
我們可以預見到“東昇西落”已成必然。在FTX 隕落及美國監管收緊、政治博弈的情況下，香港依託其自身傳統金融的基礎和完善的法治體系，以及前店後廠背靠大陸的夯實資源，必將重拾曾經“加密中心”的輝煌。
Beosin作為一家全球領先的區塊鏈安全公司，在全球10多個國家和地區設立了分部，業務涵蓋項目上線前的智能合約安全審計、項目運行時的安全風險監控、預警與阻斷、安全合規KYT/AML等“一站式”區塊鏈安全產品+服務，目前已為全球3,000多個區塊鏈企業提供安全技術服務，審計智能合約超過3,000份。 Beosin也提供上幣項目的安全評估以及提供符合各地監管要求的合規評估、VaaS自動化上幣審計服務、交易所滲透服務、交易所安全建設諮詢服務等安全解決方案。歡迎點擊公眾號留言框，與我們聯繫。
本文特邀作者介紹：
廖望，北京德恒（杭州）律師事務所律師，liaowang@dehenglaw.com，公眾號：Web3小律
顧劼寧，上海曼昆律師事務所資深法律顧問，gujiening@mankunlaw.com，公眾號：曼昆區塊鏈
參考資料：
https://www.elegislation.gov.hk/hk/cap571!zh-Hant-HK
https://www.sfc.hk/TC/Regulatory-functions/Intermediaries/Licensing/Do-you-need-a-licence-or-registration
https://apps.sfc.hk/edistributionWeb/API/consultation/openFile?lang=TC&refNo=23CP1
https://apps.sfc.hk/publicreg/Terms-and-Conditions-for-VATP_10Dec20.PDF
https://www.hkex.com.hk/-/media/HKEX-Market/News/Research-Reports/HKEx-Research-Papers/2023/CCEO_CryptoETF_202304_c.PDF
https://apps.sfc.hk/edistributionWeb/gateway/TC/news-and-announcements/news/doc?refNo=23PR53
