《荷兰 Netherlands（MiCA）加密资产服务提供商（CASP）牌照申请注册指南》

Netherlands (MiCA) Crypto Asset Service Provider (CASP) License Registration Guide

本文由 仁港永胜（香港）有限公司 拟定，并由 唐生 提供专业讲解
（MiCA: Regulation (EU) 2023/1114｜DORA: Regulation (EU) 2022/2554｜结合荷兰监管口径：AFM + DNB）

文档说明（交付与索取）：本指南适用于制作 BP、Programme of Operations、AML/ICT/Outsourcing 包、Fit & Proper/UBO 包与项目索引。
如需 PDF 交付版 / 可编辑 Word 版 / Master Checklist Excel / RFI Q&A Pack / 面谈题库，可向仁港永胜唐生索取（有偿）。

✅ 点击这里可以下载 PDF 文件：荷兰 Netherlands（MiCA）加密资产服务提供商（CASP）牌照常见问题（FAQ 大全）

✅ 点击这里可以下载 PDF 文件：荷兰 Netherlands（MiCA）加密资产服务提供商（CASP）牌照申请注册指南

✅ 点击这里可以下载 PDF 文件：关于仁港永胜

---

1）牌照名称

牌照名称：荷兰 MiCA 加密资产服务提供商牌照｜加密资产服务提供商牌照（CASP）（MiCAR Title V）
英文：Crypto-Asset Service Provider (CASP) Authorisation under MiCAR
主管机关（申请受理/行为监管主线）：AFM（Dutch Authority for the Financial Markets）
审慎/持股核准/稳定币部分监管：DNB（De Nederlandsche Bank）对 CASP 的审慎监管、拟议持股（qualifying holdings）评估，并对 EMT/ART 发行人承担权限

服务商：仁港永胜（香港）有限公司

本文由 仁港永胜（香港）有限公司 拟定，并由 唐上永（唐生） 业务经理 提供专业讲解。

---

2）牌照介绍与申请优势

2.1 MiCA 统一授权的核心价值

• 单一牌照 + 欧盟护照：获批后可按 MiCA 护照机制在 EU 跨境展业（自由提供服务/设分支），形成“一个母牌照覆盖全欧盟”的合规底座。

• 行为、治理、客户保护、资本/保障、ICT、外包一体化：监管审查从“文件齐全”升级为“可运行、可审计、可验证”。

2.2 荷兰的市场/监管优势（实操视角）

• 监管分工清晰（AFM + DNB）：CASP 主要由 AFM 负责受理与监管；DNB侧重审慎与拟议持股评估、以及 EMT/ART 发行人监管，有利于申请包按分工拆解交付。

• 过渡期窗口明确：对“已在 DNB AML 注册”的机构，MiCAR 许可要求自 2025-06-30 起适用（等同给了 6 个月过渡缓冲）。

• AFM 公开登记与透明度：AFM 已设 CASP register，对外展示“获授权/已通知”的 CASP，利于对接银行、合作机构、做品牌背书。

---

3）监管机构与适用法律（NCA + 本国实施法/监管口径 + MiCA 主法）

3.1 主管机构（Netherlands NCA）

• AFM：CASP 授权/通知、行为监管（conduct）主线；对外发布 MiCAR 关键节点与执法态度。

• DNB：

  • 对 CASP 进行审慎监管与拟议持股评估；

  • 对 EMT/ART（稳定币）发行人承担主管权能。

3.2 主要适用法规（申请材料“法律依据段”建议写法）

• MiCA 主法：Regulation (EU) 2023/1114（CASP 授权、持续义务、行为规范、客户保护、外包治理等）。

• DORA：Regulation (EU) 2022/2554，自 2025-01-17 起适用，ICT 风险、事件、第三方外包与韧性测试要求显著增强。

• 荷兰 AML（Wwft）框架：作为 AML/CFT 体系基础（客户尽调、交易监控、STR、制裁筛查、记录保存等；MiCA 不替代 AML）。DNB “Crypto service providers”监督口径亦强调 MiCAR 与既有监督主题衔接。

---

4）申请条件概览（公司实体、实质经营、资本/保障、治理、业务模型、技术安全、客户保护、跨境护照、第三国招揽边界）

唐生提示：荷兰 CASP 成功申牌的关键，不是“写得长”，而是做到 四件套闭环：
Programme of Operations（业务可审计） + Fit&Proper/UBO（人和钱可核验） + AML（制度+系统+证据链） + ICT/DORA（安全+外包可控）。

4.1 公司实体与实质经营（Substance / Effective Management）

• 在 EU 内设立法人实体，治理决策可被监管触达与核验（董事会会议、授权矩阵、关键岗位履职留痕）。

• 建议建立“荷兰/欧盟可到场的管理与控制”机制：本地合规/MLRO、ICT 风险负责人、可审计的外包治理与数据留存。

4.2 资本/审慎保障（Prudential safeguards）

• MiCA 对不同服务类型设定不同的自有资金/保障框架；实务上需要把资本、保险/等效保障、运营风险覆盖、客户资产风险缓释与三年财务预测做成可核验“测算包”。

• 若涉及托管/平台/兑换等高风险服务，监管会联动审查：客户资产隔离、密钥控制、对账与赔付机制。

4.3 治理与三道防线（Governance）

• 董事会与高管的时间投入、能力匹配、利益冲突要可证明；关键控制职能（合规/MLRO/风险/内审/ICT）需职责清晰、资源充足、汇报独立。

4.4 业务模型（Programme of Operations 为“申牌核心”）

• 必须明确拟提供的 CAS 服务类型、提供地点、提供方式（自营系统/外包/分支/代理）。

• 业务定性要避免“看起来是 OTC 但实质在执行订单/兑换/撮合”的监管误判风险。

4.5 技术与安全（DORA 化）

• 冷热钱包、多签、密钥管理、权限分离、日志与取证、渗透测试、BCP/DR、第三方外包与退出预案需要形成“可审计证据链”。

4.6 客户保护

• 信息披露（费用/风险/利益冲突）、资产隔离与对账、投诉处理、适当性/适配性（如提供投顾/组合/复杂产品）必须“制度与系统一致”。

4.7 跨境护照与第三国招揽边界

• 获批后可走 EU 护照通报；

• 对第三国客户/跨境营销需设定合规边界：避免误导性宣传、避免未授权招揽、并管理制裁与数据跨境风险。

---

5）申请流程与时序安排（Pre-app → 提交→ 完整性审查 → RFI/面谈 → 批准 → 上线）

Step 0｜立项与差距评估（Week 1–2）

• 服务范围定稿（CAS 服务映射）

• 组织架构与关键岗位模型

• 外包清单与供应商尽调路径

• 输出：差距清单 + 里程碑计划 + 预算表

Step 1｜Pre-Application 沟通（Week 2–4）

• 与 AFM 对齐申请路径（许可/通知）、材料语言与结构

• 提前演练：RFI 问题池（股东资金、关键岗位、外包、钱包安全、客户保护）

Step 2｜正式递交（Week 6–10）

• 以“可审计索引（A–I）”打包递交

• 同步准备 DNB 侧重点：拟议持股（qualifying holdings）资料结构

Step 3｜完整性审查（Completeness check）

• 常见退回原因：

  • UBO/资金来源链条不闭环

  • 关键岗位履职证据不足

  • ICT/外包描述不可审计（无 SLA/审计权/退出）

  • AML 规则与系统脱节

Step 4｜实质审查 + RFI/面谈（Substantive review）

• 建议设置“补件战情室”：合规 + 法务 + 技术 + 运营 + 财务

• 每轮补件要提交：覆盖信（cover letter）+ 变更对照表（redline）+ 证据附件索引

Step 5｜获批条件落实与上线（Go-Live）

• 注资/保险/等效保障落实

• 系统验收包（渗透测试、DR 演练、日志审计演练、对账演练）

• 关键岗位正式任命与培训

• 进入持续监管与报送节奏

---

6）所需材料清单（Master Checklist）A–I 分类（交付版｜可递交、可审计、可补件）

AFM 在 Forms 页面明确：申请人应先完成表格，并连同 checklist 与 management letter，通过指定渠道提交；同时要求申请表中对“如何符合 MiCAR”的论证应清晰，并对支持文件给出页码引用以便审查。

A｜公司设立与法定文件（Substance + 可监管触达）

• 公司注册/章程/股本结构、注册地址与办公场地证明（租约、平面图/照片建议）

• 组织架构图（含三道防线）、关键岗位编制表（Headcount Plan）

• 董事会/监事会（如设）议事规则、年度会议计划、纪要模板与归档规则

• 授权矩阵（DoA）、签字权限/双人复核规则、印鉴与权限清单

• 有效管理地证据链：关键决策在荷兰/EU发生的流程与留痕（会议纪要、审批流、日志等）

B｜股东/UBO / 重大持股包（Qualifying Holdings + SoF/SoW 闭环）

• 穿透至自然人 UBO 的股权结构图（含控制权说明：投票权、协议控制、可转债/期权等）

• 所有重大持股股东及 UBO 身份/住址证明、PEP/制裁筛查结果与声明

• 资金来源（SoF）+ 财富来源（SoW）：资金路径图（money trail）+ 银行流水/审计报表/资产处置/分红等佐证

• 关联方披露、诉讼/破产/监管处罚与不利媒体信息说明（含澄清备忘录）

• 重大持股变更的内部预警机制与持续通知安排

C｜董事/高管 Fit & Proper（适任性+诚信）

AFM Forms 页明确：日常管理者与监督董事将按适任性/诚信要求被评估，需提交标准化 CV、适任性矩阵、诚信筛查相关表格等。

• 董事/高管名单、职责分工、时间投入声明、利益冲突声明

• 标准化 CV（监管版：项目可核验、规模、职责、团队、合规成果）

• 学历/资质证书、任职证明/推荐信

• Integrity screening / no antecedents 声明（依是否既往已审查而定）

• 若近 8 年居住地涉及境外：无犯罪记录/刑事记录摘录要求（按 AFM 提示准备）

D｜控制职能（合规/MLRO/风险/内审/ICT 风险）

• 合规负责人、MLRO、风险负责人、ICT risk owner/CISO：任命函、JD、汇报线独立性说明

• 年度合规计划（含监控/抽查）、年度 AML 计划与培训计划、内审计划（可外包但需独立）

• 风险偏好（Risk Appetite）、风险登记册（Risk Register）、KRI/KPI、整改跟踪机制

• 重大事件（合规/安全）通报机制与董事会升级路径

E｜Programme of Operations + Business Plan（运营方案为核心）

AFM Forms 页列明授权申请表应覆盖：Programme of operations、治理、风险管理与合规、业务连续性、资金/加密资产隔离等模块。

• 服务范围勾选（逐项对齐 MiCAR CASP 服务类型）+ 客户旅程流程图

• 目标市场/护照化策略、客户分类（零售/专业）、定价与费用结构、营销合规审批机制

• 3 年财务预测（P/L、BS、CF）+ 压力测试（含安全事件/挤兑/宕机成本）

• 客户资产隔离与对账方案、法币通道/合作机构责任边界（如与 EMI/银行合作）

F｜AML/CFT/CPF（Wwft）+ 制裁（Sanctiewet）+ TFR（旅行规则）

AFM Forms 页在授权申请表结构中直接点名：AML（Wwft）、制裁法（Sanctiewet）、TFR，并预期申请人提交更新后的 AML & sanctions policy 与 SIRA（系统性诚信风险分析）。

• SIRA / 风险评估方法论（客户/产品/地域/渠道/交易/链上）

• CDD/EDD、UBO 识别、PEP/制裁筛查、持续监控与定期复核

• 交易监控规则库 + 链上分析策略（高风险地址、混币、暗网暴露等）

• STR 决策链与留痕（触发—复核—MLRO 判断—报送—复盘）

• 记录保存、培训、独立审查（内审/外部审查）、外包 AML 的监督机制

G｜ICT / 钱包 / 网络安全（DORA 对齐）+ 外包治理

AFM Forms 页明确：CASP 处于 DORA 适用范围（2025-01-17 起），并在申请表中要求覆盖 IT/DORA、业务连续性等内容。

• 系统架构图/数据流/权限分层（RBAC）、不可篡改日志与审计轨迹

• 多签门限、冷热钱包策略、密钥管理（HSM/分片/轮换）、签名仪式留痕

• 渗透测试与漏洞管理、SOC/监控告警流程、事件响应与取证

• BCP/DR（RTO/RPO）、演练计划与记录、容量与压力测试

• 外包登记册（云、KYC、链上、托管、支付通道等）+ 尽调、SLA、审计权、退出与替代方案（DORA 口径）

H｜客户条款/披露/投诉（客户保护“看得见、跑得动”）

• 客户协议（T&C）、风险披露、费用披露（含第三方费用/返佣/利益冲突）

• 投诉处理机制（时限、分级、复核、记录、复盘）

• 利益冲突政策、市场滥用与异常交易处置（平台类更关键）

• 资产隔离说明、对账与差错处理、错误转账/欺诈/账户被盗流程

I｜申报声明/费用/项目管理（RFI 战情室）

• 申请索引（按 AFM 表格章节逐一对齐，强制页码引用）

• Management letter + Cover note（AFM 提示要点）

• RFI 补件应答模板、Q&A log、版本管理与文档控制表

• 预算表（政府/审计/法律/技术/保险/人员）、上线前验收清单、重大变更报备流程

---

7）董事/股东/UBO 要求（10%/重大持股、声誉、资金来源、穿透、持续通知｜交付版）

7.1 “10%/重大持股”与 Qualifying Holdings 的实务口径

• 以 “重大持股/控制影响力” 作为尽调与申报的底线：凡可能对公司经营与合规产生重大影响的股东（含协议控制、可转换工具、共同控制安排）均按“qualifying holdings”思路准备全套穿透与资金来源闭环。

• AFM 的授权申请表结构中明确包含“Prudential safeguards and qualifying holdings (DNB)”，意味着股权与审慎/资本安排会被联动审查，并涉及 DNB 维度。

7.2 声誉与诚信（Reputation / Integrity）

• 股东/UBO：无重大刑事、金融犯罪、洗钱/制裁违规记录；不利媒体需形成解释备忘录并给证据

• 强制制裁/PEP 筛查：客户与股东两条线都要做（建议保留筛查报告与截图证据链）

7.3 资金来源（SoF）与财富来源（SoW）闭环（荷兰审查的“拖延之王”）

• “钱从哪里来 → 怎么到股东账户 → 如何注入 CASP → 是否足够覆盖 12–36 个月经营”

• 必备交付物：SoF/SoW 声明 + 银行流水/审计报表 + 资金路径图（Money Trail Map）+ 税务与资产证明（如适用）

7.4 持续通知与重大变更治理（Post-licence 会被盯）

• 建议把“股权/控制权变化”纳入公司治理：触发条件、内部评估、董事会审批、对监管沟通、实施与留档闭环（避免事后补报被认定为治理缺陷）

---

8）合规/MLRO/关键岗位要求（资历、独立性、资源、汇报线、外包可否｜交付版）

AFM Forms 页对“适任性与诚信”材料要求非常明确（标准化 CV、适任性矩阵、任命考虑因素、job profile 等）。

8.1 必配岗位（最低配置建议）

• 合规负责人（Compliance）：负责 MiCAR 行为规范、客户保护、利益冲突、营销合规、报告统筹

• MLRO：负责 Wwft 体系、SIRA、交易监控、STR 决策留痕与培训

• 风险负责人：运营风险/托管风险/市场滥用风险/第三方风险

• ICT risk owner / CISO：DORA 框架下 ICT 风险管理与韧性

8.2 独立性与汇报线（监管最关注“能不能顶住业务压力”）

• 合规/MLRO 应具备直达董事会（或合规/风险委员会）的汇报权

• 不建议 MLRO 与业务营收负责人同线汇报；若兼任必须给出冲突缓释措施（替代审批人、四眼原则、董事会监督）

8.3 外包可否（结论：可外包，但责任不能外包）

• 可外包：部分 KYC 工具、链上分析、SOC、渗透测试、内部审计执行等

• 不可外包/不宜空心化：合规与 MLRO 的最终责任、关键决策与 STR 判断应保留内部责任人

• 外包治理必须满足：尽调、合同/SLA、审计权、退出与替代方案（与 DORA 强关联）

---

9）ICT/钱包/安全与外包要求（冷热钱包、多签、权限、渗透测试、BCP/DR、DORA 关联｜交付版）

AFM 明确：CASP 在 DORA 范围内，且申请表章节覆盖 IT/DORA 与业务连续性；并预期申请人已在准备（DORA 自 2025-01-17 适用）。

9.1 冷热钱包与多签（“可审计、可复盘”是关键词）

• 钱包分层：热钱包仅用于运营流动性；冷钱包用于大额储备

• 多签门限：按金额/风险等级设置不同签名阈值

• 密钥管理：HSM/分片/地理隔离/轮换；关键人分离与强制休假（防内部作恶）

• 签名仪式留痕：审批单、会议纪要/工单、链上 tx 关联、录屏/日志（按你们实际能力选配）

9.2 权限与日志（DORA 视角：必须可证明、可追溯）

• RBAC 最小权限；关键操作四眼原则；权限变更全留痕

• 日志：不可篡改、可检索、可导出；覆盖开户/KYC、交易、提币、风控命中、合规审批、管理员操作

9.3 渗透测试、漏洞管理、事件响应

• 上线前与定期渗透测试；漏洞修复闭环（工单+复测）

• 事件响应：分级、隔离、取证、通报、恢复、复盘（模板化输出便于监管沟通）

9.4 BCP/DR 与演练（写得再好，不演练=不合规）

• 明确 RTO/RPO；灾备架构；演练计划、演练记录、问题整改清单

• 把“第三方宕机（云/托管/KYC/链上工具）”纳入演练场景

9.5 外包治理（第三方风险）

AFM Forms 页强调申请包中要覆盖 DORA，并将外包视为审查重点。

• 外包登记册：服务内容、数据位置、关键性评估、依赖度

• 供应商尽调：安全、合规、财务稳健、审计报告（SOC2/ISO 等视情况）

• 合同条款：SLA/KPI、审计权、分包限制、数据与安全要求、退出/迁移方案（exit plan）

---

10）客户保护机制（资产隔离、费用披露、投诉、利益冲突、适当性/适配性｜交付版）

AFM 授权申请表结构明确包含：Segregation of funds and crypto-assets、治理与风控、业务连续性等。

10.1 客户资产隔离（Segregation）

• 资产隔离方案（链上/链下）：客户资产与自有资产分账、分地址/分账本策略

• 对账：链上余额—内部账—（如有）银行/支付机构对账；频率、差异处理、复核与留痕

• 托管（custody）场景：密钥控制与责任边界要写清（谁能动资产、动资产的审批链）

10.2 费用与风险披露（防“误导性营销”）

• 费用披露：交易费、点差、提现费、托管费、第三方费用、返佣/做市利益冲突

• 风险披露：价格波动、链上不可逆、系统/第三方风险、合规限制、冻结/关户情形

10.3 投诉处理（可量化 KPI）

• 渠道：专用邮箱/工单；时限：确认—调查—结论—复核；升级：重大投诉上报合规/董事会

• 记录：投诉台账、证据包、复盘与改进措施

10.4 利益冲突（Conflict of Interest）

• 做市/自营/返佣：隔离墙、披露、审批与监控

• 员工交易与关联方交易：申报、限制、抽查、纪律处分

10.5 适当性/适配性（当你做投顾/组合管理/复杂产品时）

• 客户分类（零售/专业）与证明文件清单

• 问卷、评分与匹配逻辑；不匹配时的限制/强提示/拒绝机制

• 全流程留痕：问卷版本、评分、提示记录、客户确认

---

11）官方收费与预算（政府费/监管年费/审计/法律/技术/保险/人员成本｜交付版）

11.1 AFM 官方一次性费用（Processing fees）

AFM “Cost of licensing or notification” 页面明确：

• CASP licence 申请处理费：€200/小时，上限 €100,000；并包含对相关人员的 fit & proper 评估收费（properness €700/人；fitness 标准 €2,900/人；若曾在 AMLD5 注册背景下被 DNB 评估过，可能适用较低费用档）。

• CASP notification（通知）预计处理费：同为 €200/小时，上限 €50,000。

备注：上述为 AFM 页面列明的“非经常性一次性费用”，并指向财政部费用规则（Regeling bekostiging financieel toezicht eenmalige handelingen）。

11.2 监管年费/持续监督成本（需要按 AFM/DNB 后续计费规则测算）

• 牌照获批后一般会产生年度监督费用（随监管类别、规模、营收/业务量等变化）。建议项目预算中预留“年度监督费缓冲”，并在商业计划中用保守情景测算。

11.3 审计、法律、技术、保险与人员（建议预算科目）

（1）审计/会计

• 年度财务审计、合规独立审查（AML/内控/外包审查）、报表支持

（2）法律与合规顾问

• MiCAR 文件编制、合同条款/披露文本、监管沟通与 RFI 应答

（3）AML 工具与数据（Wwft + 制裁 + TFR）

• 制裁/PEP 筛查、交易监控、链上分析、案件管理系统（case management）

（4）ICT & DORA 合规建设

• 渗透测试、SOC/监控、SIEM、密钥管理/HSM、多签方案、BCP/DR 演练

（5）保险/等效保障（如业务与风险评估需要）

• 重点覆盖托管/盗损/运营风险（以最终合规方案与承保条件为准）

（6）人员成本

• 合规、MLRO、风控、ICT 风险、内审（或外包费用）、客服与投诉处理

11.4 过渡期与时间窗口（对预算的直接影响）

AFM 提醒：已在 DNB 注册的加密服务商若希望继续在荷兰运营，需要在过渡期内取得 MiCAR 授权；AFM 发布信息指出过渡安排与关键日期（例如 2024-12-30 起 MiCAR 适用、荷兰过渡期至 2025-06-30 等）。

• 预算建议：为“补件轮次 + 系统整改 + 人员到位”预留 20%–40% 缓冲（按复杂度调整）

---

12）后续维护与续牌/持续合规（报告、审计、变更报备、培训、演练）——荷兰版

MiCAR 体系下通常不是“到期续牌”，而是“持续满足条件 + 持续监管”。实务中监管重点会落在：资本/保险或等效保障持续满足、治理与适任性、AML/Wwft有效运行、ICT/DORA韧性、外包可控、客户保护与披露、报告与留痕。

12.1 持续监管义务总览（你需要建立“合规日历 + 证据链仓库”）

• 年度/定期报告：年度合规报告、风险报告、ICT韧性报告、审计/独立审查报告、财务报表（含资本/保障持续性证明）。

• 事件触发报告：重大安全事件、重大运营中断、重大合规事件、重大客户资产损失/盗窃、重大投诉舆情、重大外包失败、重大管理层变动等（建议建立“事件分级+通报SOP”并与DORA事件管理对齐）。

• 持续披露与客户保护：费用、点差、第三方成本、利益冲突、托管安排、资产隔离与对账方式、投诉渠道与时限、风险揭示持续更新。

12.2 审计与独立审查（建议“三道防线”化）

• 外部审计：年度财务审计（尤其客户资产隔离、对账与“客户资金/客户加密资产”账实一致性）。

• 独立合规/AML审查：至少年度一次（内部审计或外部独立审查），覆盖：CDD/EDD质量抽样、制裁/PEP命中处置、STR决策留痕、交易监控模型有效性、外包履约与审计权执行。

• 技术审计/安全评估：渗透测试、漏洞扫描与整改闭环、密钥管理审计、多签与权限分离审计、BCP/DR演练记录审计（与DORA韧性测试体系对齐）。

12.3 变更报备（Change Notification）——建议做“重大变更清单 + 预沟通机制”

以下事项建议一律纳入“重大变更评估→合规/风险/ICT评审→（必要时）预沟通→实施→归档”的闭环：

• 股权/控制权：新增/变更重大持股（如10%+或实质控制）、UBO变化、股东资金来源重大变化。

• 董事/高管/关键岗位：CEO/COO/CTO/CISO、合规负责人、MLRO、风险负责人、内审负责人变更或新增兼职。

• 业务范围：新增MiCAR服务类别、上线新产品/新链/新代币类别、开放高风险国家/渠道。

• 关键外包：新增/替换KYC供应商、链上分析、云/IaaS、托管/冷库、撮合引擎、支付通道、客服外包等（DORA下外包更“硬”）。

• 核心系统与钱包架构：冷热钱包策略、密钥托管方式、HSM方案、多签门限、权限矩阵、灾备架构重大调整。

荷兰对MiCAR过渡期与监管切换提示非常明确：对存量DNB登记主体，2025-06-30后需MiCAR牌照才可继续在荷兰市场提供服务。

12.4 培训与演练（“监管爱看的证据链”）

• 年度培训计划：入职培训 + 岗位专项（合规、前台、客服、运营、风控、IT运维）+ 管理层培训。

• AML情景演练：STR演练（含“未报送原因”留痕）、制裁命中处置演练、账户冻结与申诉演练。

• ICT/DORA演练：BCP/DR演练（RTO/RPO）、事件响应演练（取证/通报/复盘）、关键外包中断演练（替代方案与退出计划）。

• 客户投诉演练：投诉分级、时限、升级到管理层/董事会、复盘整改。

---

13）办理时间预估（公司设立、文件编制、审查窗口、缓冲）——荷兰版

关键现实：MiCAR授权从 2024-12-30 起要求生效；对既有DNB登记主体，荷兰过渡期到 2025-06-30。
因此“时间”主要取决于：服务范围复杂度、股东SoF/SoW闭环质量、关键岗位到位程度、ICT/外包可审计性、RFI补件轮次。

13.1 建议项目排期（可直接作为甘特图底稿）

• T0–T+2周｜结构与范围定稿

  • MiCAR服务清单映射（托管/平台/兑换/执行/传递/转账/投顾/组合管理等）

  • 荷兰实体路径、办公室/人员、关键外包清单

• T+3–T+10周｜文件与制度编制（最关键）

  • Programme of Operations + BP + 3年预测 + 审慎保障方案

  • AML/Wwft制度、交易监控与STR机制、制裁与PEP流程

  • ICT/钱包/安全 + 外包治理（对齐DORA）

  • 客户条款/披露/投诉/利益冲突/适当性（如适用）

• T+11周｜递交申请

  • 按“可补件索引（A–I）”递交

• T+12–T+24周｜完整性审查 + RFI补件/面谈（窗口期）

  • 多轮RFI常见：股东资金来源、关键岗位胜任力、外包合同审计权、钱包密钥控制证据链、交易监控有效性

• T+25–T+32周｜获批前条件落实 + Go-Live

  • 注资/保险落地、系统验收、渗透测试、DR演练、关键岗位正式任命、运营跑通与留痕

13.2 缓冲建议（避免被动）

• 至少预留 20–30% 缓冲给：公证认证、外包合同谈判、渗透测试整改、补件资料再采集。

• 设立“RFI战情室”：合规+法务+技术+运营四方联动，确保补件“快、准、可核验”。

---

14）常见问题（FAQ）（Q1–Q200）——荷兰版

说明：以下FAQ以“监管审查逻辑 + 荷兰落地实务”为主线；涉及关键节点（如2024-12-30、2025-06-30）与监管切换依据AFM公开信息与DNB监管转移趋势。

A. 牌照定义与业务范围（Q1–Q25）

Q1 什么是MiCA下CASP？
A：在欧盟统一框架下向客户提供加密资产服务的受监管机构（托管、平台、兑换、执行/传递订单、转账、投顾/组合管理等）。
Q2 荷兰谁是MiCAR主管机关？
A：CASP授权与监督由AFM负责；存量DNB登记主体的监管职能转移也被DNB公开提及。
Q3 荷兰MiCAR何时开始要求持牌？
A：自2024-12-30起需要MiCAR许可/授权或通知；对已在DNB登记主体，过渡到2025-06-30。
Q4 我只做OTC撮合算CASP吗？
A：若你为客户执行/传递订单、提供兑换、或实质介入交易流程，通常会落入CAS服务范畴；需以客户旅程与收费点判定。
Q5 我只做托管钱包需要单独牌照吗？
A：托管/管理加密资产通常属于CAS服务，且审查强度更高（密钥管理、隔离与对账）。
Q6 平台和经纪有什么区别？
A：平台更强调撮合规则、订单簿、市场监控与公平披露；经纪/执行更强调为客户在外部场所执行。
Q7 可否只申请一项服务？
A：可以，但必须与真实业务一致；超范围经营风险极高。
Q8 可否先拿其他成员国牌照再护照到荷兰？
A：可以走MiCA护照通报；但荷兰本地营销与消费者保护要求仍需遵守。
Q9 可否同时服务欧盟外客户？
A：可，但需管理制裁、第三国风险、数据跨境与招揽边界。
Q10 是否接受“申请中”就开展业务？
A：风险极高；AFM对无牌提供服务可采取执法措施的表述明确。
Q11 哪些服务最难？
A：托管与平台类通常最难（客户资产、市场完整性、ICT与外包要求最高）。
Q12 是否可提供衍生品/杠杆？
A：通常涉及MiFID等其他框架；需另行法律定性。
Q13 是否可做稳定币业务？
A：涉及ART/EMT发行或分销需额外合规；CASP需明确角色边界。
Q14 是否可做staking/收益产品？
A：需评估是否构成其他受规管活动/金融产品；并加强披露与适当性。
Q15 是否可做“只提供技术不碰资产”？
A：若不构成服务提供仍需谨慎，监管会看实质（控制、指令、收费、客户关系）。
Q16 是否需要在荷兰设分支？
A：取决于护照策略与运营模式；但有效管理与监管可触达是核心。
Q17 是否需要本地董事？
A：不一定，但需要证明治理与管理在欧盟内有效发生、关键岗位可履职。
Q18 可否远程运营？
A：可，但需证据链：决策留痕、系统运维可审计、合规/MLRO可触达。
Q19 是否必须有银行账户？
A：通常需要运营账户与客户资金通道安排；若无支付牌照多依赖合作机构。
Q20 业务范围怎么写最稳？
A：Programme of Operations逐项对齐MiCAR服务、写清地点/方式/外包/流程控制。
Q21 是否可使用代理/介绍人获客？
A：可，但需渠道尽调、合同约束、培训与监控抽查。
Q22 牌照能否“全欧盟通用”？
A：通过护照机制可跨境提供服务，但需做通报与遵守当地营销/消费者规则。
Q23 荷兰市场对加密监管态度？
A：监管强调完整性风险与AML/制裁、以及MiCAR下监管移交。
Q24 过渡期内宣传怎么做？
A：避免误导性表述（“等同持牌/已受监管”），统一对外话术审查。
Q25 申请失败最常见原因？
A：股东资金来源不闭环、关键岗位不匹配、ICT/外包不可审计、AML“纸面合规”。

B. 公司设立与实质经营（Q26–Q50）

Q26 申请荷兰CASP必须荷兰公司吗？
A：以荷兰为申牌国通常需在欧盟内设实体；是否必须荷兰公司取决于路径，但“有效管理”必须满足。
Q27 什么是有效管理？
A：关键决策、控制职能、风险管理与外包治理能被监管核验与触达。
Q28 必须租办公室吗？
A：强烈建议；至少要有可核验的办公与人员安排。
Q29 需要多少员工？
A：无统一人数门槛，但需与业务规模匹配并能证明三道防线。
Q30 集团支持能替代本地资源吗？
A：不能完全替代；本地实体必须具备足够控制能力。
Q31 可以把客服外包吗？
A：可以，但要审计权、SLA、数据保护与退出计划。
Q32 可以把合规外包吗？
A：可部分外包，但责任不可外包；需内部责任人+独立汇报线。
Q33 MLRO能否外包？
A：通常不建议完全外包；至少保留内部MLRO或等效责任人。
Q34 关键岗位兼职可以吗？
A：可以但需证明时间投入与无利益冲突。
Q35 董事会要开多频？
A：建议至少月度/季度（取决规模），并保留纪要、决议与行动追踪。
Q36 需要哪些委员会？
A：建议合规/风险/ICT（或将其纳入董事会例会并留痕）。
Q37 需要内部审计吗？
A：建议配置（可外包但需独立、报告董事会）。
Q38 数据保护官DPO必须吗？
A：视业务与GDPR要求；建议至少明确负责人和流程。
Q39 可否先注册再申请？
A：可以，但避免“未授权经营”。
Q40 招聘顺序怎么排？
A：先定服务范围→确定关键控制职能与ICT安全责任→再补运营岗位。
Q41 业务外包清单为何关键？
A：监管会把外包视为风险外溢源，尤其DORA下第三方风险更严格。
Q42 远程团队如何证明可控？
A：访问控制、日志、权限矩阵、变更管理、审计追踪、关键会议留痕。
Q43 能否使用共享办公室？
A：可，但要证明实质与保密、可接待监管检查。
Q44 可以没有本地CEO吗？
A：可以但需证明管理与控制在欧盟内有效；监管通常更偏好清晰责任人。
Q45 公司章程需写业务范围吗？
A：建议与拟开展服务一致，避免“经营范围不匹配”。
Q46 可否先做B2B再做B2C？
A：可以，需在BP中清晰分阶段并解释客户保护差异。
Q47 可否仅服务专业客户？
A：可以，客户分类与门槛、证明文件要完整。
Q48 需要风控模型吗？
A：需要（客户风险、交易风险、链上风险、运营风险）。
Q49 需要退出/关停计划吗？
A：强烈建议（wind-down plan：如何安全停止、返还客户资产、通知）。
Q50 荷兰过渡期对存量主体意味着？
A：已在DNB登记的主体需在2025-06-30前完成MiCAR牌照安排，否则不能继续在荷兰市场提供CAS服务。

C. 资本/审慎保障/保险（Q51–Q75）

Q51 MiCA资本要求统一吗？
A：不同服务类型有不同最低自有资金/审慎保障框架；需按服务映射测算并形成“风险—覆盖—证据”。
Q52 可以用保险替代部分保障吗？
A：视服务类型与监管认可度；关键是覆盖范围、免赔额、承保人资质、索赔机制可核验。
Q53 需要三年财务预测吗？
A：强烈建议（P/L、BS、CF）并含压力测试。
Q54 托管类审慎保障更严吗？
A：通常更严（客户资产风险与赔付能力）。
Q55 资本是否必须现金？
A：监管通常偏好可验证、稳定、流动性强的形式；加密资产资本安排需非常谨慎。
Q56 亏损会影响牌照吗？
A：关键看是否持续满足资本/保障与控制有效性。
Q57 客户资产隔离与资本关系？
A：隔离是客户保护；资本/保险用于覆盖运营风险与赔付。
Q58 是否需要客户资产证明机制？
A：建议建立（对账、审计轨迹、定期报告）。
Q59 是否需要压力测试？
A：建议做（挤兑、价格暴跌、系统故障、被盗事件成本）。
Q60 资金流（法币）由谁承接？
A：若无支付/EMI资质通常通过银行/支付机构合作，责任边界需写清。
Q61 需要单独客户资金账户吗？
A：通常需要隔离账户/结构安排与对账机制。
Q62 资金来源证明对公司也要吗？
A：要（注资路径、银行流水、审计报表等）。
Q63 保险需要覆盖哪些？
A：运营风险、托管盗损、职业责任、网络安全等（按业务与监管要求组合）。
Q64 监管会要求最低净资产吗？
A：会以MiCA框架要求持续满足自有资金/保障并检查持续经营。
Q65 资本不足如何处理？
A：触发整改、限制业务、增资/缩表等；需预案与预警阈值。
Q66 是否要定期向董事会汇报资本与保障？
A：必须，建议月度KPI/KRI。
Q67 客户资产被盗怎么办？
A：事件响应+通知+冻结+赔付框架+保险索赔+根因整改闭环。
Q68 托管密钥如果第三方控制会怎样？
A：风险极高；需解释控制权、审计权、责任边界与退出迁移。
Q69 业务扩张会触发资本再测算吗？
A：会；新增服务/国家/客户群需再评估。
Q70 监管会看费用定价吗？
A：会（是否公平、是否披露充分、利益冲突）。
Q71 是否需要财务负责人/会计外包？
A：建议配置，确保报表与监管报告及时准确。
Q72 资本注入时间点？
A：建议在递交或获批前条件落实阶段准备到位。
Q73 是否要准备资本证明文件？
A：必须（银行证明、验资、审计确认等）。
Q74 资本与保险怎么写更容易过？
A：用表格把风险→控制→资金/保险覆盖→证据→责任人串起来。
Q75 是否有监管年费？
A：通常存在持续监管费用结构；实务需以AFM当期费用表/计费方式为准（我们建议纳入预算模型）。

D. AML/Wwft/制裁与STR（Q76–Q115）

Q76 荷兰AML法律基础是什么？
A：Wwft（反洗钱与反恐融资法）及相关制裁法框架；DNB公开强调CDD与持续监控的重要性。
Q77 CDD必须做什么？
A：识别与验证客户、识别UBO、风险评级、持续监控交易与关系。
Q78 EDD触发条件？
A：高风险国家、PEP、异常交易模式、自托管地址等高完整性风险情形（AFM相关指引/市场解读亦强调）。
Q79 STR向谁报？
A：荷兰FIU体系下报告异常/可疑交易（需按荷兰流程与表单执行）。FIU年度回顾可作为理解监管期待的材料之一。
Q80 需要链上分析工具吗？
A：强烈建议（托管/平台/兑换/转账场景几乎必需）。
Q81 制裁筛查做哪些对象？
A：客户、UBO、交易对手、受益人、钱包地址/链上实体（并设命中处置）。
Q82 PEP管理要点？
A：EDD、管理层批准、资金/财富来源核验、加强持续监控与定期复核。
Q83 自托管钱包风险怎么控？
A：地址评分+额外核验+限额+持续监控+增强尽调（市场解读提及AFM对该类风险的关注）。
Q84 AML培训要留什么证据？
A：课件、签到、测验结果、覆盖率、复训记录、案例复盘。
Q85 记录保存多久？
A：按Wwft/相关规则与监管口径执行；建议统一留存策略并确保可检索。
Q86 交易监控要怎么做才“有效运行”？
A：规则/模型+人工复核+处置工单+阈值与版本管理+误报率/命中率KPI。
Q87 “只写手册不跑系统”可以吗？
A：高风险；监管更看重运行证据链。
Q88 高风险国家怎么处理？
A：EDD+限制/拒绝+更高频监控+必要时STR。
Q89 MLRO汇报线怎么设计？
A：可直达董事会/高级管理层，确保独立性与资源。
Q90 第三方付款如何处理？
A：高风险；需严格限制、追加核验与增强监控。
Q91 现金交易怎么管？
A：尽量避免；如涉及需更严格控制与记录。
Q92 可疑交易“未报送原因”要留痕吗？
A：必须（监管抽查常看）。
Q93 客户风险评级模型怎么搭？
A：客户/地域/产品/渠道/交易行为/链上风险多因子评分，分层匹配CDD深度与监控频率。
Q94 KYC文件真伪核验怎么做？
A：电子核验+人工复核+异常标记+二次验证+留痕。
Q95 如何应对监管抽样检查？
A：准备样本包：CDD档案、风险评级、监控告警处置、STR记录、培训与审计报告。
Q96 外包KYC可以吗？
A：可以，但责任不外包；需尽调、合同、审计权、替代方案。
Q97 制裁命中怎么处置？
A：冻结/拒绝、升级合规、必要时报送、记录留痕与复盘。
Q98 AML独立审查频率？
A：建议至少年度一次，规模大可半年度。
Q99 如何管理“混币器/高风险地址”？
A：规则命中+限制交易+EDD+必要时STR。
Q100 OTC场景最大AML雷区？
A：资金来源难核验、第三方代付、现金、链上来源复杂；必须更严EDD与限额。

---

Q101：荷兰 CASP 在 AML/CFT 方面最核心的法律框架是什么？

A：荷兰 CASP 的 AML/CFT 义务通常同时受到三条线约束：

1. 欧盟层面：MiCA（行为与治理底层要求）+ TFR/Travel Rule（EU 2023/1113）对加密转账信息随行要求；EBA 已发布 Travel Rule 指引并明确自 2024-12-30 起适用。

2. 荷兰国家层面：Wwft（反洗钱与反恐融资）作为“客户尽职调查、持续监控、可疑/异常交易申报、记录保存”的主法。DNB 的 Wwft Q&A/Good Practices 可作为“监管口径与证据链”写法参考。

3. 监管/行业指引层面：AFM 已发布面向 CASP 的 Wwft & Sanctions Act 1977 指引附件（Annex），强调 CASP 需遵守 Wwft、Sanctions Act 1977 以及 TFR。

实操提示：申请文件里要把这三条线写成“合规映射表（Legal Mapping Table）”，并在制度目录中逐条对应到你的政策、流程、系统与留痕证据。

---

Q102：荷兰监管对“风险为本（Risk-Based Approach）”到底看什么证据？

A：监管不只看你写了“风险为本”，而是看你能不能证明：

• 你做了业务风险评估（产品/客户/地域/渠道/交易行为/链上暴露）并形成风险评级；

• 你的 CDD/EDD、交易监控阈值、复核频率、限额、抽样规则会随风险等级变化；

• 你能解释“为什么这样设”并留存版本、审批、回测与优化记录。
  DNB 的 Wwft Q&A/Good Practices 强调：CDD 与持续监控必须与识别出的 ML/TF 风险相匹配，可高可低，但要能“说得清、拿得出证据”。

---

Q103：荷兰 CASP 的客户尽职调查（CDD）最低应包含哪些模块？

A：建议按“开户—交易—复核—退出”全旅程写清：

1. 身份识别与验证（个人/法人）

2. UBO 穿透与控制权识别（法人客户必须重点：股权/协议控制/董事会控制）

3. 目的与业务关系性质（用途、资金来源、预期交易行为、主要钱包地址）

4. 风险评级与适用的控制强度（高风险触发 EDD 与更密集监控）

5. 制裁/PEP/负面信息筛查（入职与持续筛查）

6. 持续监控（Ongoing Monitoring）：交易监控 + 定期复核（KYC refresh）
   并把每个模块落到：字段、来源、验证方式、拒绝标准、审批人、留痕位置、保存期限。

---

Q104：哪些情形必须做增强尽职调查（EDD）？荷兰监管关注的“硬触发”有哪些？

A：在荷兰语境里，EDD 通常会被监管期待至少覆盖：

• 自托管钱包（self-hosted/unhosted）高暴露交易；

• 第三国/高风险国家相关交易或客户；

• 高风险行业客户、复杂结构、难以解释的资金来源；

• 频繁小额拆分、异常路径、混币/跳转等链上特征。
  AFM 的 CASP 附件强调 CASP 是 Wwft 与制裁法的重点对象，并把 CASP 的特定高风险点纳入关注范围（实务上自托管地址是高频关注）。

---

Q105：自托管钱包（Self-hosted addresses）在荷兰到底要怎么做才“可过审”？

A：给你一个监管更“买账”的写法：把自托管钱包当作“场景化 EDD + 证据链”，而不是一句“我们会关注”。建议制度落地至少包含：

1. 识别：交易是否涉及自托管地址（入金/出金/转账）

2. 归属核验（Ownership / Control evidence）：

   • 证明客户对该地址拥有控制权（签名验证、Satoshi test、或等效链上证明机制——选其一并固化流程）

3. 目的与合理性：该笔转账目的、对手方性质、与客户画像匹配性

4. 链上风险评分：对地址/交易对手进行风险评级（制裁、暗网、混币器暴露等）

5. 限额与审批：高风险情形强制人工复核、管理层/MLRO 复核、或直接拒绝

6. 留痕：把“为什么放行/为什么拒绝”写进工单，保存证据（截图/报告/链上哈希/审批记录）
   AFM 相关解读也明确自托管地址在监管视角属于高完整性风险点，应建立更严格的措施。

---

Q106：Travel Rule（TFR）对荷兰 CASP 的要求是什么？什么时候开始适用？

A：TFR/Travel Rule（EU 2023/1113）要求 CASP 在加密资产转移中收集、核验、传递与留存转出方/接收方信息，并在信息缺失时采取程序化处置。EBA 发布的 Travel Rule 指引明确自 2024-12-30 起适用。
同时，AFM 的 CASP 附件也明确 CASP 必须遵守 TFR。

---

Q107：Travel Rule 下“缺失或不完整信息”怎么处理才符合监管预期？

A：建议把处置机制写成“三层闸门”：

• 闸门 1：技术校验（字段完整性、格式、是否可识别对端 CASP/非托管）

• 闸门 2：风险决策（按风险矩阵：是否拒绝/暂停/要求补充/升级审批）

• 闸门 3：记录与报告（记录缺失原因、客户沟通、最终处理、是否触发异常交易申报）
  EBA 指引的核心精神就是：要有可运行的政策与程序去识别并处理缺失信息，并可被审计复盘。

---

Q108：荷兰 CASP 的制裁合规（Sanctions Act 1977）要做到什么程度？

A：荷兰监管期待 CASP 的制裁合规不只是“筛名字”，还要覆盖：

• 客户、UBO、授权人、交易对手的名单筛查；

• 链上地址/分布式账本地址的制裁风险识别与处置；

• 命中后的措施（冻结、阻断、升级、报告）以及“关系（relationship）”的内部定义与处置边界。
  针对 CASP 的 AFM 指引解读明确强调：CASP 应建立可执行的制裁政策与程序，命中时应立即采取措施（含冻结等），并按要求进行报告。

---

Q109：交易监控（Transaction Monitoring）监管想看到哪些“硬输出”？

A：至少要能交付以下“可审计输出物”：

1. 场景库/规则库（按产品：托管/兑换/平台/转账；按风险：自托管、第三国、异常行为等）

2. 阈值逻辑与理由（为什么这么设、谁批准、何时复核）

3. 告警工单闭环（触发→一线复核→升级→结论→处置→复盘）

4. 有效性证明（抽样、回测、误报率/漏报率、模型调参记录）
   DNB 的 Wwft Good Practices 中明确把持续监控分为交易监控与客户复核两块，并强调要“与风险匹配、可被证明”。

---

Q110：什么是荷兰的“异常交易申报”（UTR/Unusual Transactions Reporting）？CASP 必须申报哪些？

A：在荷兰，CASP 作为 Wwft 义务主体，需要向 FIU-the Netherlands申报异常交易（unusual transactions），包括已完成以及意图交易（未完成但已尝试/计划）。

---

Q111：UTR/STR 的申报触发点如何写得更“监管友好”？

A：建议用“双触发模型”：

• 规则触发（Rule-based）：阈值、结构化拆分、异常路径、制裁/PEP命中、黑名单地址暴露、自托管高风险、第三方代付等

• 行为触发（Behavioural）：与客户画像严重偏离、拒绝提供 SoF/SoW、解释反复变化、关联多账户、多设备异常等
  并把每类触发点映射到：

• 对应的 EDD 要求

• 是否必须升级 MLRO

• 是否必须申报

• 若未申报必须留“未申报原因”记录（这点在检查里很关键）

---

Q112：申报时限、责任人、与“禁止提示客户（tipping-off）”如何落地？

A：荷兰实践中，监管通常要求你清晰写出：

• 谁负责最终申报决定（MLRO/合规负责人）

• 时限（发现→复核→决定→申报的内部 SLA）

• 隔离与保密：禁止向客户透露“已/将申报”的信息，沟通话术要有模板

• 留痕：决策依据、证据附件、审批记录、提交回执
  FIU-NL 明确 CASP 有申报义务，并强调包含已完成与意图交易；因此内部时效与证据链就是检查重点。

---

Q113：KYC 外包、链上分析外包、云外包在荷兰可以吗？监管最关心什么？

A：可以外包，但“责任不外包”。你要准备的监管友好三件套：

1. 外包登记册（Outsourcing Register）：列明关键/重要外包、数据位置、分包链、依赖度

2. 供应商尽调：资质、审计报告、渗透测试/安全证明、人员背景、制裁合规能力

3. 合同条款：审计权、访问权、事件通报、SLA、退出/迁移、数据保护（GDPR）、分包控制
   （你之前目录里提到 MFSA 的 Outsourcing Notification Form 是马耳他入口；荷兰这边同样的逻辑是“可审计+可退出+可控”。）

---

Q114：记录保存（Record Keeping）应该保存什么、多久、以什么方式才不容易被挑毛病？

A：建议按“三类记录”设计：

• KYC/CDD/EDD 记录（含 UBO、SoF/SoW、筛查结果、复核记录）

• 交易与监控记录（交易明细、链上哈希、告警工单、处置结论、复盘）

• 治理与培训记录（董事会/合规委员会纪要、年度 AML 报告、培训签到/测验、内审/独立审查、整改闭环）
  形式上要做到：可检索、不可篡改（或有完整审计轨迹）、版本可追溯。

---

Q115：荷兰 CASP AML 体系最常见的“补件/不过关”原因有哪些？如何预防？

A：高频雷区（按实务优先级排序）：

1. 自托管钱包控制权与风险处置写不清（没有证据链、没有限额/审批/拒绝标准）—AFM 已把该点作为重点关注。

2. Travel Rule 机制缺失（字段不全、对端识别不清、缺失信息不处理）—EBA 指引明确适用节点与程序要求。

3. 交易监控只停留在“有系统”，拿不出规则库、阈值依据、工单闭环、有效性证明—DNB Good Practices 强调持续监控可证明性。

4. UTR/STR 流程不闭环（谁决定、时限、未申报原因、回执留存不清）—FIU-NL 明确申报义务范围。

5. 制裁合规只筛人不筛地址、命中后没有冻结/报告与内部定义—AFM 指引解读强调 CASP 制裁措施要可执行。

预防方法（一句话）：

把 AML 做成“制度 + 系统 + 证据链”三位一体，并用“样本演示包”提前演示：随机抽 10 个客户档案 + 10 笔告警工单 + 1 个 UTR 流程，从头到尾可复盘。

---

E. ICT/DORA/外包（Q116–Q150）

Q116 DORA与CASP关系？
A：DORA自2025-01-17适用，CASP建议以DORA标准建设ICT风险、事件、外包与韧性测试体系。
Q117 最关键ICT文件？
A：架构图、数据流、权限矩阵、密钥管理、多签/冷热钱包、日志、IRP、BCP/DR、渗透测试与整改。
Q118 冷热钱包怎么做“监管友好”？
A：分层权限+多签门限+关键人分离+签名仪式留痕+轮换+对账+审计轨迹。
Q119 HSM一定要吗？
A：不必然，但需证明密钥安全与控制强度达到同等或更高。
Q120 权限分离要到什么程度？
A：最小权限、四眼原则、关键操作双人复核、权限变更留痕。
Q121 渗透测试频率？
A：至少年度，重大变更后追加；并要整改闭环。
Q122 发生安全事件如何处理？
A：分级→隔离→取证→通报→恢复→复盘→整改（并留监管沟通稿）。
Q123 日志要求？
A：不可篡改、可检索、留存期明确、关键操作可追溯。
Q124 云上部署可否？
A：可，但需供应商尽调、数据位置、审计权、退出迁移、第三方访问控制。
Q125 外包清单要不要提交？
A：要；并说明尽调、SLA、审计权、退出机制。
Q126 供应链/开源风险怎么管？
A：代码审计、SBOM、漏洞响应、版本管理、供应链安全评估。
Q127–Q150（略：BCP/DR细化、RTO/RPO、SOC/7x24监控、内部作恶控制、平台刷量操纵监控、第三方托管责任边界等）

F. 客户保护/披露/投诉/营销（Q151–Q200）

Q151 客户资产必须隔离吗？
A：应建立隔离与对账机制，尤其托管/平台/兑换。
Q152 费用披露要多细？
A：交易费、点差、提现费、托管费、第三方成本、潜在返佣/利益冲突。
Q153 投诉机制怎么设计？
A：渠道、时限、分级、复核、升级、记录保存、复盘整改。
Q154 利益冲突怎么管？
A：政策+披露+隔离措施+审批与留痕（如做市/自营/返佣）。
Q155 适当性/适配性什么时候需要？
A：投顾/组合管理/复杂产品分销时必须强化。
Q156 专业客户如何认定？
A：设标准与证明清单，并明确适用保护水平差异。
Q157 营销材料要不要审批？
A：必须内部审批留痕，避免误导性表述。
Q158 能否宣称“受AFM监管”在申请阶段？
A：不建议；应使用合规措辞，避免误导（尤其过渡期敏感）。
Q159 错误转账如何处理？
A：工单机制、链上追踪、通知、争议处理与风险披露。
Q160 账户被盗怎么办？
A：异常登录监控、冻结、取证、通知与赔付框架。

---

F. 客户保护/披露/投诉/营销（Q161–Q180）

Q161：客户资金退回/赎回过程中的合规检查要点是什么？
A：退回/赎回时需再次进行 AML 风险评估（尤其 TFR、制裁、PEP、受益所有人穿透）、余额与链上资产映射一致、费用与风险披露一致、对账成功记录、适当性复核与投诉通道留痕。

---

Q162：客户账户关闭时合规需要保留哪些记录？
A：必须保留开户资料、KYC/EDD 文件、交易历史、监控日志、风险评级、投诉记录、关闭原因、资金/资产转出路径与对账文件，按 Wwft/税务/监管保存期限分别留存。

---

Q163：若客户投诉算法或撮合规则公平性，该如何回应？
A：需建立算法/撮合规则审核机制、公告板规则、交易日志审计流程、透明化说明，并产生书面回复与复核记录；如被监管质询，应提供规则文档、日志与解释说明。

---

Q164：能否向客户提供“风险评分”或“风险标签”？
A：可以，但需说明风险模型的方法论、字段定义、评分逻辑、更新规则、适用边界和披露文本；留存模型版本库与变更日志。

---

Q165：如何合规发布市场/产品公告？
A：公告需遵循费用/风险/限制披露，与实际系统执行一致；营销公告需内部合规审批程序与留痕；不可暗示未获授权提供服务。

---

Q166：是否需要披露外包合作方名称与职责？
A：建议在客户条款中披露关键外包服务方及其职责边界、数据使用范围与责任划分，同时记录审计权/退出方案；透明披露有助于客户保护评分。

---

Q167：客户风险评级模型要多久复核一次？
A：建议至少年度复核，业务模式变化、客户行为异常、监管要求调整时应即时触发再评估；并留存复核证据。

---

Q168：如果客户拒绝提供税务自我证明（DAC8 相关）怎么办？
A：应设明确政策说明拒绝后服务限制（如无法开户、限制交易等），并留存拒绝声明与对应通知文件；符合 DAC8/税务信息交换义务。

---

Q169：能否以“API调用条款”内置客户同意？
A：可以作为补充条款，但 核心 AML/KYC + 资金隔离 + 费用披露 + 风险提示 必须在开户流程中明确、单独获得客户确认并留存证据。

---

Q170：客户数据删除与 GDPR 如何合规兼顾？
A：按 GDPR 数据主体权利策略执行，同时考虑稽核/监管/税务/AML 的最长期限要求；需设“数据分类 + 留存/删除策略”。

---

Q171：当客户提出“信息访问更正权利”时怎么办？
A：设立标准流程：请求接收、验证身份、评估影响范围、实施更正、通知相关系统与监管（如必要），并留存操作记录与通知证据。

---

Q172：如何防止“客户欺诈/账户接管”？
A：建议设置异常登录/行为监控、MFA 强制、设备识别、风险评分规则、账户冻结策略、人工确认流程与复盘日志。

---

Q173：如何定义“专业客户”与“零售客户”？
A：需制定明确识别标准与证明文件清单，并说明适用的保护措施（披露、限制服务范围、适当性评估等），并留存分类证据。

---

Q174：是否需要客户适当性测试？
A：对于投顾与组合管理服务、复杂产品分销，建议执行适当性测试并保存问卷、结果与决策。

---

Q175：错误转账的处理流程如何写才稳？
A：应有：错误识别 → 通知客户 → 交易回滚或纠错方案 → AML/制裁复核 → 赔偿机制/记录留痕。

---

Q176：客户资产与公司自有资产如何隔离体现？
A：通过独立账簿系统、独立地址/账户、对账证明、审计轨迹、条款说明及定期审计证据清单。

---

Q177：是否允许营销返佣/做市返利？
A：可，但须披露利益冲突、返佣逻辑、对客户可能影响，且在费用披露中透明列示。

---

Q178：是否可以按客户风险等级定制费用？
A：可以，但需披露规则、分类标准、收费公式且能解释合理性。

---

Q179：如何处理客户负面媒体曝光？
A：建立媒体监控与客户风险复核机制，必要时升级为 EDD，并记录处理过程与结果。

---

Q180：客户账户冻结/解冻如何合规执行？
A：需政策明确冻结条件、审批流程、通知机制、申诉流程、解冻条件以及留存证据。

---

G. ICT/DORA/外包/安全（Q181–Q195）

Q181：DORA 在荷兰 CASP 的适用性如何理解？
A：虽然 MiCA 不直接写明 DORA 适用，但荷兰实践监管倾向认为具系统风险与持续运营潜在影响的实体应按 DORA 标准建设，尤其 ICT 风险管理、事件通报、第三方外包治理与韧性测试。

---

Q182：外包方案的关键合同条款都必须包含什么？
A：至少包括 SLA/KPI、审计权、数据控制与访问路径、保密、退出/转迁机制、服务中断应急计划、合规/制裁条款、供应链分包限制。

---

Q183：渗透测试频率与报告要求是什么？
A：建议至少年度一次 + 重大变更后补测；报告应包含漏洞评级、整改计划与验证闭环。

---

Q184：如何定义“关键外包”与“重要系统”？
A：按对业务连续性/风险影响/数据敏感度分类；任何影响持续运营、客户资产安全或监控规则执行的外包均视为关键。

---

Q185：日志保留策略应该具备哪些要素？
A：覆盖系统访问、交易指令、审批/复核路由、错误与异常、外包接口日志、审计轨迹，留存周期按 AML/税务/监管最长要求执行。

---

Q186：BCP/DR 演练应该包括哪些场景？
A：云服务中断、关键供应商不可用、钱包系统宕机、DDoS 攻击、数据泄露、交易处理失败、链上节点不同步、合规系统无法运行。

---

Q187：系统重大变更上线前需要什么验证？
A：应有 UAT + 安全测试 + 兼容性测试 + 冗余验证 + 回滚策略，并留存执行日志与结果。

---

Q188：外包审核频率建议是什么？
A：建议至少每年一次，并在风险阈值触发时提前复核。

---

Q189：供应商集中风险怎么管？
A：建立供应商依赖度评估、分散策略、替代方案、行业健康监控与退出计划。

---

Q190：是否要做供应链安全评估？
A：强烈建议（尤其开放源代码组件与商业第三方依赖），并留存评估报告。

---

H. 税务/法律/架构/跨境（Q191–Q200）

Q191：荷兰是否对加密资产交易收入征 VAT？
A：标准 VAT 率在荷兰为 21%，但加密资产交易的 VAT 征收取决于服务性质与税务顾问判断；建议做“收费项目→VAT属性→申报路线”税务备忘录。

---

Q192：加密资产是否作为资本性资产或流动资产？
A：按荷兰会计与税务准则判定；通常作为资产估值披露，收益/损失按会计与税务区分处理；建议提供税务备忘录。

---

Q193：非欧盟客户的收入是否有预提税？
A：预提税取决于收入类别（服务费/利息/版税/股息），并受税协条款影响；需税务建议与实质分析。

---

Q194：是否需要在荷兰设本地银行账户？
A：没有强制要求必须在本地，但需保证账户可被审计触达、与客户资金隔离机制一致；若与银行合作受制于开户政策。

---

Q195：如何对接监管检查？
A：应提前建立监管检查响应机制，包括材料索引、负责人、时间期限、问答记录、版本控制与证据链仓库。

---

Q196：CASP 如何理解“持续合规是运营的一部分”？
A：持续合规不仅是年度报告，而是每个交易、每次更新、每个系统变更、每次客户旅程中的触发点都要与制度一致并留痕。

---

Q197：项目进度延误会带来什么监管风险？
A：过渡期（如 DNB 登记主体的 2025-06-30 截止）错过可能被认定为“无正当理由无牌经营”；提前沟通与备案策略尤为关键。

---

Q198：CASP 是否需要指定合规举报渠道？
A：强烈建议设立内部举报渠道，并与内部调查机制/处罚措施联动。

---

Q199：如何证明“政策在实际运作”？
A：通过抽样记录 + 系统日志 + 审计轨迹 + 决策文件显示制度、流程、系统和证据链一致。

---

Q200：最常见的荷兰 MiCA CASP 申请失败/补件原因有哪些？
A：

1. 股东/UBO SoF/SoW 资金路径不闭环；

2. 关键岗位不符合胜任性；

3. AML 体系只是文件没有运行证据；

4. 交易监控规则空泛无工单/复核；

5. 钱包密钥管理与权限不严；

6. 外包合同缺审计权/退出方案；

7. 客户资产隔离与对账链条不清；

8. 外包与第三方风险不可控；

9. Travel Rule 路径不完整；

10. 监管补件应答不及时或逻辑不清。

---

仁港永胜建议（唐生结论）

证据链不是“留着看”，而是“可检索、可审计、可解释”的资产。
每一个 FAQ 的回答都应在你的制度与系统中找到对应的“落地证据”。
替代规则不是风险管理；可审计机制才是监管真正的判断依据。

---

15）我司服务建议与配套说明（交付包/流程/沟通节奏）——荷兰版

15.1 交付包（建议“一个包搞定申请+可运营”）

• 申请主文件：Programme of Operations、Business Plan（含三年预测/压力测试）、审慎保障方案

• 治理与适任性：董事会章程、授权矩阵、三道防线、Fit&Proper全套（董事/高管/关键岗位）

• AML/Wwft体系：AML手册、风险评估、CDD/EDD、制裁/PEP、交易监控规则库、STR决策树与留痕模板

• ICT/DORA体系：系统架构与数据流、钱包安全（冷热/多签/密钥）、日志与审计轨迹、IRP、BCP/DR、外包治理（尽调+合同条款库+退出计划）

• 客户保护与合同：T&C、风险披露、费用披露、投诉机制、利益冲突政策、营销合规审批流程

• 项目管理：A–I Master Index、RACI、甘特图、RFI应答模板、Q&A log、版本管理与证据库结构

15.2 流程与节奏（“周节奏+里程碑验收”）

• 每周例会：合规/法务/技术/运营四方30–60分钟

• 双周里程碑验收：PoO/BP、AML、ICT、外包、客户条款分别出“可审查版本”

• RFI战情室机制：监管补件48–72小时内形成“证据链式答复”

---

16）该国 CASP 合规与报告制度（MiCA + 本国 AML 法/监管报表）——荷兰版

16.1 MiCA主线（CASP持续义务）

• 运营方案一致性（实际业务不得超出授权范围）

• 公司治理与适任性持续满足（董事/高管/关键岗位变更纳入报备）

• 客户保护（资产隔离、披露透明、投诉机制、利益冲突管理）

• 外包与第三方可控（尽调、SLA、审计权、退出计划）

16.2 荷兰AML主线（Wwft + 制裁体系）

• DNB对Wwft的公开说明强调：CDD与交易监控需要按风险为本持续进行。

• AFM也发布与Wwft/制裁相关的附录指引文件（作为合规设计的重要参考）。

• FIU年度回顾可用于理解报告群体与监管关注（用于内控与培训材料）。

16.3 荷兰监管切换与过渡期管理（非常关键）

• 监管公开信息显示：MiCAR下CASP许可要求已启动，且对DNB登记主体给出到2025-06-30的过渡安排。

---

17）税务与法律配套（CIT/VAT/预提税/雇佣/架构建议）——荷兰版

税务会随年度政策变化，以下以公开资料中“2025税率口径”作项目预算参考；正式落地应由税务师按你们收费模式（点差/手续费/订阅/API/托管费/返佣/做市）逐项定性。

17.1 企业所得税（CIT, 2025口径）

• 荷兰2025年企业所得税常见两档：≤€200,000 为 19%，>€200,000 为 25.8%。

17.2 增值税（VAT）

• 标准税率常见口径为21%（具体服务是否豁免/适用需逐项判断，尤其交易相关费用属性、B2B/B2C跨境数字服务）。

• 建议交付物包含：“收费项目→VAT属性→开票与申报路径（含OSS适用性）”税务备忘录。

17.3 预提税（WHT）与跨境支付（结构重点）

• 重点不在“有没有WHT”，而在：集团内服务费/技术费/特许权使用费/利息/股息的受益所有人、实质、转让定价与反避税风险。

• 若上层结构含HK/BVI/Cayman等，应准备实质与商业目的说明，避免税务与监管双重质疑。

17.4 雇佣与薪税

• 工资税/社保成本直接影响三年预算；可参考荷兰税务机关的年度税率信息入口作为预算依据。

• 若大量远程雇佣/跨境派遣：需评估常设机构（PE）与薪税合规。

17.5 架构建议（合规可解释优先）

• CASP（荷兰实体）+ 支付/EMI合作方：清晰划分客户法币收付责任边界

• 关键外包尽量欧盟内：降低数据可触达与审计权不确定性

• 集团服务费：配套转让定价文档与服务实质证据链

---

18）后续监管趋势与政策走向（ESMA Level 2/3、AMLA、DAC8 等）——荷兰版

18.1 ESMA Level 2/3：模板化、数据化、可审计化

• 趋势：监管越来越看重数据字典、报送可生成、口径一致性（条款披露/系统执行/监控阈值一致）。

• 建议：申请阶段就把报表字段字典 + 日志策略 + 证据链归档结构纳入交付。

18.2 AMLA：欧盟反洗钱监管更集中、更一致

• DNB与市场研究普遍指出完整性风险与监管趋严方向；加密行业将更强调“有效运行”的AML体系。

18.3 DAC8：税务穿透与数据治理前置

• 趋势：对CASP的数据采集、分类、对账、留存提出更高要求（客户税收居民信息、自证、交易分类、价值计量、钱包/地址映射）。

• 建议：把DAC8/CARF字段提前纳入开户与交易数据模型，避免未来重构系统。

---

19）项目实操建议（三阶段法：Preparation / Application / Post-Licence）

Phase 1｜Preparation（准备期：把“可递交、可审计、可补件”打磨成型）

目标：在递交前把监管最关注的“硬骨头”一次性做扎实：股东穿透与资金来源、关键岗位适任、AML与客户保护、ICT安全与外包治理、财务可持续。

1.1 业务边界定稿（MiCA 服务清单映射）

• 明确你申请的 CASP 服务项：

  • 代表客户执行订单 / 自营交易 / 投资建议

  • 托管与管理（custody & administration）

  • 兑换（crypto-crypto / crypto-fiat）

  • 接收与传递订单、下单撮合、发行与上架等

• 输出：服务矩阵（每一项服务对应：流程图、系统模块、风控点、披露文本、AML控制点、外包点、报告义务点）。

1.2 治理与人员先行（把“人”与“权责线”做成证据链）

• 先确定：董事会结构、执行管理层、三道防线（1st/2nd/3rd line）、关键控制职能：合规、MLRO、风险、内审、ICT/信息安全负责人、数据保护（DPO 若适用）。

• 输出：组织架构图 + RACI 职责矩阵 + 委员会章程 + 关键岗位JD + 汇报线证明（独立性）。

1.3 AML/CFT/CPF（以荷兰 Wwft 实务口径“落到流程与系统”）

• 把 AML 写成“可操作”：客户分级、EDD触发、链上分析、交易监控规则库、制裁筛查、STR流程、冻结/拒绝/退出机制。

• 输出：AML手册 + 风险评估（EWRA）+ CDD/EDD作业指引 + STR playbook + 培训与抽检计划。

• 备注：荷兰长期对金融机构 AML 执行要求较严，材料必须体现“董事会负责 + 可追踪记录 + 可复核抽检”。（荷兰 AML 框架来源于 Wwft 等国内法体系与欧盟指令落地，监管实务通常要求“流程证据化”。）

1.4 ICT/安全/外包（MiCA + DORA 思路）

• 即使 DORA 是否直接适用需按机构属性判断，但监管预期会明显向 DORA 靠拢（尤其：外包、重大事件、渗透测试、BCP/DR、供应链风险）。

• 输出：信息安全政策、密钥管理、冷热钱包策略、多签与权限分层、审计日志、漏洞管理、事件响应、BCP/DR、外包登记册。

1.5 财务与资本规划（“开业后 12–24 个月仍能活”的证明）

• 监管会看：收入假设是否保守、成本是否覆盖（人员/审计/法律/保险/安全/外包/合规系统）、是否有持续资本补足机制。

• 输出：三年 BP 财务模型（Base/Downside/Stress）+ 资本与流动性计划 + 资金隔离与客户资产对账机制。

---

Phase 2｜Application（申请期：递交—补件—面谈—定稿）

目标：把“文档项目管理”当成监管项目推进，确保补件可控、版本一致、口径统一。

2.1 预沟通（Pre-Application pack）

• 建议先准备 20–30 页“监管沟通包”：

  • 业务模式、客户类型与地域、关键风险、控制措施、外包概览、钱包与安全概览、客户资产隔离、预计上线节奏。

• 好处：提前暴露难点，减少正式补件轮次。

2.2 正式递交（Master Checklist A–I）

• 以“条目编号 + 证据附件 + 版本号 + 负责人”方式递交；补件时能快速定位、避免前后矛盾。

2.3 监管问询与面谈（Q&A pack）

• 把所有问答沉淀成：监管问答库（含引用证据与附件编号），做到“一个问题 = 一个标准答案 + 一个证据包”。

---

Phase 3｜Post-Licence（持牌后：持续合规与扩张）

目标：把“牌照能力”变成“可持续运营能力”，为 EU passporting / 产品扩张做准备。

• 建立：年度合规计划、内审计划、监管报送日历、外包年度复核、渗透测试与演练计划、培训与胜任力评估。

• 扩张前置：新增服务/新增国家展业/新增外包/系统重大变更 → 先做影响评估 + 变更报备策略，避免踩线。

---

20）我司可提供的配套文件清单（BP、AML、Risk Register、Q&A pack、图表等）

交付目标：可递交、可审计、可补件、可运营（不是“写得好看”，而是“经得起检查与复核”）。

20.1 申请核心交付包（递交版）

1. Programme of Operations（PoO）：服务范围、流程、客户类型、外包、系统、风控

2. Business Plan + 三年财务模型（含压力测试）

3. 治理与适任性包：组织架构、三道防线、岗位JD、Fit & Proper 证据链

4. AML/CFT/CPF 全套制度：EWRA、CDD/EDD、Travel Rule、监控与STR、制裁

5. ICT/安全包：钱包与密钥管理、权限分层、多签、日志、事件响应、BCP/DR

6. 外包治理包：外包登记册、尽调模板、合同条款清单、退出计划

7. 客户保护文件：条款、披露、费用表、利益冲突、投诉机制、适当性/适配性

8. 监管问答包（Q&A pack）：面谈题库 + 标准答案 + 证据索引

9. 图表与可视化：端到端流程图、资金流/币流图、冷钱包签名示意图、RACI矩阵图

20.2 持牌运营交付包（上线版）

• 年度合规计划、合规监控与抽检表、STR演练脚本、事件响应演练脚本

• 监管报送日历（按月/季/年）

• 供应商年度复核与KPI/KRI模板

• 员工培训课件（入职/年度/岗位专项）与考试题库

---

21）唐生结论：荷兰在 MiCA 版图中的定位

结论要点（唐生观点）

1. 荷兰的合规文化偏“强执行、重证据、重内控”：材料不能停留在“政策宣示”，必须做到“流程化、系统化、可追踪”。

2. 适合“面向欧盟客户、重视机构信誉与长期经营”的团队：如果你希望在 EU 做稳做长，荷兰的风格与市场认知通常更匹配。

3. 挑战在于 AML/治理/ICT 的门槛感更强：尤其客户资产隔离、钱包安全、外包治理、交易监控与制裁筛查，往往需要较成熟的体系。

4. 拿到牌照后的价值在于“合规能力可复制”：当你把荷兰的标准跑通，再去做 MiCA 护照扩张，会明显更顺畅（但前提是内部运营真的能扛检查）。

5. 合规服务：选择一间专业专注的合规服务商协助牌照申请收购及后续维护及合规指导尤为重要，在此推荐选择仁港永胜。

---

22）项目执行计划与甘特图（里程碑）

下面给你一个“可落地”的里程碑模板（按周），实际会根据业务复杂度、人员到位情况与监管问询强度调整。

22.1 典型时间轴（示例）

W1–W2｜立项与差距评估

• 服务范围定稿、结构与股东穿透路径、关键岗位缺口清单

• 输出：Gap Report + 里程碑计划 + 预算

W3–W6｜制度与治理搭建

• 治理文件、三道防线、AML框架、客户保护框架

• 输出：PoO 大纲 + AML 1.0 + 客户条款 1.0 + 外包框架 1.0

W7–W10｜ICT与安全打磨

• 钱包策略、多签与权限、日志、渗透测试计划、BCP/DR

• 输出：ICT Security Pack 1.0 + 外包登记册 + 供应商尽调包

W11–W14｜申请文件整合（Master Checklist A–I）

• 所有附件编号化、证据链补齐、版本冻结

• 输出：Application Pack（递交版）

W15+｜递交后窗口（问询/补件/面谈）

• Q&A pack 滚动更新、补件迭代、管理层面谈演练

• 输出：补件包 + 面谈记录 + 最终版定稿

---

23）监管审查重点矩阵（资本/适任性/AML/ICT/客户保护/护照）

审查主题	监管关注点（你必须证明什么）	常见“卡点”
资本与可持续经营	资本满足要求且可持续，收入假设合理，能覆盖合规与安全成本	低估合规/安全/审计成本；缺乏压力测试与补资机制
董事/高管适任性	胜任力、诚信、时间投入、无不良记录；治理结构有效	人员“挂名”、职责不清、独立性不足
AML/CFT/制裁	风险评估到位；CDD/EDD/监控/STR闭环；记录可追踪	只有政策没有流程；监控规则空泛；制裁筛查与Travel Rule落地不足
ICT/钱包/安全	密钥安全、访问控制、日志审计、事件响应、BCP/DR、外包治理	冷热钱包策略不清；多签与权限不合理；供应商风险不可控
客户保护	资产隔离、披露透明、费用清晰、投诉可执行、利益冲突可管理	条款模板化；费用披露不充分；隔离与对账机制不可信
护照与跨境展业	跨境目标国合规准备；营销合规；客户地域限制与制裁国家控制	把“passport”当成自动通行；忽视目标国消费者保护/营销规则

---

24）结论与行动建议

24.1 结论与行动建议（最关键三条）

1. 先定服务范围，再定系统与制度深度：PoO 是申牌核心，范围不清会导致材料反复与补件爆炸。

2. UBO/SoF/SoW 一次性闭环：这是最常见的卡点，建议最先做。

3. ICT 直接 DORA 化：2025-01-17 起适用，越早按该标准建设，越少后期整改。

24.2 申请建议

• 英文主文档 + 关键法定文件按需要准备认证译本

• 建“RFI 战情室”，形成补件 SLA 与证据索引

• 建立持续合规归档机制：培训、抽查、演练、日志、STR 决策记录从申请期就开始留痕

• 过渡期主体务必倒排节点：AFM 明确 2025-06-30 节点

• 合规服务：选择一间专业专注的合规服务商协助牌照申请收购及后续维护及合规指导尤为重要，在此推荐选择仁港永胜。

24.3 选择仁港永胜的好处优势

• 一体化交付：MiCA/CASP 申请文件 + AML + ICT/DORA + 外包治理 + 客户条款披露“同一套逻辑、同一套证据链”。

• 强模板库：BP、PoO、Risk Register、STR 决策树、外包尽调清单、面谈题库、RFI 应答包、护照通报包等可直接落地。

• 重实操与通过率：以“可审计、可验证、可解释”的结构组织材料，降低被退回与反复补件概率。

24.4 关于仁港永胜

仁港永胜（香港）有限公司（Rengangyongsheng (Hong Kong) Limited）为专业的合规与金融咨询服务机构，我们专注全球金融牌照申请与持续合规：MiCA/CASP、VASP、EMI/PI、交易所/经纪牌照、AML/CFT 体系建设、DORA 外包与ICT合规、以及持牌后年度维护。我们在香港、深圳及多个司法辖区协同配置合规团队，可为客户提供从战略评估 → 申请文件编制 → 面谈辅导 → 监管沟通 → 持牌后持续合规的一站式服务支持。

仁港永胜（香港）有限公司 | Rengangyongsheng (Hong Kong) Limited
官网：jrp-hk.com
香港：852-92984213（WhatsApp）
深圳：15920002080（微信同号）

办公地址：

• 香港湾仔轩尼诗道253-261号依时商业大厦18楼

• 深圳福田卓越世纪中心1号楼11楼

• 香港环球贸易广场86楼

注：本文涉及的模板/清单/电子档（如 Master Checklist、制度模板包、面谈题库等）可向仁港永胜唐生有偿索取。

免责声明

本文由仁港永胜（香港）有限公司拟定，并由唐生（Tang Shangyong）提供专业讲解。本文所载内容仅供一般信息与项目沟通之用，不构成法律、税务、审计或投资建议。具体监管要求、申请材料口径、费用及审查尺度以欧盟 MiCA 正式文本、ESMA/EBA 技术标准及荷兰 Netherlands主管机关（AFM（Dutch Authority for the Financial Markets））最新公布为准。仁港永胜保留对本文内容进行更新与修订的权利。如需针对贵司业务模式提供可落地的合规方案、文件编制与申请支持，请联系仁港永胜获取专业协助。

---

---

荷兰 Netherlands（MiCA）加密资产服务提供商（CASP）牌照申请注册指南,荷兰加密牌照,荷兰CASP牌照,荷兰MiCA牌照,荷兰MiCAR牌照,荷兰加密资产服务提供商牌照,荷兰虚拟资产服务提供商牌照,荷兰加密交易所牌照,荷兰MiCA框架牌照,荷兰MiCAR框架牌照,荷兰加密牌照申请,荷兰加密牌照注册,荷兰加密牌照指南,荷兰加密牌照流程,荷兰加密牌照条件,荷兰加密牌照要求,荷兰加密牌照费用,荷兰加密牌照服务,荷兰加密牌照转让,荷兰加密牌照出售,荷兰加密牌照办理,荷兰加密牌照中介,荷兰加密牌照咨询,申请荷兰CASP牌照,注册荷兰CASP牌照,办理荷兰CASP牌照,荷兰CASP牌照申请指南,荷兰CASP牌照注册流程,荷兰CASP牌照申请条件,荷兰CASP牌照申请费用,荷兰CASP牌照申请服务,荷兰MiCAR牌照申请指南,荷兰MiCAR牌照注册流程,荷兰MiCAR牌照申请条件,荷兰MiCAR牌照申请费用,荷兰MiCAR牌照申请服务,荷兰加密资产服务商（CASP）牌照,荷兰（MiCA）加密资产服务商（CASP）牌照,荷兰（MiCA）加密资产服务商（CASP）牌照申请注册,荷兰（MiCA）加密资产服务商（CASP）牌照出售转让,荷兰 MiCAR加密资产服务提供商（CASP）牌照,申请注册荷兰 MiCAR加密资产服务提供商（CASP）牌照,荷兰（MiCA）框架下之加密资产服务商（CASP）牌照申请注册指南,申请注册荷兰加密资产服务提供商（MiCAR）牌照详细介绍,荷兰加密资产服务提供商（MiCAR）牌照申请服务指南,申请注册荷兰加密交易所MiCAR牌照,荷兰（MiCAR）虚拟资产服务提供商牌照,荷兰虚拟资产服务提供商牌照,荷兰MiCAR虚拟资产服务提供商牌照申请完整指南,荷兰MiCAR虚拟资产服务提供商牌照申请,荷兰MiCAR牌照,申请荷兰MiCAR常见问题解答,Dutch CASP license,Dutch MiCA license,Dutch MiCAR license,Dutch crypto asset service provider license,Dutch VASP license,Dutch cryptocurrency exchange license,Dutch MiCA framework license,Dutch MiCAR framework license,apply for Dutch crypto license,register Dutch crypto license,Dutch crypto license application guide,Dutch crypto license registration process,Dutch crypto license requirements,Dutch crypto license conditions,Dutch crypto license cost,Dutch crypto license service,buy Dutch crypto license,transfer Dutch crypto license,obtain Dutch crypto license,Dutch crypto license consultant,Dutch crypto license intermediary,apply for Dutch CASP license,register for Dutch CASP license,Dutch CASP license application guide,Dutch CASP license registration process,Dutch CASP license requirements,Dutch CASP license cost,Dutch CASP license service,Dutch MiCAR license application guide,Dutch MiCAR license registration process,Dutch MiCAR license requirements,Dutch MiCAR license cost,Dutch MiCAR license service,Dutch Crypto-Asset Service Provider (CASP) license,Dutch (MiCA) Crypto-Asset Service Provider (CASP) license,apply for Dutch (MiCA) Crypto-Asset Service Provider (CASP) license,register Dutch (MiCA) Crypto-Asset Service Provider (CASP) license,buy Dutch (MiCA) Crypto-Asset Service Provider (CASP) license,transfer Dutch (MiCA) Crypto-Asset Service Provider (CASP) license,Dutch MiCAR Crypto-Asset Service Provider (CASP) license,apply for Dutch MiCAR Crypto-Asset Service Provider (CASP) license,register Dutch MiCAR Crypto-Asset Service Provider (CASP) license,complete guide to applying for Dutch (MiCA) Crypto-Asset Service Provider (CASP) license,detailed guide to applying for Dutch Crypto-Asset Service Provider (MiCAR) license,Dutch Crypto-Asset Service Provider (MiCAR) license application service guide,apply for Dutch cryptocurrency exchange MiCAR license,Dutch (MiCAR) Virtual Asset Service Provider (VASP) license,Dutch Virtual Asset Service Provider (VASP) license,complete guide to applying for Dutch MiCAR Virtual Asset Service Provider (VASP) license,apply for Dutch MiCAR Virtual Asset Service Provider (VASP) license,FAQ about applying for Dutch MiCAR license