首页 > 加密货币牌照

毛里求斯 Mauritius VASP 牌照申请注册指南，Mauritius VASP License Registration Guide

时间：2026-01-06 12:07:04 阅读：233

《毛里求斯 Mauritius VASP 牌照申请注册指南》

Virtual Asset Service Provider (VASP) Licence（许可）/ Registration（登记）— Mauritius
本文由仁港永胜（香港）有限公司拟定，并由唐生（唐上永，Tang Shangyong）提供专业讲解。

适用对象：计划以毛里求斯作为离岸/国际运营枢纽，在 “in or from Mauritius（在毛里求斯境内或从毛里求斯开展）” 提供虚拟资产服务（交易撮合/经纪、钱包、托管、咨询、市场平台等），并希望在成本、税务与公司架构上保持友好、面向国际客户展业的机构。
监管核心：毛里求斯 Financial Services Commission (FSC Mauritius) 是 VAITOS Act 下对 VASP 的许可与 AML/CFT 监管机关。

✅ 点击这里可以下载 PDF 文件：毛里求斯Mauritius VASP 许可证常见问题解答（FAQ）
✅ 点击这里可以下载 PDF 文件：毛里求斯 Mauritius VASP 牌照申请注册指南
✅ 点击这里可以下载 PDF 文件：关于仁港永胜

注：本文模板、清单、Word/PDF 可编辑电子档，可向仁港永胜唐生有偿索取（用于监管递交与内部落地）。

牌照核心信息

国家/地区：

毛里求斯 Mauritius

牌照英文正式名称：

Virtual Asset Service Provider (VASP) Licence（按业务类别分为 Class M / O / R / I / S）

注：在毛里求斯 VASP 是“licence（许可/牌照）”；“registration（登记）”主要对应 Issuers of Initial Token Offerings（ITO 发行人） 的监管框架表达。

中文名称：

虚拟资产服务提供商牌照（VASP 牌照）
（可在括号注明：Class M 经纪/撮合、Class O 钱包服务、Class R 托管、Class I 咨询、Class S 市场平台/交易平台）

监管机构：

Financial Services Commission, Mauritius（FSC Mauritius）

许可展业范围：（按 VAITOS Act 对“virtual asset service”的定义与 FSC 分类口径，交付版建议写成“以批复为准”）

经纪/撮合/交易相关服务（Broker-Dealer，Class M）
钱包服务（Wallet Services，Class O）
虚拟资产托管/保管客户虚拟资产（Custodian，Class R）
虚拟资产咨询/与发行相关金融服务（Advisory，Class I）
虚拟资产市场平台/交易平台（Market Place，Class S）

实务表述（可放在一行）：“交易/撮合、转移/兑换（视批复）、钱包、托管、咨询及市场平台运营等虚拟资产服务（按 VAITOS Act 定义及 FSC 批准范围执行）”。

适合群体：

离岸控股 + 毛里求斯持牌运营（面向国际客户）
追求成本/税务与公司架构友好，同时希望处于有明确立法与持牌分类的司法辖区
能够接受并落实 “in or from Mauritius” 的实质经营（Substance）+ AML/CFT + Travel Rule + 网络安全要求的团队

唐生一句话结论：

毛里求斯 VASP 属于“有主法（VAITOS）+ 有细则（FSC Rules）+ 有类别（M/O/R/I/S）”的合规牌照体系，适合国际业务落地，但审批与持续监管会重点审查实质经营、托管控制与 AML/Travel Rule 的可运行证据链。

第0章｜指南使用说明（How to Use This Guide）

0.1 本指南的“交付级”用途（Deliverable Use-Cases）

本指南不是市场宣传稿，而是面向以下三类“可交付场景”编制：

项目立项与路径设计：在申请前，把业务边界、牌照类别（Class M/O/R/I/S）、客户对象与风险画像先锁定，避免“选错牌照/补件反复”。（牌照类别与费用清单见 FSC Codified List）
递交材料编制蓝本：将本指南的章节直接拆分成制度文件与申请附件（Business Plan、Governance、AML/CFT、Travel Rule、Cybersecurity、Custody、Risk Management 等）。VAITOS Act 适用于“in or from Mauritius”的 VASP 业务，是你所有制度写作的法律底座。
监管问答与证据链准备：FSC 审批与后续检查最看重“制度+流程+系统证据链”一致（例如：谁能审批提币、谁能改风控规则、谁能访问私钥域、日志如何留痕、如何提交 STR、如何做制裁筛查与 Travel Rule）。相关义务分别在 VAITOS Act 与配套 Rules 中形成闭环。

0.2 阅读与落地方法（Recommended Workflow）

建议按“先定边界 → 再定牌照组合 → 再做制度与系统证据链 → 再递交”的顺序执行：

Step A｜业务边界确认（Perimeter Check）

你提供的服务是否属于 VAITOS Act 的监管对象？
你是否属于 Act 明确排除范围？（例如：闭环积分、数字化法币/证券/央行数字货币等）

Step B｜牌照类别选择（Licence Class Selection）

对照 FSC 的 5 类牌照：Class M / O / R / I / S（并确认是否需要多类叠加）。

Step C｜“制度—流程—系统证据链”三件套（Three-Layer Evidence Kit）

制度（Policy）写清楚“规则是什么”；
流程（SOP）写清楚“谁在什么时候做什么”；
证据链（Evidence）证明“系统确实这样跑、能审计追溯”。
（例如托管：钥匙控制=制度 + 多签审批=流程 + 审批日志/链上签名记录=证据链）

Step D｜递交与补件管理（Submission & Q/A Log）

FSC 线上平台（FSC One）建议以“版本控制+补件台账”方式管理每一轮问答。

0.3 本指南的输出格式建议（Document Pack Structure）

为了“可直接交付”，唐生建议把全文拆成 4 个包：

包1｜申请主文档（Application Core Pack）：封面Key Facts、业务说明书、牌照类别与组合策略、治理结构、财务与资本、Substance。
包2｜制度文件（Policies & Manuals）：AML/CFT、Travel Rule、Cybersecurity、Custody、Risk Management、Client Disclosures。
包3｜台账与模板（Logs & Templates）：审批日志、访问权限复核、STR 案件档案、制裁命中复核、事件响应记录。
包4｜技术与证据链（Tech & Evidence）：系统架构图、权限矩阵、多签流程图、日志留存说明、灾备演练记录。

注：本章建议直接作为你《指南说明/使用方式/交付清单》的“第0章”，后续每章末尾都可以追加“交付附件编号”。

第1章｜司法辖区定位与监管边界（Jurisdiction Positioning & Perimeter）

1.1 毛里求斯 VASP 监管定位（Where Mauritius Sits）

毛里求斯对虚拟资产采取“主法 + 细则 + 分级牌照”路径：

主法（VAITOS Act）：定义监管对象、适用范围与排除项，并规定 VASP/ITO 监管框架。
细则（FSC Rules 2022）：资本与财务资源、客户资产托管、网络安全、风险管理、法定报表/重大变更等配套要求（均以“in or from Mauritius”为适用边界）。
分级牌照（Class M/O/R/I/S）：由 FSC 在收费清单与许可标准中明确分类。

实务结论（监管视角）：
毛里求斯适合做国际客户导向的持牌运营枢纽，但不等同“轻监管”；其审批与持续监管核心会落在：

业务是否属于 VAITOS Act 监管范围；
是否真实做到“in or from Mauritius”的运营与治理（Substance/治理/人员/控制权）；
AML/CFT、客户资产保护、网络安全是否“可运行、可审计”。

1.2 监管边界的第一原则：“in or from Mauritius”

VAITOS Act 明确规定：本法适用于任何 在毛里求斯境内或从毛里求斯开展业务（in or from Mauritius） 的 VASP 及 ITO 发行人。

你在项目中需要写成“判定标准（Perimeter Test）”：
以下任一项成立，通常就会落入“in or from Mauritius”的监管范围（交付版建议逐条自评并留痕）：

合同主体是毛里求斯公司（Terms/客户协议）；
管理与控制（mind & management）在毛里求斯发生（董事会/关键决策/风控审批）；
关键职能在毛里求斯履行（合规、MLRO、风险、托管控制、系统安全）；
从毛里求斯进行客户获取或技术/运营支持；
客户资产托管/控制权（私钥域/多签门限）由毛里求斯持牌主体掌握或主导。

唐生交付写法建议：把“监管触发因素”做成一页表格（Yes/No + 证据材料），在申请包中作为附件“Perimeter Assessment”。

1.3 法律排除项（Out-of-Scope / Exclusions）——必须写清楚避免误判

VAITOS Act 同时列出了不适用的范围（典型包括）：

闭环、不可转让/不可兑换、且不能用于支付或投资用途的 closed-loop items；
法币、证券及其他金融资产的数字化表达；
央行数字货币；
以专业身份提供某些服务/或提供第三附表列明的“ancillary services”等（需结合具体活动判断）。

唐生交付建议：
在你的业务说明书中，必须写一段“不涉及的事项清单”，并解释为什么不涉及（例如：不发行证券型代币、不做衍生品、不经营 closed-loop 积分等），减少监管对边界的追问。

1.4 与其他金融监管的边界（常见踩线点）

（A）证券/衍生品边界（Token Characterisation）

VAITOS Act 排除了“digital representations of securities and other financial assets”。这意味着：

一旦你提供的产品/代币在实质上落入证券或其他金融资产监管边界，可能需要进入其他金融法框架（而非仅靠 VASP 牌照）。

交付建议：
为上币/代币设计准备一份《Token Characterisation Memo》：

权利属性（股权/债权/收益权/治理权）
分红/回购/收益承诺
二级市场流通与营销表述
与证券/集体投资计划（CIS）的相似性分析

（B）托管边界：是否“控制客户资产”

Custody Rules 对“holding”的解释非常关键：

“holding”指通过 private key 或等效机制对虚拟资产行使控制权。

因此，只要你的模式触及“控制私钥/能动用客户资产”，就要按托管/客户资产保护的规则体系来设计结构、流程与证据链。

第2章｜监管机构与法律框架（Regulator & Legal Framework）

2.1 监管机构：FSC Mauritius 的角色（One Regulator, Multiple Hats）

FSC Mauritius 是 VAITOS Act 下：

VASP 的许可机关（licensing/approval）；
与 VASP 相关的持续监管机关（ongoing supervision）；
配套 Rules 的制定与执行机关（资本、托管、网络安全、报表等）。

2.2 法律框架金字塔（Legal Hierarchy）

建议你在申请包中用一张“金字塔图”展示法律依据（监管最爱看结构清晰的）：

VAITOS Act（主法）：适用范围（in or from Mauritius）、排除项、基本定义与许可框架。
FSC Rules 2022（配套细则）：
- Capital & Other Financial Requirements Rules（资本与审慎要求，含多牌照叠加资本规则）
- Custody of Client Assets Rules（客户资产托管与私钥控制、第三方托管定义等）
- 其他主题规则（风险管理、法定报表/重大变更、客户披露、网络安全等——在指南后续章节逐章展开）
FSC Licensing Criteria（许可标准）：按 Class 出具的“申请必须满足的清单式要求”（如董事结构、驻毛董事、人员计划、合规安排等）。以 Class S 的许可标准为例：要求董事会至少 3 名董事、一定比例独立董事、且至少 1 名常驻毛里求斯董事，并要求提交三年 staffing plan 等。
FSC Fees / Codified List（费用清单）：明确 VASP 五类牌照的 processing fee 与 annual fee。

2.3 许可类别与费用锚点（Licence Classes & Fee Anchors）

FSC Codified List 明确 VASP 的五类牌照代码与费用（示例）：

VA–1.1 Class M（Broker-Dealer）：processing fee / annual fee
VA–1.2 Class O（Wallet Services）：processing fee / annual fee
VA–1.3 Class R（Custodian）：processing fee / annual fee
VA–1.4 Class I（Advisory）：processing fee / annual fee
VA–1.5 Class S（Market Place）：processing fee / annual fee

交付建议：
在首页 Key Facts Box 写明：

“拟申请类别：Class __ / __（可多选）”；
“费用参考：按 FSC Codified List 公开收费表执行（processing + annual）”。

2.4 资本与审慎框架（Capital & Prudential）

Capital Rules 2022 的关键点（写进申请书“财务资源”章节即可）：

适用于所有 in or from Mauritius 的 VASP；
要求 VASP 始终保持“足够的 unimpaired capital 与 liquidity resources”，并与业务规模、复杂度、外包风险等匹配；
若持有多类牌照，应满足“叠加后的综合资本要求”。

2.5 线上平台与沟通机制（FSC One）

FSC 提供 FSC One 平台作为与监管沟通/工单跟踪的一部分工具（交付版可写为“递交流程与沟通渠道”）。

第3章｜许可展业范围与“牌照组合策略”（Scope & Licence Strategy）

本章的目标：把你的业务模式“翻译”成 FSC 能一眼看懂的牌照类别组合，并提前规划“资本/托管/安全/AML”的叠加义务。

3.1 五大类牌照的业务边界（Practical Scope by Class）

以 FSC 公布的分类为锚点（Class M/O/R/I/S）：

Class M｜Virtual Asset Broker-Dealer（经纪/撮合/交易相关）

适用典型模式：

OTC 经纪撮合、做市（如有）、撮合交易服务、代表客户执行交易等。
监管关注点：客户资金路径、利益冲突、执行与定价透明度、市场操纵风险。

Class O｜Virtual Asset Wallet Services（钱包服务）

适用典型模式：

为客户提供软件/机制以转移虚拟资产（钱包类服务属于 Act 定义范畴）。
监管关注点：是否“触及私钥控制”、安全与访问权限、客户披露与责任边界。

Class R｜Virtual Asset Custodian（托管）

Custody Rules 对“托管/持有”的判断标准非常明确：只要你能通过 private key 或等效机制控制客户资产，即属于 holding 的监管范畴。
监管关注点（必须在申请包里逐项回答并给证据）：

客户资产所有权保护（含破产隔离）；
是否禁止/限制挪用客户资产；
第三方托管定义与合规（Third Party Custodian：需同等监管许可）。

Class I｜Virtual Asset Advisory Services（咨询）

适用典型模式：

投资/技术/发行相关咨询、研究报告等（注意营销与披露口径，避免构成误导或落入证券建议边界）。

Class S｜Virtual Asset Market Place（市场平台/交易平台）

许可标准（以 Class S 的 Licensing Criteria 为例）中，FSC 对治理与人员配置有明确清单式要求：

董事会至少 3 名董事；
一定比例独立董事；
至少 1 名常驻毛里求斯董事；
提交至少三年 staffing plan 等。

3.2 “牌照组合策略”总原则（Licence Strategy Principles）

原则A：以“是否控制客户资产”决定是否叠加 Class R

只要你触及私钥控制（holding），就会触发 Custody Rules 体系与更高的审查强度。
因此策略上要先明确：
- 你是自托管（更重）还是第三方托管（仍需尽调与合同控制）。

原则B：多牌照叠加不仅叠加业务范围，也叠加资本与审慎义务

Capital Rules 明确：多牌照需满足综合资本要求。

原则C：用“最小可行牌照组合（MVC）”先过审，再迭代扩展

交付版建议把策略分成两阶段写进申请书：

Phase 1（首发组合）：先申请与你当前产品最匹配的 1–2 个类别，确保制度与证据链“跑通”；
Phase 2（扩展组合）：新增业务前做 NPA（新产品审批）与重大变更评估（后续章节会对 Statutory Returns / Material Change 进一步展开）。

3.3 常见商业模式 → 推荐牌照组合（可直接放进指南的“策略表”）

（以下为实务策略示例；最终以你的业务流程、资金路径、私钥控制方式为准）

纯 OTC 经纪撮合（不触及托管）

推荐：Class M
风险点：资金路径、对手方筛选、利益冲突披露

交易平台（含账户体系/钱包）

推荐：Class S + Class O
若平台持有/控制私钥：再加 Class R（并按 Custody Rules 建证据链）

机构托管（冷钱包、多签、托管结算）

推荐：Class R（核心）
关键：破产隔离、客户资产登记、第三方托管安排与合同条款

研究/咨询（不执行交易、不触及资产）

推荐：Class I
注意：营销表述与证券边界（VAITOS 对 securities digital representations 的排除）

3.4 申请包中必须出现的“牌照策略说明页”（监管最喜欢的一页）

建议你在 Business Plan 里加入一页《Scope & Licence Strategy Summary》，固定包含：

申请类别（Class M/O/R/I/S）与选择理由
业务流程图（Client → Onboarding → Funding → Trading/Transfer → Withdrawal）
资产控制点（谁控制私钥/谁能审批提币/谁能改规则）——与 Custody Rules 的 holding 逻辑对齐
多牌照资本叠加声明（引用 Capital Rules 的 combined capital requirement 逻辑）
许可费用参考（引用 FSC Codified List）

3.5 “一句话写法模板”（可直接粘贴进你的指南/申请书）

本公司拟申请 FSC Mauritius VAITOS Act 下 VASP 牌照：Class [ ] / [ ]，以覆盖（交易撮合/钱包/托管/咨询/市场平台）等业务。公司业务活动属于“in or from Mauritius”监管范围，并将依照 FSC Rules 建立资本与审慎资源、客户资产保护、治理与人员配置、以及可审计的制度—流程—系统证据链，确保持续合规运营。

第4章｜申请主体、公司结构与控制权安排

Entity, Corporate Structure & Control Framework

本章是 FSC 审批的核心章节之一，直接决定：

你是否具备“可监管性（regulatory controllability）”；

你是否满足 VAITOS Act“in or from Mauritius” 的实体与控制要求；

你是否能通过银行、审计、合作方的尽调。

4.1 申请主体的法定形态（Eligible Applicant）

4.1.1 允许的申请主体

根据 VAITOS Act 及 FSC 的许可实践，VASP 牌照申请主体必须为毛里求斯注册成立的公司（Mauritius-incorporated company），并作为实际运营与合规责任主体。

❌ 不接受：
- 个人申请
- 海外公司直接申请
- 无实质经营的“名义主体”

交付写法：
“本公司为根据毛里求斯法律注册成立的有限公司，作为 VASP 许可的申请主体及所有虚拟资产服务的合同主体与合规责任主体。”

4.1.2 申请主体的“责任锚点”（Responsibility Anchor）

FSC 的监管逻辑是：

谁持牌，谁负责；谁控制，谁问责。

因此，申请主体必须在以下方面承担不可外包、不可转移的责任：

AML/CFT 责任（含 STR、制裁、Travel Rule）
客户资产保护责任（如涉及托管）
风险管理与网络安全责任
与 FSC 的沟通、申报与检查配合

4.2 推荐的集团与控股结构（Group & Holding Structure）

4.2.1 国际通行、监管友好的结构示例

在不违反毛里求斯法律与 FSC 监管期望的前提下，常见结构如下：

海外控股公司（BVI / Cayman / Singapore 等）
│
▼
毛里求斯 VASP 持牌公司（OpCo）
│
（如需要）海外市场/技术子公司

4.2.2 FSC 的真实关注点（不是你想象的“注册地”）

FSC 并不禁止海外控股，但会重点审查：

决策权是否在持牌主体
是否存在“影子控制”（shadow management）
是否把关键职能全部放在境外

监管结论一句话：
“你可以海外控股，但不能海外控制。”

4.3 控制权与“Mind & Management”的监管口径

4.3.1 FSC 对控制权的理解

FSC 在审批 VASP 时，实际会问以下问题（你应在申请材料中“主动回答”）：

谁能批准/否决重大业务决策？
谁能冻结账户、暂停交易、限制提币？
谁能调整风控参数、监控规则、黑名单？
谁能决定与第三方（托管、KYC、云）合作/解约？

如果这些权力全部在境外，即使公司注册在毛里求斯，也会被认为不满足“directed and managed in Mauritius”。

4.3.2 建议的控制权分配（交付级）

控制事项	建议归属	说明
董事会战略决策	毛里求斯董事会	定期会议 + 会议纪要
AML/STR 决策	MLRO（毛里求斯）	不可外包
客户资产处置	多签机制（含毛里求斯）	四眼原则
系统参数修改	受控权限	RBAC + 日志
第三方管理	管理层	合同与审计权

4.4 股东、UBO 与穿透披露（Shareholding & UBO）

4.4.1 UBO 披露的“不可谈判性”

FSC 要求完整、穿透至最终自然人的 UBO 披露，包括：

直接/间接持股比例
控制权安排（投票权、否决权、协议控制）
关联方与一致行动人

4.4.2 交付级 UBO 文件包（建议）

股权结构穿透图（至自然人）
UBO 声明书（Declaration of Beneficial Ownership）
护照/身份证明
无犯罪/无制裁声明
SoF / SoW（资金来源/财富来源）说明与证明

4.5 资金来源（SoF）与财富来源（SoW）的监管期望

4.5.1 FSC 看 SoF/SoW 的逻辑

FSC 并不是只看“有没有钱”，而是看：

资金是否合法、可解释、可追溯
是否与申请人的背景、职业、商业活动相匹配
是否存在通过 VASP 结构洗钱/规避监管的风险

4.5.2 可接受的 SoF/SoW 证据示例

银行流水（与注资金额匹配）
已审计财务报表
股权出售/分红文件
长期经营收入证明
资产处置证明

交付提醒：
SoF/SoW 是 AML/CFT 与资本充足性审查的交叉点，建议在《Business Plan》《AML Manual》《资本说明》中前后一致。

4.6 第4章交付附件清单（建议编号）

D04-1｜集团结构图（Group Structure Chart）
D04-2｜控制权与决策矩阵（Control & Decision Matrix）
D04-3｜UBO 穿透图 + 声明
D04-4｜SoF / SoW 说明与证明清单

第5章｜实质经营（Substance）与“Directing & Managing in Mauritius”

Substance, Mind & Management（审批成败关键章）

如果说第4章决定“你是谁”，
那么第5章决定“你是否真的在毛里求斯运营”。

这是 FSC 最容易补件、最容易否决的一章。

5.1 法律与监管基础（Why Substance Matters）

VAITOS Act 适用于所有 “in or from Mauritius” 的 VASP。
FSC 在许可与持续监管中，会重点审查业务是否实质性地在毛里求斯被管理与控制。

5.2 FSC 对 Substance 的四个核心判断维度

5.2.1 实体存在（Physical Presence）

实际办公场所（非虚拟地址）
与业务规模匹配的办公条件
合规与敏感资料的物理与逻辑隔离

5.2.2 人员配置（People）

至少部分关键人员常驻毛里求斯
董事/高管能在毛里求斯履职
MLRO/Compliance 不应完全境外化

5.2.3 决策发生地（Decision-Making）

董事会会议在毛里求斯召开（或至少有明确比例）
关键管理会议、风控审批、合规决策留痕
会议纪要可供监管检查

5.2.4 控制与执行（Control & Execution）

系统访问权限由毛里求斯团队主导
AML、风控、托管审批在毛里求斯执行
重大事件（Incident）由毛里求斯上报与处置

5.3 办公室与基础设施要求（Office & Facilities）

5.3.1 办公室要求（实务）

可独立使用的办公空间
上锁文件柜、访问控制
IT 设备与网络安全措施

5.3.2 交付级证明材料

租赁合同
办公室实拍照片（含门牌/工位）
办公平面图
安全与访问说明

5.4 关键岗位与人员实质（Key Roles & Residency）

5.4.1 FSC 重点岗位

董事（Directors）
CEO / Managing Director
MLRO
Compliance Officer
IT / Security Officer（或同等职能）

5.4.2 常驻与非全职的合规处理

FSC 并非要求所有人员全职常驻，但会看：

是否有可用性（availability）
是否存在“名义职位”
是否能在关键时点履职（STR、Incident）

5.5 “影子管理”（Shadow Management）风险提示

以下情形极易被 FSC 视为不合规：

所有决策在海外母公司拍板
毛里求斯董事只是“签字工具人”
MLRO 实际由境外团队操作
系统后台权限全部在境外

交付建议：
在申请材料中主动声明并证明：

哪些事项由毛里求斯主导

哪些可合理外包

外包后的控制与审计权如何保留

5.6 可直接写入申请书的“Substance 声明段落（模板）”

“本公司在毛里求斯设有实际办公场所，并配备与其虚拟资产服务规模和复杂度相匹配的人员与基础设施。公司董事会及管理层对战略、风险、合规及重大运营事项的决策在毛里求斯作出并留存完整记录；AML/CFT、客户资产保护及关键系统控制均由毛里求斯持牌主体负责并可供监管检查，从而确保业务活动符合 VAITOS Act 下‘in or from Mauritius’的实质经营要求。”

5.7 第5章交付附件清单（建议编号）

D05-1｜办公室与设施证明包
D05-2｜人员配置表与岗位职责
D05-3｜董事会/管理层会议制度与纪要模板
D05-4｜权限与控制矩阵（含 IT/托管/AML）

第6章｜公司治理结构与三道防线

Corporate Governance & Three Lines of Defence

本章是 FSC 判断一家 VASP 是否“可长期监管、可持续经营”的核心章节。
在毛里求斯 VASP 审批中，治理失败 ≠ 文件不齐，而是“权责不清、控制失效”。

6.1 公司治理的监管目标（Why Governance Matters）

在 VAITOS Act 框架下，FSC 并不要求“复杂的形式主义治理”，但明确要求以下三点：

责任可识别（Clear Accountability）
权责可追溯（Decision Traceability）
风险可控制（Risk Controllability）

换言之，FSC 会问：

“当发生 AML 事件、系统事故、客户资产风险时，
——谁负责？谁决策？谁监督？谁记录？”

6.2 治理结构总览（Governance Architecture）

6.2.1 推荐的治理架构（VASP 标准版）

股东大会（Shareholders）
│
▼
董事会（Board of Directors）
│
┌──────┼────────┐
▼ ▼ ▼
管理层 合规职能 风险职能
(CEO) (CO/MLRO) (Risk)
│
▼
内部审计 / 独立复核

交付要点：
FSC 不要求一定设“委员会制”，但要求治理逻辑清楚、职责分离明确。

6.3 董事会（Board of Directors）

6.3.1 董事会的法定与监管职责

在 VASP 申请材料中，董事会至少应承担以下职责（建议写成条款式）：

批准业务战略与商业模式
审批风险偏好与风险承受能力
监督 AML/CFT 与客户资产保护
任免高级管理层与关键职能人员
审批重大外包、系统变更与新产品
确保持续满足 VAITOS Act 与 FSC Rules

6.3.2 董事组成与独立性（实务口径）

董事人数：通常 不少于 2–3 名（Class S 平台类通常要求更高）
建议配置：
- 至少 1 名具金融/合规/风控背景董事
- 至少 1 名常驻毛里求斯董事
避免：
- 全部董事来自同一母公司
- 所有董事均为执行董事（缺乏独立监督）

6.3.3 董事会运作与证据链

FSC 非常看重“董事会是否真的在运作”，而非名义存在。

建议交付材料：

董事会议事规则（Board Charter）
年度董事会会议计划（Annual Board Calendar）
董事会会议纪要模板
实际会议纪要样本（如已有）

6.4 管理层（Senior Management）

6.4.1 管理层的角色定位

管理层是董事会决策的执行者，但不是“影子董事会”。

核心职责包括：

日常运营管理
风险控制执行
合规制度落实
系统与安全管理
对董事会负责并定期汇报

6.4.2 关键管理岗位（FSC 重点审查）

岗位	监管关注点
CEO / Managing Director	是否具备实际管理权
Compliance Officer	是否独立于业务
MLRO	是否具备实权与直通董事会权
Risk Officer	是否能挑战业务决策
IT/Security Officer	是否能独立处置安全事件

监管雷区：

同一人同时承担 CEO + MLRO + Risk（高度不建议）

MLRO 无法直接向董事会汇报

6.5 合规职能（Compliance Function）

6.5.1 合规职能的独立性原则

FSC 的核心要求可以概括为一句话：

“合规不是业务的附属品。”

因此，合规职能必须：

独立于一线业务
有权质疑、否决或暂停业务活动
可直接向董事会报告

6.5.2 合规职能的核心职责

解释与更新监管要求
维护合规政策与程序
审核营销材料与客户文件
监督员工培训
牵头与 FSC 的沟通

6.5.3 可直接递交的“合规声明模板”

“公司已设立独立的合规职能，由合规官负责，并赋予其充分权限以监督公司遵守 VAITOS Act、FSC Rules 及相关 AML/CFT 要求。合规官可不经管理层过滤，直接向董事会报告重大合规事项。”

6.6 MLRO（反洗钱报告官）与 AML 治理

6.6.1 MLRO 的特殊地位

在毛里求斯 VASP 监管中，MLRO 是“监管接口级角色”，不是普通岗位。

FSC 通常关注：

MLRO 是否具备相关经验
是否常驻或可即时履职
是否有直接向董事会报告的权力

6.6.2 MLRO 的关键职责

AML/CFT 制度维护
客户风险评估与 EDD 决策
可疑交易监测与 STR 提交
与 FIU / FSC 的联络
员工 AML 培训

6.7 风险管理职能（Risk Management）

6.7.1 风险职能的定位

风险管理是第二道防线的核心，其目标不是“阻碍业务”，而是：

识别风险
量化风险
提出缓释措施
监督执行情况

6.7.2 VASP 重点风险类别（建议在申请中逐项列明）

洗钱与恐怖融资风险
市场与流动性风险
托管与私钥风险
网络与系统风险
法律与声誉风险
外包与第三方风险

6.8 三道防线模型（Three Lines of Defence）

6.8.1 第一防线｜业务部门

执行业务
承担第一层风险责任
遵守政策与程序

6.8.2 第二防线｜合规 & 风险

制定规则
监督第一防线
挑战业务决策
向董事会汇报

6.8.3 第三防线｜内部审计 / 独立复核

定期检查治理、合规与控制有效性
可内部或外包（但须保持独立）
向董事会/审计委员会汇报

6.9 外包与独立性（与治理的关系）

6.9.1 可外包 ≠ 可免责

在毛里求斯 VASP 监管中：

IT
KYC
云服务
托管（第三方）

可以外包，但责任永远在持牌主体。

6.9.2 治理层必须保留的权力

选择/更换外包方
审计与检查权
紧急接管权
数据与日志访问权

6.10 董事会与管理层的信息流（Information Flow）

建议在交付版中画出“治理信息流图”：

业务 → 风险/合规 → 管理层 → 董事会
↑______________________________|

并明确：

汇报频率
重大事件升级机制
例外处理流程

6.11 可直接写入申请书的“治理总结段落（模板）”

“本公司已建立与其虚拟资产服务规模及复杂度相匹配的公司治理结构，明确区分董事会、管理层、合规与风险职能的职责，并实施三道防线模型。董事会对战略、风险与合规承担最终责任，合规与 MLRO 职能保持独立并可直接向董事会报告，从而确保公司在 VAITOS Act 与 FSC Rules 框架下的持续合规与稳健运营。”

6.12 第6章交付附件清单（建议编号）

D06-1｜公司治理结构图
D06-2｜董事会章程与会议规则
D06-3｜管理层与关键岗位职责说明
D06-4｜三道防线模型说明文件
D06-5｜合规与 MLRO 独立性声明

第7章｜资本金、财务资源与持续偿付能力

Capital, Financial Resources & Ongoing Solvency（交付版）

本章是 FSC、银行、审计师三方都会重点反复审查的一章。
FSC 的核心判断不是“你有没有钱”，而是：
“你的资本结构，是否与你的业务风险、复杂度和客户资产责任相匹配，并且是否可持续。”

7.1 监管法律基础（Legal Basis）

本章的法律与监管依据主要包括：

Virtual Asset and Initial Token Offering Services Act 2021（VAITOS Act）
Financial Services Commission – Capital and Other Financial Requirements Rules 2022
FSC 对不同 VASP 牌照类别的 许可标准（Licensing Criteria）

监管要义一句话：
所有 “in or from Mauritius” 的 VASP，必须在任何时候保持充足、未受损（unimpaired）的资本与流动性资源，并与其业务活动的规模、风险及复杂性相称。

7.2 FSC 对 VASP 资本的监管逻辑（How FSC Thinks About Capital）

7.2.1 FSC 不采用“一刀切资本门槛”

与部分司法辖区不同，毛里求斯 VASP 并非只看一个固定最低资本数字，而是采用 “风险导向 + 类别导向” 的判断方式：

你提供什么类型的虚拟资产服务
是否接触或控制客户资产
是否运营交易平台
是否涉及托管、多签、清算、法币通道
是否叠加多类 VASP 牌照

结论：
资本不是“准入费”，而是持续监管工具。

7.2.2 FSC 重点关注的三类资本问题

初始资本是否合理
资本是否真实到位、可动用
资本是否能覆盖持续经营风险

7.3 初始资本与持续资本（Initial vs Ongoing Capital）

7.3.1 初始资本（Initial Capital）

在申请阶段，FSC 通常要求申请人证明：

已实缴或即将实缴的资本安排
资本来源清晰、合法、可解释（与 SoF/SoW 一致）
资本规模与拟申请的业务类型相匹配

注意：
FSC 不鼓励“刚好踩线”的最低资本方案，
过低资本反而会引发补件与风险质疑。

7.3.2 持续资本（Ongoing Capital）

获牌后，VASP 必须：

持续维持足够的资本与流动性
在业务扩张、产品变化、客户规模显著变化时，同步评估资本是否需要增加
在监管检查或审计中，随时证明资本充足性

7.4 不同牌照类别下的资本考量（By Licence Class）

以下为 监管实务层面的资本逻辑总结（不是硬编码数字，而是 FSC 的判断方向）

7.4.1 Class I｜Advisory（咨询）

风险相对较低
不直接接触客户资产
资本重点：
- 覆盖运营成本
- 覆盖法律与声誉风险
典型资本结构：
- 股本 + 一定营运储备

7.4.2 Class M｜Broker-Dealer（经纪/撮合）

涉及交易执行与市场风险
若不接触客户资产，资本压力相对可控
若涉及客户资金路径（即使短暂），FSC 会提高审慎要求

7.4.3 Class O｜Wallet Services（钱包）

风险取决于是否控制私钥
非托管（pure software）与托管型钱包，资本考量差异巨大
FSC 会结合：
- 技术架构
- 访问权限
- 风险转移安排
- 保险/赔付机制

7.4.4 Class R｜Custodian（托管）【最高关注】

这是 FSC 最审慎的一类：

涉及客户资产控制权
潜在损失规模大
强关联：
- Custody Rules
- 网络安全
- 操作风险
- 破产隔离

监管实务要求：

明显高于咨询/经纪类的资本缓冲
清晰的客户资产隔离安排
明确“不可挪用”原则
如使用第三方托管，仍需证明自身资本足以承担法律责任

7.4.5 Class S｜Market Place（交易平台）

综合风险最高（交易 + 技术 + 客户 + 声誉）
FSC 通常要求：
- 更高的初始资本
- 更完整的财务预测
- 更严格的压力测试
若叠加钱包/托管，资本要求会叠加评估

7.5 多牌照叠加下的资本要求（Combined Capital Requirement）

7.5.1 核心原则

当一家 VASP 同时持有 多个牌照类别（如 Class S + O + R） 时：

资本要求不是取最高一类，而是综合评估并叠加风险。

7.5.2 交付级写法（模板）

“本公司在评估拟申请的 VASP 牌照组合后，已根据 Capital and Other Financial Requirements Rules 对各业务活动的风险进行综合评估，并将维持与组合后风险水平相匹配的资本与流动性资源。”

7.6 资本构成与质量要求（Capital Quality）

7.6.1 FSC 偏好的资本形式

实缴股本（Paid-up Share Capital）
留存收益（如有）
可随时动用的现金资源

7.6.2 FSC 不偏好的安排

高度依赖关联方短期借款
附带复杂回购或对赌条款的资本
条件性、不可自由支配的资金

7.7 流动性管理（Liquidity Management）

7.7.1 流动性的重要性

对 VASP 而言，现金流断裂比账面亏损更致命。

FSC 会关注：

日常运营资金是否充足
是否有能力应对客户集中提币
是否能承担突发合规/法律成本

7.7.2 建议的流动性安排

运营账户与储备账户分离
至少覆盖 6–12 个月的运营成本
明确资金调拨审批流程

7.8 财务预测与预算（Financial Projections）

7.8.1 FSC 期望看到的预测内容

在申请包中，FSC 通常期望看到：

至少 12–36 个月的财务预测
收入假设（按业务线拆分）
成本结构（人力、IT、合规、外包）
资本与现金余额走势
盈亏平衡分析

7.8.2 监管常见问题（真实）

“如果收入低于预期 30%，你还能活多久？”
“如果合规成本翻倍，资本是否仍充足？”
“如果暂停业务 3–6 个月，是否仍具备偿付能力？”

7.9 压力测试（Stress Testing）

7.9.1 建议设置的压力场景

收入骤降
客户集中提币
系统重大事故
合规罚款/诉讼成本
第三方服务中断

7.9.2 压力测试的交付价值

压力测试并非形式，而是：

证明董事会与管理层理解自身风险
证明资本不是“静态数字”，而是“动态缓冲”

7.10 审计、报告与监管沟通（Financial Oversight）

7.10.1 审计要求

FSC 通常要求由认可审计师进行年度审计
审计范围涵盖：
- 财务报表
- 内部控制
- 客户资产（如适用）

7.10.2 法定报表与重大变更

VASP 必须按 FSC 要求：

定期提交财务与监管报表
在资本显著变化、业务重大调整时，主动通报 FSC

7.11 可直接写入申请书的“资本与偿付能力声明（模板）”

“本公司已建立与其拟开展虚拟资产服务相匹配的资本与流动性结构，并将持续维持充足、未受损的资本资源，以支持其日常运营、合规义务及潜在风险事件。董事会将定期审阅资本充足性及压力测试结果，并在业务规模或风险发生重大变化时，及时采取增资或其他审慎措施。”

7.12 第7章交付附件清单（建议编号）

D07-1｜资本结构说明与到位证明
D07-2｜12–36 个月财务预测模型
D07-3｜流动性管理政策
D07-4｜压力测试报告
D07-5｜审计安排与财务治理说明

第8章｜客户资产托管、隔离与私钥控制

Custody, Client Asset Segregation & Private Key Control（交付版）

本章是毛里求斯 VASP 监管中最“硬核”的一章。
只要你的业务 触及客户虚拟资产或私钥控制权，FSC 就会以 Custody Rules + 网络安全 + 治理问责 的组合拳进行审查。
——这是 Class R（Custodian） 的核心章节，同时也直接影响 Class O（Wallet）与 Class S（Market Place） 的审批成败。

8.1 法律与监管依据（Legal & Regulatory Basis）

本章主要依据以下法规与规则：

Virtual Asset and Initial Token Offering Services Act 2021（VAITOS Act）
FSC – Custody of Client Assets Rules 2022（Custody Rules）
Capital and Other Financial Requirements Rules 2022（与托管风险强关联）
FSC 关于第三方托管、网络安全、外包与审慎管理的监管期望

监管核心一句话：
“谁控制私钥，谁就是托管人，谁承担最高级别的监管责任。”

8.2 何谓“托管（Custody / Holding）”—监管判定标准

8.2.1 Custody 的监管定义（实务口径）

在毛里求斯监管下，“托管（holding）”并不取决于你是否自称为 Custodian，而取决于：

你是否通过 private key 或任何等效机制，对客户虚拟资产行使控制权。

只要满足以下任一情形，通常即被视为“holding”：

你直接持有客户私钥或其一部分
你控制多签中的关键签名
你可在未获客户主动授权的情况下转移资产
你可冻结、解冻或回滚客户资产

8.2.2 非托管（Non-custodial）的“误区提醒”

FSC 在审查中非常警惕“名义非托管、实质可控”的模式，例如：

前端声明“非托管”，但后台有紧急转移权限
客户签名只是形式，平台仍可单方执行
私钥分片看似分散，但平台可单方重组

交付建议：
在申请包中必须 明确写清楚“控制点在哪里”，并与技术架构、权限矩阵完全一致。

8.3 客户资产保护的四大监管原则（FSC 核心）

原则一：客户资产独立性（Client Asset Independence）

客户资产不属于公司资产
不得用于公司自营、抵押、融资
即使公司破产，客户资产应可被识别与返还

原则二：严格隔离（Segregation）

客户资产与公司资产必须账面隔离 + 技术隔离
不同客户之间应具备可区分性
冷/热钱包用途必须明确区分

原则三：控制与审批分离（Control & Dual Control）

私钥管理必须实行 多重控制（Dual / Multi-control）
不得由单一人员完成关键操作
关键操作需审批、记录、可审计

原则四：可追溯与可审计（Auditability）

每一笔资产变动都应有：
- 授权来源
- 操作人
- 时间戳
- 技术日志
能够随时向 FSC / 审计师展示

8.4 私钥管理架构（Private Key Management Architecture）

8.4.1 FSC 期望看到的“私钥治理思维”

FSC 并不规定你必须使用哪种技术，但会看你是否：

理解私钥风险
建立了分权、分域、分责的控制体系
能够应对内部舞弊与外部攻击

8.4.2 常见合规私钥管理模式（示例）

（A）多签（Multi-Signature）

例如：2-of-3 / 3-of-5
不同签名由不同角色/地点持有
建议至少 一把签名在毛里求斯

（B）HSM / MPC（如适用）

私钥不以明文形式存在
权限分级、操作留痕
灾备与恢复流程清晰

8.4.3 私钥生命周期管理（必须写清楚）

在制度文件中，应完整覆盖：

私钥生成（Key Generation）
存储与保护（Storage & Protection）
使用与审批（Usage & Approval）
轮换与销毁（Rotation & Destruction）
灾备与恢复（Backup & Recovery）

8.5 冷钱包、热钱包与用途隔离

8.5.1 热钱包（Hot Wallet）

用于日常运营、提币
风险最高
应设限额、白名单、实时监控

8.5.2 冷钱包（Cold Wallet）

用于大额客户资产存放
脱网/半脱网
严格审批与多签

8.5.3 用途隔离（Purpose Segregation）

在申请中，必须明确说明：

客户资产冷/热钱包用途
公司自有资产钱包
费用钱包、手续费钱包
测试钱包（如有）

8.6 第三方托管（Third-Party Custody）

8.6.1 FSC 对第三方托管的态度

可以使用第三方托管，但不能“甩锅”。

监管逻辑是：

第三方托管人本身应受监管或具备等同监管标准
持牌 VASP 仍对客户资产承担最终责任

8.6.2 使用第三方托管的合规要求

完整尽调（资质、技术、安全、历史事件）
明确合同条款：
- 所有权确认
- 不得挪用
- 破产隔离
- 审计与访问权
明确退出与应急接管机制

8.7 提币、冻结与异常处理机制

8.7.1 提币流程（Withdrawal Process）

FSC 会重点审查：

提币是否需客户授权
是否有风控与 AML 校验
是否存在人工复核
是否有额度与频率限制

8.7.2 冻结与限制（Freeze & Restriction）

何种情形可冻结账户
谁可触发冻结
冻结后如何记录与解除
与 AML/制裁的联动机制

8.7.3 异常与事故响应（Incident Response）

私钥泄露
非授权转移
系统入侵
第三方托管失效

交付级要求：
必须有书面的《Incident Response Plan》，并与治理与报告机制衔接。

8.8 客户披露与合同安排（Client Disclosure & Contracts）

8.8.1 必须披露的托管信息

在客户协议与披露文件中，应清楚说明：

是否托管
托管方式
私钥控制结构
第三方托管安排（如有）
风险提示与责任边界

8.8.2 禁止性条款（监管红线）

禁止未经客户同意挪用资产
禁止模糊所有权归属
禁止暗示监管“担保”或“保险兜底”（除非真实存在）

8.9 客户资产的记录、对账与审计

8.9.1 记录保存要求

客户资产台账
钱包地址清单
交易记录
对账记录
日志文件

8.9.2 对账与独立核查

定期（如每日/每周）内部对账
定期独立核查或审计
对账差异的调查与记录

8.10 可直接写入申请书的“托管合规声明（模板）”

“本公司已建立符合 VAITOS Act 及 Custody of Client Assets Rules 的客户资产托管与保护框架。客户虚拟资产与公司自有资产严格隔离，私钥管理实行多重控制与权限分离，所有关键操作均留存可审计记录。即使在使用第三方托管安排的情况下，本公司仍对客户资产的安全与合规承担最终责任。”

8.11 第8章交付附件清单（建议编号）

D08-1｜客户资产托管政策（Custody Policy）
D08-2｜私钥管理与多签架构说明
D08-3｜冷热钱包与用途隔离说明
D08-4｜第三方托管尽调与合同要点
D08-5｜提币、冻结与事故响应流程
D08-6｜客户资产台账与对账模板

第9章｜客户保护、信息披露与市场行为规范

Client Protection, Disclosure & Market Conduct

本章是 FSC 判断一家 VASP 是否“可能误导客户、放大市场风险或引发系统性问题”的关键章节。
在审批与持续监管中，FSC 关注的不是营销话术，而是：
你是否让客户“知情、自主、可比较、可申诉”。

9.1 法律与监管依据（Legal & Regulatory Basis）

本章主要依据：

VAITOS Act 2021（虚拟资产服务与发行的基本行为边界）
FSC Rules（VASP 行为、披露、风险与报告要求）
FIAMLA 2002（AML/CFT）（与客户识别、持续尽调强关联）
FSC 关于公平对待客户、市场诚信与误导性陈述的监管期望

9.2 客户保护的监管目标（Regulatory Objectives）

FSC 对 VASP 客户保护的核心目标包括：

充分披露（Full & Fair Disclosure）
避免误导（No Misrepresentation）
防止利益冲突损害客户利益
维护市场诚信（Market Integrity）

9.3 客户分类与适当性（Client Classification & Suitability）

9.3.1 客户分类（按风险与经验）

建议在申请中明确你的客户分类模型（示例）：

零售客户（Retail Clients）
专业/机构客户（Professional / Institutional Clients）
高风险客户（High-Risk Clients）

交付建议：
不同客户类型应对应不同的披露深度、风险提示与产品可得性。

9.3.2 客户适当性评估（Suitability Assessment）

对于涉及交易、经纪或平台服务的 VASP，FSC 期望看到：

客户经验与知识评估
风险承受能力评估
产品与客户匹配性判断
不适当情形下的限制或警示

9.3.3 不适当客户的处理

明确拒绝或限制服务的标准
强化风险提示
留存评估与决定记录

9.4 信息披露（Disclosure Requirements）

9.4.1 必须披露的核心信息（交付级清单）

在网站、客户协议或披露文件中，至少应包括：

公司身份与监管状态
提供的虚拟资产服务类型
是否托管客户资产及方式
主要风险（市场、技术、法律）
收费结构与计算方式
利益冲突政策
投诉与争议解决渠道

9.4.2 风险披露的“监管写法”

FSC 不接受泛泛而谈的风险提示，建议采用：

明确列举风险类型
说明风险发生的后果
说明公司采取的缓释措施
强调客户自担风险

9.4.3 禁止性披露行为（监管红线）

❌ 暗示监管背书、担保或收益保证
❌ 夸大监管地位或牌照效力
❌ 模糊托管责任或资产所有权
❌ 选择性披露有利信息、隐瞒重大风险

9.5 收费与利益冲突管理（Fees & Conflicts of Interest）

9.5.1 收费透明度

所有费用应 事前披露、清晰可理解
不得隐藏费用或通过复杂结构掩盖成本
费用变更应提前通知客户

9.5.2 利益冲突识别

常见利益冲突场景包括：

自营交易与客户交易并存
与关联方的交易安排
推荐特定代币/项目获取额外收益
外包或返佣安排

9.5.3 利益冲突缓释措施

披露冲突
业务隔离
交易优先级规则
在必要时拒绝业务

9.6 市场行为与交易诚信（Market Conduct）

9.6.1 禁止的市场行为

VASP 不得从事或协助：

市场操纵
虚假交易量（wash trading）
内幕交易
价格操纵或误导性行为

9.6.2 平台/经纪的监管责任

若你运营平台或经纪服务，FSC 期望你：

具备交易监控机制
设有异常交易识别规则
能够暂停、调查或上报异常活动

9.7 营销与推广合规（Marketing & Promotion）

9.7.1 营销内容的合规原则

准确
平衡
不误导
与实际服务一致

9.7.2 需经合规审核的材料

网站内容
宣传册
社交媒体发布
投资者演示文稿
新闻稿

9.7.3 建议的内部流程

业务提出 → 合规审核 → 管理层批准 → 发布 → 存档

9.8 投诉处理与争议解决（Complaints Handling）

9.8.1 投诉机制的基本要求

清晰、可访问的投诉渠道
合理的处理时限
公平、独立的调查
书面回复与记录保存

9.8.2 投诉升级与监管沟通

严重或系统性投诉应向管理层/董事会报告
必要时向 FSC 通报
投诉数据用于改进内部控制

9.9 数据保护与客户信息安全（Data Protection）

9.9.1 客户数据保护义务

合法收集与使用
最小化原则
访问控制
数据泄露响应

9.9.2 与 AML / IT 安全的衔接

客户信息用于 KYC、监控与报告
不得超出合法目的
与网络安全政策一致

9.10 可直接写入申请书的“客户保护声明（模板）”

“本公司已建立与其虚拟资产服务性质相匹配的客户保护、信息披露与市场行为管理框架。所有向客户提供的信息均力求真实、完整且不具误导性；公司通过客户分类、适当性评估、利益冲突管理及交易监控机制，确保公平对待客户并维护市场诚信。”

9.11 第9章交付附件清单（建议编号）

D09-1｜客户分类与适当性政策
D09-2｜信息披露与风险提示文件
D09-3｜收费表与利益冲突政策
D09-4｜营销与宣传审核流程
D09-5｜投诉处理与争议解决程序

第10章｜反洗钱与反恐融资（AML/CFT）、客户尽调与可疑交易报告

AML/CFT, Customer Due Diligence & Suspicious Transaction Reporting（交付版）

本章是毛里求斯 VASP 监管体系的“中枢章节”。
在 FSC 的视角中：
治理、托管、资本若是“骨架”，AML/CFT 就是“中枢神经系统”。

本章将直接决定：

你是否能通过 FSC 的许可审查；

你是否能通过银行开户与持续 KYC；

你在后续监管检查中是否具备“自证合规”的能力。

10.1 法律与监管依据（Legal & Regulatory Basis）

本章主要依据以下毛里求斯法律与监管文件：

Financial Intelligence and Anti-Money Laundering Act 2002（FIAMLA）
FIAMLA Regulations（不时修订）
VAITOS Act 2021（将 VASP 纳入 AML/CFT 监管范围）
FSC AML/CFT Guidance Notes（适用于 VASP）
FATF Recommendations（毛里求斯为 FATF 成员，监管口径高度对齐）

监管逻辑总结一句话：
VASP 与银行、支付机构一样，被视为高风险金融服务提供者，必须实施风险为本（Risk-Based Approach, RBA）的 AML/CFT 体系。

10.2 AML/CFT 治理结构（AML Governance）

10.2.1 董事会的 AML 责任

FSC 明确要求：
AML 不是“合规部门的事情”，而是董事会的最终责任。

董事会应：

批准 AML/CFT 政策
审阅年度 AML 风险评估
审阅 STR 统计与重大案件
确保 MLRO 具备独立性与资源

10.2.2 MLRO 的核心地位（关键监管接口）

MLRO 是 FSC 与 FIU 的直接沟通对象，其地位必须满足：

独立于业务线
可直接向董事会汇报
有权获取所有必要信息
有权在必要时暂停业务或冻结账户

10.2.3 AML 三道防线（在 AML 语境下）

第一道防线：业务部门（执行 KYC、交易监控）
第二道防线：合规/MLRO（制定规则、审核与报告）
第三道防线：内部审计/独立复核（检查有效性）

10.3 风险为本方法（Risk-Based Approach, RBA）

10.3.1 AML 风险评估的范围

VASP 必须至少覆盖以下四类风险：

客户风险（客户类型、地域、身份）
产品/服务风险（托管、OTC、匿名性）
地域风险（高风险司法辖区、制裁国家）
渠道风险（非面对面开户、API 接入）

10.3.2 AML 风险评估的交付要求

形成书面《AML Risk Assessment》
至少 每年复核一次
业务或监管环境变化时及时更新
由董事会或其授权委员会审阅批准

10.4 客户尽职调查（CDD / KYC）

10.4.1 客户识别（Customer Identification）

在建立业务关系前，必须识别并验证：

客户身份（自然人/法人）
实益拥有人（UBO）
授权代表与控制人
业务目的与性质

10.4.2 标准尽调（Standard CDD）

适用于低至中等风险客户，通常包括：

身份证明文件
地址证明
业务/交易目的说明
制裁与不良名单筛查

10.4.3 强化尽调（Enhanced Due Diligence, EDD）

在以下情形必须实施 EDD：

高风险国家或地区
PEP（政治公众人物）
复杂或不透明结构
异常交易行为

EDD 措施包括：

获取更多背景资料
高级管理层批准
更频繁的持续监控

10.5 持续尽调与交易监控（Ongoing Due Diligence & Monitoring）

10.5.1 持续尽调（Ongoing CDD）

定期更新客户资料
根据风险等级设定复核频率
监测客户行为是否偏离已知模式

10.5.2 交易监控（Transaction Monitoring）

FSC 期望 VASP 建立：

基于规则与情景的监控机制
对异常金额、频率、模式的识别
自动化系统 + 人工复核相结合

10.6 可疑交易报告（STR / SAR）

10.6.1 STR 的触发标准

当存在以下情形之一，应考虑提交 STR：

无合理商业目的
与客户风险画像明显不符
涉及制裁、犯罪或恐怖融资
规避监控或结构化交易

10.6.2 STR 的提交流程（交付级）

监控发现 → 初步分析 → MLRO 评估
↓（合理怀疑）
决定提交 STR → 向 FIU 报告

STR 必须 及时、保密 提交
不得向客户披露（禁止 tipping-off）

10.6.3 STR 的记录与审计

STR 决策理由必须记录
无论是否提交，都应留痕
记录保存不少于法定年限

10.7 制裁、名单与 PEP 管理

10.7.1 制裁与名单筛查

联合国制裁名单
国内及国际制裁清单
负面新闻与执法信息

10.7.2 PEP 管理

识别国内/国外 PEP
强化尽调
高层批准
持续监控

10.8 记录保存（Record Keeping）

10.8.1 必须保存的记录

客户尽调文件
交易记录
监控与调查记录
STR 相关文件
决策与审批记录

10.8.2 保存期限

通常不少于 7 年（以适用法律要求为准）
必须可随时供 FSC / FIU 调阅

10.9 员工培训与意识（Training & Awareness）

10.9.1 培训要求

入职 AML 培训
定期（至少年度）培训
针对岗位的专项培训（如前台、IT、管理层）

10.9.2 培训记录

培训内容
参加人员
时间与结果
评估或测试

10.10 与其他监管模块的联动

AML/CFT 必须与以下模块无缝衔接：

客户资产托管（第8章）
客户保护与市场行为（第9章）
网络安全与 IT（后续章节）
外包与第三方管理（后续章节）

10.11 可直接写入申请书的“AML 合规声明（模板）”

“本公司已建立符合 FIAMLA、VAITOS Act 及 FSC 指引的反洗钱与反恐融资制度，采用风险为本的方法识别、评估并缓释洗钱与恐怖融资风险。公司已任命具备相应经验与权限的 MLRO，并确保其独立履职、及时向董事会及有关当局报告可疑交易，从而确保持续合规运营。”

10.12 第10章交付附件清单（建议编号）

D10-1｜AML/CFT 政策与程序手册
D10-2｜AML 风险评估报告
D10-3｜KYC/CDD/EDD 操作指引
D10-4｜交易监控与 STR 流程
D10-5｜制裁与 PEP 管理政策
D10-6｜培训计划与记录模板

第11章｜网络安全、IT 系统与技术风险管理

Cybersecurity, IT Systems & Technology Risk Management

本章是 FSC 判断一家 VASP 是否“真的具备运营能力”的技术性核心章节。
在 FSC 与审计师的视角里：
制度可以写，但系统必须“跑得起来、查得到、控得住”。

11.1 法律与监管依据（Legal & Regulatory Basis）

本章主要依据以下监管框架与原则：

VAITOS Act 2021（将技术系统、数据与运营安全纳入合规责任）
FSC Rules（与网络安全、风险管理、外包相关的通用要求）
FIAMLA 2002（客户数据、日志与调查证据链的技术支撑）
国际通行网络安全框架（如 ISO/IEC 27001、NIST CSF —— 作为良好实践参考）

监管底层逻辑：
FSC 不强制指定某一技术标准，但要求 VASP 证明其 IT 架构与控制措施足以支持安全、合规与可审计运营。

11.2 IT 治理结构（IT Governance）

11.2.1 董事会与管理层的 IT 责任

FSC 期望看到：

董事会对重大 IT 风险与安全策略承担最终责任
管理层负责 IT 战略执行与资源配置
IT/安全负责人具备清晰授权与独立性

11.2.2 IT 职能的独立性与分工

建议在申请材料中明确区分：

IT 运营（Operations）
信息安全（Information Security）
合规与风险（Compliance/Risk）

监管关注点：

IT 权限是否高度集中

是否存在“开发即运维、运维即审计”的冲突

11.3 系统架构总体说明（System Architecture Overview）

11.3.1 必须提交的系统级说明

FSC 通常期望申请人提交一份可读的系统架构说明，至少包括：

前端（Web/App/API）
后端核心系统（账户、交易、钱包、风控）
数据层（数据库、日志、备份）
外部接口（区块链节点、支付、KYC、托管）
权限与访问控制层

11.3.2 架构设计的合规原则

最小权限原则（Least Privilege）
职责分离（Segregation of Duties）
关键系统冗余与容错
日志全覆盖

11.4 访问控制与权限管理（Access Control & IAM）

11.4.1 权限管理的监管重点

FSC 会重点关注：

谁能访问生产系统
谁能修改代码、参数或风控规则
谁能访问客户数据与私钥相关系统
权限是否可审批、可撤销、可审计

11.4.2 建议的权限控制模型（交付级）

基于角色的访问控制（RBAC）
多因素认证（MFA）
权限定期复核（如季度）
紧急权限（break-glass）机制 + 事后审计

11.5 系统开发、变更与发布管理（SDLC & Change Management）

11.5.1 软件开发生命周期（SDLC）

FSC 期望 VASP 建立：

需求 → 开发 → 测试 → 审批 → 发布 → 回滚
生产与测试环境隔离
代码审查与安全测试

11.5.2 变更管理（Change Management）

任何重大系统变更应：

事前评估风险
获得授权批准
变更后进行验证
留存完整记录

监管雷区：

无审批直接上线

无回滚方案

关键参数“临时修改不留痕”

11.6 网络安全控制（Cybersecurity Controls）

11.6.1 基础安全措施

防火墙与入侵检测
漏洞扫描与补丁管理
DDoS 防护
加密（传输中/静态）

11.6.2 私钥与敏感系统的特殊防护

私钥相关系统独立安全域
严格的访问与审批
实时监控与异常告警
安全事件的即时响应

11.7 日志、监控与证据链（Logging, Monitoring & Evidence）

11.7.1 日志的监管意义

在 FSC 视角中：
“没有日志 = 没发生。”

必须覆盖：

用户行为
管理员操作
系统事件
钱包/交易相关操作

11.7.2 日志管理要求

防篡改
可搜索
可导出
与 AML、托管、事故响应联动

11.8 事故与网络事件响应（Incident & Cyber Response）

11.8.1 必须覆盖的事故类型

数据泄露
私钥泄露
系统入侵
服务中断
第三方系统故障

11.8.2 事故响应流程（交付级）

发现 → 隔离 → 评估 → 修复 → 通报 → 复盘

明确责任人
明确通报路径（管理层 / FSC / 客户）
留存完整事故报告

11.9 灾备与业务连续性（BCP & DR）

11.9.1 FSC 的核心关注

系统宕机时能否继续运营或安全停机
数据是否可恢复
客户资产是否安全

11.9.2 灾备设计要点

定期备份
异地容灾
明确 RTO / RPO
定期演练并留痕

11.10 第三方技术服务与云外包（Tech Outsourcing）

11.10.1 可外包范围

云服务
节点服务
KYC/风控工具
安全服务

11.10.2 不可外包的责任

合规责任
客户资产责任
数据控制权

11.10.3 外包的合规要求

尽调
合同控制（审计权、访问权、退出权）
持续监控

11.11 可直接写入申请书的“IT 与网络安全声明（模板）”

“本公司已建立与其虚拟资产服务规模与复杂度相匹配的 IT 与网络安全框架，覆盖系统架构、访问控制、变更管理、日志留存、事故响应及业务连续性安排。所有关键系统均实施分权控制与可审计机制，以确保客户资产、数据与运营安全，并支持 FSC 的持续监管要求。”

11.12 第11章交付附件清单（建议编号）

D11-1｜系统架构图与说明
D11-2｜访问控制与权限矩阵
D11-3｜变更管理与发布流程
D11-4｜网络安全与漏洞管理政策
D11-5｜日志与监控策略
D11-6｜事故响应与灾备计划

第12章｜外包管理、第三方风险与监管责任边界

Outsourcing, Third-Party Risk & Regulatory Accountability（交付版）

本章是 FSC 判断一家 VASP 是否“仍然掌握业务与合规控制权”的关键章节。
FSC 的基本立场是：
你可以外包“功能”，但不可以外包“责任”。

12.1 法律与监管依据（Legal & Regulatory Basis）

本章主要依据：

VAITOS Act 2021（VASP 对其全部外包活动承担最终责任）
FSC Rules / Guidance on Outsourcing & Risk Management
FIAMLA 2002（AML/CFT 职责不可外包）
国际良好监管实践（IOSCO、FATF 对外包与第三方风险的共识）

12.2 外包在 VASP 业务中的定位（Regulatory View）

12.2.1 FSC 对外包的基本监管态度

FSC 允许 VASP 进行合理外包，但要求：

外包不削弱监管可视性
外包不影响客户保护
外包不导致合规责任转移
FSC 可随时追责本地持牌主体

12.2.2 “关键职能”与“非关键职能”区分

分类	监管态度
关键职能（Critical Functions）	严格审查
非关键职能（Non-Critical）	相对灵活

12.3 关键职能（Critical Functions）识别

12.3.1 通常被视为“关键职能”的领域

客户资产托管与私钥管理
AML/CFT 决策与 STR 提交
交易撮合与核心风控
客户数据控制
合规与监管报告

监管要点：
即使外包执行，决策权与监督权必须保留在毛里求斯持牌实体。

12.3.2 非关键职能示例

IT 基础设施（云）
节点/区块链基础服务
KYC 技术工具
客服系统
安全扫描服务

12.4 外包前尽职调查（Outsourcing Due Diligence）

12.4.1 尽调范围（交付级）

在选择任何第三方前，VASP 应评估：

法律地位与监管背景
技术能力与经验
信息安全与数据保护措施
AML/CFT 能力（如相关）
财务稳健性
地理位置与司法风险

12.4.2 尽调文件留存

尽调问卷与回复
支持性文件
内部评估结论
批准记录

12.5 外包合同的强制性条款（Mandatory Contractual Clauses）

FSC 期望外包合同至少包含以下内容：

服务范围清晰界定
合规与监管配合义务
审计权与信息访问权
数据所有权与控制权归属
保密与数据保护条款
分包限制
事故与违规通报机制
终止与退出安排

12.6 外包后的持续监管（Ongoing Oversight）

12.6.1 持续监督机制

定期绩效评估
定期合规审查
风险重新评估
关键指标（KRI）监控

12.6.2 问题与违约处理

明确整改期限
升级至管理层/董事会
必要时更换服务商
向 FSC 报告重大风险

12.7 跨境外包与数据跨境（Cross-Border Outsourcing）

12.7.1 跨境外包的监管关注

FSC 特别关注：

数据是否存储在高风险司法辖区
是否影响监管取证与审计
是否存在制裁或执法障碍

12.7.2 数据跨境控制措施

数据加密
访问限制
明确数据主权
合同约束与应急迁移方案

12.8 外包与 AML/CFT 的衔接

12.8.1 AML 职责不可外包

客户风险评级
EDD 决策
STR 判断与提交

第三方工具仅作为辅助，不能替代 MLRO 的判断。

12.8.2 与第10章的逻辑联动

外包管理必须与：

AML 风险评估
IT 控制
客户保护
形成闭环治理。

12.9 退出策略与业务连续性（Exit & Contingency）

12.9.1 必须具备的退出安排

服务中断应急预案
数据迁移与接管计划
私钥与关键系统控制权回收
客户沟通机制

12.9.2 FSC 的核心关切

“如果第三方明天停止服务，你还能不能合规运营？”

12.10 可直接写入申请书的“外包管理声明（模板）”

“本公司已建立与其虚拟资产服务规模和复杂度相匹配的外包与第三方风险管理框架。所有外包安排均经尽职调查、合同约束与持续监督。本公司始终保留对关键职能、客户资产及合规义务的最终控制权，并确保 FSC 可在任何时间行使其监管与审计权。”

12.11 第12章交付附件清单（建议编号）

D12-1｜外包政策与第三方风险管理制度
D12-2｜外包尽调问卷与评估报告
D12-3｜标准外包合同条款（节选）
D12-4｜跨境数据与外包风险评估
D12-5｜退出与应急接管方案

第13章｜财务资源、资本充足性、审计与监管申报

Financial Resources, Capital Adequacy, Audit & Regulatory Reporting

本章是 FSC 判断一家 VASP 是否“具备长期存续能力、不是短期壳项目”的核心章节。
FSC 的关注点不在于“一次性出资”，而在于：
你是否能持续维持资本、承担风险、并被审计与监管持续看见。

13.1 法律与监管依据（Legal & Regulatory Basis）

本章主要依据以下毛里求斯法规与监管要求：

VAITOS Act 2021（对 VASP 的资本、财务稳健性与持续申报要求）
Financial Services Act 2007
FSC Rules / Guidance Notes（适用于 VASP 的财务与报告要求）
Companies Act 2001（Mauritius）
International Financial Reporting Standards（IFRS）

13.2 资本要求的监管逻辑（Capital Adequacy Philosophy）

13.2.1 FSC 的资本观

FSC 并未采用“一刀切”的资本数字，而是采取：

按业务类型（Class）
按风险暴露程度
按是否托管客户资产

来判断资本是否“充足（adequate）”。

核心监管原则：
资本必须足以：

支持正常运营

覆盖运营与合规成本

应对业务中断或损失

保护客户与市场

13.3 VASP 各类别的资本预期（Indicative Capital Expectations）

⚠️ 注：以下为 监管实践区间（Indicative），最终以 FSC 个案审批为准。

VASP 类别	业务特征	常见资本预期（参考）
Class I（咨询）	不接触客户资产	USD 25,000 – 50,000
Class M（经纪/撮合）	交易相关、无托管	USD 50,000 – 100,000
Class O（钱包）	技术接入、部分控制	USD 100,000 – 150,000
Class R（托管）	持有客户资产	USD 150,000 – 250,000+
Class S（平台/市场）	高交易量	个案评估（通常更高）

唐生实务提示：
托管类（Class R）与平台类（Class S）几乎一定会被要求 “高于最低资本 + 强化内控”。

13.4 资本形式与来源（Form & Source of Capital）

13.4.1 可接受的资本形式

已缴股本（Paid-up Share Capital）
股东注资（需合法来源证明）
保留盈余（如适用）

13.4.2 资金来源证明（SoF / SoW）

FSC 通常要求：

股东资金来源说明
银行流水
合法收入或资产证明
不涉及制裁、犯罪或匿名来源

13.5 客户资产与公司资金的分离（Segregation of Funds）

13.5.1 监管要求

若涉及客户资金或虚拟资产：

必须与公司自有资金严格分离
使用独立账户/钱包
清晰的账务与记录

13.5.2 审计与检查重点

是否混用
是否存在临时挪用
是否有清晰对账机制

13.6 会计制度与财务记录（Accounting & Record Keeping）

13.6.1 会计准则

必须采用 IFRS 或 FSC 认可的等同准则
财务报表应真实反映业务状况

13.6.2 财务记录要求

完整、准确、及时
可供 FSC 与审计师检查
与 AML、交易记录相互印证

13.7 审计要求（Audit Requirements）

13.7.1 审计师资格

必须为 FSC 认可的独立审计师
不得存在利益冲突

13.7.2 审计范围

年度财务报表
客户资产分离情况
内部控制（必要时）
特定监管关注事项

13.7.3 审计提交

按规定期限提交 FSC
审计意见保留需解释
严重问题需整改与报告

13.8 持续监管申报义务（Ongoing Regulatory Reporting）

13.8.1 常见申报类型

年度财务报表
资本充足性声明
重大事项通知（Material Change）
业务范围变更
高级管理人员变动

13.8.2 重大事项（Material Events）示例

资本下降
重大系统故障
严重 AML 事件
客户资产风险
外包或托管结构变化

13.9 压力测试与财务韧性（Stress Testing & Resilience）

13.9.1 FSC 的期望

对于高风险 VASP，FSC 可能要求：

业务中断情景分析
收入骤降压力测试
运营成本上升情景
客户挤兑或资产冻结场景

13.9.2 压力测试的交付形式

书面分析
管理层评估
对应缓释措施

13.10 可直接写入申请书的“财务与资本声明（模板）”

“本公司已维持与其虚拟资产服务性质、规模及风险相匹配的财务资源与资本水平。公司资金来源合法、可核查，并已建立客户资产与自有资金的分离机制。本公司承诺持续遵守 FSC 的审计与监管申报要求，以支持长期稳健运营。”

13.11 第13章交付附件清单（建议编号）

D13-1｜资本结构与资金来源说明
D13-2｜财务预测与现金流模型
D13-3｜客户资金/资产分离制度
D13-4｜审计师委任函
D13-5｜监管申报时间表与模板

第14章｜董事、高级管理层、关键人员与“适当人选”要求

Fit & Proper – Directors, Senior Management & Key Function Holders（交付版）

本章是 FSC 在审批阶段“最具否决权”的章节之一。
在 FSC 的监管逻辑中：
制度可以补、资本可以加、系统可以改，但“人不合格＝项目终止”。

14.1 法律与监管依据（Legal & Regulatory Basis）

本章主要依据：

Financial Services Act 2007（适当人选与监管评估基础）
VAITOS Act 2021（VASP 管理层与关键人员责任）
FSC Fit and Proper Guidelines
FIAMLA 2002（与 MLRO、合规负责人直接相关）
国际监管通行原则（IOSCO / FATF）

14.2 FSC 的“Fit & Proper”核心评估维度

FSC 对所有关键人员的评估，集中在以下 四大维度：

诚信与品格（Honesty & Integrity）
能力与经验（Competence & Capability）
财务稳健性（Financial Soundness）
时间与投入度（Time Commitment）

一句话总结：
FSC 不是看“头衔”，而是看“这个人能不能把这家公司稳住”。

14.3 适用对象范围（Who Must Be Fit & Proper）

以下人员通常需通过 FSC 的适当性审查：

董事（Executive / Non-Executive）
首席执行官 / 总经理（CEO / GM）
合规负责人（Compliance Officer）
MLRO（反洗钱报告官）
关键技术负责人（如 CTO，若影响客户资产或交易）
实际控制人 / 大股东（如适用）

14.4 董事会层面的要求（Board of Directors）

14.4.1 董事会整体能力要求

FSC 期望董事会整体具备：

金融或虚拟资产相关经验
风险管理与合规意识
对 VASP 业务模式的理解
有效监督管理层的能力

14.4.2 执行董事与非执行董事

执行董事：深度参与日常管理
非执行董事（NED）：提供独立监督

实务建议：
至少配置 1 名具监管或金融背景的非执行董事，有利于 FSC 信任度。

14.5 高级管理层（Senior Management）

14.5.1 核心管理岗位

通常包括：

CEO / Managing Director
COO / Operations Head
CFO / Finance Head（如设）

14.5.2 FSC 的能力关注点

是否理解 VASP 风险结构
是否能落实董事会决策
是否具备危机处理能力
是否能与监管机构有效沟通

14.6 MLRO 与合规负责人的特殊地位

14.6.1 MLRO（Mandatory）

MLRO 是 FSC 与 FIU 的直接接口，其要求尤为严格：

AML/CFT 实务经验
对 FIAMLA、STR 流程熟悉
可独立履职、不受业务干预
可直接向董事会汇报

14.6.2 合规负责人（Compliance Officer）

负责制度落地与持续合规
监管变化跟踪
内部培训与监控

注意：
MLRO 与 Compliance Officer 可由同一人担任，但需论证其时间与能力充足。

14.7 技术关键人员（Key Technology Personnel）

14.7.1 适用情形

若 VASP 涉及：

托管
交易平台
钱包/私钥控制

FSC 将关注 CTO 或等同角色。

14.7.2 评估重点

技术资历与过往项目
安全意识
对系统风险的理解
与合规/风控的协作能力

14.8 实际控制人与股东适当性（Controllers & Shareholders）

14.8.1 适用对象

直接或间接持股达到实质影响力
对董事会或管理层有控制权

14.8.2 评估内容

身份背景
资金来源（SoF / SoW）
是否涉及不良记录
是否曾在受监管机构违规

14.9 需提交的“适当性”材料清单（交付级）

每名关键人员通常需提交：

个人履历（CV）
身份证明
无犯罪记录证明
诚信声明（Declaration of Integrity）
财务状况声明
过往监管或法律事件披露
角色职责说明（Job Description）

14.10 常见被质疑或否决的情形（Regulatory Red Flags）

虚假或夸大履历
频繁更换监管岗位
曾被监管机构处罚
无法解释的资金来源
明显“挂名董事/挂名 MLRO”

14.11 可直接写入申请书的“Fit & Proper 声明（模板）”

“本公司董事、高级管理层及关键人员均符合 FSC 关于适当人选的诚信、能力与稳健性要求。相关人员具备与其职责相匹配的专业经验与时间投入，并已向 FSC 提交完整、真实及可核查的适当性资料。本公司承诺在人员变动或适当性发生变化时，及时向 FSC 申报。”

14.12 第14章交付附件清单（建议编号）

D14-1｜董事及高管履历汇编
D14-2｜Fit & Proper 声明表
D14-3｜MLRO / 合规负责人职责说明
D14-4｜股东与控制人尽调文件
D14-5｜人员时间投入与组织结构说明

第15章｜申请流程、审批阶段与监管沟通

Application Process, Approval Stages & Regulatory Engagement（交付版）

本章是“把前 14 章真正变成牌照”的落地章节。
FSC 并非只看文件本身，而是看：
你是否按其逻辑递交、是否专业回应、是否具备持续合规意识。

15.1 申请前准备（Pre-Application Readiness）

15.1.1 FSC 的隐性期待

在正式递交前，FSC 期望申请人已经：

明确 VASP 类别（Class M/O/R/I/S）
搭建基本治理与合规框架
确定关键人员（董事、MLRO、合规负责人等）
完成初步 IT 架构与外包方案
准备资金与资本说明

实务建议（唐生）：
在毛里求斯，“边做边申”成功率极低；
“体系先成型，再申请” 才是 FSC 认可路径。

15.2 申请路径概览（Overall Application Flow）

15.2.1 标准流程（概览）

项目准备
↓
提交申请文件
↓
FSC 初步审阅
↓
补件 / 问询
↓
实质性审查
↓
原则性批准（如适用）
↓
正式牌照发放

15.3 申请文件递交（Submission of Application）

15.3.1 递交形式

通过 FSC 指定渠道（电子 + 纸质，如适用）
文件需为英文
签署文件需董事/授权人签字

15.3.2 递交文件的结构化要求

FSC 非常重视文件的：

逻辑结构
章节编号
前后引用一致性

交付建议：
使用 “主申请书 + 附件索引 + 编号制度文件” 的方式。

15.4 FSC 初步审阅阶段（Initial Review）

15.4.1 FSC 的关注点

在初步审阅中，FSC 通常关注：

是否属于 VASP 监管范围
类别是否选择正确
关键人员是否齐备
是否存在明显监管红旗

15.4.2 常见初步问题

业务模式描述不清
类别混用或过度申报
MLRO 或合规负责人不明确
IT 描述过于抽象

15.5 补件与问询阶段（Queries & Clarifications）

15.5.1 FSC 问询的性质

FSC 的问询通常：

不只是形式问题
往往测试你对业务与风险的理解
可能多轮、逐步深入

15.5.2 回应问询的“监管友好写法”

直接回答问题
引用已提交章节
提供补充证据
避免营销语言

唐生实务提示：
“一次问询＝一次隐性面谈”，回应质量直接影响审批节奏。

15.6 实质性审查（Substantive Review）

15.6.1 实质性审查重点

FSC 会综合评估：

治理与人员适当性
AML/CFT 可运行性
客户资产保护
IT 与外包控制
财务与资本合理性

15.6.2 可能的现场或视频会议

在复杂项目中，FSC 可能要求：

管理层会议
技术或合规说明会
对特定风险的深入解释

15.7 原则性批准（Approval in Principle, 如适用）

15.7.1 原则性批准的意义

表示 FSC 基本认可项目
但仍附带条件
条件未满足前不可正式展业

15.7.2 常见附带条件

补充资本
完成人员任命
系统上线验证
外包合同完善

15.8 牌照发放与生效（Grant of Licence）

15.8.1 牌照内容

VASP 类别
批准的业务范围
适用条件与限制
持续合规义务

15.8.2 展业前的最后检查

在正式展业前，应确认：

银行账户到位
AML 与系统可运行
客户协议与披露上线
内部培训完成

15.9 审批时间与影响因素（Timeline & Variables）

15.9.1 常见时间预期（参考）

准备阶段：1–2 个月
FSC 审批：3–6 个月（视复杂度）
总体周期：约 4–9 个月

15.9.2 影响审批节奏的关键因素

业务复杂度
托管/平台属性
人员背景
问询回应质量
外包与跨境结构

15.10 可直接写入申请书的“监管沟通声明（模板）”

“本公司承诺在申请及获批后，与 FSC 保持开放、透明与建设性的沟通，及时回应监管问询并主动披露重大事项，以支持持续合规与稳健运营。”

15.11 第15章交付附件清单（建议编号）

D15-1｜申请流程时间表（Gantt）
D15-2｜FSC 问询回应模板
D15-3｜监管会议准备清单
D15-4｜原则性批准条件跟踪表

第16章｜持续监管义务、年审与牌照维持

Ongoing Compliance, Annual Obligations & Licence Maintenance（交付版）

本章决定一家 VASP 能否“活得久”。
在 FSC 的监管视角中：
获牌只是起点，持续合规才是长期考核。

16.1 持续监管的总体原则（Regulatory Philosophy）

FSC 对 VASP 的持续监管遵循以下核心原则：

持续性（Ongoing）：不是年度一次性动作
比例性（Proportionality）：与业务规模、风险相匹配
可审计性（Auditability）：所有合规行为需可回溯
前瞻性（Forward-looking）：对新风险具备预警与调整能力

16.2 年度合规义务总览（Annual Compliance Calendar）

典型 VASP 每个财务年度需完成：

年度财务报表与审计
年度 AML/CFT 复核
年度风险评估更新
年度内部控制与治理检视
FSC 年度费用与牌照续费

交付建议（唐生）：
建议在内部建立 “合规年历（Compliance Calendar）”，由合规负责人统一跟踪。

16.3 年审与审计要求（Annual Audit & Review）

16.3.1 财务审计

由 FSC 认可审计师 执行
采用 IFRS 或认可准则
覆盖资产负债、损益、现金流
若涉及客户资产，重点关注资金分离

16.3.2 合规与 AML 审查

AML/CFT 政策与程序有效性复核
STR 统计与案例复盘
KYC/CDD 质量抽样检查
MLRO 年度报告提交董事会

16.4 持续资本与财务稳健性（Ongoing Capital Adequacy）

FSC 期望 VASP：

持续维持最低资本水平
若资本下降，应立即评估并补足
重大资本变化需向 FSC 报告

监管红线：
未报告的资本不足，通常被视为重大违规。

16.5 重大事项申报（Material Change Notification）

16.5.1 必须申报的事项（示例）

董事、高管、MLRO、合规负责人变更
业务范围或模式变化
托管或外包结构调整
重大系统故障或安全事件
股权结构或控制权变化

16.5.2 申报时效

事前申报：人员、业务、结构变更
事后即时报：事故、违规、系统中断

16.6 持续 AML/CFT 义务（Ongoing AML Obligations）

16.6.1 日常要求

持续客户监控
定期客户资料更新
异常交易调查
STR 持续提交（如适用）

16.6.2 年度 AML 报告

由 MLRO 编制
提交董事会
作为 FSC 检查的重要依据

16.7 持续 IT、网络安全与数据保护

定期漏洞扫描与补丁更新
安全事件演练
日志与监控有效性复核
灾备与 BCP 测试

16.8 外包与第三方的持续管理

外包服务年度评估
合同履约检查
风险重新评级
退出预案更新

16.9 FSC 现场检查与监管审阅（On-site Inspection）

16.9.1 检查形式

文件审阅
远程会议
现场检查（On-site）

16.9.2 常见检查重点

AML 记录
客户资产保护
系统与日志
董事会与管理层参与度

实务提示：
FSC 更关注 “是否真实运行”，而非制度文字本身。

16.10 违规、整改与处罚风险（Enforcement & Remediation）

FSC 有权要求整改计划
可能施加行政罚款
严重情形可暂停或撤销牌照

16.11 可直接写入申请书/年报的“持续合规声明（模板）”

“本公司已建立持续合规与内部监控框架，确保在获牌后持续遵守 FSC 及相关法律法规要求。公司定期进行风险评估、内部审查及审计，并承诺在发生重大事项时及时向 FSC 申报。”

16.12 第16章交付附件清单（建议编号）

D16-1｜年度合规年历（Compliance Calendar）
D16-2｜年度 AML 报告模板
D16-3｜重大事项申报模板
D16-4｜监管检查应对清单

第17章｜业务终止、退出机制与客户资产保护

Wind-down, Exit Planning & Client Asset Protection（交付版）

本章是 FSC 判断一家 VASP 是否“具备最坏情形下的合规责任意识”的关键章节。
在 FSC 的监管逻辑中：
进入市场要合规，退出市场同样要合规，而且更不能伤害客户。

17.1 监管立场与法律依据（Regulatory Rationale & Legal Basis）

本章主要依据：

VAITOS Act 2021（VASP 终止、暂停及客户资产保护责任）
Financial Services Act 2007
FSC Guidance on Business Continuity & Wind-down
FIAMLA 2002（终止阶段 AML 记录与配合义务）

监管核心一句话：
FSC 不接受“突然消失”的 VASP，任何退出都必须 可预期、可控、可监管。

17.2 何谓“业务终止 / 退出”（What Constitutes Wind-down）

以下情形通常被视为触发 Wind-down 或 Exit Planning：

主动申请撤销 VASP 牌照
长期停止或实质停止展业
无法维持最低资本或关键人员
被 FSC 要求暂停或终止业务
并购、重组导致业务实质转移

17.3 监管期望的退出原则（Regulatory Principles）

FSC 对退出机制的三大核心要求：

客户资产优先（Client First）
有序退出（Orderly Wind-down）
信息透明（Transparency）

17.4 Wind-down 计划的核心组成（Wind-down Plan Components）

FSC 期望 VASP 在申请阶段即准备一份 Wind-down Plan（退出计划），至少包括：

触发条件
决策机制
客户资产处理方案
沟通与通知安排
时间表
监管与审计配合

17.5 客户资产保护（Client Asset Protection）

17.5.1 客户资产的监管优先级

在任何退出场景中：

客户虚拟资产 ≠ 公司资产
客户资产应 优先返还或转移
不得用于清偿公司债务

17.5.2 资产返还或转移方式

原地址返还
经客户同意转移至第三方托管
在监管监督下的集中清算（如适用）

17.5.3 私钥与控制权安排

明确谁控制私钥
确保退出期间无单点失控
关键操作需多重授权与留痕

17.6 客户沟通与信息披露（Client Communication）

17.6.1 通知义务

提前合理时间通知客户
使用清晰、非误导性语言
提供明确操作指引

17.6.2 客户支持安排

设立专门退出支持渠道
回应客户疑问
记录客户指示与处理结果

17.7 与 FSC 的沟通与审批（Regulatory Engagement）

17.7.1 事前沟通

向 FSC 提交 Wind-down 计划
说明原因与影响
等待监管意见或条件

17.7.2 退出期间的持续汇报

进度报告
客户资产处理状态
风险或问题通报

17.8 AML/CFT 与记录保存义务（AML & Record Retention）

即使终止业务，仍需：
- 保存客户与交易记录
- 配合 FIU 调查
- 提交必要 STR（如适用）

常见误区：
“公司不做了，AML 责任就没了”——这是错误认知。

17.9 员工、外包与第三方安排

员工解聘需有序进行
外包合同按约终止
确保第三方配合资产返还与数据交接

17.10 退出完成后的事项（Post-Exit Obligations）

提交最终报告给 FSC
完成审计（如要求）
正式撤销牌照
公司清算或休眠（如适用）

17.11 可直接写入申请书的“退出与客户保护声明（模板）”

“本公司已制定与其虚拟资产服务性质和规模相匹配的业务终止与退出计划，确保在任何暂停或终止情形下，客户资产得到优先保护并有序返还。本公司承诺在退出过程中与 FSC 保持充分沟通，并持续履行其 AML/CFT 与记录保存义务。”

17.12 第17章交付附件清单（建议编号）

D17-1｜Wind-down & Exit Plan
D17-2｜客户资产返还流程图
D17-3｜客户通知模板
D17-4｜退出期间监管汇报模板

第18章｜监管执法、违规类型与处罚风险

Enforcement, Breaches & Sanctions（交付版）

本章是“反向合规地图”。
FSC 在审批与持续监管中，始终在评估：
如果你做错了，会不会被发现？发现后是否可控？是否可纠正？

18.1 监管执法的法律基础（Legal Basis for Enforcement）

FSC 对 VASP 的执法权力主要来源于：

VAITOS Act 2021（虚拟资产服务的核心执法依据）
Financial Services Act 2007
FIAMLA 2002（AML/CFT 违规的独立处罚体系）
FSC Enforcement & Administrative Powers

重要理解：
毛里求斯对 VASP 的执法采取 “行政监管 + 刑事法律并行” 的模式。

18.2 FSC 的执法工具箱（Enforcement Toolkit）

FSC 可根据违规性质与严重程度，采取以下措施：

书面警告（Warning / Caution）
限期整改指令（Remedial Directions）
行政罚款（Administrative Penalties）
限制业务或附加条件
暂停牌照（Suspension）
撤销牌照（Revocation）
移交执法机关（如涉及刑事犯罪）

18.3 常见违规类型总览（Typology of Breaches）

18.3.1 治理与人员违规

未维持合格董事或 MLRO
关键岗位“挂名”
未申报人员变动
董事会未履行监督职责

18.3.2 AML/CFT 违规（高风险）

KYC 不充分或流于形式
未执行 EDD
未及时提交 STR
Tipping-off（向客户泄露 STR）
AML 记录缺失或无法调取

实务警示（唐生）：
AML 违规是 最容易触发高额罚款或牌照风险 的领域。

18.3.3 客户资产与托管违规

客户资产与公司资产混用
私钥控制不清
未按承诺的托管模式运行
无法在监管要求下返还客户资产

18.3.4 信息披露与市场行为违规

误导性营销
暗示“监管背书”
未披露重大风险
收费不透明

18.3.5 IT、系统与外包违规

系统安全缺陷长期未修复
日志缺失或被篡改
外包失控
数据跨境不透明

18.3.6 财务与申报违规

资本不足未申报
财务报表失真
未按时提交审计或监管报告
隐瞒重大事项

18.4 违规严重程度分级（Severity Assessment）

FSC 在执法时通常考量：

违规是否系统性
是否影响客户资产或市场诚信
是否存在主观故意或反复违规
是否及时整改与配合调查

18.5 行政罚款与处罚后果（Sanctions & Consequences）

18.5.1 行政罚款

金额与违规性质、规模相关
可按 单项违规 / 持续违规 计算
严重情形可能叠加多项罚款

18.5.2 附带后果

监管声誉受损
银行账户被审查或关闭
审计师、合作方终止合作
其他司法辖区的监管关注（跨境影响）

18.6 执法流程概览（Enforcement Process）

发现问题
↓
初步调查
↓
正式通知（Show Cause / Information Request）
↓
公司回应
↓
监管决定
↓
处罚 / 整改 / 结案

关键点：
公司回应的 专业性、透明度与速度，会显著影响最终结果。

18.7 整改与补救（Remediation & Mitigation）

18.7.1 FSC 看重的“减轻因素”

主动披露
快速整改
高层参与
外部专业顾问介入
防止再次发生的制度性改进

18.7.2 整改计划的内容

问题根因分析
具体整改措施
负责人
时间表
成效验证方式

18.8 个人责任与连带风险（Individual Accountability）

在严重违规情形下：

董事
高管
MLRO / 合规负责人

可能面临：

个人罚款
任职资格限制
行业禁入
刑事调查（极端情形）

18.9 可直接写入申请书/合规手册的“执法风险声明（模板）”

“本公司已充分识别其虚拟资产服务所涉及的监管与执法风险，并建立相应的内部控制、监控与整改机制。公司承诺在发现潜在违规时，及时采取补救措施并主动与 FSC 沟通，以降低对客户、市场及监管目标的不利影响。”

18.10 第18章交付附件清单（建议编号）

D18-1｜违规类型与风险矩阵
D18-2｜内部违规上报与调查流程
D18-3｜整改计划模板
D18-4｜监管沟通与回应范文

第19章｜跨境展业、国际监管协作与司法影响

Cross-border Activities, Regulatory Cooperation & Jurisdictional Impact（交付版）

本章是 FSC 判断一家 VASP 是否“具备国际合规视野与跨境风险控制能力”的关键章节。
在 FSC 的监管逻辑中：
“面向全球客户”并不意味着“脱离任何监管”。

19.1 监管立场与适用原则（Regulatory Stance & Principles）

19.1.1 FSC 对跨境展业的总体态度

FSC 允许 VASP 以毛里求斯为基地开展国际业务，但前提是：

不规避其他司法辖区的监管
不误导客户对监管保护的认知
不削弱毛里求斯作为许可国的监管权

19.1.2 “In or from Mauritius” 原则

FSC 一贯强调：

只要服务是在“毛里求斯境内或从毛里求斯发起”，即属于其监管范围。

这包括：

从毛里求斯管理或控制的平台
在毛里求斯做出关键决策
通过毛里求斯实体签约客户

19.2 跨境业务模式识别（Cross-border Business Models）

常见跨境 VASP 结构包括：

毛里求斯母公司 + 海外客户
毛里求斯持牌实体 + 海外运营/技术子公司
毛里求斯作为合规枢纽（Hub）+ 多司法辖区展业
毛里求斯 VASP + 第三方海外分销或推广

监管重点：
FSC 更关注 “控制权与实质”，而非形式上的公司层级。

19.3 客户所在司法辖区的合规影响（Client Jurisdiction Impact）

19.3.1 客户所在地监管风险

当客户位于以下类型司法辖区时，风险显著提高：

对加密资产高度监管或禁止的国家
要求本地牌照的国家
受制裁或高风险国家

19.3.2 客户准入控制措施

FSC 期望 VASP：

进行国家/地区风险分级
明确禁止或限制国家名单
在 KYC 阶段识别客户所在地
持续监控客户迁移或 IP 异常

19.4 跨境牌照与监管重叠（Regulatory Overlap）

19.4.1 可能产生的监管重叠

毛里求斯 VASP + 欧盟 MiCA
毛里求斯 VASP + 英国 FCA
毛里求斯 VASP + 美国州级监管
毛里求斯 VASP + 亚洲本地监管（如香港、日本、新加坡）

19.4.2 FSC 的基本期望

不以毛里求斯牌照规避他国监管
在必要时取得当地许可或豁免
向 FSC 披露潜在的监管冲突

19.5 国际监管协作（International Regulatory Cooperation）

19.5.1 信息共享与协作

FSC 作为国际监管成员，可能：

与其他监管机构共享信息
配合跨境调查
参与监管协作机制（MoU）

19.5.2 VASP 的配合义务

提供所需资料
维护可调取的记录
不阻挠或延迟监管协作

19.6 跨境 AML/CFT 与 Travel Rule

19.6.1 跨境 AML 风险

不同国家 KYC 标准不一
高风险司法辖区客户
跨链与匿名性风险

19.6.2 Travel Rule 的适用

FSC 期望 VASP：

在可行范围内实施 Travel Rule
识别并传递必要的交易信息
与海外 VASP 协作

19.7 数据跨境与隐私保护（Cross-border Data & Privacy）

19.7.1 数据跨境的监管关注

数据存储位置
第三方访问权限
外国政府调取风险

19.7.2 合规控制措施

数据加密
最小化访问
合同与技术双重控制
明确数据主权安排

19.8 税务与常设机构风险（Tax & PE Risk）

19.8.1 税务影响

客户所在地税务申报义务
服务费、交易费的来源地
转让定价问题

19.8.2 常设机构（PE）风险

海外员工或管理活动
海外服务器或运营中心
实质性决策地点

唐生实务提示：
跨境结构设计必须同步考虑 监管 + 税务，否则后期整改成本极高。

19.9 跨境风险的内部治理（Internal Governance）

FSC 期望看到：

跨境风险评估
跨境业务审批流程
法律意见支持
定期复核与董事会监督

19.10 可直接写入申请书的“跨境展业声明（模板）”

“本公司在开展跨境虚拟资产服务时，已充分评估客户所在地及业务活动可能引发的监管、AML/CFT、数据保护及税务风险，并建立相应的控制与审批机制。本公司承诺不以毛里求斯 VASP 牌照规避其他司法辖区的监管要求，并在必要时配合国际监管协作。”

19.11 第19章交付附件清单（建议编号）

D19-1｜跨境业务与客户地域风险评估
D19-2｜禁止/限制国家名单
D19-3｜Travel Rule 实施说明
D19-4｜跨境数据与税务风险分析

第20章｜与其他司法辖区 VASP 牌照对比及战略选择

Comparative Analysis & Strategic Positioning（交付版）

本章是“为什么选毛里求斯”的决策说明书。
FSC 在审批中同样关注：
你是否理解毛里求斯在全球 VASP 版图中的真实定位，而非“盲目选便宜”。

20.1 战略比较的监管视角（Why Comparison Matters）

FSC 并不反对申请人同时布局多地牌照，但其隐含期望是：

毛里求斯并非“监管套利工具”
毛里求斯实体承担真实控制与合规中枢角色
跨司法辖区布局具有清晰分工逻辑

20.2 毛里求斯 VASP 的核心定位（Strategic Positioning）

20.2.1 监管层级定位

中等强度监管（Mid-Tier Regulated Jurisdiction）
明确立法（VAITOS Act）
FSC 作为成熟金融监管机构

不属于“宽松离岸”，也非“一线强监管（如 EU MiCA、UK FCA）”。

20.2.2 商业与结构优势

成本与税务友好
国际认可度稳定
适合 “合规枢纽 + 国际展业” 架构

20.3 与主要司法辖区的对比分析（High-Level Comparison）

20.3.1 与欧盟（MiCA CASP）的对比

维度	毛里求斯 VASP	欧盟 MiCA
监管强度	中等	高
资本要求	灵活、按类	明确且偏高
审批周期	中等	较长
护照机制	❌	✅
适合对象	国际业务枢纽	欧盟本地市场

结论：
毛里求斯 ≠ MiCA 替代品，而是 MiCA 之前/之外的国际布局节点。

20.3.2 与英国（FCA Crypto Regime）的对比

维度	毛里求斯	英国
审批确定性	较高	不确定
成本	中低	高
市场准入	国际	英国本地
执法强度	稳健	极高

20.3.3 与迪拜（VARA / ADGM）的对比

维度	毛里求斯	迪拜
资本门槛	较低	较高
商业氛围	稳健	激进
区域辐射	非洲/印度洋	中东
监管节奏	稳定	快速变化

20.3.4 与离岸轻监管司法辖区的对比（如部分岛国）

维度	毛里求斯	轻监管辖区
立法完整性	高	低
国际认可度	中高	低
银行开户	可行	困难
长期稳定性	高	不确定

FSC 明确不希望毛里求斯被与“纯离岸壳牌照”混为一谈。

20.4 常见多牌照组合策略（Licence Stacking Strategies）

20.4.1 “毛里求斯 + 欧盟”

毛里求斯：国际客户、技术与运营中枢
欧盟：零售市场与护照展业

20.4.2 “毛里求斯 + 中东”

毛里求斯：后台合规、托管、治理
VARA/ADGM：区域市场与品牌展示

20.4.3 “毛里求斯单一枢纽型”

适合 OTC、机构服务、非零售导向
强调合规 + 成本控制

20.5 选择毛里求斯的“适配性清单”（Decision Checklist）

适合选择毛里求斯 VASP 的情况：

面向 国际或机构客户
不依赖欧盟零售护照
希望控制合规与运营成本
具备一定治理与系统能力
接受 FSC 的持续监管

20.6 不适合毛里求斯的典型场景（Red Flags）

目标客户主要在 单一强监管国家
试图规避其他国家监管
无实质人员或系统
仅为“牌照背书”用途

20.7 董事会层面的战略建议（Board-Level Guidance）

将毛里求斯定位为 “合规运营枢纽”
不将其作为唯一长期零售市场牌照
提前规划二级或区域牌照
统一集团层面的 AML、IT、治理标准

20.8 可直接写入商业计划书的“战略定位声明（模板）”

“本集团选择毛里求斯作为虚拟资产服务的合规与运营枢纽，基于其清晰的法律框架、稳定的监管环境及良好的国际认可度。毛里求斯 VASP 牌照将与集团在其他司法辖区的许可形成互补，而非替代关系，以支持可持续的国际业务发展。”

20.9 第20章交付附件清单（建议编号）

D20-1｜全球 VASP 牌照对比矩阵
D20-2｜多司法辖区持牌结构示意图
D20-3｜董事会战略决策备忘录

第21章｜常见误区、失败案例与监管警示

Common Pitfalls, Failed Cases & Regulatory Warnings（交付版）

本章是“反面教材总汇”。
FSC 在审查与执法中反复遇到的失败项目，并非缺少文件，而是对监管逻辑理解错误。

21.1 监管失败的底层原因（Root Causes）

从 FSC 的实际审查经验看，失败项目通常不是单点问题，而是以下结构性错误之一：

把 VASP 当“壳牌照”
把制度当“文档工程”
把毛里求斯当“监管避风港”
把合规当“获牌动作而非运营系统”

21.2 常见误区一：业务模式模糊或“过度包装”

21.2.1 典型表现

同时声称做交易所、钱包、托管、DeFi、RWA、NFT
商业计划书充满营销语言
实际系统与人员无法支撑

21.2.2 FSC 的直接反应

质疑业务真实性
要求缩减范围或重新分类
审批周期被无限拉长

✅ 正确做法

明确主业务 + 辅助功能
与 VASP 类别（M/O/R/I/S）严格对齐
分阶段扩展（获牌后再申请变更）

21.3 常见误区二：人员“挂名化”（尤其 MLRO）

21.3.1 典型失败案例

MLRO 同时在多家机构挂名
MLRO 不在毛里求斯、不参与日常运营
合规负责人不理解业务系统

21.3.2 监管后果

直接否决申请
要求更换人员并重新评估
后续被列入“重点关注名单”

✅ 正确做法

MLRO 真实参与、真实履职
明确时间投入与汇报路径
可提供过往 STR、审查经验说明

21.4 常见误区三：AML/CFT 体系“纸面化”

21.4.1 典型表现

KYC 文件齐全，但无人复核
STR 从未提交
风险评估多年不更新

21.4.2 FSC 的典型评价

“The framework exists, but it is not operating.”

✅ 正确做法

用 案例、流程、日志 证明 AML 在运行
明确谁做判断、谁做记录
定期演练与内部抽查

21.5 常见误区四：托管与私钥控制不清

21.5.1 高危场景

私钥由第三方完全控制
无多签、无审批
公司无法在紧急情况下接管

21.5.2 监管后果

要求重构托管模型
延期或拒绝牌照
在持续监管中被重点抽查

✅ 正确做法

明确 控制权 ≠ 技术执行权
多重签名、权限分层
可执行的接管方案

21.6 常见误区五：外包“失控”

21.6.1 典型失败结构

全部技术、合规、KYC 外包
合同无审计权、无退出条款
公司对第三方“看不见”

21.6.2 FSC 的核心质疑

“Who is actually running the VASP?”

✅ 正确做法

外包功能，不外包责任
合同写清监管权利
建立第三方监督机制

21.7 常见误区六：跨境客户与监管冲突

21.7.1 常见问题

吸引禁止加密国家客户
未限制高风险司法辖区
使用模糊营销规避当地监管

21.7.2 监管后果

要求限制客户来源
要求法律意见
与其他监管机构协作调查

✅ 正确做法

客户地域分级
禁止/限制名单
明确“不向某些司法辖区提供服务”

21.8 常见误区七：获牌后“合规疲劳”

21.8.1 真实案例

获牌后合规团队缩减
不再更新制度
年审延误

21.8.2 直接后果

FSC 现场检查
行政罚款
牌照附加条件甚至暂停

✅ 正确做法

把合规当持续成本
建立年度合规预算
董事会定期参与

21.9 FSC 反复强调的“监管红线总结”

❌ 误导客户
❌ 客户资产不清
❌ AML 流于形式
❌ 人员不真实
❌ 试图规避监管

21.10 可直接写入合规手册的“风险警示声明（模板）”

“本公司已识别虚拟资产服务在治理、AML/CFT、客户资产保护、技术与跨境展业方面的主要合规风险，并针对常见监管误区建立相应的内部控制与审查机制，以避免制度与实际运营脱节。”

21.11 第21章交付附件清单（建议编号）

D21-1｜常见监管失败案例对照表
D21-2｜高风险误区自检清单
D21-3｜整改优先级矩阵

第22章｜申请与运营实操路线图

Implementation Roadmap: From Preparation to Steady-State Operations（交付版）

本章是整份指南的“行动版结论”。
FSC 审查一家 VASP 时，真正关心的是：
你是否知道“下一步该做什么”，而不是只会写制度。

22.1 路线图的监管价值（Why FSC Cares About Roadmaps）

FSC 并未在法规中强制要求提交“路线图”，但在实务中：

具备清晰路线图的申请，审批更顺畅
能证明董事会与管理层具备 规划能力与执行力
有助于解释阶段性合规与资源配置逻辑

22.2 总体实施阶段划分（Overall Phases）

建议将项目拆分为 五个阶段：

阶段一｜立项与结构设计
阶段二｜制度与系统搭建
阶段三｜申请递交与监管互动
阶段四｜原则性批准后的落地
阶段五｜获牌后稳定运营

22.3 阶段一｜立项与结构设计（Phase 1: Structuring）

目标：确认“做什么、用什么牌照、由谁来做”。

核心动作清单

明确 VASP 类别（M / O / R / I / S）
确定业务边界与第一阶段产品
设计公司与控股结构
初步跨境与税务评估
董事会立项决议

交付物

项目立项说明
业务模式概要
初版结构图

22.4 阶段二｜制度与系统搭建（Phase 2: Build）

目标：让“合规真正跑起来”。

核心动作清单

任命董事、CEO、MLRO、合规负责人
编制并定稿：
- AML/CFT 手册
- 客户资产保护制度
- IT 与网络安全政策
- 外包与第三方管理制度
搭建或验证 IT 系统
建立 KYC、监控、日志、STR 流程

交付物

全套制度文件（可递交版）
系统架构说明
关键岗位职责说明

22.5 阶段三｜申请递交与监管互动（Phase 3: Apply）

目标：通过 FSC 的实质性审查。

核心动作清单

整理主申请文件与附件索引
正式递交申请
回应 FSC 问询
准备管理层/技术/合规说明会
记录并跟踪监管意见

交付物

FSC 申请回执
问询回应函
监管会议纪要

22.6 阶段四｜原则性批准后的落地（Phase 4: Implement）

目标：满足所有附带条件，换取正式牌照。

常见附带条件

补足资本
系统上线或测试验证
外包合同完善
人员正式到岗

核心动作清单

条件清单拆解
指定责任人
按期完成并提交证明
与 FSC 确认满足情况

22.7 阶段五｜获牌后稳定运营（Phase 5: Operate）

目标：从“合规项目”转为“合规公司”。

核心动作清单

正式展业
启动合规年历
定期董事会与合规汇报
持续 AML、IT、外包监控
准备年审与监管检查

22.8 时间轴示意（Indicative Timeline）

阶段	预计时间
立项与设计	2–4 周
制度与系统	6–10 周
FSC 审批	3–6 个月
条件落实	1–2 个月
稳定运营	持续

⚠️ 实际时间取决于业务复杂度与监管问询轮次。

22.9 关键成功因素（Critical Success Factors）

真实人员 + 可运行系统
业务与牌照类别高度匹配
高质量问询回应
董事会持续参与
预算充足、时间预期合理

22.10 高风险节点与应对策略

高风险节点	应对建议
MLRO 不合格	提前筛选与培训
IT 描述空泛	提供系统证据
外包失控	合同与治理重构
资本不足	提前预留缓冲

22.11 可直接写入商业计划书的“实施路线声明（模板）”

“本公司已制定清晰、分阶段的实施路线图，从立项、制度搭建、监管申请到获牌后稳定运营，均设有明确目标、责任分工与时间安排，以确保虚拟资产服务在毛里求斯的合规、可持续开展。”

22.12 第22章交付附件清单（建议编号）

D22-1｜VASP 实施路线图（Gantt）
D22-2｜阶段性交付物清单
D22-3｜监管条件跟踪表

第23章｜结论、行动建议与服务支持

Conclusion, Action Plan & Professional Support（交付版·终章）

本章回答三个终极问题：
1️⃣ 是否应当选择毛里求斯 VASP？
2️⃣ 如果要做，现在立刻该做什么？
3️⃣ 谁可以把事情“真正做成并长期合规”？

23.1 结论一｜毛里求斯 VASP 的真实定位（Final Positioning）

23.1.1 一句话结论（唐生）

毛里求斯 VASP 不是“最低门槛的离岸牌照”，而是“成本可控、监管清晰、适合国际合规运营的中枢型牌照”。

23.1.2 核心判断总结

毛里求斯 VASP 的正确理解方式应是：

✔ 有明确法律（VAITOS Act + FSC Rules）
✔ 有实质监管（AML/CFT、治理、IT、外包）
✔ 有国际认可度（非灰区、非空壳）
✔ 有成本与结构优势（相较 EU/UK/US）

而不是：

❌ 监管套利工具
❌ 纸面牌照
❌ “不管就能做”的司法辖区

23.2 结论二｜什么类型的客户最适合毛里求斯 VASP？

23.2.1 强烈推荐人群（Highly Suitable）

面向国际或机构客户
需要离岸控股 + 实体合规中枢
计划未来叠加 EU / UK / UAE 牌照
OTC、经纪、托管、钱包、B2B 服务
理解合规是长期投入而非一次性动作

23.2.2 不建议选择的情况

❌ 仅追求“最快、最便宜”
❌ 无真实人员与系统
❌ 主要市场在单一强监管国家
❌ 希望规避本地法律责任

23.3 行动建议｜董事会级「下一步怎么做」

23.3.1 30 天内必须完成的 7 件事（Action Checklist）

确认业务模型与 VASP 类别
决定是否作为“合规中枢”还是“单一牌照”
确定董事、MLRO、合规负责人候选人
初步 IT / 托管 / 外包架构设计
搭建股权与税务结构图
准备项目预算（申请 + 首年运营）
启动制度文件与系统证据准备

23.3.2 推荐的项目节奏（Realistic Pace）

❌ 不建议“边想边报”
❌ 不建议“先交空壳材料再补”
✅ 建议 8–12 周完成高质量递交包

23.4 仁港永胜的专业支持方式（How We Deliver）

23.4.1 服务定位

我们不只是“代办”，而是“合规项目经理 + 监管翻译官”。

23.4.2 可提供的核心服务模块

A. 牌照申请全流程支持

VASP 类别判断与策略设计
FSC 申请文件编制
监管问询应答与会议陪同

B. 合规与制度交付

AML/CFT 全套制度
客户资产保护与托管模型
外包治理与第三方管理制度

C. 人员与治理支持

MLRO / 合规负责人配置建议
董事会治理结构设计
合规培训与履职支持

D. IT 与系统合规支持

KYC / 交易监控逻辑梳理
系统架构说明与证据整理
私钥控制与冷钱包方案评估

23.5 交付成果一览（Deliverables）

在标准项目中，客户将获得：

✅ 可直接递交 FSC 的申请文件包
✅ 可运营的 AML / IT / 治理体系
✅ 可应对问询的说明话术与材料
✅ 可长期使用的合规年历与模板

合规服务：选择一间专业专注的合规服务商协助牌照申请收购及后续维护及合规指导尤为重要，在此推荐选择仁港永胜。

23.6 可直接写入商业计划书的「最终结论声明（模板）」

“经董事会审慎评估，本集团决定以毛里求斯作为虚拟资产服务的合规与运营枢纽。毛里求斯清晰的法律框架、成熟的监管环境以及良好的国际认可度，能够在控制成本的同时支持集团的长期国际业务发展。”

23.7 关于仁港永胜（About Rengangyongsheng）

我们仁港永胜在全球各地设有专业的合规团队，提供针对性的合规咨询服务。我们为受监管公司提供全面的合规咨询解决方案，包括帮助公司申请初始监管授权、制定符合监管要求的政策和程序、提供季度报告和持续的合规建议等。我们的合规顾问团队拥有丰富经验，能与您建立长期战略合作伙伴关系，提供量身定制的支持。

—— 合规咨询与全球金融服务专家 ——

公司中文名称：仁港永胜（香港）有限公司
公司英文名称：Rengangyongsheng (Hong Kong) Limited

我们专注于：

全球金融牌照与虚拟资产合规
多司法辖区持牌结构设计
AML/CFT、IT、治理体系落地
监管沟通与长期合规支持

服务覆盖：
香港｜毛里求斯｜欧盟｜英国｜中东｜离岸司法辖区

23.8 联系方式（Contact）

地址（总部）：
香港特别行政区西九龙柯士甸道西1号香港环球贸易广场（ICC）86楼
Address: 86/F, International Commerce Centre,1 Austin Road West, Kowloon, Hong Kong

办公地址：

香港湾仔轩尼诗道 253-261 号依时商业大厦 18 楼
深圳福田卓越世纪中心 1 号楼 11 楼
香港环球贸易广场 86 楼

唐上永（唐生，Tang Shangyong）｜业务经理

手机 / 微信（深圳）：15920002080
香港 / WhatsApp：+852 9298 4213
邮箱：Drew@cnjrp.com
官网：www.jrp-hk.com

来访提示：请至少提前 24 小时预约。注：本文中的模板或电子档可向仁港永胜唐生有偿索取（用于监管递交与内部落地）。

23.9 免责声明（Disclaimer）

本指南仅用于一般合规与监管研究参考，不构成法律或投资建议。具体申请结果取决于监管机构的独立判断及申请人的实际情况。本文内容由仁港永胜（香港）有限公司拟定并提供专业讲解，未经许可不得复制或用于商业用途。

——《毛里求斯 Mauritius（FSC）VASP 牌照申请注册指南》——

如欲查询更多毛里求斯 Mauritius VASP 牌照申请注册指南，Mauritius VASP License Registration Guide有关的资料，请与我们仁港永胜的专业顾问联络，我们将为您提供免费咨询服务。[点击联系公司注册专业顾问]

24小时专业顾问：15920002080（深圳/微信同号） 852-92984213（Hongkong/WhatsApp）

上一页： 百慕大 Bermuda 数字资产业务 (DAB) 许可证申请注册指南｜Bermuda Digital Asset Business (DAB) Licence
下一页： 南非 South Africa（FSCA）CASP 加密资产服务提供商许可/登记申请注册指南，South Africa（FSCA）CASP Licence