DTSP 发牌与范围指引
数字代币服务提供者发牌指引
AI 智能摘要
该指引说明数字代币服务提供者的监管范围和发牌要求，重点覆盖在境外提供数字支付代币或资本市场代币服务的商业模式。2025 年 6 月 30 日起，部分仅服务境外客户的提供者也需要取得牌照，否则须停止相关受监管活动。
“客户不在新加坡”不再当然意味着不需要新加坡牌照。
适用对象：数字支付代币和资本市场代币服务提供者
实施情况：DTSP 发牌与范围指引
- 同时判断客户所在地、实质活动地和新加坡连接点。
- 无牌不得继续受监管活动，并须安排有序退出。
- 制度将对纯境外业务维持较严格的发牌尺度。
目录
1目的
《数字代币服务提供商许可指南》（以下简称“本指南”）旨在就《2022年金融服务与市场法》（以下简称“FSM法”）第9部分项下数字代币服务提供商的申请程序、许可标准及持续性要求提供指导。根据该法，数字代币服务提供商是指在新加坡设有营业场所或在新加坡成立或注册，但从事在新加坡境外提供数字代币服务业务的个人、合伙企业或新加坡公司（以下简称“DTSPs”）。
本指南应结合《FSM法》的规定、《金融服务与市场（数字代币服务提供商）条例》（以下简称“FSM条例”）以及由新加坡金融管理局（以下简称“MAS”）发布的其他相关法律、通告、指南和常见问题解答一并阅读。 1.3
MAS将定期更新本指南，以提供进一步的指导。
2根据《FSM法案》颁发的许可证
根据FSM法第137条，在新加坡开展FSM法附表一中所界定的数字代币服务的任何人，除依法获豁免外，均须持有许可证。FSM法第137(5)条规定了可豁免持证的情形。
由于MAS不会为DTSPs提供过渡性安排，因此根据FSM法第137条须取得许可的DTSPs，必须于2025年6月30日前暂停或停止在新加坡境外提供数字代币服务的业务。违反许可要求的DTSP构成犯罪，并将被处以FSM法第137(6)条规定的处罚。 数字代币服务的类型 2.3 申请人应根据FSM法附表一所载的十类数字代币服务，审视其商业模式是否涉及提供数字代币服务。申请人还应考虑其拟开展的活动是否属于附表一第二部分所列的、不属FSM法规制范围的除外情形。
3入场标准
由于数字代币服务具有基于互联网和跨境的特性，数字代币服务提供商（DTSP）更容易面临较高的洗钱、恐怖主义融资及扩散融资（“ML/TF”）风险。这将导致此类提供商被用于或被滥用以从事非法活动的风险增加，从而损害新加坡的声誉。鉴于上述风险，MAS对DTSP的许可采取审慎和谨慎的态度，且在极少数情况下才会考虑根据《金融管理局法》向申请人颁发DTSP牌照。这些极少数情况包括：•
申请人具备合理的商业模式，并能够令MAS满意地证明其有正当理由说明为何尽管在新加坡经营或在新加坡成立或注册，但无意在新加坡开展数字代币服务业务；
申请人未以令MAS担忧的方式运营，且已接受相关国际公认标准的监管与监督，例如由金融稳定理事会、国际证监会组织及反洗钱金融行动特别工作组（“FATF”）制定的标准；以及
MAS对申请人的业务结构不存在疑虑，例如其履行监管义务的能力。
3.2 申请人必须完全满足下述各项标准，并明确证明其作为持牌人能够遵守《金融管理局法》项下的各项义务。3.2.1
治理与所有权要求——申请人必须符合附录1所载的治理与所有权结构要求，并须在ACRA注册。
合适性与正直性——申请人必须使MAS确信其独资经营者、合伙人、管理人员或董事及首席执行官、股东和员工，以及申请人本身均符合《合适性与正直性标准指南》[FSG-G01]的要求。申请人负有举证责任，需确保相关人员符合MAS关于合适性与正直性的要求，而非由MAS承担相反情形的举证责任。除诚实、正直与声誉外，MAS还将考虑其他因素，如是否存在利益冲突以及相关人员对新加坡实体的时间投入等。特别是，该实体及其关联集团不得有任何不良声誉，尤其是在金融犯罪及制裁合规方面。
对其业务活动和员工进行有效的监督与控制。申请人还应考虑其关键人员的教育背景及专业资质。
和
永久营业场所或注册办事处——申请人必须在新加坡设有永久营业场所或注册办事处。该场所须为可安全存放申请人账簿及记录的办公区域。申请人还须至少委任一名人员在场，以处理客户的任何查询或投诉1，以及当局的询问或信息请求。
基本资本——许可申请人必须使MAS确信其熟悉《金融服务管理条例》2规定的基本资本要求，并清晰说明其将如何持续满足这些要求，具体要求汇总于下表3。鉴于此项义务，申请人须确保维持足以覆盖基本资本要求的充足资本缓冲，同时考虑其经营规模、范围以及潜在的利润与亏损情况。作为一般经验法则，实体的基本资本应至少能够覆盖申请人6至12个月的运营开支。申请人还应建立有效的监控机制，以确保始终满足基本资本要求，例如定期报告制度或设定高于最低要求的特定资本缓冲。表1——基本资本要求
3.2.6 经营类型
基础资本要求
独资经营者
向MAS存入至少25万新元的现金存款
合伙企业/有限责任合伙企业
总出资额至少25万新元
公司
基本资本至少25万新元
合规安排——申请人必须制定有效的合规安排计划，并确保配备充足的
根据MAS公告FSM-N32的规定，持牌机构须在其永久营业场所或注册办事处每月至少有10天、每天至少8小时在其正常营业时间内安排至少一名人员在场，除非：(a) 已提前以书面形式通知所有客户任何可能使其无法满足上述天数及时间要求的计划停业日；或(b) 存在持牌机构无法合理预见且超出其控制范围的情形，导致其无法满足上述天数及时间要求。
基本资本指(i)已缴足的普通股股本及不可赎回、非累积优先股股本，以及(ii)任何未分配利润或亏损，减去已宣布的中期亏损及股息之和。
股份资本，以及(ii)任何未分配利润或亏损，减去已宣布的中期亏损及股息之和。
与其业务性质、规模及复杂性相称的合规资源。关于合规安排的最低要求载于附录2。无论合规安排如何设置，确保遵守适用法律法规的最终责任和问责均由申请人的独资经营者、合伙人、管理人员或董事及首席执行官承担。3.2.7
技术风险管理——申请人必须对其拟提供的数字代币服务进行渗透测试，对所有识别出的高风险问题进行整改，并对整改措施的有效性进行独立验证。此项工作无需在提交申请前完成，但须在获发牌照前完成。
审计安排——申请人必须制定充分的独立审计计划，以定期评估其程序、控制措施以及对监管要求的合规情况是否适当有效。审计安排应与其运营的规模、性质及复杂程度相称。审计可由申请人内部审计部门、申请人总部的独立内部审计团队实施，或外包给第三方服务提供机构。
年度审计要求——申请人必须制定计划，以满足《FSM法》第158条规定的年度审计要求。审计师应由申请人自行聘请并承担费用，负责对其账目、交易以及对相关法规和要求的合规情况进行审计。
责任函及/或承诺函——在适当情况下，MAS可能要求申请人从其主要股东、母公司及/或关联公司获取责任函及/或承诺函。如申请获批，模板将由MAS提供。其他因素——MAS亦可考虑以下因素：3.2.11 申请人的经营记录及财务状况，及其控股公司或关联公司的相关情况（如适用）；
申请人的运营准备情况，包括其遵守监管要求的能力；
申请人是否已充分认识到与其业务活动相关的主要风险，并已相应地识别、评估及缓释这些风险；以及3.2.14 授予牌照是否符合公共利益。3.
MAS将根据每项申请的具体情况予以审慎考量，并可视个案情况酌情考虑其他因素。上述标准及考量因素并非穷尽无遗；MAS亦可针对申请人所具有的特定风险附加条件或提出额外要求。
申请人应提交表格1中的申请。所有申请人和持牌人均须缴纳《FSM条例》附表中规定的相关费用。有关费用的更多信息，请参阅附录4。申请人还应参阅附录5，以获取关于申请审查流程参与规则的更多信息。
4许可申请要求
经评估认为能够满足准入标准的申请人，应参阅附录3，以获取作为许可申请组成部分所需信息的指引。新许可申请的法律意见 4.1.1
申请数字代币服务提供商（DTSP）许可的新申请人，应在提交申请时一并提交一家信誉良好的律师事务所出具的法律意见。该法律意见应包含对申请人商业模式的清晰简明概述，并评估申请人拟提供的服务及/或产品是否属于《FSM法》项下的受监管数字代币服务。
在任何情况下，若初步法律意见不明确，MAS保留要求提供第二份法律意见的权利。
外部审计师的独立评估 4.1.3
在获得原则性批准（IPA）后，申请人须委任一名具备资质的独立外部审计师，对其在技术和网络安全风险领域的政策、程序及控制措施进行独立评估³。
3 该要求将作为IPA条件之一纳入。有关评估范围，请参阅附录6中关于
技术与网络安全风险的内容。
5许可持有人的持续性要求
许可持有人须持续遵守《金融服务与市场法》及其他相关法律法规所规定的各项适用要求。许可持有人应建立相应的流程、系统、政策及程序，以确保其履行所有持续性义务，包括在必要时向MAS提交申请及通知。以下对部分要求予以概述。请注意，该清单并非详尽无遗，许可持有人应随时关注监管动态，并可查阅MAS网站以获取最新要求。
反洗钱及反恐怖融资（“AML/CFT”）要求——许可持有人须遵守《金融服务与市场条例》（包括针对金融制裁的条例）、《2002年恐怖主义（资助活动）抑制法》、《1992年腐败、毒品贩运及其他严重犯罪（没收收益）法》、《关于预防洗钱及反恐怖融资的通知》[FSM-N27]以及《关于可疑活动及欺诈事件报告的通知》[FSM-N28]中所载的AML/CFT要求。许可持有人还应参考《FSM-N27号通知指南》，以了解其AML/CFT相关要求。
定期申报——许可持有人须根据《FSM条例》就其数字代币业务提交定期监管申报。相关要求载于《关于提交监管申报的通知》[FSM-N29]。5.
网络安全——许可持有人须遵守《关于网络安全的通知》[FSM-N31]中所载的网络安全要求，并采取适当保障措施以保护客户信息。
技术风险管理——许可持有人须遵守《关于技术风险管理的通知》[FSM-N30]，并参考《风险管理实践指南——技术风险》以了解技术风险管理的相关要求。
商业行为——许可持有人须遵守《金融服务与市场法》、《FSM条例》及《关于商业行为的通知》[FSM-N32]中的商业行为要求。这些义务包括交易记录、收据签发、汇率及费用公示，以及正常营业时间的告知。许可持有人还应确保其遵守所有禁止事项及限制规定，包括被禁止的商业活动。
披露与沟通——许可持有人须对其许可范围作出准确陈述，并在其业务适用时提供《关于披露与沟通的通知》[FSM-N33]中所列的披露内容。许可持有人还应确保客户及时收到有关披露内容任何重大变更的更新信息。
年度审计要求——许可持有人须每年聘请审计师对其账目、交易以及对法规及要求的合规情况进行审计，并确保审计师按表格3格式向MAS提交审计报告。
附录1
A1 治理与所有权要求 表A1 - 被许可人实体类型的治理/所有权要求
治理/所有权要求
自然人
不适用。
合伙企业或有限责任合伙企业（LLP）
至少一名合伙人或经理必须是新加坡居民。
公司
至少一名执行董事必须是新加坡居民。
附录2
A2 最低合规安排 申请人应确保其具备有效的合规安排及充足的合规资源，且与业务规模、性质及复杂程度相称。这可以采取以下形式：•
独立的合规职能——申请人应在新加坡设立独立的合规职能，并配备在与其业务活动相关领域具有适当资质的员工。合规人员可兼任其他不冲突且互补的职务，例如内部法律顾问。来自控股公司或海外关联实体的合规支持——申请人可从其控股公司或海外关联实体的独立且专职的合规团队获取合规支持，但须证明申请人的合规官、独资经营者、合伙人、经理或董事以及首席执行官及其他高级管理人员对该支持实施了充分的监督。
申请人还必须制定适当的合规管理安排，至少包括任命一名具备相应资质的管理层级合规官。该人员应常驻新加坡，具备与其业务活动相关的足够专业知识，并有权监督申请人的合规职能，尽管其日常运营可由其他员工协助完成。申请人还应建立完善的治理结构，以监督合规及反洗钱/反恐怖融资（AML/CFT）相关事宜（包括与定向金融制裁相关的问题）。根据业务规模及其集团架构，申请人可考虑让合规官定期向董事会或董事会委员会汇报合规及AML/CFT相关问题，并就超出合规官权限范围的事项作出决策。申请人应注意，无论选择何种安排，申请人的独资经营者、合伙人、经理或董事以及首席执行官均对所有合规及监管事务负最终责任，并须对相关安排保持充分监督。因此，申请人的高级管理人员及合规官应能够充分理解其业务活动中所面临的合规及洗钱/恐怖融资风险，并说明已采取有效措施管理这些风险。
附录3
A3 许可申请所需信息指引 申请人应确保其完全符合准入标准，并确保申请材料完整、无错误及不一致之处，且附有申请表中要求的必要支持文件。
拟议商业计划书所需信息 特别是，拟议商业计划书应包括以下信息：申请人应提供对其商业模式和计划的清晰描述，并由拟任管理团队的专业经验与专长予以支持。商业计划书应说明其对《FSM法》及相关附属法规的合规情况，并包含以下信息：•
服务的司法管辖区，包括证明申请人在各相关司法管辖区内已获许可运营，并接受相关监管机构的监督，以确保其遵守国际公认的有关标准，例如金融稳定理事会、国际证券委员会组织以及反洗钱金融行动特别工作组制定的标准。
目标客户群体概况。
拟提供的产品和服务。申请人应明确说明其对交易流程各阶段将开展何种数字代币服务的评估。如申请人拟提供多种类型的数字代币服务，则应对每种类型分别进行评估。
尽管在新加坡运营或在新加坡成立或注册，但为何不打算在新加坡开展数字代币服务业务的原因。
详细资金流动计划及渠道，包括交易及/或流程图。如有多种产品或服务，或存在多种交易及/或流程，应为每种流程提供一张图表。这些图表应：o
描述典型交易从始至终的全过程，从申请人接受的资金来源（例如银行转账、现金、银行卡）开始，直至对客户的义务完全履行为止。
o
展示客户与申请人之间的互动关系及资金流动路径。
o
标明时间安排，包括与第三方的服务水平协议，以及适用情况下的支付与结算周期。
o
突出说明其使用创新技术的环节（例如使用或提供数字…）。
代币、分布式账本技术）或以与市场上常见方式不同的方式提供产品或服务。o
包括所有涉及的第三方（例如，其他数字代币服务提供商、银行合作伙伴、中介机构、其他代理人），并说明其在流程中的角色。
实施计划，包括业务/产品上线的预期时间表，以及在其运营中将发挥关键作用的系统、流程和第三方。
数字代币服务是否为申请人提供的任何其他产品或服务的附带服务，或与其捆绑提供。
简要说明其正在开展或拟开展的任何由MAS监管的其他活动（例如，财务顾问、证券交易等）。
简要说明其目前正在进行或拟进行的任何豁免且不受监管的活动。
对于属于全球数字代币服务集团的申请人：o
申请人在集团中的角色，包括其将从集团内相关公司接收及/或向其提供的职能或服务（如有）。如有可能，申请人应提供其他相关公司在人员数量及投入时间方面支持新加坡境内运营的资源水平估算。
o
确认其所有实体均已获得充分许可/注册，并提供各实体的许可/注册详情。申请人应提供其许可证/注册证明的副本，或在监管机构网站上查询其许可/注册状态的信息。申请人还应披露其任何实体可能参与的任何监管执法行动或调查。
对其拟支持或提供的所有数字代币及数字代币服务（例如，交易平台、托管服务）进行全面风险评估，包括其代币上市治理流程。申请人应提供所支持数字代币的完整清单，并说明其根据MAS监管框架对代币性质的评估（例如，是否为证券型代币或支付型代币）。
关于其在新加坡境内维护客户数字代币访问权限及运营控制、每日核对客户账户、每月向客户提供账户对账单、风险管理控制措施（客户资产流动控制）以及对客户的披露信息等消费者准入及商业行为措施的相关信息。
法律意见 申请人须就其拟采用的商业模式下拟提供的受监管数字代币服务，提供来自知名律师事务所的法律意见。该法律意见应包括但不限于以下内容：
申请人商业模式的清晰简明摘要，以及申请人拟提供的每一项服务和产品（包括每项服务/产品的资产/资金流动及涉及方，如适用）。
对拟议服务或产品是否属于《FSM法》项下的受监管数字代币服务的评估。该评估应包括对每项受监管数字代币服务如何适用于或不适用于每项拟议服务或产品的详细且全面的分析。评估还应考虑所有相关法律、通知、指南、通告及常见问题解答。
如任何拟议服务或产品被评估为豁免或排除在监管之外，则应详细说明相关豁免或排除条款如何适用。
确认法律意见将向主管机关披露。
合规、风险管理、系统与控制所需信息
技术风险管理 申请人应阐述其评估和管理技术风险的框架，并采取与所提供金融服务的风险水平及复杂程度以及支持此类服务的技术相称的措施，以保护客户数据、交易和系统。申请人应参考《技术风险管理通知》[FSM-N30]、《网络卫生通知》[FSM-N31]以及《风险管理实践指南——技术风险》，以获取有关IT风险管理原则及监管期望的指导。合规与审计 申请人应提供符合拟议商业模式性质的以下信息和文件：•
反洗钱/反恐怖融资政策及程序，证明其符合MAS通知FSM-N27以及相关定向金融制裁要求。其中应包括对代理商及第三方合作伙伴（本地及海外）进行评估并保持监督的框架。
全企业范围的洗钱/恐怖主义融资/扩散融资风险评估（“EWRA”）。申请人还应在EWRA中纳入对逃税风险的评估。
反洗钱/反恐怖融资治理、升级及报告安排。其中应包括独资经营者、合伙人、经理或董事、首席执行官及其他高级管理人员参与监督和解决持牌机构业务过程中可能出现的反洗钱/反恐怖融资问题的相关细节。
合规管理安排的实施计划，包括已部署的流程及将使用的系统。19
合规官的姓名及简历（“CV”），包括任何正式合规认证的详细信息，例如ACAMS、IBF认证。
合规职能的人员配置安排及汇报关系，若尚未在组织架构图中体现。这应包括所有外包合规职能的详细信息，包括外包服务提供方及其团队的所在地、申请人与外包服务提供方之间的关系（例如供应商、母公司）、外包服务提供方的许可/注册状态以及监督安排。
内部及外部审计安排。
股权结构图 •
申请人应提供完整的股权结构图（直至最终控制人），且最终控制人为自然人。
若申请人不存在持股20%的控制人，则申请人须提供书面确认。
附录4
A4 年度许可证费用 根据《FSM法案》第140条，许可证费用应按《FSM条例》附表的规定每年缴纳。所有已支付的许可证费用均不予退还。被许可人应与MAS签订GIRO协议，以按年度支付许可证费用。被许可人应确保其GIRO协议信息得到及时更新，并在费用通知单上注明的扣款日期前，其银行账户中有足够的资金。 新持证人的按比例计算许可证费用 对于并非在当年1月1日获得许可的新持证人，其首个日历年的许可证费用按从许可签发之日起至同年12月31日止期间的固定年度许可证费用按比例计算。示例1展示了首年许可证费用的计算方法。 示例1 某公司于2025年12月1日获颁DTSP许可证。 许可证签发日期
2021年12月1日
首个日历年的按比例应付费用 (31/365) * $10,000 = $849.32（适用于2025年12月1日至2025年12月31日，即31天） 其后各日历年的年度许可证费用
为
$10,000
附录5
A5 申请审核流程参与规则 初步审核与信息请求 申请的审核流程自案件专员被指派并收到申请人按要求提交的全部信息及文件时开始。根据收到的申请数量，案件分配可能不会在MAS收到申请后立即进行。案件分配完成后，案件专员将联系申请人，告知其后续必要步骤，其中包括可能举行的首次会议。案件专员将核查申请人提交的完整文件清单，这通常构成申请人收到的第一轮信息请求。案件专员还将对申请人的商业模式进行初步审查。在审核过程中，根据申请人所提交答复的完整性，可能会有多轮信息及澄清请求。申请人在提交申请前应始终确保其申请符合本指南中规定的准入标准，并包含本指南附录3中要求的必要信息。若提交材料被评估为严重不完整或存在重大缺陷，MAS保留拒绝该申请的权利。申请人还应始终保持一名联络人随时待命，以跟进这些信息请求并及时作出充分回应。如联络人发生变更，申请人应及时通知MAS。至关重要的是，申请人应主动、及时地向案件专员全面披露所有重要信息，不得隐瞒任何内容。如发现申请人无正当理由故意模糊、隐瞒或延迟向MAS披露相关信息，此类行为将被视为重大缺陷。
申请人须谨记，必须尽合理注意义务，确保向MAS提供的信息和文件真实且不具误导性。违反《金融管理局法》第176(1)条或第176(3)条者，一经定罪，可处以罚款或监禁。回复的及时性与质量 MAS通常会为申请人设定回复信息请求的截止期限。如申请人未能在规定期限内回复，MAS将视该申请为撤回。如申请人需要更多时间准备答复，应提前告知案件专员。申请人还应在确保答复充分、全面的前提下安排时间，避免因急于加快审核进度而仓促作出答复。未能提供令人满意且全面的答复
将被视为缺陷，并导致申请在评估时受到不利考虑。面试 案件官员通常会安排与申请人主要管理人员及/或合规官的面谈。申请人的所有代表均应认真对待与案件官员的沟通。面谈的目的是让申请人说明其如何按照监管要求管理业务及风险。顾问、外部法律顾问及其他第三方不得参加面谈，因为即使申请人将其部分职能外包，仍需对履行监管义务承担责任。案件官员有合理理由认为申请人无法充分履行作为持牌实体的义务的情形包括但不限于以下情况：-
无正当理由未出席面谈；
对案件官员进行言语辱骂。
若在面谈后至申请结果公布前发生重大变更，案件官员可安排与申请人进行额外的面谈。此类变更的例子包括申请人关键人员的任何任命变更，或申请人商业模式的任何变更。MAS的审查流程 案件官员有义务对申请进行全面评估。即便在申请阶段，申请人的目标也是获得许可，从而根据监管制度接受持续的监督与管理。在此背景下，案件官员将审查申请，并期望申请人以已受监管金融机构的标准行事。未能如此的申请人将被认定为存在可能的重大缺陷，可能导致申请被驳回。申请搁置 若申请提交后所载信息发生任何变更，应立即通知MAS。如申请发生重大变更，鉴于申请在变更完成前尚不具备审查条件，申请人可考虑撤回申请并在变更完成后重新提交。MAS保留权利，对于经评估认为尚未具备审查条件的申请，在申请人发生重大情形时，将其搁置六个月。
在审查过程中，如发生公司重组、关键管理人员的重大变更410或业务模式/活动的重大变化，申请将被暂停处理。尽管此类重大变更可能并非申请人所能预见，但暂停期间可使资源从这些不完整的申请中转移出来，以确保对队列中所有其他已准备就绪的申请人的公平性。在此暂停期间，申请人有责任及时解决或完成所有必要的变更，并在暂停期结束时向MAS提供相关评估所需的文件。默认的暂停期限为六个月，且不可延长。如果在暂停期内未能完成重大变更，该申请将被视为未充分准备好进行审查，申请人应考虑撤回申请。撤回申请 申请人有权随时撤回其申请。经MAS审查后，对于存在无法在合理时间内充分解决的根本性问题，或申请被评估为存在重大缺陷的申请人，也可能被建议撤回申请。申请人应当知晓，若案件负责人作出上述评估，则该负责人已认定处于类似情况的其他申请人尚未获得批准。现已建立完善的控制机制，以确保案件负责人进行公正、客观且可验证的评估。每份申请及其支持文件均由包括案件负责人、主管官员以及审查和审批机构在内的团队严格审查。因此，申请人应认真对待审查程序及其结果。
若申请人拟重新提交申请，须确保已完全解决所有关切和不足后再行提交。未经整改即重新提交MAS此前提出的问题，很可能导致申请被驳回。
4 关于申请被暂停处理的情况，关键管理人员的重大变更主要指
与首席执行官、首席财务官、首席风险官及首席合规官等C级高管职位相关的变更。然而，申请人还应根据其业务模式的关键性及汇报关系的重要性，评估并明确是否还有其他应被视为关键管理人员的职务变动。
附件6
A6 外部审计师独立评估 A. 技术与网络安全风险：（在获得原则性批准时，申请人须提交） 1) 负责执行技术与网络安全风险独立评估的外部审计师的资质要求 申请人委任的负责开展独立评估的外部审计师应符合以下标准： 标准 1) 外部审计师及其项目负责人/项目主管的资质、资历及业绩记录
最低要求 a) 外部审计师应为根据《2004年会计师法》获批准或被视为分别获批准为会计公司、会计师事务所或会计有限责任合伙的企业、事务所或有限责任合伙。 b) 外部审计师及其项目主管/项目负责人5，须具备以下经验之一： • 至少就一家由新加坡金融管理局监管或授权的金融机构，按照新加坡金融管理局的相关规定出具过一份法定审计报告； 或 • 至少对一家由新加坡金融管理局监管或授权的金融机构，在技术和网络安全风险领域进行过一次独立审查或评估。
2) 独立性
a) 外部审计师应独立于申请人及其集团或集团公司。 b) 在为申请人进行独立评估提供服务时，外部审计师必须确保在其业务关系持续期间直至其委托结束之日，不存在与其申请人、其集团或集团公司之间的任何利益冲突。
2) 评估范围 下列为应由独立外部审计师进行评估的技术与网络安全风险领域，这些领域将作为原则性批准（IPA）的条件。
项目负责人应具备足够的资历，并在该领域拥有充分的经验和专业知识。
技术和网络安全风险（技术风险）。申请人有责任确保其任命一名具备相应资质的独立外部审计师，对其在技术风险方面的政策、程序和控制措施进行独立评估。
网络卫生——a. 结合申请人的拟议商业模式、产品、服务、资金流动及交付渠道，i.
识别与MAS公告FSM-N31《网络卫生》中所列相关监管要求之间的任何差距；ii. 指出为降低网络卫生风险所需改进的任何领域。
II. 数据丢失预防——a. 审查并评估申请人就数据丢失预防提出的内部政策和程序控制（IPPCs），包括以下方面：i.
在传输和存储过程中对敏感数据（包括客户数据）的保护；ii. 对敏感数据（包括客户信息）未经授权的访问或披露（包括通信、传输和存储）的检测与预防；iii. 对托管钱包加密密钥的保护。b. 结合申请人拟议的商业模式、产品、服务、资金流动及交付渠道，iv. 识别与适用的技术风险管理监管要求之间的任何差距，这些要求包括但不限于MAS公告FSM-N30《技术风险管理公告》以及《技术风险管理指南》第11条；v. 指出为降低其拟议商业模式所带来的技术风险所需改进的任何领域。III.
渗透测试——a. 审查并评估申请人就渗透测试系统提出的内部政策和程序控制（IPPCs），包括：i.
根据系统关键性及其面临的网络风险暴露程度等因素确定的渗透测试频率。对于可直接从互联网访问的系统，申请人应至少每年进行一次渗透测试，以验证安全控制措施的充分性，或者在这些系统发生重大变更或更新时进行渗透测试；ii. 针对渗透测试发现的问题制定与相关风险水平相称的服务水平协议（SLAs）。b. 审查并评估过去12个月内针对申请人拟议的在线金融服务所实施的渗透测试是否具有针对性，并足以识别关键的安全漏洞。c. 结合申请人拟议的商业模式、产品、服务、资金流动及交付渠道，i.
识别与适用的技术风险管理监管期望之间的任何差距，这些期望包括但不限于《技术风险管理指南》第13.2条；26
ii. 重点说明为降低其拟议商业模式所带来的技术风险而需改进的任何领域。
IV. 数字钱包与智能合约——a. 审查申请人的拟议内部政策、程序及控制措施，并评估这些拟议措施是否包含以下与申请人拟议商业模式、产品、服务、资金流动及交付渠道相称的控制措施：i.
在其拟议系统及其智能合约（如适用）的整个系统开发生命周期中，遵循安全设计原则（包括适当访问控制、全面测试、定期更新至稳定版本、静态与动态代码分析）；ii. 智能合约的开发应包含确保其免受网络威胁和漏洞影响的控制措施，通过实施安全开发、DevSecOps及测试流程，防止未经授权的访问、数据泄露及安全漏洞被利用；iii. 控制措施应确保关键系统的高可用性，并制定系统恢复及业务连续性优先级（包括根本原因与影响分析），以确保此类系统的快速恢复策略；iv. 采用多方计算及门限签名方案等技术，以保障托管钱包的安全；v. 实施托管钱包系统与其他信息系统/互联网之间的网络隔离，防止未经授权的连接；以及vi. 对托管钱包的加密密钥组件进行分隔，确保任何时候均无单一个人或系统能够获取完整密钥（即遵循“永不单独”原则，要求至少两名授权人员协调并批准密钥管理操作）。
完整中文参考译文（非官方译本）；如有歧义，以官方英文原文为准。