«Guía de licencia DTSP» (texto completo)

fuente:Singapur Mas; Compilado: Aiman@Bittain Vision

El 30 de mayo de 2025, la Autoridad Monetaria de Singapur emitió las «Directrices sobre licencias para proveedores de servicios de token digital», licenciando y supervisando oficialmente DTSP.

El siguiente es el texto completo de las «Directrices para la licencia de proveedores de servicios de token digital» de la autoridad monetaria de Singapur:

1. Propósito

2. Licencia bajo la Ley de Servicios Financieros y Mercados

3. Estándares de acceso

4. Requisitos de solicitud de licencia

5. Requisitos continuos de personas con licencia

Requisitos de gobierno y propiedad del Apéndice 1

Apéndice 2 Arreglos de cumplimiento mínimo

Guía del Apéndice 3 de la información requerida para la solicitud de licencia

Apéndice 4 Tarifa de licencia anual

Reglas del Apéndice 5 para participar en el proceso de revisión de aplicaciones

Apéndice 6 Evaluación independiente de auditores externos

1. Propósito

1.1 La «Guía de licencia de proveedores de servicios de token digital» (en lo sucesivo denominado «esta guía») tiene como objetivo proporcionar orientación sobre procesos de solicitud, estándares de licencia y requisitos continuos para proveedores de servicios de token digital bajo la Parte 9 de los servicios financieros y los mercados ACT 2022 (la «Ley FSM») (definidos como individuos, socios, sociedades o compañías singaporeanas establecidas en Singapore, pero que proporcionan un Singapore, proporcionan a los servicios digitales a los servicios digitales, a la derivación de los servicios digitales a la derivación de los servicios digitales, a la derivación de los servicios.»DTSPS»).

1.2 Esta guía se leerá en conjunto con la Ley FSM, la ordenanza de servicios financieros y mercados (proveedores de servicios de token digital) (la «Ordenanza FSM») y otras leyes, avisos, pautas y preguntas frecuentes emitidas por la autoridad monetaria de Singapur («MAS»).

1.3 MAS actualizará regularmente esta guía para obtener más orientación.

2. Licencia bajo la Ley de Servicios Financieros y Mercados

2.1 En virtud del Artículo 137 de la Ley FSM, cualquier individuo involucrado en servicios de token digital como se define en el primer horario de la Ley FSM en Singapur debe tener una licencia a menos que esté exento.El artículo 137 (5) de la Ley FSM establece exenciones aplicables.

2.2 Dado que MAS no proporcionará acuerdos de transición para DTSP, DTSP que requieren una licencia bajo el Artículo 137 de la Ley FSM deben suspender o dejar de participar en proporcionar servicios de token digital en el extranjero antes del 30 de junio de 2025. Los DTSP que violen los requisitos de licencia constituirán un delito y estarán sujetos a penaltis estipulados en el artículo 137 (6) de la Ley FSM.

Tipos de servicios de token digital

2.3 Los solicitantes deben evaluar si su modelo de negocio implica la provisión de servicios de token digital basados ​​en los diez tipos de servicios de token digital en el primer horario de la Ley FSM. Los solicitantes también deben considerar si las actividades que pretenden realizar se encuentran dentro de las excepciones fuera del alcance del alcance regulatorio de los servicios de token digital estipulados en la Parte 2 de la primera programación de la Ley FSM.

Nota del traductor: Diez tipos de servicios de token digital marcados por el cronograma de la ley FSM

1. Cualquier servicio de comercio de token digital (excepto los servicios de comercio de token digital especificados por MAS);

2. Cualquier servicio que promueva el intercambio de token digital (a excepción de los servicios de comercio de tokens digitales estipulados por MAS);

3. Cualquier servicio que acepte tokens digitales (ya sea como director o agente) de una cuenta de token digital (ya sea en Singapur o en otro lugar) es transferir o organizar la transferencia de tokens digitales a otra cuenta de token digital (ya sea en Singapur o en otro lugar);

4. Cualquier servicio que organice (ya sea como director o agente) para transferir tokens digitales de una cuenta de token digital (ya sea en Singapur o en otro lugar) a otra cuenta de token digital (ya sea en Singapur o en otro lugar);

5. Cualquier servicio que induciera o intente inducir o proporcione a cualquier persona a celebrar o proporcionar cualquier acuerdo para comprar o vender cualquier token digital a cambio de cualquier dinero o cualquier otro token digital (ya sea los mismos o diferentes tipos);

6. Cualquier servicio que proteja los tokens digitales, donde el proveedor de servicios tiene control sobre los tokens digitales;

7. Cualquier servicio que ejecute instrucciones relacionadas con tokens digitales para los clientes, donde el proveedor de servicios tiene control sobre los tokens digitales;

8. Cualquier servicio que proteja las herramientas de token digital, donde el proveedor de servicios puede controlar uno o más tokens digitales asociados con las herramientas de token digital;

9. Cualquier servicio para que el cliente ejecute instrucciones relacionadas con uno o más tokens digitales relacionados con la herramienta de token digital, en el que el proveedor de servicios tiene control sobre la herramienta de token digital;

10. Cualquier servicio relacionado con la venta o provisión de tokens digitales involucra-1. Proporcionar consejos relacionados con cualquier token digital directamente o a través de publicaciones u obras (ya sea en electrónica, impresa o de otra manera);o 2. Brindar asesoramiento a través de la publicación o publicación de análisis de investigación o informes de investigación relacionados con tokens digitales (ya sea en electrónicos, impresos o de otro tipo)

3. Estándares de acceso

3.1 Debido a los atributos de Internet y la naturaleza transfronteriza de los servicios de token digital, los DTSP son más susceptibles a los riesgos de lavado de dinero, financiamiento terrorista y financiamiento de proliferación («ML/TF»).Esto dará como resultado un mayor riesgo de que tales proveedores participen o sean mal utilizados con fines ilegales, dañando la reputación de Singapur. En vista de estos riesgos, MAS licencia DTSPS de manera prudente y prudente, ySolo en casos raros se considerará al solicitante para otorgar licencias DTSP bajo la Ley FSM.Los casos muy raros incluyen:

• El modelo de negocio del solicitante es económicamente razonable y puede demostrar a MAS satisfactoriamente que a pesar de su operación o establecimiento/registro en Singapur, tiene razones legítimas para no participar en el negocio de proporcionar servicios de token digital en Singapur;

• La forma en que opera el solicitante no causará ninguna preocupación sobre MAS, yEn todas las jurisdicciones donde proporciona servicios de token digital en el extranjero, ha sido sujeto a supervisión y supervisión por parte de las agencias reguladoras relevantes para el cumplimiento de los estándares relevantes reconocidos internacionalmente, como los establecidos por la Comisión de Estabilidad Financiera, la Comisión Internacional de Valores y la Fuerza de Tarea de Acción Financiera Anti-Money Lavering («FATF»);

• MAS no tiene preocupaciones sobre la estructura comercial del solicitante, como su capacidad para cumplir con las obligaciones regulatorias.

3.2 El solicitante debe cumplir completamente los siguientes criterios y demostrar claramente que él o ella, como licenciatario, pueden cumplir con las obligaciones estipuladas en la Ley FSM.

3.2.1Requisitos de gobernanza y propiedadLos solicitantes deben cumplir con la estructura de gobernanza y propiedad especificada en el Apéndice 1 y registrarse con la Administración de Contabilidad y Enterprise de Singapur (ACRA).

3.2.2Apropiado y adecuadoLos solicitantes deben asegurarse de que MAS sea apropiado y apropiado de acuerdo con las pautas para estándares adecuados y adecuados [FSG-G01].La responsabilidad de la prueba de idoneidad y adecuación de la persona en cuestión recae en el solicitante, no con el MAS. Además de la honestidad, la integridad y la reputación, la competencia y la solidez financiera también son consideraciones, y MAS también considerará otros factores, como la existencia de conflictos de intereses y el compromiso de tiempo del personal relevante para las entidades de Singapur.En particular, la entidad y sus grupos afiliados no deberían tener ninguna mala reputación, especialmente en términos de delitos financieros y cumplimiento de las sanciones.

3.2.3Capacidades del personal claveLos solicitantes deben asegurarse de que sus únicos propietarios, socios, gerentes o directores ejecutivos y CEO tengan suficiente experiencia operativa en la industria de servicios de token digital, incluida una comprensión completa del marco regulatorio de los DTSP de Singapur.

Si el personal relevante administra un equipo más grande, también deben tener experiencia, capacidades e influencia relevantes para supervisar y controlar de manera efectiva las actividades comerciales y los empleados.

Los solicitantes también deben considerar los antecedentes educativos y las calificaciones profesionales de su personal clave.

3.2.4Locales comerciales permanentes o oficinas registradasLos solicitantes deben tener un local comercial permanente o una oficina registrada en Singapur.El lugar debe ser un área de oficina que pueda mantener de manera segura los libros y registros del solicitante.El solicitante también debe nombrar al menos una persona para manejar cualquier consulta o queja del cliente, así como una solicitud de consulta/información de las autoridades.

3.2.5Capital básicoEl solicitante de la licencia debe asegurarse de que MAS esté familiarizado con los requisitos básicos de capital establecidos en las regulaciones de FSM y demostrar claramente cómo continuará cumpliendo con estos requisitos, se muestra una visión general en la Tabla 3. En vista de esta obligación, los solicitantes deben considerar el tamaño y el alcance de su negocio y la posibilidad de ganancias y pérdidas, asegurando que los amortiguadores de capital suficientes excepto los requisitos de capital básicos se mantengan.En términos generales, el capital básico de la entidad debería poder cubrir los gastos operativos del solicitante durante al menos 6 a 12 meses.Los solicitantes también deben establecer procesos de monitoreo efectivos para garantizar que siempre se cumplan los requisitos básicos de capital, como informes periódicos o establecer amortiguadores de capital específicos por encima de los requisitos mínimos.

Tabla 1 Requisitos básicos de capital

3.2.6 Arreglos de cumplimientoLos solicitantes deben desarrollar un plan de acuerdo de cumplimiento efectivo y garantizar recursos de cumplimiento adecuados que sean acorde con la naturaleza, el tamaño y la complejidad del negocio.Consulte el Apéndice 2 para obtener los requisitos mínimos de disposición de cumplimiento.Independientemente de los acuerdos de cumplimiento, garantice el único propietario del solicitante, socio, gerente o director y CEO de la responsabilidad final y la responsabilidad del solicitante para cumplir con las leyes y reglamentos aplicables.

3.2.7 Gestión de riesgos técnicosLos solicitantes deben realizar pruebas de penetración de los servicios de token digital que pretenden proporcionar, solucionar todos los problemas de alto riesgo identificados y verificar independientemente la efectividad de las medidas de reparación.Este trabajo no necesita completarse antes de la solicitud, sino que debe completarse antes de otorgar la licencia.

3.2.8 Arreglos de auditoríaLos solicitantes deben desarrollar acuerdos de auditoría independientes apropiados, evaluar regularmente la adecuación y efectividad de sus procedimientos, medidas de control y cumplimiento de los requisitos reglamentarios.Los arreglos de auditoría deben ser acorde con el tamaño, la naturaleza y la complejidad de su negocio.Las auditorías pueden ser realizadas por la función de auditoría interna del solicitante, el equipo de auditoría interna independiente del sede del solicitante o subcontratado a proveedores de servicios externos.

3.2.9 Requisitos de auditoría anualLos solicitantes deben desarrollar planes para cumplir con los requisitos de auditoría anual estipulados en el artículo 158 de la Ley FSM.Los auditores deben ser designados a expensas del solicitante para auditar sus cuentas y transacciones y el cumplimiento de las regulaciones y requisitos relevantes.

3.2.10 Carta de responsabilidad y/o carta de compromisoCuando sea apropiado, MAS puede exigir al solicitante que obtenga una carta de responsabilidad y/o una carta de compromiso de su accionista, empresa matriz controladora, empresa matriz.Si se aprueba la solicitud, MAS proporcionará la plantilla.

3.2.11 Otros factoresMAS también puede considerar los siguientes factores (si corresponde):

– registros y estado financiero del solicitante y su compañía holding o afiliados;

– La preparación operativa del solicitante, incluida la capacidad de cumplir con los requisitos reglamentarios;

– Si el solicitante ha reconocido completamente los principales riesgos asociados con sus actividades comerciales y ha identificado, evaluado y mitigado por completo los riesgos relevantes;

– ¿Es de interés público otorgar una licencia?

3.3MAS se evalúa en función de las circunstancias específicas de cada aplicación y puede considerar otros factores basados ​​en el caso.No se especifican los estándares y consideraciones anteriores y MAS puede imponer condiciones o requisitos adicionales para abordar los riesgos únicos planteados por el solicitante.

3.4 El solicitante debe enviar una solicitud del Formulario 1. Todos los solicitantes y licenciatarios deben pagar las tarifas relevantes estipuladas en el cronograma de la ordenanza FSM.Consulte el Apéndice 4 para obtener más información sobre las tarifas.Los solicitantes también deben consultar el Apéndice 5 para comprender las reglas de participación en el proceso de revisión de la aplicación.

4. Requisitos de solicitud de licencia

4.1 Los solicitantes que hayan evaluado que pueden cumplir con los criterios de admisión deben consultar el Apéndice 3 para obtener orientación sobre la información requerida para la solicitud de licencia.

Opinión legal sobre la solicitud de nueva licencia

4.1.1 Los nuevos solicitantes que soliciten la licencia DTSP deben presentar opiniones legales emitidas por firmas de abogados conocidos con la solicitud.Las opiniones legales deben incluir un resumen claro y conciso del modelo de negocio del solicitante y una evaluación de si el solicitante tiene la intención de proporcionar servicios y/o productos pertenecen a servicios de token digital regulados bajo la Ley FSM.

4.1.2 En cualquier caso, si la opinión legal inicial no está clara, MAS se reserva el derecho de solicitar una segunda opinión legal.

Evaluación independiente de auditores externos

4.1.3 Después de obtener la aprobación de principios («IPA»), el solicitante debe designar un auditor externo independiente calificado para realizar una evaluación independiente de las políticas, procedimientos y controles en las áreas de riesgo técnico y de seguridad cibernética (este requisito se incluirá como una condición de IPA. Ver Apéndice 6 para el alcance de la evaluación técnica y del riesgo de ciberseguridad).

5. Requisitos continuos de personas con licencia

5.1 Las personas con licencia deben continuar cumpliendo con todos los requisitos aplicables de la Ley FSM y otras leyes relevantes.Los licenciantes deben establecer procesos, sistemas, políticas y procedimientos para garantizar que se cumplan todas las obligaciones continuas, incluidas las solicitudes de presentación y notificaciones al MAS si es necesario.Algunos de los requisitos se describen a continuación, pero no todos, y los licenciatarios deben mantenerse actualizados con las actualizaciones regulatorias y pueden visitar el sitio web de MAS para obtener los últimos requisitos.

5.2 Requisitos anti-lavado de dinero y financiamiento antiterrorista («AML/CFT») Las personas con licencia deben cumplir con los requisitos de AML/CFT establecidos en la Ordenanza de Servicios Financieros y Mercados (incluidas las Regulaciones contra las Sanciones financieras dirigidas), la Ley de Aviso de Terrorismo (Stop Financing), la corrupción, la corrupción de las drogas y otros delanteros graves (ForfeUning), el Aviso de la Aviso de la Aviso y la Ovición de la Ovición), la Corrupción de la Corrupción y Otros Celimentos graves (ForfeUngue-Prouficientes de aves de aves de aviso de Mase. Financiamiento contra el terrorismo [FSM-N27] y el aviso sobre la presentación de actividades sospechosas y fraude [FSM-N28]. Los licenciantes también deben consultar la Guía de Aviso FSM-N27 para obtener sus requisitos de AML/CFT.

5.3 Informes periódicos Las personas con licencia deben presentar informes regulatorios periódicos relacionados con sus actividades de token digital de acuerdo con las regulaciones de FSM.Los requisitos relevantes están contenidos en el «Aviso sobre la presentación de informes regulatorios» [FSM-N29].

5.4 Los licenciantes de ciberseguridad deben cumplir con los requisitos de seguridad de la red estipulados en el Aviso de ciberseguridad [FSM-N31] y tomar las salvaguardas apropiadas para proteger la información del cliente.

5.5 Las personas con licencia de gestión de riesgos técnicos deben cumplir con el «Aviso de gestión de riesgos técnicos» [FSM-N30] y consulte la «Guía de práctica de gestión de riesgos técnicos» para comprender los requisitos de gestión de riesgos técnicos.

5.6 Conducta comercial Las personas con licencia deben cumplir con los requisitos de conducta comercial en la ley FSM, las regulaciones FSM y el «Aviso de conducta» [FSM-N32].Estas obligaciones incluyen registros de transacciones, emisión de recibos, visualización de tipos de cambio y tarifas, y notificar el horario comercial normal.Los licenciantes también deben garantizar el cumplimiento de todas las regulaciones prohibidas y restrictivas, incluidas las actividades comerciales prohibidas.

5.7 Divulgación y comunicaciones El licenciatario debe hacer declaraciones precisas sobre el alcance de su licencia y, cuando corresponda, proporcionar las divulgaciones proporcionadas en el aviso de divulgación y comunicaciones [FSM-N33].Los licenciantes también deben asegurarse de que el cliente reciba actualizaciones oportunas a cualquier cambio de material en la divulgación.

5.8 Requisitos de auditoría anual El licenciatario debe designar un auditor anualmente para auditar sus cuentas y transacciones y el cumplimiento de las regulaciones y requisitos.El licenciatario debe asegurarse de que el auditor presente un informe al MAS en el Formulario 3.

Apéndice 1

A1 Requisitos de gobernanza y propiedad

Apéndice 2

A2 Acuerdo de cumplimiento mínimo

Los solicitantes deben asegurarse de que tengan arreglos de cumplimiento efectivos y recursos de cumplimiento adecuados acorde con el tamaño, la naturaleza y la complejidad del negocio.Esto puede tomar la siguiente forma:

• – Funciones de cumplimiento independientes Los solicitantes deben establecer una función de cumplimiento independiente en Singapur con empleados con calificaciones apropiadas en áreas relacionadas con sus actividades comerciales. El personal de cumplimiento también puede servir como otros roles complementarios libres de conflictos, como el asesor legal interno.

• – Soporte de cumplimiento para compañías de cartera o entidades afiliadas en el extranjero Los solicitantes pueden obtener el apoyo de cumplimiento de su equipo independiente de cumplimiento a tiempo completo de compañías holding o entidades afiliadas en el extranjero siempre que puedan probar que el oficial de cumplimiento del solicitante, propietario único, socios, gerentes o directores, CEO y otras personas mayores han supervisado.

Los solicitantes también deben desarrollar acuerdos de gestión de cumplimiento apropiados, incluido al menos un oficial de cumplimiento con calificaciones apropiadas a nivel de gestión.La persona tendrá su sede en Singapur, tendrá suficiente experiencia en áreas relacionadas con sus actividades comerciales y tendrá el derecho de monitorear las funciones de cumplimiento del solicitante, aunque otros empleados pueden ser asistidos en operaciones diarias.

Los solicitantes también deben establecer estructuras de gobierno apropiadas para monitorear los problemas de cumplimiento y AML/CFT (incluidos los problemas relacionados con las sanciones financieras específicas).Dependiendo del tamaño del negocio y la estructura grupal, los solicitantes pueden considerar que el oficial de cumplimiento informe de cumplimiento y problemas de AML/CFT a la junta directiva o comités de la junta regularmente y tomar decisiones sobre asuntos más allá de la autoridad del oficial de cumplimiento.

Los solicitantes deben tener en cuenta que, independientemente del acuerdo elegido, el único propietario del solicitante, socio, gerente o director y CEO, en última instancia, será responsable de todos los asuntos reglamentarios y debe supervisar completamente los acuerdos relevantes.

Por lo tanto, el oficial de gestión y cumplimiento del solicitante debe poder demostrar que él o ella es plenamente consciente del cumplimiento y los riesgos ML/FT que enfrentan en las actividades comerciales del solicitante y las medidas tomadas para gestionar de manera efectiva estos riesgos.

Apéndice 3

Guía de información de solicitud de licencia A3

Los solicitantes deben asegurarse de que cumplan completamente los criterios de admisión y asegurarse de que la solicitud esté completa, libre de errores e inconsistente, y se acompañen por los documentos de respaldo necesarios especificados en el formulario de solicitud.

Información requerida en el plan de negocios propuesto

En particular, su plan de negocios propuesto debe incluir la siguiente información:

Los solicitantes deben proporcionar una descripción clara de su modelo y plan de negocio, respaldado por la experiencia profesional y la experiencia del equipo de gestión propuesto.El plan de negocios debe indicar cómo cumplir con la Ley FSM y la legislación subsidiaria relacionada e incluir la siguiente información:

– Las jurisdicciones del Servicio, incluida la evidencia de que el solicitante ha obtenido licencias operativas en la jurisdicción en la que proporciona servicios de token digital y está sujeto a la supervisión de las autoridades reguladoras relevantes para el cumplimiento de los estándares relevantes reconocidos internacionalmente como los establecidos por la Comisión de Estabilidad Financiera, la Organización Internacional de Valores de Valores y la FATF.

– Dirija el perfil del cliente.

– Productos y servicios que se proporcionarán.Los solicitantes deben especificar el tipo de servicios de token digital que realizarán en cada etapa del proceso de transacción.Si el solicitante tiene la intención de proporcionar más de un tipo de servicio de token digital, cada tipo de servicio de token digital debe evaluarse por separado.

– Razones para no tener la intención de participar en la provisión de servicios de token digital en Singapur a pesar de operar o establecer/registrarse en Singapur.

– Planes y canales detallados de flujo de capital, incluidas transacciones y/o diagramas de flujo de proceso.Si hay más de un producto o servicio, o más de un tipo de flujo de transacción y/o proceso, se debe proporcionar un gráfico para cada flujo. El diagrama de flujo debe:

• Describe toda la historia de una transacción típica de la fuente de fondos aceptados por el solicitante (como la transferencia bancaria, el efectivo, la tarjeta bancaria) al desempeño total de las obligaciones con el cliente.

• Describa la interacción entre el cliente y el solicitante y el flujo de fondos.

• Indique la línea de tiempo, incluidos los acuerdos de nivel de servicio con terceros y ciclos de pago y liquidación aplicables.

• Destaca los enlaces en los que utilizan tecnologías innovadoras (como el uso o la provisión de tokens digitales, tecnología de contabilidad distribuida) o productos o servicios entregados de manera diferente a las comunes en el mercado.

• Incluya todos los terceros involucrados (como otros proveedores de servicios de token digital, socios bancarios, intermediarios, otros agentes) y explican su papel en el proceso.

– Planes de implementación, incluida la línea de tiempo esperada para el lanzamiento de negocios/productos, así como sistemas, procesos y terceros que desempeñarán un papel clave en sus operaciones.

– Si el servicio de token digital es un servicio acompañante o agrupado a cualquier otro producto o servicio proporcionado por el solicitante.

– Una breve descripción de cualquier otra actividad actualmente en curso o pretendida por el MAS (como el asesoramiento financiero, el comercio de valores, etc.).

– Una breve descripción de cualquier exención y actividades no reguladas actualmente realizadas o pretendidas por el solicitante.

– Para los solicitantes que forman parte del Grupo Global de Servicios de Token Digital:

• El papel del solicitante en el grupo, incluidas las funciones o servicios (si los hay), recibirán y/o les proporcionarán a los afiliados dentro del grupo. Si es posible, el solicitante debe proporcionar un valor estimado para el nivel de recursos (en términos de número de empleado y entrada de tiempo) que otros afiliados dentro del grupo apoyan las operaciones de Singapur.

• Confirme que todas sus entidades han sido totalmente licenciadas/registradas y proporcionan detalles de licencias/registro para cada entidad.El solicitante proporcionará una copia de su certificado de licencia/registro o su información de estado de licencia/registro en el sitio web de la autoridad reguladora.Los solicitantes deben revelar cualquier acción/investigación de aplicación regulatoria de que cualquiera de sus entidades pueda estar involucrada.

– Evaluación integral de riesgos de todos los tokens digitales y servicios de token digital (como plataformas comerciales, custodia) que tiene la intención de admitir o proporcionar, incluido su proceso de gobierno de listado de tokens.Los solicitantes deben proporcionar una lista completa de tokens digitales compatibles y describir su evaluación de la naturaleza del token de acuerdo con el marco regulatorio MAS (como si se trata de un token de valores o un token de pago).

– Mantiene las medidas de acceso al cliente y las medidas de comportamiento comercial para mantener el acceso de token digital de los clientes y el control operativo en Singapur, la conciliación diaria de las cuentas de los clientes, y brinda a los clientes información relevante sobre los estados de cuenta mensuales, el control de la gestión de riesgos (control del flujo de activos de los clientes) y el contenido de divulgación a los clientes.

Opinión legal

Los solicitantes deben proporcionar asesoramiento legal emitido por un bufete de abogados conocido con respecto a los servicios de token digital regulados que se ofrecerán bajo su modelo de negocio propuesto.Las opiniones legales deben incluir (entre otros) lo siguiente:

– Un resumen claro y conciso del modelo de negocio del solicitante y cada servicio y producto para ser proporcionado por el solicitante (incluidos los flujos de activos/financiamiento de cada servicio/producto y las partes involucradas, si corresponde).

• Una evaluación de si el servicio o producto propuesto cae bajo el servicio de token digital regulado proporcionado por la Ley FSM.La evaluación debe incluir un análisis exhaustivo detallado de si cada servicio de token digital regulado es aplicable a cada servicio o producto propuesto.La evaluación también debe considerar todas las leyes, avisos, directrices, avisos y preguntas frecuentes relevantes.

• Si algún servicio o producto propuesto se evalúa como exento o no regulado, la aplicación de la exención o excepciones relevantes se explicará en detalle.

• La confirmación de opiniones legales se divulgará a MAS.

Información requerida para el cumplimiento, gestión de riesgos, sistema y control

Gestión de riesgos técnicos

Los solicitantes deben desarrollar un marco para evaluar y administrar riesgos técnicos y tomar medidas acorde con el nivel de riesgo y la complejidad de los servicios financieros prestados y las tecnologías que respaldan estos servicios para proteger los datos, transacciones y sistemas de los clientes.Los solicitantes deben consultar el aviso de gestión de riesgos técnicos [FSM-N30], el aviso de ciberseguridad [FSM-N31] y las pautas de práctica de gestión de riesgos técnicos para comprender los principios de gestión de riesgos de tecnología de la información y las expectativas regulatorias.

Cumplimiento y auditoría

El solicitante proporcionará la siguiente información y documentos consistentes con la naturaleza del modelo de negocio propuesto:

• Demuestre el cumplimiento de las políticas y procedimientos anti-lavado de dinero/financiamiento antiterrorista del aviso MAS FSM-N27, así como los requisitos relevantes de sanciones financieras específicas. Esto debería incluir marcos para evaluar y supervisar agentes y socios de terceros (local y en el extranjero).

• Evaluación de riesgos de financiamiento/financiamiento de la proliferación de dinero en todo el negocio («EWRA»).Los solicitantes también deben incluir la evaluación del riesgo de evasión fiscal en la EWRA.

• Los acuerdos de gobernanza, escalada e informes anti-lavado de dinero/anti-terrorismo.Esto debe incluir detalles sobre la participación de propietarios únicos, socios, gerentes o directores y CEO y otras personas mayores en el monitoreo y la resolución de posibles problemas contra el lavado de dinero/financiamiento antiterrorista en el proceso comercial.

• Planes de implementación para acuerdos de gestión de cumplimiento, incluidos los procesos que se han introducido y los sistemas que se utilizarán.

• El nombre y el currículum del Oficial de Cumplimiento («CV»), incluidos los detalles formales de certificación de cumplimiento, como ACAMS, Certificación IBF.

• Si la tabla organizacional no incluye líneas de personal e informes para las funciones de cumplimiento, se deben proporcionar detalles relevantes.Esto debería incluir detalles de todas las funciones de cumplimiento de outsourcing, incluida la ubicación del proveedor y equipo de outsourcing, la relación del solicitante con el proveedor de outsourcing (como proveedores, empresas matrices), el estado de licencia/registro del proveedor de outsourcing y los acuerdos de supervisión y los acuerdos de supervisión.

• Arreglos de auditoría interna y externa.

Gráfico de estructura de renta variable

El solicitante debe proporcionar una tabla de estructura de capital completa (hasta el controlador final), y el controlador final debe ser una persona natural.

Si el solicitante no tiene el 20% de los accionistas controladores, se requiere confirmación por escrito.

Apéndice 4

Tarifa de licencia anual A4

Según la Sección 140 de la Ley FSM, la tarifa de licencia se paga anualmente, como se detalla en el cronograma de la Ordenanza FSM. Todas las tarifas de licencia pagada no son reembolsables.

El licenciatario celebrará un acuerdo de transferencia bancaria automática (GIRO) con MAS para pagar la tarifa de licencia anualmente.Los licenciantes se asegurarán de que los detalles de su acuerdo GIRO se hayan actualizado y que haya fondos suficientes en su cuenta bancaria antes de la fecha de deducción especificada en el aviso de tarifas.

Tarifa de licencia proporcional para nuevos licenciatarios

Para los nuevos licenciatarios que no han obtenido una licencia el 1 de enero del año, la tarifa de licencia para el primer año calendario después de su licencia se calcula como una proporción de la tarifa de licencia anual fija, y el período de cálculo es la fecha de emisión de la licencia hasta el 31 de diciembre del mismo año.El ejemplo 1 muestra cómo se calcula la tarifa de licencia del primer año.

Ejemplo 1 Una empresa obtuvo una licencia DTSP el 1 de diciembre de 2025.

Apéndice 5

Reglas A5 para la participación en el proceso de revisión de aplicaciones

Solicitud de auditoría e información inicial

El proceso de revisión de la solicitud comienza con la asignación del oficial de casos y recibe toda la información y documentos requeridos presentados por el solicitante. Dependiendo del número de solicitudes recibidas, la asignación de casos no puede realizarse inmediatamente después de que el MAS reciba la solicitud.Después de que se asigne el caso, el oficial del caso se comunicará con el solicitante para informarle sobre los próximos pasos necesarios, lo que puede incluir celebrar una reunión de iniciación.

El oficial del caso verificará el conjunto completo de documentos presentados, que generalmente constituye la primera ronda de solicitudes de información que recibirá el solicitante.Los funcionarios del caso también realizarán una revisión preliminar del modelo de negocio del solicitante.Durante el proceso de revisión, se pueden realizar múltiples rondas de información y solicitudes de aclaración en función de si el encuestado presentado por el solicitante está completo.

Antes de enviar una solicitud, el solicitante siempre debe asegurarse de que la solicitud cumpla con los estándares de acceso establecidos en esta guía e incluya la información necesaria requerida en el Apéndice 3 de esta guía.MAS se reserva el derecho de rechazar la solicitud si el material enviado se evalúa como severamente incompleto o tiene un defecto de material.Los solicitantes también deben tener personas de contacto para hacer un seguimiento de estas solicitudes de información en cualquier momento y proporcionar respuestas oportunas y adecuadas.Si la persona de contacto cambia, el solicitante debe notificar de inmediato a MAS.

El solicitante debe divulgar de manera inmediata, proactiva y completa toda la información importante a los funcionarios del caso y no ocultará ninguno de ellos.Si se encuentra que el solicitante se desdibuja deliberadamente, oculta o retrasa la divulgación de información sin una razón legítima, se considerará un defecto importante.Los solicitantes deben tener cuidado para asegurarse de que la información y los documentos proporcionados a MAS no sean falsos o engañosos.Una persona que viola la Sección 176 (1) o 176 (3) de la Ley FSM puede constituir un delito y puede ser responsable de una multa o prisión tras la condena.

Puntualidad y calidad de la respuesta

MAS generalmente proporciona a los solicitantes una fecha límite para responder a las solicitudes de información.Si el solicitante no responde dentro del tiempo especificado, se considerará que el MAS se retira la solicitud.Si el solicitante necesita tiempo adicional para prepararse para una respuesta, el oficial de casos debe ser notificado por adelantado.

Los solicitantes también deben equilibrar el tiempo requerido para proporcionar una respuesta totalmente completa y respuestas apresuradas para acelerar la revisión.El incumplimiento de una respuesta satisfactoria e integral se evaluará como un defecto y puede dar como resultado consideraciones adversas para la aplicación.

entrevista

Los funcionarios de casos generalmente organizarán entrevistas con el administrador clave del solicitante y/o oficial de cumplimiento. Todos los representantes del solicitante deben tomarse en serio su interacción con el funcionario del caso.El propósito de la entrevista es que el solicitante explique cómo tiene la intención de administrar negocios y riesgos para cumplir con los requisitos reglamentarios.Los consultores, el asesor legal externo y otros terceros no pueden participar en la entrevista.Esto se debe a que incluso si el solicitante externaliza alguna de sus funciones, todavía es responsable del desempeño de sus obligaciones regulatorias.

Las circunstancias potenciales en las que el funcionario en el caso tiene motivos razonables para creer que el solicitante no puede realizar completamente las obligaciones del licenciatario incluyen, entre otros, lo siguiente:

• No participando en la entrevista sin una razón legítima;

• La pregunta no puede ser respondida claramente durante la entrevista;

• Insultando el caso funcionarios.

Si hay un cambio importante en el contenido de la aplicación después de la entrevista, pero antes de que se publiquen los resultados de la aplicación, el funcionario del caso puede organizar una entrevista adicional con el solicitante.Los ejemplos de tales cambios incluyen un cambio en el nombramiento del personal clave del solicitante o los cambios en el modelo de negocio del solicitante.

Proceso de auditoría MAS

El funcionario del caso está obligado a realizar una evaluación integral de la solicitud.Incluso en la etapa de solicitud, el objetivo del solicitante es obtener permiso para aceptar la supervisión y supervisión continuas como si estuviera en un sistema regulatorio.Los funcionarios del caso revisarán la aplicación en este contexto y esperarán que el solicitante se comporte como una institución financiera regulada.Los solicitantes que no hagan esto se evaluará como que tienen defectos potencialmente significativos que pueden resultar en el rechazo de la aplicación.

Solicitar estantes

Si se producen cambios en la información proporcionada después de enviar la solicitud, el MAS debe ser notificado de inmediato.Si hay un cambio importante en la solicitud, el solicitante puede necesitar considerar retirar la solicitud y volver a aplicar después de completar el cambio, porque la solicitud no se revisará antes de esto.

Durante el proceso de auditoría, si hay una importante reorganización empresarial del solicitante, un cambio importante en el personal de gestión clave o un cambio significativo en el modelo/actividad de negocios, MAS tiene el derecho de poner las solicitudes evaluadas como aún no listas para la revisión en espera durante seis meses.Si bien el solicitante puede no ser previsible, el período de estantería permite la transferencia de recursos de estas aplicaciones incompletas para garantizar la equidad para todos los demás solicitantes preparados en la cola.

Durante el período de estantería, es responsabilidad del solicitante garantizar que todos los cambios necesarios se resuelvan/completen de manera oportuna y proporcionen documentos relevantes a MAS para la evaluación al final del período de estantería.El período de estantería predeterminado es de seis meses y no se puede extender.Si no se completa un cambio importante dentro del período de estantería, la solicitud se evaluará como aún no está lista para la revisión y el solicitante debe considerar retirar la solicitud.

Retracción de la aplicación

El solicitante tiene derecho a retirar su solicitud en cualquier momento.Después de la revisión MAS, también se puede aconsejar al solicitante que retire la solicitud si hay un problema fundamental que no puede resolverse completamente dentro de un tiempo razonable, o si la solicitud se evalúa como un defecto significativo.Los solicitantes deben tener en cuenta que si dicha evaluación es realizada por el Caso Oficial, otros solicitantes en circunstancias similares no han sido aprobados.Se han establecido medidas de control de sonido para garantizar que los funcionarios de casos realicen evaluaciones justas, objetivas y verificables.Cada solicitud y sus documentos de soporte son estrictamente revisados ​​por un equipo de funcionarios de casos, funcionarios de supervisión y una agencia de auditoría y aprobación.Por lo tanto, los solicitantes deben tomar el proceso de revisión y sus resultados en serio.

Si el solicitante tiene la intención de volver a presentar una aplicación, es necesario garantizar que todos los problemas y deficiencias se hayan resuelto por completo. Reensejar una aplicación sin corregir un problema previamente planteado por MAS puede resultar en rechazo.

Con respecto a la estantería de aplicaciones, los cambios significativos al personal de gestión clave se refieren principalmente a cambios relacionados con puestos clave de C-suite, como CEO, CFO, director de riesgos y director de cumplimiento.Sin embargo, los solicitantes también deben evaluar y resaltar otros cambios de trabajo que deben considerarse administradores clave en función de la criticidad de su modelo de negocio y la importancia de la línea de informes.

Apéndice 6

Evaluación independiente del auditor externo A6

A. Riesgos de tecnología y ciberseguridad:

(La solicitud debe completar la solicitud después de la aprobación del principio)

1. Normas para auditores externos designados para realizar una evaluación independiente de los riesgos técnicos y de ciberseguridad
   El solicitante designado por el auditor externo para la evaluación independiente deberá cumplir con los siguientes criterios:

2. Alcance de evaluación
   Las siguientes enumeras en las áreas de riesgo técnico y de ciberseguridad que serán evaluados por auditores externos independientes como condición de aprobación de principios (IPA).

El líder comercial debe tener suficiente antigüedad y tener suficiente experiencia y experiencia en las áreas de riesgo técnico y de ciberseguridad (riesgo técnico).El solicitante es responsable de garantizar que los auditores externos independientes con calificaciones apropiadas se designen para llevar a cabo evaluaciones independientes de sus políticas, procedimientos y medidas de control técnicas.

I. Ciberseguridad

a. Teniendo en cuenta el modelo de negocio, productos, servicios, flujos de capital y canales de entrega del solicitante,
i. Identificar cualquier brecha con requisitos reglamentarios relevantes establecidos en el aviso de seguridad cibernética MAS FSM-N31;
II. Resaltar áreas de mejoras necesarias para mitigar los riesgos de ciberseguridad.

II. Prevención de pérdida de datos

a.Revise y evalúe las políticas de protección de la información propuestas por el solicitante y las medidas de control (IPPC) en las siguientes áreas:
i. Protección de datos confidenciales (incluidos los datos del cliente) durante la transmisión y el almacenamiento;
II. Detectar y prevenir el acceso o divulgación no autorizada (incluida la comunicación, la transmisión y el almacenamiento) de datos confidenciales (incluida la información del cliente);
iii. Protección de claves de cifrado de billetera de custodia.
b. Teniendo en cuenta el modelo de negocio, productos, servicios, flujos de capital y canales de entrega del solicitante,
IV.Identifique cualquier brecha con requisitos reglamentarios de gestión de riesgos técnicos aplicables (incluidos, entre otros, Aviso de gestión de riesgos técnicos MAS FSM-N30, Notificación de gestión de riesgos y directrices de gestión de riesgos técnicos Sección 11);
v. Destaca las áreas de mejora necesarias para mitigar los riesgos tecnológicos planteados por su modelo de negocio propuesto.

Iii. Prueba de penetración

a. Revisar y evaluar las IPPC propuestas por los solicitantes en los sistemas de pruebas de penetración, que incluyen:
i.La frecuencia de prueba de penetración determinada en función de factores como la criticidad del sistema y los riesgos de red que enfrentan el sistema. Para los sistemas que son directamente accesibles desde Internet, los solicitantes deben realizar pruebas de penetración al menos anualmente o cuando se realizan cambios importantes o actualizaciones para verificar la adecuación de los controles de seguridad;
II.Acuerdos de nivel de servicio («SLA») que corrigen los resultados de las pruebas de penetración acorde con los niveles de riesgo relevantes.
b. Revise y evalúe si la prueba de penetración (dentro de los últimos 12 meses) de los servicios financieros en línea propuestos por el solicitante es relevante y suficiente para identificar violaciones críticas de seguridad.
do. Teniendo en cuenta el modelo de negocio, productos, servicios, flujos de capital y canales de entrega del solicitante,
i.Identificar cualquier brecha con expectativas regulatorias de gestión de riesgos técnicos aplicables (incluidas, entre otras, la Sección 13.2 de la Guía de Gestión de Riesgos Técnicos);
II. Destaca las áreas de mejora necesarias para mitigar los riesgos tecnológicos planteados por su modelo de negocio propuesto.

IV. Billeteras digitales y contratos inteligentes

a.Revise las IPPC propuestas por el solicitante y evalúe si las IPPC propuestas incluyen los siguientes controles acorde con el modelo de negocio, productos, servicios, flujos de capital y canales de entrega propuesto por el solicitante:
i. Siga los principios de diseño de seguridad (incluyendo control de acceso apropiado, pruebas integrales, actualizaciones periódicas de versiones estables, análisis de código estático y dinámico) a lo largo del ciclo de vida del desarrollo del sistema de sus sistemas propuestos y contratos inteligentes (si está relacionado);
II. Desarrollo de contratos inteligentes, incluidos los controles para garantizar que los contratos inteligentes estén protegidos de las amenazas cibernéticas y las vulnerabilidades a través del desarrollo de seguridad, las medias y pruebas para evitar el acceso no autorizado, las infracciones de datos y la explotación de vulnerabilidades de seguridad;
iii. Controles para garantizar la alta disponibilidad de sistemas críticos, así como las prioridades de recuperación y recuperación empresarial del sistema (incluida la causa raíz y el análisis de impacto) para garantizar estrategias de recuperación rápida para dichos sistemas;
IV. Utilizar tecnologías como la computación multipartidista y los esquemas de firma de umbral para proteger las billeteras de custodia;
v. Implementar el aislamiento de la red entre los sistemas de billetera alojados y otros sistemas de información/Internet para evitar conexiones no autorizadas;
VI. Separación de los componentes clave cifrados de la billetera alojada para garantizar que ninguna persona o sistema pueda acceder a la clave completa en cualquier momento (es decir, seguir el principio de «nunca solo», lo que requiere al menos dos personal autorizado para coordinar y aprobar operaciones de gestión clave).