هيئة النقد في سنغافورة "إرشادات ترخيص مقدمي خدمات الدفع الإلكتروني" (النص الكامل)

في 30 مايو 2025، أصدرت هيئة النقد في سنغافورة "إرشادات ترخيص مزودي خدمات الرموز الرقمية"، التي تُرخّص وتُشرف رسميًا على مزودي خدمات الرموز الرقمية.

فيما يلي النص الكامل لـ"إرشادات ترخيص مزودي خدمات الرموز الرقمية" الصادرة عن هيئة النقد في سنغافورة:

1. الغرض

2. التراخيص بموجب قانون الخدمات والأسواق المالية

3. معايير القبول

4. متطلبات طلب الترخيص

5. المتطلبات المستمرة للمرخص لهم

الملحق 1 متطلبات الحوكمة والملكية

الملحق 2 ترتيبات الامتثال الدنيا

الملحق 3 إرشادات بشأن المعلومات المطلوبة لطلبات الترخيص

الملحق 4 رسوم الترخيص السنوية

الملحق 5 قواعد المشاركة في عملية مراجعة الطلبات

الملحق 6 التقييم المستقل من قبل المدققين الخارجيين

1. الغرض

1.1

تهدف إرشادات ترخيص مزودي خدمات الرموز الرقمية ("الإرشادات") إلى تقديم إرشادات بشأن عملية التقديم ومعايير الترخيص والمتطلبات المستمرة لمقدمي خدمات الرموز الرقمية (المعرفة كأفراد أو شراكات أو شركات سنغافورية لها مكان عمل في سنغافورة أو تم تأسيسها في سنغافورة ولكنها تمارس أعمال تقديم خدمات الرموز الرقمية في الخارج، ويشار إليها باسم "DTSPs") بموجب الجزء 9 من قانون الخدمات المالية والأسواق لعام 2022 ("قانون FSM"). 1.2 يجب قراءة هذه الإرشادات بالتزامن مع قانون الخدمات المالية والأسواق (FSM)، ولوائح الخدمات المالية والأسواق (مقدمو خدمات الرموز الرقمية) ("لوائح FSM") والقوانين والإشعارات والإرشادات والأسئلة الشائعة الأخرى ذات الصلة الصادرة عن هيئة النقد في سنغافورة ("MAS"). 1.3 ستُحدّث هيئة النقد في سنغافورة هذه الإرشادات دوريًا لتقديم المزيد من الإرشادات. 2. التراخيص بموجب قانون الخدمات المالية والأسواق: 2.1 وفقًا للمادة 137 من قانون الخدمات المالية والأسواق، يجب على أي شخص يُقدّم خدمات الرموز الرقمية كما هو مُعرّف في الجدول الأول لقانون FSM في سنغافورة أن يحمل ترخيصًا ما لم يكن مُعفىً. ينص القسم 137 (5) من قانون FSM على الإعفاءات المعمول بها. 2.2 نظرًا لأن هيئة النقد في سنغافورة لن تقدم ترتيبات انتقالية لمقدمي خدمات الرموز الرقمية، فيجب على مقدمي خدمات الرموز الرقمية المطلوب منهم الحصول على ترخيص بموجب القسم 137 من قانون FSM تعليق أو التوقف عن الانخراط في أعمال تقديم خدمات الرموز الرقمية في الخارج بحلول 30 يونيو 2025. سيكون مقدمو خدمات الرموز الرقمية الذين ينتهكون متطلبات الترخيص مذنبين بارتكاب جريمة وسيكونون مسؤولين عن العقوبات المنصوص عليها في القسم 137 (6) من قانون FSM. أنواع خدمات الرموز الرقمية 2.3 يجب على المتقدمين تقييم ما إذا كان نموذج أعمالهم يتضمن تقديم خدمات الرموز الرقمية بناءً على الفئات العشر لخدمات الرموز الرقمية في الجدول الأول لقانون FSM. يجب على المتقدمين أيضًا النظر فيما إذا كانت أنشطتهم المقترحة تندرج ضمن الاستثناءات من تنظيم خدمات الرموز الرقمية المنصوص عليها في الجزء 2 من الجدول الأول لقانون ولايات ميكرونيزيا الموحدة.

ملاحظة المترجم: الفئات العشر لخدمات الرموز الرقمية المحددة في الجدول لقانون ولايات ميكرونيزيا الموحدة

1. أي خدمة تداول رموز رقمية (باستثناء خدمات تداول الرموز الرقمية التي تحددها هيئة النقد في سنغافورة)؛

2. أي خدمة تسهل تبادل الرموز الرقمية (باستثناء خدمات تداول الرموز الرقمية التي تحددها هيئة النقد في سنغافورة)؛

3. أي خدمة قبول رموز رقمية (سواءً بصفة جهة رئيسية أو وكيل) من حساب رمز رقمي (سواءً في سنغافورة أو أي مكان آخر) بغرض إرسال أو ترتيب إرسال رموز رقمية إلى حساب رمز رقمي آخر (سواءً في سنغافورة أو أي مكان آخر)؛

4. أي خدمة تُرتب (سواءً بصفة جهة رئيسية أو وكيل) نقل رموز رقمية من حساب رمز رقمي واحد (سواءً في سنغافورة أو أي مكان آخر) إلى حساب رمز رقمي آخر (سواءً في سنغافورة أو أي مكان آخر)؛

5. أي خدمة تُحفز أو تُحاول حث أي شخص على إبرام أو عرض إبرام أي اتفاقية لشراء أو بيع أي رمز رقمي مقابل أي مبلغ من المال أو أي رمز رقمي آخر (سواء كان من نفس النوع أو مختلفًا)؛

6. أي خدمة تحمي الرموز الرقمية حيث يكون لمقدم الخدمة سيطرة على الرموز الرقمية؛

7. أي خدمة تُنفذ تعليمات للعملاء فيما يتعلق بالرموز الرقمية حيث يكون لمقدم الخدمة سيطرة على الرموز الرقمية؛

8. أي خدمة لحماية أداة رمزية رقمية حيث يكون لمقدم الخدمة سيطرة على رمز رقمي واحد أو أكثر مرتبط بها؛

9. أي خدمة لتنفيذ التعليمات للعميل فيما يتعلق برمز رقمي واحد أو أكثر مرتبط بها حيث يكون لمقدم الخدمة سيطرة على أداة الرمز الرقمي؛

10. أي خدمة تتعلق ببيع أو عرض الرموز الرقمية للبيع وتتضمن - 1. تقديم المشورة المتعلقة بأي رمز رقمي، بشكل مباشر أو من خلال المنشورات أو الكتابات (سواء كانت إلكترونية أو مطبوعة أو غيرها من الأشكال)؛ أو 2. تقديم المشورة عن طريق نشر أو نشر تحليلات بحثية أو تقارير بحثية (سواء كانت إلكترونية أو مطبوعة أو غيرها من الأشكال) تتعلق بأي رمز رقمي.

3. معايير الوصول 3.1 نظرًا لخصائص الإنترنت وطبيعة خدمات الرموز الرقمية العابرة للحدود، فإن مقدمي خدمات الرموز الرقمية أكثر عرضة لمخاطر غسل الأموال وتمويل الإرهاب وتمويل انتشار التسلح. وهذا يزيد من خطر انخراط هؤلاء المقدمين في أنشطة غير قانونية أو إساءة استغلالهم، مما يضر بسمعة سنغافورة. في ضوء هذه المخاطر، تُرخص هيئة النقد السنغافورية مقدمي خدمات الرموز الرقمية بحذر وحذر، ولن تنظر في منح المتقدمين ترخيص مقدمي خدمات الرموز الرقمية بموجب قانون ولايات ميكرونيزيا الموحدة إلا في حالات نادرة جدًا. تتضمن الظروف النادرة ما يلي:   

• نموذج عمل مقدم الطلب مبرر اقتصاديًا ويمكن لمقدم الطلب أن يثبت لهيئة النقد السنغافورية أنه على الرغم من تشغيله أو إنشائه/تسجيله في سنغافورة، إلا أن لديه أسبابًا مشروعة لعدم نيته الاستمرار في تقديم خدمات الرموز الرقمية في سنغافورة؛

• عمليات مقدم الطلب لا تثير مخاوف لهيئة النقد السنغافورية، وقد تم تنظيمه وإشرافه من قبل الجهات التنظيمية ذات الصلة في جميع الولايات القضائية التي يقدم فيها خدمات الرموز الرقمية الخارجية فيما يتعلق بالامتثال للمعايير الدولية المعترف بها ذات الصلة (مثل تلك التي وضعها مجلس الاستقرار المالي والمنظمة الدولية لهيئات الأوراق المالية وهيئة العمل المالي 3.2 يجب على مقدم الطلب استيفاء المعايير التالية بالكامل وإثبات قدرته على الامتثال لالتزاماته بموجب قانون ولايات ميكرونيزيا الموحدة بصفته مرخصًا. 3.2.1 متطلبات الحوكمة والملكية يجب على مقدم الطلب الامتثال لهيكل الحوكمة والملكية المنصوص عليه في الملحق 1 وأن ​​يكون مسجلاً لدى هيئة المحاسبة والتنظيم للشركات (ACRA) في سنغافورة. 3.2.2 اللياقة والملاءمة يجب على مقدم الطلب أن يُقنع هيئة الأوراق المالية والبورصات الأمريكية (MAS) بأن مالكه الوحيد وشركائه ومديريه أو أعضاء مجلس إدارته ورئيسه التنفيذي ومساهميه وموظفيه، بالإضافة إلى مقدم الطلب نفسه، مؤهلون وملائمون وفقًا للمبادئ التوجيهية لمعايير الملاءمة والملاءمة [FSG-G01]. يقع عبء إثبات ملاءمة الأشخاص المعنيين وملاءمتهم على عاتق مقدم الطلب، وليس هيئة الأوراق المالية والبورصات الأمريكية. بالإضافة إلى الصدق والنزاهة والسمعة الطيبة، فإن القدرة والكفاءة والسلامة المالية هي أيضًا عوامل يجب مراعاتها، وستنظر هيئة الأوراق المالية والبورصات الأمريكية أيضًا في عوامل أخرى مثل وجود تضارب في المصالح والتزام الأشخاص المعنيين بالوقت تجاه الكيان السنغافوري. وعلى وجه الخصوص، يجب ألا يكون للكيان والمجموعات المرتبطة به أي سمعة سيئة، وخاصة فيما يتعلق بالجرائم المالية والامتثال للعقوبات. 3.2.3 كفاءة الموظفين الرئيسيين يجب على مقدم الطلب التأكد من أن مالكه الوحيد وشركائه ومديريه أو مديريه التنفيذيين ورئيسه التنفيذي لديهم خبرة تشغيلية كافية في صناعة خدمات الرموز الرقمية، بما في ذلك فهم جيد للإطار التنظيمي لمقدمي خدمات الرموز الرقمية في سنغافورة.

  إذا كان الشخص المعني سيدير ​​فريقًا أكبر، فيجب أن يكون لديه أيضًا الخبرة والقدرة والتأثير المناسبين للإشراف على الأنشطة التجارية والموظفين والتحكم فيهم بشكل فعال.

  يجب على مقدم الطلب أيضًا مراعاة الخلفية التعليمية والمؤهلات المهنية لموظفيه الرئيسيين.

  3.2.4 مكان العمل الدائم أو المكتب المسجل يجب أن يكون لدى مقدم الطلب مكان عمل دائم أو مكتب مسجل في سنغافورة. يجب أن يكون المكان منطقة مكتب يمكن فيها حفظ دفاتر وسجلات مقدم الطلب بشكل آمن. يجب على مقدم الطلب أيضًا تعيين شخص واحد على الأقل ليكون حاضرًا للتعامل مع أي استفسارات أو شكاوى من العملاء، والاستفسارات/طلبات المعلومات من السلطات. 3.2.5 رأس المال الأساسي: يجب على مقدم طلب الترخيص أن يُقنع هيئة النقد السنغافورية (MAS) بإلمامه بمتطلبات رأس المال الأساسي بموجب لوائح إدارة السيولة، وأن يُبيّن بوضوح كيفية استيفائه لهذه المتطلبات باستمرار، كما هو موضح في الجدول 3. ونظرًا لهذا الالتزام، يجب على مقدمي الطلبات ضمان الاحتفاظ باحتياطات رأسمالية كافية تتجاوز متطلب رأس المال الأساسي، مع مراعاة حجم ونطاق أعمالهم واحتمالية الربح والخسارة. وبشكل عام، يجب أن يكون رأس المال الأساسي للكيان قادرًا على تغطية نفقات التشغيل لمقدم الطلب لمدة تتراوح بين 6 و12 شهرًا على الأقل. كما يجب على مقدمي الطلبات وضع إجراءات مراقبة فعّالة لضمان استيفاء متطلب رأس المال الأساسي في جميع الأوقات، مثل إعداد التقارير الدورية أو تحديد احتياطي رأسمالي محدد يتجاوز الحد الأدنى المطلوب. الجدول 1: متطلبات رأس المال الأساسية. 3.2.6 ترتيبات الامتثال: يجب على المتقدمين وضع خطة فعالة لترتيبات الامتثال، والتأكد من تخصيص موارد كافية لطبيعة وحجم وتعقيد أعمالهم. الحد الأدنى لمتطلبات ترتيبات الامتثال موضح في الملحق 2. بغض النظر عن كيفية إعداد ترتيبات الامتثال، يتحمل المالك الوحيد أو الشريك أو المدير أو العضو المنتدب أو الرئيس التنفيذي للمتقدم المسؤولية النهائية عن الامتثال للقوانين واللوائح المعمول بها. 3.2.7 إدارة مخاطر التكنولوجيا: يجب على مقدم الطلب إجراء اختبار اختراق لخدمة الرمز الرقمي التي يقترح تقديمها، ومعالجة جميع المشكلات عالية المخاطر التي تم تحديدها، والتحقق بشكل مستقل من فعالية إجراءات المعالجة. لا يلزم إكمال هذا العمل قبل تقديم الطلب، ولكن يجب إكماله قبل منح الترخيص. 3.2.8 ترتيبات التدقيق: يجب أن يكون لدى مقدم الطلب خطة ترتيبات تدقيق مستقلة مناسبة لتقييم مدى كفاية وفعالية إجراءاته وضوابطه وامتثاله للمتطلبات التنظيمية بانتظام. يجب أن تتناسب ترتيبات التدقيق مع حجم وطبيعة وتعقيد أعماله. يمكن إجراء عمليات التدقيق من قبل قسم التدقيق الداخلي لدى مقدم الطلب، أو فريق تدقيق داخلي مستقل في المكتب الرئيسي لمقدم الطلب، أو الاستعانة بجهة خارجية لتقديم الخدمات. 3.2.9 متطلبات التدقيق السنوي يجب أن يكون لدى مقدم الطلب خطة لتلبية متطلبات التدقيق السنوي كما هو منصوص عليه في المادة 158 من قانون ولايات ميكرونيزيا الموحدة. يجب تعيين المدقق من قبل مقدم الطلب على نفقته الخاصة لمراجعة حساباته ومعاملاته والامتثال للوائح والمتطلبات ذات الصلة. 3.2.10 خطاب المساءلة و/أو خطاب التعهد عند الاقتضاء، قد تطلب هيئة الأوراق المالية والبورصات من مقدم الطلب الحصول على خطاب مساءلة و/أو خطاب تعهد من المساهم المسيطر والشركة الأم و/أو الشركات المرتبطة. ستقدم هيئة الأوراق المالية والبورصات نموذجًا إذا تمت الموافقة على الطلب. 3.2.11 عوامل أخرى قد تنظر هيئة الأوراق المالية والبورصات أيضًا في العوامل التالية (عند الاقتضاء): - سجل ومركز مقدم الطلب المالي وشركاته القابضة أو الشركات المرتبطة به؛ - جاهزية مقدم الطلب التشغيلية، بما في ذلك قدرته على الامتثال للمتطلبات التنظيمية؛ - ما إذا كان مقدم الطلب قد أدرك تمامًا المخاطر الرئيسية المرتبطة بأنشطته التجارية، وحددها وقيّمها وخفّف من حدّتها بشكل كافٍ؛ - ما إذا كان منح الترخيص يصبّ في المصلحة العامة. 3.3 تُقيّم هيئة الأوراق المالية كل طلب على حدة، وقد تأخذ في الاعتبار عوامل أخرى على أساس كل حالة على حدة. المعايير والاعتبارات المذكورة أعلاه ليست شاملة، وقد تفرض هيئة الأوراق المالية شروطًا أو متطلبات إضافية لمعالجة المخاطر الفريدة التي يشكّلها مقدم الطلب. 3.4 يجب على المتقدمين تقديم طلب في النموذج 1. يجب على جميع المتقدمين والحاصلين على التراخيص دفع الرسوم ذات الصلة المحددة في جدول لوائح ولايات ميكرونيزيا الموحدة. لمزيد من المعلومات حول الرسوم، يُرجى مراجعة الملحق 4. كما يُرجى من المتقدمين مراجعة الملحق 5 للاطلاع على قواعد المشاركة في عملية مراجعة الطلبات. 4. متطلبات طلب الترخيص 4.1 يجب على المتقدمين الذين قيّموا استيفائهم لمعايير القبول مراجعة الملحق 3 للحصول على إرشادات حول المعلومات المطلوبة لطلب الترخيص. 4.1.1 يُطلب من المتقدمين الجدد للحصول على ترخيص DTSP تقديم رأي قانوني صادر عن مكتب محاماة مرموق مع طلبهم. يجب أن يتضمن الرأي القانوني ملخصًا واضحًا وموجزًا ​​لنموذج عمل مقدم الطلب، وتقييمًا لما إذا كانت الخدمات و/أو المنتجات التي يعتزم تقديمها تندرج ضمن خدمات الرموز الرقمية المنظمة بموجب قانون FSM. 4.1.2 في جميع الأحوال، إذا كان الرأي القانوني الأولي غير واضح، تحتفظ هيئة النقد في سنغافورة (MAS) بالحق في طلب رأي قانوني ثانٍ. 4.1.3 عند الحصول على الموافقة المبدئية ("IPA")، يجب على مقدم الطلب تعيين مدقق خارجي مستقل مؤهل لإجراء تقييم مستقل لسياساته وإجراءاته وضوابطه في مجالات مخاطر التكنولوجيا والأمن السيبراني (سيتم تضمين هذا المطلب كشرط من شروط الموافقة المبدئية. ويرد نطاق تقييم مخاطر التكنولوجيا والأمن السيبراني في الملحق 6). 5. المتطلبات المستمرة للمرخص لهم 5.1 يجب على المرخص لهم الامتثال لجميع المتطلبات المعمول بها بموجب قانون ولايات ميكرونيزيا الموحدة والقوانين الأخرى ذات الصلة بشكل مستمر. يجب على المرخص لهم وضع عمليات وأنظمة وسياسات وإجراءات لضمان الوفاء بجميع الالتزامات المستمرة، بما في ذلك تقديم الطلبات والإخطارات إلى هيئة أسواق المال عند الضرورة. يوضح ما يلي بعض المتطلبات، ولكن ليس كلها. يجب على المرخص لهم مواكبة التطورات التنظيمية وزيارة موقع هيئة أسواق المال على الويب للاطلاع على أحدث المتطلبات. 5.2 متطلبات مكافحة غسل الأموال وتمويل الإرهاب ("AML/CFT"): يجب على المرخص لهم الامتثال لمتطلبات مكافحة غسل الأموال وتمويل الإرهاب المنصوص عليها في لوائح الخدمات المالية والأسواق (بما في ذلك تلك المتعلقة بالعقوبات المالية المستهدفة)، وقانون مكافحة الإرهاب (قمع التمويل) لعام 2002، وقانون مكافحة الفساد والاتجار بالمخدرات والجرائم الخطيرة الأخرى (مصادرة المنافع) لعام 1992، وإشعار منع غسل الأموال وتمويل الإرهاب [FSM-N27]، وإشعار الإبلاغ عن الأنشطة المشبوهة والاحتيال [FSM-N28]. كما ينبغي على المرخص لهم الرجوع إلى إرشادات إشعار FSM-N27 للاطلاع على متطلبات مكافحة غسل الأموال وتمويل الإرهاب. 5.3 التقارير الدورية يجب على المرخص لهم تقديم تقارير تنظيمية دورية تتعلق بأنشطتهم المتعلقة بالرموز الرقمية وفقًا للوائح FSM. وترد المتطلبات ذات الصلة في إشعار تقديم التقارير التنظيمية [FSM-N29]. 5.4 الأمن السيبراني: يجب على المرخص لهم الامتثال لمتطلبات الأمن السيبراني المنصوص عليها في إشعار الأمن السيبراني [FSM-N31]، واتخاذ الإجراءات الوقائية المناسبة لحماية معلومات العملاء. 5.5 إدارة مخاطر التكنولوجيا: يجب على المرخص لهم الامتثال لإشعار إدارة مخاطر التكنولوجيا [FSM-N30]، والرجوع إلى دليل ممارسات إدارة مخاطر التكنولوجيا للاطلاع على متطلبات إدارة مخاطر التكنولوجيا. 5.6 سلوك الأعمال: يجب على المرخص لهم الامتثال لمتطلبات سلوك الأعمال الواردة في قانون FSM، ولوائح FSM، وإشعار السلوك [FSM-N32]. تشمل هذه الالتزامات تسجيل المعاملات، وإصدار الإيصالات، وعرض أسعار الصرف والرسوم، والإخطار بساعات العمل الرسمية. كما يجب على المرخص لهم ضمان الامتثال لجميع المحظورات والقيود، بما في ذلك الأنشطة التجارية المحظورة. 5.7 الإفصاح والتواصل: يجب على المرخص له تقديم بيان دقيق لنطاق ترخيصه، وتقديم الإفصاحات المطلوبة بموجب إشعار الإفصاح والتواصل [FSM-N33]، حيثما ينطبق ذلك على أعماله. كما يجب على المرخص له ضمان إطلاع العملاء فورًا على أي تغييرات جوهرية في الإفصاحات. 5.8 متطلبات التدقيق السنوي: يجب على المرخص له تعيين مدقق حسابات سنويًا لمراجعة حساباته ومعاملاته والتأكد من امتثاله للوائح والمتطلبات. يجب على المرخص له التأكد من أن المدقق يقدم تقريرًا إلى هيئة الأوراق المالية والبورصات في النموذج 3.

  الملحق 1

  A1 متطلبات الحوكمة والملكية

  

  الملحق 2

  A2 ترتيبات الامتثال الدنيا

  يجب على مقدم الطلب التأكد من أن لديه ترتيبات امتثال فعالة وموارد امتثال كافية تتناسب مع حجم وطبيعة وتعقيد أعماله. قد يأخذ هذا الأشكال التالية:

  • - وظيفة امتثال مستقلة يجب على مقدم الطلب إنشاء وظيفة امتثال مستقلة في سنغافورة بموظفين مؤهلين بشكل مناسب في المجالات ذات الصلة بأنشطتها التجارية. يجوز لمسؤول الامتثال أيضًا تولي أدوار أخرى غير متضاربة ومتكاملة، مثل المستشار القانوني الداخلي.

  • - دعم الامتثال من الشركة القابضة أو الكيان ذي الصلة في الخارج يجوز لمقدم الطلب الحصول على دعم الامتثال من فريق امتثال مستقل مخصص في الشركة القابضة أو الكيان ذي الصلة في الخارج، شريطة أن يتمكن من إثبات الإشراف الكافي من قبل مسؤول الامتثال لدى مقدم الطلب، والمالك الوحيد، والشريك، والمدير أو عضو مجلس الإدارة، والرئيس التنفيذي وغيرهم من الإدارة العليا.

  يجب على مقدم الطلب أيضًا أن يكون لديه ترتيبات مناسبة لإدارة الامتثال، بما في ذلك، على الأقل، تعيين مسؤول امتثال مؤهل بشكل مناسب على مستوى الإدارة. يجب أن يكون هذا الشخص مقيمًا في سنغافورة، وأن يتمتع بخبرة كافية في المجالات ذات الصلة بأنشطته التجارية وأن تكون لديه السلطة للإشراف على وظيفة الامتثال لدى مقدم الطلب، على الرغم من أنه قد يتم مساعدته من قبل موظفين آخرين في العمليات اليومية.

  يجب أن يكون لدى مقدم الطلب أيضًا هيكل حوكمة مناسب للإشراف على قضايا الامتثال ومكافحة غسل الأموال وتمويل الإرهاب (بما في ذلك تلك المتعلقة بالعقوبات المالية المستهدفة). بناءً على حجم العمل وهيكل المجموعة، قد يفكر مقدم الطلب في أن يقدم مسؤول الامتثال تقارير منتظمة إلى مجلس الإدارة أو لجنة مجلس الإدارة بشأن قضايا الامتثال ومكافحة غسل الأموال وتمويل الإرهاب واتخاذ القرارات بشأن المسائل التي تتجاوز سلطة مسؤول الامتثال.

  يجب على مقدم الطلب ملاحظة أنه بغض النظر عن الترتيب المختار، فإن المالك الوحيد أو الشريك أو المدير أو عضو مجلس الإدارة والرئيس التنفيذي لمقدم الطلب هم المسؤولون في النهاية عن جميع مسائل الامتثال والتنظيم ويجب عليهم توفير إشراف كافٍ على الترتيبات.

  وبناءً على ذلك، يجب أن يكون كبار الإدارة ومسؤول الامتثال لدى مقدم الطلب قادرين على إثبات أن لديهم فهمًا كاملاً لمخاطر الامتثال وغسل الأموال وتمويل الإرهاب التي تواجهها أنشطة أعمال مقدم الطلب والتدابير المتخذة لإدارة هذه المخاطر بشكل فعال.

  الملحق 3

  إرشادات A3 بشأن المعلومات المطلوبة لطلبات الترخيص

  يجب على مقدم الطلب التأكد من أنه يستوفي معايير القبول بشكل كامل وأن الطلب مكتمل وخالٍ من الأخطاء والتناقضات ومرفق بالمستندات الداعمة اللازمة المحددة في نموذج الطلب. المعلومات المطلوبة في خطة العمل المقترحة: يجب أن تتضمن خطة العمل المقترحة، على وجه الخصوص، المعلومات التالية: يجب على مقدم الطلب تقديم وصف واضح لنموذج أعماله وخططه، مدعومًا بالخبرة المهنية وخبرة فريق الإدارة المقترح. يجب أن تصف خطة العمل كيفية امتثالها لقانون إدارة السيولة المالية (FSM) والتشريعات الفرعية ذات الصلة، وأن تتضمن المعلومات التالية: - نطاق الخدمات، بما في ذلك إثبات حصول مقدم الطلب على ترخيص للعمل في النطاقات التي يقدم فيها خدمات الرموز الرقمية، وإشراف الجهات التنظيمية ذات الصلة لضمان امتثاله للمعايير الدولية المعترف بها (مثل تلك التي وضعها مجلس الاستقرار المالي، والمنظمة الدولية لهيئات الأوراق المالية، ومجموعة العمل المالي). - ملف تعريف العميل المستهدف. - المنتجات والخدمات المقترحة. يجب على مقدم الطلب توضيح نوع خدمات الرموز الرقمية التي سيقدمها في كل مرحلة من مراحل المعاملة. إذا كان مقدم الطلب ينوي تقديم أكثر من نوع واحد من خدمات الرموز الرقمية، فيجب تقييم كل نوع على حدة.

  - أسباب عدم نيته الاستمرار في تقديم خدمات الرموز الرقمية في سنغافورة رغم تشغيله أو تأسيسه/تسجيله فيها.

  - خطة مفصلة لتدفق الأموال وقنواتها، بما في ذلك مخططات تدفق المعاملات و/أو العمليات. في حال وجود أكثر من منتج أو خدمة، أو أكثر من نوع واحد من المعاملات و/أو العمليات، يجب تقديم مخطط لكل تدفق. يجب أن يتضمن مخطط التدفق ما يلي:

  • وصف معاملة نموذجية، بدءًا من مصدر الأموال التي يقبلها مقدم الطلب (مثل التحويل المصرفي، أو النقد، أو البطاقة المصرفية) وحتى الوفاء الكامل بالتزاماته تجاه العميل.

  • وصف التفاعلات بين العملاء والمتقدم وتدفق الأموال.

  • تحديد الجداول الزمنية، بما في ذلك اتفاقيات مستوى الخدمة مع أطراف ثالثة، ودورات الدفع والتسوية المعمول بها.

  • تسليط الضوء على المجالات التي تستخدم فيها تقنيات مبتكرة (مثل استخدام أو توفير الرموز الرقمية، وتكنولوجيا دفتر الأستاذ الموزع) أو طرق تقديم المنتجات أو الخدمات التي تختلف عن معايير السوق.

  • تضمين جميع الأطراف الثالثة المعنية (مثل مقدمي خدمات الرموز الرقمية الآخرين، والشركاء المصرفيين، والوسطاء، والوكلاء الآخرين) ووصف أدوارهم في العملية.

  - خطة التنفيذ، بما في ذلك الجدول الزمني المتوقع لإطلاق الأعمال/المنتج، والأنظمة والعمليات والأطراف الثالثة التي ستلعب دورًا رئيسيًا في عملياتها. - ما إذا كانت خدمة الرمز الرقمي مساعدة أو مجمعة مع أي منتجات أو خدمات أخرى يقدمها مقدم الطلب. - وصف موجز لأي أنشطة أخرى يجريها مقدم الطلب حاليًا أو يقترح إجراؤها والتي تنظمها هيئة النقد في سنغافورة (على سبيل المثال، الاستشارات المالية، والتعامل في الأوراق المالية، وما إلى ذلك). - وصف موجز لأي أنشطة معفاة وغير منظمة يجريها مقدم الطلب حاليًا أو يقترح إجراؤها. - بالنسبة لمقدمي الطلبات الذين هم جزء من مجموعة خدمات الرمز الرقمي العالمية: - دور مقدم الطلب في المجموعة، بما في ذلك الوظائف أو الخدمات التي سيتلقاها من و/أو يقدمها إلى الشركات التابعة له داخل المجموعة، إن وجدت. عند الإمكان، يجب على مقدم الطلب تقديم تقدير لمستوى الموارد (من حيث عدد الموظفين والالتزام بالوقت) للشركات التابعة الأخرى داخل المجموعة لدعم العمليات التجارية في سنغافورة.

• التأكد من أن جميع كياناتها مرخصة/مسجلة بالكامل وتقديم تفاصيل الترخيص/التسجيل لكل كيان. يجب على مقدم الطلب تقديم نسخة من شهادة الترخيص/التسجيل أو معلومات حالة الترخيص/التسجيل على موقع الجهة التنظيمية. يجب على مقدم الطلب الإفصاح عن أي إجراءات/تحقيقات إنفاذ تنظيمية قد تكون أي من كياناته متورطة فيها.

- تقييم شامل للمخاطر لجميع الرموز الرقمية وخدمات الرموز الرقمية (مثل منصات التداول والحفظ) التي ينوي دعمها أو تقديمها، بما في ذلك عملية حوكمة إدراج الرموز. - يجب على مقدم الطلب تقديم قائمة كاملة بالرموز الرقمية التي يدعمها وشرح تقييمه لطبيعة الرموز (على سبيل المثال ما إذا كانت رموز أمان أو رموز دفع) وفقًا للإطار التنظيمي لهيئة النقد في سنغافورة. - تدابير الوصول إلى المستهلك وتدابير سلوك الأعمال للحفاظ على وصول العملاء إلى الرموز الرقمية والضوابط التشغيلية في سنغافورة، والمقارنات اليومية لحسابات العملاء وتقديم كشوف الحسابات الشهرية للعملاء، وضوابط إدارة المخاطر (ضوابط حركة أصول العملاء)، والإفصاحات للعملاء. - الرأي القانوني - يتعين على مقدم الطلب تقديم رأي قانوني صادر عن شركة محاماة مرموقة بشأن خدمات الرموز الرقمية المنظمة التي سيقدمها بموجب نموذج العمل المقترح. يجب أن يتضمن الرأي القانوني (على سبيل المثال لا الحصر) ما يلي: - ملخص واضح وموجز لنموذج عمل مقدم الطلب وكل خدمة ومنتج يقترح مقدم الطلب تقديمه (بما في ذلك تدفقات الأصول/الأموال والأطراف المعنية لكل خدمة/منتج، حسب الاقتضاء). - تقييم ما إذا كانت الخدمة أو المنتج المقترح يقع ضمن معنى خدمة الرمز الرقمي الخاضعة للتنظيم بموجب قانون ولايات ميكرونيزيا الموحدة. يجب أن يتضمن التقييم تحليلاً مفصلاً وشاملاً لما إذا كانت كل خدمة رمز رقمي خاضعة للتنظيم تنطبق على كل خدمة أو منتج مقترح. يجب أن يأخذ التقييم أيضًا في الاعتبار جميع القوانين والإشعارات والمبادئ التوجيهية والنشرات والأسئلة الشائعة ذات الصلة. - إذا تم تقييم أي خدمة أو منتج مقترح على أنه معفى أو غير منظم، فيجب تقديم شرح مفصل لكيفية تطبيق الإعفاء أو الاستثناء ذي الصلة. - تأكيد على أنه سيتم الكشف عن الرأي القانوني لهيئة النقد في سنغافورة.

المعلومات المطلوبة للامتثال وإدارة المخاطر والأنظمة والضوابط

إدارة مخاطر التكنولوجيا

يجب أن يكون لدى مقدم الطلب إطار عمل لتقييم وإدارة مخاطر التكنولوجيا واتخاذ التدابير اللازمة لحماية بيانات العملاء والمعاملات والأنظمة بما يتناسب مع مستوى المخاطر وتعقيد الخدمات المالية المقدمة والتكنولوجيا التي تدعم هذه الخدمات. على المتقدمين الرجوع إلى إشعار إدارة مخاطر التكنولوجيا [FSM-N30]، وإشعار الأمن السيبراني [FSM-N31]، ودليل ممارسات إدارة مخاطر التكنولوجيا للاطلاع على مبادئ إدارة مخاطر تكنولوجيا المعلومات والتوقعات التنظيمية.

الامتثال والتدقيق

على المتقدم تقديم المعلومات والوثائق التالية بما يتوافق مع طبيعة نموذج العمل المقترح:

• سياسات وإجراءات مكافحة غسل الأموال/تمويل الإرهاب التي تثبت الامتثال لإشعار هيئة النقد في سنغافورة (FSM-N27) ومتطلبات العقوبات المالية المستهدفة ذات الصلة. يجب أن يشمل ذلك إطارًا لتقييم ومراقبة الوكلاء والشركاء الخارجيين (المحليين والخارجيين).

• تقييم مخاطر غسل الأموال/تمويل الإرهاب/تمويل الانتشار على مستوى المؤسسة ("EWRA"). يجب على المتقدمين أيضًا تضمين تقييم مخاطر التهرب الضريبي في EWRA. ترتيبات حوكمة مكافحة غسل الأموال وتمويل الإرهاب، والتصعيد، والإبلاغ. يجب أن تتضمن هذه الترتيبات تفاصيل مشاركة المالك الوحيد، والشركاء، والمديرين، والرئيس التنفيذي، وغيرهم من الإدارة العليا في الإشراف على قضايا مكافحة غسل الأموال وتمويل الإرهاب التي قد تنشأ أثناء سير العمل، ومعالجتها. خطة تنفيذ ترتيبات إدارة الامتثال، بما في ذلك العمليات المُطبقة والأنظمة المُستخدمة. اسم مسؤول الامتثال وسيرته الذاتية، بما في ذلك تفاصيل أي شهادات امتثال رسمية، مثل ACAMS وIBF. إذا لم يتضمن الهيكل التنظيمي ترتيبات التوظيف وتسلسل الإبلاغ لوظيفة الامتثال، فيُرجى تقديم تفاصيل عنها. يجب أن يتضمن هذا تفاصيل جميع وظائف الامتثال المُستعانة بمصادر خارجية، بما في ذلك موقع مقدم الخدمة المُستعان بمصادر خارجية والفريق، وعلاقة مقدم الطلب بمقدم الخدمة المُستعان بمصادر خارجية (مثل المورد والشركة الأم)، وحالة ترخيص/تسجيل مقدم الخدمة المُستعان بمصادر خارجية وترتيبات المراقبة.

• ترتيبات التدقيق الداخلي والخارجي.

هيكل المساهمين

يجب على مقدم الطلب تقديم هيكل مساهمين كامل (حتى المتحكم النهائي)، والذي يجب أن يكون شخصًا طبيعيًا.

يلزم تأكيد كتابي إذا لم يكن لدى مقدم الطلب مساهم مسيطر بنسبة 20٪.

الملحق 4

رسوم الترخيص السنوية A4

تُدفع رسوم الترخيص على أساس سنوي وفقًا للقسم 140 من قانون ولايات ميكرونيزيا الموحدة كما هو مفصل في الجدول الملحق بلوائح ولايات ميكرونيزيا الموحدة. جميع رسوم الترخيص المدفوعة غير قابلة للاسترداد. يجب على المرخص له إبرام اتفاقية تحويل آلي مصرفي (GIRO) مع هيئة النقد في سنغافورة (MAS) لدفع رسوم الترخيص سنويًا. يجب على المرخص له التأكد من تحديث تفاصيل اتفاقية التحويل الآلي المصرفي (GIRO) ووجود رصيد كافٍ في حساباته المصرفية بحلول تاريخ الخصم المحدد في إشعار الرسوم. رسوم الترخيص التناسبية للمرخص لهم الجدد: بالنسبة للمرخص لهم الجدد غير المرخصين في الأول من يناير من سنة منح الترخيص، تُحسب رسوم الترخيص للسنة التقويمية الأولى بعد منح الترخيص بنسبة مئوية من رسوم الترخيص السنوية الثابتة للفترة من تاريخ إصدار الترخيص إلى 31 ديسمبر من نفس السنة. يوضح المثال 1 كيفية حساب رسوم الترخيص للسنة الأولى.

مثال 1 حصلت شركة على ترخيص DTSP في 1 ديسمبر 2025.

الملحق 5

قواعد المشاركة في عملية مراجعة الطلب A5

المراجعة الأولية وطلب المعلومات

تبدأ عملية مراجعة الطلب بتعيين مسؤول الحالة واستلام جميع المعلومات والمستندات المطلوبة من مقدم الطلب. بناءً على حجم الطلبات الواردة، قد لا يتم تكليف المتقدمين فور استلامهم من قِبل MAS. بمجرد تكليف المتقدمين، سيتصل مسؤول الحالة بمقدم الطلب لإبلاغه بالخطوات التالية اللازمة، والتي قد تشمل اجتماعًا تمهيديًا.

سيفحص مسؤول الحالة جميع المستندات المقدمة، والتي تُشكل عادةً الجولة الأولى من طلبات المعلومات التي سيتلقاها مقدم الطلب. كما سيُجري مسؤول الحالة مراجعة أولية لنموذج عمل مقدم الطلب. خلال عملية المراجعة، قد تكون هناك جولات متعددة من طلبات المعلومات والتوضيح، وذلك حسب اكتمال الردود التي يقدمها مقدم الطلب.

قبل تقديم الطلب، يجب على مقدم الطلب التأكد دائمًا من أنه يستوفي معايير القبول المنصوص عليها في هذه الإرشادات، وأنه يحتوي على المعلومات اللازمة المطلوبة في الملحق 3 من هذه الإرشادات. تحتفظ MAS بالحق في رفض أي طلب إذا تم تقييمه على أنه غير مكتمل بشكل خطير أو به عيوب كبيرة. يجب أيضًا أن يكون لدى مقدم الطلب دائمًا شخص اتصال متاح لمتابعة طلبات المعلومات هذه وتقديم رد كامل في الوقت المناسب. يجب على مقدم الطلب إخطار MAS على الفور بأي تغيير في جهة الاتصال.

يجب على مقدم الطلب الإفصاح عن جميع المعلومات الجوهرية لمسؤول الحالة على الفور وبشكل استباقي وكامل دون أي إخفاء. إذا تبين أن مقدم الطلب قد حجب أو أخفى أو أخر الكشف عن المعلومات عمدًا دون سبب معقول، فسيُعتبر ذلك تقصيرًا كبيرًا. يُذكّر مقدمو الطلبات بأنه يجب عليهم توخي الحذر المعقول لضمان أن المعلومات والوثائق المقدمة إلى MAS ليست كاذبة أو مضللة. قد يكون الشخص الذي يخالف المادة 176 (1) أو 176 (3) من قانون FSM مذنبًا بارتكاب جريمة وقد يكون عرضة عند الإدانة لغرامة أو السجن.

التوقيت وجودة الاستجابة

عادةً ما تحدد MAS للمتقدمين موعدًا نهائيًا يجب عليهم بحلوله الرد على طلب المعلومات. إذا لم يرد مقدم الطلب في الوقت المحدد، فستعتبر MAS الطلب مسحوبًا. إذا احتاج مقدم الطلب إلى وقت إضافي لإعداد رد، فيجب إبلاغ مسؤول الحالة مسبقًا. يجب على مقدم الطلب أيضًا تحقيق التوازن بين الوقت اللازم لتقديم رد شامل بما فيه الكفاية والحاجة إلى الإسراع في الرد لتسريع المراجعة. سيتم تقييم عدم تقديم رد مُرضٍ وشامل على أنه عيب قد يؤدي إلى النظر في الطلب بشكل سلبي.

المقابلة

يرتب مسؤول الحالة عادةً مقابلة مع موظفي الإدارة الرئيسيين و/أو مسؤول الامتثال لمقدم الطلب. يجب على جميع ممثلي مقدم الطلب أخذ تفاعلهم مع مسؤول الحالة على محمل الجد. الغرض من المقابلة هو أن يشرح مقدم الطلب كيف ينوي إدارة أعماله ومخاطره من أجل الامتثال للمتطلبات التنظيمية. لا يُسمح للمستشارين والمستشارين القانونيين الخارجيين وأطراف ثالثة أخرى بحضور المقابلة. وذلك لأنه حتى لو استعان مقدم الطلب بمصادر خارجية لأي من وظائفه، فسيظل مسؤولاً عن الوفاء بالتزاماته التنظيمية.

تتضمن الظروف المحتملة التي قد يكون لدى مسؤول الحالة فيها أسباب معقولة للاعتقاد بأن مقدم الطلب غير قادر على الوفاء بالتزاماته كمرخص له بشكل كافٍ، على سبيل المثال لا الحصر، ما يلي:

• عدم حضور المقابلة دون سبب وجيه؛

• عدم القدرة على الإجابة على الأسئلة بوضوح أثناء المقابلة؛

• الإساءة اللفظية لمسؤول الحالة.

إذا كانت هناك تغييرات جوهرية في الطلب بعد المقابلة ولكن قبل نتيجة الطلب، فقد يرتب مسؤول الحالة مقابلة إضافية مع مقدم الطلب. تشمل أمثلة هذه التغييرات تغييرات في تعيين الموظفين الرئيسيين لمقدم الطلب أو تغييرات في نموذج عمل مقدم الطلب.

عملية المراجعة في MAS

يلتزم مسؤولو الحالة بإجراء تقييم شامل للطلب. حتى في مرحلة تقديم الطلب، يكون هدف مقدم الطلب الحصول على ترخيص، وبالتالي الخضوع للتنظيم والإشراف المستمرين، كما لو كان ضمن نظام تنظيمي. سيراجع مسؤولو الحالة الطلب في هذا السياق، ويتوقعون من مقدم الطلب أن يتصرف كما لو كان مؤسسة مالية خاضعة للتنظيم بالفعل. سيتم تقييم المتقدمين الذين يفشلون في القيام بذلك على أنهم يعانون من أوجه قصور جوهرية محتملة، مما قد يؤدي إلى رفض الطلب.

تعليق الطلب

يجب إبلاغ هيئة النقد السنغافورية فورًا بأي تغييرات تطرأ على المعلومات المقدمة بعد تقديم الطلب. في حال وجود تغييرات جوهرية في الطلب، قد يرغب مقدم الطلب في النظر في سحب الطلب وإعادة تقديمه بعد اكتمال التغييرات، حيث لن يكون الطلب متاحًا للمراجعة حتى ذلك الحين.

خلال عملية المراجعة، إذا كانت هناك إعادة هيكلة كبرى للشركة، أو تغييرات كبيرة في موظفي الإدارة الرئيسيين، أو تغيير كبير في نموذج/أنشطة الأعمال، يحق لهيئة النقد السنغافورية تعليق الطلبات التي يتم تقييمها على أنها غير جاهزة للمراجعة لمدة ستة أشهر. في حين أن مثل هذه التغييرات الرئيسية قد لا تكون متوقعة من قبل مقدم الطلب، فإن فترة الانتظار تسمح بتحويل الموارد من هذه الطلبات غير المكتملة لضمان العدالة لجميع المتقدمين الجاهزين الآخرين في قائمة الانتظار.

خلال فترة الانتظار، تقع على عاتق مقدم الطلب مسؤولية ضمان معالجة/استكمال جميع التغييرات اللازمة في الوقت المناسب وتقديم المستندات ذات الصلة إلى MAS للتقييم في نهاية فترة الانتظار. فترة الانتظار الافتراضية هي ستة أشهر ولا يمكن تمديدها. إذا لم يتم إكمال التغييرات الجوهرية خلال فترة الانتظار، فسيتم تقييم الطلب على أنه غير جاهز للمراجعة ويجب على مقدم الطلب النظر في سحب الطلب.

سحب الطلب

يحق لمقدم الطلب سحب طلبه في أي وقت. قد يُنصح مقدم الطلب أيضًا بسحب طلبه إذا كانت هناك، بعد مراجعة MAS، مشكلات أساسية لا يمكن معالجتها بشكل كافٍ في غضون فترة زمنية معقولة، أو إذا تم تقييم الطلب على أنه يحتوي على أوجه قصور كبيرة. يجب على المتقدمين ملاحظة أنه إذا أجرى مسؤول الحالة مثل هذا التقييم، فهذا يشير إلى عدم الموافقة على المتقدمين الآخرين في ظروف مماثلة. توجد ضوابط صارمة لضمان إجراء مسؤول الحالة تقييمًا عادلًا وموضوعيًا وقابلًا للتحقق. تتم مراجعة كل طلب ومستنداته الداعمة بدقة من قبل فريق من مسؤولي الحالة ومسؤولي الإشراف وهيئات المراجعة والموافقة. لذلك يجب على المتقدمين أخذ عملية المراجعة ونتائجها على محمل الجد. إذا كان المتقدم ينوي إعادة تقديم طلب، فيجب عليه التأكد من معالجة جميع المشكلات والنواقص بشكل كافٍ. قد تؤدي إعادة تقديم الطلب دون تصحيح المشكلات التي أثارتها MAS سابقًا إلى الرفض.

فيما يتعلق بتعليق الطلبات، تشير التغييرات الرئيسية في موظفي الإدارة الرئيسيين في المقام الأول إلى التغييرات المتعلقة بالمناصب التنفيذية الرئيسية مثل الرئيس التنفيذي والمدير المالي ورئيس قسم المخاطر ورئيس قسم الامتثال. ومع ذلك، يجب على المتقدم أيضًا تقييم وتسليط الضوء على التغييرات الأخرى في المناصب التي يجب اعتبارها موظفين إداريين رئيسيين بناءً على أهمية نموذج أعماله وأهمية خطوط الإبلاغ.

الملحق 6

أ6 التقييم المستقل من قبل المراجع الخارجي

أ. مخاطر التكنولوجيا والأمن السيبراني:

(يجب أن يكمله مقدم الطلب بعد الموافقة المبدئية)

1. معايير المراجع الخارجي المعين لإجراء تقييم مستقل لمخاطر التكنولوجيا والأمن السيبراني
   يجب أن يستوفي المراجع الخارجي المعين من قبل مقدم الطلب لإجراء التقييم المستقل المعايير التالية:
   

2. نطاق التقييم
   فيما يلي مجالات مخاطر التكنولوجيا والأمن السيبراني التي سيقيمها المراجع الخارجي المستقل كشرط للموافقة المبدئية (IPA).

يجب أن يتمتع رؤساء الأعمال بأقدمية كافية وخبرة ومهارة كافية في مجالات مخاطر التكنولوجيا والأمن السيبراني (مخاطر التكنولوجيا). يقع على عاتق مقدم الطلب مسؤولية ضمان تعيين مدقق خارجي مستقل مؤهل بشكل مناسب لإجراء تقييم مستقل لسياسات وإجراءات وضوابط مخاطر التكنولوجيا الخاصة به.

I. الأمن السيبراني

أ. مع الأخذ في الاعتبار نموذج الأعمال والمنتجات والخدمات وتدفقات رأس المال وقنوات التسليم المقترحة لمقدم الطلب،
i. تحديد أي ثغرات في المتطلبات التنظيمية ذات الصلة كما هو موضح في إشعار الأمن السيبراني FSM-N31 التابع لهيئة النقد في سنغافورة؛
ii. تسليط الضوء على مجالات التحسين المطلوبة للتخفيف من مخاطر الأمن السيبراني.

II. منع فقدان البيانات

أ. مراجعة وتقييم سياسات وضوابط حماية المعلومات المقترحة لمقدم الطلب (IPPCs) في المجالات التالية:
i. حماية البيانات الحساسة (بما في ذلك بيانات العملاء) أثناء النقل والتخزين؛
ii. الكشف عن ومنع الوصول غير المصرح به أو الكشف (بما في ذلك الاتصال والنقل والتخزين) للبيانات الحساسة (بما في ذلك معلومات العملاء)؛
iii. حماية مفاتيح تشفير المحفظة الحفظية.
ب. مع مراعاة نموذج العمل المقترح لمقدم الطلب والمنتجات والخدمات وتدفقات التمويل وقنوات التسليم،
رابعًا. تحديد أي ثغرات في متطلبات اللوائح التنظيمية لإدارة مخاطر التكنولوجيا المعمول بها (بما في ذلك على سبيل المثال لا الحصر إشعار إدارة مخاطر التكنولوجيا FSM-N30 التابع لهيئة النقد في سنغافورة والقسم 11 من إرشادات إدارة مخاطر التكنولوجيا)؛
خامسًا. تسليط الضوء على مجالات التحسين المطلوبة للتخفيف من مخاطر التكنولوجيا الناشئة عن نموذج العمل المقترح.

ثالثًا. اختبار الاختراق

أ. مراجعة وتقييم IPPCs المقترح لمقدم الطلب من حيث أنظمة اختبار الاختراق، بما في ذلك:
أولًا. تحديد وتيرة اختبار الاختراق بناءً على عوامل مثل أهمية النظام والمخاطر السيبرانية التي يواجهها النظام. بالنسبة للأنظمة التي يمكن الوصول إليها مباشرة من الإنترنت، يجب على مقدم الطلب إجراء اختبار الاختراق سنويًا على الأقل أو عند إجراء تغييرات أو تحديثات كبيرة على هذه الأنظمة للتحقق من كفاية ضوابط الأمان؛
ثانيًا. اتفاقيات مستوى الخدمة ("SLAs") لمعالجة نتائج اختبار الاختراق بما يتناسب مع مستوى المخاطر ذي الصلة.
ب. مراجعة وتقييم ما إذا كان اختبار الاختراق الذي تم إجراؤه على الخدمات المالية عبر الإنترنت المقترحة لمقدم الطلب (خلال الـ 12 شهرًا الماضية) مناسبًا وكافيًا لتحديد نقاط الضعف الأمنية الحرجة.
ج. مع الأخذ في الاعتبار نموذج العمل المقترح لمقدم الطلب والمنتجات والخدمات والتدفقات المالية وقنوات التسليم،
أ. تحديد أي ثغرات في التوقعات التنظيمية المعمول بها بشأن إدارة مخاطر التكنولوجيا (بما في ذلك على سبيل المثال لا الحصر القسم 13.2 من إرشادات إدارة مخاطر التكنولوجيا)؛
ب. تسليط الضوء على مجالات التحسين المطلوبة للتخفيف من مخاطر التكنولوجيا التي يشكلها نموذج العمل المقترح.

رابعًا. المحافظ الرقمية والعقود الذكية

أ. مراجعة إجراءات حماية الملكية الفكرية (IPPCs) المقترحة من قِبل مقدم الطلب وتقييم ما إذا كانت تتضمن الضوابط التالية بما يتناسب مع نموذج العمل والمنتجات والخدمات وتدفقات رأس المال وقنوات التسليم المقترحة من قِبل مقدم الطلب:
1. اتباع مبادئ التصميم الآمن (بما في ذلك التحكم المناسب في الوصول والاختبار الشامل والتحديثات المنتظمة للإصدارات المستقرة وتحليل الكود الثابت والديناميكي) في دورة حياة تطوير النظام لأنظمته المقترحة وعقوده الذكية (إن وجدت)؛
2. تطوير العقود الذكية، بما في ذلك الضوابط لضمان حماية العقود الذكية من التهديدات والثغرات الأمنية السيبرانية من خلال التطوير الآمن وعمليات DevSecOps والاختبار لمنع الوصول غير المصرح به وتسريب البيانات واستغلال الثغرات الأمنية؛
3. ضوابط لضمان التوافر العالي للأنظمة الحيوية وأولويات استرداد النظام واسترداد الأعمال (بما في ذلك تحليل السبب الجذري والأثر) لضمان استراتيجية استرداد سريعة لهذه الأنظمة؛
4. استخدام تقنيات مثل الحوسبة متعددة الأطراف ومخططات توقيع العتبة لحماية محافظ الحفظ؛
v. دمج أنظمة المحفظة الوصية مع أنظمة المعلومات الأخرى/ تطبيق عزل الشبكة بين الإنترنت لمنع الاتصالات غير المصرح بها؛
vi. فصل مكونات مفتاح تشفير المحفظة الوصية لضمان عدم تمكن أي شخص أو نظام من الوصول إلى المفتاح الكامل في أي وقت (أي اتباع مبدأ "عدم الانفراد مطلقًا"، الذي يتطلب وجود شخصين مرخصين على الأقل لتنسيق عمليات إدارة المفاتيح والموافقة عليها).