證監會發牌通知送達的那一天，就是容易的部分結束的那一天。
許多創辦人把虛擬資產交易平台牌照當作終點線。你花了十八個月和一大筆錢取得它，它感覺就像終點。證監會的看法剛好相反。在監管機構眼中，發牌是你開始受監察的一刻，隨牌照而來的義務在你持牌期間每一天都在運行。2025年8月，證監會發出一份託管通函，其源頭正是一次就持牌平台託管監控措施進行的查詢——用證監會自己的話說，「部分回應被視為有不足之處」。這些都是已經通過發牌門檻的公司。持有牌照是一回事，持續達標是另一回事。
以下是你正式營運之後，證監會實際要求的營運骨幹。
管治：監管機構要名字，不要組織圖
證監會不會抽象地監察公司。它監察的是人，而且要確切知道哪些人就哪些事問責。
你需要至少兩名負責人員，他們必須是並持續保持為適當人選——證監會以勝任能力、財務穩健性及聲譽作測試。除此之外，平台須就八項核心職能各委任一名核心職能主管，涵蓋整體管理、風險、合規、財務、資訊科技及打擊洗錢等範疇。核心職能主管必須有足夠資歷實際拍板，並須向董事會匯報。證監會更把整個董事會視為高級管理層，須就平台及其託管實體共同負責。
三項監控職能必須存在，且必須獨立於前線業務人員：合規、風險管理及內部審核。你還需要一名洗錢報告主任。這些職位沒有一個可以由營運總監兼任了事。證監會已表明，大多數情況下，單是風險職能就預期不止一人。
申請期間為了控制開支而少請了人？問題就在這裏浮現。妥善地聘用關鍵人員、配以恰當的資歷和真正的獨立性，不是人力資源細節，而是發牌條件——合規人手單薄，是證監會視察最先揪出的問題之一。
打擊洗錢與「轉帳規則」：永不休眠的部分
你的牌照本身載於《打擊洗錢及恐怖分子資金籌集條例》（第615章）附表3B，所以打擊洗錢工作成為持牌平台日常最沉重的負荷，並不意外。有關義務源自該條例及證監會的打擊洗錢指引。
客戶開戶時，你要做「認識你的客戶」審查，並以風險為本持續監察——這項監察不能外判給別人就當完成。開戶之前及進行交易之前，你須對照制裁及恐怖分子名單篩查。當有事情看來不對勁，你須在合理可行的情況下盡快向聯合財富情報組提交可疑交易報告。這項義務沒有金額下限：一筆看似分層洗錢的200港元交易，與一筆200萬港元的交易一樣須要呈報。
「轉帳規則」是最多人絆倒的一環。對於8,000港元或以上的虛擬資產轉帳，你必須收集並傳遞匯款人及收款人資料；由於區塊鏈結算快速而不可逆轉，證監會要求你在轉帳之前完成，而非事後補辦。這一點要從一開始就建進系統——在已上線的平台事後加裝，過程相當痛苦。
託管：全場最嚴的規則
如果有一個範疇足以定義香港的制度，那就是託管。標誌性數字是98%：至少98%的客戶虛擬資產必須以線下儲存方式存放，熱錢包不得超過2%，例外情況只限獲證監會特別批准。這是全球主要監管機構之中最高的線下儲存門檻之一。
客戶資產不能放在交易公司的資產負債表上。它們必須透過一個有聯繫實體以信託形式持有——該實體須為全資擁有、在香港註冊成立的附屬公司，持有信託或公司服務提供者牌照，且除持有該等資產外不從事任何其他業務。資產須予分隔，客戶款項須在一個營業日內存入認可機構的獨立帳戶，而你須備有補償安排，分別涵蓋以線下儲存方式持有的客戶虛擬資產的50%，以及以線上和其他儲存方式持有的客戶虛擬資產的100%。
然後是密鑰。種子及私人密鑰必須安全地產生及儲存、設有備份，並存放於香港境內；任何一個人都不得持有整套密鑰。證監會2025年8月關於客戶虛擬資產託管的通函（「託管通函」）把要求再推前一步：氣隙隔離的簽署裝置、對硬件安全模組供應商的盡職審查、全天候威脅監察、鏈上紀錄與帳簿之間的持續對帳，還有員工培訓，確保員工絕不「盲目簽署」一筆看不懂的交易。託管通函正是證監會打算用於即將推出的託管人發牌制度的範本，所以請把它視為下限，而非上限。
代幣上架：靠委員會，不靠直覺
交易櫃台喜歡某個代幣，不代表它能上架。平台必須設立代幣納入及檢討委員會，成員來自負責業務線、合規、風險及資訊科技的人員，並須至少每月向董事會匯報。代幣納入準則必須透明、公平及公開。
每個代幣上線之前都須經過盡職審查，涵蓋背後團隊、監管狀況、流動性及市場風險，以及該資產及其發行人附帶的法律和洗錢風險。智能合約代幣需要獨立審計。想向零售客戶提供某個代幣？門檻更高：它必須是合資格的大型虛擬資產，獲納入由至少兩個不同指數提供者推出的至少兩個獲接納的指數，而你的零售客戶須先通過虛擬資產知識評估才可進行買賣。
資金、系統與操守
財務要求並不止於發牌。你須持有至少500萬港元繳足股本，並維持相等於至少十二個月營運開支的流動資產——以虛擬資產以外的形式持有——同時提交每月及周年申報表。若你的速動資金跌穿既定門檻，你須立即通知證監會。
系統方面，你須每年進行科技審計、每日保存離線備份，並指定一名負責人員主管網絡保安框架。操守方面，客戶須預先存入資金才可買賣；你不得以自身帳戶從事自營買賣或莊家活動；你須運作真實有效的市場監察，並透過有書面記錄的程序處理投訴及利益衝突。網站上的披露——收費、上架準則、審計連結及客戶權利——不是宣傳文案，而是監管要求。你還有一項常設義務：及時通知證監會任何業務上的重大變動，包括關鍵人員變動、新產品或服務，以及重大資訊科技或網絡保安事故。這是牌照的持續條件，不是一次性披露。
制度仍在演變，要持續盯緊
這一切都不是靜止的。證監會於2025年2月發表的ASPIRe路線圖，標示了制度的去向。質押（staking）於2025年在證監會批准下成為可進行的活動。2025年11月，證監會容許平台與合資格海外場所共享買賣盤紀錄，並取消僅向專業投資者提供的產品須有十二個月往績紀錄的舊規定，擴闊了可上架的範圍。
更大的轉變即將來臨。為虛擬資產交易商及託管人設立發牌制度的條例草案正準備提交立法會，而無牌經營該等服務的建議罰則，最高達監禁七年及罰款500萬港元。2025年8月通函中的託管標準將成為新制度的基礎。如果你今天持有VATP牌照，你在2027年將要遵守的部分制度，現在正在撰寫之中。
坦白總結：牌照買來的，是營運的權利，加上不斷證明你應該繼續營運的義務。出事的平台通常不是申請失敗的那些，而是通過了申請、然後在壓力消退後讓合規骨幹鬆懈下來的那些。
這正是我們虛擬資產監管團隊在牌照批出之後所做的工作：把管治、託管安排及公司及合規支援維持在證監會視察所用的標準，而不是當初讓你過關的標準。已持牌、想清醒地了解自己的營運實際處於甚麼水平？請預約諮詢。
本文反映我們截至2026年6月對香港法律及適用的證監會和金管局指引的理解。適用於持牌虛擬資產業務的監管框架內容詳細，並持續發展。本文任何內容均不是、亦不應被視為就任何特定事項的法律意見。如欲就你的平台的義務尋求意見，請諮詢合資格的香港律師。