拥抱监管之政策详读篇

虚拟资产在香港是否属于投资产品、以及虚拟资产管理公司如何受监管一度是香港投资界的关注话题。

随着香港证监会的公告书发布，这一问题被正式赋予了答案：

虚拟资产在香港属于投资产品，但经营虚拟资产期货合约可能属违法，虚拟资产管理公司同样需要受到证监会监管，持牌公司经营此类产品必须符合SFC规定的严格条件。

今日学习：IX. 交易平台及网络安全 以及 X.利益冲突

 IX ：交易平台及网络安全

平台营运者应有效管理及充分监督平台(包括其交易系统及托管基础设施)的设计、 开发、应用及运作。平台营运者应就平台的运作订立并实施书面的内部政策及程序， 以确保下列事项：

·平台营运者的关键人员应具备必要的专业资格、管理和技术经验，以确保适当 及持续提供由平台营运者所供应的虚拟资产交易服务。平台营运者应识别关键人员(例如平台的创办人或首席开发员)，并制定计划以减低相关的关键人员风险；

·平台营运者应至少有一名负责人员负责交易平台的整体管理及监督；

·应在交易、风险及合规部门共同提供意见下订有正式的管治程序；

·应设有清楚界定的汇报途径，将监督和汇报职责指派予合适的职员执行；

·应设有管理监控措施及监督管制措施，用以管理与其客户使用交易系统相关的风险

平台营运者应进行定期检视，以确保这些内部政策及程序能配合不断变化的市况及监管发展，并从速对任何已识别的不足之处作出纠正。

平台营运者应为平台的设计、开发、应用及运作调配具备足够资格的职员、专才、技术设备及财政资源。

平台营运者应确保其有联系实体遵循本条款及条件内此部分的规定。

作为发牌条件所规定的年度检视工作的一部分，平台营运者应安排具备合适资格的独立专业人士定期进行技术审查(至少每年一次)，从而使其本身及其有联系实体已充分遵循本条款及条件内此部分的规定。

平台营运者应以适当技能、小心审慎和勤勉尽责的态度拣选及委任独立的专业人士，并应考虑他们在检视虚拟资产相关技术方面的经验和过往纪录。

平台营运者在识别出任何违规行为时，应采取及应确保其有联系实体采取及时的纠正措施。

平台稳健性：

平台营运者应确保平台的稳健性，将其系统的可靠性、安全性及容量维持在高水平， 并设有适当的应变措施。

系统可靠性：

平台营运者应就系统升级及维护订有书面标准运作程序。标准运作程序需包含：

·通讯方式，以及如何处理仍在挂盘且有待执行的交易指示；

·有关在系统停机后及在恢复持续交易前有多少时间输入、更改或取消交易指示的资料

·适用于在预期及计划之外，并对有序市场构成影响的系统故障的程序

平台营运者应确保其交易系统及对系统的所有改动(例如实施新的系统或将现有系统 升级)在应用前均经过测试，并定期进行检视，以确保系统及所有改动的可靠性。具体来说，平台营运者在应用交易系统及其系统改动前应至少进行以下事项:

·由高级管理人员检视及签署确认测试结果

·系统及数据的完整备份

·制订应变计划，以在交易系统的新版本出现任何重大及无法复原的错误时，回滚至先前的版本

·平台营运者应就交易系统的所有改动备存清晰的审计线索

如平台营运者计划中断系统以进行升级和测试其系统，且有关系统中断可能对客户构成影响，平台营运者便应在切实可行的情况下尽早通知其客户。

系统安全性：

平台营运者应采取充足、最新及适当的保安监控措施，以保护平台免被滥用。保安监 控措施至少应包括：

·借着可靠的验证方式及技术以确保只有获授权的人士方可进入平台：

·只准许其职员在有需要的情况下取览有关在平台上发出的交易指示及已执行的交易买卖资料，使平台妥善及有效率地运作，并时刻让高级管理人员知悉每名有关职员的身份(列出职位及部门)及其可查阅的资料 + 需要查阅有关资料的理由 + 资料是否有变动及变动理由。

·备份一份充足的记录供查阅，记录有权进入平台的职员身份和职务，查阅的资料，查阅时间，有关查询的任何授权以及获取资料的理由。

·设有足够及有效的系统和监控措施，以防范和侦测其职员有否泄漏或滥 用他们有权查阅在平台上所发出的交易指示及/或在该平台上执行的交易资料。   

·依照行业最佳办法及国际标准设立的最新数据加密及安全转移技术，以保 障储存在平台上及在内部与外间网络之间的传递的资料的保密性及完整性

·最新的安全工具以检测、预防及阻止任何潜在入侵、违反安全规定及网络攻击的情况。

·充足的内部程序及为平台营运者的职员提供的培训，及向其客户提供定期的警示及教材，以提高他们对网络安全的重要性的意识，及需严格遵循与系统有关的安全规定。

平台营运者应确保其平台设有有效的监控措施，使其在有需要时可：

·防止出现“胖手指”错误的情况，例如在为买卖盘价格及数量输入限价或上下限量；（“胖手指”是在瞬息万变的电子金融市场中，交易员必须以迅速的动作进行操作，高强度的工作加上巨大的压力使得他有可能出现按错键盘的现象，其雇主也将因此损失惨重。）

·及时阻止平台接纳客户的交易指示，例如由黑客发出可疑的欺诈交易；

·取消任何未执行的交易指示

平台营运者在推出交易平台和其后定期对现有服务进行任何重大的改进前，应进行严格及独立的网络保安评估。网络保安评估的范围应至少涵盖：

·应用程序的安全(桌面端/WEB端/APP应用程序)

·钱包安全

·物理实地安全

·网络及系统安全(包括渗透测试)

系统容量

平台营运者应确保：

·定期审查平台的容量使用情况，并订有适当的容量规划。在进行容量规划时，平台营运者应决定所需的备用容量水平及就此备存有关记录；

·对平台的容量定期进行压力测试，以确定在不同的模拟市场下的系统表现，并以文件载明压力测试的结果及为解决压力测试所发现的问题而采取的任何行动；

·平台的容量足以处理在营业额及市场成交量方面任何可预见的增长；

·设有应急安排，并已将有关详情告知客户：

·当平台的容量超限时能处理客户的交易指令

·向客户说明可用以执行交易指令的其他途径

应急措施

平台营运者应制定一份书面应急计划，以处理与平台有关的紧急情况及中断事故，包括在系统复原后检查及确保数据的完整性，及确保交易在系统恢复运作后可以公平和有序的方式进行。

应急计划至少应包括：

·适当的应急设施，使平台营运者可在紧急情况下继续提供其交易服务或有关执行交易指示的其他安排；

·确保业务记录、客户及交易数据库、服务器及证明文件均在安全的离线位置存有备份。在办公室以外地方的储存一般须设有妥善的安保措施；

·有经过培训的员工处理客户及监管当局的查询；

平台营运者应确保后备设施及应变计划至少每年进行一次有关可行性及充足性方面的检讨、更新及测试。

如出现重大延误或故障，平台营运者应及时：

·根据应急计划纠正有关情况

·在切实可行的情况下尽快通知客户有关情况，及他们将会如何处理客户有待执行的交易指示及存取指示

·在切实可行的情况下尽快向证监会作出汇报

 X ：利益冲突

平台营运者应避免并应确保其有联系实体避免在与客户或替客户进行的交易中 占有任何重大利益，或因有某项关系导致出现实际或潜在的利益冲突。

若平台营运者或其有联系实体无法避免在任何实际或潜在的利益冲突情况中行事，应向客户作出适当的披露，并采取一切合理步骤以管理有关冲突，及确保客户获得公平对待。

平台营运者不应参与自营交易。“自营交易”指为以下账户进行的交易活动：

·以主要受益人进行交易的平台运营者账户

·本身与平台营运者属同一公司集团的公司，并以主要受益人身份进行买卖的任何账户

·平台营运者或本身为平台营运者属同一公司集团的公司的任何拥有权益的账户

平台营运者不应参与自营的庄家活动。

雇员的交易

平台营运者应设有用来管理限制雇员就虚拟资产进行交易的政策，并以书面方式将有关政 策传达给雇员，以消除、避免、管理或披露因这些交易而可能产生的实际或潜在利益冲突：

·雇员一词包括平台营运者或其有联系实体的董事(非执行董事除外)

·关联账户一词指雇员的未成年子女的账户及雇员持有任何权益的账户

若平台营运者或有联系实体的雇员获准在自己的账户和关联账户内进行虚拟资产交易：

·书面政策应指明雇员可在哪些情况下于自己的账户和关联账户内进行虚拟资产交易(特别是掌握非公开消息的雇员应被禁止买卖相关虚拟资产)

·若这些账户是在平台营运者的交易平台上开立：

·雇员应按规定识别有关账户，并就此向平台营运者的高级管理人员作出汇报

·雇员应按规定通过平台营运者进行交易

·在雇员自己的账户和关联账户内进行的交易应被汇报予平台营运者的高级管理人员，并由高级管理人员密切监察这些交易，而高级管理人员不应在有关交易中拥有任何实益或其他权益，及应维持程序以监督违规行为，并确保平台营运者对这些交易或买卖指示的处理不损害平台营运者其他客户的利益

·任何在雇员自己的账户和关联账户内进行的交易应在平台营运者的记录内被分开记录及清楚地识别出来

若平台营运者或其有联系实体的雇员获准透过另一个交易平台在其自己的帐户或关联账户内进行交易，平台营运者及雇员应安排向平台营运者的高级管理人员提供交易确认和账单副本。

平台营运者应设有程序，确保其雇员进行虚拟资产交易不会“优先”于客户或与客户进行的交易。

有关程序也应确保平台营运者及其有联系实体的雇员不会基于其他可对虚拟资产的价格造成重大影响的非公开资料来进行该等虚拟资产的交易，直至有关资料被公开为止。