阿联酋虚拟资产企业承担完整的联邦反洗钱义务，VARA 和 CMA 的要求更进一步

2025 年联邦法律将虚拟资产公司视同金融机构

在阿联酋境内经营的每一个虚拟资产服务提供商（VASP），都必须评估其洗钱风险、识别客户和实际受益人、向金融情报中心（FIU）报告可疑情况、立即执行定向金融制裁并保存记录（2025 年第 10 号联邦法令第 18 条和第 19 条）。该法令于 2025 年 9 月 30 日颁布，废止了 2018 年反洗钱法律（第 41 条）；据阿联酋立法门户网站显示，其实施条例，即 2025 年第 134 号内阁决议，取代了 2019 年的实施条例（第 70 条），并于 2025 年 12 月 14 日生效。

虚拟资产服务提供商，是指作为商业活动为他人或代表他人开展虚拟资产活动的任何人（第 1 条）。《实施条例》第 4 条列出了这些活动：虚拟资产与法定货币之间或虚拟资产之间的兑换、转移、保管或管理，以及与发行人的发售或销售相关的服务。该法令第 20 条禁止未经发牌、登记或注册而开展此类活动。

谁来监管：迪拜由 VARA 监管，联邦层面由 CMA 监管

在迪拜国际金融中心（DIFC）以外的迪拜，VARA 是联邦反洗钱法律项下所有虚拟资产提供商的指定监管机构（Supervisory Authority）（VARA《条例》第 VI.A.3 条），并依据 2022 年第 112 号内阁决议的授权（第 2 条和第 4 条），在当地行使联邦监管机构的发牌和监管权力，包括对可疑交易采取行动。其持牌机构须遵守联邦法律和 VARA 的规则（《条例》第 VI.B.1 条），主要是《合规与风险管理规则手册》第三部分。

在联邦层面，资本市场管理局（CMA）依据自 2026 年 1 月 1 日起施行的 2025 年第 33 号联邦法令，监管阿联酋全境及其非金融自由区的虚拟资产活动（第 39(3) 条）。2022 年第 111 号和第 112 号内阁决议在与 2025 年各项法律相一致的范围内继续有效（2025 年第 32 号联邦法令第 27(3) 条）；第 111 号决议规定所有提供商均须遵守反洗钱立法（第 8 条），并允许联邦监管机构监督经地方发牌的提供商（第 9(2) 条）。CMA 2026 年第 4 号主席决定自 2026 年 2 月 28 日起施行，规定其持牌机构适用 CMA 规则手册的反洗钱部分（《业务监管模块》第 4 条）。

CMA 的监管和第 111 号决议（第 3(2)(a) 条）均不延及金融自由区，而 VARA 的管辖范围止于 DIFC；我们的姊妹篇文章梳理了这些区域的监管机构。

尽职调查：每一项业务关系，以及 3,500 迪拉姆起的偶发交易

在建立业务关系时、存在可疑情况时以及对先前取得的身份识别资料有疑问时，均须开展尽职调查（《实施条例》第 7(1) 条）。对于偶发交易，虚拟资产公司在交易金额达到 3,500 迪拉姆或以上时开展尽职调查，相互关联的交易合并计算（第 7(3) 条）；VARA 采用相同金额，并将高风险客户的任何交易也纳入其中（规则 III.E.4）。

对于法人客户，公司须识别持股 25% 或以上的每一名自然人，其次是通过其他方式控制该客户的人，如两者均无，则识别其高级管理人员（第 10 条）。对于高风险客户和属于政治公众人物的实际受益人，VARA 持牌机构须核实资金来源和财富来源、取得高级管理层批准，并要求首笔交易来自客户在受监管机构以其本人名义开立的账户（规则 III.E.10）。

无法完成尽职调查的，既不得建立业务关系，也不得进行交易（第 14 条；规则 III.E.8）。可以依赖受监管的第三方，但责任仍由公司承担（第 20 条；规则 III.E.9）。

转账、筛查和制裁均须实时进行

根据第 36(2) 条，发起方公司须取得发起人的姓名、账号或钱包地址以及居住或营业地址，以及受益人的姓名和账号或钱包，并立即、安全地发送给受益人的服务提供商，后者也须保存这些信息。VARA 对价值超过 3,500 迪拉姆的转账适用相同的最低要求，并要求对交易对手服务提供商开展尽职调查，以及就非托管钱包作出决定（规则 III.G.2 至 III.G.7）。

第 36(2) 条还规定，第 26 条至第 33 条（其中包括电汇规则）按比例并依监管机构的指示适用于虚拟资产公司，而第 1 条将虚拟资产提供商向另一提供商或向钱包进行的转账视为电汇。因此，每一笔跨境转账都须附带这些数据，且自 3,500 迪拉姆起须核实发起人的信息（第 28(1) 条和第 28(3) 条）。CMA 的反洗钱部分同样要求每笔转账附带基本数据，并自 3,500 迪拉姆起附带更完整的发起人信息（第五章第 1 条和第 4(1) 条）。VARA 的规则制定于 2025 年实施条例之前，起点为超过 3,500 迪拉姆，但这只是最低要求，联邦法律可予补充（规则 III.G.1）；而第 35(1) 条允许监管机构设定转账的范围和限额。

第 36(3) 条使虚拟资产公司承担金融机构的全部制裁义务，包括在执行办公室办理登记，以及对照联合国名单和本地名单筛查客户、所有人和交易（2020 年第 74 号内阁决议第 21 条）。该决议第 15 条要求在列名后 24 小时内实施冻结，并在五个营业日内通知执行办公室。VARA 还要求对交易进行自动化、实时的制裁筛查，并设定对客户、所有人和钱包地址进行筛查的风险规则（规则 III.B.3 和 III.H.1 至 III.H.5）。

可疑交易报告、合规人员与记录

可疑交易须毫不迟延地向 FIU 报告，无论金额大小（该法令第 18 条）；VARA 指定使用 goAML 系统（规则 III.F.4），并给予反洗钱报告官（MLRO）48 小时答复 FIU 或 VARA 的询问（规则 III.F.3）。禁止通风报信（《实施条例》第 19 条）。根据该法令，通风报信可处监禁并处不少于 5 万迪拉姆的罚款，或处其中一项（第 29(1) 条）；故意或因重大过失未予报告的，可处监禁并处 10 万至 100 万迪拉姆的罚款，或处其中一项（第 28 条）。

《实施条例》要求设立一名管理层级别的独立合规官（Compliance Officer）（第 22 条），其任命须事先经监管机构批准（第 49(18) 条）。VARA 要求合规官具备五年合规工作经验、居住在阿联酋或持有阿联酋护照、全职受雇，并可直接向董事会汇报（规则 I.C.1）；要求 MLRO 具备两年反洗钱工作经验，并每季度向董事会报告（规则 III.A.1 和 III.A.2）；MLRO 职能可以外包（《公司规则手册》规则 IV.A.3）。CMA 要求两名人员均居住在阿联酋境内（《总体框架模块》第 54(2) 条），并要求每半年提交一份内部控制报告（反洗钱部分第七章）。

在联邦层面，记录须保存至少五年，自交易或业务关系结束之日起算；尽职调查档案则自其后任何检查、调查或终审判决之日起算（《实施条例》第 25 条）。VARA 要求保存八年，可能涉及国家安全的记录则须无限期保存（规则 I.F.2 和 III.I.2）；CMA 的反洗钱部分要求保存十年（第十二章第 1 条）。VARA 还要求至少每三个月进行一次业务和客户风险评估（规则 III.D.3 和 III.D.8），并要求反洗钱政策经合格第三方鉴证，且在发生变更后 21 个日历日内重新提交（规则 III.B.4）。

处罚既针对公司，也针对公司的经营者

监管机构可以发出警告、就每项违规处以 1 万至 500 万迪拉姆的罚款、暂停董事职务或暂停业务活动、吊销牌照并公布处理结果（该法令第 17 条）。公司的代表或董事代表公司实施未予报告、违反制裁或无牌经营等犯罪的，公司面临 20 万至 1,000 万迪拉姆的罚款（第 27(2) 条）。买卖专为完全匿名而设计的虚拟资产构成犯罪（第 30(2) 条）；VARA 禁止在迪拜使用匿名增强型加密货币及开展相关活动（《条例》第 II.C.1 条）。

VARA 的罚款附表将反洗钱和了解你的客户（KYC）方面的罚款交由地方和联邦法律确定（《条例》附表 3 第 1 项）。其他违反《合规与风险管理规则手册》的行为，公司的指示性罚款最高为 5,000 万迪拉姆、年收入的 15% 或所获利润或所避免损失的 300% 三者中的较高者（第 2 项），且 VARA 可直接对董事、责任人（Responsible Individuals）和 MLRO 采取行动（规则 III.J.2；《条例》第 IX.C.3 条）。

2024 年第 71 号内阁决议并不适用于虚拟资产公司：该决议规定每项违规处以 5 万至 100 万迪拉姆的罚款（再犯的，相关部委可加倍），适用于由司法部和经济部监管的指定非金融企业（第 2 条和第 5 条），其中可能包括虚拟资产公司的公司服务提供商。

文本重叠或尚未更新之处

VARA 的文本仍在援引已废止的 2018 年法律和 2019 年实施条例（《条例》第 VI.A.1 条；附表 4），其《公司规则手册》中的政治公众人物定义也取自 2019 年实施条例，而该条例已被 2025 年第 134 号内阁决议第 70 条废止。由于附表 4 也涵盖不时生效的联邦反洗钱立法，我们将 VARA 的援引理解为指向 2025 年的文本，包括《实施条例》第 1 条中政治公众人物的定义。

CMA 的反洗钱部分适用于“由本局或地方实体”发牌的虚拟资产公司（第一章第 3 条），其 2026 年 4 月的函件也将 VARA 的规则手册列为公司必须遵守的文本之一。2022 年第 112 号内阁决议要求 VARA 与联邦监管机构合作，建立监管其持牌机构的统一机制（第 3(1) 条），但我们尚未发现任何已公布的文本阐明该机制，或说明 CMA 的反洗钱部分如何适用于这些持牌机构。CMA 的该部分也仍在援引已废止的 2018 年法律项下的处罚（第十二章第 4 条）。

在合规人员方面，VARA 允许由同一人兼任合规官和 MLRO（规则 III.A.4），而 CMA 的反洗钱部分则不允许合规官承担其他运营职能（第七章第 1(2) 条），尽管其 2026 年的监管规定允许职位合并（第 54(4) 条）。

虚拟资产企业及其服务提供商核查的事项

CMA 于 2026 年 4 月致证券公司和 VASP 的函件指出了一些具体核查事项：对照 2025 年文本进行有书面记录的差距分析；指定副 MLRO 或其他经授权的替代人选，以便在 MLRO 缺勤时代行职责，副职须全职、独立并居住在阿联酋；在可行情况下，制裁筛查覆盖钱包地址；区块链分析工具须经校准和验证，而不是对第三方提供商的工具照单全收。上述规则还要求开通 goAML 账户，并按适用的最长期限设定记录保存计划。

在公司层面，公司须保存股东名册，在发生变更后 15 个工作日内更新其基本信息和实际受益人信息，名义人须披露其委托人（《实施条例》第 38 条和第 39 条）。VARA 持牌机构在其所有人或实际受益人发生任何重大变更之前，须取得 VARA 的书面批准（《公司规则手册》规则 I.A.5）。为公司办理设立、提供办公场所或担任秘书或名义人的公司服务提供商，本身即属指定非金融企业（《实施条例》第 3(5) 条），须自行对该公司开展尽职调查。

对于新设企业，反洗钱框架应纳入牌照申请材料：VARA 期望在发牌过程中看到经鉴证的政策和旅行规则实施方案（规则 III.B.4 和 III.G.8）。

本文介绍截至 2026 年 11 月 2 日的阿联酋法律和监管机构规则，属一般性信息，不构成法律或投资建议。Polaris 并非律师事务所，也未获 VARA、CMA、阿联酋中央银行、DFSA 或 FSRA 发牌。