香港稳定币条例持牌稳定币发行人监管执行指引（2025年8月）

穩定幣條例

持牌穩定幣發行人監管指引

2025年8月

目錄

　　1.引言

　　2.儲備資產管理

　　2.1.概覽

　　2.2.全額支持

　　2.3.儲備資產的範圍及組成

　　2.4.參照貨幣

　　2.5.隔離及保管

　　2.6.無利息

　　2.7.披露及匯報

　　3.發行、贖回及分銷

　　3.1.概覽

　　3.2.發行要求

　　3.3.贖回要求

　　3.4.分銷要求

　　3.5.客戶開戶及管理

　　3.6.披露及匯報

　　4.業務活動

　　4.1.業務活動限制

　　4.2.發行多於一種指明穩定幣

　　4.3.發行的目的及穩健程度

　　5.財政資源

　　5.1.最低已繳股本

　　5.2.流動資產

　　6.風險管理

　　6.1.概覽

　　6.2.風險管治

　　6.3.風險管理架構及內部管控制度

　　6.4.信用、流動性及市場風險管理

　　6.5.科技風險管理

　　6.6.業務操作風險管理

　　6.7.信譽風險管理

　　6.8.事件管理、持續業務運作及退出

　　7.企業管治

　　7.1.企業管治

　　7.2.適當人選

　　8.經營手法及操守

　　8.1.資訊及會計系統

　　8.2.披露及匯報

　　8.3.個人資料保障

　　8.4.投訴處理

　　9.辭彙

　　1.引言

　　1.1.此《持牌穩定幣發行人監管指引》（指引）根據《穩定幣條例》第 171(4)

　　條發出，以闡述香港金融管理局（金管局）對《穩定幣條例》附表 2 所

　　列的最低準則相關要求。根據《穩定幣條例》第 24 條，持牌人須確保其持續地符合有關最低準則。

　　1.2.本指引應與《穩定幣條例》及金管局不時發出的其他指引一併閲讀。除了本指引附錄所的定義的辭彙外， 本指引所用辭彙與《穩定幣條例》所界定者具有相同涵義。除非另有指明，本指引中單數辭彙包含其複數涵義，複數辭彙包含其單數涵義。在本指引中，使用「須」及「不得」等詞表示該為法定要求，而使用「應」及「不應」等詞則表示該為金管局的監管要求。

　　1.3.金管局會不時檢討本指引的相關性及適用性，並會按需要作出修訂。

　　2.儲備資產管理

　　2.1.概覽

　　2.1.1.持牌人應就儲備資產管理制定政策及程序。其中，政策及程序應列明

　　（一）有清晰匯報制度及足夠職能分離的管治安排、（二）用以滿足儲備資產管理相關監管要求的詳細措施，及（三）執行操作的詳細程序以及嚴格的授權管控措施。

　　2.2.全額支持

　　2.2.1.《穩定幣條例》附表 2 第 5(2)條規定，就持牌人發行的每類指明穩定幣而言，該類指明穩定幣的指明儲備資產組合的市值須在任何時間，最少等同於該類指明穩定幣屬尚未贖回及仍流通者的面值。在執行上，持牌人應考慮儲備資產的風險狀況，並確保有適當的超額抵押，以在全額支持水平以上提供足夠緩衝（見第 2.4.1 及 6.4.5 段）。持牌人亦應確保儲備資產的託管安排不會影響全額支持的原則（例如確保帳戶層級的費用不會從用於保管儲備資產的帳戶中扣除）。此外，持牌人應實施措施，對儲備資產的市值與指明穩定幣屬尚未贖回及仍流通者的面值進行監察及定期對帳，以核實滿足全額支持要求。

　　2.2.2.持牌人應確保在計算儲備資產的市值時，採取一致且審慎的方法。計算  方法及市場價格的來源應合理可靠，能夠反映市場現行價格，並在適用的情況下以買入價進行計價，因為這一般較能審慎反映金融資產的售價。持牌人亦應確保在計算指明穩定幣屬尚未贖回及仍流通者的面值時，採取一致且透明的方法，並確保儲備資產市值計算方法與指明穩定幣屬尚未贖回及仍流通者的面值計算方法之間相匹配。

　　2.2.3.為免引起疑問，持牌人應確保暫時無法被持有人存取、轉移及贖回的指明穩定幣（例如：因執法行動或法院命令而被凍結，但可能在法院命令下或調查結束後解凍）依然受全額支持，從而使持牌人可在相關限制被解除後仍能滿足第 3 段規定的贖回要求。

　　2.3.儲備資產的範圍及組成

　　2.3.1.《穩定幣條例》附表2 第5(5)條規定，儲備資產須屬高質素及高流動性，且具最低投資風險。儲備資產應以以下形式持有：

　　（一）現金；

　　（二）期限不超過三（3）個月的銀行存款；

　　（三）符合以下說明的有價債務證券：

　　甲． 代表對政府、中央銀行、公營單位、合資格國際組織或多邊發展銀行的申索或由其擔保；

　　乙． 剩餘期限不超過一（1）年；

　　丙． （一）根據《銀行業(資本)規則》（第 155L 章）第 55 至

　　58  條的標準(信用風險)計算法計算的信用風險，可配予

　　0%風險權重；或（二）以發行人的本地貨幣計價，而該發行人為政府或中央銀行；

　　丁． 具有高流動性；及

　　戊． 並非不屬於公營單位銀行的金融機構或金融機構的聯繫實體的義務；

　　（四） 由第（三）項作為抵押品，且具有最低對手方風險的隔夜逆回購協議所產生的應收現金；

　　（五） 投資第（一）、（二）、（三）及/或（四）項的投資基金，而該投資基金應是專門設立並僅用作管理持牌人的儲備資產；及/或

　　（六）其他金管局認可的資產類型。

　　統稱合資格資產。

　　2.3.2.為免引起疑問，儲備資產可由代幣化形式的合資格資產組成。就此而言，持牌人應向金管局證明並令其信納相關代幣化形式的資產如何符合高質  素、高流動性及具最低投資風險的要求。

　　2.4.參照貨幣

　　2.4.1.《穩定幣條例》附表 2 第 5(3)條規定，除非金融管理專員事先以書面批准，否則每類指明穩定幣的指明儲備資產組合須以該類指明穩定幣所參照的相同參照資產持有。儲備資產應以持牌人發行的指明穩定幣的參照

　　貨幣計價，或在有多種參照貨幣的情況下，以與該指明穩定幣參照比例相同的參照貨幣計價。視乎個別情況，一定靈活性可被允許，但須事先取得金融管理專員書面批准。在決定是否應批准貨幣錯配時，金管局會考慮是否有合理原因實行貨幣錯配、持牌人是否能證明其需要及理由，以及擬議安排（包括例如儲備資產的組成及比例，以及相應風險緩減措施例如超額抵押）是否合理並能有效管理相關風險，以防止相關風險轉移到指明穩定幣持有人或對業務操作造成不利影響。

　　2.5.隔離及保管

　　2.5.1.《穩定幣條例》附表 2 第 5(1)及 5(4)條指明了儲備資產隔離及保管的最低準則。持牌人須確保其發行的每類指明穩定幣的儲備資產（一）與其保存的其他儲備資產組合隔離；（二）在所有情況下獲足夠保障，使其不受持牌人的其他債權人的申索影響；以及（三）與支付予持牌人或由持牌人保存或收取的其他資金分開保管。

　　2.5.2.持牌人應設立有效的信託安排，以確保儲備資產與持牌人的資產隔離，並且是代為指明穩定幣持有人持有，以及可以用作滿足指明穩定幣持有人的贖回要求（見第 3.3 段）。就此而言，就儲備資產委託獨立的受託人或作出信託聲明，為可接受的信託安排。在實施任何信託安排前，持牌人應獲取獨立法律意見，以證明有關信託安排的有效性，並向金管局提交有關意見。如信託安排有任何重大變更，持牌人應向金管局提交更新的獨立法律意見。

　　2.5.3.由於儲備資產管理所產生的任何收益或損失均應歸屬持牌人（見第 2.6段），有關信託安排應包括定期將額外資產（即超過持牌人內部目標的資產）從儲備資產帳戶轉移到持牌人自身帳戶的安排。此安排應包含觸發機制，以及詳細的程序，以確保轉移僅涉及額外資產。此外，有關信託安排亦應涵蓋持牌人業務退出計劃可能被觸發的情況（見第 6.8.17段）。

　　2.5.4.《穩定幣條例》附表 2 第 5(8)條就儲備資產管理所涉及的第三方實體訂 定了最低準則。就此而言，持牌人應委託合資格的託管人保管儲備資產。託管人應為持牌銀行，或其他金管局認可安排下的資產託管人。若持牌  人就管理儲備資產而委託投資經理，則持牌人應確保該投資經理具有合適的資格。當持牌人按照第 6.6 段有關第三方風險管理的要求，對潛在的託管人及/或投資經理（如有）進行風險評估和盡職審查時，應考慮的因素包括但不限於其規模、能力、專業知識、過往記錄、信譽，以及在香港的業務存在。即使持牌人對託管人及/或投資經理進行了委託，持牌人仍應對儲備資產的妥善管理及保管負主要責任。

　　2.6.無利息

　　2.6.1.《穩定幣條例》附表 2 第 15 條規定，持牌人不得就其發行的指明穩定幣支付利息，或准許就該等指明穩定幣支付利息。持牌人不得以任何形式向指明穩定幣持有人支付利息或類似利息的激勵，但持牌人可提供不屬於支付利息的市場推廣激勵。就此而言，利息是指聲稱從或聲稱相當可能會從持有該指明穩定幣而產生的任何利潤、收益或其他回報，而該等利潤、收益或其他回報是基於以下一項或多於一項：（一）持有人持有指明穩定幣的期間的長短、（二）指明穩定幣的面值，或（三）指明穩定幣的市值。此外，持牌人應確保儲備資產管理產生的任何收益或損失

　　（包括但不限於利息或資本利得或損失）歸屬持牌人。

　　2.7.披露及匯報

　　2.7.1.《穩定幣條例》附表 2 第 5(7)條規定，持牌人須向公眾披露其儲備資產管理政策、儲備資產的組成及市值、儲備資產的定期獨立核證及審計的結果等資訊。《穩定幣條例》附表 2 第 5(6)(b)條亦指明了與獨立核證及審計相關的管控制度的最低準則。

　　2.7.2.就此而言，持牌人應每日準備有關指明穩定幣屬尚未贖回及仍流通者的  面值、儲備資產市值及組成的報表，而這些報表應在金管局要求時提交。除非獲金管局另行同意，持牌人應至少每周就上述資訊，向金管局匯報及在其網站上一個顯眼的位置進行披露。

　　2.7.3.持牌人應聘用一名合資格且獨立並被金管局認可的外部審計師，按金管局要求的頻率，就報告期末的最後一個營業日，以及報告期內至少一個隨機選擇的營業日，對以下項目定期進行核證：（一）其儲備資產的市值及組成、（二）指明穩定幣屬尚未贖回及仍流通者的面值、（三）儲備資產是否充足以全額支持指明穩定幣屬尚未贖回及仍流通者的面值。持牌人應在報告期末的最後一個營業日後一個月內，向金管局提交核證報告，並在其網站上一個顯眼的位置披露每份核證報告。

　　2.7.4.持牌人的年度財務審計應涵蓋其儲備資產（見第 8.2.5 段）。此外，持牌人應定期並至少每季一次檢討其儲備資產管理政策及程序。任何在有關檢討中發現的缺失均應被及時糾正，並在有關政策及程序中反映。有關政策及程序，以及任何重大修改，均應由董事局批核。持牌人亦應定期進行審計，以評估其儲備資產是否按照有關政策及程序，以及適用的監

　　管要求進行管理。持牌人應及時向金管局匯報審計結果，包括任何重大發現，並在金管局要求時及時提供審計報告及相關輔助文件。

　　2.7.5.如有任何違反與儲備資產管理相關的法定或監管要求、不遵守儲備資產管理政策的重大情況（包括因第三方安排引致的情況），及在任何對帳中識別到的未解決的歧異，持牌人應立即向金管局匯報。

　　3.發行、贖回及分銷

　　3.1.概覽

　　3.1.1.持牌人應就指明穩定幣的發行、贖回及分銷制定政策及程序。其中，政策及程序應列明（一）有清晰匯報制度及足夠職能分離的管治安排、

　　（二）用以滿足發行、贖回及分銷相關監管要求的詳細措施，及（三）執行操作的詳細程序以及嚴格的授權管控措施。

　　3.2.發行要求

　　3.2.1.《穩定幣條例》附表 2 第 11 條規定，在顧及持牌人發行指明穩定幣的目的、業務模式及運作安排下，該發行須是周全而穩妥的。因此，持牌人應為其發行的指明穩定幣建立及維持一個有效的發行機制。在執行上，持牌人應只向其客戶發行指明穩定幣（見第 3.5 段），而有關發行應在收到資金及有效發行要求後儘快進行。在發行過程中從客戶收取的資金應以持牌人發行的指明穩定幣的參照貨幣計價，或在有多種參照貨幣的情況下，以與該指明穩定幣參照比例相同的參照貨幣計價。在過程中，鑄造指明穩定幣時相關儲備資產池應相應增加。

　　3.3.贖回要求

　　3.3.1.《穩定幣條例》附表 2 第 6 條規定了指明穩定幣贖回的最低準則。持牌 人須向指明穩定幣持有人提供以面值贖回指明穩定幣的權利。持牌人亦  須就其發行的每類指明穩定幣，給予該類指明穩定幣的每名持有人（一）為按比例贖回該類指明穩定幣所有屬尚未贖回者，而對指明儲備資產組合的處置作出指示的權利，以及（二）在出現處置該指明儲備資產組合的收益不足以完全贖回該類指明穩定幣所有屬尚未贖回者的情況下，就不足之數向該持牌人提出申索的權利。在第（一）及（二）項提及的權利須在持牌人無力償債時可行使。

　　3.3.2.持牌人應獲取獨立法律意見，以證明其有向指明穩定幣持有人提供第

　　3.3.1 段所述的權利。持牌人應向金管局提交有關意見。如有關權利有任何重大變更，持牌人應向金管局提交更新的獨立法律意見。

　　3.3.3.持牌人應為其發行的指明穩定幣建立及維持一個有效的贖回機制。除非獲金融管理專員事先書面同意，指明穩定幣持有人作出的有效贖回要求

　　須儘快在沒有收取不合理費用或附加過分嚴苛的條件的情況下兌現。除非獲得批准，有效贖回要求應在收到有關要求後的一（1）個營業日內處理。

　　3.3.4.在衡量收費的合理性時，考慮因素包括但不限於收費與持牌人處理贖回要求的運營成本的比例，以及行業慣例。在評估某項條件是否過分嚴苛時，考慮因素包括但不限於滿足該條件是否合理可行、該條件是否因持牌人的某些法律或監管義務而施加，以及該條件是否會對指明穩定幣持有人造成不必要的困難。

　　3.3.5.在兌現有效贖回要求時，持牌人應將有關資金轉帳至指明穩定幣持有人，而該資金總額應等於從指明穩定幣持有人收取的指明穩定幣面值並扣除  第 3.3.3 段提及的費用。有關資金應以持牌人發行的指明穩定幣的參照貨幣計價，或在有多種參照貨幣的情況下，以與該指明穩定幣參照比例相同的參照貨幣計價。持牌人應確保在提取儲備資產以兌現贖回要求時，指明穩定幣屬尚未贖回及仍流通者的面值相應減少。

　　3.4.分銷要求

　　3.4.1.《穩定幣條例》附表 2 第 11 條規定，在顧及持牌人發行指明穩定幣的目的、業務模式及運作安排下，該發行須是周全而穩妥的。雖然業務模式及運作安排可能因持牌人而異，如果持牌人與第三方實體達成安排以分銷其發行的指明穩定幣，則應確保有關安排不會對有關發行的周全及穩健程度造成負面影響。

　　3.4.2.在執行上，持牌人應考慮有關司法管轄區的法律及法規，以及所涉及的  第三方實體的持牌狀態，以應對法律及合規風險。其中，如果第三方實體在香港要約提供指明穩定幣，持牌人應確保第三方實體是認許提供者。此外，在按照第 6.7 段就第三方風險管理所述要求進行風險評估及盡職審查時，持牌人應考慮包括但不限於第三方實體的規模、能力、專業知識、過往記錄、信譽，以及其管治、操守、風險管理以及內部管控措施是否足夠等因素。此外，持牌人亦應確保第三方安排符合有關司法管轄區的相關法律及法規。具體而言，該等安排不應涉及在禁止交易指明穩定幣的司法管轄區分銷持牌人發行的指明穩定幣。

　　3.4.3.持牌人應因應其業務模式及運作安排，考慮是否需要與第三方實體達成安排，以在二級市場為其發行的指明穩定幣提供流動性，以及如需要，有關安排的程度及範圍。持牌人應確保有關安排的目標是在二級市場上維持相對穩定價值，以及任何潛在及/或實際的利益衝突得到識別及妥善處理及緩減。

　　3.5.客戶開戶及管理

　　3.5.1.持牌人應建立充分及有效的客戶開戶政策及程序。除非完成相關的客戶盡職審查，否則不得向指明穩定幣持有人及/或潛在指明穩定幣持有人提供發行或贖回服務。詳情請參閱《打擊洗錢及恐怖分子資金籌集指引

　　（持牌穩定幣發行人適用）》。

　　3.5.2.在要約提供指明穩定幣時，持牌人應遵守有關司法管轄區的相關法律及  法規。持牌人應就此制定一套全面的政策及程序，包括但不限於：（一）確保不會在禁止交易指明穩定幣的司法管轄區發行或要約提供指明穩定幣（例如透過驗證身份證明文件、以互聯網規約地址或全球定位系統檢查地理位置、封鎖存取權限等方法）、（二）確保其業務操作及營銷活動符合各司法管轄區的適用法律及法規、（三）積極監察任何政策變更及更新，以調整其相關業務操作。

　　3.5.3.持牌人應實施管控措施，以緩減遙距客戶身份認證程序中，以及在日常營運期間發生位置掩飾（例如使用虛擬私人網絡）的風險。例如，持牌人可透過檢視網絡協議、檢查設備配置（例如時間戳、虛擬私人網絡配置檔的存在）以及/或將互聯網規約地址與商用虛擬私人網絡服務供應商的伺服器地址進行比對，來偵測虛擬私人網絡的使用情況。

　　3.6.披露及匯報

　　3.6.1.如《穩定幣條例草案》附表 2 第 6(5)條所述，持牌人應向公眾披露贖回機制及程序、贖回權利、時間範圍，以及相關條件及費用（如有）。這些資訊應在白皮書及指明穩定幣持有人的條款及細則中清晰列明（見第

　　8.2.3 段）。為免引起疑問，條款及細則應適用於所有指明穩定幣持有人

　　（不論其是否為持牌人的客戶）。此外，條款及細則應亦應涵蓋（一）在異常情況（例如硬分叉）下的發行及贖回安排，及（二）在顧及底層分布式分類帳的運作下，指明穩定幣的轉移機制（例如當指明穩定幣持有人執行轉移時，指明穩定幣被視為已轉移的時點）。條款及細則應在持牌人網站上一個可訪問的位置發布。

　　3.6.2.持牌人應定期並至少每年一次檢討其發行、贖回及分銷政策及程序。任何在有關檢討中發現的缺失均應被及時糾正，並在有關政策及程序中反映。有關政策及程序，以及任何重大修改，均應由董事局批核。持牌人應定期進行審計，以評估其業務操作是否符合有關政策及程序，以及適

　　用的監管要求。持牌人應及時向金管局匯報審計結果，包括任何重大發現，並在金管局要求時及時提供審計報告及相關輔助文件。

　　3.6.3.如有任何違反與發行、贖回及分銷相關的法定或監管要求，及不遵守發行、贖回及分銷政策及程序的重大情況（包括因第三方安排引致的情況），持牌人應立即向金管局匯報。

　　4.業務活動

　　4.1.業務活動限制

　　4.1.1.《穩定幣條例》附表 2 第 12 條規定了業務活動的最低準則。持牌人在進 行任何除持牌穩定幣活動以外的業務活動（其他業務活動）前，須先取  得金融管理專員的同意。持牌人應為這些其他業務活動建立清晰的管治安排，進行風險評估以識別所有相關風險，以及實施管控措施以妥善管理及緩減已識別的風險。持牌人應證明，及實施足夠及適當的管控制度，以確保其他業務活動不對其持牌穩定幣活動構成顯著的風險，及該業務活動所引致的潛在或實際利益衝突被妥善管理及緩減。持牌人亦須確保向其持牌穩定幣活動投入專用及足夠的資源。

　　4.1.2.持牌人應評估其他業務活動是否構成其他受監管活動，以及是否能夠履行所有適用的監管制度的要求。

　　4.1.3.第 4.1.1 及 4.1.2 段的要求不適用於作為認可機構的持牌人。作為認可機

　　構的持牌人應遵守《銀行業條例》（第 155 章）及相關指引的要求。

　　4.2.發行多於一種指明穩定幣

　　4.2.1.《穩定幣條例》附表 2 第 11 條規定，在顧及持牌人發行指明穩定幣的目的、業務模式及運作安排下，該發行須是周全而穩妥的。就此而言，持牌人可發行多於一種指明穩定幣，但應在發行額外的指明穩定幣前（例如參照其他貨幣的指明穩定幣），與金管局進行商討。

　　4.2.2.欲發行額外一種指明穩定幣的持牌人，應向金管局證明其有足夠能力及資源以管理所有指明穩定幣的發行，以及發行額外的指明穩定幣不會對其現有的發行活動產生不利影響。

　　4.3.發行的目的及穩健程度

　　4.3.1.《穩定幣條例》附表 2 第 11 條規定，在顧及持牌人發行指明穩定幣的目的、業務模式及運作安排下，該發行須是周全而穩妥的。就此而言，持牌人應：

　　（一）採取一個與確保其發行的指明穩定幣穩健程度及可靠性的原則相匹配的策略；

　　（二） 制定實際、具體、可行，以及有合理前景為其發行的指明穩定幣創造足夠需求的商業計劃，以確保其持牌穩定幣業務的可持續性；

　　（三） 以審慎的方式經營持牌穩定幣業務，例如維護其信譽及與信譽良好的夥伴合作，以確保不會對指明穩定幣持有人及/或香港的貨幣及金融穩定造成負面影響；

　　（四）遵守相關司法管轄區的法定及監管要求；及

　　（五） 具有足夠的能力及資源以執行其商業計劃，並能應對內部和外部衝擊以及意外事件。

　　4.3.2.當考慮持牌人是否以審慎及穩健的方式經營持牌穩定幣業務時，應將包括但不限於以下因素納入考量：

　　（一）持牌人的業務模式和運作安排的性質、複雜程度及規模；

　　（二）對持牌人所提供或將提供的金融功能的持續性所帶來的風險；

　　（三） 有關功能及活動持續運作受干擾時，對香港貨幣及金融穩定可能產生的影響；及

　　（四）持牌人實施的緩減措施。

　　5.財政資源

　　5.1.最低已繳股本

　　5.1.1.《穩定幣條例》附表 2 第 4 條就持牌人的財政資源訂定了最低準則。持牌人應證明其有足夠的財政資源維持持牌穩定幣活動及履行其義務，以及確保在退出業務時有序撤出市場（無論是自願退出或是由於其牌照被撤銷） 。持牌人須在任何時候確保其維持的已繳股本不少於港幣 25,000,000（或以可自由兌換成為港元的另一貨幣計值的相等款額），或款額相等且經金融管理專員批准的其他財政資源。《穩定幣條例》第 17條指明，金融管理專員可以對牌照附加金融管理專員認為適當的任何條件，包括但不限於就持牌人維持額外的財政資源施加規定，例如要求已繳股本的水平須較就該持牌人而適用的最低準則中列出的水平為高。

　　5.1.2.持牌人用作滿足財政資源要求的財政資源應只用於其業務活動，而不應用於與其相關公司或有關各方（包括股東、董事及高級管理層）的任何交易。

　　5.1.3.第 5.1.1 及 5.1.2 段的要求不適用於作為認可機構的持牌人。作為認可機

　　構的持牌人應遵守《銀行業條例》（第 155 章）及相關指引的要求。

　　5.2.流動資產

　　5.2.1.《穩定幣條例》附表 2 第 4 條規定，持牌人須有足夠財政資源及流動資 產，以履行其將或可能到期的義務。就此而言，持牌人應維持足夠且由  股權資金支持的流動淨資產（即非來自貸款、擔保或性質類似的借貸），以履行其義務。在考慮流動淨資產是否足夠時，包括但不限於過往及預期的營運開支等因素應被納入考量。為確保符合此要求，持牌人應確保有穩定且持續的財務資源來源。

　　5.2.2.第 5.2.1 段中的要求不適用於作為認可機構的持牌人。作為認可機構的持

　　牌人應遵守《銀行業條例》（第 155 章）及相關指引的要求。

　　6.風險管理

　　6.1.概覽

　　6.1.1.《穩定幣條例》附表 2 第 9 條規定，持牌人須設有及實施健全及適當的風險管理政策及程序，以管理進行該持牌人的持牌穩定幣活動所產生的風險，而該等政策及程序，須與該等活動的規模和複雜程度相匹配。

　　6.2.風險管治

　　6.2.1.風險管治指一套正式的安排，使持牌人的董事局及高級管理層能夠制定穩健的業務策略、明確表達風險取向及風險限額，並監察遵守情況，以及識別、計量、管理及管控風險。

　　6.2.2.為確保有效的風險管理，持牌人應建立風險管治安排，清楚界定董事局、專責委員會（如有）、高級管理層及持牌人各職能的責任。

　　6.2.3.在執行上，持牌人應建立三道各自獨立的防線。

　　（一） 第一道防線由業務部門構成，這些部門應持續妥善地進行風險識別、評估、管理及匯報。

　　（二） 第二道防線由獨立的風險管理及合規職能構成。風險管理職能負責整體風險的識別、評估、監察、匯報、管控及緩減，而合規職能則負責管理合規風險（見第 7.1.6 段）。

　　（三）第三道防線應由獨立的內部審計職能構成（見第 7.1.7 段）。

　　6.2.4.持牌人應確保其風險管理、合規及內部審計職能（統稱為內部管控職能）擁有足夠的權力及資源以履行職務，具備清晰界定的職責及問責安排， 並設有向高級管理層（就風險管理及合規職能而言）或董事局 / 董事局委員會（就內部審計職能而言）直接匯報的架構。另外，風險管理職能應可直接接觸董事局，而合規職能則應有權按需要向董事局直接匯報事項。內部管控職能應獨立於前線業務部門，並可為執行職務不受限制地取覽所需資訊。

　　6.3.風險管理架構及內部管控制度

　　6.3.1.持牌人應具備有效的風險管理架構，並建立清晰訂明及記錄的政策及程序，以識別、評估、監察、匯報、管控或緩減風險。持牌人的政策及程序應考慮持牌人的所有活動，涵蓋所有主要風險，包括但不限於信用、流動性及市場風險（見第 6.4 段）、科技風險（見第 6.5 段）、業務操作

　　風險（見第 6.6 段）、信譽風險（見第 6.7 段），以及洗錢及恐怖分子資金籌集風險（見《打擊洗錢及恐怖分子資金籌集指引（持牌穩定幣發行人適用）》）。

　　6.3.2.風險識別及評估方面，持牌人應持續地識別並評估其業務所涉及的所有重大風險承擔。在風險識別過程中，持牌人應考慮外部及內部因素，例如行業及市場趨勢、持牌人計劃服務的特定領域，以及其自身的業務模式及業務操作。

　　6.3.3.風險監察及匯報方面，持牌人應實施措施，對其風險狀況及重大風險承  擔進行持續監察。這些措施應包括對持牌人風險承擔進行定量及定性評估，以及能夠提早警示風險真正發生的適當指標。持牌人應向高級管理層及董事局提供及時的風險匯報，匯報內容應包括全面、準確、可執行且易於明白的資訊。風險監察的結果，以及其他相關材料，如風險管理職能或內部審計職能 / 外部審計師對風險管理架構的評估、監管機構的報告，以及外部審計師發出的管理層建議書等，亦應包含在匯報內容中。

　　6.3.4.風險管控及緩減方面，持牌人應建立有效的內部管控制度，以促進業務操作效率，提供可靠的財務及管理資訊，保障重要數據的可用性、完整性及保密性，偵測及預防不正常情況、欺詐及錯誤，確保有效的風險管理制度，並確保遵守相關法定條文、監管要求及內部政策。內部管控制度應涵蓋所有重大風險，並包括適當的風險管控及緩減政策及程序、驗證內部管控遵守情況的流程，以及不遵守內部管控的後果。

　　6.3.5.持牌人應定期並至少每年一次檢討其風險管理架構及內部管控制度。任何在有關檢討中發現的缺失均應被及時糾正，並在有關架構和政策及程序中反映。有關架構、政策及主要程序，以及任何重大修改，均應由董事局批核。持牌人亦應定期進行審計，以評估（一）其業務操作是否符合其風險管理架構及內部管控制度和適用監管要求，以及（二）風險管理架構及內部管控制度是否足以應對持牌人面對的主要風險。持牌人應及時向金管局匯報審計結果，包括任何重大發現，並在金管局要求時及時提供審計報告及相關輔助文件。

　　6.4.信用、流動性及市場風險管理

　　6.4.1.《穩定幣條例》附表 2 第 5(6)(a)條規定，持牌人須設有並實施健全及適 當的風險管理政策及程序，以管理其儲備資產，確保該等資產獲妥善管理，致使能夠在沒有不當延遲的情況下，兌現有效贖回要求。就此而言，持牌人的風險管理架構應涵蓋信用、流動性及市場風險。持牌人應確保其發行的指明穩定幣在任何時間，不論在正常或受壓情況下，均受儲備資產的全額支持，以使持牌人能夠在沒有不當延遲的情況下兌現有效的贖回要求。

　　6.4.2.信用風險管理方面，持牌人應實施措施，以管理對其儲備資產管理相關  對手方的信用風險承擔。因應每個對手方的信用可靠性，持牌人應設定及執行相稱的信用風險承擔內部限額，該等限額應涵蓋對手方相連實體。在執行上，持牌人應制定及維持一套處理超出內部限額的應對程序，包括在長時間（例如超過一（1）個營業日）超出內部限額時通知金管局。持牌人亦應設定內部目標，以助將其信用風險承擔維持在內部限額範圍內。

　　6.4.3.流動性風險管理方面，持牌人應制定有效的架構，以預測及監察在正常及受壓情況下因有效贖回要求產生的流動性需求。持牌人應實施措施，以管理其儲備資產的流動性狀況（包括即日流動性管理），例如就不同工具類型、到期日及對手方進行配置，以確保其儲備資產的流動性狀況能夠使持牌人在沒有不當延遲的情況下，兌現所有有效贖回要求。在制定政策及程序時，應考慮的因素包括但不限於工具的流動性、交易時段和結算時限、存款的期限及提前提款選項，以及集中風險。

　　6.4.4.持牌人應制定流動性風險指標，例如現金比例及儲備資產中可於特定時  間範圍內轉換為現金以滿足贖回要求的資產比例，以監察儲備資產的流動性狀況。在執行上，持牌人應為流動性風險指標設定及執行內部限額，並制定及維持一套處理超出內部限額的應對程序，包括在長時間（例如超過一（1）個營業日）超出內部限額時通知金管局。持牌人亦應設定內部目標，以助將其流動性風險指標維持在內部限額範圍內。

　　6.4.5.市場風險管理方面，持牌人應制定市場風險指標，以監察儲備資產的市  場風險狀況。在執行上，持牌人應為市場風險指標設定及執行內部限額，並制定及維持一套處理超出內部限額的應對程序，包括在長時間（例如超過一（1）個營業日）超出內部限額時通知金管局。持牌人亦應設定內部目標，以助將其市場風險指標維持在內部限額範圍內。此外，持牌人應因應其儲備資產的市場風險狀況，對儲備資產採取適當的超額抵押作為風險緩減措施，以對市場價格的潛在變化提供足夠的緩衝。

　　壓力測試

　　6.4.6.持牌人應基於嚴峻但可能發生的情景定期進行壓力測試，以評估其儲備資產組合在面對信用、流動性及市場壓力時的穩健程度以及風險管理措施的健全性。持牌人應定期檢討壓力測試情景及有關假設。有關測試情景及假設的任何重大變更，均應由董事局批核。

　　6.4.7.持牌人應至少每季進行一次壓力測試，並應向董事局及金管局提交每次壓力測試的方法、數據來源及結果。

　　6.5.科技風險管理

　　6.5.1.持牌人應建立科技風險管理架構，以確保（一）資訊科技管控措施周全、

　　（二）其科技的質素及安全，包括可靠性、穩健性、穩定性及可用性，以及（三）其業務操作的安全及效率。該架構應涵蓋，包括但不限於，以下領域。

　　代幣管理

　　6.5.2.就其發行的每種指明穩定幣，持牌人應清楚列明（一）所使用的代幣標準、（二）發行該指明穩定幣的分布式分類帳，及（三）有關該指明穩定幣的所有智能合約的架構（包括代幣合約、代理合約、多重簽名合約等），包括合約升級能力（如有）、狀態變量、函式、函式修飾器、函式庫、合約接口等詳細資料。

　　6.5.3.持牌人應識別其發行的每種指明穩定幣整個代幣周期相關的所有操作，其中應涵蓋部署、配置、鑄造、銷毀、升級、暫停、恢復、黑名單、撤銷黑名單、凍結、撤銷凍結、白名單，以及任何運作錢包的使用等。就每項操作，持牌人應制定與該操作的風險水平相稱的授權等級，以及執行所需的觸發和條件。此外，持牌人應確保高風險操作按照任何人無法單方面執行的原則設計（如通過多重簽名協議）。持牌人亦應制定詳細的操作程序以及所需的管控措施（包括異常處理），以確保有關操作能安全地執行。在適用的情況下，持牌人亦應採取額外的保安措施，例如設置交易速度限額、僅允許鑄造到白名單錢包地址、對特定操作設置時間鎖定、對特定操作進行預簽名交易、在上鏈前進行鏈下交易模擬及檢查已簽名交易等，以減低被入侵或攻擊的風險。

　　6.5.4.持牌人應授權合適員工執行代幣操作，而相關授權員工應經過適當的審  查及培訓。不同操作的執行亦應有充分分隔，並分配給不同的授權員工，以確保有充足制衡機制，儘量減少單點失誤或串通操縱的風險。為確保代幣操作能及時進行，持牌人應制定人員配置計劃，確保相關人員在必

　　要時可執行操作。此外，持牌人應就代幣操作角色及責任轉移、授權員  工的變更，以及撤銷授權員工權力制定程序。持牌人亦應確保有足夠的制衡機制，以使沒有授權員工能對角色管理（例如授權人員角色的分配、更改交易批准流程、更改特定授權所需的授權員工人數等）擁有完全控制。

　　6.5.5.就其發行的每種指明穩定幣，持牌人應識別會影響指明穩定幣發行、贖  回及使用的科技元素。其中，就有關指明穩定幣運行的分布式分類帳，持牌人應評估有關技術的穩健性，包括但不限於安全基礎設施，如採用的加密算法；共識機制，涵蓋去中心化程度、容錯度及激勵機制等因素；容量及可擴展性；是否有第三方審計或評估以及其結果；對抗常見攻擊

　　（包括 51%攻擊或其他可能影響交易終局性的攻擊）的能力；過往安全記錄；以及與代碼缺陷、入侵、漏洞及其他威脅相關的風險。持牌人亦應聘用合資格的第三方實體，至少每年一次，及在智能合約部署、重新部署或升級時，進行智能合約審計（例如正式驗證、安全評估），以確保智能合約（一）正確執行、（二）與預期功能相符，以及（三）高度確信不存在任何漏洞或保安缺陷。在評估第三方實體是否合資格時，應考慮的因素包括但不限於其規模、能力、專業知識、過往記錄、信譽以及其在香港的業務存在。

　　6.5.6.持牌人應實施措施，以持續監察底層技術的可用性、容量、性能，以及預期的更新或變更，並匯報任何異常情況（例如故障及不可用）。持牌人亦應就重大變更或事件制定應對政策及程序（見 6.8 段）。

　　錢包及私人密鑰管理

　　6.5.7.持牌人應制定有效的管控措施及程序，涵蓋整個私人密鑰周期，包括但  不限於密鑰的產生、分派、儲存、使用、備份、恢復及銷毀等。持牌人應識別所有與其發行的指明穩定幣管理相關的種子及/或私人密鑰，並因應不同種子及/或私人密鑰對持牌人業務操作的重要性，採取相稱的私人密鑰管理措施（包括但不限於以下列出的措施）。一般而言，涉及（一）與指明穩定幣有關的智能合約部署或升級、（二）角色管理（如設置及撤銷鑄造者及其他涉及指明穩定幣管理的角色），以及（三）對指明穩定幣供應產生重大影響（如大規模鑄造及銷毀）的操作的種子及/或私人密鑰（重要種子及/或私人密鑰），應採用更高等級的保安標準。

　　（一） 硬件及軟件管理：持牌人應識別所有用於錢包及私人密鑰管理的硬件及軟件，包括但不限於用於種子及/或私人密鑰的儲存媒體、用於與種子及/或私人密鑰存儲媒體進行交互的設備、管理種子及/或私人密鑰的存取或使用授權的政策引擎、個人保安設備、傳輸設備、智能卡、簽名應用程式及密鑰管理系統。持牌

　　人應確保其採用的硬件及軟件屬安全、可靠及有效，並採取有效措施確保採購渠道安全，以減低供應鏈攻擊的風險。此外，持牌人應確保具有有效的硬件及軟件初始化、使用、管理、維護、銷毀 / 停用措施，並清楚訂明責任分工。負責人員亦應接受適當的審查及培訓。

　　（二） 密鑰產生：持牌人應確保種子（在適用的情況下）是使用有力及獲廣泛認可的加密算法，以可保證隨機性的非決定性方式產生，及因此無法複製。私人密鑰亦應按照上述要求產生或衍生自種子。密鑰儀式應由持牌人進行，且只能由少數授權員工在嚴格的管控下執行，以防止泄露，並設有充足的制衡機制。種子及/或私人密鑰應在安全環境中產生，例如具有適當認證的硬件安全模組。對於重要種子及/或私人密鑰，其產生過程應離線進行，並採取強化保安措施。在執行上，此類種子及/或私人密鑰的產生應在隔離環境中進行，並實施有效的物理保安管控措施。

　　（三） 密鑰分派：持牌人應採取安全的方法分派種子及/或私人密鑰，以確保種子及/或私人密鑰的完整性及保密性得到保護，例如透過完整性機制、物理保安措施（針對手動分派）以及使用有力及獲廣泛認可的加密算法進行加密。持牌人亦應制定機制以確保種子及/或私人密鑰在分派後的完整性及保密性得到保障，及偵測任何完整性缺失或保密性泄露。

　　（四） 密鑰儲存：種子及/或私人密鑰應儲存在安全的儲存媒體中，例如具有適當認證的硬件安全模組，並設於具有嚴格的存取管控及監察系統的安全設施中，而該位置應位於香港或其他金管局認可的地方。其他用於管理種子及/或私人密鑰的硬件及軟件，亦應在安全環境中受到妥善保護。若採用涉及多個種子及/或私人密鑰的多重簽名機制，有關種子及/或私人密鑰則應分別儲存於安全環境中，彼此相互隔離。持牌人應確保私人密鑰不以完整的字母數字形式顯示。對於重要種子及/或私人密鑰，持牌人應確保其儲存媒體，以及其他用於管理有關種子及/或私人密鑰使用的硬件及軟件，在隔離環境中受到保護，並且不儲存在任何與互聯網連接的計算環境或系統記憶空間中。

　　（五）密鑰的物理保安：持牌人應確保儲存密鑰的物理環境及儲存媒 體受到保護，防止遭受物理損壞或未經授權的存取，並實施監察措施，以偵測懷疑的未經授權存取並作出應對。例如：（一）將儲存媒體存放於設有防尾隨機制及多層多重因素認證等進入管控措施的安全環境中的保險櫃內；（二）建立進入警示及記

　　錄系統；（三）實施環境管控和監察措施（例如針對火警、溫度、電磁場）；（四）使用閉路電視進行監察等。除種子及/或私人密鑰的儲存媒體外，其他涉及私人密鑰管理的硬件亦應被存放於具備所需進入管控措施的安全環境中。

　　（六） 密鑰清單：持牌人應備存並及時更新密鑰清單，該清單應包含每個私人密鑰的相關資訊（例如獲授權存取私人密鑰的人員、私人密鑰的功能、私人密鑰的狀態等），以便進行密鑰管理。

　　（七） 密鑰使用：持牌人應制定有效的政策及程序，以管理種子及/或私人密鑰的使用。持牌人應明確訂明並嚴格執行其允許的密鑰使用操作及條件。對種子及/或私人密鑰的存取應嚴格限制在被持牌人授權並經過適當審查及訓練的員工，以及應基於最小權限原則授予存取權限（即存取權限應受到最大程度的限制）。密鑰使用亦應受多重因素認證保護，並應在可信環境中使用私人密鑰。此外，持牌人應制定措施以確保（一）負責密鑰使用的員工能夠理解待批准交易的語義內容，以及（二）待批准交易與員工所見的語義內容一致。持牌人亦應實施充分的保安措施，以減低授權員工遭受威脅的風險（例如綁架及勒索）。對於重要種子及/或私人密鑰，其使用及授權管理應由相關人員親身在存放種子及/或私人密鑰的儲存媒體的隔離環境中進行。任何在隔離環境與其他環境之間的交易資訊傳輸應受保護以防止篡改。

　　（八） 密鑰輪換及銷毀：持牌人應識別因經常使用而有較高泄露風險的種子及/或私人密鑰，並考慮實施定期密鑰輪換，以減低種子及/或私人密鑰泄露的風險。持牌人亦應實施措施以在適用的情況下進行種子及/或私人密鑰銷毀，確保包括備份在內的所有種子及/或私人密鑰及其副本均被銷毀。在銷毀種子及/或私人密鑰前，持牌人亦應進行全面的影響分析及驗證。

　　（九）密鑰泄露：持牌人應實施措施以監察種子及/或私人密鑰的使用

　　（例如檢查互聯網規約地址、行為監察、密鑰活動警示、設備 審查、鏈上監察、存取管控監察等）。持牌人亦應實施措施，以迅速應對種子及/或私人密鑰實際或懷疑被泄露的情況。一旦發現被泄露的情況，持牌人應立即通知指定人員啟動事件應對，並撤銷（或銷毀）被泄露的種子及/或私人密鑰。進行撤銷後，應使用安全方法進行新密鑰的產生及部署，以持續確保代幣操作的安全。持牌人亦應實施事件調查措施，並對故意或過失造成的處理不當行為採取紀律處分。

　　（十）密鑰備份：制定事件管理架構及持續業務運作計劃（見 6.8  段）時，持牌人應識別適當的種子及/或私人密鑰備份範圍。持牌人 應在香港（或金管局認可的地方）的多個安全地點備份有關種 子及/或私人密鑰，而備份材料的地點及性質應對第三方保密。持牌人亦應確保種子及/或私人密鑰不能僅以儲存在同一地點的備份進行恢復。此外，產生及分派備份的保安標準應至少與最初產生及分派種子及/或私人密鑰的保安標準相同。持牌人應使用穩健的儲存媒體保護備份，並採取措施防止未經授權存取，以及採取篡改印記功能。重新產生任何種子及/或私人密鑰時，有關操作應至少達到與正常業務操作中密鑰使用相同的保安水平（例如重新產生密鑰需要與密鑰使用相同的人數授權，並確保有充分的職能分離）。

　　（十一） 密鑰恢復：持牌人應就及時進行種子及/或私人密鑰恢復制定有效的程序。持牌人應明確訂明及執行恢復程序的觸發條件、所需授權、密鑰恢復程序及核實重新產生的密鑰安全性的方法。密鑰恢復的授權管控措施，應至少與原來種子及/或私人密鑰的使用管控措施具有相同的穩健程度。持牌人應就恢復程序定期進行測試及演習，以確保其操作順暢及評估其有效性。持牌人應制定程序，在觸發密鑰恢復程序時通知金管局，並在觸發該程序後，進行檢討以識別潛在問題及改善措施。

　　（十二） 記錄：持牌人應備存種子及/或私人密鑰整個周期的記錄，涵蓋密鑰產生、分派、儲存、使用、備份、恢復、撤銷及銷毀，以及任何存取記錄（包括成功及失敗的嘗試）。這可能包括不同類型的記錄（例如閉路電視錄像、進入記錄、鏈上交易記錄、內部系統記錄等）。其中，種子及/或私人密鑰的存取記錄應確保每個操作能追溯至相關員工。持牌人應明確指明負責維護記錄的員工及清楚界定有關責任，並實施措施以確保足夠長的保留期，及確保記錄不受惡意編輯。持牌人亦應定期檢查有關記錄以確保所有種子及/或私人密鑰的存取均符合所授權的範圍。

　　帳戶管理

　　6.5.8.在客戶開戶過程中，持牌人應採用有效的認證方法，以驗明及核實潛在客戶的身份，而有關認證方法應考慮到客戶的性質（包括自然人及非自然人）。持牌人亦應建立至少一個與客戶持續通訊的安全渠道。持牌人應知會客戶有關通訊渠道，並提醒客戶任何透過其他方式聲稱由持牌人發出或代表持牌人發出的訊息都不可靠。

　　6.5.9.在履行客戶就持牌人發行的指明穩定幣的發行或贖回要求時，持牌人應 僅將資金轉帳到客戶預先登記的銀行帳戶（或在使用銀行以外的資金渠道時，轉帳到其他預先登記的帳戶），並僅接受來自該等帳戶的資金轉帳。持牌人亦應僅將指明穩定幣轉移到客戶預先登記的錢包地址 / 帳戶，並僅接受來自該等錢包地址 / 帳戶轉移的指明穩定幣。持牌人應實施有效的措施，以確保只有客戶名下的銀行帳戶（或在使用銀行以外的資金渠道時，客戶名下其他類型的帳戶），以及屬於客戶 / 客戶名下的錢包地址 / 帳戶才能向持牌人預先登記。

　　6.5.10.持牌人應在客戶進行帳戶操作時（如登入帳戶、提出指明穩定幣發行或贖回要求、更改個人資料、預先登記銀行帳戶或錢包地址），認證客戶的身份。持牌人應根據有關操作的風險水平，考慮實施有效的雙重因素認證機制，其中至少使用三種認證因素中的兩種（即（一）客戶已知的資訊；（二）客戶擁有的事物；以及（三）客戶本身的特徵）進行身份認證。若在身份認證過程中需要傳送資訊（例如一次性密碼），持牌人應確保資訊通過安全通道以安全方式傳送。若設備綁定或註冊是其中一種身份認證方法，持牌人應實施足夠措施（例如限制綁定或註冊的設備數量）以減低被入侵或攻擊的風險。當一次性密碼被用作身份認證因素時，持牌人應實施有效的管理及保安措施（例如實施穩健的密鑰管理手法，以保護用於生成一次性密碼的密鑰）。除雙重因素認證外，持牌人應通過安全的通訊渠道及時向客戶發送通知。持牌人應實施其他措施，包括但不限於密碼強度要求（例如長度、複雜性及歷史紀錄）、更改密碼提示、登入或身份認證嘗試次數限制、超時管控、身份認證時限以及一次性密碼的有效時間（如被採用），以加強帳戶安全。

　　6.5.11.持牌人應實施措施，確保所有與客戶帳戶有關的交易都被記錄，以提供  清楚的審計記錄。持牌人應採用安全的機制詳細記錄交易數據，如交易識別碼、時間戳及參數設置的修改，並對授權人員實施嚴格的存取管控。持牌人亦應向客戶提供查看其過往交易記錄的途徑。

　　6.5.12.持牌人亦應建立有效的監察機制，以防止、偵測及阻止未經授權的客戶帳戶存取及與客戶帳戶有關的欺詐交易。可疑或高風險的交易應通過特定的審查及評估程序。持牌人亦應實施措施，包括但不限於允許客戶設置不同類型的交易限額，以減低欺詐交易的風險。此外，持牌人應制定程序，以監察及管理與欺詐電郵、網站、應用程式等有關的風險。持牌人亦應為客戶提供適用的保安措施提示。

　　6.5.13.若持牌人為客戶提供以程式存取其帳戶的途徑（例如通過應用程式介面），則應為有關通道實施足夠的保安措施，措施應涵蓋身份認證、完整性、保密性及授權。持牌人亦應向客戶提供相關的詳細文件。

　　保安管理

　　6.5.14.持牌人應實施足夠的措施，以確保其資訊科技資產具備高度安全性，有關措施應涵蓋：

　　（一）系統保安：持牌人應制定及維持管控程序和基本保安要求，以 保護其資訊科技資產。持牌人亦應有程序確保充分及準確地維護所有資訊科技資產配置及設置。持牌人應定期進行內部檢討，以確保保安設置符合基本保安要求，並進行漏洞評估，以偵測保安漏洞。

　　（二） 認證及存取管控：持牌人應通過穩健的身份認證機制及明確的存取管控規則，限制對資訊科技資產的存取，並訂明允許用戶與應用程式功能、系統資源及數據的互動。用戶應使用獨有的用戶身分鑑別碼（例如用戶識別碼）及安全的身份認證方法

　　（例如密碼），以確保操作的可追蹤性。持牌人亦應實施嚴格的密碼政策，以確保不會使用過於簡單的密碼，並要求定期更改密碼，而針對高風險操作，則應使用多雙重因素身份認證。持牌人應審慎處理特權及緊急存取的管理，包括實施嚴格的授權機制、正式的批准流程、持續的活動監察、安全的儲存和及時修改用戶存取憑證。持牌人亦應定期再核證用戶存取權限及輪換用戶存取憑證。持牌人應建立保安管理職能及制定程序，以管理資訊科技資產的存取權限。另外，持牌人應在保安管理職能中實施適當的職能分離或實施其他輔助管控措施（例如同業評審），以減少保安管理職能進行未經授權活動的風險。

　　（三）  保安監察：持牌人應實施充分及有效的措施，並以所需工具

　　（例如入侵防禦系統、入侵偵測系統、端點偵測及應對技術、安全性資訊及事件管理方案）配合，以進行持續的保安監察，包括保留系統記錄、監察關鍵配置及安全設置以識別未經授權變更、阻截資訊科技資產的異常情況、對關鍵資訊科技資產的保安記錄及事件進行即時分析、處理懷疑及已確認的入侵情況或網絡安全事件等。持牌人亦應實施措施，以確保在偵測到懷疑的入侵情況時相關人員會得到通知。

　　（四） 修補程式管理：持牌人應實施修補程式管理流程，涵蓋保安修補程式的識別、分類、優先次序及安裝。為確保及時對其資訊科技資產部署保安修補程式，有關流程應包括對重要程度及對系統的影響進行評估。

　　（五） 實體及人員保安：持牌人應實施充分的實體保安措施，以保護其資訊科技資產。關鍵的資訊處理設施應設於安全區域，例如設有足夠進入保安措施的數據中心及網絡設備室。這些區域應只限授權人員進入，進入權限亦應定期檢視及更新。如果第三方人員（例如服務提供商）需要進入這些區域，應先得到批准且他們的活動應受到監察。持牌人亦應實施環境管控措施，以監察和緩減與環境風險、停電及供電干擾相關的風險。持牌人應就這些安全區域定期進行風險評估，以識別保安威脅和操作上的弱點，並評估保障措施的充分性。對於敏感的科技相關崗位，應進行適當的背景調查及審查。

　　（六）端點保安及終端用戶電腦應用：持牌人應實施充分措施，以限 制終端設備上（包括持牌人提供的設備和任何其他可以存取持 牌人電腦資源的設備）的未經授權活動。持牌人亦應實施管控措施以偵測及預防對終端設備的攻擊（例如電腦病毒及其他惡意軟件）。如果可以使用流動設備存取持牌人的電腦資源，則持牌人應制定管控措施（例如使用流動設備存取持牌人電腦資源的批准流程、認證管控措施、數據加密），以管理在無保護環境中工作的風險。如果持牌人採用終端用戶電腦應用，則應實施充分措施以應對相關風險，有關措施應涵蓋數據保安、文件記錄、數據 / 檔案儲存及備份、系統恢復、審計責任及培訓。持牌人亦應備存終端用戶開發軟件的清單。

　　資訊管理

　　6.5.15.持牌人應制定資訊管理政策及程序，有關程序應包括以下方面：

　　（一） 資訊擁有權及分類：持牌人應制定程序，以指定資訊擁有人及將資料按敏感程度分為不同類別，並實施相應的保障措施，包括確保僅授權人員可以存取資訊的存取及認證管控。

　　（二） 資訊儲存及傳送保安：持牌人應確保敏感資訊以有力及獲廣泛認可的加密技術予以加密，並儲存於安全的環境内，以防範盜竊及未經授權的存取或修訂。向持牌人系統傳送及/或由持牌人系統傳送的敏感資訊亦應以有力及獲廣泛認可的加密技術予以端對端加密。

　　（三） 資訊保留及處置：持牌人應確保在其業務營運時，是根據需要收集及備存資訊，以及對資訊的存取是僅限於必要知情人員。另外，持牌人應根據法律、監管及業務要求，實施資訊保留及

　　處置政策，限制資訊存量及保留時間。持牌人亦應有程序安全地刪除不再需要的資訊。

　　資訊科技服務及操作

　　6.5.16.持牌人應制定適當的政策及程序，以確保有效地提供資訊科技服務及操作，有關程序應包括以下方面：

　　（一） 資訊科技操作管理及支援：持牌人應建立資訊科技職能以提供日常科技服務及為業務部門提供支援。資訊科技職能的管理層應與業務部門制定內部服務水平協議，以指明系統可供使用情況、性能要求、增長容量，以及提供支援的水平。資訊科技職能應制定政策及程序，以管理議定提供的科技支援及服務。持牌人亦應明文記錄詳細操作說明（例如電腦操作員工作、工作編排及執行），以及數據和軟件的現場與非現場的備份程序

　　（例如備份頻密程度、範圍、保留期及恢復測試的頻密程度）。

　　（二）事件及問題管理：作為其事件管理架構（見第 6.8 段）的一部 分，持牌人應建立資訊科技事件管理架構以處理資訊科技事件，而解決的時限應與事件的嚴重程度相符。持牌人亦應制定資訊科技問題管理流程，以及時識別所有資訊科技問題，並予以分 類、定出優先次序及加以解決。資訊科技問題管理流程應清楚訂明與問題管理流程相關的人員的角色及責任，並定期就過去的事件進行趨勢分析，以助識別及防範類似問題。

　　（三）性能監察及容量規劃：持牌人應制定流程，以確保持續監察其 資訊科技資產的可用性、容量及性能，並及時地匯報異常情況。持牌人亦應因應所計劃的商業活動實施合適的容量規劃。除作 業環境外，容量規劃應延伸至備用系統及設施。

　　（四） 資訊科技設施及設備維護：為確保資訊科技資產及其備份的可靠性、穩健性、穩定性及可用性，持牌人應按照行業做法及供應商建議的檢修頻密次數與規格說明，維護資訊科技資產及其備份。對資訊科技服務持續運作屬關鍵的資訊科技資產應被識別，單一點故障的風險亦應被減低。持牌人應備存資訊科技資產清單，以追溯所有購入及租用的硬件和軟件。

　　項目及變更管理

　　6.5.17.持牌人應建立有效的資訊科技項目管理架構。

　　（一） 項目發展周期管理：持牌人應就管理主要科技相關項目（例如內部軟件開發）建立架構，其中包括應採用的項目管理方法。持牌人應採取一套完整的計劃周期方法，以規範項目的計劃、開發、實施及維護過程。該方法應訂明職責、每階段的交付成果，以及在每個項目的初期訂定保安要求。持牌人應參考行業做法，建立軟件開發和程式編碼的指引和標準。若項目涉及購買外部軟件套裝組合，持牌人應實施足夠措施管理使用該組合的風險（例如違反軟件牌照協議或專利侵權、保安風險），並透過與供應商簽訂書面合同以確保其為軟件套裝組合提供持續維護及足夠支援。

　　（二） 測試及驗收：持牌人應建立正式的測試及驗收流程，以確保只有經適當測試及批准的系統才可部署至作業環境。該過程應覆蓋包括但不限於業務邏輯、保安管控措施和在不同壓力負載情況及恢復條件下的系統表現等方面。此外，持牌人應委託獨立第三方，在法律及合規職能提供所需支持的情況下，對主要科技相關項目進行質素保證檢討，以及進行滲透測試以識別任何弱點。作為質素保證檢討的一部分，持牌人應實施源碼審查

　　（例如同業審查及自動化分析審查），以識別和解決弱點及不合符其內部政策、管控要求、法規及相關法律的情況。

　　（三）責任及系統劃分：持牌人應確保開發、測試及作業環境分隔， 並確保適當的職能分離，使只有授權人員才能存取開發、測試和作業庫和環境。持牌人亦應確保不得在開發或測試中使用作業數據，除非已去除其中的敏感數據並獲得資料擁有人的批准。此外，持牌人應密切監察供應商對開發或測試環境的存取（如有）。

　　（四）變更管理：持牌人應實施適當且有效的變更管理流程，涵蓋計 劃、預定、施行、分配及追溯對資訊科技資產變更的流程。該流程應能夠覆蓋所有變更，並涵蓋包括但不限於以下元素：獲 取批准；分類及安排優先次序；確定影響；各方的角色及責任；程式版本管控；預定、追溯、監察及實施；在出現問題時將變更還原；變更後的核實；審計記錄。持牌人亦應制定程序以管理應急變更，該程序應包括批准流程，以及在變更需要緊急實施且批准過程不切實可行時徵求同意的過程。

　　網絡管理

　　6.5.18.持牌人應實施網絡管理及保安措施，以確保其網絡的穩健性。

　　（一）網絡管理：持牌人應指定具備相關專業知識的人員負責網絡管 理。標準、設計、圖表及操作程序等文件應清晰記錄，並定期更新及傳達予有關員工，另亦應定期作出檢討。持牌人應識別對網絡服務的持續不斷性具關鍵作用的通訊設施，並應設立備用路徑，以備關鍵節點或鏈路失靈時，可自動重訂通訊的路線，從而儘量減少單一點故障。持牌人應實施措施持續監察網絡，以減少網絡流量超負荷的機會，並偵測網絡是否有被入侵。

　　（二）網絡保安：持牌人應制定使用網絡及網絡服務的程序，涵蓋可 用的網絡及網絡服務、存取網絡及網絡服務的授權程序，以及保護存取網絡存取點、網絡連接和網絡服務的管控措施及程序。持牌人應建立安全的網絡基礎設施（涵蓋隔離區設計，以及網絡伺服器、入侵檢測系統、防火牆及路由器的配置等），以保護關鍵系統。持牌人應定期檢討網絡裝置（如路由器、防火牆及網絡伺服器）的保安參數設置，以確保切合當前需要。此外，持牌人應將內部網絡分隔為不同部分，而其中應顧及儲存於每個部分的數據，或連接至每個部分的系統所需的存取管控。持牌人應利用加密技術和涵蓋內部及外部網絡的網絡監察工具，保護內部網絡內的敏感資料，以及與第三方及外部網絡的通訊渠道。持牌人應實施措施偵測和阻止實際及未遂的網絡入侵，而網絡操作人員應在發生潛在破壞保安系統的活動時即時收到警示。持牌人應備存關鍵網絡設備的操作記錄並定期作出檢視。

　　網絡安全

　　6.5.19.持牌人應實施足夠措施，以及時識別與持牌人有關的網絡風險及威脅，並採取有效的措施防禦網絡攻擊。

　　（一）網絡風險識別及評估：持牌人應實施風險評估措施，以識別和 分類其業務操作中產生的網絡安全風險，包括但不限於內部業務操作、與外部方的連接等。持牌人亦應制定程序，用以識別需要額外網絡安全管控措施的資產、活動和流程。此外，持牌人應定期進行網絡風險評估，涵蓋相關及重要的資訊科技資產，評估範圍應能應對被廣泛認知及新出現的風險，並不時更新其網絡安全管控措施。

　　（二） 威脅資訊：持牌人應實施足夠措施，監察威脅資訊，以發現新興威脅。持牌人應對威脅資訊進行分析，以便及時實施緩減措施。持牌人應基於最新的威脅資訊，定期向其員工提供網路安全意識培訓以及提示。

　　（三）漏洞偵測：持牌人應制定流程以檢測防禦網絡攻擊方面的漏洞。持牌人應使用防毒及抗惡意軟件工具以檢測攻擊，並保護持牌 人的資訊科技資產免受惡意軟件侵害。持牌人應根據其網絡安 全風險狀況定期進行相稱的網絡安全評估，包括漏洞掃描、滲透測試及風險資訊主導的網絡攻防模擬測試，以識別員工行為、安全防禦、政策和資源中的管控措施漏洞。測試結果應用於評估持牌人的網絡安全管控措施是否充分，而持牌人則應採取適當行動，及時緩減問題、威脅和漏洞。

　　（四）網絡事件應對：作為其事件管理架構及持續業務運作計劃（見 第 6.8 段）的一部分，持牌人應就檢測網絡事件實施措施，並制定事件應對程序，訂明應對網絡事件的程序。事件應對程序應包括及時採取行動以限制或控制網絡安全事件影響的程序，並根據恢復策略和恢復運作時間目標恢復其業務操作。持牌人應制定上報和溝通流程，以便及時向持份者匯報和就事件進行溝通。持牌人亦應制定流程，確保網絡事件的數位證據被記錄、分析和調查，並實施緩減措施，防止類似事件再次發生。

　　災難復原

　　6.5.20.作為其事件管理架構及持續業務運作規劃的一部分（見第 6.8 段），持牌人應制定資訊科技災難復原計劃，以確保關鍵的資訊科技資產及服務可按照業務復原規定恢復正常。

　　科技服務供應商的管理

　　6.5.21.持牌人應在管理科技服務供應商時考慮第三方風險管理的指引（見第

　　6.6.2 至 6.6.11 段）。

　　6.5.22.除一般的第三方風險管理措施外，與科技服務供應商合作時，持牌人應確保有關服務供應商有足夠的資源及專業知識，以遵守持牌人的科技風險管理政策。在外判關鍵科技服務前，應由獨立第三方根據相關國際認可的認證標準對潛在服務供應商的資訊科技管控措施進行詳細評估，並取得符合要求的結果。持牌人應向金管局匯報評估結果。外判協議應明確訂明表現標準、硬件和軟件的所有權，並涵蓋分包條款（如有）以確保原本的服務提供者對所有服務負責。持牌人應在適當及切實可行範圍內分散其服務供應商，以減低過度倚賴單一服務供應商的風險，並就由科技服務供應商提供的關鍵科技服務，制定全面的應變計劃。

　　6.6.業務操作風險管理

　　6.6.1.持牌人應制定有效的政策及程序，以管理業務操作風險。持牌人應定期  進行風險識別及評估，以識別與其業務活動、流程及系統相關的重大業務操作風險，包括但不限於盜竊、欺詐及挪用儲備資產、業務受干擾等。就此而言，持牌人應借鑒其相關行業中發生的業務操作事件。持牌人應採取適當方法評估每項已識別風險，包括藉考慮所識別風險的成因，估算該等風險真正發生的可能性，以及評估該等風險對持牌人業務活動、流程及系統的潛在影響。

　　第三方風險管理

　　6.6.2.持牌人應制定管理與第三方安排相關風險的政策。在執行上，在訂立第三方安排前，持牌人應識別及評估可能因有關安排而產生的風險，以及該等安排對持牌人業務活動、流程及系統的重要性而產生的風險，並實施足夠措施應對重大風險。其中，持牌人應評估第三方實體所提供服務及業務操作的重要性及關鍵性，辨別此安排的原因及需求，以及了解對持牌人風險狀況的影響。

　　6.6.3.持牌人亦應評估第三方實體業務操作受干擾的風險。作為其事件管理架

　　構及持續業務運作計劃（見 6.8 段）的一部分，持牌人應實施由持牌人本 身與相關第三方實體維持的應變安排，以確保儘量減低對其業務的影響。持牌人亦應識別可行的替代安排，以減低服務長時間受干擾時的影響。  持牌人仍須對符合《穩定幣條例》下監管義務及金管局不時指明的其他有關監管要求負有最終責任。

　　6.6.4.持牌人應對潛在的第三方實體進行適當的盡職審查，包括進行全面測試，以確保該等第三方實體提供的服務或業務操作將符合表現標準及/或期望，並符合適用的監管要求。盡職審查應涵蓋成本因素、服務及業務操作的  質素、財務穩健情況、信譽、管理能力、技術及運營能力、是否有第三方審計、評估或合規認證、持續滿足持牌人需求的能力、對行業的認識、緊貼市場創新步伐的能力等。

　　6.6.5.就第三方安排，持牌人應與有關第三方實體簽訂書面合約協議，明確訂明（一）服務及業務操作的類型和水平，以及執行標準、（二）業務操作安排，包括任何分包安排、（三）應急安排、（四）持牌人及第三方實體的權利和義務，包括終止權、持牌人支付的費用、（五）持牌人在香港存取、檢索及保存準確、最新的記錄的權利，以及向有關當局及內部和外部審計師提供記錄以供查閲的權利（如適用）、（六）處理數據

　　的管控措施，包括數據儲存、備份、保護、保密和合約終止或屆滿時移除數據的安排（如適用）。

　　6.6.6.持牌人應實施措施，持續監察第三方實體的業務操作狀況，及其提供的服務或進行的業務操作是否可用，並識別及匯報任何受干擾情況。持牌人亦應定期進行風險評估，以確保所有與該第三方安排相關的重大風險得到充分解決，以及定期進行質量檢討，以確保第三方實體的表現達標或符合預期。持牌人亦應採取適當行動糾正任何缺失。此外，持牌人應定期檢討相關第三方安排，並因應市場標準及其業務要求，評估該安排是否應重新議訂或續期。持牌人亦應對由第三方實體及其本身所制定的應變安排，進行定期檢討及測試。

　　6.6.7.持牌人應確保第三方安排不會對有關當局（包括金管局），以及持牌人  的內部及外部審計師取用與持牌人相關資料構成任何阻礙。持牌人亦應確保設有措施，以便獲授權單位，包括金管局以及持牌人的內部及外部審計師，對有關第三方實體的業務操作（限於與持牌人業務相關的部分）進行已宣布及未經宣布的現場及非現場審查。

　　6.6.8.持牌人應實施措施，以確保第三方安排符合《個人資料(私隱)條例》

　　（第 486 章）及個人資料私隱專員公署發布的相關實務守則、指引及最佳做法。

　　6.6.9.持牌人亦應確保有關資料的使用權只按需要知情原則授予第三方實體的獲授權僱員。持牌人應確保在第三方安排終止或屆滿時，任何該第三方實體接收的資料，若與指明穩定幣持有人及/或持牌人客戶相關，應退回予持牌人或由該第三方實體銷毀。

　　6.6.10.如第三方安排涉及由香港以外的實體提供的服務，持牌人應評估可能因相關安排產生的額外風險，並考慮如與第三方實體訂立的第三方協議的法律依據等因素。這包括但不限於確保金管局以及持牌人的內部及外部審計師等有關單位取用與持牌人相關的資料以作審查的權利（見第 6.6.7段）。持牌人亦應評估香港以外司法管轄區當局對與持牌人任何相關資料的取用權，並實施措施確保持牌人在有關當局要求取用有關資料時，及時通知金管局。

　　6.6.11.持牌人應制定政策，以評估第三方安排是否屬重大第三方安排，並在開始任何重大第三方安排前及時向金管局匯報。持牌人亦應制定程序，以持續監察原有的非重大第三方安排，並在該等安排成為重大第三方安排時向金管局匯報。重大第三方安排包括但不限於儲備資產託管、指明穩定幣分銷、關鍵資訊科技服務等。

　　6.7.信譽風險管理

　　6.7.1.持牌人應實施有效的流程，以管理與其業務規模及複雜程度相稱的信譽風險。持牌人應（一）識別及評估其活動（包括其持牌穩定幣活動）對其信譽的潛在影響、（二）實施監察及匯報機制，以追踪有關風險以及可能導致有關風險真正發生的事件、（三）採取主動措施減低已識別的風險，及（四）在有關風險實現時迅速應對，以緩減任何相關影響。持牌人亦應實施措施，以在發生可能對其信譽造成重大不利影響的事件時通知金管局。

　　6.7.2.其中，持牌人應實施充分的措施，盡力識別及處理與其業務（包括其發行的指明穩定幣）相關的潛在欺詐個案，例如冒充持牌人從事可能違反相關法律法規的活動。此外，持牌人亦應監察任何可能被視為與其有關並可能影響其聲譽的活動和事件，例如第三方對持牌人發行的指明穩定幣進行包裝，從而可能導致指明穩定幣持有人和/或潛在指明穩定幣持有人認為這些包裝代幣是由持牌人發行的。為應對有關風險，持牌人應實施合適措施以進行監察（例如監察網站、社交媒體帖文等），並制定措施以處理這些個案，包括但不限於提醒公眾、向有關當局匯報、與媒體機構溝通等。

　　6.8.事件管理、持續業務運作及退出

　　概覽

　　6.8.1.持牌人應建立有效的管治安排，以制定、更新及實施全面的事件管理架  構，以及持續業務運作及退出計劃，當中應包括明確界定的職責、有效且具效率的上報程序、觸發和執行事件應對程序、持續業務運作恢復策略或業務退出計劃的詳細程序，以及向持份者（包括指明穩定幣持有人）清晰溝通的策略。相關政策及計劃，以及任何重大改動，均應得到董事局的批准。

　　事件管理

　　6.8.2.持牌人應建立有效的事件管理架構，以確保及時對其業務、業務操作、  資產或信譽造成或可能造成重大不利影響，及/或導致持牌人或其董事局、高級管理層或員工違反或可能違反任何法定及監管要求的事件作出應對。持牌人應清楚訂明事件管理架構與其持續業務運作計劃及災難復原計劃

　　（參見第 6.5.20 段）之間的關連。

　　6.8.3.在執行上，持牌人應訂明標準以就事件的重要性和嚴重性作出分類，並建立有效的安排以偵測、監察和評估事件。持牌人應建立一套可用於判斷是否需要啟動應對程序的指標。這些指標應涵蓋但不限於以下方面：

　　（一） 信用、流動性及市場風險（例如：交易對手倒閉；贖回需求激增；長時間（例如超過一（1）個營業日）超出對手方信用風險承擔的內部限額（參見第 6.4.2 段）、流動性風險指標內部限

　　額（參見第 6.4.3 段）、市場風險指標（參見第 6.4.5 段）內部限額等）

　　（二） 科技風險（例如：資訊科技資產故障；資訊科技安全漏洞；智能合約漏洞；分布式分類帳相關的事件，如硬分叉和軟分叉、嚴重網絡擁堵、停運、攻擊及不可恢復的故障；無法使用私人密鑰；未經授權使用私人密鑰；網絡事件等）

　　（三）業務操作風險，包括第三方風險（例如：重要業務操作受干擾；關鍵人員長期缺勤；第三方實體的業務操作受干擾或倒閉；第 三方實體相關的負面媒體報道等）

　　（四） 脫鈎風險（例如：二級價格與面值重大偏差；二級市場的報價深度和買賣價差出現異常；某些指明穩定幣持有人集中持有指明穩定幣等）

　　（五）信譽風險（例如：負面媒體報道；假冒身份詐騙；謠言散佈等）

　　（六）合規及法律風險（例如：持牌人或其員工違反法定及監管要求；潛在訴訟等）

　　6.8.4.持牌人應制定應對程序，以控制事件的影響。其中，持牌人應制定策略，以應對流動性壓力，或其他可能導致持牌人未能維持儲備資產全額支持，或未能在沒有不當延遲的情況下兌現所有有效贖回要求的事件。

　　6.8.5.持牌人應實施措施確保在其正常業務流程受干擾的情況下，指明穩定幣能有秩序地進行發行、贖回及分銷。如持牌人委託第三方實體分銷其發行的指明穩定幣，則持牌人亦應就該等第三方實體提供的服務受潛在干擾制定應變措施。這些措施可能包括識別多個備用第三方實體等。

　　6.8.6.持牌人亦應實施措施以應對指明穩定幣在二級市場的重大脫鈎，例如加強與公眾及指明穩定幣持有人的溝通、增加儲備資產的披露頻率、維持額外的贖回渠道等。此外，持牌人應考慮多種因素，包括處理贖回要求的營業時段與指明穩定幣全天候運作之間的不匹配。

　　6.8.7.持牌人應實施措施，以應對其發行的指明穩定幣底層技術元素的故障。其中，持牌人應備存穩健的備份記錄，並配以相應的程序，以在分布式分類賬出現問題時促進恢復，以及在分布式分類賬發生不可恢復的故障時，促進該指明穩定幣的贖回程序。

　　6.8.8.作為事件管理過程的一部分，持牌人應按需要收集及保存鑑識證據，以便利其後進行的調查及檢控罪犯（如有需要）。持牌人亦應對事件進行事後檢討，包括識別事件成因及採取所需的糾正措施。

　　持續業務運作管理

　　6.8.9.《穩定幣條例》附表 2 第 16(1)條規定，持牌人須設有並實施健全及適當 的管控系統，以作出適當計劃，在發生顯著運作干擾時，就其持牌穩定幣活動的關鍵功能的適時恢復及持續，提供支援。持牌人應制定有效的持續業務運作管理系統並準備足夠的資源，以在受干擾時保存關鍵數據、確保其持牌穩定幣活動關鍵功能持續運作並及時恢復，而該系統應包括持續業務運作計劃。高級管理層應充分地監察持牌人的持續業務運作管理系統，並向員工提供所需的支援，以確保持續業務運作計劃有效實施。

　　6.8.10.持牌人應建立正式的持續業務運作計劃，就管理業務受干擾、恢復及持續其關鍵業務操作提供全面指引及程序，以達致恢復正常業務運作的最終目標。該計劃應概述關鍵業務操作以及內部和外部主要依賴因素、啟動持續業務運作計劃的標準，並涵蓋業務影響分析、恢復策略、上報和溝通程序，以及關鍵人員的聯絡資料。持續業務運作計劃的副本應存放於持牌人主要場地以外的多個地點。持牌人應向高級管理層和關鍵人員提供關鍵步驟的摘要，以便在緊急情況下採取行動。

　　6.8.11.在執行上，持牌人應制定流程，定期進行業務影響分析，以識別必須在受干擾時持續和有效地提供的關鍵業務操作、服務和內部支援功能。持牌人亦應識別可能會干擾其服務的潛在受壓場景，並制定監察機制以及一套可用於判斷是否需要啟動恢復策略的指標。

　　6.8.12.持牌人應識別在受干擾時需要維持的最低程度的關鍵服務，並制定切合實際、可量度及可達到的恢復目標，包括恢復最低程度的關鍵服務前可容忍的最長停止運作時間、關鍵資訊科技資源的恢復運作時間目標及恢復數據的恢復點目標。

　　6.8.13.持牌人應制定一系列的恢復策略以及關鍵步驟、里程碑和流程，以應對潛在業務受干擾的情況。在制定策略和程序時，持牌人應評估影響、實施時間、恢復策略的成功率以及相關風險。恢復優先順序應根據業務影

　　響評估的結果來決定。持牌人亦應考慮到多種干擾同時發生的情況，並確保其實施的措施能夠應對同時受多種干擾的情況。

　　6.8.14.為確保持續業務運作計劃的成效，持牌人應識別對其業務（包括其持牌穩定幣活動）屬關鍵的資料，並儘快及持續地將有關資料備份到運作場地以外的地點。對某些資料，持牌人亦應考慮實施即時備份（例如實時數據鏡像技術），以確保記錄的高可用性。持牌人應實施措施，以在必要時獲取備份資料。相關措施及詳盡的程序應記錄在持續業務運作計劃中。

　　6.8.15.持牌人應選用備用場地進行業務和資訊科技運作恢復，這些場地應與主要場地距離足夠遠。備用場地應易於進入，並在持牌人持續業務運作計劃指明的時間要求內可供佔用。用作資訊科技運作恢復的場地應具有足夠的資訊科技設備，以滿足持續業務運作計劃中所述的恢復策略。

　　6.8.16.持牌人應避免過度倚賴第三方實體提供持續業務運作的支援。如重要恢復服務（例如提供備用場地）是由第三方實體提供，持牌人應管理與該等服務相關的風險（見第 6.6.2 至 6.6.11 段），並在與第三方實體的書面的合約協議中，明確支援的種類及容量，以及所需時間。

　　業務退出計劃

　　6.8.17.《穩定幣條例》附表 2 第 16(2)條規定，持牌人須設有並實施健全及適當 的管控系統，以確保（一）其持牌穩定幣活動可實施有秩序的規模縮減；及（二）其發行的指明穩定幣的贖回，能夠有秩序地兌現。持牌人應制定業務退出計劃，以在沒有其他可行方案時，有秩序地縮減其持牌穩定幣活動。業務退出計劃應涵蓋一系列可能導致需要有秩序地縮減其持牌穩定幣活動的情景，以及用作監察有關情景的實現或可能實現的措施。持牌人亦應訂明觸發業務退出計劃後的具體程序，當中應包括但不限於：

　　（一）在正常和受壓情況下出售儲備資產（包括確保儲備資產出售所得  款項最大化和對整體市場穩定性影響最小化的措施）、（二）促進指明穩定幣持有人提交贖回要求、（三）向指明穩定幣持有人分配所得款項，以及（四）作出與第三方實體相關的業務操作安排。持牌人應評估執行業務退出計劃所需的時間及資源，並實施措施確保進行有秩序的規模縮減時，有足夠的時間及資源可用。持牌人亦應就有關程序的法律確定性和操作可行性進行評估。

　　檢討、測試及匯報

　　6.8.18.持牌人應定期並至少每年一次，以及在啟動事件應對程序或業務持續恢  復策略後，檢討其事件管理架構、持續業務運作計劃及退出計劃。任何在有關檢討中發現的缺失均應被及時糾正，並在有關架構及計劃中反映。有關架構及計劃，以及任何重大修改，均應由董事局批核。持牌人亦應定期進行審計，以評估（一）其事件應對程序及/或持續業務運作恢復策略的執行（如有）是否符合有關架構及計劃和適用監管要求，以及（二）有關架構及計劃是否切實可行及仍然適用。持牌人應及時向金管局匯報審計結果，包括任何重大發現，並在金管局要求時及時提供審計報告及相關輔助文件。

　　6.8.19.持牌人應定期並至少每年對其事件管理架構、持續業務運作計劃及退出計劃進行測試（包括模擬演習），以確保所有相關人員均熟悉有關架構及計劃，以及其責任，並能按照有關架構及計劃及時採取行動。每次測試的結果應向董事局及高級管理層匯報。持牌人亦應因應在測試中發現的缺失，對有關架構及計劃進行修訂。

　　6.8.20.持牌人應向金管局提交參與事件管理架構、持續業務運作計劃及退出計  劃的主要人員的聯絡資料，並應就任何有關主要人員的變更通知金管局。持牌人亦應制定程序，以在任何會或很可能會觸發事件應對程序、業務持續恢復策略或業務退出計劃的情景實現或預期實現時，及時通知金管局。

　　6.8.21.如持牌人的事件應對程序、持續業務運作恢復策略或業務退出計劃涉及延遲其發行的指明穩定幣的贖回（即未能在一（1）個營業日內兌現贖回要求），持牌人應實施措施，以在實施延遲贖回前，取得金融管理專員書面同意。

　　7.企業管治

　　7.1.企業管治

　　7.1.1.《穩定幣條例》附表 2 第 9 條規定，持牌人須設有及實施健全及適當的風險管理政策及程序，以管理進行該持牌人的持牌穩定幣活動所產生的風險，而該等政策及程序，須與該等活動的規模和複雜程度相匹配。就此而言，持牌人應建立周全的管治安排，以便有效地作出決策及妥善管理進行持牌穩定幣活動所產生的風險。其中，有關安排應包括清晰的組織架構，以及明確界定、清晰並明文記錄的責任劃分。決策程序、匯報制度，以及內部匯報和溝通流程亦應清晰記錄。

　　董事局

　　7.1.2.持牌人的董事局對持牌人的業務操作及穩健性負最終責任。董事局應明確界定及記錄其責任、權限、組成要求以及其工作安排（包括董事的委任、董事局成員的資格及培訓、董事局的表現評估、集團架構的管治

　　（如適用）、與金管局的溝通等）。董事局應有足夠的成員及適當的組成，以確保有足夠的制衡機制及集體專業知識，以達致有效的監察及客觀的決策。

　　7.1.3.一般而言，董事局成員中應至少有三分一為獨立非執行董事，以確保有足夠的制衡機制、引進外界的經驗及提供客觀判斷。在任命董事（包括獨立非執行董事）前，持牌人應向金管局提交其任命的理由。此段的要求不適用於作為認可機構的持牌人。作為認可機構的持牌人應遵守《銀行業條例》（第 155 章）及相關指引的要求。

　　7.1.4.董事局的責任應包括但不限於：

　　（一）  制定及監察持牌人的目標及為達至此等目標的策略；

　　（二）監察企業架構的建立，以確保有明確界定、清晰並明文記錄的責任劃分，以及內部匯報和溝通流程；

　　（三）授權並委任適當董事局成員主持及/或作為成員參與負責制定相關政策的專責委員會（例如薪酬委員會、審計委員會）；

　　（四）委任及監察持牌人高級管理層，確保他們按照獲批准的政策及授權履行職責；

　　（五）建立及監察風險管治，批准風險管理政策及主要程序，以及確保有效的內部管控職能；及

　　（六）確立企業價值觀及標準，以及監察其薪酬政策。

　　高級管理層

　　7.1.5.董事局應與高級管理層緊密合作，而高級管理層則向董事局負責。高級管理層包括（一）持牌人的行政總裁，以及如果持牌人是認可機構，其穩定幣經理，以及（二）其他高級行政人員（主要由經理組成（見 7.2.6

　　至 7.2.7 段））。董事局應明確界定高級管理層的責任、問責制度及匯報 制度，以及確保設有有效的安排評估高級管理層的表現以對其進行問責。高級管理層的責任應包括但不限於：

　　（一）提出業務計劃供董事局審議及批准，並執行董事局批准的策略，以及在適當的情況下出席董事局會議；

　　（二）建立有明確界定、清晰並明文記錄的責任劃分，以及內部匯報及溝通流程的企業架構；

　　（三）通過建立有效的員工招聘、評核及培訓計劃，確保持牌人員工的勝任能力；

　　（四）建立有效的風險管理架構，包括實施董事局批准的風險管理政策及程序，以及確保有效的內部管控職能；及

　　（五）建立有效的管理資訊系統，為董事局及高級管理層提供定期及準確的資訊。

　　合規及內部審計職能

　　7.1.6.持牌人應建立及維持合規職能，以協助持牌人遵守相關的法定條文、監  管要求及行為守則。合規職能應直接向高級管理層匯報，並有權向董事局直接匯報事項。合規職能應制定合規政策及指引，界定其組織及責任，以及管理合規風險的措施，以確保合規風險被充分及有效地管理。合規政策，以及對該政策的任何重大變更應得到董事局的批准，並定期以及在有需要的情況下進行檢討。

　　7.1.7.持牌人應建立及維持內部審計職能，以負責客觀及公正地評估持牌人內部管控制度的有效性，識別弱點及作出改善建議。內部審計職能應直接

　　向董事局或董事局委員會匯報，並應有結構化的審計規劃、審計程序及  匯報流程。持牌人應制定審計規章，以界定內部審計職能的組織、權限、責任、目標及範圍。審計規章，以及對該規章的任何重大變更應得到董事局的批准，並定期以及在有需要的情況下進行檢討。

　　7.1.8.合規及內部審計職能應有（一）明確界定的職責及問責安排、（二）足夠的權限及地位、（三）專業能力，以及（四）足夠的資源以履行其職責。它們亦應獨立於前線業務部門，並且可以不受制約地查閲執行其職責所需的信息。

　　7.1.9.合規及內部審計職能應互相獨立，任何一職能均不應被另一職能取代。如持牌人使用外部或集團提供的服務，持牌人應向金管局證明並令其信納該另類安排的有效性。

　　企業管治措施

　　7.1.10.作為周全的管治安排的一部分，持牌人應建立一套行為守則，為其董事、高級管理層及員工訂明持正誠實標準，有關行為守則亦應涵蓋行政總裁、董事、經理，以及如持牌人是認可機構，穩定幣經理的適當人選要求。  行為守則亦應提供可接受及不可接受的行為的例子，以及明確禁止可能導致持牌人不符合《穩定幣條例》下的責任或未解決的利益衝突的行為。另外，行為守則應包括《防止賄賂條例》（第 201 章）中的要求。持牌人應實施足夠措施以確保所有董事、高級管理層及員工完全理解行為守則，而且行為守則得到正確執行。

　　7.1.11.根據《穩定幣條例》附表 2 第 13(3)條的規定，持牌人須設有並實施健全及適當的風險管理政策及程序，以識別、防止、管理和披露該持牌人與指明穩定幣持有人之間的潛在及實際利益衝突。就此而言，持牌人應實施足夠的措施以防止或管理這些衝突。可以實施的措施包括但不限於採取適當的職能分離、設立資訊分隔屏障、明確禁止董事或員工透過不當使用保密資料而受惠或以其他方式獲取他人提供的利益，從而導致不公正、不當或非法的行為、防範活躍於機構以外的董事或員工，在機構內對牽涉或觸及其外界活動的事項發揮不當的影響。

　　7.1.12.持牌人應有一套與其業務策略及長期利益一致的薪酬政策。董事局應監  察薪酬政策的建立及實施，其責任亦應包括批准行政總裁（如持牌人是認可機構，則包括其穩定幣經理），以及內部管控職能主管的薪酬方案。內部管控職能的員工薪酬及績效評估應獨立於前線業務部門，以確保內部管控職能的員工的獨立性不會被損害。

　　7.2.適當人選

　　7.2.1.《穩定幣條例》附表 2 第 7 及 8 條就適當人選以及知識和經驗訂明了最低準則。當考慮有關人員是否有關職位的適當人選及是否具有相關知識及經驗時，標準可能因具體職位以及有關人員承擔的職責而有所不同。

　　行政總裁、穩定幣經理及董事

　　7.2.2.《穩定幣條例》附表 2 第 7(2)條規定每名擔任持牌人的行政總裁、董事或穩定幣經理等職位的人，均須是擔任有關職位的適當人選。評估有關人員是否擔任有關職位的適當人選時，應考慮包括但不限於以下因素：

　　（一） 有關人士的聲譽及品格：有關人士是否有相關的犯罪紀錄（例如欺詐或其他不誠實行為、觸犯任何旨在保障公眾人士，以免因不誠實、不稱職或不良行為而蒙受金錢損失的法例）；有關人士是否曾涉及任何有欺騙、欺壓或不正當成分的經營手法，或所涉及的經營手法反映其經營業務的方式不可信；

　　（二）有關人士的知識與經驗、能力、判斷力，以及是否勤勉盡責： 有關人士是否有承擔類似職責的經驗及其表現的紀錄；在適當情況下，有關人士是否具備適合的資歷以及曾否接受有關訓練；有關人士的行為及作出決策時是否有合理的權衡利害及運用理性能力，以及成熟程度；

　　（三） 有關人士的違規記錄：有關人士是否有違反各種非法定守則的紀錄，或曾否被香港或其他地方的監管機構或專業組織譴責、紀律處分或取消資格；

　　（四）有關人士作為控權人、董事、行政總裁及穩定幣經理的記錄： 有關人士曾否在任何曾被香港或其他地方的監管機構譴責、紀 律處分、公開批評、調查、撤銷其牌照、註冊或許可，或者被迫清盤或被香港或其他地方的法庭裁定無償債能力的法人團體、合夥業務、非法人團體擔任董事、行政總裁、穩定幣經理或以其他方式參與其管理；有關人士曾否在香港或其他地方被法庭禁止擔任任何公司的董事。如有，導致該公司清盤或被調查的原因及嚴重性、有關人士牽涉當中的程度、事件發生的時間與作出考慮的時間相隔多久，以及有關人士其後的行為等因素亦應被納入考量；

　　（五）有關人士的業務紀錄及其他業務利益，以及其財政穩健情況及                 財力：有關人士是否有任何業務利益及/或不良的財務狀況，從

　　而可能損害持牌人指明穩定幣發行的周全及穩健程度，及/或指明穩定幣持有人的信心；

　　（六） 有關人士的與持牌人的利益關聯：如屬獨立非執行董事，有關人士與持牌人業務是否有任何直接或間接的財務或其他利益的關聯，以及與持牌人主要股東的關係（如有）；及

　　（七） 有關人士對持牌人投入的時間及精神：如有外間職位，有關人士能否對其工作投入足夠的時間及精神；是否與其外間工作有任何潛在的利益衝突。

　　7.2.3.此外，根據《穩定幣條例》第 53(2)條，除非持牌人為認可機構，持牌人 不得在沒有金融管理專員的同意下，委任某人為該持牌人的行政總裁。 根據《穩定幣條例》第 58(1)條，任何人不得在沒有金融管理專員的同意下，成為任何不屬認可機構的持牌人的董事。如持牌人為認可機構，根據《穩定幣條例》第 66(2)條，持牌人不得在沒有金融管理專員的同意下，委任某人為該持牌人的穩定幣經理。

　　控權人

　　7.2.4.《穩定幣條例》附表2 第7(2)條規定每名擔任持牌人的控權人職位的人，均須是擔任有關職位的適當人選。當考慮有關人員是否適當人選時，除第 7.2.2 段的因素外，亦應考慮包括有關人士作為控權人對持牌人業務的影響力是否可能引起利益衝突，以及有關人士與其他控權人及高級管理層的合作意願及能力等因素。考慮以上因素時，有關考量應與（一）有關人士對持牌人的運作所產生或可能會產生的影響力，及（二）有關人士作為控權人身分對指明穩定幣持有人或潛在指明穩定幣持有人的利益可能或實際會造成的影響相匹配。

　　7.2.5.此外，除非某人在《穩定幣條例》第 37(1)條所列的情況下成為持牌人的

　　控權人，否則該人不得成為持牌人的控權人。《穩定幣條例》附表 2  第 7(1)條亦規定持牌人須設有及實施健全及適當的管控制度，以確保金融管理專員獲告知該持牌人的每名控權人的身分。就此而言，持牌人應制定措施以掌握及記錄其控權人的身份，以及根據《穩定幣條例》第 38 條尋求金融管理專員同意。

　　經理

　　7.2.6.《穩定幣條例》附表 2 第 7(3)條規定持牌人須設有及實施健全及適當的管控制度，以確保每名擔任該持牌人的經理的職位的人，均是擔任有關職位的適當人選。就此而言，持牌人應：

　　（一） 清楚界定個別經理職位的職責以及所需的技能、知識及經驗，並附以最新的職責說明、組織架構圖及權限；

　　（二） 備有清晰明確的遴選及委任經理的程序，以及讓持牌人在委任或招聘經理時能信納有關候選人符合適當人選準則的程序。持牌人評估經理（或準經理）是否適當人選時，應考慮第 7.2.2 段列出的因素，並適當顧及有關人士所擔任或將會擔任的職位；

　　（三） 備有有效及明確的制度，以評核經理的表現。這項制度不應過度偏重財務表現（如盈利能力或市場佔有率），而亦須考慮其他因素，例如遵守政策及程序及監管要求等方面的表現；

　　（四） 備有清晰的政策及程序，就經理觸犯政策及程序或監管要求的情況或對有關經理操守的投訴作出調查，並在適當情況下採取紀律行動；

　　（五） 備有明確的制度，對被評估為表現欠佳的經理採取行動，並在需要時將其替換；

　　（六） 迅速填補經理的職位空缺，以及備有明確安排，在出現臨時空缺時作出臨時補替；

　　（七）為經理提供足夠的培訓；及

　　（八）確保其內部審計職能有定期檢討委任經理的管控制度。

　　7.2.7.此外，依照《穩定幣條例》第 63 條，如（一）任何人獲委任為持牌人的經理、（二）任何人不再是持牌人的經理，或（三）任何人就任何新指明事務獲委任為該持牌人的經理，而該事務是附加於或是取代任何既有事務的，持牌人須在以上事件後的 14 日內，向金融管理專員發出通知。有關通知須包括該事件的發生日期及相關指明事務。

　　8.經營手法及操守

　　8.1.資訊及會計系統

　　8.1.1.持牌人應建立有效的資訊及會計系統，以（一）及時及準確地記錄所有  業務活動相關資訊，包括鏈上及鏈下資訊、（二）提供優質的管理資訊，從而能以有效及具效率的方式管理業務及業務操作，以及（三）備存適當的審計記錄，以證明管控措施的成效。持牌人亦應妥善備存帳冊及帳目，以及遵照所有適用的監管匯報規定及會計標準編製財務報表及申報表。持牌人應就其資訊及會計系統設立備用設施及災難復原安排。

　　8.1.2.持牌人應制定周全的備存記錄政策及系統，以就其帳冊、帳目、管理層決策及業務活動保存準確及充足的記錄，包括鏈上及鏈下資訊。持牌人應考慮相關的法定及監管要求，並將記錄備存一段足夠長的時間。

　　8.1.3.如持牌人的資訊及會計系統位於香港以外，則應建立有效安排，以確保有權限存取該系統，以及讓金管局及其他獲授權方可以進行現場審查或非現場審查（不論是否有預先通知）。

　　8.2.披露及匯報

　　8.2.1.在履行披露及匯報義務時，持牌人應確保其資訊準確而且是最新的，並反映其業務的實際業務操作。

　　8.2.2.其中，在《穩定幣條例》附表 2 第 5(7)及第 6(5)條的規定下，持牌人應向公眾就儲備資產管理及贖回事宜作出足夠及適時的披露。持牌人應按第

　　2.7 及 3.6 段所述，履行其持續披露及匯報義務。

　　8.2.3.至於《穩定幣條例》附表 2 第 13 條關於就持牌人發行的每類指明穩定幣發表白皮書的要求，持牌人應在其網站上一個顯眼的位置公開披露其白皮書，並在發表或修改白皮書之前通知金管局。在可行的情況下，白皮書應以非技術性語言編寫，以便公眾理解。

　　8.2.4.就持牌人發行的每種指明穩定幣，持牌人應在白皮書披露包括但不限於以下所列的資訊：

　　（一）持牌人的概要資訊；

　　（二）該指明穩定幣的詳細資訊；

　　（三）儲備資產管理安排，以及相關第三方安排（如有）；

　　（四） 發行、贖回及分銷機制，包括程序、贖回權利、時間範圍及相關條件及費用，以及與第三方實體就分銷其發行的指明穩定幣的安排（如有）；

　　（五）指明穩定幣的底層技術；及

　　（六）使用該指明穩定幣的風險。

　　8.2.5.持牌人應按照適用會計準則編製並每年向金管局提交經審計的財務報表，而有關報表應涵蓋其發行的指明穩定幣的儲備資產。有關經審計的財務  報表應在財政年末後的四個月內向金管局提交。

　　8.3.個人資料保障

　　8.3.1.持牌人應實施有效措施，以確保其遵守《個人資料(私隱)條例》（第 486章）及個人資料私隱專員公署不時發布的相關實務守則、指引及最佳做法。

　　8.4.投訴處理

　　8.4.1.《穩定幣條例》附表 2 第 14 條就持牌人的投訴處理及補償機制訂定了最低準則。持牌人應確保指明穩定幣持有人可以使用充分、易於使用、可負擔、獨立、公平、負責任、及時及具效率的投訴處理及補償機制。

　　8.4.2.持牌人應建立適當的管治安排及職能分離，以令投訴由不涉及投訴且有相關能力的員工處理。持牌人應制定合適及有效的政策及程序以處理投訴，其中應包括確認、調查、上報、補償、解決、回應及結束，以及就投訴處理過程中發現的問題作出跟進。持牌人亦應就投訴維持充足的記錄，並保存適當的時間（即由接獲投訴日起計保存記錄至少兩（2）年，並遵守個人資料保障方面的要求）、確保保密性，並就投訴所揭示的問題作出改善。此外，當金管局提出要求，或者有關投訴揭示合規問題，或就相同的未處理問題接獲多宗投訴時，持牌人應向金管局提供適當的反饋及通知。持牌人應使投訴處理系統易於被公眾使用，並在其網站上一個顯眼的位置公開披露其投訴處理程序及預期時間表。

　　8.4.3.關於處理投訴的時限，持牌人應在接獲投訴起計七（7）個曆日內確認收到有關投訴。確認通知應列明負責處理有關投訴的員工的聯絡資料，以及投訴處理程序的詳情。持牌人應在接獲投訴起計 30 個曆日內詳盡回覆投訴人，或向投訴人發出初步回覆，說明持牌人為何未能詳盡回覆投訴人，列明延遲回覆的原因，並指明預期可作出詳盡回覆的時間（一般不超過 60 個曆日）。如持牌人能在接獲投訴起計七（7）個曆日內解決有關投訴或作出回覆，可將確認通知和回覆合併。

　　8.4.4.如持牌人與第三方實體達成安排，以分銷其發行的指明穩定幣，持牌人則應制定程序，以便第三方實體處理相關的投訴。

　　9.辭彙

　　本指引所用辭彙與《穩定幣條例》所界定者具有相同涵義。在適用的情況下，其他辭彙應參照以下的定義進行解釋。

　　隔離環境一種運算環境，其中所有資訊科技資產及網絡皆於物

　　理上及邏輯上與外部資訊科技資產及網絡（包括互聯網）隔離

　　銀行《銀行業(資本)規則》（第 155L 章）第 1 部第 2(1)條所定義的銀行

　　營業日以下日子除外的任何日子：（一）星期六、（二）根據《公眾假期條例》（第 149 章）規定的公眾假期，或（三）《釋義及通則條例》（第 1 章）第 71(2)條定義的烈風警告日或黑色暴雨警告日

　　分銷持牌人與第三方實體達成安排，由後者（一）提供購買或售賣持牌人所發行的指明穩定幣的渠道（例如由中介人要約提供指明穩定幣、在交易平台上將指明穩定幣上市），或（二）作為其業務的一部分，在二級市場上為持牌人發行的指明穩定幣提供流動性

　　終端用戶電腦應用把集中式數據中心的資訊處理及系統發展能力，轉移至用戶的桌上電腦

　　政府《銀行業(流動性)規則》（第 155Q 章）第 1 部第 2(1)

　　條所定義的官方實體

　　獨立非執行董事在持牌人內並無任何執行職能的董事，而且該董事不受任何其他不當影響（無論是由內部或外來、政治或所有權或其他原因而產生）而妨礙其作出獨立及客觀的判斷

　　資訊擁有人獲委派為某應用系統業務擁有人，並負責保障這個系統所處理及儲存的資訊的個人

　　發行就持牌人發行的指明穩定幣而言，持牌人根據客戶有效要求向客戶發行指明穩定幣的流程

　　資訊科技資產持牌人（或通過第三方安排）維持的硬件、軟件、數據及系統，以助其資訊科技操作

　　密鑰儀式產生獨特的公開及私人密鑰的程序

　　持牌銀行《銀行業條例》（第 155 章）第 2(1)條所定義的銀行

　　相連對手方就持牌人的某對手方（參照對手方）而言，屬於以下類別的持牌人的另一對手方：

　　（一） 控制有關參照對手方或由有關參照對手方控制的實體；

　　（二） 由控制有關參照對手方的實體控制的實體；

　　（三） 在經濟上依賴有關參照對手方或第（一）或

　　（二）項所指明實體的實體；

　　（四） 控制及在經濟上依賴第（三）項所指明實體，或由第（三）項所指明實體控制的實體

　　鑄造在分布式分類帳上產生指明穩定幣

　　多邊發展銀行《銀行業條例》（第 155 章）第 2(1)條所定義的多邊發展銀行

　　外判第三方安排的一種，指持牌人委託服務供應商執行本由持牌人自行執行的服務

　　公營單位《銀行業(資本)規則》（第 155L 章）第 2(1)條所定義的公營單位

　　公營單位銀行《銀行業(流動性)規則》（第 155Q 章）附表 2 第 1 部第 1(1)條所定義的公營單位銀行

　　合資格國際組織《銀行業(資本)規則》（第 155L 章）第 1 部第 2 條所定義的有關國際組織

　　贖回就持牌人發行的指明穩定幣而言，指明穩定幣持有人從持牌人收到以指明穩定幣參照貨幣計價的面值的流程

　　專責委員會持牌人為監察特定風險或管治領域而建立的委員會，包括但不限於董事委員會及管理委員會

　　指明穩定幣持有人就持牌人發行的指明穩定幣而言，持有該指明穩定幣的人

　　第三方安排以下其中一種安排：

　　（一） 由服務供應商向持牌人提供服務（無論服務供

　　應商是否同一集團內的實體）；

　　（二） 與第三方達成安排以進行與持牌人的持牌穩定幣活動相關的某些活動

　　第三方實體參與第三方安排的實體或服務供應商