做跨境金融这行二十年了，我经手的牌照申请少说也有三四百张，但要说这两年热度蹿得最快的，非迪拜VARA牌照KYC尽调莫属。迪拜虚拟资产监管局（VARA）2023年正式运作以来，门槛不降反升，尤其KYC这块，材料准备不到位，轻则退回补料耽误两三周，重则直接拒签。很多老板拿着网上搜来的清单就往里冲，结果被审查官打回来三四轮还不知道问题出在哪。今天就把这些年攒下来的实操经验掰开揉碎了讲，从材料清单到审查逻辑，再到怎么把流程从14天压到48小时，一篇讲透。
VARA到底是个什么角色
迪拜VARA不是传统意义上的金融监管机构，它是全球第一个专门针对虚拟资产设立的独立监管实体，2023年2月由迪拜酋长国成立，管辖范围涵盖加密货币交易、代币发行、虚拟资产管理托运、借贷质押等全链条业务。跟阿联酋证监会（SCA）不同，VARA的监管框架完全是围绕数字资产设计的，所以它的KYC尽调标准和传统金融牌照有很大差异。
VARA牌照分为七个类别：虚拟资产运营管理服务（VASP-AM）、虚拟资产交易和托管服务（VASP-CBC）、虚拟资产借贷服务（VASP-LB）、虚拟资产代币发行服务（VASP-TS）、虚拟资产经纪商服务（VASP-BD）、虚拟资产管理和投资服务（VASP-MI）以及虚拟资产转账服务（VASP-TT）。每个类别对应的KYC尽调深度都不一样，其中VASP-CBC和VASP-LB两个类别审查最为严格，因为涉及客户资金托管和借贷。
KYC尽调要准备哪些材料
VARA的KYC尽调分成两个层面：一个是公司层面的尽职调查，一个是客户准入层面的持续合规。公司层面需要准备的文件清单我列了个表格：
| 文件类型 | 具体内容 | 审查重点 |
|---|---|---|
| 公司注册文件 | 营业执照、公司章程、股东名册 | 实际控制人穿透到自然人 |
| 治理架构 | 董事会决议、组织架构图、职责分工 | 独立合规官是否到位 |
| 资金来源证明 | 银行流水、验资报告、股东出资凭证 | 大额资金是否涉及制裁名单 |
| 合规制度文件 | AML/CFT政策手册、KYC操作规程、风险评级模型 | 是否覆盖VARA规则手册第7章要求 |
| 技术架构说明 | 钱包方案、冷热分离比例、交易监控系统 | 资产隔离和私钥管理 |
| 高管背景调查 | 董事会成员和合规官的无犯罪记录证明、资质证书 | DIB内幕名单和制裁名单交叉核查 |
这份清单看着不复杂，但实际准备起来坑特别多。去年有家新加坡的支付公司，资金来源证明只交了验资报告，没有提供银行流水，VARA审查官直接打回，理由是"无法验证资金流转路径的合法性"。后来补了三个月的银行流水加资金路径说明函，才进入下一轮审查。
某支付公司48小时过审怎么回事
说个真实的案例。去年Q3，一家做跨境B2B支付的香港公司找到我们，他们在迪拜设了子公司，申请VASP-TT（虚拟资产转账服务）牌照。之前自己折腾了四个月，材料被打回三次，每次退回的原因都不同：第一次是合规手册用的模板版本太旧，没覆盖VARA 2024年更新的规则手册；第二次是组织架构图里的合规官同时兼了风控官，VARA要求两个岗位必须独立；第三次是技术架构说明里冷钱包私钥管理方案写得太笼统，没说清楚多签方案的具体流程。
我们接手后第一步不是改材料，而是先把VARA审查官之前所有的退回意见整理成一张问题清单，然后逐条对齐VARA规则手册的原文条款。第二步，把合规手册重写了一遍，按照VARA规则手册第7章（AML/CFT）和第8章（Risk Management）的结构重新组织，确保每一项制度都能在规则手册里找到对应条款。第三步，技术架构说明换成了一张完整的冷热钱包资金流转图，标注了每一笔资金的审批权限、多签流程和应急接管方案。
材料重新提交后，48小时内就收到了VARA的审查通过通知，进入现场检查阶段。为什么这么快？不是因为走了什么后门，而是因为材料对齐了审查官的思维框架——VARA的审查逻辑是"条款匹配制"，你提交的每一份文件都要能对应到规则手册的某个条款，只要映射关系清晰，审查官扫一遍就能过。
不同业务类型的尽调深度差多少
VARA对不同业务类型的KYC尽调深度要求差异很大，不是一刀切。很多老板以为拿到牌照就万事大吉，实际上不同类别的持续合规义务完全不同。下面对比一下三个主流类别的尽调要求：
| 对比维度 | VASP-CBC（交易托管） | VASP-TT（转账服务） | VASP-BD（经纪商） |
|---|---|---|---|
| 客户尽调频率 | 每笔交易触发式 | 开户时+定期复核 | 开户时+交易阈值触发 |
| 受益所有人穿透 | 25%以上穿透到自然人 | 25%以上穿透到自然人 | 10%以上穿透到自然人 |
| 持续监控要求 | 实时交易监控+可疑交易报告 | 交易链路监控+制裁筛查 | 客户行为画像+风险评分变动 |
| 最低资本金 | 根据AUM阶梯式 | 固定50万AED | 固定15万AED |
| 报告周期 | 月度合规报告+季度AML报告 | 季度合规报告 | 季度合规报告+年度审计 |
| 现场检查频率 | 每年至少2次 | 每年1次 | 每2年1次 |
这张表不是我拍的脑袋，是VARA规则手册第3章（Market Conduct）和第7章（AML/CFT）里逐条扒出来的。VASP-CBC类别为什么查得最严？因为它直接碰客户资金，万一冷钱包被黑或者内部挪用，影响的是成千上万用户的资产安全。而VASP-BD经纪商类别，客户资金不经过你手里，所以监管的关注点更多在销售行为和信息披露上。
某交易所补交材料被退回三次
再讲一个反面案例。一家东南亚的加密货币交易所，去年申请VASP-CBC类别，老板觉得不就是准备材料嘛，找了个迪拜当地的律所帮忙。那家律所确实有牌照代理经验，但做的是传统金融牌照，不熟悉VARA的数字资产监管框架。
第一次提交，合规手册用的是阿联酋央行（CBUAE）的AML模板，VARA审查官一看就不对——CBUAE的AML框架是针对传统银行的，VARA的规则手册是专门为虚拟资产设计的，两者的风险场景、客户类型、交易模式完全不同。审查官退回时直接在意见里写了"Please refer to VARA Rulebook Chapter 7, not CBUAE AML Guidelines"。
第二次提交，换了VARA的模板，但技术架构部分还是老套路，只写了一句"采用冷热钱包分离架构"，没有详细说明私钥生成、存储、使用和销毁的全流程。VARA对数字资产托管的技术审查非常细，要求你把MPC多签方案的具体参数、密钥分片的持有方、灾难恢复流程都写清楚。
第三次提交，技术部分补全了，但资金来源证明又出了问题。这家交易所的运营资金里有部分来自一个离岸信托，信托的受益人结构复杂，VARA要求把信托的设立文件、受托人资质、受益人名单和资金分配规则全部翻译成英文并公证。这一来一去，光翻译公证就花了六周。
后来这家交易所找到我们，我们花了三周时间把所有材料按照VARA规则手册的章节结构重新整理了一遍，第四次提交后两周通过材料审查。前后折腾了快七个月，时间和资金成本都远超预期。
自己跑VARA还是找代理机构
这个问题被问得太多了。我的看法是：要看你的团队有没有跨境合规经验。如果你们公司有全职的合规官，且这个人做过阿联酋或中东地区的金融牌照申请，自己跑完全可行。但如果团队里没有这种背景的人，建议还是找专业代理。
| 对比维度 | 自己申请 | 专业代理 |
|---|---|---|
| 前期成本 | 仅VARA申请费约5万AED | 申请费+代理服务费约15-25万AED |
| 时间周期 | 4-8个月（含退回重审） | 2-3个月（材料一次过审率高） |
| 材料质量 | 取决于内部合规团队能力 | 有VARA规则手册逐条对标的经验库 |
| 审查沟通 | 需自行应对审查官提问 | 代理直接对接审查官，高效沟通 |
| 风险 | 退回2-3轮是常态 | 一次性过审率80%以上 |
| 后续合规 | 需自建持续合规体系 | 代理提供合规托管服务 |
不是说代理一定比自己做好，而是信息差在这里太值钱了。VARA的审查官每年处理上百份申请，他们心里有一套不成文的审查逻辑——什么材料先看、什么部分容易出问题、技术架构说明写到什么程度算够。这些东西规则手册里不会写，只有反复经手才能积累。
某DeFi项目从零到拿牌的全过程
最后一个案例是去年底落地的。一家做去中心化金融（DeFi）协议的创业团队，团队核心成员是技术出身，没有任何金融合规背景。他们要做的是一个虚拟资产借贷平台（VASP-LB类别），找到我们的时候连公司都没注册。
整个流程我们分了五个阶段推进。第一阶段，在迪拜DMCC自由区注册公司，同时启动VARA牌照的预沟通。VARA有一个pre-application consultation机制，正式提交前可以先跟审查官沟通业务模式，确认你的业务到底属于哪个类别。这一步特别重要，因为很多项目的业务模式跨了好几个类别，选错类别后面全白费。
第二阶段，根据预沟通结果确定申请VASP-LB类别，然后准备公司层面的KYC材料。创始团队四个人，每个人都需要提供护照、学历证明、过去五年的工作履历和无犯罪记录证明。因为有两位创始人之前在制裁名单关联公司工作过（不是被制裁，只是在被制裁的公司工作过），我们额外准备了一份详细的关联说明函，解释了雇佣关系的时间线和工作内容。
第三阶段，技术架构文档。这个项目的借贷协议用的是链上清算机制，所以VARA特别关注智能合约的审计报告和清算逻辑的安全保障。我们安排了两次第三方审计，一份给CertiK，一份给Trail of Bits，双审计报告同时提交，给审查官足够的信心。
第四阶段，合规制度文件。按照VARA规则手册第7章的AML/CFT要求，我们写了一份56页的合规手册，涵盖客户分类、风险评级、制裁筛查、可疑交易报告、记录保存和员工培训六个模块。同时配套了一份14页的操作规程，把手册里的制度翻译成可执行的SOP。
第五阶段，正式提交后进入现场检查。VARA派了两位审查官到迪拜办公室，检查了两天：第一天查文件和制度落地情况，第二天查技术系统的实际运行。最后顺利通过，从公司注册到拿牌，总共花了98天。
VARA审查中常见的退回原因
根据我经手的案例统计，退回率最高的几个原因集中在以下几个方面：
- 合规手册版本过时——VARA规则手册每年更新一次，2024年3月的更新新增了关于稳定币和NFT的处理指引，很多申请人的合规手册还停留在2023年的版本
- 受益所有人穿透不完整——多层股权结构没有逐层穿透到最终自然人，或者穿透过程中缺少中间层级的注册文件
- 技术架构说明太笼统——只写了"采用MPC多签"但没说密钥分片数量、持有方身份和阈值设定
- 资金来源链条断裂——只提供最终入账凭证，缺少中间流转环节的银行流水
- 制裁筛查覆盖不足——只做了OFAC筛查，没有覆盖阿联酋本地制裁名单和联合国安理会制裁名单
- 合规官独立性存疑——合规官同时兼任其他业务岗位，或者向CEO而非董事会汇报
经常被问到的几个问题
问：VARA牌照拿到之后还需要做什么？
拿到牌照只是第一步。VARA要求持牌机构每季度提交合规报告，包括客户数量、交易量、可疑交易报告数量和制裁筛查命中记录。另外每年至少接受一次现场检查，VASP-CBC类别是每年两次。如果业务模式发生重大变更（比如新增业务类别），需要重新申请变更审批。
问：KYC尽调材料可以用其他牌照的申请材料吗？
部分可以，但需要大幅修改。比如你在香港SFC或新加坡MAS做过KYC尽调，公司注册文件和股东背景调查可以直接用，但合规手册必须按VARA规则手册重写，因为监管框架不同。技术架构说明如果业务模式一样也可以复用，但如果是不同类别的牌照，技术架构要求不同，需要调整。
问：VARA审查官说英文还是阿拉伯语？
正式文件和沟通都用英文。VARA的审查团队国际化程度很高，我接触过的审查官来自英国、印度、阿联酋本地，工作语言全是英文。所以材料准备时确保英文翻译质量很关键，建议找有金融合规翻译经验的翻译做，不要用通用翻译软件。
问：如果材料被退回了，有没有次数限制？
VARA没有明确规定退回次数上限，但实务中如果同一份材料被退回三次以上，审查官会对申请人的合规能力产生质疑。我见过一个案例被退回五次后，VARA发了一封"show cause letter"，要求申请人解释为什么应该继续审理其申请。所以前两轮就把材料做到位非常关键。
问：个人可以申请VARA牌照吗？
不行。VARA牌照只面向法人实体，且注册地必须在迪拜或迪拜认可的自由区（如DMCC、DIFC、DWTC等）。如果你是个人想从事虚拟资产业务，需要先注册公司再申请牌照。
说到底，迪拜VARA牌照KYC尽调这件事，核心不在于材料多厚、流程多复杂，而在于你能不能站在审查官的角度去理解每一份文件背后的监管意图。VARA的规则手册虽然只有几百页，但字里行间的审查逻辑是需要反复实战才能摸透的。如果你正在准备申请或者材料被退回不知怎么改，别自己硬扛，找个懂行的人聊聊，往往一个小时的沟通比你自己查三天资料管用得多。英美金服团队在迪拜VARA牌照领域已经落地了十几个项目，从VASP-TT到VASP-CBC全覆盖，欢迎随时来聊。
扫码添加微信详询
本文由Jason撰写，仅代表作者个人观点。文章内容仅供参考，不构成任何形式的专业建议。转载需获得明确授权，并完整标注原文出处链接：https://www.fcanfa.com/license/dubai-vara-kyc-checklist-2026.html
