VARA CISO 任命与人员能力规则

VARA 合规 · 迪拜

CISO 任命规则只有三句话，员工能力规则只有一句。关于 VARA 人员要求，您读到的几乎所有其他内容都只是他人的观点。本文列出规则手册原文，并说明具有约束力的要求实际位于何处。

技术和信息规则手册，第一部分，第一节

CISO 规则的实际规定

规则 I.I.1 构成了任命义务的全部内容：

“VASP 必须任命一名首席信息安全官（‘CISO’），负责确保该 VASP 遵守本技术和信息规则手册第一部分和第三部分。CISO 必须是不同于 CO 的单独个人，但 CISO 也可以承担本技术和信息规则手册规则 II.B.2 项下数据保护官的职责。”

VARA 技术和信息规则手册，规则 I.I.1

该文本直接得出三点，也仅此而已。

• CISO 的职责范围由规则手册范围界定，而不是由职位描述界定。CISO 对 VASP 遵守技术和信息规则手册第一部分（技术治理、网络安全、密钥和钱包、测试和审计、交易、算法治理、业务连续性）以及第三部分（保密信息）负责。
• CISO 不能兼任合规官。必须始终由两名个人分别担任。这是规则手册明确点名禁止的唯一组合。
• CISO 可以兼任数据保护官。规则 II.B.2.a 从另一方向重复了这一点：“数据保护官可以与 VASP 的 CISO 为同一人。”

规则 I.I.2 规定了对人员本身的标准：“CISO 必须具有足够良好的声誉并具备适当经验。”这就是完整文本。规则 I.I.3 将持续性责任置于高级管理层，其必须定期评估和审查 VASP 为遵守规则手册而设置的流程、程序和控制措施的有效性，并且必须“在 VASP 内部分配职责并划分角色和责任，以防止利益冲突”。您是否认可这种起草方式，取决于您对判断空间的接受程度。VARA 拒绝写入一个随后必须在各种规模 VASP 面前加以辩护的门槛，而是将评估留给您。这是诚实的监管，也比一个数字更难满足，因为数字可以在纸面上达标，而判断必须有证据支撑。

Company Rulebook & Compliance and Risk Management Rulebook

VARA 实际强制要求的每一项任命及其标准

CISO 是若干指定任命之一。规范性标准包括工作经验年限、居住地、全职状态、汇报线、VARA 批准，不同角色之间差异很大。多数 VASP 最容易弄错的就是这张表，因为 Compliance Officer 的严格条件经常被照搬为同样适用于 CISO。

有两条组合规则值得准确说明，因为它们的方向相反。合规官可以同时担任多个非客户面对面的角色，明确包括 MLRO 和风险职能负责人，前提是这些角色不会产生相互冲突的职责（Compliance and Risk Management Rulebook I.C.4，以及 MLRO 方面的 III.A.4）。相比之下，CISO 不得担任 CO。并且根据 Company Rulebook，高级管理层成员可以进入董事会，但 CO 和任何内部审计职能负责人除外（Company Rulebook I.D.5.a），二者都应直接向董事会汇报（Company Rulebook II.B.3）。

因此，规则所要求的最低人员配置并不取决于公司规模。每家持牌 VASP 至少需要：两名 Responsible Individuals、一名合规官、一名 MLRO、一名 CISO、一名 DPO 和一名公司秘书。CO 可以兼任 MLRO。CISO 可以兼任 DPO。CISO 不得担任 CO。VARA 并未发布按员工人数对应的人员配置表，任何提供此类表格的文章都是自行编造的。您应以这一人员计算结果来决定招聘顺序。合规官是成本较高的任命，因为经验最低要求、居住地条件、全职身份以及 VARA 批准都会同时落在同一个人身上。CISO 席位则更具灵活性，与 DPO 合并是显而易见的第一步。在编写岗位说明之前，应先明确哪些角色可以兼任。

Company Rulebook，第 II 部分和第 III 部分

当 VARA 没有给出年限要求时，如何证明“具备适当经验”

Rule I.I.2 只给了两个词，却没有给出门槛。评估标准并不在 Technology and Information Rulebook 中，而在 Company Rulebook 中，该规则说明了 VASP 应如何评估任何担任监督岗位的人员是否具备适当资格。

Company Rulebook II.A.1 要求 VASP 维护策略和程序，以确保董事会、Senior Management 和 Staff 的所有成员均具备与其岗位相称的资格，并列明内部评估必须包含的标准：学历资质；专业资格；专业经验；所获奖项和荣誉；以及专业组织和服务组织的会员资格。II.A.2 进一步规定，董事会只能任命具有相关经验和资格的 Staff 担任监督职位，并应考虑该角色的职责以及该 VASP 的 VA Activities。

这就是对“具备适当经验是什么意思？”的诚实回答。它的含义是：按照 Company Rulebook 规定的方式，以书面形式，围绕上述五项明确标准开展评估，并保留档案。CISSP 或 CISM 等认证属于“专业资格”项下的证据；它不是 VARA 要求，也不能替代该评估。

《技术与信息规则手册》，第 I 部分，J 节

员工胜任能力：一句话，以及其余要求所在之处

《技术与信息规则手册》J 节只有一条规则：

“除《合规与风险管理规则手册》中的相关要求外，VASP 必须确保所有员工了解最新的网络安全风险和发展动态（包括与虚拟资产和 DLT 相关的特定风险和动态），并考虑其在各自角色中可能面临的网络风险类型和级别。”

VARA《技术与信息规则手册》，规则 I.J.1

请注意这条规则做了什么，也没有做什么。它适用于所有员工。它要求内容保持时效性（“最新”），要求针对虚拟资产和 DLT 具有特定性，并要求与角色相称（“其在各自角色中可能面临的网络风险类型和级别”）。它没有规定频率。规则手册中没有年度强制要求、没有季度复训要求，也没有分层课程体系。您看到的任何被包装成 VARA 要求的培训日历，都是供应商的设计选择。这种自由值得善用，而不是害怕。选择与您实际拥有的角色相称的节奏，写下理由，您就拥有了一个可辩护的立场。硬套一个通用的年度线上学习模块，您得到的只是一个完成率，而它并不能说明虚拟资产或 DLT 风险，这才是规则 I.J.1 唯一要求关注的事项。

该规则开头的措辞本身就指明了运营性培训义务写在哪里：《合规与风险管理规则手册》第 I 部分 J 节（员工管理与培训）。这些是规则，而且确实带有时间要求：

• 只聘用合格人员（I.J.1）。应制定程序，确保 VASP 仅雇用具备适当资格并拥有履行受雇职责所需技能、知识和专长的个人，并已在任何适用的专业机构正式注册。
• 人数也要足够（I.J.2）。应配备适当数量的员工，以有效履行相关职责。除非某本规则手册另有规定，只要监督、监控和执行职能能够按 VARA 满意的程度有效实施，员工不需要实际位于酋长国境内。
• 入职时和持续开展培训（I.J.4）。“应在员工受雇开始时并持续为其提供充分培训，该培训应适合员工在其角色中需要履行的职责。”
• 定期开展 AML/CFT 培训（I.J.5），并监控员工对既定程序的遵守情况。
• 策略为三十天（I.J.6）。所有运营策略和程序必须在新员工入职后的前三十（30）个日历日内传达给其本人。策略更新时，必须及时将变更告知所有员工，并确保更新后的版本始终可供查阅（I.J.7）。

这三十天窗口是员工培训规则中唯一的硬性时限。它既是培训义务，也是文档记录义务，并且属于监管人员可以对照记录检查的事项。这也是一种很容易在未察觉中失守的要求。新员工等待笔记本电脑和系统账户时，三十天已经过去，而这个缺口往往要到很久以后有人索要确认记录时才暴露出来。

《技术与信息规则手册》第 II 部分和第 III 部分

CISO 还负责机密信息和数据事件时钟

规则 I.I.1 规定，CISO 负责 VASP 遵守《技术与信息规则手册》第 III 部分以及第 I 部分。第 III 部分篇幅很短，目标明确指向员工行为：

• 熟悉并认证（III.A.3）。 VASP 必须使员工熟悉其关于收集和处理机密信息的内部策略，以及适用于他们的第 III 部分要求，并且必须定期认证其员工遵守这些内部策略。这是一项明确且反复发生的证明义务。
• 按需知原则共享（III.A.4）。 员工不得在 VASP 内部或与任何其他实体共享机密信息，“除非出于开展与该机密信息相关的 VA 活动之目的绝对必要”。
• 不得据此交易（III.A.5）。 VASP 及其员工均不得为了任何实体交易虚拟资产之目的使用或共享机密信息。

第 II 部分包含个人数据义务，二十四小时时钟也在这里，这个时钟经常被误述。规则 II.C.2 要求 VASP 在其就任何影响或可能影响个人数据的事件向数据监管机构或数据主体发出通知后二十四 (24) 小时内通知 VARA，并向 VARA 提供该报告的摘要（如果数据监管机构位于 UAE，还需提供报告副本）。触发点是您向数据监管机构或数据主体发出通知。实际执行起来比乍看更容易，因为时钟从您可控制的一项行动开始。它也意味着，如果内部就是否通知数据监管机构作出决定很慢，也会默默推迟 VARA 通知，事后解释这一顺序会相当尴尬。

将您任命相关的证据集中管理

策略、确认记录、风险、事件和控制措施证据，保持审计就绪，并可在您已运行的各类框架中复用。