您擁有實體、地址，甚至資金。那麼為何監管機構仍不滿意？因為根據 MiCA，實質性是一項經驗性測試，用以判斷您的業務是否真正於歐盟境內運營，而大多數申請者都低估了這一點的實際要求。
MiCA 解讀是一系列共 12 篇的週刊文章，刊登於 Bitcoin.com 新聞，由 LegalBison 的共同創辦人及管理合夥人：Aaron Glauberman、Viktor Juskin 和 Sabir Alijev 聯合撰寫。LegalBison 為 crypto 和金融科技公司提供有關 MiCA 許可、CASP 和 VASP 註冊，以及歐洲及全球其他地區監管架構的諮詢服務。
本週的文章由 LegalBison 的律師 Krystian Lapka 撰寫。Krystian 專長於跨境企業與商業交易，以及民法與普通法交界處的戰略風險管理。
大多數首次申請 CASP 的創始人都明白，至少在抽象層面上，MiCA 要求在歐盟有實際存在。但他們低估了監管機構對「實際」的定義。
典型的初期設置在紙面上看來是協調一致的：在有利的歐盟管轄區註冊辦公地址、治理文件中列明董事、資訊與通訊技術系統採用雲端託管或由集團全球基礎設施管理，以及認繳資本存放在新開立的銀行帳戶中。
從內部來看，這是一家歐盟公司。從國家主管當局的觀點來看，它可能看起來像是一家有董事掛名的信箱公司。
本文剖析了 MiCA 對人員、技術和財務韌性所提出的實際要求，並解釋為何監管機構將每個類別視為功能測試，而非文件審查。
推動所有這些的擔憂都是一樣的：防止空殼公司，這些實體僅在紙面上存在於有利的司法管轄區，但在該地區缺乏任何有意義的經濟活動、人力資本或運營能力。
迷思：存在等於實質
這裡的監管邏輯早於 MiCA。在標誌性的 Cadbury Schweppes 判決（案件 C-196/04）中，歐洲聯盟法院確立了「設立自由」不得用於創造缺乏真實經濟活動的「完全虛構安排」。MiCA 直接將此原則編入加密資產監管中。
MiCA 第 59(2) 條規定，獲授權的 CASP必須在其從事部分加密資產服務的成員國設立註冊辦事處，其實際管理地點必須位於歐盟境內，且至少有一名董事居住於歐盟。此條款雖簡短，但其背後的要求卻嚴格得多。
歐洲證券和市場管理局（ESMA）關於加密資產服務提供商（CASPs）授權的監管簡報雖無約束力，但明確表明了各國主管當局預期如何在實際操作中解釋這些要求。
法定文本與監管期望之間的差距，正是許多應用程式遇到摩擦的地方。
人員：誰實際在運營這個實體
根據 MiCA，最低門檻為一名居住於歐盟的董事。監管指引提高了這一要求。
歐洲證券和市場管理局的簡報預期將由至少兩名高級管理人員共同監督日常運營。理由很直接：單一管理人員會造成集中風險，並消除健全治理結構所需的內部制衡。兩名職責明確且重疊的管理人員是預期的基本標準。
單靠居住地並不足夠。指引指出，若管理機構成員並非居住於國家主管當局的管轄範圍內，則該人士應能在當局要求下於兩個營業日內親自出席會議。
對於在運營上要求監督者與被監督者需有實體鄰近性的司法管轄區而言，這是一項實際限制，限制了董事可有效所在地點與家園司法管轄區之間的距離。
時間投入同樣受到嚴肅對待。歐盟證券和市場管理局（ESMA）在其 Supervisory Briefing on Authorization of CASPs中表明的立場是，執行管理委員會成員通常應將其100%的專業時間投入於CASPs職務。同一人同時在多個實體擔任執行職務的「雙重角色」，僅在有限情況下被允許。若執行人員將注意力分散於CASPs與其他集團公司之間，很可能在適格性評估中受到審查。
報告線的重要性不亞於個人檔案。管理機構必須證明，戰略與運營控制權位於歐盟實體內，而非位於第三國、實際做出決策並向下發出指令的母公司。
一家歐盟子公司，其高層管理人員實際上作為非歐盟總部的執行代理人，從監管角度來看，並非具有真實歐盟管理的實體。
AML 層面強化了這一點。負責提交可疑活動報告（MLRO）的個人必須實際在場，擁有實質權力，並能直接與當地金融情報單位互動。此要求反映了一項更廣泛的全球趨勢：FATF 和 OECD 的Crypto-Asset Reporting Framework (CARF)遵循相同邏輯，將實質性與透明度要求擴展至歐盟以外地區。
MiCA 的人員要求與 CARF 并非相互獨立的發展；它們反映了國際上對於受監管 crypto 機構內部架構的趨同標準。
根據第68(1)條的集體適宜性標準，管理機構無論個別或集體都必須具備適當的知識、技能和經驗。如本系列上一期所提及，該標準涵蓋傳統金融市場監管、DLT基礎設施與網絡安全，以及組織治理。這些領域的專業知識都必須在團隊中有所體現。
一支完全由加密貨幣原生背景成員組成、缺乏受監管金融服務經驗的團隊，或一隊擁有深厚傳統金融經驗但無法評估鏈上風險的團隊，其結構性缺口將在評估過程中浮現。
科技：掌控，而非僅僅託管
DORA（法規 (EU) 2022/2554）直接適用於 CASP，並設定了 ICT 韌性要求的框架。監管機構對技術的問題並非企業使用的是什麼基礎設施，而是誰控制它。
根據目前的監管實踐，由 AWS、Azure 或類似供應商託管的雲端基礎設施是可接受的。當在歐盟獲授權的實體對其依賴的系統缺乏實際管理控制時，問題便會出現。
如果加密密鑰管理由母公司全球 IT 團隊負責，客戶資料的存取權限由歐盟以外地區管理，或災難恢復計劃依賴於第三國總部的批准，則該歐盟實體無法證明其具有真正的運營獨立性。
ESMA 的立場，如其諮詢文件所反映，是歐盟管理團隊必須對與 CASP 運營相關的 ICT 基礎設施擁有實際控制權。根據第 68(7) 條要求的業務連續性政策和災難恢復計劃，必須由歐盟實體擁有並可執行，而非依賴於在危機中可能響應也可能不響應的全球功能。
實務測試的重點在於：如果母公司全球IT團隊一夜之間無法聯繫，歐盟實體是否仍能繼續運營、存取客戶資金，並將資產返還給客戶？如果答案是否定的，或必須大幅升級至非歐盟人員才能處理，則實質問題尚未解決。
GDPR 合規性與資料治理要求建立在 DORA 框架之上。資料處理安排、控制者與處理者之間的關係，以及資料所在地考量，均構成監管機構將審查的技術架構部分。
財務：真正有效的資金
第 67 條 設定最低審慎保障措施。資本等級根據服務類別定義：
| CASP 分類 | 允許的加密資產服務 | 最低初始資金 |
| 第 1 級 | 訂單的接收與傳輸；投資建議；投資組合管理。 | 50,000 EUR |
| 第 2 級 | 第 1 級服務 Plus：加密資產與法定貨幣或其他加密資產之間的交換；訂單執行；加密資產的存放。 | 125,000 EUR |
| 第 3 級 | 第 1 級和第 2 級服務加：交易平台的運營；代表客戶保管和管理加密資產。 | 150,000 EUR |
最低資本額為起點，而非上限。審慎保障措施必須等於永久最低資本或前一年固定開支的四分之一中的較高者。
隨著 CASP 的成長及其固定開支增加，第二項限制條件將成為關鍵約束。當開支超過初始實繳資本的四倍時，公司必須轉向以開支為基礎的框架。這一轉折點到來的速度比許多運營者預期的要快，而監管機構則期望進行主動監控，而非被動調整。
一個值得注意的結構性要點：資金必須匯入由正式信貸機構持有的帳戶。
EMI 或支付服務提供商帳戶不滿足此要求。作為crypto企業建立銀行關係需要時間，且無法保證成功。在正式提交申請之前提前開始此流程並非可選，而是影響整個授權時間表的順序限制。
用於計算固定費用的財務報表須經國家監管機構審計或驗證，這又增添了一層行政負擔。新成立的實體在預測其首十二個月的費用時，必須將這些預測納入授權申請中，並明確記錄所採用的方法。
外包與實質門檻
第 73 條允許 CASP 將運營功能外包給第三方。限制在於，外包不得使獲授權實體空心化。責任仍由 CASP 承擔；節點委託不轉移問責。
ESMA 的 對 CASP 授權的監管簡報 指出，位於歐盟以外的職能所佔總成本的百分比，是判斷外包是否過度的一個實用指標。若一家 CASP 的大部分營運開支流向非歐盟服務提供商，即使這些提供商運作良好且聲譽卓著，也可能面臨質疑，即該歐盟實體是否具備足夠的內部能力，以符合真實服務提供商的資格，而非僅作為通道。
監管機構所區分的是：將特定功能外包但仍保留控制權的 CASP，以及將所有實質性功能外包、僅保留法律形式的 CASP。後者無論申請中如何描述此安排，都只是一個空殼。
司法管轄區差異：同一法律，不同實踐
MiCA 直接適用於所有歐盟成員國。實質性要求是統一的，但監管實踐則不然。
塞浦路斯通過塞浦路斯證券交易委員會（CySEC）明確要求，CASP 的董事會大多數成員必須為塞浦路斯的實質居民。對於由兩名執行董事和兩名非執行董事組成的董事會，這意味著至少需要三名居住在塞浦路斯的董事。這超出了 MiCA 文本的要求，反映了在統一的歐盟框架之上疊加的國家反洗錢指令。
愛沙尼亞呈現了不同的態勢。在先前由金融情報單位管理的VASP註冊制度下，愛沙尼亞成為歐洲最易取得執照的司法管轄區之一。過渡至MiCA後，監管職責轉交至愛沙尼亞金融監督與解決局，這帶來了不同的機構審查與持續監督方式。
本系列先前章節所討論的波蘭立法狀況，導致出現了一個結構性缺口：國內的MiCA實施法尚未頒布，使得KNF尚未被正式指定為主管機關，而VASP持有者也缺乏可行的國內CASP申請途徑。
這些差異並非漏洞或行政上的異常，而是反映了現實情況：即使有協調的法律框架，仍需透過各國的監管文化、人力限制和機構歷史來運作。選擇一個司法管轄區進行CASP授權，意味著選擇了一個監管機構，並伴隨所有實際影響。
什麼是「真實企業」實際所需
綜合來看，MiCA 下的實質要求反映的是一種監管理念，而非一份檢查清單。監管機構希望確保，若發生問題，其擁有有效的救濟途徑。
這意味著高層管理層在歐盟法律下可被實質接觸且需承擔法律責任。這意味著資訊與通訊系統可由歐盟實體控制，且無需依賴非歐盟授權鏈。這意味著資本真正可用，且規模與實際運營風險相匹配。
這意味著治理，其中歐盟實體作出實際決策，而非執行來自其他地方的指示。
以文件撰寫為導向的公司往往發現此過程比預期更困難；而優先建立實質內容、再為已建構的內容撰寫文件的公司則通常覺得更為簡便。申請書並未創造組織，它只是描述一個應已大致存在的組織。
來源：
本文基於 LegalBison 於 2026 年 5 月進行的 研究，內容僅供資訊參考，不構成法律建議。