200 câu hỏi về Crypto cần trả lời cho cả nhà đầu tư, cơ quan quản lý, và thị trường

Tổng hợp “bộ câu hỏi chuẩn kiểm định & tuân thủ pháp lý (Regulatory Compliance & Market Readiness Checklist)” cho thị trường tài sản số Việt Nam mà các nước như EU (MiCA), Mỹ (SEC–CFTC–FinCEN) và Hàn Quốc (VAUPA, DABA) đều yêu cầu ở các cấp độ khác nhau. Nhà đầu tư cần lưu ý 10 nhóm câu hỏi pháp lý – kỹ thuật – quản trị – bảo vệ nhà đầu tư.

BỘ 200 CÂU HỎI KIỂM ĐỊNH PHÁP LÝ – THỊ TRƯỜNG TÀI SẢN SỐ (2025)

(Dựa theo: MiCA 2023/1114 – Recital 68-75, US FinCEN / SEC / CFTC / OCC Guidelines, Korea VAUPA 2024, và Nghị quyết 05/2025 NQ-CP Việt Nam)

I. KHUNG PHÁP LÝ & CẤU TRÚC TỔ CHỨC (20 câu)

1. Doanh nghiệp có đăng ký tại Việt Nam và có pháp nhân hợp pháp không?

2. Mã số doanh nghiệp, vốn điều lệ, cổ đông sáng lập có được thẩm định nguồn gốc vốn?

3. Cơ cấu cổ đông có đáp ứng quy định “≥ 65% tổ chức tài chính, ≤ 49% nước ngoài”?

4. Có quy chế nội bộ về chống xung đột lợi ích?

5. Đã được Bộ Tài chính cấp phép hoạt động thí điểm chưa?

6. Có văn bản xác nhận đăng ký ngành nghề “dịch vụ tài sản mã hóa” trong GCN ĐKDN?

7. Có phân biệt rõ giữa hoạt động phát hành, niêm yết, môi giới, và lưu ký?

8. Có Hội đồng quản trị độc lập, và Ban kiểm soát theo quy định?

9. Có chính sách minh bạch thông tin đối với nhà đầu tư?

10. Có quy trình báo cáo định kỳ lên Bộ Tài chính/NHNN?

11. Có cơ chế xin gia hạn, thu hồi hoặc đình chỉ giấy phép?

12. Có quy định rõ về quyền, nghĩa vụ của người phát hành và người đầu tư?

13. Có quy định xử lý khi dự án vi phạm hoặc gian lận?

14. Có quy định xử lý tranh chấp nội bộ, trọng tài hoặc tòa án?

15. Có hợp đồng mẫu, điều khoản miễn trừ, giới hạn trách nhiệm?

16. Có chính sách công bố rủi ro (risk disclosure) theo MiCA Art. 77?

17. Có phân tách tài sản công ty và tài sản khách hàng (segregation)?

18. Có quy định chuyển giao, sáp nhập, giải thể rõ ràng?

19. Có quy trình phê duyệt sản phẩm trước khi niêm yết?

20. Có bộ phận pháp chế – tuân thủ chuyên trách?

II. NHẬN DẠNG & PHÂN LOẠI TÀI SẢN MÃ HÓA (20 câu)

21. Token phát hành có chức năng thanh toán, đầu tư hay tiện ích?

22. Token đó có phải là “crypto-asset” theo MiCA Art. 3(1)?

23. Có phải stablecoin (ART hoặc EMT)?

24. Token có gắn với tài sản thực (RWA)?

25. Token có quyền biểu quyết hoặc cổ tức?

26. Đã có bản cáo bạch (whitepaper) công bố công khai?

27. Whitepaper có được Bộ Tài chính phê duyệt?

28. Có cơ chế cập nhật và lưu trữ bản cáo bạch?

29. Có cảnh báo rủi ro rõ ràng với nhà đầu tư cá nhân?

30. Có định giá độc lập (valuation) cho token gắn với tài sản thực?

31. Token có thể quy đổi sang tiền pháp định?

32. Có mô hình đảm bảo thanh khoản hoặc quỹ dự phòng?

33. Có cơ chế chống thao túng giá?

34. Có đơn vị kiểm toán độc lập xác nhận số lượng token phát hành?

35. Có báo cáo minh bạch “proof-of-reserve”?

36. Có đăng ký danh sách token niêm yết với cơ quan quản lý?

37. Có hạn mức phát hành / tổng cung?

38. Có quy định xử lý khi stablecoin mất neo (de-peg)?

39. Token có tuân thủ tiêu chuẩn ERC-20, BEP-20, SPL,… theo chuẩn kỹ thuật an toàn?

40. Token có được phép giao dịch tại sàn trong nước?

III. CẤP PHÉP & GIÁM SÁT (20 câu)

41. Đã nộp hồ sơ xin cấp phép sàn giao dịch?

42. Hồ sơ có bản thẩm định năng lực tài chính và công nghệ?

43. Có kiểm toán độc lập định kỳ 6 tháng/lần?

44. Có báo cáo tài chính hợp nhất theo IFRS hoặc VAS?

45. Có cơ chế phối hợp với cơ quan thanh tra giám sát tài chính?

46. Có quy trình xử lý sự cố hệ thống?

47. Có cơ chế khiếu nại – giải quyết tranh chấp nhà đầu tư?

48. Có lưu trữ dữ liệu giao dịch ít nhất 10 năm?

49. Có công bố định kỳ khối lượng giao dịch?

50. Có chịu kiểm toán công nghệ thông tin độc lập (SOC 2, ISO 27001)?

51. Có chính sách chống thao túng thị trường?

52. Có quy định xử phạt nội bộ?

53. Có bộ phận “tuân thủ giao dịch” (trade surveillance)?

54. Có hệ thống cảnh báo sớm về giao dịch bất thường?

55. Có cơ chế báo cáo nghi ngờ rửa tiền (SAR)?

56. Có chính sách kiểm soát nhân viên giao dịch nội gián?

57. Có hợp tác với Bộ Công an về phòng chống tội phạm mạng?

58. Có tuân thủ quy định lưu trữ dữ liệu người dùng tại Việt Nam?

59. Có cơ chế đình chỉ token vi phạm?

60. Có quy định hủy niêm yết (delisting) rõ ràng?

IV. CHỐNG RỬA TIỀN & KYC (20 câu)

61. Có chính sách AML/CFT theo FATF Travel Rule?

62. Có quy trình định danh khách hàng (KYC) điện tử?

63. Có xác minh danh tính cá nhân, hộ chiếu, căn cước?

64. Có kiểm tra danh sách trừng phạt (OFAC, UN, VN)?

65. Có giám sát giao dịch đáng ngờ?

66. Có báo cáo giao dịch giá trị lớn?

67. Có cơ chế lưu trữ log giao dịch?

68. Có chính sách onboarding khách hàng doanh nghiệp?

69. Có quy định độ tuổi tham gia?

70. Có cấm người dùng ẩn danh / mix-coin?

71. Có hợp tác với cơ quan điều tra khi có yêu cầu?

72. Có chính sách lưu trữ hồ sơ AML ít nhất 5 năm?

73. Có đào tạo định kỳ nhân viên về AML?

74. Có công cụ phân tích chuỗi (Chainalysis, TRM Labs)?

75. Có cảnh báo rủi ro tiền “bẩn”?

76. Có giới hạn số lượng nạp/rút hàng ngày?

77. Có hệ thống phát hiện giao dịch lặp lại bất thường?

78. Có báo cáo định kỳ cho cơ quan nhà nước?

79. Có hệ thống đánh giá rủi ro khách hàng (risk scoring)?

80. Có chính sách tạm khóa tài khoản khi nghi ngờ?

V. HẠ TẦNG CÔNG NGHỆ & AN NINH MẠNG (20 câu)

81. Hệ thống đạt chuẩn an toàn thông tin cấp 4 (theo Luật ATTT mạng)?

82. Có trung tâm dữ liệu đặt tại Việt Nam?

83. Có máy chủ dự phòng, hệ thống backup 3-2-1?

84. Có giải pháp chống DDoS, xâm nhập?

85. Có mã hóa dữ liệu AES-256?

86. Có xác thực 2FA cho người dùng?

87. Có lưu ký tài sản lạnh (cold storage)?

88. Có kiểm toán bảo mật độc lập (PenTest)?

89. Có hệ thống SOC – Security Operation Center 24/7?

90. Có kế hoạch khôi phục sau thảm họa (DRP)?

91. Có quy trình cập nhật phần mềm an toàn?

92. Có giám sát nội bộ SIEM?

93. Có bảo hiểm an ninh mạng?

94. Có chính sách phân quyền truy cập rõ ràng?

95. Có hợp đồng bảo mật (NDA) với nhà cung cấp dịch vụ IT?

96. Có kiểm tra an toàn ví (wallet audit)?

97. Có hệ thống chữ ký đa lớp (multi-sig)?

98. Có chính sách sao lưu dữ liệu người dùng?

99. Có kế hoạch bảo trì định kỳ?

100. Có báo cáo tuân thủ ISO 27001 / SOC 2?

VI. GIAO DỊCH & THANH TOÁN (20 câu)

101. Có cơ chế khớp lệnh minh bạch (order matching engine)?

102. Có báo giá real-time công khai?

103. Có quỹ dự phòng rủi ro thanh toán?

104. Có kết nối ngân hàng lưu ký hợp pháp tại VN?

105. Có cơ chế T+0/T+1 thanh toán bù trừ?

106. Có giám sát thao túng giá (wash trading, spoofing)?

107. Có công cụ chống front-running?

108. Có kiểm toán định kỳ khối lượng giao dịch?

109. Có giới hạn margin/leverage theo quy định?

110. Có hệ thống cảnh báo khi biến động mạnh?

111. Có cơ chế stop-loss và limit order?

112. Có xử lý lỗi khớp lệnh tự động?

113. Có hệ thống lưu vết giao dịch (trade log)?

114. Có phân tách rõ giao dịch tự doanh và khách hàng?

115. Có công bố phí giao dịch minh bạch?

116. Có quy trình hoàn tiền (refund)?

117. Có chính sách xử lý giao dịch sai lệch?

118. Có đồng bộ dữ liệu với cơ quan quản lý?

119. Có cơ chế tạm dừng thị trường khi biến động quá lớn?

120. Có lưu ký token theo chuẩn an toàn Custody MiCA?

VII. BẢO VỆ NHÀ ĐẦU TƯ (20 câu)

121. Có quỹ bảo vệ nhà đầu tư?

122. Có công bố rủi ro thị trường rõ ràng?

123. Có giới hạn cho nhà đầu tư nhỏ lẻ?

124. Có chương trình bồi thường khi mất tài sản do lỗi sàn?

125. Có cơ chế lưu giữ tiền khách hàng tách biệt?

126. Có chính sách bảo hiểm lưu ký tài sản?

127. Có kênh hỗ trợ khách hàng 24/7?

128. Có giải quyết khiếu nại trong 15 ngày?

129. Có công bố báo cáo rủi ro định kỳ?

130. Có quy trình đánh giá sản phẩm phù hợp nhà đầu tư (suitability test)?

131. Có cơ chế huỷ giao dịch trong vòng 24 giờ nếu lỗi hệ thống?

132. Có chương trình giáo dục tài chính cho người dùng?

133. Có chính sách xử lý dữ liệu cá nhân (PDPA)?

134. Có chính sách hoàn tiền khi sàn bị hack?

135. Có giới hạn rút tiền hàng ngày cho tài khoản mới?

136. Có công cụ cảnh báo rủi ro trước khi đầu tư?

137. Có công bố danh sách token rủi ro cao?

138. Có hướng dẫn phòng tránh lừa đảo?

139. Có hợp đồng điều khoản dịch vụ rõ ràng?

140. Có cơ chế tự giám sát độc lập về bảo vệ NĐT?

VIII. THUẾ, KẾ TOÁN & BÁO CÁO TÀI CHÍNH (20 câu)

141. Có tuân thủ quy định thuế TNDN & TNCN từ hoạt động crypto?

142. Có cơ chế khấu trừ thuế tự động khi NĐT rút tiền?

143. Có đăng ký mã số thuế đầy đủ?

144. Có hạch toán token theo chuẩn kế toán IFRS 9 / VAS 25?

145. Có kiểm toán thuế hàng năm?

146. Có báo cáo thuế giao dịch gửi cơ quan thuế?

147. Có phân loại thu nhập crypto: lãi vốn, cổ tức, phí giao dịch?

148. Có kê khai thuế GTGT khi cung cấp dịch vụ?

149. Có cơ chế truy vết nguồn tiền vào/ra?

150. Có hợp đồng với đơn vị kiểm toán độc lập?

151. Có công bố báo cáo thuế định kỳ công khai?

152. Có kiểm soát chi phí marketing bằng token?

153. Có chính sách ghi nhận dự phòng giảm giá token?

154. Có tuân thủ luật kế toán điện tử Việt Nam?

155. Có quy trình đối soát ngân hàng định kỳ?

156. Có công bố dòng tiền lưu ký?

157. Có kế hoạch kiểm toán chuyển đổi khi sàn niêm yết nước ngoài?

158. Có báo cáo tài chính hợp nhất?

159. Có lưu trữ sổ sách kế toán ≥ 10 năm?

160. Có chính sách chia lợi nhuận minh bạch?

IX. QUẢN TRỊ DOANH NGHIỆP & NHÂN SỰ (20 câu)

161. Ban điều hành có lý lịch tư pháp trong sạch?

162. Có kinh nghiệm tối thiểu 5 năm trong lĩnh vực tài chính / CN số?

163. Giám đốc CNTT có chứng chỉ CISA/CISM/CEH?

164. Có bộ phận kiểm soát nội bộ độc lập?

165. Có quy trình tuyển dụng – đào tạo nhân viên mới?

166. Có quy chế lương thưởng gắn KPI tuân thủ?

167. Có hợp đồng lao động chuẩn?

168. Có chính sách phòng chống quấy rối, đạo đức nghề nghiệp?

169. Có quy trình bảo mật nội bộ?

170. Có đánh giá năng lực nhân viên định kỳ?

171. Có hội đồng rủi ro (risk committee)?

172. Có chính sách whistle-blower?

173. Có quy định xung đột lợi ích nội bộ?

174. Có hợp đồng NDA với bên thứ ba?

175. Có chính sách quản lý nhà thầu CNTT?

176. Có đào tạo định kỳ về pháp lý, MiCA, AML?

177. Có cơ chế xử lý vi phạm nhân viên?

178. Có chương trình kiểm tra an toàn thông tin nội bộ?

179. Có kế hoạch kế nhiệm nhân sự chủ chốt?

180. Có đánh giá văn hóa tuân thủ hằng năm?

X. QUẢN LÝ RỦI RO & ỔN ĐỊNH THỊ TRƯỜNG (20 câu)

181. Có mô hình quản trị rủi ro thị trường, tín dụng, thanh khoản?

182. Có stress-test định kỳ?

183. Có quy trình kiểm soát đòn bẩy?

184. Có hệ thống cảnh báo mất thanh khoản?

185. Có quy định hạn chế đối tác rủi ro cao?

186. Có cơ chế ứng cứu khi stablecoin de-peg?

187. Có báo cáo rủi ro gửi Bộ Tài chính hàng tháng?

188. Có chính sách bảo mật dữ liệu khách hàng?

189. Có kế hoạch khắc phục khi bị tấn công mạng?

190. Có phân tích kịch bản khủng hoảng thị trường?

191. Có bảo hiểm cho tài sản số lưu ký?

192. Có kế hoạch phục hồi hoạt động kinh doanh (BCP)?

193. Có đánh giá tác động rủi ro pháp lý xuyên biên giới?

194. Có cơ chế dự báo & phòng ngừa thao túng từ cá mập?

195. Có bộ quy tắc ứng xử thị trường minh bạch?

196. Có hợp tác với cơ quan thống kê tài chính quốc gia?

197. Có kiểm tra rủi ro mô hình AI trong giao dịch tự động?

198. Có giám sát rủi ro hệ thống qua Blockchain Explorer?

199. Có đánh giá định kỳ hiệu quả biện pháp rủi ro?

200. Có báo cáo công khai chỉ số an toàn thị trường (Market Integrity Index)?