新加坡金管局发布《支付服务提供商审计指引》
知识亮点 1 September 2026
2026年7月16日，新加坡金融管理局（“MAS”）发布《支付服务提供商审计指引》（“指引”）。本指引依据《2019年支付服务法》（“法案”）颁布，适用于全部支付服务牌照持有人（即支付服务提供商，“PSPs”）。本指引列明MAS对全部PSPs年度审计的监管要求，包括需向MAS提交的报告、基础审计范围与强制审计事项，以及新获牌照机构、新增持牌支付业务对应的审计内容。PSPs落实本指引的程度，应当与其商业模式、所提供产品及服务的风险等级与复杂程度相匹配。
年度审计要求
指引规定，PSPs须每年委任审计机构，并确保在财年结束后六个月内，以表格4形式向MAS提交审计报告。
PSPs应当在表格4规定的提交时限之前，提前委任具备适当资质的外部审计师，保障审计师拥有充足时间完成年度审计工作。PSPs不得就同一份年度审计的不同板块分别委托多家审计机构。
外部审计师出具的管理建议书副本，须作为年度审计材料随表格4一并提交；管理建议书应当载明针对持牌机构账目、交易、系统、内控体系以及合规政策流程开展审计后形成的全部审计发现、观察结论及改进建议。
MAS在评估持牌机构内控框架时，将参考管理建议书中的审计发现与意见；同时还会考量多项因素，包括持牌机构是否主动识别内控缺陷并计划整改、管理层对审计问题的接纳态度，以及整改的主观意愿与执行主动性。
需向审计师提供的资料
为保障委任的外部审计师能够履行该法案第37(4)条项下法定职责，PSPs应当及时向审计师提供必要资料，资料范围包括但不限于：
- PSPs的商业模式、客户画像及业务运营司法辖区；
- PSPs经营的受监管产品与服务，包含交易全流程各环节对应的支付服务；
- PSPs提供的豁免类产品与服务，以及用以持续满足豁免适用条件的内控措施；
- 牌照许可条件，以及监管机构向PSPs下发的各类监管指令；
- PSPs发生的违规情形、处罚罚金，以及针对该机构采取的其他监管与督导措施；
- 往年及本年度内部审计报告、外部审计报告、监管核查中尚未闭环的内控缺陷与不合规事项；
- 外部审计师要求提供的其他资料，例如PSPs最新的全面风险评估报告、相关委员会会议纪要、针对现行监管要求出具的最新差距分析报告。
PSPs审计的基础监管预期
所有PSPs均须建立完善的风险管理体系与内控机制，识别、评估并缓释经营活动产生的固有风险；同时制定配套制度与流程，实现常态化合规管控。
持牌机构系统、风险管理及内控机制的年度审计范围，应当匹配其业务活动的风险水平与复杂程度。PSPs年度审计至少应当覆盖支付业务核心风险：反洗钱与反恐怖融资风险、客户资金损失风险、技术风险。审计可额外覆盖的风险领域包括但不限于：外包风险管理与监督、监管报送、操作风险。
MAS要求年度审计必须完成下述年度强制审计事项：
- 按照资金保护相关要求落实专项资金及客户资产保全工作；
- 核验《监管报表报送通知》（PSN04）报送数据的准确性与完整性；
- 核查最低资本金合规情况；
- 若PSPs依据《特定支付服务反洗钱及反恐怖融资指引》（PSN01）经营豁免类业务，核查该豁免产品与服务是否持续符合豁免资质条件；
- 完成过往外部审计及MAS现场核查发现问题的整改落地工作。
PSPs应当及时向委任审计师提供最新相关资料，保障上述强制审计事项顺利实施。
新获牌照机构与新增持牌支付业务的强制全流程核查
除完成各项年度强制审计事项外，新获批牌照的PSPs须在正式开展业务满一年后，由审计机构开展全流程穿透核查，评估机构针对（一）反洗钱及反恐怖融资风险、（二）技术风险所搭建风险管理体系与内控措施的完备性及实际运行有效性。
对于已持牌、新增获批支付服务品类的机构，须自新增支付服务上线运营满一年后，针对该项新增支付服务执行同等标准的全流程穿透核查。
