认证级别
三个级别 - L1 基础、L2 标准、L3 高级 - 以及没有数字评分的二元评估方法。
CCSA 定义了三个认证级别。级别不是分数；而是等级。它记录了满足的适用要求的份额：级别越高，所需的落实比率越高，允许的补偿控制份额越低。在每个级别，强制性要求中的“未落实”为 0%，并且所有 8 关键要求必须通过既定方法来满足。
等级阈值
每个级别的最低要求。来源：标准 D 部分。
基金会
级别 1 — 基础
早期和小型资产管理的基线合规水平。
落实率 / 最大 CC
落实率 >= 90%
补偿控制 <= 10%
未落实 = 0%
关键要求
通过既定方法落实所有 8 关键要求
推荐
初创公司、MVP、试点和小型项目：AUM 或市值低于 500 万美元 (C.1、C.3、C.4) 或低于 10,000 MAU (C.2)
CCSA 基金会
补偿控制经 CCSAC 批准。
标准
级别 2 — 标准
受监管市场参与者的主要工作层面。
落实率 / 最大 CC
落实率 >= 95%
补偿控制 <= 5%
未落实 = 0%
关键要求
通过既定方法落实所有 8 关键要求
推荐
成熟的交易所，拥有大量基础的钱包（10K–1M MAU），大多数托管人和发行人（500万美元–5亿美元 AUM）；受监管 VASP 的最低要求水平
CCSA 标准
补偿控制由 CCSAC 批准，并由另一个 CCSAC 进行同行评审。
高级
级别 3 — 高级
具有系统重要性的基础设施的增强级别。
落实率 / 最大 CC
落实比率 100%（或 <= 2.5% CC，并须获得理事会主席 QA 官员的批准）
补偿控制 <= 2.5%
未落实 = 0%
关键要求
通过既定方法落实所有 8 关键要求
推荐
系统重要性参与者（顶级 10 交易所、最大的托管人）、严格管辖范围内受监管的 VASP、大型稳定币发行人（市值 > 1 亿美元）
CCSA 高级
补偿控制措施由理事会首席官员 QA 批准。
| 等级 | 落实率 | 最大 CC | 未落实 | 关键要求 |
|---|---|---|---|---|
| L1 | 落实率 >= 90% | 补偿控制 <= 10% | 0% | 通过既定方法落实所有 8 关键要求 |
| L2 | 落实率 >= 95% | 补偿控制 <= 5% | 0% | 通过既定方法落实所有 8 关键要求 |
| L3 | 落实比率 100%（或 <= 2.5% CC，并须获得理事会主席 QA 官员的批准） | 补偿控制 <= 2.5% | 0% | 通过既定方法落实所有 8 关键要求 |
二元评估方法
CCSA-QSA 为每个适用的要求分配五种状态之一。不使用数字量表（5- 分数、加权平均值）。不存在中间状态（“部分落实”、“50% 实施”）：任何差距都意味着未落实。
落实——通过既定方法完全合规；所有测试程序均通过，未发现任何问题。
采用定制方法 — 定制方法目标得到满足并由审核员验证。
未落实 — 未实施或存在严重差距。
不适用 — 超出适用性注释和分段矩阵的范围（需要在 ROC 中进行论证）。
补偿控制——替代保护措施； CC程序通过。
与 PCI DSS 不同，CCSA 没有“未测试”状态。
如何计算合规性
落实率=（落实+定制落实）/适用的强制性要求
CC 比率 = 补偿控制数量 / 适用的强制性要求
如果满足以下条件，则授予 L 级认证： 落实比率 >= 阈值(L) AND CC 比率 <= 限制(L) AND 未落实 = 0 AND 所有 8 关键要求落实。
补偿控制限制和批准
强制要求最大份额为CC，分级审批权限。
| 等级 | 强制最大CC | 审批机关 |
|---|---|---|
| L1 | 补偿控制 <= 10% | CCSAC |
| L2 | 补偿控制 <= 5% | CCSAC + 另一个 CCSAC 的同行评审 |
| L3 | 补偿控制 <= 2.5% | 议长 QA 官员 |
B.1.1、B.1.2、B.5.2、B.7.3 完全禁止使用 CC。 CC 仅限于 B.2.1、B.3.1、B.4.1、B.8.1（仅限 L1，经理事会批准）。
重新评估周期
每年对各个级别进行全面审核。早期草案中的两年周期已被删除。
| 等级 | 全面审核 | 临时检查 |
|---|---|---|
| L1 | 每年对各个级别进行全面审核。早期草案中的两年周期已被删除。. | 每年全面审核；每 6 个月临时 SAQ（周期 6 月 SAQ-1，12 月 SAQ-2）。 |
| L2 | 每年对各个级别进行全面审核。早期草案中的两年周期已被删除。. | 每年全面审核； ROC 提交给理事会进行 QA 审核（每年 L2 认证的 10% 抽样）；每季度使用 CCSAC 进行合规性审查并审查失陷检测日志。 |
| L3 | 每年对各个级别进行全面审核。早期草案中的两年周期已被删除。. | 每年全面审核；计划外的理事会审查（每年 L3 认证的 100% 随机抽样）；持续监控、季度审查和日志审查；不迟于证书到期前 90 天重新审核。 |
认证标志
通过审核后，组织将收到其级别标记，并列在 LVCS 注册表中。