قواعد مراقبة الحسابات المصرفية وفرصة التقنية التنظيمية في الإمارات

يتناول النقاش البريطاني جهة حكومية تريد فحص الحسابات المصرفية بحثًا عن الاحتيال والأخطاء في مدفوعات الرعاية الاجتماعية. وهذه سلطة تملكها الدولة بموجب تشريعات المملكة المتحدة، وتُمارَس بحق فئة محددة من المطالبين بالإعانات. ولا يوجد ما يماثلها يمنح شركة خاصة في الإمارات حق الاطلاع على حساب أي شخص.

تطرح القصة البريطانية سؤالاً تصميمياً على المؤسس: أي جزء من سلسلة المراقبة ستملكه شركتي؟ تُجري المصارف مراقبة المعاملات لأنها ملزمة بذلك. ويمكن لشركة برمجيات أن تبني أدوات تجعل ذلك أقل كلفة وأكثر دقة، لكنها لا تستطيع أن تستعير صلاحية المصرف في الاطلاع على البيانات.

هذا الحد هو ما يحدد المسار التنظيمي. فبموجب لائحة التمويل المفتوح الصادرة عن مصرف الإمارات العربية المتحدة المركزي (CBUAE) (C 03/2025)، تحتاج الشركة التي تستخرج بيانات حسابات العملاء عبر واجهات المصارف إلى ترخيص التمويل المفتوح (Open Finance Licence)، بينما يُعدّ المورّد الذي يعمل بموجب عقد مع مصرف حالة مختلفة. وكثيراً ما تقع العروض التقديمية في الخطأ حين تصف منتج مورّد بلغة وظيفة خاضعة للتنظيم.

إدارة الموافقات والأذونات. يسجّل المنتج ما وافق عليه العميل، ويتيح له سحبه، ويحتفظ بمسار التدقيق (audit trail). وهو يتعامل مع سجلات الموافقة، لا بالضرورة مع بيانات الحساب الأساسية. وهو الأقرب إلى قواعد حماية البيانات، لأن الواجب الرئيسي هو إثبات صحة الموافقة.

برمجيات مراقبة تُباع للمؤسسات. البنك هو المتحكم في البيانات عمليًا، ويعمل المورّد بموجب عقده معه. وتُحسم مسائل الوصول والاحتفاظ وتدريب النماذج على بيانات العملاء والإبلاغ عن الحوادث في اتفاقية الخدمات. وتتوقف الحاجة إلى أي ترخيص للمورّد على ما يفعله بالضبط، وهذه نقطة يجب التأكد منها لدى الجهة التنظيمية المعنية لا افتراضها.

تحليلات التمويل المفتوح. هنا تقرأ الشركة بيانات حسابات العملاء عبر الواجهات المصرفية بإذن العميل. وهنا تحديدًا يصبح إطار التمويل المفتوح الصادر عن CBUAE مهمًا، وهو النموذج الأرجح أن يحتاج إلى ترخيص خاص به. ويتناول الدليل المنفصل حول مسار مزوّد التمويل المفتوح نطاق ذلك.

أدوات إدارة الملفات والإبلاغ التنظيمي. تساعد هذه الأدوات فرق الامتثال على توثيق القرارات. والتفصيل المهم هو ما إذا كانت الأداة تسجّل قرارات البشر فقط أم تبدأ في اتخاذها.

يمكن لمجموعة واحدة أن تدير عدة نماذج من هذه تحت علامة تجارية واحدة، لكن العقود تختلف.

يسري القانون الاتحادي لحماية البيانات الشخصية على المعالجة التي تتم داخل الإمارات أو خارجها، كليًا أو جزئيًا بوسائل إلكترونية، ويضع متطلبات للنقل عبر الحدود. ويضع مكتب الإمارات للبيانات (UAE Data Office)، التابع لمجلس الوزراء الإماراتي، الإرشادات ويتعامل مع الشكاوى. ويمكن لأصحاب البيانات طلب التصحيح، كما يمكنهم تقييد المعالجة أو إيقافها.

وفي ما يخص منتج المراقبة أو البيانات، تترتب ثلاث نقاط عملية. أولاً، يجب أن تكون الموافقة محددة بما يكفي لتغطي ما تفعله البرمجية فعلياً بالبيانات. ثانياً، يجب أن يعمل سحب الموافقة داخل المنتج، لا في الشروط وحدها. ثالثاً، تحتاج أي حركة بيانات تخرج من دولة الإمارات العربية المتحدة، إلى منطقة سحابية أو إلى شركة أم في الخارج، إلى أساس موثّق. ويواجه مزوّد التمويل المفتوح المرخّص شروطاً أشد صرامة. فتشترط لائحة التمويل المفتوح الصادرة عن مصرف الإمارات العربية المتحدة المركزي (CBUAE) موافقة مستقلة لكل غرض، وأن يكون سحب الموافقة بسهولة منحها نفسها. كما تشترط تخزين البيانات داخل دولة الإمارات العربية المتحدة، ما لم يكن المصرف المركزي قد وافق على التخزين في الخارج ووافق العميل كتابةً بعد إبلاغه بمكان التخزين وسببه.

ويضيف الموقع طبقة أخرى. فتورد صفحة حماية البيانات على بوابة حكومة دولة الإمارات العربية المتحدة قانون حماية البيانات في مركز دبي المالي العالمي (DIFC) (القانون رقم 5 لسنة 2020) وقانون البيانات في دبي (القانون رقم 26 لسنة 2015) إلى جانب القانون الاتحادي. ولذلك قد تخضع شركة داخل منطقة حرة مالية لنظام بيانات مختلف عن نظام شركة في البر الرئيسي (mainland)، وقد تخضع الشركة التي تخدم عملاء في الموضعين لكليهما. ولا تشرح الصفحة الاتحادية كيفية تفاعل هذه الأنظمة، ولذلك ينبغي تأكيد الموقف الخاص بهيكلكم لدى سلطة المنطقة والجهة التنظيمية المعنية قبل الالتزام بموقع.

تناسب شركة البر الرئيسي (mainland) نشاطًا يبيع أساسًا للبنوك والشركات الكبرى في الإمارات ولا يريد قيدًا جغرافيًا على من يتعاقد معهم. ويمكن أن تناسب شركة المنطقة الحرة (free zone) نشاطًا تقنيًا له قاعدة عملاء إقليمية، بشرط أن يتوافق النشاط المرخّص في المنطقة مع خدمات البرمجيات والبيانات، وأن تُبرم العقود مع الكيان الصحيح.

بالنسبة إلى مزوّد التقنية التنظيمية (RegTech)، تختلف الاختبارات العملية عن تلك الخاصة بشركة تجارية. هل تستطيع الرخصة أن تصف تطوير البرمجيات ومعالجة البيانات بدقة؟ هل سيقبل فريق المشتريات في البنك هذا الكيان موردًا؟ أين سيعمل الموظفون، وما تأشيرات الإقامة لفريق التأسيس التي يدعمها ذلك الموقع؟ وأين ستُستضاف البيانات فعليًا؟

لا يهم سعر التأسيس المنخفض كثيراً إذا تعيّن تعديل نشاط الرخصة لاحقاً لأن المنتج تبيّن أنه يمسّ بيانات خاضعة للتنظيم. حدّدوا حدود المنتج أولاً ثم قارنوا بين المواقع، وهذا هو الترتيب الموضح في كيف تعمل Velarozone.

غالبًا ما يعامل المؤسسون الخدمات المصرفية كمهمة تأتي بعد التأسيس. أما في هذا القطاع فهي أيضًا جزء من عملية البيع. فالبنك الذي يشتري برمجية مراقبة، أو الذي يفتح حسابكم المؤسسي، سيريد أن يرى صورة متماسكة.

توقعوا أسئلة عمّن يملك الشركة ومن يتحكم في الشيفرة البرمجية، وأين تُخزَّن بيانات العملاء ومن يستطيع الوصول إليها، وكيف يُختبر النموذج وكيف تُعالج الإنذارات الكاذبة، وماذا يحدث بعد حدوث اختراق. وفي ما يخص الملكية، يتوقع إرشاد مصرف الإمارات العربية المتحدة المركزي (CBUAE) من المصرف أن يحدد ويتحقق من هوية كل فرد يملك 25% أو أكثر من شركة عميلة أو يتحكم فيها. وحيث لا يبلغ أحد نسبة 25%، يحدد المصرف المدير الأعلى بدلاً منه. كما ستسأل المصارف عمّا إذا كان لدى فريقكم خبرة في الامتثال، لأن المنتج لا يكتسب مصداقية إلا بقدر مصداقية الفريق الذي يقف وراءه.

تثير التنبيهات الآلية مصدر قلق محددًا. فإذا أشار النموذج إلى حساب وقبل المحلل الإشارة ببساطة، فإن القرار يصبح آليًا في الواقع. ويفضل العملاء الخاضعون للتنظيم الأدوات التي تدعم حكمًا بشريًا موثّقًا. وإدراج ذلك في سير العمل منذ البداية أقل كلفة من إضافته لاحقًا بعد أن يطلبه البنك.

يتداخل مسار منصة تقنيات الامتثال (RegTech) للتعرّف على العميل ومكافحة غسل الأموال بدرجة كبيرة مع المراقبة. فالمشترون هم فرق الامتثال أنفسها، ولذلك تنطبق نفس العناية الواجبة على المورّد.