Příručka
Jak založit poskytovatele otevřených financí v SAE.
Krátká odpověď
Centrální banka SAE (CBUAE) rozhoduje o tom, zda podnik působící v oblasti Open Finance potřebuje vlastní licenci, a to podle kategorií Data Sharing a Service Initiation podle nařízení o Open Finance. Držení kterékoli z těchto licencí umožňuje společnosti číst údaje o účtech nebo zadávat transakci jménem zákazníka; neopravňuje ji k držení prostředků, poskytování úvěrů ani k regulovanému poradenství. O volbě cesty obvykle rozhoduje to, zda společnost transakce zadává sama, nebo pouze poskytuje analýzy vycházející z dat, která již někdo jiný drží na základě licence.
Regulační rozsah: sdílení dat a iniciace služeb
Podle nařízení CBUAE o Open Finance si žadatel volí jednu nebo obě licencované činnosti: Data Sharing a Service Initiation. Posuzují se a udělují samostatně, takže společnost, která zákazníkovi pouze zobrazuje zůstatky na jeho účtech napříč institucemi, nezískává automaticky právo za něj přesouvat peníze, a naopak. CBUAE musí o úplné žádosti rozhodnout do šedesáti pracovních dnů.
Žádná z licencí sama o sobě nezahrnuje firmu do regulace bank, plateb či cenných papírů. Držení prostředků zákazníků, poskytování úvěru nebo investiční poradenství vyžaduje samostatné povolení CBUAE nebo Úřadu pro cenné papíry a komodity (SCA), které tyto činnosti vyžadují, navíc k licenci pro otevřené financování, ne místo ní. Je to stejný test rozsahu jako u digitální banky vybudované v SAE: kdo se dotýká peněz a čí licence říká, že smí. Platforma, která získává peníze od veřejnosti nebo propojuje věřitele a dlužníky, je popsána v průvodci platformou pro crowdfunding a půjčky.
Co nařízení vyžaduje před udělením licence
Nařízení stanovuje finanční zdroje, které firma musí držet, nikoli pouze činnost, kterou deklaruje:
- Minimální splacený kapitál ve výši 1 000 000 AED pro poskytovatele Open Finance, s možností CBUAE požadovat více na základě rizika, velikosti a složitosti firmy.
- Pojištění profesní odpovědnosti kryjící alespoň 5 000 000 AED na jednu pojistnou událost, s agregovaným limitem ve výši vyšší z částek: 5 000 000 AED nebo 50 % ročního příjmu.
- Minimálně dvoufaktorová autentizace na každém kanálu komunikujícím s klientem.
- Souhlas, který je výslovný, specifický pro daný účel, informovaný, jednoznačný a svobodně udělený a který u opakujícího se pokynu platí nejdéle dvanáct měsíců, než jej zákazník musí znovu potvrdit.
Jde o finanční a provozní závazky, a ne o dokumentaci k založení, a podnikatelský plán, který s nimi zachází jako s pozdějšími problémy, má tendenci na ně narazit až v průběhu licenčního posouzení. Vlastní poplatek Velarozone je samostatně rozepsán ve smluvním dopise; viz jak Velarozone funguje pro to, jak to souvisí s vlastními částkami regulátora.
Připojení k Trust Framework a API Hub
Licencovaný poskytovatel Open Finance nebuduje vlastní síť: připojuje se do infrastruktury, kterou sama CBUAE specifikuje. Do čtrnácti dnů od schválení musí poskytovatel zaregistrovat a udržovat svou registraci v rámci Trust Framework, který ověřuje účastníky, vydává digitální certifikáty potřebné pro každé připojení a stanovuje technické standardy, kterým se musí každá firma přizpůsobit. Rozhraní komunikující s klientem musí používat formáty zpráv ISO 20022, a ne vlastní návrh API poskytovatele.
API Hub, který sdružuje rozhraní API účastníků do jedné platformy, je sám o sobě licencovanou, samostatně kapitalizovanou funkcí: minimální splacený kapitál činí 20 000 000 AED a provoz musí být zahájen do šesti měsíců od schválení. Většina poskytovatelů jej nikdy provozovat nebude (budou se k němu pouze připojovat), ale společnost, která se staví jako infrastruktura Open Finance pro ostatní účastníky a nikoli jako držitel licence sama za sebe, volí cestu API Hub s mnohem vyšším kapitálovým základem.
Jak se skutečně pohybují peníze a odpovědnost
Licence Service Initiation umožňuje společnosti zadat platbu; neumožňuje jí držet přesouvané peníze, které zůstávají u banky nebo platební instituce vedoucí účet. Licence Data Sharing peníze nepřesouvá vůbec: jde o přístup pro čtení k datům, jejichž sdílení zákazník odsouhlasil. Oba modely narážejí na stejnou hranici: prostředky jsou uloženy na oddělených klientských účtech u licencovaných institucí pod dohledem regulátora, nikdy u samotného poskytovatele Open Finance.
Toto je také to, co banka prověří ještě před otevřením účtu pro podnik: jakou kategorii licence firma drží, zda vůbec, byť jen přechodně, přebírá úschovu prostředků klienta, a jak jsou kontroly souhlasu a autentizace skutečně implementovány, a ne jen popsány. Firma připravující se na tuto konverzaci těží z práce na připravenosti bankovního účtu provedené před podáním žádosti, a ne až poté, co banka již odmítla.
Outsourcing, rezidence dat a kdo musí sídlit v SAE
Nařízení drží dvě věci blízko domova. Zaprvé data: údaje zákazníků, k nimž se přistupuje na základě licence pro Open Finance, musí být uloženy v SAE a kopie mimo zemi vyžaduje jak schválení CBUAE, tak souhlas zákazníka. Jedinou zabudovanou výjimkou je licencovaná pobočka zahraniční banky, která v SAE vede denně aktualizovanou kopii hlavního záznamu. Zadruhé kontrola: společnost nemůže zadat externímu dodavateli podstatnou činnost ani klíčovou kontrolní funkci, jako je compliance nebo řízení rizik, aniž by to předem oznámila CBUAE a neobdržela vyjádření, že nemá námitek. Záznamy se musí uchovávat nejméně pět let.
Tato pravidla určují, kde skutečně sídlí role v oblasti compliance a vývoje, nikoli jen kde je registrována holdingová společnost. Plán, který předpokládá, že produkční přístup k datům může zajišťovat tým v zahraničí nebo že compliance je jen externí služba na částečný úvazek, obvykle vyžaduje přepracování, jakmile se tento oddíl přečte pořádně. Způsob obsazení těchto rolí patří do licenčního spisu. Co má tento záznam obsahovat, najdete v části podnikatelské plány a podpůrná dokumentace.
Co se běžně dělá špatně
- Zacházení se sdílením dat (Data Sharing) a iniciací služeb (Service Initiation) jako s jednou licencí, místo dvou samostatných žádostí.
- Plánování částky kapitálu 1 000 000 AED bez pojištění profesní odpovědnosti, které je s ní spojeno.
- Formulování souhlasu jako jednorázového zaškrtávacího pole, místo časově omezeného, odvolatelného pokynu s omezením na dvanáct měsíců.
- Plán outsourcovat funkce compliance nebo řízení rizik, které nařízení očekává, že držitel licence udrží interně.
- Předpoklad, že připojení k API Hub je samo o sobě formou oprávnění, místo infrastruktury, do které se poskytovatel pouze připojuje.

