Příručka
Platforma RegTech, KYC a AML v SAE: pravidla outsourcingu
Krátká odpověď
Platforma RegTech, KYC nebo AML zpravidla není licencována jako taková sama o sobě. Společnost se registruje běžným způsobem, a to prostřednictvím Dubai Department of Economy and Tourism (DET), free zone nebo úřadu finanční free zone. Situaci mění zákazník. Jakmile se licencovaná finanční instituce při svých kontrolách AML/CFT spoléhá na platformu, regulátor této instituce považuje toto uspořádání za outsourcing a odpovědnost za něj klade na instituci, nikoli na dodavatele. Tímto regulátorem může být Central Bank of the UAE (CBUAE), Dubai Financial Services Authority (DFSA, DIFC), Financial Services Regulatory Authority (FSRA, ADGM), Capital Market Authority (CMA, dříve Securities and Commodities Authority) nebo Virtual Assets Regulatory Authority (VARA, Dubaj). O volbě postupu rozhoduje otázka, zda platforma pouze dodává software, nebo také sama rozhoduje: uzavírá upozornění, uzavírá případ, podává hlášení.
Kdo rozhoduje a na čem závisí rozsah působnosti
Žádný jednotlivý regulátor ve SAE nevydává „licenci RegTech“. Obchodní činnost spadá pod DET nebo free zone. Regulatorní váha spočívá na tom úřadu, který dohlíží na kupujícího: banka nebo směnárna odpovídá CBUAE, firma v DIFC úřadu DFSA, firma v ADGM úřadu FSRA, firma působící na kapitálovém trhu úřadu CMA, poskytovatel služeb s virtuálními aktivy úřadu VARA. Každý z nich očekává, že jeho licencovaný subjekt provede due diligence u jakékoli outsourcované funkce a zachová si vůči poskytovateli práva auditu. Platforma je zřídka regulovanou stranou; smlouva, která činí zákazníka za platformu odpovědným, je to, co si tyto úřady nakonec vyžádají k nahlédnutí.
Samostatně, a bez ohledu na to, který finanční regulátor se uplatní, se federální zákon o ochraně osobních údajů vztahuje na zpracování osobních údajů „ať už úplně, nebo částečně prostřednictvím elektronických systémů, v zemi nebo mimo ni“. Zakazuje zpracování bez souhlasu vlastníka, s výhradou omezených výjimek, a dává jednotlivcům právo opravit nebo omezit zpracování svých údajů. Platforma, která zpracovává pasy, selfie nebo historie transakcí, zpracovává osobní údaje podle tohoto zákona bez ohledu na to, jak je licencována.
Co skutečně prověří compliance tým kupujícího
Prodeje RegTech se zastavují na due diligence při nákupu, ne na založení společnosti. Regulovaný kupující chce vidět:
- Odkud pocházejí podkladová data a zda má platforma trvalá práva k jejich použití
- Zda sporné případy přezkoumává člověk, nebo rozhoduje samotný model
- Kde jsou data hostována a kde sídlí podpůrný personál
- Jak se měří a zaznamenávají falešně pozitivní výsledky a změny modelu
- Co se stane s případovým souborem, když o něj požádá regulátor kupujícího
UAE Cyber Security Council provozuje pětiletou National Cybersecurity Strategy, schválenou v roce 2025, a National Cyber Security Accreditation Program, certifikační cestu pro standardizaci praxe v oblasti kybernetické bezpečnosti. Ani jedno z toho není povinnou branou pro každého dodavatele, ale bezpečnostní přezkum kupujícího se stále častěji ptá, kde platforma stojí vůči tomuto programu, zejména u čehokoli, co se dotýká biometrických údajů.
Jak se peníze a odpovědnost pohybují produktem
Vlastní bankovní účet společnosti RegTech je obvykle první bankovní otázkou a zároveň tou nejpřímočařejší: podnik potřebuje provozní účet jako každá softwarová společnost a dokumentace, kterou banka požaduje, vypadá stejně (vlastnická struktura, zdroj prostředků zakladatelů a jasný popis toho, co produkt s údaji zákazníků dělá). Včasné zabývání se připraveností k založení bankovního účtu předchází tomu, aby se účet stal posledním bodem, který se před spuštěním řeší.
To se změní ve chvíli, kdy produkt přestane být čistým softwarem. Platí zde stejné otázky, které ve fintechu rozhodují o tom, kdo přijímá nebo ovládá peníze: nástroj, který drží peníze klientů, zahajuje platbu nebo poskytuje úvěr, představuje jinou regulovanou činnost, a žádná míra připravenosti k založení bankovního účtu nepromění obchodní licenci v oprávnění k takové činnosti. Obě otázky držte odděleně: může tato společnost vést bankovní účet, a dotýká se peněz zákazníků ona sama, nebo její zákazník. Druhá otázka, pokud vyvstane, vyžaduje vlastní oprávnění nebo garanta.
Vlastnictví, substance a role, které kupující prověřuje
Skupinová struktura může umístit technologii, duševní vlastnictví a jakoukoli licencovanou funkci do samostatných subjektů, pokud každý z nich má skutečnou roli. Právní tým kupujícího se zeptá, kdo vlastní model a datový kanál, kdo je jmenován ve smlouvě a kdo odpovídá, pokud je výsledek screeningu chybný. Pokud se vlastnictví rozkládá mezi více než jednu jurisdikci, vyřešte to jako regulované a komplexní vlastnictví ještě před tím, než to prověří tým due diligence. Písemné odůvodnění patří do podpůrného podnikatelského plánu, ne aby bylo sestaveno až po vznesení otázky.
Co se běžně dělá špatně
- Scraping nebo nákup dat bez trvalého práva je používat pro screening
- Popisování nástroje jako něčeho, co klienta učiní „compliantním“, místo něčeho, co podporuje rozhodnutí, které klient stále vlastní
- Používání biometrických dat bez předchozího vyřešení požadavků zákona o ochraně dat na souhlas a účel
- Vynechání offshore přezkumného týmu nebo subdodavatele ze smlouvy a ze souboru due diligence kupujícího
Porovnávání poplatků za založení je nejčastější chybou v raném stadiu. Důležité jsou náklady na celou cestu: subjekt, jakékoli licencování dat a bezpečnostní ujištění, které kupující vyžaduje, a to, kolik stojí následné přidání vrstvy řízeného přezkumu, pokud se ukáže, že samotný software nestačí. Velarozone oceňuje tento celý řetězec, ne pouze souhrnné číslo za založení, a stanovuje svůj vlastní poplatek způsobem, který popisuje jak Velarozone funguje.
