Cómo establecer un proveedor de Finanzas Abiertas en los EAU

Conforme al Reglamento de Open Finance de la CBUAE, el solicitante elige una o ambas actividades sujetas a licencia: Data Sharing y Service Initiation. Se evalúan y se conceden por separado, de modo que una empresa que solo muestra a un cliente los saldos de sus cuentas en distintas entidades no adquiere automáticamente el derecho a mover dinero por él, y viceversa. La CBUAE debe resolver sobre una solicitud completa en un plazo de sesenta días hábiles.

Ninguna de las dos licencias sitúa por sí sola a una empresa dentro de la regulación bancaria, de pagos o de valores. Custodiar fondos de clientes, conceder crédito o dar asesoramiento de inversión requiere la autorización aparte del CBUAE o de la Autoridad de Valores y Materias Primas (SCA) que esas actividades exigen, además de la licencia de Open Finance y no en lugar de ella. Es la misma prueba de alcance que para un neobanco creado en los EAU: quién toca el dinero y qué licencia dice que puede hacerlo. Una plataforma que capta dinero del público o que pone en contacto a prestamistas y prestatarios se trata en la guía de plataformas de crowdfunding y préstamos.

El Reglamento establece los recursos financieros que una empresa debe mantener, no solo la actividad que declara:

Estos son compromisos financieros y operativos, no documentación de constitución, y un plan de negocio que los trata como problemas posteriores tiende a encontrárselos durante la revisión de licenciamiento en su lugar. Los honorarios propios de Velarozone se detallan por separado en la carta de encargo; véase cómo trabaja Velarozone para saber cómo se sitúa esto junto a las propias cifras del regulador.

Un Open Finance Provider autorizado no construye su propia red: se conecta a la infraestructura que especifica el propio CBUAE. En el plazo de catorce días desde la aprobación, un proveedor debe registrarse y mantener su registro bajo el Trust Framework, que valida a los participantes, emite los certificados digitales que necesita cada conexión, y mantiene los estándares técnicos a los que debe ajustarse cada empresa. Las interfaces de cara al cliente deben usar formatos de mensaje ISO 20022, y no un diseño de API propio del proveedor.

El API Hub, que agrega las API de los participantes en una única plataforma, es en sí mismo una función con licencia y con capitalización propia: un capital desembolsado mínimo de 20.000.000 AED y puesta en funcionamiento en un plazo de seis meses desde la aprobación. La mayoría de los proveedores nunca lo explotarán (se conectan a él), pero una empresa que se posicione como infraestructura de Open Finance para otros participantes, y no como titular de licencia por derecho propio, está eligiendo la vía del API Hub y su base de capital mucho mayor.

Una licencia de Service Initiation permite a una empresa dar la instrucción de un pago; no le permite custodiar el dinero movido, que permanece en el banco o la entidad de pago que lleva la cuenta. Una licencia de Data Sharing no mueve dinero en absoluto: es un acceso de lectura a datos que el cliente ha consentido compartir. Ambos modelos topan con el mismo límite: los fondos se mantienen en cuentas segregadas de clientes en entidades con licencia y bajo supervisión del regulador, nunca en poder del propio Open Finance Provider.

Esto es también lo que un banco comprobará antes de abrir una cuenta para el negocio: qué categoría de licencia posee la empresa, si en algún momento llega a tener custodia de fondos de clientes aunque sea de forma transitoria, y cómo se implementan realmente los controles de consentimiento y autenticación, y no solo cómo se describen. Una empresa que se prepara para esa conversación se beneficia del trabajo de preparación de cuenta bancaria hecho antes de la solicitud, no después de que un banco ya haya dicho que no.

El Reglamento mantiene dos cosas cerca de casa. En primer lugar, los datos: los datos de clientes a los que se acceda con una licencia de Open Finance deben almacenarse dentro de los EAU, y una copia fuera del país requiere tanto la aprobación de la CBUAE como el consentimiento del cliente. La única excepción prevista es la de una sucursal de banco extranjero con licencia que mantenga en los EAU una copia del registro maestro actualizada a diario. En segundo lugar, el control: una empresa no puede externalizar una actividad esencial, ni una función de control clave como el cumplimiento normativo o el riesgo, sin notificarlo antes a la CBUAE y recibir su no objeción. Los registros deben conservarse durante al menos cinco años.

Estas normas determinan dónde se ubican realmente las funciones de cumplimiento normativo e ingeniería, y no solo dónde está registrada la sociedad holding. Un plan que dé por hecho que un equipo offshore puede gestionar el acceso a los datos de producción, o que el cumplimiento normativo es una iguala a tiempo parcial, suele requerir una revisión una vez leída con detenimiento esta sección. El modo en que se cubran esas funciones debe constar en el expediente de la licencia. Consulte los planes de negocio y la documentación de apoyo para saber qué debe acreditar ese registro.