Règles de surveillance des comptes bancaires et opportunité RegTech aux EAU

Le débat britannique porte sur un ministère qui souhaite vérifier des comptes bancaires pour détecter la fraude et les erreurs dans les versements de prestations sociales. Il s'agit d'un pouvoir de l'État, fixé par la législation britannique, exercé à l'encontre d'un groupe précis de demandeurs. Rien d'équivalent ne donne à une société privée des UAE le droit d'examiner le compte de qui que ce soit.

L'exemple britannique soulève pour un fondateur une question de conception : quelle partie de la chaîne de surveillance ma société détiendrait-elle ? Les banques assurent la surveillance des transactions parce qu'elles y sont tenues. Une société de logiciels peut développer des outils qui rendent cette surveillance moins coûteuse et plus précise. Elle ne peut pas emprunter à la banque son autorité pour accéder aux données.

Cette ligne de partage détermine la voie réglementaire. Selon l'Open Finance Regulation de la CBUAE (C 03/2025), une société qui récupère des données de comptes de clients via les interfaces des banques doit obtenir une Open Finance Licence, tandis qu'un éditeur travaillant dans le cadre d'un contrat conclu avec une banque constitue un cas différent. Les présentations aux investisseurs se trompent souvent en décrivant un produit d'éditeur dans le langage d'une fonction réglementée.

Gestion du consentement et des autorisations. Le produit enregistre ce à quoi un client a consenti, lui permet de le retirer et conserve la piste d'audit. Il traite des registres de consentement, pas nécessairement les données de compte sous-jacentes. Il est le plus proche des règles de protection des données, car l'obligation centrale est de démontrer un consentement valide.

Logiciels de surveillance vendus à des institutions. La banque est le responsable du traitement en pratique et l'éditeur travaille dans le cadre de son contrat. Les questions d'accès, de conservation, d'entraînement de modèles sur les données clients et de signalement des incidents sont réglées dans le contrat de services. La nécessité ou non d'une autorisation pour l'éditeur dépend précisément de ce qu'il fait, et c'est un point à confirmer auprès du régulateur compétent, non à présumer.

Analyses d'open finance. Ici, la société lit les données de compte des clients via les interfaces des banques, avec l'autorisation du client. C'est ici que le cadre d'open finance de la CBUAE importe, et c'est le modèle le plus susceptible de nécessiter sa propre autorisation. Le guide distinct sur la voie du prestataire d'open finance couvre ce périmètre.

Outils de gestion des dossiers et de reporting réglementaire. Ils aident les équipes de conformité à documenter leurs décisions. Le détail qui compte est de savoir si l'outil se contente d'enregistrer des décisions humaines ou commence à les prendre.

Un groupe peut en exploiter plusieurs sous une même marque, mais les contrats diffèrent.

La loi fédérale sur la protection des données personnelles s'applique aux traitements effectués à l'intérieur ou à l'extérieur des UAE, en tout ou partie par des moyens électroniques, et elle fixe des exigences pour les transferts transfrontaliers. L'UAE Data Office, rattaché au Conseil des ministres des UAE, rédige les orientations et traite les réclamations. Les titulaires de données peuvent demander une rectification et peuvent restreindre ou faire cesser le traitement.

Pour un produit de surveillance ou de données, trois points pratiques en découlent. Le consentement doit être suffisamment précis pour couvrir ce que le logiciel fait réellement des données. Le retrait du consentement doit fonctionner dans le produit, et pas seulement dans les conditions contractuelles. Et un flux de données qui quitte les UAE, vers une région cloud ou une société mère offshore, doit reposer sur un fondement documenté. Un prestataire de finance ouverte titulaire d'une licence est soumis à des conditions plus strictes. L'Open Finance Regulation de la CBUAE exige un consentement distinct pour chaque finalité, et le retrait doit être aussi simple que l'octroi du consentement. Elle exige également que les données soient stockées aux UAE, sauf si la CBUAE a approuvé un stockage à l'étranger et si le client a donné son accord par écrit après avoir été informé de l'endroit où elles seront conservées et des raisons de ce choix.

La localisation ajoute une couche supplémentaire. La page du gouvernement des UAE consacrée à la protection des données cite la DIFC Data Protection Law (DIFC Law No. 5 of 2020) et la Dubai Data Law (Law No. 26 of 2015) à côté de la loi fédérale. Une société établie dans une free zone financière peut donc relever d'un régime de données différent de celui d'une société de la mainland, et une société qui sert des clients dans les deux peut être soumise aux deux. La page fédérale n'explique pas comment ces régimes s'articulent ; la position applicable à votre propre structure doit donc être confirmée auprès de l'autorité de la zone et du régulateur compétent avant de vous engager sur un lieu d'implantation.

Une société mainland convient à une entreprise qui vend principalement aux banques et aux grandes entreprises des Émirats arabes unis et qui ne souhaite aucune limite territoriale quant aux personnes avec lesquelles elle contracte. Une société free-zone peut bien convenir à une entreprise technologique ayant une clientèle régionale, à condition que l'activité de la licence de la zone corresponde aux services de logiciels et de données et que les contrats soient conclus avec la bonne entité.

Pour un éditeur RegTech, les critères pratiques diffèrent de ceux d'une société de négoce. La licence peut-elle décrire avec exactitude le développement de logiciels et le traitement de données ? L'équipe achats d'une banque acceptera-t-elle l'entité comme fournisseur ? Où le personnel sera-t-il installé, et quels visas de résidence pour l'équipe fondatrice cet emplacement permet-il ? Où les données seront-elles physiquement hébergées ?

Un faible prix de constitution compte peu s'il faut modifier plus tard l'activité de la licence parce que le produit s'est révélé toucher à des données réglementées. Fixez d'abord le périmètre du produit, puis comparez les lieux d'implantation, selon l'ordre décrit dans le fonctionnement de Velarozone.

Les fondateurs traitent souvent l'ouverture d'un compte bancaire comme une tâche postérieure à la constitution de la société. Dans ce secteur, c'est aussi le processus de vente. Une banque qui achète un logiciel de surveillance, ou une banque qui ouvre votre propre compte professionnel, voudra voir un tableau cohérent.

Attendez-vous à des questions sur la détention de la société et le contrôle du code, sur le lieu de stockage des données clients et les personnes qui peuvent y accéder, sur la manière dont le modèle est testé et dont les faux positifs sont traités, ainsi que sur ce qui se passe après une violation de données. Sur la détention du capital, les orientations de la CBUAE attendent d'une banque qu'elle identifie et vérifie chaque personne physique qui détient ou contrôle 25 % ou plus d'une société cliente. Lorsque personne n'atteint 25 %, elle identifie le dirigeant principal à la place. Les banques demanderont aussi si vos équipes ont une expérience en matière de conformité, car le produit n'est crédible que dans la mesure où l'est l'équipe qui le porte.

Les alertes automatisées soulèvent une préoccupation particulière. Si un modèle signale un compte et qu'un analyste se contente d'accepter ce signalement, la décision est en pratique automatisée. Les clients réglementés préfèrent les outils qui permettent un jugement humain documenté. Intégrer cela au flux de travail dès le départ coûte moins cher que de le rajouter après qu'une banque en a fait la demande.

La voie de la plateforme RegTech KYC et AML recoupe largement la surveillance. Ses acheteurs sont les mêmes équipes de conformité, et la même diligence à l'égard des fournisseurs s'applique donc.