Révocation de la licence RNKO Digital Solutions : Ce que les entreprises de paiements non bancaires doivent savoir avant d'entrer aux Émirats

L'inscription de RNKO Digital Solutions au registre de la Banque de Russie indique que la société n'est plus en vigueur. Elle mentionne la licence n° 3552-K, pour des opérations bancaires en tant qu'organisme de crédit non bancaire de règlement, valable du 24 janvier 2025 au 27 août 2026, ainsi qu'un ordre de retrait de la licence daté du même jour. Elle mentionne également l'administration provisoire nommée le 27 août 2026 et une inscription de liquidation datée du 5 octobre 2026. La page du registre elle-même n'indique pas de motif.

Les articles de la presse russe relayant la déclaration de la banque centrale comblent cette lacune. Ils indiquent que le régulateur a retiré la licence pour violation des règles bancaires et de lutte contre le blanchiment d'argent, notamment la loi fédérale 115-FZ, au motif que la société avait pendant longtemps effectué des opérations suspectes de clients et n'avait pas transmis rapidement d'informations fiables sur les opérations soumises à un contrôle obligatoire. Les mêmes articles décrivent la société comme fermée aux opérations, avec des paiements et de l'acquiring bloqués, et précisent qu'elle servait principalement des entreprises plutôt que des particuliers. Ils conseillent aux clients de s'adresser à l'administration provisoire pour connaître le statut de leurs fonds.

Deux éléments méritent l'attention. La licence a duré environ 19 mois : l'ancienneté n'offrait donc aucune protection. Et les clients touchés étaient pour la plupart des entreprises : des commerçants qui comptaient sur la société pour l'acquiring se sont retrouvés dans l'incapacité d'encaisser des paiements du jour au lendemain.

Le cadre de la CBUAE relatif aux services de paiement de détail, tel que résumé par le cabinet d'avocats Simmons & Simmons, définit neuf services de paiement de détail : l'émission de comptes de paiement, l'émission d'instruments de paiement, l'acquisition de commerçants, l'agrégation de paiements, le transfert de fonds national et transfrontalier, le jeton de paiement, l'initiation de paiement et l'information sur les comptes de paiement. Il existe quatre catégories de licence, de I à IV, et les catégories de numéro inférieur autorisent davantage d'activités. Les services de jeton de paiement ne sont autorisés qu'au titre de la catégorie I. Les banques n'ont pas besoin d'une licence de services de paiement pour l'émission de comptes, l'émission d'instruments ou les transferts de fonds, mais elles doivent obtenir une lettre de non-objection de la CBUAE pour les autres services.

Le capital initial dépend de la catégorie et de la valeur moyenne mensuelle des opérations de paiement, calculée comme une moyenne mobile des trois mois précédents ou, pour une société nouvelle, d'après son plan d'affaires. La catégorie IV requiert 100 000 AED quel que soit le volume. La catégorie III requiert 500 000 AED en dessous de 10 millions AED par mois et 1 million AED à partir de ce seuil. La catégorie II requiert 1 million AED et 2 millions AED, et la catégorie I requiert 1,5 million AED et 3 millions AED. La société doit détenir ce montant au minimum à tout moment. Si sa moyenne mensuelle reste supérieure à 10 millions AED pendant trois mois consécutifs, elle doit en informer la CBUAE et devient soumise à l'exigence de capital plus élevée que fixe la CBUAE.

Ce qui importe pour un fondateur, c'est la structure du régime. Le capital est lié au volume des opérations, et la licence ne couvre que des services nommément désignés. L'activité principale doit être le service licencié, et tout service accessoire hors licence nécessite l'approbation de la CBUAE avant de démarrer. La CBUAE peut aussi exiger une entité distincte pour celui-ci. Un plan d'affaires qui ajoute, après le lancement, des soldes conservés ou des transferts transfrontaliers peut donc faire passer la société dans une autre catégorie.

Le premier test pour tout projet de paiement est simple : la société détient-elle, contrôle-t-elle ou dirige-t-elle, à un moment quelconque, l'argent des clients ? Une société de logiciels qui vend un outil de paiement à une banque agréée se trouve dans une situation. Une société qui encaisse les fonds des acheteurs pour les transmettre aux commerçants se trouve dans une autre. Une société qui attribue des soldes à ses clients se trouve dans une troisième.

Dessinez le flux sur une seule page. Indiquez où se trouve chaque dirham à chaque instant, quel compte le détient et quelle partie peut donner l'instruction d'un mouvement. La réglementation de la CBUAE n'autorise un prestataire de paiement à détenir les fonds des utilisateurs que pendant leur transit. Si le règlement intervient dans les 24 heures, les fonds ne doivent pas être mélangés ou doivent être protégés des autres créanciers du prestataire. Si le règlement intervient après 24 heures, les fonds sont placés sur un compte de fonds clients ségrégué auprès d'une banque, que la réglementation appelle un compte séquestre distinct, séparé des fonds propres de la société. Une assurance ou une garantie bancaire d'un établissement extérieur au groupe constitue l'autre couverture autorisée. Si le schéma montre que le compte propre de la société détient des fonds clients au-delà du transit, l'entreprise n'est pas un éditeur de logiciels, quoi qu'affirme le site web.

Le cas RNKO ajoute un second test. La défaillance invoquée portait sur le suivi et le reporting ; le système de suivi doit donc exister et fonctionner avant la première transaction réelle. Cela suppose un responsable de la conformité désigné et doté d'une réelle autorité, des règles de suivi des transactions adaptées à la clientèle (des commerçants, et non des consommateurs, dans le cas de RNKO) et une voie d'escalade qui atteigne la direction générale. Un outil acheté et laissé avec ses paramètres par défaut ne satisfera pas ce test.

Les sociétés de paiement externalisent généralement l'hébergement cloud, le traitement des cartes, les vérifications d'identité et les logiciels de surveillance. La réglementation de la CBUAE fait peser les obligations sur le prestataire licencié : les dossiers des utilisateurs doivent pouvoir être restaurés en cas de perte, de dommage ou de destruction, et les dossiers relatifs aux données personnelles et de paiement sont conservés 5 ans à compter de leur réception. Pour chaque prestataire important, notez où il opère, s'il détient ces dossiers et ce qu'il en advient en cas de défaillance ou de départ.

Les données personnelles ajoutent une couche juridique. Le Décret-loi fédéral n° 45 de 2021 relatif à la protection des données personnelles est entré en vigueur le 2 janvier 2022 et, selon le portail du gouvernement des Émirats arabes unis, couvre les traitements effectués en tout ou partie par des systèmes électroniques, à l'intérieur ou à l'extérieur des Émirats arabes unis. Le UAE Data Office est le régulateur fédéral. Une société de paiement manipule par définition des données d'identité et de transaction ; sa cartographie des prestataires doit donc aussi indiquer où vont ces données.

La réglementation de la CBUAE demande un organigramme qui désigne le responsable de chaque division, département ou unité, avec des fonctions distinctes de gestion des risques, d'audit interne et de conformité. Les personnes qui dirigent la société doivent donc être identifiables, joignables et en mesure de décider. Un conseil d'administration qui se réunit une fois par an à l'étranger, avec le personnel opérationnel ailleurs, est plus difficile à présenter qu'une équipe de direction installée là où s'exerce l'activité réglementée.

Les commerçants de RNKO ont été invités à s'adresser à une administration provisoire au sujet de leurs fonds. Peu de fondateurs rédigent le plan équivalent pour leur propre société, mais un régulateur en demandera un : si la société cesse son activité demain, comment les clients récupèrent-ils leur argent, qui les en informe et qui en supporte le coût ?

Un plan de cessation d'activité exploitable désigne le compte de fonds clients ségrégué ouvert auprès d'une banque licenciée, qui garde les fonds des clients séparés des fonds propres de la société, le personnel qui reste en poste, les données à transmettre et les partenaires à prévenir. Il précise aussi combien de temps les clients devraient attendre. La réglementation de la CBUAE exige un programme de continuité qui couvre la réduction ordonnée des opérations critiques, et un plan rédigé après l'apparition d'un problème sera bien plus faible qu'un plan testé à l'avance.

Pour une société de paiement, c'est la licence, davantage que la trade licence, qui détermine le lieu d'implantation. La réglementation de la CBUAE définit le demandeur comme une société constituée aux Émirats arabes unis (UAE) : l'entité existe donc avant la demande, et la CBUAE encourage la direction à rencontrer sa Licensing Division avant le dépôt. Savoir si une société mainland ou une société de free zone constitue le meilleur véhicule de détention dépend de ce que le régulateur approuve, de l'endroit où se trouve le personnel et des banques qui accepteront d'ouvrir des comptes. Le choix plus large entre licence en free zone et licence mainland est plus facile à faire une fois la fonction réglementée connue. Les fondateurs qui s'installent ont aussi besoin de visas de résidence, et la voie d'obtention du visa suit l'entité.

L'intégration bancaire d'une société de paiement est exigeante, car la banque voit dans la société une source de risque. Apportez la cartographie des flux de fonds, la structure de conformité, l'organigramme de l'actionnariat, le plan de cessation d'activité et les valeurs mensuelles d'opérations attendues, puisque le palier de capital dépend de cette moyenne. Ce dossier correspond à la méthode de travail de Velarozone avec les fondateurs de sociétés de paiement : les éléments de preuve sont réunis avant le dépôt de toute demande.