Comment créer un fournisseur de finances ouvertes aux Émirats Arabes Unis

Aux termes du CBUAE Open Finance Regulation, un candidat choisit l'une des activités soumises à licence, ou les deux : Data Sharing et Service Initiation. Elles sont évaluées et accordées séparément ; une société qui se borne à présenter à un client les soldes de ses comptes répartis entre plusieurs établissements n'acquiert donc pas automatiquement le droit de déplacer des fonds pour lui, et inversement. La CBUAE doit statuer sur une demande complète dans un délai de soixante jours ouvrables.

Aucune des deux licences ne place à elle seule une entreprise sous la réglementation bancaire, des paiements ou des valeurs mobilières. Détenir des fonds de clients, accorder du crédit ou donner des conseils en investissement exige l'autorisation distincte de la CBUAE ou de l'Autorité des valeurs mobilières et des matières premières (SCA) que ces activités requièrent, en plus de la licence Open Finance et non à sa place. C'est le même test de périmètre que pour une néobanque créée aux Émirats : qui touche à l'argent, et dont la licence dit qu'il en a le droit. Une plateforme qui lève des fonds auprès du public ou met en relation prêteurs et emprunteurs est traitée dans le guide des plateformes de financement participatif et de prêt.

Le règlement fixe les ressources financières qu'une entreprise doit détenir, pas seulement l'activité qu'elle déclare :

Ce sont des engagements financiers et opérationnels, pas des documents de constitution, et un plan d'affaires qui les traite comme des problèmes à régler plus tard a tendance à les rencontrer plutôt pendant l'examen de licence. Les honoraires propres de Velarozone sont détaillés séparément dans la lettre de mission ; voir comment Velarozone travaille pour la façon dont cela s'articule avec les chiffres propres du régulateur.

Un Open Finance Provider agréé ne construit pas son propre réseau : il se connecte à une infrastructure que la CBUAE spécifie elle-même. Dans un délai de quatorze jours après l'approbation, un fournisseur doit s'enregistrer et maintenir son enregistrement au titre du Trust Framework, qui valide les participants, délivre les certificats numériques dont chaque connexion a besoin, et détient les normes techniques auxquelles chaque entreprise doit se conformer. Les interfaces destinées aux clients doivent utiliser les formats de message ISO 20022, et non la conception d'API propre d'un fournisseur.

L'API Hub, qui regroupe les API des participants en une seule plateforme, est lui-même une fonction sous licence, dotée d'un capital distinct : un capital libéré minimum de 20 000 000 AED, opérationnel dans les six mois suivant l'approbation. La plupart des prestataires ne l'exploiteront jamais (ils s'y connectent), mais une entreprise qui se positionne comme infrastructure Open Finance pour d'autres participants, plutôt que comme titulaire d'une licence à part entière, choisit la voie de l'API Hub et sa base de capital bien plus élevée.

Une licence Service Initiation permet à une société de donner un ordre de paiement ; elle ne lui permet pas de détenir les fonds déplacés, qui restent auprès de la banque ou de l'établissement de paiement qui tient le compte. Une licence Data Sharing ne déplace aucun fonds : elle donne un accès en lecture à des données que le client a consenti à partager. Les deux modèles se heurtent au même mur : les fonds sont détenus sur des comptes clients ségrégués auprès d'établissements agréés, sous la surveillance du régulateur, et jamais chez l'Open Finance Provider lui-même.

C'est aussi ce qu'une banque vérifiera avant d'ouvrir un compte pour l'entreprise : quelle catégorie de licence l'entreprise détient, si elle prend jamais la garde de fonds de clients même de manière transitoire, et comment les contrôles de consentement et d'authentification sont réellement mis en œuvre plutôt que seulement décrits. Une entreprise qui se prépare à cette conversation a intérêt à effectuer le travail de préparation du compte bancaire avant la demande, et non après qu'une banque a déjà dit non.

Le Regulation garde deux sujets à proximité. Premièrement, les données : les données de clients consultées au titre d'une licence Open Finance doivent être stockées aux Émirats arabes unis, et une copie hors du pays requiert à la fois l'approbation de la CBUAE et le consentement du client. La seule exception prévue est celle d'une succursale de banque étrangère agréée qui conserve aux Émirats arabes unis une copie du registre principal mise à jour quotidiennement. Deuxièmement, le contrôle : une société ne peut pas externaliser une activité importante, ni une fonction de contrôle clé telle que la conformité ou le risque, sans en avoir préalablement informé la CBUAE et obtenu son absence d'objection. Les registres doivent être conservés au moins cinq ans.

Ces règles déterminent où se situent réellement les fonctions de conformité et d'ingénierie, et pas seulement où la société holding est enregistrée. Un plan qui suppose qu'une équipe offshore peut gérer l'accès aux données de production, ou que la conformité relève d'un contrat à temps partiel, doit généralement être repris une fois cette section bien lue. La manière dont ces fonctions sont pourvues relève du dossier de licence. Voir plans d'affaires et documents justificatifs pour ce que ce dossier doit montrer.