गाइड
UAE में RegTech, KYC और AML प्लेटफ़ॉर्म: आउटसोर्सिंग के नियम
संक्षेप में उत्तर
RegTech, KYC या AML प्लेटफ़ॉर्म को आम तौर पर अपने आप में उस रूप में लाइसेंस नहीं दिया जाता। कंपनी सामान्य तरीके से ही पंजीकृत होती है, यानी Dubai Department of Economy and Tourism (DET), किसी फ्री ज़ोन (free zone) या किसी वित्तीय फ्री ज़ोन प्राधिकरण के माध्यम से। ग्राहक की स्थिति तस्वीर बदल देती है। जैसे ही कोई लाइसेंस प्राप्त वित्तीय संस्था अपनी AML/CFT जाँचों के लिए इस प्लेटफ़ॉर्म पर निर्भर होती है, उस संस्था का अपना नियामक इस व्यवस्था को आउटसोर्सिंग मानता है और इसका उत्तरदायित्व विक्रेता पर नहीं, बल्कि संस्था पर डालता है। वह नियामक Central Bank of the UAE (CBUAE), Dubai Financial Services Authority (DFSA, DIFC), Financial Services Regulatory Authority (FSRA, ADGM), Capital Market Authority (CMA, पूर्व में Securities and Commodities Authority) या Virtual Assets Regulatory Authority (VARA, Dubai) हो सकता है। मार्ग तय करने वाला प्रश्न यह है कि प्लेटफ़ॉर्म केवल सॉफ़्टवेयर उपलब्ध कराता है, या निर्णय भी स्वयं लेता है: अलर्ट बंद करना, मामला निपटाना, रिपोर्ट दाखिल करना।
कौन तय करता है, और दायरा किस पर निर्भर करता है
कोई एक UAE नियामक "RegTech लाइसेंस" जारी नहीं करता। वाणिज्यिक गतिविधि DET या किसी फ्री ज़ोन के अधीन होती है। नियामकीय भार उस प्राधिकरण पर होता है जो खरीदार की निगरानी करता है: बैंक या एक्सचेंज हाउस CBUAE को, DIFC की फ़र्म DFSA को, ADGM की फ़र्म FSRA को, पूंजी बाज़ार की फ़र्म CMA को और वर्चुअल एसेट सर्विस प्रोवाइडर VARA को जवाबदेह होता है। प्रत्येक नियामक अपेक्षा करता है कि उसकी लाइसेंस प्राप्त इकाई किसी भी आउटसोर्स किए गए कार्य पर उचित परिश्रम (due diligence) करे और प्रदाता पर ऑडिट अधिकार बनाए रखे। प्लेटफ़ॉर्म स्वयं विनियमित पक्ष कम ही होता है; ग्राहक को उसके लिए उत्तरदायी बनाने वाला अनुबंध ही वह दस्तावेज़ है जिसे ये नियामक अंततः देखना चाहेंगे।
अलग से, और यह कोई फ़र्क नहीं पड़ता कि कौन-सा वित्तीय नियामक लागू होता है, संघीय पर्सनल डेटा प्रोटेक्शन लॉ पर्सनल डेटा की प्रोसेसिंग को कवर करता है 'चाहे पूरी तरह या आंशिक रूप से इलेक्ट्रॉनिक सिस्टम के माध्यम से, देश के भीतर या बाहर।' यह मालिक की सहमति के बिना प्रोसेसिंग को प्रतिबंधित करता है, सीमित अपवादों के अधीन, और व्यक्तियों को अपने डेटा की प्रोसेसिंग को सुधारने या प्रतिबंधित करने का अधिकार देता है। पासपोर्ट, सेल्फी या ट्रांज़ैक्शन हिस्ट्री संभालने वाला कोई प्लेटफ़ॉर्म इस क़ानून के तहत पर्सनल डेटा प्रोसेस कर रहा होता है, चाहे वह कैसे भी लाइसेंस प्राप्त हो।
किसी खरीदार की कंप्लायंस टीम वास्तव में क्या जाँचेगी
प्रोक्योरमेंट ड्यू-डिलिजेंस, न कि इनकॉरपोरेशन, वह जगह है जहाँ RegTech की बिक्री रुक जाती है। कोई नियमित खरीदार यह देखना चाहता है:
- अंतर्निहित डेटा कहाँ से आता है और क्या प्लेटफ़ॉर्म के पास इसका उपयोग करने का स्थायी अधिकार है
- क्या विवादित केसों की समीक्षा कोई व्यक्ति करता है, या मॉडल अकेले निर्णय लेता है
- डेटा कहाँ होस्ट किया जाता है और सपोर्ट स्टाफ़ कहाँ बैठता है
- फॉल्स पॉज़िटिव और मॉडल में बदलावों को कैसे मापा और लॉग किया जाता है
- जब खरीदार का अपना नियामक किसी केस फ़ाइल को माँगता है तो उसके साथ क्या होता है
UAE Cyber Security Council एक पाँच-वर्षीय National Cybersecurity Strategy चलाता है, जिसे 2025 में स्वीकृत किया गया, और एक National Cyber Security Accreditation Program, जो साइबरसिक्योरिटी प्रैक्टिस को मानकीकृत करने के लिए एक सर्टिफिकेशन मार्ग है। इनमें से कोई भी हर वेंडर के लिए अनिवार्य गेट नहीं है, लेकिन खरीदार की सुरक्षा समीक्षा में अब अधिकाधिक यह पूछा जाता है कि कोई प्लेटफ़ॉर्म उस कार्यक्रम के सामने कहाँ खड़ा है, विशेष रूप से बायोमेट्रिक डेटा से जुड़ी किसी भी चीज़ के लिए।
धन और दायित्व उत्पाद के माध्यम से कैसे चलते हैं
RegTech कंपनी का अपना बैंक खाता आम तौर पर बैंकिंग से जुड़ा पहला प्रश्न होता है, और सबसे सीधा भी: व्यवसाय को किसी भी सॉफ़्टवेयर कंपनी की तरह एक परिचालन खाता चाहिए, और बैंक जो फ़ाइल माँगता है वह भी वैसी ही होती है (स्वामित्व, संस्थापकों के धन का स्रोत, और इस बात का स्पष्ट विवरण कि उत्पाद ग्राहक डेटा के साथ क्या करता है)। बैंक खाता तत्परता पर शुरुआत में ही काम करने से खाता लॉन्च से पहले निपटाई जाने वाली आख़िरी चीज़ बनने से बचता है।
जैसे ही उत्पाद केवल सॉफ़्टवेयर नहीं रह जाता, स्थिति बदल जाती है। फिनटेक में धन कौन प्राप्त करता या नियंत्रित करता है, इसे तय करने वाले वही प्रश्न यहाँ भी लागू होते हैं: जो टूल ग्राहक का धन रखता है, भुगतान शुरू करता है, या ऋण देता है, वह एक अलग विनियमित गतिविधि है, और बैंक खाता तत्परता की कितनी भी तैयारी वाणिज्यिक लाइसेंस को ऐसा करने की अनुमति में नहीं बदल सकती। दोनों प्रश्नों को अलग रखें: क्या यह कंपनी बैंकिंग कर सकती है, और क्या वह, न कि उसका ग्राहक, कभी ग्राहक के धन को छूती है। दूसरे प्रश्न की स्थिति आने पर उसके लिए अलग प्राधिकरण या प्रायोजक चाहिए।
स्वामित्व, सब्स्टेंस, और वे भूमिकाएँ जिन्हें खरीदार जाँचता है
समूह संरचना टेक्नोलॉजी, बौद्धिक संपदा और किसी भी लाइसेंस प्राप्त कार्य को अलग-अलग इकाइयों में रख सकती है, बशर्ते हर एक की एक वास्तविक भूमिका हो। किसी खरीदार की लीगल टीम यह पूछेगी कि मॉडल और डेटा पाइपलाइन का स्वामी कौन है, अनुबंध पर किसका नाम है, और यदि कोई स्क्रीनिंग परिणाम गलत हो तो कौन जवाबदेह है। जहाँ स्वामित्व एक से अधिक अधिकार क्षेत्रों में फैला हो, वहाँ किसी ड्यू-डिलिजेंस टीम के इसे परखने से पहले इसे नियमित और जटिल स्वामित्व के रूप में सुलझाएँ। लिखित मामला सहायक बिज़नेस प्लान में होना चाहिए, सवाल पूछे जाने के बाद इकट्ठा किया गया नहीं।
सामान्यतः क्या गलत होता है
- स्क्रीनिंग के लिए उपयोग करने का स्थायी अधिकार न होते हुए डेटा को स्क्रैप करना या खरीदना
- टूल को ऐसी चीज़ के रूप में वर्णित करना जो ग्राहक को 'अनुपालनशील' बनाती है, बजाय इसके कि वह किसी ऐसे निर्णय में सहायता करती है जिसका स्वामी अभी भी ग्राहक है
- पहले डेटा प्रोटेक्शन क़ानून की सहमति और उद्देश्य आवश्यकताओं को सुलझाए बिना बायोमेट्रिक डेटा का उपयोग करना
- किसी ऑफ़शोर रिव्यू टीम या सबप्रोसेसर को अनुबंध और खरीदार की ड्यू-डिलिजेंस फ़ाइल से बाहर रखना
इनकॉरपोरेशन फ़ीस की तुलना करना सबसे सामान्य शुरुआती गलती है। जो लागत महत्वपूर्ण है वह पूरा रूट है: इकाई, कोई भी डेटा लाइसेंसिंग और सिक्योरिटी एश्योरेंस जो खरीदार माँगता है, और यह कि बाद में एक मैनेज्ड-रिव्यू परत जोड़ने में क्या खर्च आता है यदि केवल-सॉफ़्टवेयर पर्याप्त न निकले। Velarozone फॉर्मेशन की हेडलाइन के बजाय उस पूरे स्टैक की कीमत तय करता है, और अपनी फ़ीस उस तरह निर्धारित करता है जैसा Velarozone कैसे काम करता है बताता है।
