Բլոգ
Բանկային հաշիվների մոնիտորինգի կանոնները և UAE-ի RegTech հնարավորությունը
Կարճ պատասխան
Մեծ Բրիտանիայի Աշխատանքի և կենսաթոշակների նախարարության (Department for Work and Pensions, DWP) բանկային հաշիվների մոնիթորինգի կանոնները բրիտանական քաղաքականություն են և ԱՄԷ-ում չեն գործում։ ԱՄԷ ընկերությունը, որը բանկերից ստանում է հաճախորդների հաշվի տվյալներ, կարիք ունի Արաբական Միացյալ Էմիրությունների Կենտրոնական բանկից (CBUAE) բաց ֆինանսների լիցենզիայի (Open Finance Licence)՝ իր Բաց ֆինանսների կարգավորման (Open Finance Regulation) համաձայն, հաճախորդի բացահայտ համաձայնությամբ և AED 1,000,000 նվազագույն կապիտալով։ Բանկի պայմանագրով աշխատող ծրագրային ապահովման մատակարարը այլ դեպք է, և նրա դիրքորոշումը կախված է նրանից, թե ինչ է անում արտադրանքը տվյալների հետ։
Որոշիչ փաստը ծրագրային ապահովման մատակարարի և տվյալների հասանելիության մատակարարի միջև սահմանն է: Լիցենզավորված բանկին մոնիտորինգի կամ գործերի կառավարման գործիքներ մատակարարող ընկերությունը այլ դիրքում է, քան այն ընկերությունը, որը հաշվի տվյալները ստանում է անմիջապես հաճախորդներից: Central Bank of the UAE-ը (CBUAE) վերահսկում է բանկերին և բաց ֆինանսների գործունեությունը, իսկ UAE Data Office-ը վերահսկում է անձնական տվյալները տվյալների պաշտպանության դաշնային օրենքի համաձայն:
Համաձայնությունը ընդհանուր թելն է: Դաշնային օրենքն արգելում է անձնական տվյալների մշակումն առանց դրանց սեփականատիրոջ համաձայնության, բացառությամբ հանրային շահի և որոշակի իրավական ընթացակարգերի սահմանափակ դեպքերի: «Մոնիտորինգի» վրա կառուցված բիզնեսը պետք է կարողանա ցույց տալ, թե որտեղից է գալիս այդ համաձայնությունը:
Ինչ է և ինչ չի ասում բրիտանական պատմությունը UAE-ի հիմնադրի համար
Բրիտանական բանավեճը վերաբերում է կառավարական գերատեսչությանը, որը ցանկանում է ստուգել բանկային հաշիվները սոցիալական վճարումներում խարդախությունն ու սխալները հայտնաբերելու համար: Սա պետական լիազորություն է, սահմանված բրիտանական օրենսդրությամբ և կիրառվող դիմորդների որոշակի խմբի նկատմամբ: Ոչ մի համարժեք բան UAE-ի մասնավոր ընկերությանը իրավունք չի տալիս որևէ մեկի հաշվին ծանոթանալու:
Բրիտանական դեպքը հիմնադրի առաջ դնում է նախագծային հարց. մոնիթորինգի շղթայի որ մասը կպատկանի իմ ընկերությանը։ Բանկերը իրականացնում են գործարքների մոնիթորինգ, քանի որ պարտավոր են։ Ծրագրային ապահովման ընկերությունը կարող է ստեղծել գործիքակազմ, որը դա դարձնում է ավելի էժան և ավելի ճշգրիտ։ Սակայն այն չի կարող փոխառել բանկի լիազորությունը՝ տվյալները տեսնելու համար։
Այդ սահմանագիծը որոշում է կարգավորման ճանապարհը։ CBUAE-ի Բաց ֆինանսների կարգավորման (C 03/2025) համաձայն՝ ընկերությունը, որը բանկային ինտերֆեյսների միջոցով ստանում է հաճախորդների հաշվի տվյալներ, կարիք ունի բաց ֆինանսների լիցենզիայի, մինչդեռ բանկի պայմանագրով աշխատող մատակարարը այլ դեպք է։ Ներկայացման նյութերը հաճախ սխալվում են՝ մատակարարի արտադրանքը նկարագրելով կարգավորվող գործառույթի լեզվով։
Չորս բիզնես մոդել, որոնք նման են, բայց տարբեր են
Համաձայնության և թույլտվությունների կառավարում: Ապրանքը գրանցում է, թե ինչի հետ է համաձայնել հաճախորդը, թույլ է տալիս նրան հետ վերցնել այն և պահպանում է աուդիտի հետքը: Այն աշխատում է համաձայնության գրառումների հետ, ոչ թե պարտադիր հիմքում ընկած հաշվի տվյալների: Այն ամենամոտն է տվյալների պաշտպանության կանոններին, քանի որ հիմնական պարտավորությունը վավեր համաձայնության ապացուցումն է:
Հաստատություններին վաճառվող մոնիտորինգի ծրագրային ապահովում: Գործնականում բանկը տվյալների վերահսկիչն է, իսկ մատակարարն աշխատում է նրա պայմանագրի շրջանակում: Հասանելիության, պահպանման, հաճախորդների տվյալների վրա մոդելների վերապատրաստման և միջադեպերի մասին հաշվետվության հարցերը լուծվում են ծառայությունների մատուցման պայմանագրում: Արդյոք մատակարարին որևէ թույլտվություն է պետք, կախված է նրանից, թե հենց ինչ է նա անում, և սա մի կետ է, որը պետք է հաստատել համապատասխան կարգավորողի հետ, այլ ոչ թե ենթադրել:
Բաց ֆինանսների վերլուծություն: Այստեղ ընկերությունը կարդում է հաճախորդի հաշվի տվյալները բանկերի ինտերֆեյսների միջոցով՝ հաճախորդի թույլտվությամբ: Հենց այստեղ է կարևոր CBUAE-ի բաց ֆինանսների շրջանակը, և սա այն մոդելն է, որին ամենից հավանական է անհրաժեշտ լինի սեփական լիազորում: Առանձին ուղեցույցը բաց ֆինանսների մատակարարի ուղու մասին ընդգրկում է այս շրջագիծը:
Գործերի կառավարման և կարգավորողին հաշվետվության գործիքներ: Դրանք օգնում են համապատասխանության թիմերին փաստաթղթավորել որոշումները: Կարևոր մանրամասնն այն է, թե գործիքը միայն գրանցում է մարդկային որոշումները, թե ինքն է սկսում դրանք կայացնել:
Խումբը կարող է դրանցից մի քանիսը գործարկել մեկ ապրանքանիշի ներքո, բայց պայմանագրերը տարբերվում են:
Համաձայնություն, տվյալների օրենք և ազատ գոտու հարցը
Անձնական տվյալների պաշտպանության դաշնային օրենքը կիրառվում է UAE-ի ներսում կամ դրսում իրականացվող մշակման նկատմամբ՝ ամբողջությամբ կամ մասամբ էլեկտրոնային միջոցներով, և սահմանում է սահմանահատ փոխանցման պահանջներ: UAE Data Office-ը, որը կապված է UAE-ի Կաբինետի հետ, մշակում է ուղեցույցները և քննում բողոքները: Տվյալների սեփականատերերը կարող են խնդրել ուղղում, ինչպես նաև սահմանափակել կամ դադարեցնել մշակումը:
Մոնիթորինգի կամ տվյալների արտադրանքի համար բխում են երեք գործնական կետ։ Համաձայնությունը պետք է բավականաչափ հստակ լինի՝ ծածկելու համար այն, ինչ ծրագրային ապահովումն իրականում անում է տվյալների հետ։ Հետկանչը պետք է գործի արտադրանքի մեջ, այլ ոչ միայն պայմաններում։ Իսկ ԱՄԷ-ից դուրս գնացող տվյալների հոսքը, օրինակ՝ ամպային տարածաշրջան կամ օֆշորային մայր ընկերություն, պահանջում է փաստաթղթավորված հիմք։ Լիցենզավորված բաց ֆինանսական ծառայություններ մատուցողը առերեսվում է ավելի խիստ պայմանների հետ։ CBUAE-ի Բաց ֆինանսների կարգավորումը պահանջում է առանձին համաձայնություն յուրաքանչյուր նպատակի համար, և հետկանչը պետք է լինի նույնքան հեշտ, որքան համաձայնություն տալը։ Այն նաև պահանջում է, որ տվյալները պահվեն ԱՄԷ-ում, եթե CBUAE-ն չի հաստատել արտերկրում պահպանումը և հաճախորդը գրավոր չի համաձայնել այն բանից հետո, երբ իրեն տեղեկացվել է, թե որտեղ և ինչու են դրանք պահվելու։
Գտնվելու վայրը ավելացնում է ևս մեկ շերտ։ ԱՄԷ կառավարության տվյալների պաշտպանության էջը դաշնային օրենքի կողքին թվարկում է DIFC տվյալների պաշտպանության օրենքը (DIFC Law No. 5 of 2020) և Դուբայի տվյալների օրենքը (Law No. 26 of 2015)։ Ուստի ֆինանսական ազատ գոտու (free zone) ներսում գտնվող ընկերությունը կարող է ենթարկվել տվյալների այլ ռեժիմի, քան մեյնլենդի (mainland) ընկերությունը, իսկ երկու վայրերում հաճախորդներ սպասարկող ընկերությունը կարող է ենթարկվել երկուսին էլ։ Դաշնային էջը չի բացատրում, թե ինչպես են դրանք փոխազդում, ուստի ձեր սեփական կառուցվածքի դիրքորոշումը պետք է հաստատել ազատ գոտու մարմնի և համապատասխան կարգավորողի հետ՝ նախքան գտնվելու վայրի վերաբերյալ պարտավորվելը։
Մեյնլենդ թե ազատ գոտի՝ տվյալների և համապատասխանության բիզնեսի համար
Մեյնլենդ (mainland) ընկերությունը հարմար է այն բիզնեսին, որը հիմնականում վաճառում է UAE-ի բանկերին և կորպորացիաներին և չի ցանկանում տարածքային սահմանափակում այն հարցում, թե ում հետ է պայմանագիր կնքում: Ազատ գոտու ընկերությունը կարող է լավ աշխատել տարածաշրջանային հաճախորդական բազայով տեխնոլոգիական բիզնեսի համար՝ պայմանով, որ գոտու լիցենզիայի գործունեությունը համապատասխանում է ծրագրային և տվյալների ծառայություններին, իսկ պայմանագրերը կնքվում են ճիշտ իրավաբանական անձի հետ:
RegTech մատակարարի համար գործնական չափանիշները տարբերվում են առևտրային ընկերության չափանիշներից: Կարո՞ղ է լիցենզիան ճշգրտորեն նկարագրել ծրագրային ապահովման մշակումը և տվյալների մշակումը: Կընդունի՞ արդյոք բանկի գնումների թիմը այդ իրավաբանական անձին որպես մատակարար: Որտե՞ղ կնստի անձնակազմը, և ի՞նչ բնակության վիզաներ հիմնադիր թիմի համար է աջակցում այդ տեղակայումը: Որտե՞ղ ֆիզիկապես կտեղակայվեն տվյալները:
Ցածր ձևավորման գինը քիչ նշանակություն ունի, եթե լիցենզիայի գործունեության տեսակը հետագայում պետք է փոփոխվի, քանի որ արտադրանքը պարզվել է, որ առնչվում է կարգավորվող տվյալների հետ։ Սկզբում որոշեք արտադրանքի սահմանը, ապա համեմատեք գտնվելու վայրերը, ինչպես նկարագրված է ինչպես է աշխատում Velarozone-ը բաժնում։
Ինչ կհարցնի բանկը՝ նախքան ստորագրելը
Հիմնադիրները հաճախ բանկային սպասարկումը դիտարկում են որպես ընկերության ստեղծումից հետո խնդիր: Այս ոլորտի համար այն նաև վաճառքի գործընթաց է: Բանկը, որը գնում է մոնիտորինգի ծրագրային ապահովում, կամ բանկը, որը բացում է ձեր սեփական կորպորատիվ հաշիվը, կցանկանա տեսնել համահունչ պատկեր:
Սպասեք հարցերի այն մասին, թե ով է ընկերության սեփականատերը և ով է վերահսկում կոդը, որտեղ են պահվում հաճախորդների տվյալները և ովքեր կարող են հասանելի ունենալ դրանց, ինչպես է մոդելը փորձարկվում և ինչպես են մշակվում կեղծ դրական արդյունքները, և ինչ է տեղի ունենում խախտումից հետո։ Սեփականության հարցում CBUAE-ի ուղեցույցը ակնկալում է, որ բանկը պետք է նույնականացնի և ստուգի ընկերություն հանդիսացող հաճախորդի 25% կամ ավելի բաժնեմաս ունեցող կամ նրան վերահսկող յուրաքանչյուր անհատի։ Երբ ոչ ոք չի հասնում 25%-ի, այն փոխարենը նույնականացնում է բարձրաստիճան ղեկավարին։ Բանկերը նաև կհարցնեն՝ արդյոք ձեր աշխատակիցներն ունեն համապատասխանության ոլորտի փորձ, քանի որ արտադրանքը այնքան հավաստի է, որքան դրա հետևում կանգնած թիմը։
Ավտոմատ ազդանշանները հատուկ մտահոգություն են առաջացնում: Եթե մոդելը նշում է հաշիվը, իսկ վերլուծաբանը պարզապես ընդունում է նշումը, որոշումը փաստացի ավտոմատացված է: Կարգավորվող հաճախորդները նախընտրում են գործիքներ, որոնք աջակցում են փաստաթղթավորված մարդկային դատողությանը: Սա աշխատանքային գործընթացի մեջ սկզբից ներառելը ավելի էժան է, քան հետագայում ավելացնելը, երբ բանկը դա պահանջի:
RegTech KYC և AML հարթակի ուղին մեծապես համընկնում է մոնիթորինգի հետ։ Դրա գնորդները նույն համապատասխանության թիմերն են, ուստի կիրառվում է մատակարարի նույն ստուգումը։
Մեկ խոսքով
Ինչ պետք է վերցնել դրանից
- Բրիտանական կանոնները միայն առիթ են: UAE-ի ընկերությունը կնախագծեր UAE-ի տվյալների օրենսդրության և CBUAE-ի սպասումների համաձայն, այլ ոչ թե DWP-ի լիազորությունների:
- Առաջին կառուցվածքային ընտրությունը ծրագրային ապահովման մատակարարի և այն ընկերության միջև է, որը շփվում է հաճախորդի հաշվի տվյալների հետ:
- Տվյալների պաշտպանության դաշնային օրենքը համաձայնությունը դարձնում է անձնական տվյալների մշակման ելակետ, իսկ UAE Data Office-ը դաշնային կարգավորողն է:
- Ազատ գոտու (free zone) տեղակայումը կարող է բերել առանձին տվյալների ռեժիմ, օրինակ՝ Dubai International Financial Centre-ի (DIFC) տվյալների պաշտպանության օրենքը:
- Բանկերին վաճառելը սովորաբար նշանակում է անցնել նրանց մատակարարների ստուգում, որը գնից առաջ ստուգում է անվտանգությունը և կառավարումը:
- Ապրանք, որը ներկայացվում է որպես մոնիտորինգը շրջանցելու միջոց, այն բիզնեսը չէ, որ UAE-ի բանկը կամ կարգավորողը կցանկանա իր կողքին տեսնել:
- Կարո՞ղ է UAE-ի ընկերությունը առաջարկել մոնիտորինգ, որին հաճախորդները համաձայն են, եթե տվյալները գալիս են նրանց բանկից:
- Հնարավոր է, բայց դա բաց ֆինանսների հարց է, այլ ոչ թե ծրագրային ապահովման հարց։ Ընկերությունը, որը հաճախորդի հանձնարարությամբ բանկերից ստանում է հաշվի տվյալներ, կարիք ունի CBUAE-ից բաց ֆինանսների լիցենզիայի (Open Finance Licence), և միայն համաձայնությունը չի թույլատրում հասանելիությունը։ Համաձայնությունը պետք է լինի բացահայտ, կոնկրետ նպատակին առնչվող և ցանկացած պահի հետկանչելի։ Այս եղանակով ստացված տվյալները պետք է պահվեն ԱՄԷ-ում, եթե CBUAE-ն և հաճախորդը երկուսն էլ չեն հաստատել արտերկրում պահպանումը։
- Պե՞տք է արդյոք մեզ լիցենզիա, եթե բանկերին միայն ծրագրային ապահովում ենք վաճառում:
- Դա կախված է նրանից, թե ինչ է անում ծրագրային ապահովումը: Գործիքը, որն աշխատում է բանկի միջավայրում և նրա պայմանագրի շրջանակում, տարբեր դեպք է այն ծառայությունից, որը սեփական հաշվին ստանում կամ փոխանցում է հաճախորդների տվյալները: Գրի առեք, թե ինչ է անում և ինչ չի անում ապրանքը, և այդ նկարագրությունը ստուգել տվեք համապատասխան կարգավորողին, քանի որ ապրանքի պիտակը ոչինչ չի որոշում:
- Տվյալների ո՞ր օրենքն է կիրառվում, եթե մենք ազատ գոտում (free zone) ենք:
- Երկու շերտն էլ կարող են նշանակություն ունենալ: Անձնական տվյալների պաշտպանության դաշնային օրենքը վերաբերում է UAE-ի ներսում և դրսում մշակմանը, իսկ ֆինանսական ազատ գոտիները (free zones), ինչպես DIFC-ը, ունեն տվյալների պաշտպանության սեփական օրենք: Թե դրանցից որն է կարգավորում տվյալ գործունեությունը, կախված է նրանից, թե որտեղ է ընկերությունը և ում է սպասարկում, ուստի ստուգեք գոտու մարմնի հետ:
- Կարո՞ղ ենք ապրանքը ներկայացնել որպես հաճախորդների համար մոնիտորինգից խուսափելու միջոց:
- Ոչ: Բանկերն ու կարգավորողները դա կընկալեն որպես նախազգուշացնող ազդանշան, և դա խարխլում է ապրանքի համապատասխանության հիմնավորումը: Վստահելի դիրքորոշումն այն է, որ ապրանքն օգնում է հաճախորդներին հասկանալ և վերահսկել, թե ինչպես են օգտագործվում իրենց տվյալները՝ օրենքի շրջանակում:
Դիտարկումներ
Ե՞րբ է սա գալիս
Ընդհանուր տեղեկատվություն՝ վերցված CBUAE Rulebook-ից, ներառյալ Retail Payment Services and Card Schemes Regulation (C 15/2021)-ը և Cabinet Resolution No. (134) of 2025-ը՝ ինչպես հրապարակված են, և չի հանդիսանում իրավական կամ հարկային խորհրդատվություն։ Կանոններն ու ուղեցույցները փոխվում են, ուստի ներկայացնելուց առաջ հաստատեք գործող տեքստը և յուրաքանչյուր հաստատության սեփական պահանջները։