Ուղեցույց
RegTech, KYC և AML հարթակ ԱՄԷ-ում՝ աութսորսինգի կանոններ
Կարճ պատասխան
RegTech, KYC կամ AML հարթակը սովորաբար ինքնին որպես այդպիսին լիցենզավորված չէ։ Ընկերությունը գրանցվում է սովորական ճանապարհով՝ Դուբայի տնտեսության և զբոսաշրջության դեպարտամենտի (DET), ազատ գոտու (free zone) կամ ֆինանսական ազատ գոտու մարմնի միջոցով։ Հաճախորդը փոխում է պատկերը։ Հենց լիցենզավորված ֆինանսական հաստատությունը AML/CFT ստուգումների համար ապավինում է հարթակին, այդ հաստատության սեփական կարգավորողը այդ համաձայնությունը դիտարկում է որպես աութսորսինգ և դրա համար պատասխանատվություն է դնում հաստատության, ոչ թե մատակարարի վրա։ Այդ կարգավորողը կարող է լինել Արաբական Միացյալ Էմիրությունների կենտրոնական բանկը (CBUAE), Դուբայի ֆինանսական ծառայությունների կարգավորման մարմինը (DFSA, DIFC), Ֆինանսական ծառայությունների կարգավորման մարմինը (FSRA, ADGM), Կապիտալի շուկայի մարմինը (CMA, նախկինում՝ Արժեթղթերի և ապրանքների մարմին) կամ Վիրտուալ ակտիվների կարգավորման մարմինը (VARA, Դուբայ)։ Ուղին որոշող հարցը հետևյալն է՝ հարթակը միայն ծրագրային ապահովում է տրամադրում, թե նաև ինքն է կայացնում որոշումը՝ փակում է ահազանգը, կարգավորում է գործը, ներկայացնում է հաշվետվություն։
Ո՞վ է որոշում կայացնում, և ինչի՞ց է կախված կարգավորման սահմանը
ԱՄԷ-ում ոչ մի առանձին կարգավորող «RegTech լիցենզիա» չի տալիս։ Առևտրային գործունեությունը գտնվում է DET-ի կամ ազատ գոտու իրավասության ներքո։ Կարգավորողական ծանրությունը ընկնում է գնորդին վերահսկող մարմնի վրա՝ բանկը կամ փոխանակման կետը պատասխանատու է CBUAE-ի առջև, DIFC-ի ընկերությունը՝ DFSA-ի, ADGM-ի ընկերությունը՝ FSRA-ի, կապիտալի շուկայի ընկերությունը՝ CMA-ի, վիրտուալ ակտիվների ծառայություններ մատուցողը՝ VARA-ի։ Յուրաքանչյուրն ակնկալում է, որ իր լիցենզավորված կազմակերպությունը ցանկացած աութսորսինգով տրված գործառույթի նկատմամբ կիրականացնի պատշաճ ստուգում և մատակարարի նկատմամբ կպահպանի աուդիտի իրավունքներ։ Հարթակը հազվադեպ է լինում կարգավորվող կողմ. այն պայմանագիրը, որով հաճախորդը պատասխանատու է դառնում դրա համար, հենց այն է, որ այս կարգավորողները ի վերջո կպահանջեն տեսնել։
Առանձին, և անկախ նրանից, թե որ ֆինանսական կարգավորող մարմինն է կիրառվում, դաշնային Անձնական տվյալների պաշտպանության մասին օրենքը կարգավորում է անձնական տվյալների մշակումը՝ «ամբողջությամբ կամ մասամբ էլեկտրոնային համակարգերի միջոցով, երկրի ներսում կամ դրսում»։ Այն արգելում է մշակումը առանց սեփականատիրոջ համաձայնության, սահմանափակ բացառություններով, և անհատներին տալիս է իրավունք ուղղել կամ սահմանափակել իրենց տվյալների մշակումը։ Հարթակը, որը աշխատում է անձնագրերի, սելֆիների կամ գործարքների պատմության հետ, այս օրենքի համաձայն մշակում է անձնական տվյալներ՝ անկախ իր լիցենզավորման ձևից։
Ի՞նչ է իրականում ստուգելու գնորդի համապատասխանության թիմը (compliance team)
Գնումների ուսումնասիրությունն է, ոչ թե կազմավորումը, որտեղ RegTech վաճառքները կանգ են առնում։ Կարգավորվող գնորդը ցանկանում է տեսնել.
- Որտեղից են գալիս հիմքում ընկած տվյալները, և արդյոք հարթակը ունի կայուն իրավունքներ դրանք օգտագործելու համար
- Արդյոք վիճահարույց դեպքերը վերանայում է մարդը, թե մոդելն ինքն է միայնակ որոշում կայացնում
- Որտեղ են տեղակայված տվյալները, և որտեղ են գտնվում աջակցության անձնակազմը
- Ինչպես են չափվում և գրանցվում կեղծ դրական արդյունքները և մոդելի փոփոխությունները
- Ինչ տեղի է ունենում գործի փաստաթղթի հետ, երբ գնորդի սեփական կարգավորող մարմինն այն պահանջում է
ԱՄԷ Կիբերանվտանգության խորհուրդը վարում է հինգամյա Ազգային կիբերանվտանգության ստրատեգիա, հաստատված 2025 թվականին, և Ազգային կիբերանվտանգության հավատարմագրման ծրագիր, հավաստագրման ուղի կիբերանվտանգության գործունեության ստանդարտացման համար։ Ոչ մեկը պարտադիր դարպաս չէ ցանկացած մատակարարի համար, բայց գնորդի անվտանգության վերստուգումը ավելի ու ավելի հարցնում է, թե որտեղ հարթակը գտնվում է այդ ծրագրի դեմ, հատկապես ցանկացած բիոմետրիկ տվյալներին առնչվող բանի համար։
Ինչպես են փողը և պատասխանատվությունը շարժվում արտադրանքի միջով
RegTech ընկերության սեփական բանկային հաշիվը սովորաբար առաջին բանկային հարցն է և ամենադյուրինը. բիզնեսին անհրաժեշտ է գործառնական հաշիվ, ինչպես ցանկացած ծրագրային ընկերության, և բանկի պահանջած փաստաթղթերի փաթեթը նույնն է (սեփականություն, հիմնադիրների միջոցների աղբյուր և արտադրանքի կողմից հաճախորդների տվյալների հետ կատարվող գործողությունների հստակ նկարագրություն)։ Բանկային հաշվի պատրաստվածության հարցով վաղ զբաղվելը թույլ չի տալիս, որ հաշիվը դառնա գործարկումից առաջ վերջին լուծվող հարցը։
Դա փոխվում է այն պահից, երբ արտադրանքը դադարում է զուտ ծրագրային ապահովում լինելուց։ Այստեղ կիրառվում են նույն հարցերը, որոնք ֆինտեքում որոշում են, թե ով է ստանում կամ վերահսկում գումարը․ այն գործիքը, որը պահում է հաճախորդի գումարը, նախաձեռնում է վճարում կամ տրամադրում է վարկ, արդեն այլ կարգավորվող գործունեություն է, և բանկային հաշվի պատրաստվածության ոչ մի աստիճան առևտրային լիցենզիան չի դարձնում դրա թույլտվություն։ Այս երկու հարցը պահեք առանձին՝ կարո՞ղ է այս ընկերությունը բանկային սպասարկում ստանալ, և արդյո՞ք հենց ինքը, այլ ոչ թե իր հաճախորդը, երբևէ դիպչում է հաճախորդի գումարին։ Երկրորդ հարցը, որտեղ այն առաջանում է, պահանջում է իր սեփական թույլտվությունը կամ հովանավոր։
Սեփականություն, էական ներկայություն և այն դերերը, որոնք ստուգում է գնորդը
Խմբային կառուցվածքը կարող է տեխնոլոգիան, մտավոր սեփականությունը և ցանկացած լիցենզավորված ֆունկցիա դնել առանձին կազմակերպություններում, պայմանով, որ յուրաքանչյուրը ունի իրական դեր։ Գնորդի իրավաբանական խումբը կհարցնի, թե ով է տնօրինում մոդելը և տվյալների խողովակաշարը, ով է նշված պայմանագրում, և ով է պատասխանատու, եթե ստուգման արդյունքը սխալ է։ Երբ սեփականությունը գտնվում է մեկից ավելի իրավազորությունների (jurisdiction) ներքո, անցեք դրա միջով որպես կարգավորվող և բարդ սեփականություն, նախքան ուսումնասիրող խումբը կստուգի այն։ Գրավոր հիմնավորումը պետք է լինի ուղեկցող բիզնես պլանում, ոչ թե հավաքվի հարցը տրվելուց հետո։
Ինչն է սովորաբար սխալ ընթանում։
- Տվյալների հավաքագրում կամ գնում՝ առանց ստուգման նպատակով դրանք օգտագործելու կայուն իրավունքի
- Գործիքը նկարագրել որպես մի բան, որը հաճախորդին դարձնում է «համապատասխանող», այլ ոչ թե որպես մի բան, որը աջակցում է որոշմանը, որը դեռևս հաճախորդի իսկ պատասխանատվությունն է
- Բիոմետրիկ տվյալների օգտագործում՝ նախապես չանցնելով տվյալների պաշտպանության օրենքի համաձայնության և նպատակի պահանջների միջով
- Օֆշորային վերանայման թիմը կամ ենթամշակողին պայմանագրից և գնորդի ուսումնասիրության փաստաթղթից դուրս պահել
Կազմավորման վճարները համեմատելը ամենատարածված վաղ սխալն է։ Կարևոր է ամբողջ ուղու արժեքը. կազմակերպությունը, ցանկացած տվյալների լիցենզավորում և անվտանգության հավաստիացում, որը գնորդը պահանջում է, և ինչ արժե ավելի ուշ ավելացնել կառավարվող վերանայման շերտ, եթե միայն ծրագրային լուծումը բավարար չի ստացվում։ Velarozone-ը գնագնահատում է այդ ամբողջ փաթեթը, ոչ թե կազմավորման գլխագիր թիվը, և սահմանում է իր ծառայության վճարը այնպես, ինչպես նկարագրված է ինչպես է աշխատում Velarozone-ը-ում։
