Aturan Pemantauan Rekening Bank dan Peluang RegTech di UEA

Perdebatan di Inggris menyangkut sebuah departemen pemerintah yang ingin memeriksa rekening bank untuk mendeteksi penipuan dan kesalahan dalam pembayaran kesejahteraan. Itu adalah kewenangan negara, yang ditetapkan oleh undang-undang Inggris dan dijalankan terhadap kelompok pemohon tertentu. Tidak ada yang setara yang memberi perusahaan swasta di UEA hak untuk melihat rekening siapa pun.

Kisah dari Inggris itu memunculkan pertanyaan desain bagi seorang pendiri: bagian mana dari rantai pemantauan yang akan dimiliki oleh perusahaan saya? Bank menjalankan pemantauan transaksi karena memang diwajibkan. Perusahaan perangkat lunak dapat membangun perangkat yang membuat hal itu lebih murah dan lebih akurat. Namun perusahaan tersebut tidak dapat meminjam kewenangan bank untuk mengakses data.

Garis batas itulah yang menentukan jalur regulasinya. Berdasarkan Open Finance Regulation CBUAE (C 03/2025), perusahaan yang mengambil data rekening nasabah melalui antarmuka bank memerlukan Open Finance Licence, sedangkan vendor yang bekerja berdasarkan kontrak dengan bank merupakan kasus yang berbeda. Materi presentasi (pitch deck) sering keliru karena menggambarkan produk vendor dengan bahasa dari fungsi yang diatur regulasi.

Manajemen persetujuan dan izin. Produk mencatat apa yang disetujui nasabah, memungkinkan mereka menariknya kembali, dan menyimpan jejak audit. Produk menangani catatan persetujuan, belum tentu data rekening yang mendasarinya. Produk ini paling dekat dengan aturan perlindungan data, karena kewajiban utamanya adalah menunjukkan persetujuan yang sah.

Perangkat lunak pemantauan yang dijual kepada lembaga. Dalam praktiknya, bank adalah pengendali data dan vendor bekerja di bawah kontraknya. Soal akses, penyimpanan, pelatihan model pada data nasabah, dan pelaporan insiden diselesaikan dalam perjanjian layanan. Apakah vendor memerlukan otorisasi apa pun bergantung pada apa persisnya yang dilakukannya, dan itu hal yang perlu dikonfirmasi kepada regulator terkait, bukan diasumsikan.

Analitik open finance. Di sini perusahaan membaca data rekening nasabah melalui antarmuka bank dengan izin nasabah. Di sinilah kerangka open finance CBUAE berperan, dan inilah model yang paling mungkin memerlukan otorisasi tersendiri. Panduan terpisah tentang jalur penyedia open finance membahas lingkup tersebut.

Alat manajemen kasus dan pelaporan regulasi. Alat ini membantu tim kepatuhan mendokumentasikan keputusan. Rincian yang penting adalah apakah alat itu hanya mencatat keputusan manusia atau mulai membuat keputusan sendiri.

Sebuah grup dapat menjalankan beberapa di antaranya di bawah satu merek, tetapi kontraknya berbeda.

Undang-undang perlindungan data pribadi federal berlaku untuk pemrosesan yang dilakukan di dalam maupun di luar UEA, seluruhnya atau sebagian dengan sarana elektronik, dan menetapkan persyaratan untuk transfer lintas batas. UAE Data Office, yang berafiliasi dengan Kabinet UEA, menyusun panduan dan menangani pengaduan. Pemilik data dapat meminta koreksi dan dapat membatasi atau menghentikan pemrosesan.

Untuk produk pemantauan atau data, ada tiga hal praktis yang perlu diperhatikan. Persetujuan harus cukup spesifik untuk mencakup apa yang sebenarnya dilakukan perangkat lunak terhadap data tersebut. Penarikan persetujuan harus dapat berfungsi di dalam produk, bukan hanya di dalam syarat dan ketentuan. Dan aliran data yang keluar dari UAE, misalnya ke wilayah cloud atau ke induk perusahaan di luar negeri, memerlukan dasar yang terdokumentasi. Penyedia open finance berlisensi menghadapi ketentuan yang lebih ketat. Open Finance Regulation CBUAE mensyaratkan persetujuan terpisah untuk setiap tujuan, dan penarikan persetujuan harus semudah pemberiannya. Peraturan itu juga mensyaratkan data disimpan di UAE, kecuali CBUAE telah menyetujui penyimpanan di luar negeri dan nasabah telah menyetujuinya secara tertulis setelah diberi tahu di mana data itu akan disimpan dan mengapa.

Lokasi menambah satu lapisan lagi. Halaman perlindungan data Pemerintah UAE mencantumkan DIFC Data Protection Law (DIFC Law No. 5 of 2020) dan Dubai Data Law (Law No. 26 of 2015) di samping undang-undang federal. Karena itu, perusahaan di dalam free zone keuangan dapat tunduk pada rezim data yang berbeda dari perusahaan di mainland, dan perusahaan yang melayani klien di keduanya dapat menghadapi kedua rezim tersebut. Halaman federal tidak menjelaskan bagaimana rezim-rezim ini berinteraksi, sehingga posisi untuk struktur Anda sendiri sebaiknya dikonfirmasi kepada otoritas free zone dan regulator terkait sebelum Anda menetapkan lokasi.

Perusahaan mainland cocok untuk bisnis yang terutama menjual kepada bank dan korporasi UEA dan tidak menginginkan batasan wilayah terhadap pihak yang dikontrak. Perusahaan free zone dapat berjalan baik untuk bisnis teknologi dengan basis nasabah regional, asalkan aktivitas berlisensi zona tersebut sesuai dengan layanan perangkat lunak dan data, dan kontrak dibuat dengan entitas yang tepat.

Bagi vendor RegTech, ujian praktisnya berbeda dari perusahaan dagang. Dapatkah lisensi menggambarkan pengembangan perangkat lunak dan pemrosesan data secara akurat? Akankah tim pengadaan bank menerima entitas tersebut sebagai pemasok? Di mana staf akan berkantor, dan visa tinggal bagi tim pendiri apa saja yang didukung lokasi itu? Di mana data akan di-host secara fisik?

Harga pembentukan yang rendah tidak terlalu berarti jika aktivitas dalam lisensi harus diubah di kemudian hari karena produk ternyata menyentuh data yang diatur regulasi. Tetapkan dahulu batas produknya, baru bandingkan lokasi, yaitu urutan yang diuraikan dalam cara kerja Velarozone.

Pendiri sering memperlakukan perbankan sebagai tugas setelah pendirian perusahaan. Untuk sektor ini, perbankan juga merupakan proses penjualan. Bank yang membeli perangkat lunak pemantauan, atau bank yang membuka rekening korporat Anda sendiri, akan ingin melihat gambaran yang koheren.

Bersiaplah menghadapi pertanyaan tentang siapa pemilik perusahaan dan siapa yang mengendalikan kode, di mana data nasabah disimpan dan siapa yang dapat mengaksesnya, bagaimana model diuji dan bagaimana positif palsu ditangani, serta apa yang terjadi setelah terjadi pelanggaran. Mengenai kepemilikan, panduan CBUAE mengharapkan bank mengidentifikasi dan memverifikasi setiap individu yang memiliki atau mengendalikan 25% atau lebih dari nasabah berbentuk perusahaan. Apabila tidak ada yang mencapai 25%, bank mengidentifikasi manajer senior sebagai gantinya. Bank juga akan menanyakan apakah tim Anda memiliki pengalaman kepatuhan, karena produk hanya sekredibel tim di baliknya.

Peringatan otomatis menimbulkan kekhawatiran tersendiri. Jika model menandai sebuah rekening dan analis begitu saja menerima tanda itu, keputusan tersebut pada dasarnya otomatis. Nasabah yang diatur lebih menyukai alat yang mendukung penilaian manusia yang terdokumentasi. Membangun hal itu ke dalam alur kerja sejak awal lebih murah daripada menambahkannya setelah bank memintanya.

Jalur platform RegTech KYC dan AML sangat tumpang tindih dengan pemantauan. Pembelinya adalah tim kepatuhan yang sama, sehingga uji tuntas vendor yang sama berlaku.