Panduan
Platform RegTech, KYC, dan AML di UAE: Aturan Alih Daya
Jawaban singkat
Platform RegTech, KYC, atau AML pada umumnya tidak diberi lisensi sebagai platform tersebut secara tersendiri. Perusahaan didaftarkan melalui jalur biasa, yaitu melalui Dubai Department of Economy and Tourism (DET), sebuah free zone, atau otoritas financial free zone. Pelanggan yang mengubah gambarannya. Begitu lembaga keuangan berlisensi mengandalkan platform tersebut untuk pemeriksaan AML/CFT-nya, regulator lembaga itu sendiri memperlakukan pengaturan tersebut sebagai alih daya (outsourcing) dan meminta pertanggungjawabannya dari lembaga tersebut, bukan dari vendor. Regulator itu dapat berupa Central Bank of the UAE (CBUAE), Dubai Financial Services Authority (DFSA, DIFC), Financial Services Regulatory Authority (FSRA, ADGM), Capital Market Authority (CMA, sebelumnya Securities and Commodities Authority), atau Virtual Assets Regulatory Authority (VARA, Dubai). Pertanyaan yang menentukan jalurnya adalah apakah platform hanya menyediakan perangkat lunak, atau juga mengambil keputusan: menutup sebuah peringatan, menyelesaikan sebuah berkas, mengajukan sebuah laporan.
Siapa yang menentukan, dan apa yang menjadi dasar lingkupnya
Tidak ada satu pun regulator UAE yang menerbitkan "lisensi RegTech". Kegiatan komersialnya berada di bawah DET atau sebuah free zone. Bobot regulasinya berada pada otoritas mana pun yang mengawasi pembeli: bank atau exchange house bertanggung jawab kepada CBUAE, perusahaan DIFC kepada DFSA, perusahaan ADGM kepada FSRA, perusahaan pasar modal kepada CMA, dan penyedia jasa aset virtual kepada VARA. Masing-masing mengharapkan entitas berlisensinya melakukan uji tuntas atas setiap fungsi yang dialihdayakan dan mempertahankan hak audit atas penyedianya. Platform jarang menjadi pihak yang diatur; kontrak yang membuat pelanggan bertanggung jawab atasnya adalah hal yang pada akhirnya akan diminta oleh para regulator ini.
Secara terpisah, dan terlepas dari regulator keuangan mana yang berlaku, Personal Data Protection Law federal mencakup pemrosesan data pribadi "baik secara penuh atau sebagian melalui sistem elektronik, di dalam atau di luar negara." Undang-undang itu melarang pemrosesan tanpa persetujuan pemiliknya, dengan pengecualian terbatas, dan memberikan individu hak untuk mengoreksi atau membatasi pemrosesan data mereka. Sebuah platform yang menangani paspor, selfie, atau riwayat transaksi sedang memproses data pribadi berdasarkan undang-undang ini, bagaimanapun ia diberi lisensi.
Apa yang sebenarnya diperiksa tim kepatuhan seorang pembeli
Diligence pengadaan, bukan pendirian perusahaan, adalah tempat penjualan RegTech sering terhenti. Seorang pembeli yang diatur ingin melihat:
- Dari mana data yang mendasarinya berasal dan apakah platform tersebut memiliki hak yang tahan lama untuk menggunakannya
- Apakah seseorang meninjau case yang disengketakan, atau modelnya memutuskan sendiri
- Di mana data dihosting dan di mana staf pendukung berada
- Bagaimana false positive dan perubahan model diukur dan dicatat
- Apa yang terjadi pada sebuah berkas case ketika regulator pembeli sendiri memintanya
UAE Cyber Security Council menjalankan National Cybersecurity Strategy berjangka lima tahun, yang disetujui pada 2025, dan National Cyber Security Accreditation Program, sebuah jalur sertifikasi untuk menstandardisasi praktik keamanan siber. Tidak satu pun dari keduanya merupakan gerbang wajib bagi setiap vendor, tetapi tinjauan keamanan pembeli semakin sering menanyakan posisi sebuah platform terhadap program tersebut, khususnya untuk apa pun yang menyentuh data biometrik.
Bagaimana uang dan kewajiban berpindah melalui produk tersebut
Rekening bank milik perusahaan RegTech biasanya menjadi pertanyaan perbankan pertama, dan yang paling lugas: bisnis tersebut memerlukan rekening operasional seperti perusahaan perangkat lunak lainnya, dan berkas yang diminta bank terlihat sama (kepemilikan, sumber dana para pendiri, serta uraian yang jelas tentang apa yang dilakukan produk dengan data pelanggan). Mengerjakan kesiapan rekening bank sejak dini menghindarkan rekening itu menjadi hal terakhir yang diselesaikan sebelum peluncuran.
Hal itu berubah saat produk tidak lagi sekadar perangkat lunak. Pertanyaan yang sama yang menentukan siapa yang menerima atau mengendalikan uang dalam sebuah fintech berlaku di sini: alat yang menyimpan dana klien, memulai pembayaran, atau memberikan kredit merupakan kegiatan teregulasi yang berbeda, dan sebanyak apa pun kesiapan rekening bank tidak mengubah lisensi komersial menjadi izin untuk melakukannya. Pisahkan kedua pertanyaan itu: apakah perusahaan ini dapat memiliki rekening bank, dan apakah perusahaan ini, bukan pelanggannya, pernah menyentuh dana pelanggan. Pertanyaan kedua, bila muncul, memerlukan otorisasi atau sponsor tersendiri.
Kepemilikan, substansi, dan peran yang diperiksa pembeli
Struktur grup dapat menempatkan teknologi, kekayaan intelektual, dan fungsi berlisensi apa pun dalam entitas-entitas yang berbeda, selama masing-masing memiliki peran yang nyata. Tim hukum seorang pembeli akan menanyakan siapa yang memiliki model dan data pipeline-nya, siapa yang disebutkan dalam kontrak, dan siapa yang bertanggung jawab jika hasil screening salah. Jika kepemilikan berada di lebih dari satu yurisdiksi, kerjakan hal itu sebagai kepemilikan yang diatur dan kompleks sebelum tim diligence mengujinya. Kasus tertulisnya berada dalam rencana bisnis pendukung, bukan disusun setelah pertanyaan itu diajukan.
Apa yang umumnya salah
- Melakukan scraping atau membeli data tanpa hak yang tahan lama untuk menggunakannya untuk screening
- Menggambarkan alat tersebut sebagai sesuatu yang membuat pelanggan "patuh", bukan sebagai sesuatu yang mendukung sebuah keputusan yang tetap dimiliki pelanggan
- Menggunakan data biometrik tanpa lebih dulu mengerjakan persyaratan persetujuan dan tujuan dalam undang-undang pelindungan data
- Menjaga tim peninjau offshore atau subprocessor di luar kontrak dan di luar berkas diligence pembeli
Membandingkan biaya pendirian perusahaan adalah kesalahan awal yang paling umum. Biaya yang penting adalah jalur lengkapnya: entitasnya, lisensi data dan asurans keamanan apa pun yang diminta pembeli, dan berapa biaya untuk menambahkan lapisan managed-review nanti jika perangkat lunak saja ternyata tidak cukup. Velarozone memberi harga untuk seluruh rangkaian itu, bukan sekadar judul pendirian, dan menetapkan biaya layanannya sendiri sesuai dengan yang digambarkan cara kerja Velarozone.
