Regole di monitoraggio dei conti bancari e opportunità RegTech negli Emirati Arabi Uniti

Il dibattito britannico riguarda un dipartimento governativo che vuole controllare i conti bancari per individuare frodi ed errori nelle prestazioni assistenziali. Si tratta di un potere dello Stato, stabilito dalla legislazione del Regno Unito ed esercitato nei confronti di uno specifico gruppo di richiedenti. Nulla di equivalente attribuisce a una società privata degli UAE il diritto di esaminare il conto di chicchessia.

La vicenda britannica pone a un fondatore una questione di progettazione: quale parte della catena di monitoraggio sarebbe di competenza della mia società? Le banche svolgono il monitoraggio delle transazioni perché vi sono obbligate. Una società di software può costruire strumenti che lo rendano meno costoso e più accurato. Non può però prendere in prestito l'autorità della banca per accedere ai dati.

Quella linea di confine determina il percorso regolatorio. Ai sensi dell'Open Finance Regulation della CBUAE (C 03/2025), una società che acquisisce i dati dei conti dei clienti tramite le interfacce bancarie necessita di una Open Finance Licence, mentre un fornitore che opera in base a un contratto con una banca è un caso diverso. Le presentazioni agli investitori sbagliano spesso nel descrivere il prodotto di un fornitore con il linguaggio di una funzione regolamentata.

Gestione del consenso e delle autorizzazioni. Il prodotto registra ciò che il cliente ha accettato, gli consente di revocarlo e conserva la pista di controllo. Gestisce i registri dei consensi, non necessariamente i dati dei conti sottostanti. È l'ambito più vicino alle norme sulla protezione dei dati, perché l'obbligo centrale consiste nel dimostrare la validità del consenso.

Software di monitoraggio venduto agli istituti. In pratica la banca è il titolare del trattamento e il fornitore opera in base al proprio contratto. Le questioni di accesso, conservazione, addestramento di modelli sui dati dei clienti e segnalazione degli incidenti sono regolate nel contratto di servizi. Se il fornitore necessiti di un'autorizzazione dipende da ciò che fa esattamente, ed è un punto da confermare con l'autorità di regolamentazione competente, non da dare per scontato.

Analisi di open finance. In questo caso la società legge i dati dei conti dei clienti tramite le interfacce delle banche, con il permesso del cliente. Qui assume rilievo il quadro di open finance di CBUAE, ed è il modello che con maggiore probabilità richiede una propria autorizzazione. La guida separata sul percorso per i fornitori di open finance tratta questo perimetro.

Strumenti di gestione delle pratiche e di reportistica normativa. Aiutano i team di compliance a documentare le decisioni. Il dettaglio che conta è se lo strumento si limiti a registrare decisioni umane o inizi a prenderle.

Un gruppo può gestire più di questi modelli sotto un unico marchio, ma i contratti sono diversi.

La legge federale sulla protezione dei dati personali si applica al trattamento effettuato all'interno o all'esterno degli UAE, integralmente o in parte con mezzi elettronici, e stabilisce requisiti per i trasferimenti transfrontalieri. Lo UAE Data Office, affiliato al UAE Cabinet, redige le linee guida e gestisce i reclami. I proprietari dei dati possono chiederne la rettifica e possono limitare o interrompere il trattamento.

Per un prodotto di monitoraggio o di gestione dei dati ne derivano tre punti pratici. Il consenso deve essere abbastanza specifico da coprire ciò che il software fa effettivamente con i dati. La revoca deve funzionare nel prodotto, non solo nei termini contrattuali. E un flusso di dati che esce dagli UAE, verso una region cloud o una capogruppo offshore, richiede un fondamento documentato. Un fornitore di finanziamenti open finance titolare di licenza è soggetto a condizioni più stringenti. L'Open Finance Regulation della CBUAE richiede un consenso distinto per ciascuna finalità, e la revoca deve essere facile quanto la prestazione del consenso. Richiede inoltre che i dati siano conservati negli UAE, a meno che la CBUAE non abbia approvato la conservazione all'estero e il cliente non abbia acconsentito per iscritto dopo essere stato informato di dove i dati saranno conservati e perché.

L'ubicazione aggiunge un ulteriore livello. La pagina del Governo degli UAE sulla protezione dei dati elenca il DIFC Data Protection Law (DIFC Law No. 5 of 2020) e il Dubai Data Law (Law No. 26 of 2015) accanto alla legge federale. Una società all'interno di una free zone finanziaria può quindi rispondere a un regime dei dati diverso da quello di una società mainland, e una società che serve clienti in entrambe può essere soggetta a entrambi. La pagina federale non spiega come questi regimi interagiscano, perciò la posizione relativa alla vostra struttura va confermata con l'autorità della zona e con il regolatore competente prima di impegnarsi su una sede.

Una società mainland è adatta a un'impresa che vende soprattutto a banche e grandi aziende degli UAE e non vuole alcun limite territoriale riguardo ai soggetti con cui stipula contratti. Una società free-zone può funzionare bene per un'impresa tecnologica con una base clienti regionale, a condizione che l'attività indicata nella licenza della zona corrisponda a servizi software e di dati e che i contratti siano stipulati con l'entità giusta.

Per un fornitore RegTech i criteri pratici di valutazione sono diversi da quelli di una società commerciale. La licenza può descrivere con precisione lo sviluppo software e il trattamento dei dati? L'ufficio acquisti di una banca accetterà l'entità come fornitore? Dove lavorerà il personale e quali visti di residenza per il team fondatore consente quella sede? Dove saranno ospitati fisicamente i dati?

Un basso prezzo di costituzione conta poco se l'attività indicata nella licenza deve essere modificata in seguito perché il prodotto si è rivelato toccare dati regolamentati. Definite prima il perimetro del prodotto, poi confrontate le sedi: è l'ordine descritto in come funziona Velarozone.

I fondatori spesso considerano l'apertura del conto bancario un adempimento successivo alla costituzione. In questo settore essa fa parte anche del processo di vendita. Una banca che acquista un software di monitoraggio, o che apre il conto corrente aziendale della vostra società, vorrà vedere un quadro coerente.

Aspettatevi domande su chi possiede la società e chi controlla il codice, dove sono conservati i dati dei clienti e chi può accedervi, come viene testato il modello e come vengono gestiti i falsi positivi, e che cosa accade dopo una violazione. Quanto alla titolarità, le linee guida della CBUAE prevedono che una banca identifichi e verifichi ogni persona fisica che possiede o controlla il 25% o più di una società cliente. Se nessuno raggiunge il 25%, la banca identifica invece l'alto dirigente. Le banche chiederanno inoltre se il vostro personale ha esperienza in materia di compliance, perché il prodotto è credibile solo quanto il team che lo sostiene.

Gli avvisi automatici sollevano una preoccupazione specifica. Se un modello segnala un conto e un analista si limita ad accettare la segnalazione, la decisione è di fatto automatizzata. I clienti regolamentati preferiscono strumenti che supportino un giudizio umano documentato. Integrarlo nel flusso di lavoro fin dall'inizio costa meno che aggiungerlo a posteriori dopo la richiesta di una banca.

Il percorso della piattaforma RegTech KYC e AML si sovrappone ampiamente al monitoraggio. I suoi acquirenti sono gli stessi team di compliance, e si applica quindi la stessa due diligence sul fornitore.