Revoca della licenza RNKO Digital Solutions: Cosa necessitano le aziende di pagamenti non bancari prima di entrare negli Emirati Arabi Uniti

La voce del registro della Bank of Russia per RNKO Digital Solutions indica la società come non operativa. Riporta la licenza n. 3552-K, per operazioni bancarie come organizzazione creditizia non bancaria di regolamento, valida dal 24 gennaio 2025 al 27 agosto 2026, e un provvedimento di revoca della licenza della stessa data. Riporta inoltre l'amministrazione temporanea nominata il 27 agosto 2026 e una voce di liquidazione datata 5 ottobre 2026. La pagina del registro non indica di per sé alcun motivo.

Le notizie della stampa russa sul comunicato della banca centrale colmano questa lacuna. Riferiscono che l'autorità di vigilanza ha revocato la licenza per violazione delle norme bancarie e antiriciclaggio, tra cui la Federal Law 115-FZ, perché la società aveva per lungo tempo eseguito operazioni sospette dei clienti e non aveva trasmesso tempestivamente informazioni attendibili sulle operazioni soggette a controllo obbligatorio. Le stesse notizie descrivono la società come chiusa alle operazioni, con pagamenti e acquiring bloccati, e affermano che serviva principalmente imprese anziché privati. Consigliano ai clienti di chiedere all'amministrazione temporanea informazioni sullo stato dei propri fondi.

Due dettagli meritano attenzione. La licenza è durata circa 19 mesi, quindi l'anzianità non è stata una protezione. E i clienti coinvolti erano per lo più imprese: gli esercenti che si affidavano alla società per l'acquiring si sono trovati dall'oggi al domani nell'impossibilità di incassare pagamenti.

Il quadro normativo della CBUAE sui servizi di pagamento al dettaglio, come riassunto dallo studio legale Simmons & Simmons, definisce nove servizi di pagamento al dettaglio: emissione di conti di pagamento, emissione di strumenti di pagamento, merchant acquiring, aggregazione di pagamenti, trasferimento di fondi nazionale e transfrontaliero, payment token, disposizione di ordini di pagamento e informazioni sui conti di pagamento. Esistono quattro categorie di licenza, da I a IV, e le categorie con numero più basso consentono più attività. I servizi di payment token sono consentiti solo nella Categoria I. Le banche non hanno bisogno di una licenza per i pagamenti per l'emissione di conti, l'emissione di strumenti o i trasferimenti di fondi, ma hanno bisogno di una lettera di non obiezione della CBUAE per gli altri servizi.

Il capitale iniziale dipende dalla categoria e dal valore medio mensile delle operazioni di pagamento, calcolato come media mobile dei tre mesi precedenti oppure, per una società nuova, in base al suo piano industriale. La Categoria IV richiede AED 100.000, indipendentemente dal volume. La Categoria III richiede AED 500.000 al di sotto di AED 10 milioni al mese e AED 1 milione da tale soglia in su. La Categoria II richiede AED 1 milione e AED 2 milioni, mentre la Categoria I richiede AED 1,5 milioni e AED 3 milioni. La società deve detenere almeno tale importo in ogni momento. Se la sua media mensile resta superiore a AED 10 milioni per tre mesi consecutivi, deve darne comunicazione alla CBUAE e diventa soggetta al requisito patrimoniale più elevato stabilito dalla CBUAE.

Il punto per un fondatore è la struttura del regime. Il capitale è legato al volume delle operazioni e la licenza copre soltanto i servizi indicati. L'attività principale deve essere il servizio autorizzato, e qualsiasi servizio accessorio non coperto dalla licenza richiede l'approvazione della CBUAE prima dell'avvio. La CBUAE può inoltre richiedere un'entità separata per tale servizio. Un piano industriale che aggiunga saldi custoditi o trasferimenti transfrontalieri dopo il lancio può quindi collocare la società in una categoria diversa.

Il primo test per qualsiasi idea di pagamenti è semplice: in qualche momento la società detiene, controlla o dispone del denaro dei clienti? Una società di software che vende uno strumento di pagamento a una banca autorizzata si trova in una posizione. Una società che incassa fondi dai consumatori e li trasferisce agli esercenti si trova in un'altra. Una società che fornisce ai clienti dei saldi si trova in una terza.

Disegnate il flusso su un'unica pagina. Indicate dove si trova ogni dirham in ciascun momento, quale conto lo detiene e quale parte può disporne il movimento. La regolamentazione della CBUAE consente a un prestatore di servizi di pagamento di detenere i fondi degli utenti soltanto finché sono in transito. Se il regolamento avviene entro 24 ore, i fondi non devono essere commisti oppure devono essere separati dai creditori diversi del prestatore. Se il regolamento avviene dopo 24 ore, i fondi vengono depositati in un conto di denaro dei clienti segregato presso una banca, che la regolamentazione definisce conto di garanzia (escrow) separato, distinto dai fondi propri della società. Un'assicurazione o una garanzia bancaria di un istituto esterno al gruppo è l'altra forma di copertura consentita. Se lo schema mostra che il conto della società detiene fondi dei clienti oltre la fase di transito, l'attività non è quella di un fornitore di software, qualunque cosa affermi il sito web.

La pratica RNKO aggiunge un secondo test. La carenza dichiarata riguardava il monitoraggio e la segnalazione, quindi il sistema di monitoraggio deve esistere e funzionare prima della prima operazione reale. Ciò significa un responsabile della compliance nominato e dotato di reale autorità, regole di monitoraggio delle operazioni adatte alla clientela (esercenti, non consumatori, nel caso di RNKO) e una via di escalation che raggiunga l'alta direzione. Uno strumento acquistato e lasciato con le impostazioni predefinite non supererà questo test.

Le società di pagamento esternalizzano di solito hosting cloud, elaborazione delle carte, verifiche di identità e software di monitoraggio. La regolamentazione della CBUAE pone gli obblighi in capo al prestatore autorizzato: i registri degli utenti devono poter essere ripristinati in caso di perdita, danneggiamento o distruzione, e i registri relativi ai dati personali e di pagamento sono conservati per 5 anni dalla ricezione. Per ciascun fornitore rilevante, annotate dove opera, se detiene tali registri e che cosa ne accade in caso di sua insolvenza o uscita.

I dati personali aggiungono un livello giuridico. Il Federal Decree Law No. 45 del 2021 sulla protezione dei dati personali è entrato in vigore il 2 gennaio 2022 e, secondo il portale del Governo degli UAE, riguarda i trattamenti effettuati in tutto o in parte tramite sistemi elettronici, all'interno o all'esterno degli UAE. L'UAE Data Office è l'autorità di regolamentazione federale. Una società di pagamenti tratta per definizione dati di identità e dati sulle operazioni, quindi la sua mappa dei fornitori dovrebbe indicare anche dove vanno a finire tali dati.

La regolamentazione della CBUAE richiede un organigramma che indichi il responsabile individuale di ciascuna divisione, dipartimento o unità, con funzioni distinte di gestione del rischio, revisione interna e conformità. Le persone che dirigono la società devono quindi essere reperibili, raggiungibili e in grado di decidere. Un consiglio che si riunisce una volta l'anno all'estero, con il personale operativo altrove, è un caso più difficile da presentare rispetto a un team di gestione che siede dove si svolge l'attività regolamentata.

Agli esercenti di RNKO è stato detto di rivolgersi a un'amministrazione provvisoria per i propri fondi. Pochi fondatori redigono un piano equivalente per la propria società, ma un'autorità di regolamentazione ne chiederà uno: se la società cessasse l'attività domani, come recuperano il denaro i clienti, chi li informa e chi sostiene il costo?

Un piano di uscita ordinata (wind-down) utilizzabile indica il conto di denaro dei clienti segregato presso una banca autorizzata, che mantiene i fondi dei clienti separati da quelli della società, il personale che resta in organico, i dati da consegnare e i partner a cui occorre dare preavviso. Precisa inoltre per quanto tempo i clienti dovrebbero attendere. La regolamentazione della CBUAE richiede un programma di continuità che comprenda il ridimensionamento ordinato delle operazioni critiche, e un piano redatto dopo l'insorgere di un problema sarà molto più debole di uno testato in anticipo.

Per una società di pagamento è la licenza, più della licenza commerciale, a determinare la sede. La regolamentazione della CBUAE definisce il richiedente come una società costituita negli Emirati Arabi Uniti (UAE), quindi l'entità esiste prima della domanda, e la CBUAE incoraggia il management a incontrare la sua Divisione Licenze prima della presentazione. Stabilire se sia il veicolo di detenzione migliore una società mainland o una società free zone dipende da ciò che il regolatore approva, da dove si trova il personale e da quali banche apriranno conti. La scelta più ampia tra licenze free zone e mainland risulta più semplice una volta nota la funzione regolamentata. I fondatori che si trasferiscono hanno inoltre bisogno di visti di residenza, e il percorso del visto segue l'entità.

L'onboarding bancario di una società di pagamento è impegnativo perché la banca la considera una fonte di rischio. Portate la mappa dei flussi di denaro, la struttura di conformità, l'organigramma societario, il piano di uscita ordinata e i valori mensili attesi delle operazioni, poiché la fascia di capitale dipende da tale media. Quel fascicolo è come funziona Velarozone con i fondatori di società di pagamento: le prove vengono raccolte prima della presentazione della domanda.