Come impostare un fornitore di Open Finance negli Emirati Arabi Uniti

In base al CBUAE Open Finance Regulation, il richiedente sceglie una o entrambe le attività soggette a licenza: Data Sharing e Service Initiation. Vengono valutate e concesse separatamente, quindi un'impresa che si limita a mostrare a un cliente i saldi dei suoi conti presso diversi istituti non acquisisce automaticamente il diritto di movimentare denaro per suo conto, e viceversa. La CBUAE deve decidere su una domanda completa entro sessanta giorni lavorativi.

Nessuna delle due licenze porta da sola un'impresa dentro la regolamentazione bancaria, dei pagamenti o dei titoli. Detenere fondi dei clienti, concedere credito o fornire consulenza sugli investimenti richiede la distinta autorizzazione della CBUAE o della Securities and Commodities Authority (SCA) prevista per tali attività, in aggiunta e non in sostituzione della licenza Open Finance. È lo stesso criterio di ambito di una neobanca costituita negli Emirati: chi tocca il denaro, e quale licenza dice che può farlo. Una piattaforma che raccoglie denaro dal pubblico o mette in contatto prestatori e debitori è trattata nella guida alle piattaforme di crowdfunding e di prestito.

Il regolamento stabilisce le risorse finanziarie che un'impresa deve detenere, non solo l'attività che dichiara:

Si tratta di impegni finanziari e operativi, non di documentazione di costituzione, e un business plan che li tratta come problemi successivi tende invece a incontrarli durante la revisione della licenza. L'onorario di Velarozone è indicato separatamente nella lettera di incarico; vedi come funziona Velarozone per come questo si inserisce insieme alle cifre proprie del regolatore.

Un Open Finance Provider autorizzato non costruisce una propria rete: si connette all'infrastruttura che il CBUAE stesso specifica. Entro quattordici giorni dall'approvazione, un fornitore deve registrarsi e mantenere la propria registrazione ai sensi del Trust Framework, che convalida i partecipanti, rilascia i certificati digitali di cui ogni connessione necessita, e stabilisce gli standard tecnici a cui ogni impresa deve conformarsi. Le interfacce a contatto con il cliente devono utilizzare i formati di messaggio ISO 20022, non una progettazione API propria del fornitore.

L'API Hub che aggrega le API dei partecipanti in un'unica piattaforma è a sua volta una funzione soggetta a licenza e dotata di un proprio capitale: un capitale versato minimo di AED 20,000,000, operativo entro sei mesi dall'approvazione. La maggior parte dei prestatori non lo gestirà mai (vi si connette), ma un'impresa che si posiziona come infrastruttura Open Finance per altri partecipanti, anziché come titolare di licenza in proprio, sceglie il percorso dell'API Hub e la sua base di capitale molto più ampia.

Una licenza Service Initiation consente a un'impresa di disporre un pagamento; non le consente di detenere il denaro movimentato, che resta presso la banca o l'istituto di pagamento che gestisce il conto. Una licenza Data Sharing non movimenta affatto denaro: è un accesso in lettura a dati che il cliente ha acconsentito a condividere. Entrambi i modelli si fermano allo stesso limite: i fondi si trovano in conti segregati dei clienti presso istituti autorizzati, sotto la vigilanza dell'autorità di regolamentazione, mai presso l'Open Finance Provider stesso.

Questo è anche ciò che una banca verificherà prima di aprire un conto per l'attività: quale categoria di licenza detiene l'impresa, se assume mai la custodia dei fondi dei clienti anche transitoriamente, e come i controlli di consenso e autenticazione sono effettivamente implementati piuttosto che descritti. Un'impresa che si prepara a quella conversazione beneficia del lavoro di preparazione del conto bancario svolto prima della domanda, non dopo che una banca ha già detto di no.

Il Regolamento tiene due aspetti vicini al territorio. Il primo sono i dati: i dati dei clienti a cui si accede in base a una licenza Open Finance devono essere conservati negli Emirati Arabi Uniti, e una copia al di fuori del paese richiede sia l'approvazione della CBUAE sia il consenso del cliente. L'unica eccezione prevista è quella di una filiale di banca estera autorizzata che conservi negli Emirati Arabi Uniti una copia del master record aggiornata quotidianamente. Il secondo è il controllo: un'impresa non può esternalizzare un'attività rilevante, o una funzione di controllo chiave come la compliance o il rischio, senza prima darne notifica alla CBUAE e ricevere un'assenza di obiezioni. Le registrazioni devono essere conservate per almeno cinque anni.

Queste regole determinano dove si collocano effettivamente i ruoli di compliance e di ingegneria, non soltanto dove è registrata la holding. Un piano che presuppone che un team offshore possa gestire l'accesso ai dati di produzione, o che la compliance sia un incarico a tempo parziale, di solito richiede una revisione una volta letta con attenzione questa sezione. Il modo in cui tali ruoli vengono ricoperti va riportato nel fascicolo della licenza. Si veda business plan e documentazione di supporto per ciò che tale documentazione deve dimostrare.