Piattaforma RegTech, KYC e AML negli EAU: regole sull'esternalizzazione

Nessuna singola autorità di vigilanza degli UAE rilascia una "licenza RegTech". L'attività commerciale fa capo al DET o a una free zone. Il peso regolamentare fa capo all'autorità che vigila sull'acquirente: una banca o una casa di cambio risponde alla CBUAE, una società del DIFC alla DFSA, una società dell'ADGM alla FSRA, una società dei mercati dei capitali alla CMA, un fornitore di servizi per attività virtuali alla VARA. Ciascuna si aspetta che il proprio soggetto autorizzato svolga la due diligence su qualsiasi funzione esternalizzata e conservi diritti di audit sul fornitore. La piattaforma raramente è il soggetto regolamentato; è il contratto che rende il cliente responsabile della piattaforma a essere ciò che queste autorità finiranno per chiedere di vedere.

Separatamente, e indipendentemente da quale regolatore finanziario si applichi, la Personal Data Protection Law federale disciplina il trattamento dei dati personali "sia integralmente sia in parte tramite sistemi elettronici, all'interno o all'esterno del paese". Essa vieta il trattamento senza il consenso del titolare, salvo eccezioni limitate, e conferisce agli individui il diritto di correggere o limitare il trattamento dei propri dati. Una piattaforma che gestisce passaporti, selfie o storici di transazioni sta trattando dati personali ai sensi di questa legge, indipendentemente da come è autorizzata.

È la due diligence di approvvigionamento, non la costituzione societaria, il punto in cui le vendite RegTech si bloccano. Un acquirente regolamentato vuole vedere:

Il Cyber Security Council degli Emirati Arabi Uniti gestisce una National Cybersecurity Strategy quinquennale, approvata nel 2025, e un National Cyber Security Accreditation Program, un percorso di certificazione per standardizzare la prassi in materia di cybersecurity. Nessuno dei due costituisce un passaggio obbligatorio per ogni fornitore, ma la revisione di sicurezza di un acquirente chiede sempre più spesso dove si collochi una piattaforma rispetto a tale programma, in particolare per qualsiasi elemento che riguardi dati biometrici.

Il conto bancario della stessa società RegTech è di solito la prima questione bancaria, e la più lineare: l'attività ha bisogno di un conto operativo come qualsiasi società di software, e il fascicolo richiesto dalla banca è analogo (titolarità, origine dei fondi dei fondatori e una descrizione chiara di ciò che il prodotto fa con i dati dei clienti). Lavorare per tempo sulla preparazione al conto bancario evita che il conto diventi l'ultima cosa da definire prima del lancio.

Le cose cambiano nel momento in cui il prodotto smette di essere puro software. Si applicano le stesse domande che stabiliscono chi riceve o controlla il denaro in una fintech: uno strumento che detiene denaro dei clienti, dispone un pagamento o concede credito è un'attività regolamentata diversa, e nessuna preparazione al conto bancario trasforma una licenza commerciale in un'autorizzazione a svolgerla. Occorre tenere distinte le due questioni: se questa società può avere un conto bancario, e se è essa, anziché il suo cliente, a toccare mai il denaro dei clienti. La seconda, ove si pone, richiede una propria autorizzazione o uno sponsor.

La struttura di gruppo può collocare la tecnologia, la proprietà intellettuale e qualsiasi funzione autorizzata in entità separate, a condizione che ciascuna abbia un ruolo autentico. Il team legale di un acquirente chiederà chi possiede il modello e la pipeline di dati, chi è nominato nel contratto, e chi è responsabile se un risultato di screening è errato. Quando la proprietà si estende su più di una giurisdizione, occorre affrontarla come proprietà regolamentata e complessa prima che un team di due diligence la verifichi. Il caso scritto appartiene al business plan di supporto, non va assemblato dopo che la domanda è stata posta.

Confrontare le tariffe di costituzione è l'errore iniziale più comune. Il costo che conta è il percorso completo: l'entità, qualsiasi licenza sui dati e garanzia di sicurezza richiesta da un acquirente, e quanto costa aggiungere in seguito un livello di revisione gestita se il solo software risulta insufficiente. Velarozone definisce il prezzo di quell'intero impianto piuttosto che di una cifra isolata di costituzione, e indica il proprio onorario nel modo descritto in come lavora Velarozone.