ガイド
UAEでのオープンファイナンスプロバイダーの設立方法
短い回答
アラブ首長国連邦中央銀行(CBUAE)は、オープンファイナンス規則のデータ共有(Data Sharing)およびサービス開始指示(Service Initiation)の区分に基づき、オープンファイナンス事業が自社のライセンスを必要とするかどうかを判断します。いずれかのライセンスを保有すれば、顧客に代わって口座データを参照したり取引を指示したりできますが、資金の保有、貸付、規制対象となる助言の提供は認められません。経路を左右するのは、多くの場合、その企業が自ら取引を開始するのか、それとも他者がすでにライセンスの下で保有するデータに基づく分析情報を提供するにとどまるのか、という点です。
規制の範囲:データ共有とサービス開始
CBUAEオープンファイナンス規則の下では、申請者はライセンス対象の活動であるデータ共有とサービス開始指示のいずれか一方、または両方を選択します。両者は別個に審査・付与されるため、複数の金融機関にある口座残高を顧客に表示するだけの企業が、自動的に顧客に代わって資金を移動させる権利を得るわけではなく、その逆も同様です。CBUAEは、完備した申請について60営業日以内に判断しなければなりません。
どちらのライセンスも、それだけでは事業者を銀行、決済、証券の規制の内側に入れるわけではありません。顧客資金の保有、与信の提供、投資助言には、それぞれの活動に必要なCBUAEまたは証券商品庁(SCA)の別個の認可が必要であり、オープンファイナンスのライセンスに加えて取得するもので、その代わりにはなりません。これはUAEで構築するネオバンクと同じ範囲のテストです。誰が資金に触れ、誰のライセンスがそれを認めているか、ということです。一般から資金を集めたり、貸し手と借り手を結び付けたりするプラットフォームについては、クラウドファンディングと融資プラットフォームのガイドで扱っています。
免許付与前にこの規制が求める要件
この規制は、企業が申告する活動だけでなく、企業が保持すべき財務上の資源を定めている。
- オープンファイナンスプロバイダーについて、最低AED 1,000,000の払込済資本。CBUAEは、企業のリスク、規模および複雑性に応じて、より多くを求めることができる。
- 1件の請求につき最低AED 5,000,000をカバーする専門家責任保険であり、総額の上限は、AED 5,000,000または年間収入の50%のいずれか高い方とする。
- すべての顧客向けチャネルにおける最低限の二段階認証。
- 同意は、明示的で、目的に特定されており、十分な情報に基づき、曖昧さがなく、自由な意思で与えられたものでなければなりません。また、継続的な指示については、顧客が再確認する必要が生じるまでの有効期間は12か月を超えてはなりません。
これらは設立書類ではなく、財務上および運営上の責務であり、これらを後回しの問題として扱う事業計画は、代わりに免許審査の最中にそれらに直面することになりがちである。Velarozoneサービス料は業務委託契約書に別途明記される。それが規制機関自身の金額とどのように並ぶかについてはVelarozoneの仕組みを参照。
トラスト・フレームワークとAPIハブへの接続
免許を有するオープンファイナンスプロバイダーは、自社のネットワークを構築するのではなく、CBUAE自身が指定するインフラに接続する。承認から14日以内に、プロバイダーは、参加者を検証し、各接続が必要とするデジタル証明書を発行し、すべての企業が準拠すべき技術基準を保持するトラスト・フレームワーク(Trust Framework)の下で登録し、その登録を維持しなければならない。顧客向けのインターフェースは、プロバイダー独自のAPI設計ではなく、ISO 20022のメッセージ形式を使用しなければならない。
参加者のAPIを一つのプラットフォームに集約するAPIハブ(API Hub)は、それ自体がライセンスを要し、別途資本を必要とする機能です。払込資本金は最低20,000,000 AED、承認から6か月以内に稼働させる必要があります。ほとんどの事業者はこれを自ら運営することはなく(接続する側です)、しかし、自社をライセンス保有者としてではなく他の参加者向けのオープンファイナンス基盤として位置付ける企業は、APIハブという経路と、はるかに大きな資本基盤を選択することになります。
資金と責任の実際の移動の仕方
サービス開始指示のライセンスがあれば支払いを指示できますが、移動させた資金を保有することはできません。資金は、その口座を管理する銀行または決済機関のもとにとどまります。データ共有のライセンスは、資金を一切移動させません。顧客が共有に同意したデータへの参照権限にすぎません。いずれのモデルも同じ壁に突き当たります。資金は、規制当局の監督の下、ライセンスを受けた機関の分別管理された顧客口座に置かれ、オープンファイナンスプロバイダー自身のもとに置かれることはありません。
これはまた、銀行が事業のために口座を開設する前に検証する事項でもある。企業がどの免許カテゴリーを保有しているか、一時的であっても顧客資金の保管を行うことがあるか、そして同意および認証の管理が、説明されているだけでなく実際にどのように実装されているかである。その対話に備える企業は、銀行がすでに断った後ではなく、申請前に行われる銀行口座対応準備の作業から利益を得る。
外部委託、データ保存地域とUAE国内に必要な人員
規則は、二つの事項を国内に近い場所に置くことを求めています。第一にデータです。オープンファイナンスのライセンスに基づいてアクセスした顧客データはUAE国内に保管しなければならず、国外にコピーを置くには、CBUAEの承認と顧客の同意の両方が必要です。規則上の唯一の例外は、ライセンスを受けた外国銀行の支店が、毎日更新されるマスター記録のコピーをUAE国内に保管する場合です。第二に統制です。重要な活動、またはコンプライアンスやリスク管理といった主要な統制機能を外部委託するには、事前にCBUAEへ通知し、異議がない旨の回答を受ける必要があります。記録は少なくとも5年間保存しなければなりません。
これらの規則は、持株会社がどこに登録されているかだけでなく、コンプライアンスとエンジニアリングの役割が実際にどこに置かれるかを左右します。海外のチームが本番データへのアクセスを運用できる、あるいはコンプライアンスは非常勤の顧問契約で足りるといった前提の計画は、この項を正しく読めば、たいてい見直しが必要になります。これらの役割をどう充足するかは、ライセンス申請書類に記載すべき事項です。その記録に何を示す必要があるかについては、事業計画および関連書類をご覧ください。
よくある失敗
- データ共有とサービス開始を、2つの別個の申請ではなく一つの免許として扱うこと。
- AED 1,000,000の資本金額だけを予算化し、それに付随する専門家責任保険を含めないこと。
- 同意を、12か月を上限とする期限付きで取消可能な指示としてではなく、一度限りのチェックボックスとして記述すること。
- この規制が免許保有者に自社内で保持することを求めているコンプライアンスまたはリスク機能を、外部委託する計画を立てること。
- APIハブへの接続自体が、プロバイダーが接続するインフラであるにすぎないにもかかわらず、それ自体が一種の認可であると思い込むこと。
