ბლოგი
საბანკო ანგარიშების მონიტორინგის წესები და UAE-ის RegTech შესაძლებლობა
მოკლე პასუხი
გაერთიანებული სამეფოს შრომისა და საპენსიო დეპარტამენტის (Department for Work and Pensions, DWP) საბანკო ანგარიშების მონიტორინგის წესები ბრიტანული პოლიტიკაა და UAE-ში არ მოქმედებს. UAE-ს კომპანიას, რომელიც ბანკებიდან კლიენტის ანგარიშის მონაცემებს იღებს, სჭირდება ღია ფინანსების ლიცენზია (Open Finance Licence) UAE-ს ცენტრალური ბანკისგან (Central Bank of the UAE, CBUAE) მისი ღია ფინანსების რეგულირების (Open Finance Regulation) შესაბამისად, კლიენტის პირდაპირი თანხმობით და AED 1,000,000 მინიმალური კაპიტალით. პროგრამული უზრუნველყოფის გამყიდველი, რომელიც ბანკის ხელშეკრულებით მუშაობს, სხვა შემთხვევაა და მისი მდგომარეობა დამოკიდებულია იმაზე, რას აკეთებს პროდუქტი მონაცემებთან.
გადამწყვეტი ფაქტორია ზღვარი პროგრამული უზრუნველყოფის მომწოდებელსა და მონაცემებზე წვდომის პროვაიდერს შორის. კომპანია, რომელიც ლიცენზირებულ ბანკს მონიტორინგის ან საქმეთა მართვის ინსტრუმენტებს აწვდის, განსხვავებულ მდგომარეობაშია იმ კომპანიასთან შედარებით, რომელიც ანგარიშის მონაცემებს უშუალოდ მომხმარებლებისგან იღებს. Central Bank of the UAE (CBUAE) ზედამხედველობს ბანკებსა და ღია ფინანსების საქმიანობას, ხოლო UAE Data Office ზედამხედველობს პერსონალურ მონაცემებს მონაცემთა დაცვის ფედერალური კანონის შესაბამისად.
თანხმობა საერთო ძაფია. ფედერალური კანონი კრძალავს პერსონალური მონაცემების დამუშავებას მათი მფლობელის თანხმობის გარეშე, გარდა საზოგადოებრივი ინტერესისა და ზოგიერთი სამართლებრივი პროცედურის შეზღუდული გამონაკლისებისა. ბიზნესს, რომელიც „მონიტორინგზეა" აგებული, უნდა შეეძლოს აჩვენოს, საიდან მოდის ეს თანხმობა.
რას ამბობს და რას არ ამბობს ბრიტანული ამბავი UAE-ის დამფუძნებლისთვის
ბრიტანული დებატები ეხება სამთავრობო დეპარტამენტს, რომელსაც სურს ბანკის ანგარიშების შემოწმება სოციალური დახმარების გადახდებში თაღლითობისა და შეცდომების გამოსავლენად. ეს სახელმწიფო უფლებამოსილებაა, დადგენილი ბრიტანული კანონმდებლობით და განხორციელებული განმცხადებელთა კონკრეტული ჯგუფის მიმართ. არაფერი მსგავსი არ აძლევს კერძო UAE კომპანიას უფლებას, ვინმეს ანგარიშში ჩახედოს.
დიდი ბრიტანეთის მაგალითი ფუძემდებელს დიზაინის კითხვას უსვამს: მონიტორინგის ჯაჭვის რომელი ნაწილი ეკუთვნოდა ჩემს კომპანიას? ბანკები ტრანზაქციების მონიტორინგს ახორციელებენ, რადგან ამას კანონი ავალდებულებს. პროგრამული უზრუნველყოფის კომპანიას შეუძლია შექმნას ინსტრუმენტარიუმი, რომელიც ამ პროცესს იაფს და უფრო ზუსტს გახდის. მას არ შეუძლია ბანკის უფლებამოსილების „ათვისება“ მონაცემებზე წვდომისთვის.
სწორედ ეს ზღვარი განსაზღვრავს მარეგულირებელ გზას. CBUAE-ის ღია ფინანსების რეგულაციის (Open Finance Regulation, C 03/2025) მიხედვით, კომპანიას, რომელიც კლიენტის ანგარიშის მონაცემებს ბანკის ინტერფეისებით იღებს, ღია ფინანსების ლიცენზია (Open Finance Licence) სჭირდება, ხოლო ბანკის ხელშეკრულებით მომუშავე მომწოდებელი განსხვავებული შემთხვევაა. პრეზენტაციები ხშირად ბრალდება იმით, რომ მომწოდებლის პროდუქტს რეგულირებადი ფუნქციის ენით აღწერენ.
ოთხი ბიზნესმოდელი, რომლებიც ერთმანეთს ჰგავს, მაგრამ განსხვავდება
თანხმობისა და ნებართვების მართვა. პროდუქტი აფიქსირებს, რაზე დათანხმდა მომხმარებელი, საშუალებას აძლევს მას უკან გამოითხოვოს თანხმობა და ინახავს აუდიტის კვალს. ის მუშაობს თანხმობის ჩანაწერებთან და არა აუცილებლად ანგარიშის საბაზისო მონაცემებთან. ის ყველაზე ახლოსაა მონაცემთა დაცვის წესებთან, რადგან ძირითადი ვალდებულებაა ნამდვილი თანხმობის დადასტურება.
ინსტიტუტებზე გასაყიდი მონიტორინგის პროგრამული უზრუნველყოფა. პრაქტიკაში ბანკი მონაცემთა კონტროლერია, ხოლო მომწოდებელი მისი კონტრაქტის ფარგლებში მუშაობს. წვდომის, შენახვის, მომხმარებელთა მონაცემებზე მოდელების ტრენინგისა და ინციდენტების შესახებ ანგარიშგების საკითხები მომსახურების ხელშეკრულებაში წყდება. საჭიროა თუ არა მომწოდებლისთვის რაიმე ავტორიზაცია, ზუსტად იმაზეა დამოკიდებული, რას აკეთებს ის, და ეს არის საკითხი, რომელიც შესაბამის მარეგულირებელთან უნდა დადასტურდეს და არა დაშვებულ იქნეს.
ღია ფინანსების ანალიტიკა. აქ კომპანია კითხულობს მომხმარებლის ანგარიშის მონაცემებს ბანკების ინტერფეისებით, მომხმარებლის ნებართვით. სწორედ აქ არის მნიშვნელოვანი CBUAE-ს ღია ფინანსების ჩარჩო და ეს არის მოდელი, რომელსაც ყველაზე დიდი ალბათობით დასჭირდება საკუთარი ავტორიზაცია. ცალკე გზამკვლევი ღია ფინანსების პროვაიდერის გზის შესახებ ამ პერიმეტრს მოიცავს.
საქმეთა მართვისა და მარეგულირებელი ანგარიშგების ინსტრუმენტები. ისინი ეხმარებიან შესაბამისობის გუნდებს გადაწყვეტილებების დოკუმენტირებაში. მნიშვნელოვანი დეტალი ისაა, ინსტრუმენტი მხოლოდ ადამიანის გადაწყვეტილებებს აფიქსირებს თუ თავად იწყებს მათ მიღებას.
ჯგუფს შეუძლია ამათგან რამდენიმე ერთი ბრენდის ქვეშ განახორციელოს, მაგრამ კონტრაქტები განსხვავდება.
თანხმობა, მონაცემთა კანონი და თავისუფალი ზონის საკითხი
პერსონალურ მონაცემთა დაცვის ფედერალური კანონი ვრცელდება დამუშავებაზე, რომელიც ხორციელდება UAE-ს შიგნით ან მის ფარგლებს გარეთ, მთლიანად ან ნაწილობრივ ელექტრონული საშუალებებით, და ადგენს მოთხოვნებს საზღვრისპირა გადაცემისთვის. UAE Data Office, რომელიც UAE-ს მინისტრთა კაბინეტთან არის აფილირებული, ადგენს მითითებებს და განიხილავს საჩივრებს. მონაცემთა მფლობელებს შეუძლიათ შესწორების მოთხოვნა და დამუშავების შეზღუდვა ან შეწყვეტა.
მონიტორინგის ან მონაცემთა პროდუქტისთვის სამი პრაქტიკული საკითხი გამომდინარეობს. თანხმობა საკმარისად კონკრეტული უნდა იყოს, რომ მოიცვას ის, რასაც პროგრამა მონაცემებით რეალურად აკეთებს. თანხმობის გაუქმება პროდუქტშივე უნდა მუშაობდეს და არა მხოლოდ პირობებში. ხოლო მონაცემთა ნაკადს, რომელიც UAE-ს ტოვებს, ღრუბლოვანი რეგიონის ან უცხოეთში მდებარე მშობელი კომპანიის გამო, დოკუმენტირებული საფუძველი სჭირდება. ლიცენზირებულ ღია ფინანსების პროვაიდერს უფრო მკაცრი პირობები ეხება. CBUAE-ის ღია ფინანსების რეგულაცია მოითხოვს ცალკე თანხმობას თითოეული მიზნისთვის, ხოლო თანხმობის გაუქმება თანხმობის მიცემის ტოლად მარტივი უნდა იყოს. ის ასევე მოითხოვს, რომ მონაცემები UAE-ში ინახებოდეს, თუ CBUAE-მ არ დაამტკიცა უცხოეთში შენახვა და კლიენტი წერილობით არ დათანხმდა მას შემდეგ, რაც ეცნობა, სად და რატომ შეინახება მონაცემები.
მდებარეობა დამატებით ფენას ქმნის. UAE-ის მთავრობის მონაცემთა დაცვის გვერდი ფედერალური კანონის გვერდით ასახელებს DIFC-ის მონაცემთა დაცვის კანონს (DIFC Law No. 5 of 2020) და დუბაის მონაცემთა კანონს (Law No. 26 of 2015). ამიტომ ფინანსურ თავისუფალ ზონაში (free zone) მოქმედი კომპანია შესაძლოა მეინლენდზე (mainland) მოქმედი კომპანიისგან განსხვავებულ მონაცემთა რეჟიმს ექვემდებარებოდეს, ხოლო ორივეგან კლიენტების მომსახურე კომპანიას შესაძლოა ორივე რეჟიმი ეხებოდეს. ფედერალური გვერდი არ განმარტავს, როგორ ურთიერთქმედებენ ისინი, ამიტომ თქვენი სტრუქტურის პოზიცია უნდა დაზუსტდეს ზონის ადმინისტრაციასთან და შესაბამის მარეგულირებელთან, სანამ მდებარეობას საბოლოოდ აირჩევთ.
მეინლენდი თუ თავისუფალი ზონა მონაცემთა და შესაბამისობის ბიზნესისთვის
მეინლენდის (mainland) კომპანია შეესაბამება ბიზნესს, რომელიც ძირითადად UAE-ს ბანკებსა და კორპორაციებზე ყიდის და არ სურს ტერიტორიული შეზღუდვა იმაზე, ვისთან დებს ხელშეკრულებას. თავისუფალი ზონის კომპანია კარგად შეიძლება იმუშაოს ტექნოლოგიური ბიზნესისთვის რეგიონული კლიენტურით, იმ პირობით, რომ ზონის ლიცენზიის საქმიანობა შეესაბამება პროგრამულ და მონაცემთა მომსახურებას, ხოლო ხელშეკრულებები სწორ იურიდიულ პირთან იდება.
RegTech მომწოდებლისთვის პრაქტიკული კრიტერიუმები განსხვავდება სავაჭრო კომპანიის კრიტერიუმებისგან. შეუძლია თუ არა ლიცენზიას ზუსტად აღწეროს პროგრამული უზრუნველყოფის შემუშავება და მონაცემთა დამუშავება? მიიღებს თუ არა ბანკის შესყიდვების გუნდი ამ იურიდიულ პირს მომწოდებლად? სად დასხდება პერსონალი და რა რეზიდენტობის ვიზებს დამფუძნებელი გუნდისთვის უზრუნველყოფს ეს მდებარეობა? სად იქნება მონაცემები ფიზიკურად განთავსებული?
თუ პროდუქტი მოგვიანებით მაინც რეგულირებად მონაცემებს შეეხო და ლიცენზიის საქმიანობის შეცვლა გახდა საჭირო, ფორმირების დაბალი ფასი დიდად არაფერს ნიშნავს. ჯერ განსაზღვრეთ პროდუქტის საზღვრები, შემდეგ შეადარეთ მდებარეობები; სწორედ ამ თანმიმდევრობას აღწერს როგორ მუშაობს Velarozone.
რას ჰკითხავს ბანკი ხელმოწერამდე
დამფუძნებლები ხშირად ბანკინგს ინკორპორაციის შემდგომ ამოცანად განიხილავენ. ამ სექტორისთვის ის ასევე გაყიდვების პროცესია. ბანკს, რომელიც მონიტორინგის პროგრამულ უზრუნველყოფას ყიდულობს, ან ბანკს, რომელიც თქვენს საკუთარ კორპორატიულ ანგარიშს ხსნის, სურვილი ექნება, თანმიმდევრული სურათი ნახოს.
მოელოდეთ კითხვებს იმის შესახებ, ვინ ფლობს კომპანიას და ვინ აკონტროლებს კოდს, სად ინახება მომხმარებელთა მონაცემები და ვის შეუძლია მათზე წვდომა, როგორ ტესტირდება მოდელი და როგორ მუშავდება მცდარი დადებითი შედეგები, ასევე იმის შესახებ, რა ხდება დარღვევის შემდეგ. საკუთრების საკითხში CBUAE-ის მითითებები ბანკისგან მოითხოვს, რომ დაადგინოს და გადაამოწმოს ყველა ფიზიკური პირი, რომელიც ფლობს ან აკონტროლებს კომპანიის კლიენტის 25%-ს ან მეტს. სადაც არავინ აღწევს 25%-ს, ბანკი ამის ნაცვლად ადგენს უფროს მენეჯერს. ბანკები ასევე იკითხავენ, აქვს თუ არა თქვენს თანამშრომლებს შესაბამისობის (compliance) სფეროში გამოცდილება, რადგან პროდუქტი იმდენად სანდოა, რამდენადაც სანდოა მის უკან მდგომი გუნდი.
ავტომატური გაფრთხილებები კონკრეტულ შეშფოთებას იწვევს. თუ მოდელი ანგარიშს მონიშნავს და ანალიტიკოსი მონიშვნას უბრალოდ იღებს, გადაწყვეტილება ფაქტობრივად ავტომატიზებულია. რეგულირებადი კლიენტები ამჯობინებენ ინსტრუმენტებს, რომლებიც დოკუმენტირებულ ადამიანურ განსჯას უჭერს მხარს. ამის სამუშაო პროცესში თავიდანვე ჩაშენება უფრო იაფია, ვიდრე მისი შემდგომი დამატება მას შემდეგ, რაც ბანკი ამას მოითხოვს.
RegTech KYC და AML პლატფორმის მიმართულება მონიტორინგთან დიდწილად იკვეთება. მისი მყიდველები იგივე შესაბამისობის (compliance) გუნდები არიან, ამიტომ იგივე გულდასმითი შემოწმება (due diligence) ვრცელდება მომწოდებელზეც.
მოკლედ
რას უნდა გამოიტანოთ აქედან
- ბრიტანული წესები მხოლოდ საბაბია. UAE კომპანია დაგეგმავდა UAE-ს მონაცემთა კანონმდებლობისა და CBUAE-ს მოლოდინების გათვალისწინებით და არა DWP-ს უფლებამოსილებების.
- პირველი სტრუქტურული არჩევანია პროგრამული უზრუნველყოფის მომწოდებელსა და იმ კომპანიას შორის, რომელიც მომხმარებლის ანგარიშის მონაცემებს ეხება.
- მონაცემთა დაცვის ფედერალური კანონი თანხმობას პერსონალური მონაცემების დამუშავების ამოსავალ წერტილად აქცევს, ხოლო UAE Data Office ფედერალური მარეგულირებელია.
- თავისუფალი ზონის (free zone) მდებარეობას შეუძლია ცალკე მონაცემთა რეჟიმის შემოტანა, მაგალითად Dubai International Financial Centre-ის (DIFC) მონაცემთა დაცვის კანონი.
- ბანკებზე გაყიდვა, როგორც წესი, ნიშნავს მათი მომწოდებლის გულმოდგინე შემოწმების გავლას, რომელიც ფასამდე უსაფრთხოებასა და მმართველობას ამოწმებს.
- პროდუქტი, რომელიც მონიტორინგის გვერდის ავლის საშუალებად არის წარმოდგენილი, ბიზნესი არ არის, რომელსაც UAE-ს ბანკი ან მარეგულირებელი თავის გვერდით ისურვებს.
- შეუძლია თუ არა UAE კომპანიას შესთავაზოს მონიტორინგი, რომელზეც მომხმარებლები თანხმდებიან, თუ მონაცემები მათი ბანკიდან მოდის?
- შესაძლოა, მაგრამ ეს ღია ფინანსების საკითხია და არა პროგრამული უზრუნველყოფის საკითხი. კომპანიას, რომელიც კლიენტის მითითებით იღებს ანგარიშის მონაცემებს ბანკებიდან, სჭირდება CBUAE-ის მიერ გაცემული ღია ფინანსების ლიცენზია (Open Finance Licence), ხოლო მხოლოდ თანხმობა წვდომას არ ხდის ნებადართულს. თანხმობა უნდა იყოს ცალსახა, კონკრეტულ მიზანზე მორგებული და ნებისმიერ დროს გასაუქმებელი. ამ გზით მიღებული მონაცემები უნდა ინახებოდეს არაბთა გაერთიანებულ საემიროებში (UAE), გარდა იმ შემთხვევისა, როდესაც CBUAE-მაც და კლიენტმაც დაამტკიცეს საზღვარგარეთ შენახვა.
- გვჭირდება თუ არა ლიცენზია, თუ ბანკებზე მხოლოდ პროგრამულ უზრუნველყოფას ვყიდით?
- ეს დამოკიდებულია იმაზე, რას აკეთებს პროგრამული უზრუნველყოფა. ინსტრუმენტი, რომელიც ბანკის გარემოში მუშაობს და მისი კონტრაქტის ფარგლებში, განსხვავებული შემთხვევაა იმ სერვისისგან, რომელიც საკუთარი სახელით იღებს ან გადააქვს მომხმარებელთა მონაცემებს. ჩაწერეთ, რას აკეთებს და რას არ აკეთებს პროდუქტი, და ეს აღწერა შეამოწმებინეთ შესაბამის მარეგულირებელს, რადგან პროდუქტზე წარწერა არაფერს წყვეტს.
- რომელი მონაცემთა კანონი ვრცელდება, თუ თავისუფალ ზონაში (free zone) ვართ?
- ორივე ფენას შეიძლება ჰქონდეს მნიშვნელობა. პერსონალურ მონაცემთა დაცვის ფედერალური კანონი ვრცელდება დამუშავებაზე UAE-ს შიგნით და მის გარეთ, ხოლო ფინანსურ თავისუფალ ზონებს (free zones), როგორიცაა DIFC, საკუთარი მონაცემთა დაცვის კანონი აქვთ. რომელი არეგულირებს კონკრეტულ საქმიანობას, დამოკიდებულია იმაზე, სად არის კომპანია და ვის ემსახურება, ამიტომ შეამოწმეთ ზონის ორგანოსთან.
- შეგვიძლია თუ არა პროდუქტი წარმოვადგინოთ, როგორც მომხმარებლებისთვის მონიტორინგისგან თავის არიდების საშუალება?
- არა. ბანკები და მარეგულირებლები ამას საგანგაშო ნიშნად აღიქვამენ და ეს პროდუქტის შესაბამისობის არგუმენტს ძირს უთხრის. სარწმუნო პოზიციაა, რომ პროდუქტი მომხმარებლებს ეხმარება, გაიგონ და აკონტროლონ, როგორ გამოიყენება მათი მონაცემები, კანონის ფარგლებში.
წყაროები
სად მოდის ეს ინფორმაცია
ზოგადი ინფორმაცია აღებულია CBUAE Rulebook-იდან, მათ შორის Retail Payment Services and Card Schemes Regulation (C 15/2021)-დან და Cabinet Resolution No. (134) of 2025-დან, როგორც გამოქვეყნებულია, და არ წარმოადგენს იურიდიულ ან საგადასახადო რჩევას. წესები და სახელმძღვანელო იცვლება, ამიტომ წარდგენამდე დაადასტურეთ მოქმედი ტექსტი და თითოეული ინსტიტუტის საკუთარი მოთხოვნები.