가이드
UAE에서 오픈 파이낸스 제공자 설정하기
간단한 답변
아랍에미리트 중앙은행(CBUAE)은 오픈 파이낸스 규정의 데이터 공유(Data Sharing) 및 서비스 개시(Service Initiation) 범주에 따라 오픈 파이낸스 사업이 자체 라이선스를 필요로 하는지 결정합니다. 두 라이선스 중 어느 쪽을 보유하더라도 고객을 대신하여 계좌 데이터를 조회하거나 거래를 지시할 수 있지만, 자금을 보관하거나 대출을 제공하거나 규제 대상 자문을 제공할 수는 없습니다. 경로를 가르는 것은 대개 해당 회사가 거래를 직접 개시하는지, 아니면 다른 사업자가 라이선스에 따라 이미 보유한 데이터를 기반으로 한 인사이트만 제공하는지 여부입니다.
규제 범위: 데이터 공유와 서비스 개시
CBUAE 오픈 파이낸스 규정에 따라 신청자는 라이선스 대상 활동인 데이터 공유와 서비스 개시 중 하나 또는 둘 모두를 선택합니다. 두 활동은 별도로 심사되고 부여되므로, 여러 금융기관에 걸친 고객의 계좌 잔액을 보여주기만 하는 회사가 자동으로 고객을 대신해 자금을 이동할 권리를 얻는 것은 아니며, 그 반대도 마찬가지입니다. CBUAE는 완비된 신청서에 대해 영업일 기준 60일 이내에 결정해야 합니다.
두 라이선스 중 어느 것도 그 자체로 회사를 은행, 결제 또는 증권 규제 안으로 들여오지 않습니다. 고객 자금을 보관하거나, 신용을 제공하거나, 투자 자문을 하려면 해당 활동에 필요한 CBUAE 또는 증권상품청(SCA)의 별도 승인이 오픈 파이낸스 라이선스에 더해, 그것을 대체하지 않고 필요합니다. 이는 UAE에서 구축하는 네오뱅크와 같은 범위 판단 기준입니다. 누가 돈을 다루는지, 그리고 누구의 라이선스가 그것을 허용하는지입니다. 대중으로부터 자금을 모으거나 대출자와 차입자를 연결하는 플랫폼은 크라우드펀딩 및 대출 플랫폼 가이드에서 다룹니다.
라이선스 부여 전 규정이 요구하는 것
이 규정은 단순히 신고하는 활동만이 아니라 회사가 보유해야 할 재무 자원을 정한다:
- 오픈 파이낸스 제공자(Open Finance Provider)의 최소 납입 자본은 AED 1,000,000이며, CBUAE는 회사의 위험, 규모, 복잡성에 따라 더 많은 자본을 요구할 수 있다.
- 클레임당 최소 AED 5,000,000을 포괄하는 전문직업배상책임보험(professional indemnity insurance), 누적 한도는 AED 5,000,000 또는 연간 수익의 50% 중 더 높은 금액.
- 모든 고객 대상 채널에 대한 최소 2단계 인증(two-factor authentication).
- 명시적이고, 목적에 특정되고, 충분한 정보에 기반하고, 모호하지 않으며, 자유롭게 부여된 동의여야 하며, 반복 지시의 경우 고객이 다시 확인해야 하기 전까지 유효 기간이 12개월을 넘지 않아야 합니다.
이들은 설립 서류가 아니라 재무적·운영적 약속이며, 이를 나중의 문제로 취급하는 사업계획서는 대개 라이선스 심사 과정에서 그 문제를 직접 맞닥뜨리게 된다. Velarozone 자체의 요금은 용역 계약서에 별도로 항목화되어 있다; 그것이 규제기관 자체의 수치와 어떻게 함께 자리하는지는 Velarozone의 작동 방식을 참조.
신뢰체계와 API 허브 연결
라이선스를 보유한 오픈 파이낸스 제공자는 자체 네트워크를 구축하지 않는다: CBUAE 자신이 정한 인프라에 연결한다. 승인 후 14일 이내에 제공자는 신뢰체계(Trust Framework)에 따라 등록하고 그 등록을 유지해야 하며, 이는 참여자를 검증하고 각 연결에 필요한 디지털 인증서를 발급하며 모든 회사가 구축해야 하는 기술 표준을 보유한다. 고객 대상 인터페이스는 제공자 자체의 API 설계가 아니라 ISO 20022 메시지 형식을 사용해야 한다.
참여사의 API를 하나의 플랫폼으로 통합하는 API Hub는 그 자체가 라이선스 대상이자 별도의 자본 요건이 적용되는 기능이며, 최소 납입자본금 AED 20,000,000이 필요하고 승인 후 6개월 이내에 운영을 개시해야 합니다. 대부분의 사업자는 API Hub를 직접 운영하지 않고 이에 연결하는 방식을 취하지만, 자신을 독자적인 라이선스 보유자가 아니라 다른 참여사를 위한 오픈 파이낸스 인프라로 자리매김하는 회사는 API Hub 경로와 훨씬 큰 자본 규모를 선택하는 것입니다.
자금과 책임이 실제로 이동하는 방식
서비스 개시 라이선스는 회사가 결제를 지시하도록 허용하지만, 이동하는 자금을 보관하도록 허용하지는 않으며, 자금은 계좌를 운영하는 은행 또는 결제 기관에 남아 있습니다. 데이터 공유 라이선스는 자금을 전혀 이동시키지 않으며, 고객이 공유에 동의한 데이터에 대한 조회 권한일 뿐입니다. 두 모델은 같은 벽에서 끝납니다. 자금은 규제 당국의 감독 아래 라이선스를 받은 금융기관의 분리된 고객 계좌에 있어야 하며, 오픈 파이낸스 제공자 자신에게 있어서는 안 됩니다.
이것은 또한 은행이 사업을 위한 계정을 개설하기 전에 시험하는 것이기도 하다. 회사가 보유한 라이선스 범주, 일시적으로라도 고객 자금을 보관한 적이 있는지, 그리고 동의 및 인증 통제가 설명이 아니라 실제로 어떻게 구현되어 있는지가 그것이다. 그 대화를 준비하는 회사는 신청 전에, 은행이 이미 거부한 뒤가 아니라, 은행 계정 준비 작업을 마쳐 두는 데서 이익을 얻는다.
외주화, 데이터 거주지, UAE에 있어야 하는 주체
이 규정은 두 가지를 국내에 두도록 요구합니다. 첫째는 데이터입니다. 오픈 파이낸스 라이선스에 따라 접근한 고객 데이터는 UAE 내에 저장되어야 하며, 국외 사본을 두려면 CBUAE의 승인과 고객의 동의가 모두 필요합니다. 규정에 내재된 유일한 예외는, 라이선스를 받은 외국 은행 지점이 매일 갱신되는 마스터 기록 사본을 UAE에 보관하는 경우입니다. 둘째는 통제입니다. 회사는 CBUAE에 사전 통지하고 이의 없음 회신을 받지 않고서는 중요한 활동이나 컴플라이언스 또는 리스크와 같은 핵심 통제 기능을 외주로 위탁할 수 없습니다. 기록은 최소 5년간 보관해야 합니다.
이러한 규칙은 지주회사가 어디에 등록되어 있는지뿐 아니라 컴플라이언스 및 엔지니어링 담당자가 실제로 어디에 위치해야 하는지를 결정합니다. 해외 팀이 운영 환경의 데이터 접근을 맡을 수 있다고 가정하거나 컴플라이언스를 비상근 자문 계약으로 충당할 수 있다고 가정한 계획은, 이 부분을 제대로 읽고 나면 대개 수정이 필요합니다. 이러한 역할을 어떻게 채우는지는 라이선스 신청 서류에 포함되어야 합니다. 해당 기록에 무엇이 나타나야 하는지는 사업 계획서 및 증빙 서류를 참조하십시오.
흔히 잘못되는 지점
- 데이터 공유와 서비스 개시를 두 개의 별도 신청이 아니라 하나의 라이선스로 취급하는 것.
- AED 1,000,000 자본 수치는 예산에 반영하면서 그와 함께 가는 전문직업배상책임보험은 반영하지 않는 것.
- 동의를 일회성 체크박스로 작성하고, 12개월로 제한된 시한부의 철회 가능한 지시로 작성하지 않는 것.
- 규정이 라이선스 보유자에게 내부적으로 유지할 것을 기대하는 준법 또는 리스크 기능을 외주화하려고 계획하는 것.
- API 허브에의 연결 자체를 인가의 한 형태로 가정하는 것. 실제로는 제공자가 접속하는 인프라일 뿐인데도 말이다.
