가이드
UAE의 레그테크, KYC 및 AML 플랫폼: 아웃소싱 규정
간단한 답변
RegTech, KYC 또는 AML 플랫폼은 통상 그 자체로 별도의 인가를 받지 않습니다. 이러한 회사는 Dubai Department of Economy and Tourism(DET), 프리존(free zone) 또는 금융 프리존 당국을 통해 일반적인 방식으로 등록합니다. 고객이 누구인지에 따라 상황이 달라집니다. 인가받은 금융기관이 AML/CFT 점검을 위해 해당 플랫폼에 의존하게 되면, 그 금융기관의 감독 당국은 이를 위탁(outsourcing)으로 보고 공급업체가 아니라 금융기관에 책임을 묻습니다. 해당 감독 당국은 Central Bank of the UAE(CBUAE), Dubai Financial Services Authority(DFSA, DIFC), Financial Services Regulatory Authority(FSRA, ADGM), Capital Market Authority(CMA, 구 Securities and Commodities Authority) 또는 Virtual Assets Regulatory Authority(VARA, 두바이)일 수 있습니다. 경로를 결정짓는 질문은 플랫폼이 소프트웨어만 공급하는지, 아니면 경보 종결, 사건 해소, 보고서 제출과 같은 판단까지 직접 내리는지입니다.
결정 주체와 규제 범위를 가르는 기준
UAE에는 "RegTech 라이선스"를 발급하는 단일 감독 당국이 없습니다. 상업 활동은 DET 또는 프리존의 소관입니다. 규제상의 무게는 구매자를 감독하는 당국에 있습니다. 은행이나 환전소는 CBUAE, DIFC 소재 회사는 DFSA, ADGM 소재 회사는 FSRA, 자본시장 관련 회사는 CMA, 가상자산 서비스 제공자는 VARA의 감독을 받습니다. 각 당국은 인가받은 법인이 위탁한 모든 기능에 대해 실사(due diligence)를 수행하고 공급업체에 대한 감사 권한을 유지할 것을 기대합니다. 플랫폼 자체가 규제 대상인 경우는 드물며, 이들 당국이 결국 제출을 요구하게 되는 것은 고객에게 해당 플랫폼에 대한 책임을 지우는 계약서입니다.
이와 별도로, 어느 금융 규제당국이 적용되는지와 무관하게, 연방 개인정보보호법(Personal Data Protection Law)은 "국내든 국외든 전자 시스템을 통해 전부 또는 일부가 이루어지는" 개인정보 처리를 다룹니다. 이 법은 제한된 예외를 제외하면 소유자의 동의 없이 처리하는 것을 금지하며, 개인에게 자신의 데이터 처리를 정정하거나 제한할 권리를 부여합니다. 여권, 셀피, 거래내역을 다루는 플랫폼은 어떤 라이선스를 보유하든 이 법에 따라 개인정보를 처리하는 것입니다.
구매자의 컴플라이언스팀이 실제로 확인하는 사항
RegTech 영업이 막히는 곳은 법인 설립이 아니라 구매 실사(procurement diligence)입니다. 규제 대상 구매자가 확인하고자 하는 것은 다음과 같습니다.
- 기초 데이터가 어디에서 오는지, 그리고 플랫폼이 그것을 사용할 지속적인 권리를 가지고 있는지
- 분쟁이 있는 사례를 사람이 검토하는지, 아니면 모델이 단독으로 결정하는지
- 데이터가 어디에 호스팅되고 지원 인력이 어디에 있는지
- 오탐(false positive)과 모델 변경이 어떻게 측정되고 기록되는지
- 구매자 자신의 규제당국이 요구할 때 사례 파일에 어떤 일이 일어나는지
UAE Cyber Security Council은 2025년에 승인된 5개년 National Cybersecurity Strategy와, 사이버보안 실무를 표준화하기 위한 인증 경로인 National Cyber Security Accreditation Program을 운영합니다. 둘 다 모든 벤더에게 의무적인 관문은 아니지만, 구매자의 보안 심사에서는 특히 생체인식 데이터(biometric data)를 다루는 경우 해당 플랫폼이 이 프로그램에서 어떤 위치에 있는지를 점점 더 묻고 있습니다.
상품을 통해 자금과 책임이 이동하는 방식
RegTech 회사 자체의 은행 계좌는 보통 가장 먼저 부딪히는 은행 관련 문제이며, 가장 단순한 문제이기도 합니다. 소프트웨어 회사와 마찬가지로 운영 계좌가 필요하고, 은행이 요구하는 서류도 같습니다(소유 구조, 창업자 자금의 출처, 그리고 제품이 고객 데이터를 어떻게 처리하는지에 대한 명확한 설명). 은행 계좌 개설 준비를 일찍 진행하면 계좌 개설이 출시 직전 마지막으로 해결해야 할 과제가 되는 상황을 피할 수 있습니다.
제품이 단순한 소프트웨어를 넘어서는 순간 상황이 달라집니다. 핀테크에서 누가 자금을 수취하거나 통제하는지를 결정하는 것과 동일한 질문이 여기에도 적용됩니다. 고객 자금을 보관하거나, 결제를 개시하거나, 신용을 제공하는 도구는 별개의 규제 대상 활동이며, 아무리 은행 계좌 개설 준비를 갖추더라도 상업 라이선스(commercial licence)가 그러한 활동을 수행할 허가가 되지는 않습니다. 두 질문을 분리하여 판단해야 합니다. 이 회사가 은행 거래를 할 수 있는지, 그리고 고객이 아닌 이 회사가 고객 자금을 직접 다루는 일이 있는지입니다. 후자가 발생하는 경우에는 별도의 인가 또는 후원 기관이 필요합니다.
소유구조, 실질 요건, 구매자가 확인하는 역할
그룹 구조는 기술, 지적재산, 그리고 라이선스가 필요한 기능을 각 법인이 실질적인 역할을 맡는 한 서로 다른 법인에 나누어 둘 수 있습니다. 구매자의 법무팀은 모델과 데이터 파이프라인을 누가 소유하는지, 계약서에 누구의 이름이 적혀 있는지, 심사 결과가 잘못되었을 때 누가 책임을 지는지를 물을 것입니다. 소유구조가 둘 이상의 관할 구역에 걸쳐 있는 경우, 실사팀이 검증하기 전에 규제 대상 및 복잡한 소유구조로서 이를 정리하십시오. 서면으로 정리된 설명은 질문을 받은 뒤에 짜맞추는 것이 아니라 그에 따른 사업계획서 안에 들어 있어야 합니다.
흔히 잘못되는 지점
- 심사 용도로 사용할 지속적인 권리 없이 데이터를 수집(scraping)하거나 구매하는 것
- 그 도구를, 고객이 여전히 소유하는 결정을 지원하는 것이 아니라 고객을 "규정 준수" 상태로 만들어 주는 것처럼 설명하는 것
- 개인정보보호법의 동의 및 목적 요건을 먼저 검토하지 않은 채 생체정보를 사용하는 것
- 오프쇼어 검토팀이나 하위처리자(subprocessor)를 계약서와 구매자의 실사 파일에서 빼놓는 것
설립 비용만 비교하는 것이 초기에 가장 흔한 실수입니다. 중요한 비용은 전체 경로입니다. 법인, 구매자가 요구하는 데이터 라이선스와 보안 보증, 그리고 나중에 소프트웨어만으로는 부족하다고 밝혀질 경우 관리형 검토 계층을 추가하는 데 드는 비용입니다. Velarozone은 설립 비용 하나만이 아니라 그 전체 체계의 비용을 산정하며, Velarozone의 업무 방식이 설명하는 방식으로 자체 수수료를 제시합니다.
