Zasady monitorowania rachunków bankowych i perspektywy RegTech w ZEA

Brytyjska debata dotyczy resortu rządowego, który chce sprawdzać rachunki bankowe pod kątem oszustw i błędów w wypłatach świadczeń socjalnych. Jest to uprawnienie państwa, ustanowione brytyjskim prawem i wykonywane wobec określonej grupy wnioskodawców. Nic równoważnego nie daje prywatnej spółce w ZEA prawa wglądu w czyjekolwiek konto.

Brytyjski przypadek stawia przed założycielem pytanie o projekt rozwiązania: którą część łańcucha monitorowania miałaby posiadać moja spółka? Banki prowadzą monitorowanie transakcji, ponieważ mają taki obowiązek. Spółka programistyczna może zbudować narzędzia, które czynią je tańszym i dokładniejszym. Nie może jednak pożyczyć od banku uprawnienia do wglądu w dane.

Ta granica rozstrzyga o ścieżce regulacyjnej. Zgodnie z Open Finance Regulation CBUAE (C 03/2025) spółka, która pobiera dane o rachunkach klientów przez interfejsy bankowe, potrzebuje Open Finance Licence, natomiast dostawca działający na podstawie umowy z bankiem to odrębny przypadek. Prezentacje dla inwestorów często zawierają błąd polegający na opisaniu produktu dostawcy językiem właściwym dla funkcji regulowanej.

Zarządzanie zgodami i uprawnieniami. Produkt rejestruje, na co klient wyraził zgodę, pozwala ją wycofać i prowadzi ścieżkę audytu. Obsługuje zapisy zgód, niekoniecznie same dane rachunków. Jest najbliżej przepisów o ochronie danych, ponieważ podstawowym obowiązkiem jest wykazanie ważnej zgody.

Oprogramowanie monitorujące sprzedawane instytucjom. Administratorem danych jest w praktyce bank, a dostawca działa na podstawie jego umowy. Kwestie dostępu, przechowywania, trenowania modeli na danych klientów i zgłaszania incydentów rozstrzyga się w umowie o świadczenie usług. To, czy dostawca potrzebuje jakiegokolwiek zezwolenia, zależy od tego, co dokładnie robi, i należy to potwierdzić u właściwego regulatora, a nie zakładać.

Analityka otwartych finansów. Tu spółka odczytuje dane rachunków klientów przez interfejsy banków, za zgodą klienta. W tym miejscu znaczenie ma ramowy system otwartych finansów CBUAE i jest to model, który najprawdopodobniej będzie wymagał własnego zezwolenia. Zakres ten omawia osobny przewodnik o ścieżce dostawcy usług otwartych finansów.

Narzędzia do zarządzania sprawami i raportowania regulacyjnego. Pomagają zespołom compliance dokumentować decyzje. Istotny szczegół to to, czy narzędzie jedynie rejestruje decyzje ludzi, czy zaczyna je podejmować.

Grupa może prowadzić kilka z nich pod jedną marką, ale umowy będą się różnić.

Federalna ustawa o ochronie danych osobowych ma zastosowanie do przetwarzania prowadzonego w ZEA lub poza nimi, w całości lub w części środkami elektronicznymi, i ustanawia wymogi dotyczące transferu transgranicznego. UAE Data Office, powiązany z Gabinetem ZEA, opracowuje wytyczne i rozpatruje skargi. Właściciele danych mogą żądać sprostowania oraz ograniczyć lub zatrzymać przetwarzanie.

W przypadku produktu do monitorowania lub przetwarzania danych wynikają stąd trzy praktyczne kwestie. Zgoda musi być na tyle szczegółowa, aby obejmowała to, co oprogramowanie faktycznie robi z danymi. Wycofanie zgody musi działać w produkcie, a nie tylko w regulaminie. Przepływ danych poza ZEA, na przykład do regionu chmurowego lub zagranicznej spółki dominującej, wymaga udokumentowanej podstawy. Licencjonowany dostawca open finance podlega surowszym warunkom. Open Finance Regulation CBUAE wymaga odrębnej zgody dla każdego celu, a wycofanie zgody musi być równie łatwe jak jej udzielenie. Wymaga ono również przechowywania danych w ZEA, chyba że CBUAE zatwierdził przechowywanie za granicą, a klient wyraził na to pisemną zgodę po poinformowaniu go, gdzie dane będą się znajdować i dlaczego.

Lokalizacja dodaje kolejną warstwę. Strona rządu ZEA poświęcona ochronie danych wymienia DIFC Data Protection Law (DIFC Law No. 5 of 2020) oraz Dubai Data Law (Law No. 26 of 2015) obok prawa federalnego. Spółka działająca w finansowej free zone może zatem podlegać innemu reżimowi ochrony danych niż spółka na mainland, a spółka obsługująca klientów w obu miejscach może podlegać obu. Strona federalna nie wyjaśnia, jak te reżimy ze sobą współdziałają, dlatego stanowisko dla własnej struktury należy potwierdzić u władz strefy i właściwego regulatora, zanim podejmą Państwo decyzję o lokalizacji.

Spółka mainland odpowiada przedsiębiorstwu, które sprzedaje głównie bankom i korporacjom w ZEA i nie chce terytorialnych ograniczeń co do kontrahentów. Spółka w free zone może dobrze sprawdzić się w przedsiębiorstwie technologicznym z regionalną bazą klientów, pod warunkiem że licencjonowana działalność strefy odpowiada usługom programistycznym i przetwarzaniu danych, a umowy zawierane są z właściwym podmiotem.

W przypadku dostawcy RegTech praktyczne testy są inne niż w spółce handlowej. Czy licencja może dokładnie opisać tworzenie oprogramowania i przetwarzanie danych? Czy dział zakupów banku zaakceptuje ten podmiot jako dostawcę? Gdzie będzie pracował personel i jakie wizy pobytowe dla zespołu założycielskiego obsługuje dana lokalizacja? Gdzie fizycznie będą hostowane dane?

Niska cena założenia spółki ma niewielkie znaczenie, jeżeli działalność objętą licencją trzeba później zmienić, ponieważ produkt okazał się dotyczyć danych regulowanych. Najpierw należy ustalić granice produktu, a dopiero potem porównywać lokalizacje, czyli w kolejności opisanej w jak działa Velarozone.

Założyciele często traktują obsługę bankową jako zadanie po rejestracji spółki. W tym sektorze jest ona także procesem sprzedaży. Bank kupujący oprogramowanie monitorujące lub bank otwierający Państwa rachunek firmowy będzie chciał zobaczyć spójny obraz.

Należy spodziewać się pytań o to, kto jest właścicielem spółki i kto kontroluje kod, gdzie przechowywane są dane klientów i kto ma do nich dostęp, jak testowany jest model i jak obsługiwane są wyniki fałszywie pozytywne oraz co dzieje się po naruszeniu bezpieczeństwa. W kwestii własności wytyczne CBUAE oczekują, że bank zidentyfikuje i zweryfikuje każdą osobę fizyczną, która posiada lub kontroluje 25% lub więcej udziałów w spółce będącej klientem. Jeżeli nikt nie osiąga 25%, bank identyfikuje zamiast tego członka kadry kierowniczej wyższego szczebla. Banki zapytają również, czy Państwa pracownicy mają doświadczenie w zakresie compliance, ponieważ produkt jest tak wiarygodny, jak zespół, który za nim stoi.

Automatyczne alerty budzą szczególne obawy. Jeśli model oznacza rachunek, a analityk po prostu akceptuje to oznaczenie, decyzja jest faktycznie zautomatyzowana. Regulowani klienci wolą narzędzia wspierające udokumentowaną ocenę człowieka. Wbudowanie tego w proces od początku jest tańsze niż dodawanie po tym, jak zapyta o to bank.

Ścieżka platformy RegTech KYC i AML w dużym stopniu pokrywa się z monitorowaniem. Jej nabywcami są te same zespoły compliance, więc obowiązuje ta sama weryfikacja dostawcy.