Odwołanie licencji RNKO Digital Solutions: Co firmy zajmujące się płatnościami niena bankowymi muszą wiedzieć przed wejściem do ZEA

Wpis w rejestrze Bank of Russia dotyczący RNKO Digital Solutions oznacza spółkę jako niemającą mocy obowiązującej. Wskazuje licencję nr 3552-K na operacje bankowe jako rozliczeniowa pozabankowa organizacja kredytowa, ważną od 24 stycznia 2025 r. do 27 sierpnia 2026 r., oraz decyzję o cofnięciu licencji z tego samego dnia. Wymienia również administrację tymczasową ustanowioną 27 sierpnia 2026 r. oraz wpis o likwidacji z dnia 5 października 2026 r. Sama strona rejestru nie podaje przyczyny.

Lukę tę wypełniają rosyjskie doniesienia prasowe o komunikacie banku centralnego. Według nich regulator cofnął licencję za naruszenie przepisów bankowych i dotyczących przeciwdziałania praniu pieniędzy, w tym ustawy federalnej 115-FZ, ponieważ spółka przez długi czas przeprowadzała podejrzane transakcje klientów i nie przekazywała niezwłocznie wiarygodnych informacji o transakcjach podlegających obowiązkowej kontroli. Te same doniesienia opisują spółkę jako zamkniętą dla operacji, z zablokowanymi płatnościami i akwizycją, i podają, że obsługiwała głównie przedsiębiorstwa, a nie osoby fizyczne. Radzą klientom, aby zapytali administrację tymczasową o status swoich środków.

Warto zwrócić uwagę na dwa szczegóły. Licencja obowiązywała około 19 miesięcy, więc staż nie stanowił żadnej ochrony. Poszkodowani klienci to w większości przedsiębiorstwa: sprzedawcy korzystający z usług spółki w zakresie akwizycji z dnia na dzień utracili możliwość przyjmowania płatności.

Ramy CBUAE dla detalicznych usług płatniczych, w streszczeniu kancelarii prawniczej Simmons & Simmons, określają dziewięć detalicznych usług płatniczych: wydawanie rachunków płatniczych, wydawanie instrumentów płatniczych, akwizycja kupców, agregacja płatności, krajowe i transgraniczne transfery środków, token płatniczy, inicjowanie płatności oraz informacje o rachunku płatniczym. Istnieją cztery kategorie licencji, od I do IV, a kategorie o niższym numerze pozwalają na więcej rodzajów działalności. Usługi tokenów płatniczych są dozwolone wyłącznie w kategorii I. Banki nie potrzebują licencji płatniczej na wydawanie rachunków, wydawanie instrumentów ani transfery środków, ale w przypadku innych usług potrzebują listu o braku zastrzeżeń od CBUAE.

Kapitał początkowy zależy od kategorii oraz od miesięcznej średniej wartości transakcji płatniczych, liczonej jako średnia krocząca z poprzednich trzech miesięcy lub, w przypadku nowej firmy, na podstawie jej biznesplanu. Kategoria IV wymaga AED 100 000 niezależnie od wolumenu. Kategoria III wymaga AED 500 000 przy wartości poniżej AED 10 milionów miesięcznie oraz AED 1 miliona przy wartości równej lub wyższej. Kategoria II wymaga AED 1 miliona i AED 2 milionów, a Kategoria I wymaga AED 1,5 miliona i AED 3 milionów. Firma musi utrzymywać co najmniej taką kwotę przez cały czas. Jeżeli jej miesięczna średnia utrzymuje się powyżej AED 10 milionów przez trzy kolejne miesiące, musi poinformować CBUAE i podlega wyższemu wymogowi kapitałowemu ustalanemu przez CBUAE.

Dla założyciela istotna jest struktura tego reżimu. Kapitał jest powiązany z wolumenem transakcji, a licencja obejmuje wyłącznie wskazane usługi. Podstawową działalnością musi być usługa objęta licencją, a każda usługa uboczna wykraczająca poza licencję wymaga zgody CBUAE przed jej rozpoczęciem. CBUAE może także wymagać w tym celu odrębnego podmiotu. Biznesplan, który po uruchomieniu dodaje salda przechowywane lub przelewy transgraniczne, może więc przenieść firmę do innej kategorii.

Pierwszy test dla każdego pomysłu z obszaru płatności jest prosty: czy spółka w jakimkolwiek momencie przechowuje pieniądze klientów, kontroluje je lub nimi dysponuje? Spółka programistyczna, która sprzedaje narzędzie płatnicze licencjonowanemu bankowi, znajduje się w jednej sytuacji. Spółka, która pobiera środki od osób dokonujących zakupów i przekazuje je sprzedawcom, w innej. Spółka, która nadaje klientom salda, w trzeciej.

Należy narysować przepływ na jednej stronie. Pokazać, gdzie znajduje się każdy dirham w każdym momencie, na którym rachunku jest przechowywany i która strona może zlecić jego przesunięcie. Regulacja CBUAE pozwala dostawcy usług płatniczych przechowywać środki użytkowników wyłącznie w czasie ich przekazywania. Jeżeli rozliczenie następuje w ciągu 24 godzin, środki nie mogą być mieszane z innymi lub muszą być odizolowane od pozostałych wierzycieli dostawcy. Jeżeli rozliczenie następuje po upływie 24 godzin, środki trafiają na wyodrębniony rachunek środków klientów w banku, który regulacja nazywa odrębnym rachunkiem escrow, oddzielnie od środków własnych firmy. Ubezpieczenie lub gwarancja bankowa instytucji spoza grupy to drugi dopuszczalny rodzaj zabezpieczenia. Jeżeli z rysunku wynika, że rachunek własny spółki przechowuje środki klientów poza etapem przekazywania, to biznes nie jest dostawcą oprogramowania, bez względu na to, co głosi strona internetowa.

Sprawa RNKO dodaje drugi test. Wskazane przyczyny niepowodzenia dotyczyły monitorowania i raportowania, a zatem system monitorowania musi istnieć i działać przed pierwszą transakcją na żywo. Oznacza to wyznaczonego z imienia i nazwiska specjalistę ds. compliance z rzeczywistymi uprawnieniami, reguły monitorowania transakcji dostosowane do bazy klientów (w przypadku RNKO sprzedawców, a nie konsumentów) oraz ścieżkę eskalacji docierającą do kadry kierowniczej wyższego szczebla. Narzędzie zakupione i pozostawione z ustawieniami domyślnymi tego testu nie spełni.

Firmy płatnicze zwykle zlecają na zewnątrz hosting w chmurze, przetwarzanie kart, weryfikację tożsamości i oprogramowanie monitorujące. Regulacja CBUAE nakłada obowiązki na licencjonowanego dostawcę: rejestry użytkowników muszą dać się odtworzyć w razie ich utraty, uszkodzenia lub zniszczenia, a dokumentacja dotycząca danych osobowych i płatniczych jest przechowywana przez 5 lat od jej otrzymania. W przypadku każdego istotnego dostawcy należy odnotować, gdzie działa, czy przechowuje te rejestry oraz co się z nimi dzieje, jeżeli dostawca upadnie lub wycofa się.

Dane osobowe dodają kolejną warstwę prawną. Federal Decree Law No. 45 of 2021 o ochronie danych osobowych weszło w życie 2 stycznia 2022 r. i, zgodnie z portalem UAE Government, obejmuje przetwarzanie prowadzone w całości lub w części za pomocą systemów elektronicznych, wewnątrz ZEA lub poza nimi. UAE Data Office jest regulatorem federalnym. Spółka płatnicza z definicji przetwarza dane identyfikacyjne i dane o transakcjach, dlatego jej mapa dostawców powinna również pokazywać, dokąd te dane trafiają.

Regulacja CBUAE wymaga schematu organizacyjnego wskazującego osobę odpowiedzialną za każdy pion, dział lub jednostkę, z odrębnymi funkcjami zarządzania ryzykiem, audytu wewnętrznego i compliance. Osoby kierujące spółką muszą więc być możliwe do zidentyfikowania, osiągalne i uprawnione do podejmowania decyzji. Zarząd, który zbiera się raz w roku za granicą, podczas gdy personel operacyjny pracuje gdzie indziej, jest trudniejszy do przedstawienia niż zespół zarządzający, który zasiada tam, gdzie wykonywana jest regulowana działalność.

Sprzedawcom RNKO polecono zwrócić się do administracji tymczasowej w sprawie ich środków. Niewielu założycieli sporządza równoważny plan dla własnej spółki, ale regulator o niego zapyta: jeśli firma jutro zaprzestanie działalności, jak klienci odzyskają pieniądze, kto ich o tym poinformuje i kto za to zapłaci?

Użyteczny plan wygaszania działalności wskazuje wyodrębniony rachunek środków klientów w licencjonowanym banku, który przechowuje środki klientów oddzielnie od środków własnych firmy, pracowników, którzy pozostają, dane, które trzeba przekazać, oraz partnerów, których należy powiadomić. Określa także, jak długo klienci musieliby czekać. Regulacja CBUAE wymaga programu ciągłości działania obejmującego uporządkowane ograniczanie krytycznych operacji, a plan sporządzony po wystąpieniu problemu będzie znacznie słabszy niż plan przetestowany z wyprzedzeniem.

W przypadku firmy płatniczej to licencja, a nie trade licence, w większym stopniu determinuje lokalizację. Regulacja CBUAE definiuje wnioskodawcę jako spółkę zarejestrowaną w ZEA, więc podmiot musi istnieć przed złożeniem wniosku, a CBUAE zachęca kierownictwo do spotkania z jego Licensing Division przed złożeniem dokumentów. To, czy lepszym podmiotem holdingowym będzie spółka mainland, czy spółka free zone, zależy od tego, co zatwierdzi regulator, gdzie pracuje personel i które banki otworzą rachunki. Szerszy wybór między licencjonowaniem free zone i mainland jest łatwiejszy, gdy znana jest już funkcja regulowana. Założyciele, którzy się przeprowadzają, potrzebują także wiz pobytowych, a ścieżka wizowa wynika ze struktury podmiotu.

Onboarding bankowy spółki płatniczej jest wymagający, ponieważ bank postrzega ją jako źródło ryzyka. Należy przygotować mapę przepływu środków, strukturę compliance, schemat własności, plan wygaszania działalności oraz oczekiwane miesięczne wartości transakcji, ponieważ od tej średniej zależy poziom kapitału. Taki pakiet to sposób działania Velarozone w pracy z założycielami firm płatniczych: dowody są gromadzone, zanim zostanie złożony wniosek.