Poradnik
Platforma RegTech, KYC i AML w ZEA: zasady outsourcingu
Krótka odpowiedź
Platforma RegTech, KYC lub AML zazwyczaj nie jest licencjonowana jako taka we własnym zakresie. Spółka rejestruje się w zwykłym trybie, za pośrednictwem Dubai Department of Economy and Tourism (DET), free zone lub organu financial free zone. Sytuację zmienia klient. Gdy licencjonowana instytucja finansowa opiera się na platformie przy swoich kontrolach AML/CFT, organ nadzorczy tej instytucji traktuje takie rozwiązanie jako outsourcing i to instytucję, a nie dostawcę, rozlicza z jego prawidłowości. Tym organem może być Central Bank of the UAE (CBUAE), Dubai Financial Services Authority (DFSA, DIFC), Financial Services Regulatory Authority (FSRA, ADGM), Capital Market Authority (CMA, dawniej Securities and Commodities Authority) lub Virtual Assets Regulatory Authority (VARA, Dubaj). O wyborze ścieżki decyduje to, czy platforma jedynie dostarcza oprogramowanie, czy także podejmuje decyzje: zamyka alert, zamyka sprawę, składa zgłoszenie.
Kto decyduje i od czego zależy zakres regulacji
Żaden pojedynczy organ nadzorczy w ZEA nie wydaje „licencji RegTech". Działalność handlowa podlega DET lub free zone. Ciężar regulacyjny spoczywa na organie, który nadzoruje nabywcę: bank lub kantor wymiany walut podlega CBUAE, firma z DIFC podlega DFSA, firma z ADGM podlega FSRA, firma z rynku kapitałowego podlega CMA, a dostawca usług w zakresie aktywów wirtualnych podlega VARA. Każdy z nich oczekuje, że licencjonowany podmiot przeprowadzi due diligence wobec każdej zlecanej na zewnątrz funkcji i zachowa prawa audytu wobec dostawcy. Platforma rzadko jest podmiotem regulowanym; to umowa, która czyni klienta odpowiedzialnym za platformę, jest dokumentem, o który ci regulatorzy ostatecznie poproszą.
Niezależnie, i bez względu na to, który regulator finansowy ma zastosowanie, federalna Personal Data Protection Law obejmuje przetwarzanie danych osobowych "w całości lub w części za pomocą systemów elektronicznych, w kraju lub poza nim". Zakazuje przetwarzania bez zgody właściciela danych, z zastrzeżeniem ograniczonych wyjątków, i daje osobom prawo do poprawienia lub ograniczenia przetwarzania ich danych. Platforma przetwarzająca paszporty, selfie lub historie transakcji przetwarza dane osobowe na podstawie tego prawa niezależnie od tego, jak jest licencjonowana.
Co faktycznie sprawdzi zespół compliance kupującego
Due diligence zakupowe, a nie rejestracja spółki, jest tym, gdzie sprzedaż RegTech się zatrzymuje. Regulowany kupujący chce zobaczyć:
- Skąd pochodzą dane bazowe i czy platforma posiada trwałe prawa do ich wykorzystania
- Czy sprawy wątpliwe są weryfikowane przez człowieka, czy model decyduje samodzielnie
- Gdzie dane są hostowane i gdzie znajduje się personel wsparcia
- Jak mierzone są i rejestrowane fałszywe alarmy oraz zmiany w modelu
- Co się dzieje z dokumentacją sprawy, gdy zażąda jej własny regulator kupującego
UAE Cyber Security Council prowadzi pięcioletnią National Cybersecurity Strategy, zatwierdzoną w 2025 r., oraz National Cyber Security Accreditation Program, czyli ścieżkę certyfikacji służącą standaryzacji praktyk w zakresie cyberbezpieczeństwa. Żadna z nich nie jest obowiązkowym warunkiem dla każdego dostawcy, ale przegląd bezpieczeństwa (security review) przeprowadzany przez kupującego coraz częściej pyta, jak platforma wypada na tle tego programu, w szczególności w przypadku wszystkiego, co dotyka danych biometrycznych.
Jak środki i odpowiedzialność przepływają przez produkt
Własny rachunek bankowy spółki RegTech to zwykle pierwsze pytanie bankowe i najprostsze: firma potrzebuje rachunku operacyjnego jak każda spółka programistyczna, a dokumentacja, której oczekuje bank, wygląda tak samo (struktura własności, źródło środków założycieli oraz jasny opis tego, co produkt robi z danymi klientów). Wczesne zajęcie się gotowością do otwarcia rachunku bankowego pozwala uniknąć sytuacji, w której rachunek staje się ostatnią sprawą do rozstrzygnięcia przed uruchomieniem.
Zmienia się to w chwili, gdy produkt przestaje być czystym oprogramowaniem. Te same pytania, które w fintechu rozstrzygają, kto przyjmuje lub kontroluje środki pieniężne, mają zastosowanie i tutaj: narzędzie, które przechowuje środki klientów, inicjuje płatność lub udziela kredytu, prowadzi inną działalność regulowaną, a żadna gotowość do otwarcia rachunku bankowego nie zamienia licencji handlowej w zgodę na taką działalność. Te dwie kwestie należy rozdzielić: czy ta spółka może uzyskać obsługę bankową oraz czy to ona, a nie jej klient, kiedykolwiek ma styczność ze środkami klientów. Druga kwestia, jeśli się pojawia, wymaga odrębnego zezwolenia lub sponsora.
Własność, substancja i role sprawdzane przez kupującego
Struktura grupy może umieścić technologię, własność intelektualną i każdą licencjonowaną funkcję w odrębnych podmiotach, o ile każdy z nich ma rzeczywistą rolę. Zespół prawny kupującego zapyta, kto jest właścicielem modelu i potoku danych, kto jest wskazany w umowie i kto odpowiada, jeśli wynik weryfikacji (screening) jest błędny. Gdy własność rozkłada się na więcej niż jedną jurysdykcję, przeprowadź to jako regulowaną i złożoną strukturę własności, zanim zespół due diligence to przetestuje. Pisemne uzasadnienie powinno znajdować się w odpowiadającym biznesplanie, a nie być zestawiane po zadaniu pytania.
Co najczęściej idzie nie tak
- Pozyskiwanie danych poprzez scraping lub zakup bez trwałego prawa do ich wykorzystania w celach weryfikacji (screening)
- Opisywanie narzędzia jako czegoś, co czyni klienta "zgodnym z przepisami", a nie czegoś, co wspiera decyzję, którą klient wciąż podejmuje samodzielnie
- Wykorzystywanie danych biometrycznych bez wcześniejszego przejścia przez wymogi dotyczące zgody i celu przewidziane w prawie ochrony danych
- Pozostawianie zagranicznego zespołu weryfikującego lub subprocesora poza umową i poza dokumentacją due diligence kupującego
Porównywanie opłat za rejestrację spółki jest najczęstszym wczesnym błędem. Liczy się koszt całej ścieżki: podmiot, wszelkie licencjonowanie danych i zapewnienie bezpieczeństwa, których wymaga kupujący, oraz koszt dodania później warstwy zarządzanej weryfikacji, jeśli samo oprogramowanie okaże się niewystarczające. Velarozone wycenia ten cały stos, a nie nagłówkową opłatę rejestracyjną, i określa własną opłatę w sposób opisany w tym, jak działa Velarozone.
