Como montar um provedor de Open Finance nos Emirados Árabes Unidos

Nos termos da CBUAE Open Finance Regulation, o requerente escolhe uma ou ambas as atividades licenciáveis: Data Sharing e Service Initiation. Elas são avaliadas e concedidas separadamente; assim, uma empresa que apenas mostra ao cliente os saldos de suas contas em diferentes instituições não adquire automaticamente o direito de movimentar dinheiro por ele, e vice-versa. O CBUAE deve decidir sobre um pedido completo em até sessenta dias úteis.

Nenhuma das licenças coloca, por si só, uma empresa dentro da regulação bancária, de pagamentos ou de valores mobiliários. Deter fundos de clientes, conceder crédito ou prestar aconselhamento de investimento exige a autorização separada do CBUAE ou da Autoridade dos Valores Mobiliários e das Mercadorias (SCA) que essas atividades requerem, além da licença de Finanças Abertas e não em vez dela. É o mesmo teste de âmbito de um banco digital constituído nos Emirados: quem toca no dinheiro e cuja licença diz que pode. Uma plataforma que capta dinheiro junto do público ou faz corresponder credores e mutuários é tratada em o guia da plataforma de financiamento colaborativo e de crédito.

O Regulamento estabelece recursos financeiros que uma empresa deve manter, não apenas a atividade que declara:

Esses são compromissos financeiros e operacionais, não documentação de constituição, e um plano de negócios que os trata como problemas posteriores tende a enfrentá-los durante a revisão de licenciamento em vez disso. Os próprios honorários da Velarozone são detalhados separadamente na carta de contratação; veja como a Velarozone trabalha para saber como isso se encaixa junto aos próprios valores do regulador.

Um Open Finance Provider licenciado não constrói sua própria rede: ele se conecta à infraestrutura que o próprio CBUAE especifica. Dentro de catorze dias da aprovação, um provedor deve se registrar e manter seu registro sob o Trust Framework, que valida participantes, emite os certificados digitais que cada conexão exige, e contém os padrões técnicos aos quais toda empresa deve se conformar. As interfaces voltadas ao cliente devem usar os formatos de mensagem ISO 20022, não um design de API próprio do provedor.

O API Hub, que agrega as APIs dos participantes em uma única plataforma, é, por si só, uma função licenciada e com capital próprio: capital integralizado mínimo de AED 20,000,000, em operação em até seis meses após a aprovação. A maioria dos prestadores nunca o operará (conecta-se a ele), mas uma empresa que se posiciona como infraestrutura de Open Finance para outros participantes, e não como titular de licença própria, está escolhendo o caminho do API Hub e sua base de capital muito maior.

Uma licença de Service Initiation permite à empresa instruir um pagamento; não permite que ela mantenha o dinheiro movimentado, que permanece com o banco ou a instituição de pagamento que mantém a conta. Uma licença de Data Sharing não movimenta dinheiro: é acesso de leitura a dados que o cliente consentiu em compartilhar. Ambos os modelos esbarram no mesmo limite: os fundos ficam em contas segregadas de clientes junto a instituições licenciadas, sob supervisão do regulador, e nunca com o próprio Open Finance Provider.

Isso também é o que um banco vai testar antes de abrir uma conta para o negócio: qual categoria de licença a empresa detém, se ela chega a tomar custódia de fundos de clientes mesmo que transitoriamente, e como os controles de consentimento e autenticação são de fato implementados, e não apenas descritos. Uma empresa que se prepara para essa conversa se beneficia do trabalho de prontidão de conta bancária feito antes do pedido, não depois de um banco já ter dito não.

A Regulation mantém duas coisas próximas de casa. Primeiro, os dados: os dados de clientes acessados sob uma licença de Open Finance devem ser armazenados nos UAE, e uma cópia no exterior exige tanto a aprovação do CBUAE quanto o consentimento do cliente. A única exceção prevista é a de uma filial de banco estrangeiro licenciado que mantenha nos UAE uma cópia do registro mestre atualizada diariamente. Segundo, o controle: uma empresa não pode terceirizar uma atividade relevante, nem uma função-chave de controle, como compliance ou risco, sem antes notificar o CBUAE e receber a sua não objeção. Os registros devem ser mantidos por pelo menos cinco anos.

Essas regras definem onde, de fato, ficam as funções de compliance e de engenharia, e não apenas onde a holding está registrada. Um plano que pressupõe que uma equipe offshore possa operar o acesso a dados de produção, ou que o compliance seja um contrato de consultoria em meio período, normalmente precisa ser refeito depois que esta seção é lida com atenção. A forma como essas funções são preenchidas pertence ao dossiê da licença. Consulte planos de negócios e documentação de suporte para saber o que esse registro precisa demonstrar.