Правила мониторинга банковских счетов и возможность для регтеха в ОАЭ

Британская дискуссия касается государственного ведомства, которое хочет проверять банковские счета на предмет мошенничества и ошибок в выплатах социальных пособий. Это государственное полномочие, установленное законодательством Великобритании и применяемое в отношении определённой группы получателей. Ничто аналогичное не даёт частной компании в ОАЭ права заглядывать в чей-либо счёт.

Британская история ставит перед основателем вопрос проектирования: какую часть цепочки мониторинга будет контролировать моя компания? Банки осуществляют мониторинг операций, потому что обязаны это делать. Софтверная компания может создать инструменты, которые делают это дешевле и точнее. Но она не может позаимствовать у банка право доступа к данным.

Эта граница определяет регуляторный путь. По Положению CBUAE об открытых финансах (C 03/2025) компании, получающей данные счетов клиентов через банковские интерфейсы, нужна лицензия на открытые финансы, а поставщик, работающий по договору с банком, это другой случай. Презентации часто ошибаются, описывая продукт поставщика языком регулируемой функции.

Управление согласиями и разрешениями. Продукт фиксирует, с чем согласился клиент, позволяет ему отозвать согласие и ведёт аудиторский след (audit trail). Он работает с записями о согласиях, а не обязательно с самими данными по счетам. Ближе всего он стоит к правилам защиты данных, поскольку главная обязанность это подтвердить действительность согласия.

Программное обеспечение для мониторинга, продаваемое учреждениям. На практике оператором данных (data controller) является банк, а поставщик работает по договору с ним. Вопросы доступа, хранения, обучения моделей на данных клиентов и уведомления об инцидентах решаются в договоре на оказание услуг. Нужно ли поставщику какое-либо разрешение, зависит от того, что именно он делает, и это следует уточнять у соответствующего регулятора, а не предполагать.

Аналитика открытых финансов. Здесь компания считывает данные клиентских счетов через банковские интерфейсы с разрешения клиента. Именно тут важна рамочная система открытых финансов CBUAE, и именно эта модель с наибольшей вероятностью потребует собственного разрешения. Периметр этого регулирования рассматривается в отдельном руководстве о маршруте поставщика услуг открытых финансов.

Инструменты управления делами и регуляторной отчётности. Они помогают службам комплаенса документировать решения. Важно одно: лишь фиксирует ли инструмент решения, принятые людьми, или начинает принимать их сам.

Группа может вести несколько таких направлений под одним брендом, но договоры будут различаться.

Федеральный закон о защите персональных данных применяется к обработке, осуществляемой внутри ОАЭ или за их пределами, полностью или частично электронными средствами, и устанавливает требования к трансграничной передаче. Ведомство UAE Data Office, связанное с Кабинетом министров ОАЭ, готовит разъяснения и рассматривает жалобы. Владельцы данных могут требовать исправления, а также ограничивать или прекращать обработку.

Для продукта мониторинга или работы с данными из этого следуют три практических вывода. Согласие должно быть достаточно конкретным, чтобы охватывать то, что программное обеспечение фактически делает с данными. Отзыв согласия должен работать в самом продукте, а не только в условиях. А поток данных, покидающий ОАЭ, будь то облачный регион или зарубежная материнская компания, требует документально оформленного основания. К лицензированному поставщику открытых финансовых услуг предъявляются более строгие требования. Положение об открытых финансах ЦБ ОАЭ (CBUAE) требует отдельного согласия для каждой цели, а отзыв согласия должен быть таким же простым, как и его предоставление. Оно также требует хранения данных в ОАЭ, если только ЦБ ОАЭ (CBUAE) не одобрил хранение за рубежом и клиент не дал письменное согласие после того, как ему сообщили, где данные будут находиться и почему.

Местонахождение добавляет ещё один уровень. На странице правительства ОАЭ о защите данных наряду с федеральным законом перечислены Закон DIFC о защите данных (Закон DIFC № 5 от 2020 года) и Закон Дубая о данных (Закон № 26 от 2015 года). Поэтому компания внутри финансовой свободной зоны (free zone) может подпадать под иной режим защиты данных, чем компания на мейнленде (mainland), а компания, обслуживающая клиентов в обоих, может подпадать под оба режима. Федеральная страница не объясняет, как они взаимодействуют, поэтому позицию для вашей собственной структуры следует подтвердить в администрации зоны и у соответствующего регулятора до выбора местонахождения.

Компания на мейнленде (mainland) подходит бизнесу, который продаёт преимущественно банкам и корпорациям ОАЭ и не хочет территориальных ограничений на круг контрагентов. Компания в свободной зоне (free zone) может хорошо подойти технологическому бизнесу с региональной клиентской базой при условии, что вид деятельности по лицензии зоны соответствует программному обеспечению и услугам по обработке данных, а договоры заключаются с надлежащим юридическим лицом.

Для поставщика решений в сфере регтех практические критерии иные, чем для торговой компании. Может ли лицензия точно описывать разработку программного обеспечения и обработку данных? Примет ли закупочная служба банка это юридическое лицо в качестве поставщика? Где будут работать сотрудники и какие резидентские визы для основателей поддерживает это место? Где будут физически размещены данные?

Низкая цена учреждения компании мало значит, если вид деятельности в лицензии позднее придётся изменять из-за того, что продукт оказался связан с регулируемыми данными. Сначала определите границы продукта, а затем сравнивайте места расположения; именно такой порядок описан в разделе как работает Velarozone.

Основатели часто воспринимают банковское обслуживание как задачу после регистрации компании. В этой отрасли это ещё и процесс продаж. Банк, покупающий программное обеспечение для мониторинга, или банк, открывающий корпоративный счёт вашей компании, захочет увидеть цельную картину.

Ожидайте вопросов о том, кому принадлежит компания и кто контролирует код, где хранятся данные клиентов и кто имеет к ним доступ, как тестируется модель и как обрабатываются ложные срабатывания, а также что происходит после утечки. Что касается владения, рекомендации CBUAE предполагают, что банк идентифицирует и проверяет каждое физическое лицо, которое владеет компанией-клиентом или контролирует её в размере 25% или более. Если ни одно лицо не достигает 25%, вместо него идентифицируется старший руководитель. Банки также спросят, есть ли у ваших сотрудников опыт в сфере комплаенса, поскольку продукт заслуживает доверия лишь настолько, насколько заслуживает доверия стоящая за ним команда.

Автоматические оповещения вызывают особую обеспокоенность. Если модель помечает счёт, а аналитик просто принимает эту пометку, решение по сути является автоматизированным. Регулируемые клиенты предпочитают инструменты, поддерживающие документированное решение человека. Заложить это в рабочий процесс с самого начала дешевле, чем дорабатывать его после запроса банка.

Маршрут платформы RegTech для KYC и AML во многом пересекается с мониторингом. Её покупатели те же команды по соблюдению требований, поэтому применяется та же проверка поставщиков.