Руководство
RegTech-платформа для KYC и AML в ОАЭ: правила передачи функций на аутсорсинг
Краткий ответ
Платформа RegTech, KYC или AML, как правило, не лицензируется как таковая. Компания регистрируется обычным порядком: через Департамент экономики и туризма Дубая (DET), свободную зону (free zone) или орган финансовой свободной зоны. Картину меняет клиент. Как только лицензированная финансовая организация начинает использовать платформу для проверок в сфере ПОД/ФТ (AML/CFT), регулятор этой организации рассматривает такую схему как аутсорсинг и возлагает ответственность за неё на организацию, а не на поставщика. Таким регулятором может быть Центральный банк ОАЭ (CBUAE), Управление по финансовым услугам Дубая (DFSA, DIFC), Управление по регулированию финансовых услуг (FSRA, ADGM), Управление рынка капитала (CMA, ранее Управление по ценным бумагам и товарам) или Управление по регулированию виртуальных активов (VARA, Дубай). Маршрут определяется тем, только ли платформа поставляет программное обеспечение или также принимает решения: закрывает оповещение, закрывает дело, подаёт отчёт.
Кто решает и от чего зависит периметр
Ни один регулятор ОАЭ не выдаёт «лицензию на регтех». Коммерческая деятельность относится к DET или к свободной зоне. Регуляторный вес приходится на тот орган, который надзирает за покупателем: банк или обменный пункт подотчётен CBUAE, фирма в DIFC подотчётна DFSA, фирма в ADGM подотчётна FSRA, фирма рынка капитала подотчётна CMA, поставщик услуг виртуальных активов подотчётен VARA. Каждый ожидает от своей лицензированной организации должной проверки любой переданной на аутсорсинг функции и сохранения прав аудита в отношении поставщика. Платформа редко является регулируемой стороной; договор, делающий клиента ответственным за неё, это то, что эти регуляторы в итоге попросят показать.
Отдельно, и независимо от того, какой финансовый регулятор применяется, федеральный Закон о защите персональных данных охватывает обработку персональных данных «полностью или частично через электронные системы, внутри или за пределами страны». Он запрещает обработку без согласия владельца, с ограниченными исключениями, и даёт физическим лицам право исправлять или ограничивать обработку своих данных. Платформа, работающая с паспортами, селфи или историей транзакций, обрабатывает персональные данные по этому закону независимо от того, как она лицензирована.
Что фактически проверит команда по комплаенсу покупателя
Комплексная проверка (due diligence) при закупке, а не регистрация, это то место, где продажи регтеха застревают. Регулируемый покупатель хочет увидеть:
- Откуда поступают исходные данные и есть ли у платформы устойчивое право их использовать
- Проверяет ли человек спорные случаи, или модель решает самостоятельно
- Где размещены данные и где находится персонал поддержки
- Как измеряются и регистрируются ложные срабатывания и изменения модели
- Что происходит с материалами дела, когда собственный регулятор покупателя запрашивает их
UAE Cyber Security Council ведёт пятилетнюю National Cybersecurity Strategy, утверждённую в 2025 г., и National Cyber Security Accreditation Program, путь сертификации для стандартизации практики кибербезопасности. Ни то, ни другое не является обязательным барьером для каждого поставщика, но при проверке безопасности покупатель всё чаще спрашивает, на каком этапе этой программы находится платформа, особенно если речь идёт о чём-либо, связанном с биометрическими данными.
Как деньги и ответственность движутся через продукт
Собственный банковский счёт компании RegTech обычно оказывается первым банковским вопросом и самым простым: бизнесу нужен операционный счёт, как любой компании-разработчику программного обеспечения, и пакет документов, который запрашивает банк, выглядит так же (структура собственности, источник средств учредителей и чёткое описание того, что продукт делает с данными клиентов). Если заранее заняться готовностью к открытию банковского счёта, счёт не окажется последним вопросом, решаемым перед запуском.
Это меняется в тот момент, когда продукт перестаёт быть чистым программным обеспечением. Те же вопросы, которые определяют, кто получает или контролирует денежные средства в финтех-проекте, применимы и здесь: инструмент, который хранит средства клиентов, инициирует платёж или предоставляет кредит, представляет собой иной регулируемый вид деятельности, и никакая готовность к открытию банковского счёта не превращает коммерческую лицензию в разрешение на это. Разделяйте два вопроса: может ли эта компания получить банковское обслуживание и притрагивается ли когда-либо к деньгам клиентов она сама, а не её клиент. Второй вопрос, если он возникает, требует собственного разрешения или спонсора.
Собственность, существо и роли, которые проверяет покупатель
Структура группы может разместить технологию, интеллектуальную собственность и любую лицензированную функцию в отдельных юридических лицах, при условии что у каждого есть реальная роль. Юридическая команда покупателя спросит, кто владеет моделью и конвейером данных, кто назван в договоре и кто несёт ответственность, если результат проверки оказывается неверным. Там, где собственность находится в более чем одной юрисдикции, проработайте это как регулируемую и сложную собственность, прежде чем команда комплексной проверки (due diligence) проверит это. Письменное обоснование относится к сопутствующему бизнес-плану, а не собирается после того, как вопрос уже задан.
Что обычно идёт не так
- Сбор или покупка данных без устойчивого права использовать их для проверки
- Описание инструмента как чего-то, что делает клиента «соответствующим требованиям», а не как то, что поддерживает решение, которое клиент всё равно принимает сам
- Использование биометрических данных без предварительной проработки требований закона о защите данных в отношении согласия и цели
- Исключение офшорной команды проверки или субподрядчика по обработке данных из договора и из материалов проверки покупателя
Сравнение сборов за регистрацию: самая распространённая ранняя ошибка. Важна полная стоимость маршрута: юридическое лицо, любое лицензирование данных и обеспечение безопасности, которое требует покупатель, и то, сколько будет стоить добавить уровень управляемой проверки позже, если выяснится, что только программного обеспечения недостаточно. Velarozone оценивает весь этот комплекс, а не заголовок о регистрации, и излагает собственную плату так, как это описывает то, как работает Velarozone.
