กฎการเฝ้าติดตามบัญชีธนาคารและโอกาสด้านเร็กเทคใน UAE

การถกเถียงในอังกฤษเกี่ยวกับหน่วยงานรัฐที่ต้องการตรวจบัญชีธนาคารเพื่อหาการฉ้อโกงและข้อผิดพลาดในการจ่ายสวัสดิการ นี่คืออำนาจของรัฐที่กำหนดโดยกฎหมายของสหราชอาณาจักร และใช้กับกลุ่มผู้ขอรับสิทธิที่เฉพาะเจาะจง ไม่มีสิ่งใดที่เทียบเท่ากันซึ่งให้สิทธิแก่บริษัทเอกชนใน UAE ในการตรวจดูบัญชีของผู้ใด

เรื่องราวจากสหราชอาณาจักรทำให้ผู้ก่อตั้งกิจการต้องคิดเรื่องการออกแบบว่า บริษัทของตนจะเป็นเจ้าของส่วนใดของห่วงโซ่การติดตามตรวจสอบ ธนาคารดำเนินการติดตามธุรกรรมเพราะมีหน้าที่ตามกฎหมาย บริษัทซอฟต์แวร์สามารถสร้างเครื่องมือที่ทำให้งานนี้ถูกลงและแม่นยำขึ้นได้ แต่ไม่อาจยืมอำนาจของธนาคารในการเข้าถึงข้อมูลได้

เส้นแบ่งนี้เป็นตัวกำหนดเส้นทางด้านการกำกับดูแล ภายใต้ระเบียบโอเพนไฟแนนซ์ของ CBUAE (C 03/2025) บริษัทที่ดึงข้อมูลบัญชีของลูกค้าผ่านอินเทอร์เฟซของธนาคารต้องมีใบอนุญาตโอเพนไฟแนนซ์ ขณะที่ผู้จำหน่ายที่ทำงานภายใต้สัญญาของธนาคารเป็นอีกกรณีหนึ่ง เอกสารนำเสนอต่อนักลงทุนมักผิดพลาดตรงที่บรรยายผลิตภัณฑ์ของผู้จำหน่ายด้วยภาษาของหน้าที่ที่อยู่ภายใต้การกำกับดูแล

การจัดการความยินยอมและสิทธิอนุญาต ผลิตภัณฑ์บันทึกสิ่งที่ลูกค้ายินยอม ให้ลูกค้าถอนความยินยอมได้ และเก็บเส้นทางการตรวจสอบ (audit trail) ผลิตภัณฑ์จัดการบันทึกความยินยอม ไม่จำเป็นต้องเป็นข้อมูลบัญชีที่อยู่เบื้องหลัง เป็นรูปแบบที่ใกล้เคียงกฎคุ้มครองข้อมูลมากที่สุด เพราะหน้าที่หลักคือการแสดงให้เห็นถึงความยินยอมที่ถูกต้อง

ซอฟต์แวร์เฝ้าติดตามที่ขายให้สถาบัน ในทางปฏิบัติธนาคารเป็นผู้ควบคุมข้อมูล (data controller) และผู้ขายทำงานภายใต้สัญญาของธนาคาร ประเด็นเรื่องการเข้าถึง การเก็บรักษา การฝึกโมเดลด้วยข้อมูลลูกค้า และการรายงานเหตุการณ์ จะตกลงกันในสัญญาบริการ ผู้ขายจำเป็นต้องมีการอนุญาตใดหรือไม่ขึ้นอยู่กับว่าทำอะไรอย่างแน่ชัด และเป็นประเด็นที่ควรยืนยันกับหน่วยงานกำกับดูแลที่เกี่ยวข้อง ไม่ใช่สันนิษฐานเอาเอง

การวิเคราะห์โอเพนไฟแนนซ์ ในกรณีนี้บริษัทอ่านข้อมูลบัญชีของลูกค้าผ่านอินเทอร์เฟซของธนาคารด้วยการอนุญาตของลูกค้า นี่คือจุดที่กรอบโอเพนไฟแนนซ์ของ CBUAE มีความสำคัญ และเป็นโมเดลที่มีแนวโน้มต้องมีการอนุญาตเฉพาะของตนเองมากที่สุด คู่มือแยกต่างหากเรื่องเส้นทางผู้ให้บริการโอเพนไฟแนนซ์ครอบคลุมขอบเขตนั้น

เครื่องมือบริหารจัดการเรื่องและการรายงานตามกฎระเบียบ เครื่องมือเหล่านี้ช่วยให้ทีมกำกับดูแลการปฏิบัติตามกฎระเบียบบันทึกการตัดสินใจ รายละเอียดที่สำคัญคือเครื่องมือเพียงบันทึกการตัดสินใจของมนุษย์ หรือเริ่มตัดสินใจเอง

กลุ่มบริษัทสามารถดำเนินการหลายรูปแบบเหล่านี้ภายใต้แบรนด์เดียวกันได้ แต่สัญญาจะแตกต่างกัน

กฎหมายคุ้มครองข้อมูลส่วนบุคคลของรัฐบาลกลางใช้กับการประมวลผลที่ดำเนินการภายในหรือภายนอก UAE ทั้งหมดหรือบางส่วนด้วยวิธีอิเล็กทรอนิกส์ และกำหนดข้อกำหนดสำหรับการโอนข้อมูลข้ามพรมแดน UAE Data Office ซึ่งสังกัดคณะรัฐมนตรี UAE เป็นผู้จัดทำแนวปฏิบัติและรับเรื่องร้องเรียน เจ้าของข้อมูลสามารถขอให้แก้ไข และสามารถจำกัดหรือหยุดการประมวลผลได้

สำหรับผลิตภัณฑ์ด้านการติดตามตรวจสอบหรือข้อมูล มีประเด็นเชิงปฏิบัติสามข้อ ประการแรก ความยินยอมต้องเจาะจงพอที่จะครอบคลุมสิ่งที่ซอฟต์แวร์ทำกับข้อมูลจริง ประการที่สอง การถอนความยินยอมต้องใช้ได้จริงในผลิตภัณฑ์ ไม่ใช่เพียงในข้อกำหนดและเงื่อนไข และประการที่สาม การส่งข้อมูลออกนอกยูเออี ไม่ว่าจะไปยังภูมิภาคคลาวด์หรือบริษัทแม่ในต่างประเทศ ต้องมีฐานทางกฎหมายที่จัดทำเป็นเอกสาร ผู้ให้บริการโอเพนไฟแนนซ์ ที่ได้รับใบอนุญาตต้องอยู่ภายใต้เงื่อนไขที่เข้มงวดกว่า ระเบียบโอเพนไฟแนนซ์ของ CBUAE กำหนดให้ต้องมีความยินยอมแยกต่างหากสำหรับแต่ละวัตถุประสงค์ และการถอนความยินยอมต้องทำได้ง่ายเท่ากับการให้ความยินยอม ระเบียบยังกำหนดให้จัดเก็บข้อมูลในยูเออี เว้นแต่ CBUAE ได้อนุมัติให้จัดเก็บในต่างประเทศ และลูกค้าได้ตกลงเป็นลายลักษณ์อักษรหลังจากได้รับแจ้งว่าข้อมูลจะถูกเก็บไว้ที่ใดและเพราะเหตุใด

สถานที่ตั้งเพิ่มอีกชั้นหนึ่ง หน้าการคุ้มครองข้อมูลของรัฐบาลยูเออีระบุกฎหมายคุ้มครองข้อมูลของ DIFC (DIFC Law No. 5 of 2020) และกฎหมายข้อมูลของดูไบ (Law No. 26 of 2015) ควบคู่กับกฎหมายระดับสหพันธ์ ดังนั้นบริษัทที่อยู่ในฟรีโซน (free zone) ด้านการเงินอาจอยู่ภายใต้ระบอบข้อมูลที่ต่างจากบริษัทในเมนแลนด์ (mainland) และบริษัทที่ให้บริการลูกค้าทั้งสองแห่งอาจต้องปฏิบัติตามทั้งสองระบอบ หน้าของระดับสหพันธ์ไม่ได้อธิบายว่าทั้งสองระบอบทำงานร่วมกันอย่างไร จึงควรยืนยันสถานะสำหรับโครงสร้างของท่านเองกับหน่วยงานกำกับดูแลของฟรีโซนและหน่วยงานกำกับดูแลที่เกี่ยวข้องก่อนตัดสินใจเลือกสถานที่ตั้ง

บริษัทเมนแลนด์ (mainland)เหมาะกับธุรกิจที่ขายให้ธนาคารและบริษัทใน UAE เป็นหลักและไม่ต้องการข้อจำกัดด้านพื้นที่ต่อคู่สัญญา บริษัทฟรีโซน (free zone) อาจเหมาะกับธุรกิจเทคโนโลยีที่มีฐานลูกค้าในภูมิภาค หากกิจกรรมตามใบอนุญาตของเขตสอดคล้องกับบริการซอฟต์แวร์และข้อมูล และสัญญาทำกับนิติบุคคลที่ถูกต้อง

สำหรับผู้ขายเร็กเทค (RegTech) บททดสอบเชิงปฏิบัติต่างจากบริษัทค้าขาย ใบอนุญาตสามารถระบุการพัฒนาซอฟต์แวร์และการประมวลผลข้อมูลได้อย่างถูกต้องหรือไม่ ฝ่ายจัดซื้อของธนาคารจะยอมรับนิติบุคคลนี้เป็นผู้ขายหรือไม่ พนักงานจะนั่งทำงานที่ใด และทำเลนั้นรองรับวีซ่าพำนักสำหรับทีมผู้ก่อตั้งประเภทใดบ้าง และข้อมูลจะถูกโฮสต์ทางกายภาพที่ใด

ราคาจัดตั้งบริษัทที่ต่ำไม่ได้มีความหมายมากนัก หากต้องแก้ไขกิจกรรมในใบอนุญาต (licence) ภายหลัง เพราะผลิตภัณฑ์กลับไปเกี่ยวข้องกับข้อมูลที่อยู่ภายใต้การกำกับดูแล ให้กำหนดขอบเขตของผลิตภัณฑ์ให้ชัดเจนก่อน แล้วจึงเปรียบเทียบสถานที่ตั้ง ซึ่งเป็นลำดับขั้นตอนที่อธิบายไว้ใน Velarozone ทำงานอย่างไร

ผู้ก่อตั้งมักมองเรื่องธนาคารเป็นงานหลังจดทะเบียนบริษัท สำหรับภาคส่วนนี้ ธนาคารยังเป็นกระบวนการขายด้วย ธนาคารที่ซื้อซอฟต์แวร์เฝ้าติดตาม หรือธนาคารที่เปิดบัญชีองค์กรของท่านเอง จะต้องการเห็นภาพที่สอดคล้องกัน

ควรคาดหมายคำถามเกี่ยวกับผู้เป็นเจ้าของบริษัทและผู้ควบคุมซอร์สโค้ด สถานที่จัดเก็บข้อมูลลูกค้าและผู้ที่เข้าถึงข้อมูลได้ วิธีทดสอบแบบจำลอง และวิธีจัดการผลบวกลวง (false positives) ตลอดจนสิ่งที่จะเกิดขึ้นหลังเกิดเหตุละเมิดข้อมูล ในเรื่องความเป็นเจ้าของ แนวปฏิบัติของ CBUAE กำหนดให้ธนาคารระบุและตรวจสอบยืนยันบุคคลธรรมดาทุกรายที่เป็นเจ้าของหรือควบคุมบริษัทลูกค้าตั้งแต่ร้อยละ 25 ขึ้นไป หากไม่มีผู้ใดถือครองถึงร้อยละ 25 ธนาคารจะระบุผู้บริหารระดับสูงแทน นอกจากนี้ ธนาคารจะสอบถามด้วยว่าบุคลากรของท่านมีประสบการณ์ด้านการกำกับดูแลการปฏิบัติตามกฎหมาย (compliance) หรือไม่ เพราะความน่าเชื่อถือของผลิตภัณฑ์ขึ้นอยู่กับทีมงานเบื้องหลัง

การแจ้งเตือนอัตโนมัติก่อให้เกิดข้อกังวลเฉพาะ หากโมเดลทำเครื่องหมายบัญชีและนักวิเคราะห์เพียงรับเครื่องหมายนั้น การตัดสินใจก็เป็นแบบอัตโนมัติโดยแท้จริง ลูกค้าที่อยู่ภายใต้การกำกับดูแลชอบเครื่องมือที่สนับสนุนการใช้วิจารณญาณของมนุษย์ที่บันทึกไว้เป็นเอกสาร การสร้างสิ่งนี้เข้าในขั้นตอนการทำงานตั้งแต่ต้นถูกกว่าการมาแก้ไขเพิ่มหลังธนาคารร้องขอ

เส้นทางแพลตฟอร์ม RegTech KYC และ AML ทับซ้อนกับการเฝ้าติดตามธุรกรรมเป็นอย่างมาก ผู้ซื้อกลุ่มนี้คือทีมกำกับดูแลการปฏิบัติตามกฎหมายกลุ่มเดียวกัน จึงต้องผ่านการตรวจสอบผู้ให้บริการแบบเดียวกัน