คู่มือ
วิธีการตั้งผู้ให้บริการ Open Finance ใน UAE
คำตอบสั้นๆ
ธนาคารกลางแห่งสหรัฐอาหรับเอมิเรตส์ (CBUAE) เป็นผู้พิจารณาว่าธุรกิจโอเพ่นไฟแนนซ์ต้องมีใบอนุญาตของตนเองหรือไม่ ภายใต้ประเภทการแบ่งปันข้อมูล (Data Sharing) และการริเริ่มบริการ (Service Initiation) ของข้อบังคับว่าด้วยโอเพ่นไฟแนนซ์ การถือใบอนุญาตประเภทใดประเภทหนึ่งทำให้บริษัทอ่านข้อมูลบัญชีหรือสั่งทำธุรกรรมแทนลูกค้าได้ แต่ไม่อนุญาตให้ถือเงินทุน ให้สินเชื่อ หรือให้คำแนะนำที่อยู่ภายใต้การกำกับดูแล สิ่งที่มักเป็นตัวกำหนดเส้นทางคือ บริษัทริเริ่มธุรกรรมด้วยตนเอง หรือเพียงให้ข้อมูลเชิงลึกที่สร้างจากข้อมูลซึ่งผู้อื่นถืออยู่แล้วภายใต้ใบอนุญาต
ขอบเขตการกำกับดูแล: Data Sharing และ Service Initiation
ภายใต้ข้อบังคับว่าด้วยโอเพ่นไฟแนนซ์ของ CBUAE ผู้ยื่นคำขอเลือกกิจกรรมที่ต้องขออนุญาตได้หนึ่งหรือทั้งสองกิจกรรม ได้แก่ การแบ่งปันข้อมูล (Data Sharing) และการริเริ่มบริการ (Service Initiation) ทั้งสองกิจกรรมได้รับการประเมินและออกใบอนุญาตแยกจากกัน ดังนั้นบริษัทที่เพียงแสดงยอดคงเหลือในบัญชีของลูกค้าข้ามสถาบันจะไม่ได้สิทธิ์โอนเงินแทนลูกค้าโดยอัตโนมัติ และในทางกลับกันก็เช่นเดียวกัน CBUAE ต้องมีคำวินิจฉัยต่อคำขอที่ครบถ้วนภายในหกสิบวันทำการ
ใบอนุญาตทั้งสองไม่ได้ทำให้บริษัทเข้าสู่การกำกับดูแลด้านธนาคาร การชำระเงิน หรือหลักทรัพย์โดยอัตโนมัติ การถือเงินของลูกค้า การให้สินเชื่อ หรือการให้คำแนะนำการลงทุนต้องได้รับอนุญาตแยกต่างหากจาก CBUAE หรือหน่วยงานกำกับดูแลหลักทรัพย์และสินค้าโภคภัณฑ์ (SCA) ตามที่กิจกรรมเหล่านั้นกำหนด เพิ่มเติมจากใบอนุญาตการเงินแบบเปิด ไม่ใช่แทนที่ เป็นเกณฑ์ขอบเขตเดียวกับ นีโอแบงก์ที่สร้างในสหรัฐอาหรับเอมิเรตส์ คือใครสัมผัสเงิน และใบอนุญาตของใครระบุว่าทำได้ แพลตฟอร์มที่ระดมทุนจากสาธารณะหรือจับคู่ผู้ให้กู้กับผู้กู้อธิบายไว้ใน คู่มือแพลตฟอร์มระดมทุนและให้กู้ยืม
สิ่งที่ระเบียบกำหนดก่อนได้รับใบอนุญาต
ระเบียบนี้กำหนดทรัพยากรทางการเงินที่บริษัทต้องถือไว้ ไม่ใช่เพียงกิจกรรมที่ประกาศไว้
- เงินทุนจดทะเบียนชำระแล้วขั้นต่ำ 1,000,000 เดอร์แฮม สำหรับ Open Finance Provider โดย CBUAE สามารถกำหนดให้สูงขึ้นตามความเสี่ยง ขนาด และความซับซ้อนของบริษัท
- ประกันความรับผิดทางวิชาชีพครอบคลุมอย่างน้อย 5,000,000 เดอร์แฮมต่อการเรียกร้องแต่ละครั้ง โดยมีวงเงินรวมเท่ากับตัวเลขที่สูงกว่าระหว่าง 5,000,000 เดอร์แฮม หรือ 50% ของรายได้ประจำปี
- การยืนยันตัวตนสองขั้นตอนขั้นต่ำบนทุกช่องทางที่ติดต่อกับลูกค้า
- ความยินยอมที่ชัดแจ้ง เฉพาะเจาะจงตามวัตถุประสงค์ ได้รับแจ้งข้อมูลอย่างครบถ้วน ไม่คลุมเครือ และให้โดยอิสระ และสำหรับคำสั่งที่เกิดซ้ำ ต้องมีผลไม่เกินสิบสองเดือนก่อนที่ลูกค้าจะต้องยืนยันใหม่
เหล่านี้เป็นพันธสัญญาด้านการเงินและการปฏิบัติงาน ไม่ใช่เอกสารการจัดตั้ง และแผนธุรกิจที่ปฏิบัติต่อสิ่งเหล่านี้เป็นปัญหาในอนาคต มักพบสิ่งเหล่านี้ระหว่างการตรวจสอบใบอนุญาตแทน ค่าบริการของ Velarozone เองแสดงแยกรายการในหนังสือข้อตกลงการให้บริการ ดูที่วิธีการทำงานของ Velarozoneสำหรับวิธีที่สิ่งนี้อยู่ควบคู่กับตัวเลขของหน่วยงานกำกับดูแลเอง
การเชื่อมต่อกับ Trust Framework และ API Hub
Open Finance Provider ที่มีใบอนุญาตไม่สร้างเครือข่ายของตัวเอง แต่เชื่อมต่อเข้ากับโครงสร้างพื้นฐานที่ CBUAE เองกำหนดไว้ ภายในสิบสี่วันหลังได้รับอนุมัติ ผู้ให้บริการต้องจดทะเบียนและรักษาการจดทะเบียนภายใต้ Trust Framework ซึ่งตรวจสอบความถูกต้องของผู้เข้าร่วม ออกใบรับรองดิจิทัลที่การเชื่อมต่อแต่ละครั้งต้องการ และกำหนดมาตรฐานทางเทคนิคที่ทุกบริษัทต้องสร้างตาม ส่วนติดต่อที่เผชิญลูกค้าต้องใช้รูปแบบข้อความ ISO 20022 ไม่ใช่การออกแบบ API ของผู้ให้บริการเอง
API Hub ซึ่งรวบรวม API ของผู้เข้าร่วมไว้ในแพลตฟอร์มเดียวเป็นหน้าที่ที่ได้รับใบอนุญาตและมีข้อกำหนดด้านทุนแยกต่างหากในตัวเอง โดยต้องมีทุนชำระแล้วขั้นต่ำ 20,000,000 ดิรฮัมสหรัฐอาหรับเอมิเรตส์ (AED) และต้องเริ่มดำเนินงานภายในหกเดือนนับจากได้รับอนุมัติ ผู้ให้บริการส่วนใหญ่จะไม่ดำเนินการเอง (แต่เชื่อมต่อเข้ากับ API Hub) อย่างไรก็ตาม บริษัทที่วางตำแหน่งตนเองเป็นโครงสร้างพื้นฐานโอเพ่นไฟแนนซ์สำหรับผู้เข้าร่วมรายอื่น แทนที่จะเป็นผู้ถือใบอนุญาตในนามของตนเอง ก็เท่ากับเลือกเส้นทาง API Hub และฐานทุนที่ใหญ่กว่ามาก
เงินและความรับผิดเคลื่อนไหวอย่างไรจริง
ใบอนุญาตการริเริ่มบริการ (Service Initiation) ให้บริษัทสั่งการชำระเงินได้ แต่ไม่ให้บริษัทถือเงินที่โอน ซึ่งยังคงอยู่กับธนาคารหรือสถาบันการชำระเงินที่ดูแลบัญชีนั้น ใบอนุญาตการแบ่งปันข้อมูล (Data Sharing) ไม่เกี่ยวข้องกับการเคลื่อนย้ายเงินเลย เป็นเพียงสิทธิ์อ่านข้อมูลที่ลูกค้ายินยอมให้แบ่งปัน ทั้งสองรูปแบบจบที่ข้อจำกัดเดียวกัน คือ เงินทุนอยู่ในบัญชีลูกค้าที่แยกต่างหากกับสถาบันที่ได้รับใบอนุญาตภายใต้การกำกับของหน่วยงานกำกับดูแล ไม่เคยอยู่กับผู้ให้บริการโอเพ่นไฟแนนซ์เอง
นี่ยังเป็นสิ่งที่ธนาคารจะตรวจสอบก่อนเปิดบัญชีให้ธุรกิจ คือบริษัทถือใบอนุญาตประเภทใด บริษัทเคยครอบครองเงินของลูกค้าชั่วคราวหรือไม่ และการควบคุมความยินยอมและการยืนยันตัวตนถูกนำไปใช้จริงอย่างไร ไม่ใช่เพียงถูกอธิบายไว้ บริษัทที่เตรียมตัวสำหรับการสนทนานั้นได้ประโยชน์จากงานความพร้อมด้านบัญชีธนาคารที่ทำก่อนยื่นคำขอ ไม่ใช่หลังจากธนาคารปฏิเสธไปแล้ว
การว่าจ้างภายนอก การเก็บข้อมูลในประเทศ และใครต้องอยู่ในสหรัฐอาหรับเอมิเรตส์
ข้อบังคับกำหนดให้สองเรื่องอยู่ภายในประเทศ ประการแรกคือข้อมูล ข้อมูลลูกค้าที่เข้าถึงภายใต้ใบอนุญาตโอเพ่นไฟแนนซ์ต้องจัดเก็บภายในสหรัฐอาหรับเอมิเรตส์ และการเก็บสำเนาไว้นอกประเทศต้องได้รับทั้งการอนุมัติจาก CBUAE และความยินยอมจากลูกค้า ข้อยกเว้นเพียงประการเดียวที่กำหนดไว้ในข้อบังคับคือสาขาธนาคารต่างประเทศที่ได้รับใบอนุญาตซึ่งเก็บสำเนาบันทึกหลักที่ปรับปรุงทุกวันไว้ในสหรัฐอาหรับเอมิเรตส์ ประการที่สองคือการควบคุม บริษัทไม่สามารถจ้างภายนอกดำเนินกิจกรรมที่มีนัยสำคัญ หรือหน้าที่ควบคุมหลัก เช่น การปฏิบัติตามกฎระเบียบหรือการบริหารความเสี่ยง โดยไม่แจ้ง CBUAE ล่วงหน้าและได้รับหนังสือไม่คัดค้านก่อน ต้องเก็บรักษาบันทึกไว้อย่างน้อยห้าปี
กฎเหล่านี้กำหนดว่าตำแหน่งด้านการปฏิบัติตามกฎระเบียบและวิศวกรรมตั้งอยู่ที่ใดจริงๆ ไม่ใช่เพียงที่ใดที่บริษัทโฮลดิ้งจดทะเบียน แผนที่สมมติว่าทีมในต่างประเทศสามารถเข้าถึงข้อมูลบนระบบจริงได้ หรือว่าการปฏิบัติตามกฎระเบียบเป็นเพียงที่ปรึกษาแบบพาร์ตไทม์ มักต้องปรับแก้เมื่ออ่านส่วนนี้อย่างถี่ถ้วน วิธีที่ตำแหน่งเหล่านั้นได้รับการจัดสรรบุคลากรควรอยู่ในแฟ้มคำขอใบอนุญาต ดูแผนธุรกิจและเอกสารประกอบ สำหรับสิ่งที่บันทึกนั้นต้องแสดง
ข้อผิดพลาดที่พบได้ทั่วไป
- การปฏิบัติต่อ Data Sharing และ Service Initiation เป็นใบอนุญาตเดียว แทนที่จะเป็นคำขอแยกสองรายการ
- การตั้งงบประมาณสำหรับตัวเลขเงินทุน 1,000,000 เดอร์แฮม โดยไม่มีประกันความรับผิดทางวิชาชีพที่อยู่ควบคู่กัน
- การเขียนความยินยอมเป็นช่องติ๊กครั้งเดียว แทนที่จะเป็นคำสั่งที่มีกำหนดเวลาและเพิกถอนได้ โดยจำกัดไว้ที่สิบสองเดือน
- การวางแผนว่าจ้างภายนอกสำหรับหน้าที่การปฏิบัติตามกฎหรือความเสี่ยง ที่ระเบียบคาดหวังให้ผู้ถือใบอนุญาตเก็บไว้ภายใน
- การสมมติว่าการเชื่อมต่อกับ API Hub เป็นรูปแบบหนึ่งของการอนุญาตในตัวเอง แทนที่จะเป็นโครงสร้างพื้นฐานที่ผู้ให้บริการเชื่อมต่อเข้าไป
