คู่มือ
แพลตฟอร์ม RegTech, KYC และ AML ในสหรัฐอาหรับเอมิเรตส์: กฎการจ้างหน่วยงานภายนอก
คำตอบสั้นๆ
แพลตฟอร์ม RegTech, KYC หรือ AML โดยปกติไม่ได้รับใบอนุญาตในฐานะดังกล่าวโดยเฉพาะ บริษัทจดทะเบียนตามช่องทางปกติ ผ่านกรมเศรษฐกิจและการท่องเที่ยวของดูไบ (Dubai Department of Economy and Tourism: DET) ฟรีโซน (free zone) หรือหน่วยงานกำกับดูแลฟรีโซนทางการเงิน ลูกค้าเป็นปัจจัยที่เปลี่ยนภาพนี้ เมื่อสถาบันการเงินที่ได้รับใบอนุญาตพึ่งพาแพลตฟอร์มในการตรวจสอบด้าน AML/CFT หน่วยงานกำกับดูแลของสถาบันนั้นจะถือว่าการจัดการดังกล่าวเป็นการจ้างบุคคลภายนอกดำเนินการ (outsourcing) และให้สถาบัน ไม่ใช่ผู้ให้บริการ เป็นผู้รับผิดชอบ หน่วยงานกำกับดูแลดังกล่าวอาจเป็นธนาคารกลางแห่งสหรัฐอาหรับเอมิเรตส์ (Central Bank of the UAE: CBUAE) Dubai Financial Services Authority (DFSA, DIFC) Financial Services Regulatory Authority (FSRA, ADGM) Capital Market Authority (CMA, เดิมคือ Securities and Commodities Authority) หรือ Virtual Assets Regulatory Authority (VARA, ดูไบ) คำถามที่กำหนดเส้นทางคือ แพลตฟอร์มเพียงให้บริการซอฟต์แวร์ หรือเป็นผู้ตัดสินใจด้วย เช่น ปิดการแจ้งเตือน ปิดแฟ้มงาน หรือยื่นรายงาน
ใครเป็นผู้ตัดสิน และขอบเขตขึ้นอยู่กับสิ่งใด
ไม่มีหน่วยงานกำกับดูแลเพียงแห่งเดียวของสหรัฐอาหรับเอมิเรตส์ที่ออก "ใบอนุญาต RegTech" กิจกรรมทางการค้าอยู่ภายใต้ DET หรือฟรีโซน ส่วนภาระด้านการกำกับดูแลขึ้นอยู่กับหน่วยงานที่กำกับดูแลผู้ซื้อ ได้แก่ ธนาคารหรือร้านแลกเปลี่ยนเงินขึ้นต่อ CBUAE บริษัทใน DIFC ขึ้นต่อ DFSA บริษัทใน ADGM ขึ้นต่อ FSRA บริษัทด้านตลาดทุนขึ้นต่อ CMA และผู้ให้บริการสินทรัพย์เสมือนขึ้นต่อ VARA แต่ละแห่งคาดหวังให้นิติบุคคลที่ได้รับใบอนุญาตของตนดำเนินการตรวจสอบสถานะ (due diligence) ต่อหน้าที่ที่จ้างบุคคลภายนอกทำ และคงสิทธิในการตรวจสอบผู้ให้บริการ แพลตฟอร์มแทบไม่ใช่ฝ่ายที่ถูกกำกับดูแล สิ่งที่หน่วยงานเหล่านี้จะขอดูในที่สุดคือสัญญาที่ทำให้ลูกค้าต้องรับผิดชอบต่อแพลตฟอร์ม
แยกจากนั้น และไม่ว่าหน่วยงานกำกับดูแลทางการเงินใดจะใช้บังคับ กฎหมายคุ้มครองข้อมูลส่วนบุคคลของรัฐบาลกลางครอบคลุมการประมวลผลข้อมูลส่วนบุคคล "ไม่ว่าทั้งหมดหรือบางส่วนผ่านระบบอิเล็กทรอนิกส์ ภายในหรือภายนอกประเทศ" กฎหมายนี้ห้ามการประมวลผลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล ภายใต้ข้อยกเว้นที่จำกัด และให้สิทธิแก่บุคคลในการแก้ไขหรือจำกัดการประมวลผลข้อมูลของตน แพลตฟอร์มที่จัดการพาสปอร์ต ภาพเซลฟี่ หรือประวัติการทำธุรกรรมกำลังประมวลผลข้อมูลส่วนบุคคลภายใต้กฎหมายนี้ไม่ว่าจะได้รับใบอนุญาตอย่างไรก็ตาม
ทีมปฏิบัติตามกฎของผู้ซื้อจะตรวจสอบสิ่งใดจริง ๆ
การตรวจสอบด้านการจัดซื้อ ไม่ใช่การจดทะเบียนบริษัท คือจุดที่การขายเรกเทคสะดุด ผู้ซื้อที่อยู่ภายใต้การกำกับดูแลต้องการเห็น
- ข้อมูลพื้นฐานมาจากที่ใด และแพลตฟอร์มมีสิทธิที่ยั่งยืนในการใช้ข้อมูลนั้นหรือไม่
- มีบุคคลตรวจสอบกรณีที่มีข้อโต้แย้งหรือไม่ หรือแบบจำลองตัดสินใจเพียงลำพัง
- ข้อมูลถูกจัดเก็บไว้ที่ใด และบุคลากรฝ่ายสนับสนุนอยู่ที่ใด
- ผลบวกลวงและการเปลี่ยนแปลงของแบบจำลองถูกวัดและบันทึกอย่างไร
- จะเกิดอะไรขึ้นกับแฟ้มเคสเมื่อหน่วยงานกำกับดูแลของผู้ซื้อเองขอดู
สภาความมั่นคงปลอดภัยไซเบอร์แห่งสหรัฐอาหรับเอมิเรตส์ (UAE Cyber Security Council) ดำเนินยุทธศาสตร์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (National Cybersecurity Strategy) ระยะห้าปี ซึ่งได้รับความเห็นชอบในปี 2025 และโครงการรับรองมาตรฐานความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (National Cyber Security Accreditation Program) ซึ่งเป็นเส้นทางการรับรองเพื่อสร้างมาตรฐานให้กับแนวปฏิบัติด้านความมั่นคงปลอดภัยไซเบอร์ ทั้งสองอย่างไม่ใช่ข้อกำหนดบังคับสำหรับผู้ให้บริการทุกราย แต่การตรวจสอบความมั่นคงปลอดภัยของผู้ซื้อมีแนวโน้มจะสอบถามมากขึ้นว่าแพลตฟอร์มหนึ่ง ๆ อยู่ในสถานะใดเทียบกับโครงการดังกล่าว โดยเฉพาะสำหรับสิ่งที่เกี่ยวข้องกับข้อมูลชีวมาตร (biometric data)
เงินและความรับผิดเคลื่อนย้ายผ่านผลิตภัณฑ์อย่างไร
บัญชีธนาคารของบริษัท RegTech เองมักเป็นประเด็นด้านธนาคารเรื่องแรก และตรงไปตรงมาที่สุด ธุรกิจต้องมีบัญชีดำเนินงานเช่นเดียวกับบริษัทซอฟต์แวร์ทั่วไป และแฟ้มเอกสารที่ธนาคารต้องการก็เหมือนกัน (โครงสร้างความเป็นเจ้าของ แหล่งที่มาของเงินทุนของผู้ก่อตั้ง และคำอธิบายที่ชัดเจนว่าผลิตภัณฑ์ทำอะไรกับข้อมูลลูกค้า) การดำเนินการเรื่องความพร้อมในการเปิดบัญชีธนาคารตั้งแต่เนิ่น ๆ ช่วยไม่ให้บัญชีกลายเป็นเรื่องสุดท้ายที่ต้องสะสางก่อนเปิดตัว
สิ่งนี้เปลี่ยนไปทันทีที่ผลิตภัณฑ์ไม่ได้เป็นซอฟต์แวร์ล้วน ๆ อีกต่อไป คำถามเดียวกันที่กำหนดว่าใครรับหรือควบคุมเงินในธุรกิจฟินเทคใช้ได้ที่นี่เช่นกัน เครื่องมือที่ถือเงินของลูกค้า เริ่มต้นการชำระเงิน หรือขยายสินเชื่อ เป็นกิจกรรมที่ถูกกำกับดูแลอีกประเภทหนึ่ง และไม่ว่าจะมีความพร้อมในการเปิดบัญชีธนาคารมากเพียงใด ใบอนุญาตการค้าก็ไม่ได้ให้สิทธิทำเช่นนั้น ควรแยกสองคำถามออกจากกัน คือ บริษัทนี้เปิดบัญชีธนาคารได้หรือไม่ และบริษัท ไม่ใช่ลูกค้าของบริษัท เคยแตะต้องเงินของลูกค้าหรือไม่ ข้อหลัง หากเกิดขึ้น ต้องมีการอนุญาตหรือผู้สนับสนุนของตนเอง
ความเป็นเจ้าของ ความเป็นตัวตนที่แท้จริง และบทบาทที่ผู้ซื้อตรวจสอบ
โครงสร้างกลุ่มบริษัทสามารถแยกเทคโนโลยี ทรัพย์สินทางปัญญา และหน้าที่ที่ได้รับใบอนุญาตใด ๆ ไว้ในนิติบุคคลที่แยกต่างหากได้ โดยมีเงื่อนไขว่าแต่ละแห่งต้องมีบทบาทที่แท้จริง ทีมกฎหมายของผู้ซื้อจะถามว่าใครเป็นเจ้าของแบบจำลองและสายข้อมูล ใครถูกระบุชื่อในสัญญา และใครรับผิดหากผลการตรวจคัดกรองผิดพลาด ในกรณีที่ความเป็นเจ้าของอยู่ในหลายเขตอำนาจทางกฎหมาย ให้จัดการเรื่องนี้เป็นการถือหุ้นที่ได้รับการกำกับดูแลและซับซ้อนก่อนที่ทีมตรวจสอบจะทดสอบ กรณีที่เป็นลายลักษณ์อักษรควรอยู่ในแผนธุรกิจสนับสนุน ไม่ใช่รวบรวมขึ้นภายหลังจากถูกถาม
ข้อผิดพลาดที่พบได้ทั่วไป
- การดึงข้อมูลหรือซื้อข้อมูลโดยไม่มีสิทธิที่ยั่งยืนในการใช้เพื่อการตรวจคัดกรอง
- การอธิบายเครื่องมือว่าเป็นสิ่งที่ทำให้ลูกค้า "ปฏิบัติตามกฎ" แทนที่จะเป็นสิ่งที่สนับสนุนการตัดสินใจที่ลูกค้ายังเป็นเจ้าของอยู่
- การใช้ข้อมูลชีวมาตรโดยไม่ได้พิจารณาข้อกำหนดด้านความยินยอมและวัตถุประสงค์ของกฎหมายคุ้มครองข้อมูลก่อน
- การไม่รวมทีมตรวจสอบนอกประเทศหรือผู้รับจ้างประมวลผลช่วงไว้ในสัญญาและในแฟ้มตรวจสอบของผู้ซื้อ
การเปรียบเทียบค่าธรรมเนียมการจดทะเบียนบริษัทเป็นความผิดพลาดแรกที่พบบ่อยที่สุด ค่าใช้จ่ายที่สำคัญคือเส้นทางทั้งหมด ได้แก่ นิติบุคคล การอนุญาตใช้ข้อมูลและการประกันความปลอดภัยที่ผู้ซื้อต้องการ และค่าใช้จ่ายในการเพิ่มชั้นการตรวจสอบที่มีการจัดการในภายหลังหากซอฟต์แวร์เพียงอย่างเดียวไม่เพียงพอ Velarozone ตั้งราคาทั้งชุดนั้น ไม่ใช่หัวข้อการจัดตั้งบริษัทเพียงอย่างเดียว และระบุค่าธรรมเนียมของตนเองตามที่วิธีการทำงานของ Velarozoneอธิบายไว้
