Banka Hesabı İzleme Kuralları ve BAE'de RegTech Fırsatı

İngiltere'deki tartışma, sosyal yardım ödemelerindeki sahtekârlık ve hataları saptamak için banka hesaplarını kontrol etmek isteyen bir devlet dairesiyle ilgilidir. Bu, Birleşik Krallık mevzuatıyla belirlenmiş ve belirli bir hak talep eden grubuna karşı kullanılan bir devlet yetkisidir. BAE'deki özel bir şirkete herhangi birinin hesabına bakma hakkı veren eşdeğer bir düzenleme yoktur.

Birleşik Krallık'taki olay, bir kurucu için şu tasarım sorusunu gündeme getirir: izleme zincirinin hangi bölümü şirketime ait olacak? Bankalar, yükümlü oldukları için işlem izleme yapar. Bir yazılım şirketi bunu daha ucuz ve daha doğru hâle getiren araçlar geliştirebilir. Ancak verileri görme konusunda bankanın yetkisini ödünç alamaz.

Düzenleyici yolu bu çizgi belirler. CBUAE'nin Open Finance Regulation'ı (C 03/2025) uyarınca, müşteri hesap verilerini banka arayüzleri üzerinden alan bir şirket Open Finance Licence almak zorundadır; bir bankanın sözleşmesi kapsamında çalışan bir tedarikçi ise farklı bir durumdur. Sunum dosyaları sıklıkla, bir tedarikçi ürününü düzenlemeye tabi bir işlevin diliyle anlatarak hataya düşer.

Rıza ve izin yönetimi. Ürün, müşterinin neyi kabul ettiğini kaydeder, geri çekmesine olanak tanır ve denetim izini (audit trail) tutar. Rıza kayıtlarını işler; alttaki hesap verilerini işlemesi şart değildir. Veri koruma kurallarına en yakın modeldir, çünkü temel yükümlülük geçerli bir rızayı kanıtlamaktır.

Kuruluşlara satılan izleme yazılımı. Uygulamada veri sorumlusu (data controller) bankadır ve tedarikçi bankanın sözleşmesi çerçevesinde çalışır. Erişim, saklama, müşteri verileri üzerinde model eğitimi ve olay bildirimi gibi konular hizmet sözleşmesinde çözülür. Tedarikçi için herhangi bir izin gerekip gerekmediği tam olarak ne yaptığına bağlıdır; bu, varsayılmamalı, ilgili düzenleyici kurumla teyit edilmelidir.

Açık finans analitiği. Burada şirket, müşterinin izniyle banka arayüzleri üzerinden müşteri hesap verilerini okur. CBUAE'nin açık finans çerçevesinin önem kazandığı yer burasıdır ve kendi iznini gerektirme olasılığı en yüksek model budur. Açık finans hizmet sağlayıcı yolu hakkındaki ayrı rehber bu kapsamı ele alır.

Dosya yönetimi ve düzenleyici raporlama araçları. Bunlar uyum ekiplerinin kararları belgelemesine yardımcı olur. Önemli olan ayrıntı, aracın yalnızca insan kararlarını kaydedip kaydetmediği, yoksa kararları kendisinin vermeye başlayıp başlamadığıdır.

Bir grup bunların birkaçını tek bir marka altında yürütebilir, ancak sözleşmeler farklıdır.

Federal kişisel veri koruma kanunu, BAE içinde veya dışında, tamamen veya kısmen elektronik yollarla gerçekleştirilen işlemeye uygulanır ve sınır ötesi aktarım için gereklilikler getirir. BAE Bakanlar Kurulu'na bağlı UAE Data Office rehberliği hazırlar ve şikâyetleri ele alır. Veri sahipleri düzeltme talep edebilir, işlemeyi sınırlandırabilir veya durdurabilir.

Bir izleme veya veri ürünü için üç pratik nokta ortaya çıkar. Rıza, yazılımın verilerle gerçekte yaptığı her şeyi kapsayacak kadar belirli olmalıdır. Rızanın geri çekilmesi yalnızca şartlarda değil, üründe de işlemelidir. Ayrıca UAE dışına çıkan bir veri akışı, örneğin bir bulut bölgesi veya yurt dışındaki bir ana şirket için, belgelenmiş bir dayanak gerektirir. Lisanslı bir açık finans sağlayıcısı daha sıkı koşullarla karşılaşır. CBUAE'nin Open Finance Regulation'ı her amaç için ayrı bir rıza şart koşar ve rızanın geri çekilmesi, rızayı vermek kadar kolay olmalıdır. Ayrıca, CBUAE yurt dışında saklamayı onaylamadıkça ve müşteri, verinin nerede ve neden saklanacağı kendisine bildirildikten sonra yazılı olarak kabul etmedikçe, verilerin UAE'de saklanmasını da şart koşar.

Konum bir katman daha ekler. UAE Hükümeti'nin veri koruma sayfası, federal kanunun yanı sıra DIFC Veri Koruma Kanunu'nu (DIFC Law No. 5 of 2020) ve Dubai Veri Kanunu'nu (Law No. 26 of 2015) listeler. Bu nedenle bir finansal free zone içindeki bir şirket, mainland üzerindeki bir şirketten farklı bir veri rejimine tabi olabilir ve her iki alandaki müşterilere hizmet veren bir şirket her ikisiyle de karşılaşabilir. Federal sayfa bunların birbiriyle nasıl etkileştiğini açıklamamaktadır; bu nedenle kendi yapınız için konumun, bir yer seçmeden önce bölge otoritesi ve ilgili düzenleyiciyle teyit edilmesi gerekir.

Mainland şirketi, esas olarak BAE bankalarına ve kurumsal müşterilere satış yapan ve sözleşme yapacağı taraflar üzerinde coğrafi bir sınır istemeyen bir işletmeye uygundur. Bir free zone şirketi, bölgesel müşteri tabanı olan bir teknoloji işletmesi için iyi çalışabilir; yeter ki bölgenin lisanslı faaliyeti yazılım ve veri hizmetleriyle uyuşsun ve sözleşmeler doğru tüzel kişiyle yapılsın.

Bir RegTech tedarikçisi için pratik sınamalar, bir ticaret şirketininkilerden farklıdır. Lisans, yazılım geliştirmeyi ve veri işlemeyi doğru biçimde tanımlayabiliyor mu? Bir bankanın tedarik ekibi bu tüzel kişiyi tedarikçi olarak kabul edecek mi? Çalışanlar nerede oturacak ve o konum kurucu ekip için oturma vizelerinden hangilerini destekliyor? Veriler fiziksel olarak nerede barındırılacak?

Ürünün düzenlemeye tabi verilere dokunduğu anlaşıldığı için lisans faaliyetinin sonradan değiştirilmesi gerekiyorsa, düşük bir kuruluş fiyatının önemi azdır. Önce ürün sınırını belirleyin, ardından konumları karşılaştırın; Velarozone nasıl çalışır bölümünde anlatılan sıra budur.

Kurucular bankacılığı çoğu zaman şirket kuruluşundan sonraki bir iş olarak görür. Bu sektörde bankacılık aynı zamanda satış sürecidir. İzleme yazılımı satın alan bir banka ya da sizin kurumsal hesabınızı açacak bir banka, tutarlı bir tablo görmek isteyecektir.

Şirketin sahibi ve kodu kimin kontrol ettiği, müşteri verilerinin nerede saklandığı ve bunlara kimin erişebildiği, modelin nasıl test edildiği ve yanlış pozitiflerin nasıl ele alındığı ve bir ihlalden sonra ne olacağı gibi sorular bekleyin. Sahiplik konusunda CBUAE rehberi, bir bankanın bir şirket müşterisinin %25 veya daha fazlasına sahip olan ya da onu kontrol eden her gerçek kişiyi tanımlamasını ve doğrulamasını bekler. Hiç kimsenin %25'e ulaşmadığı durumda, bunun yerine kıdemli yöneticiyi tanımlar. Bankalar ayrıca ekibinizde uyum deneyimi olup olmadığını da soracaktır, çünkü ürün ancak arkasındaki ekip kadar güvenilirdir.

Otomatik uyarılar özel bir endişe doğurur. Bir model bir hesabı işaretler ve analist bu işareti olduğu gibi kabul ederse, karar fiilen otomatikleşmiş olur. Düzenlemeye tabi müşteriler, belgelenmiş bir insan değerlendirmesini destekleyen araçları tercih eder. Bunu iş akışına baştan yerleştirmek, banka sorduktan sonra sonradan eklemekten daha ucuzdur.

RegTech KYC ve AML platformu yolu izlemeyle büyük ölçüde örtüşür. Alıcıları aynı uyum ekipleridir; dolayısıyla aynı tedarikçi durum tespiti geçerlidir.