Rehber
BAE'de RegTech, KYC ve AML Platformu: Dış Kaynak Kullanımı Kuralları
Kısa yanıt
Bir RegTech, KYC veya AML platformu genellikle bu sıfatla ayrı bir lisansa tabi değildir. Şirket, olağan yoldan, yani Dubai Department of Economy and Tourism (DET), bir free zone veya bir financial free zone authority aracılığıyla tescil edilir. Durumu değiştiren unsur müşteridir. Lisanslı bir finansal kuruluş AML/CFT kontrolleri için platforma dayandığında, o kuruluşun kendi düzenleyici otoritesi bu düzenlemeyi dış kaynak kullanımı (outsourcing) olarak değerlendirir ve bundan satıcıyı değil, kuruluşu sorumlu tutar. Bu düzenleyici otorite Central Bank of the UAE (CBUAE), Dubai Financial Services Authority (DFSA, DIFC), Financial Services Regulatory Authority (FSRA, ADGM), Capital Market Authority (CMA, eski adıyla Securities and Commodities Authority) veya Virtual Assets Regulatory Authority (VARA, Dubai) olabilir. Izlenecek yolu belirleyen soru, platformun yalnızca yazılım sağlayıp sağlamadığı, yoksa bir uyarıyı kapatmak, bir dosyayı sonuçlandırmak, bir rapor sunmak gibi kararı da kendisinin verip vermediğidir.
Kim karar verir ve kapsam neye bağlıdır
BAE'de hiçbir düzenleyici otorite tek başına bir "RegTech lisansı" vermez. Ticari faaliyet DET veya bir free zone nezdinde yer alır. Düzenleyici ağırlık ise alıcıyı denetleyen otoritededir: bir banka veya döviz bürosu CBUAE'ye, bir DIFC kuruluşu DFSA'ya, bir ADGM kuruluşu FSRA'ya, bir sermaye piyasası kuruluşu CMA'ya, bir sanal varlık hizmet sağlayıcısı ise VARA'ya karşı sorumludur. Her biri, lisanslı kuruluşunun dışarıdan alınan her işlev için durum tespiti (due diligence) yürütmesini ve hizmet sağlayıcı üzerinde denetim haklarını elinde tutmasını bekler. Platform nadiren düzenlemeye tabi taraftır; bu düzenleyici otoritelerin sonunda görmek isteyeceği şey, müşteriyi platformdan sorumlu kılan sözleşmedir.
Ayrıca ve hangi finansal düzenleyicinin geçerli olduğundan bağımsız olarak, federal Kişisel Verilerin Korunması Kanunu, "elektronik sistemler aracılığıyla tam veya kısmen, ülke içinde veya dışında" kişisel veri işlemeyi kapsar. Sınırlı istisnalar dışında sahibinin onayı olmadan işlemeyi yasaklar ve bireylere verilerinin işlenmesini düzeltme veya kısıtlama hakkı verir. Pasaportları, selfileri veya işlem geçmişlerini işleyen bir platform, nasıl lisanslandığına bakılmaksızın bu kanun kapsamında kişisel veri işlemektedir.
Bir alıcının uyum ekibi gerçekte neyi kontrol eder
Kuruluş değil, tedarik özen incelemesi, RegTech satışlarının tıkandığı yerdir. Düzenlenmiş bir alıcı şunları görmek ister:
- Temel verinin nereden geldiği ve platformun bunu kullanmak için sürekli haklara sahip olup olmadığı
- Bir kişinin tartışmalı davaları inceleyip incelemediği, yoksa modelin tek başına karar verip vermediği
- Verilerin nerede barındırıldığı ve destek personelinin nerede bulunduğu
- Yanlış pozitiflerin ve model değişikliklerinin nasıl ölçüldüğü ve kayıt altına alındığı
- Alıcının kendi düzenleyicisi bunu istediğinde bir dava dosyasına ne olduğu
BAE Cyber Security Council, 2025'te onaylanan beş yıllık bir National Cybersecurity Strategy'yi ve siber güvenlik uygulamasını standartlaştırmaya yönelik bir sertifikasyon yolu olan National Cyber Security Accreditation Program'ı işletmektedir. Bunların ikisi de her tedarikçi için zorunlu bir kapı değildir, ancak bir alıcının güvenlik incelemesi, giderek daha fazla bir platformun bu programa göre nerede konumlandığını sorgulamakta, özellikle biyometrik verilere dokunan her şey için.
Para ve sorumluluk ürün içinde nasıl hareket eder
Bir RegTech şirketinin kendi banka hesabı genellikle ilk bankacılık sorusudur ve en basit olanıdır: işletmenin, her yazılım şirketi gibi bir işletme hesabına ihtiyacı vardır ve bankanın istediği dosya da aynıdır (mülkiyet yapısı, kurucuların fonlarının kaynağı ve ürünün müşteri verileriyle ne yaptığının açık bir tanımı). Banka hesabı hazırlığını erkenden ele almak, hesabın lansmandan önce çözülen son konu haline gelmesini önler.
Ürün artık salt yazılım olmaktan çıktığı anda bu durum değişir. Bir fintech'te parayı kimin aldığını veya kontrol ettiğini belirleyen sorular burada da geçerlidir: müşteri parasını elinde tutan, ödeme başlatan veya kredi veren bir araç farklı bir düzenlemeye tabi faaliyettir ve hiçbir banka hesabı hazırlığı, bir ticari lisansı bunu yapma iznine dönüştürmez. İki soruyu birbirinden ayrı tutun: bu şirket bankacılık hizmeti alabilir mi ve müşteri değil de şirketin kendisi müşteri parasına hiç dokunuyor mu? İkincisi, ortaya çıktığı yerde, kendi yetkilendirmesini veya bir sponsoru gerektirir.
Sahiplik, esas ve bir alıcının kontrol ettiği roller
Grup yapısı, her birinin gerçek bir rolü olması koşuluyla, teknolojiyi, fikri mülkiyeti ve herhangi bir lisanslı işlevi ayrı kuruluşlara koyabilir. Bir alıcının hukuk ekibi, modeli ve veri boru hattını kimin sahip olduğunu, sözleşmede kimin adının geçtiğini ve bir tarama sonucu yanlışsa kimin sorumlu olduğunu soracaktır. Sahipliğin birden fazla yargı bölgesine yayıldığı durumlarda, bir özen inceleme ekibi bunu test etmeden önce düzenlenmiş ve karmaşık sahiplik olarak çalışın. Yazılı dava, soru sorulduktan sonra bir araya getirilmek yerine destekleyici iş planına aittir.
Yaygın olarak nerede hata yapılır
- Taramak için kullanmaya dair sürekli bir hakka sahip olmadan veri kazımak veya satın almak
- Aracı, müşterinin hâlâ sahip olduğu bir kararı destekleyen bir şey olarak değil, müşteriyi "uyumlu" kılan bir şey olarak tanımlamak
- Önce veri koruma kanununun onay ve amaç gerekliliklerini çalışmadan biyometrik veri kullanmak
- Offshore bir inceleme ekibini veya alt işlemciyi sözleşmenin ve alıcının özen inceleme dosyasının dışında tutmak
Kuruluş ücretlerini karşılaştırmak en yaygın erken hatadır. Önemli olan maliyet tam yoldur: kuruluş, bir alıcının gerektirdiği herhangi bir veri lisanslama ve güvenlik güvencesi ve salt yazılımın yeterli olmadığı ortaya çıkarsa daha sonra yönetilen bir inceleme katmanı eklemenin maliyeti. Velarozone, bir kuruluş manşeti yerine bu tam yığını fiyatlandırır ve kendi ücretini Velarozone'un nasıl çalıştığının tanımladığı şekilde belirler.
