Посібник
Платформа RegTech, KYC та AML в ОАЕ: правила аутсорсингу
Коротка відповідь
Платформа РегТех, KYC або AML зазвичай не ліцензується як така. Компанія реєструється звичайним шляхом, через Департамент економіки та туризму Дубая (DET), вільну зону або орган фінансової вільної зони. Картину змінює клієнт. Щойно ліцензована фінансова установа покладається на платформу для перевірок AML/CFT, регулятор цієї установи розглядає домовленість як аутсорсинг і притягує до відповідальності установу, а не постачальника. Цим регулятором може бути Центральний банк ОАЕ (CBUAE), Управління фінансових послуг Дубая (DFSA, DIFC), Орган регулювання фінансових послуг (FSRA, ADGM), Управління ринку капіталу (CMA, раніше Управління з цінних паперів і товарів) або Управління регулювання віртуальних активів (VARA, Дубай). Питання, що визначає маршрут: чи платформа лише постачає програмне забезпечення, чи також ухвалює рішення: закриває сповіщення, закриває випадок, подає звіт.
Хто вирішує і від чого залежить периметр
Жоден єдиний регулятор ОАЕ не видає «ліцензії RegTech». Комерційна діяльність належить DET або вільній зоні. Регуляторна вага лежить на тому органі, що наглядає за покупцем: банк чи обмінний пункт підпорядковується CBUAE, фірма в DIFC підпорядковується DFSA, фірма в ADGM підпорядковується FSRA, фірма ринку капіталу підпорядковується CMA, постачальник послуг із віртуальними активами підпорядковується VARA. Кожен очікує, що його ліцензована юридична особа проводитиме належну перевірку будь-якої переданої на аутсорсинг функції та збереже права аудиту над провайдером. Платформа рідко є регульованою стороною; договір, що робить клієнта відповідальним за неї, і є тим, що ці регулятори зрештою попросять показати.
Окремо, і незалежно від того, який фінансовий регулятор застосовується, федеральний Закон про захист персональних даних охоплює обробку персональних даних «повністю чи частково через електронні системи, всередині чи за межами країни». Він забороняє обробку без згоди власника, з обмеженими винятками, та надає особам право виправляти чи обмежувати обробку їхніх даних. Платформа, що обробляє паспорти, селфі чи історії транзакцій, обробляє персональні дані згідно з цим законом, незалежно від того, як вона ліцензована.
Що фактично перевірить команда комплаєнсу покупця
Перевірка в процесі закупівель, а не реєстрація компанії, це той етап, на якому зупиняються продажі RegTech. Регульований покупець хоче побачити:
- Звідки походять базові дані і чи має платформа стійкі права на їх використання
- Чи переглядає спірні справи людина, чи модель вирішує самостійно
- Де розміщені дані і де перебуває персонал підтримки
- Як вимірюються та фіксуються помилкові збіги та зміни моделі
- Що відбувається зі справою, коли власний регулятор покупця запитує її
UAE Cyber Security Council реалізує п'ятирічну Національну стратегію кібербезпеки (National Cybersecurity Strategy), затверджену в 2025 році, а також Національну програму акредитації з кібербезпеки (National Cyber Security Accreditation Program), шлях сертифікації для стандартизації практики кібербезпеки. Жодна з них не є обов'язковим бар'єром для кожного постачальника, але перевірка безпеки з боку покупця дедалі частіше запитує, яке місце займає платформа щодо цієї програми, особливо щодо всього, що стосується біометричних даних.
Як кошти та відповідальність рухаються через продукт
Власний банківський рахунок компанії РегТех зазвичай є першим банківським питанням і найпростішим: бізнесу потрібен операційний рахунок, як і будь-якій софтверній компанії, і досьє, яке хоче банк, виглядає так само (власність, джерело коштів засновників і чіткий опис того, що продукт робить з даними клієнтів). Раннє опрацювання готовності банківського рахунку допомагає уникнути ситуації, коли рахунок стає останнім, що вирішується перед запуском.
Це змінюється в той момент, коли продукт перестає бути суто програмним забезпеченням. Ті самі питання, що визначають, хто отримує чи контролює гроші у фінтеху, діють і тут: інструмент, що тримає кошти клієнтів, ініціює платіж або надає кредит, є іншим регульованим видом діяльності, і жодна готовність банківського рахунку не перетворює комерційну ліцензію на дозвіл це робити. Тримайте два питання окремо: чи може ця компанія обслуговуватися в банку і чи торкається вона, а не її клієнт, коли-небудь грошей клієнтів. Друге, де воно виникає, потребує власного дозволу або спонсора.
Власність, сутність та ролі, які перевіряє покупець
Структура групи може розподілити технологію, інтелектуальну власність та будь-яку ліцензовану функцію між окремими юридичними особами, за умови що кожна з них виконує справжню роль. Юридична команда покупця запитає, кому належить модель і конвеєр обробки даних, хто зазначений у договорі та хто несе відповідальність, якщо результат перевірки виявиться помилковим. Якщо право власності розподілене між більш ніж однією юрисдикцією, це варто опрацювати як регульовану та складну структуру власності, перш ніж команда перевірки належної обережності це перевірить. Письмове обґрунтування має міститися в супровідному бізнес-плані, а не складатися вже після того, як поставлено запитання.
Що найчастіше йде не так
- Скрапінг чи придбання даних без стійкого права використовувати їх для перевірки
- Опис інструменту як того, що робить клієнта «відповідним вимогам», а не того, що підтримує рішення, яке клієнт все ще приймає сам
- Використання біометричних даних без попереднього опрацювання вимог закону про захист даних щодо згоди та мети
- Виведення офшорної команди перевірки або субпідрядника з-під дії договору та з файлу перевірки покупця
Порівняння вартості реєстрації, найпоширеніша рання помилка. Вартість, що має значення, це весь маршрут: юридична особа, будь-яке ліцензування даних та забезпечення безпеки, яке вимагає покупець, і скільки коштуватиме додати рівень керованої перевірки пізніше, якщо виявиться, що лише програмного забезпечення не вистачає. Velarozone оцінює цей повний комплекс, а не заголовну суму створення компанії, та визначає власну комісію так, як описано в розділі як працює Velarozone.
