رہنما کتاب
متحدہ عرب امارات میں ریگ ٹیک، KYC اور AML پلیٹ فارم: آؤٹ سورسنگ کے قواعد
مختصر جواب
ریگ ٹیک (RegTech)، KYC یا AML پلیٹ فارم کو عام طور پر بذاتِ خود اس حیثیت میں لائسنس نہیں دیا جاتا۔ کمپنی عام طریقے سے رجسٹر ہوتی ہے، یعنی دبئی ڈیپارٹمنٹ آف اکانومی اینڈ ٹورازم (DET)، کسی فری زون (free zone) یا مالیاتی فری زون اتھارٹی کے ذریعے۔ کسٹمر کی نوعیت صورتحال کو بدل دیتی ہے۔ جب کوئی لائسنس یافتہ مالیاتی ادارہ اپنی AML/CFT جانچ کے لیے پلیٹ فارم پر انحصار کرتا ہے تو اس ادارے کا اپنا ریگولیٹر اس انتظام کو آؤٹ سورسنگ (outsourcing) شمار کرتا ہے اور اس کی جوابدہی وینڈر پر نہیں بلکہ ادارے پر عائد کرتا ہے۔ یہ ریگولیٹر سینٹرل بینک آف دی یو اے ای (CBUAE)، دبئی فنانشل سروسز اتھارٹی (DFSA، DIFC)، فنانشل سروسز ریگولیٹری اتھارٹی (FSRA، ADGM)، کیپٹل مارکیٹ اتھارٹی (CMA، جو پہلے سیکیورٹیز اینڈ کموڈیٹیز اتھارٹی تھی) یا ورچوئل ایسیٹس ریگولیٹری اتھارٹی (VARA، دبئی) میں سے کوئی بھی ہو سکتا ہے۔ راستے کا فیصلہ اس سوال سے ہوتا ہے کہ آیا پلیٹ فارم صرف سافٹ ویئر فراہم کرتا ہے یا خود فیصلہ بھی کرتا ہے: الرٹ بند کرنا، کیس کلیئر کرنا، رپورٹ فائل کرنا۔
کون فیصلہ کرتا ہے، اور دائرہ کس پر منحصر ہے
کوئی ایک بھی UAE ریگولیٹر "ریگ ٹیک (RegTech) لائسنس" جاری نہیں کرتا۔ تجارتی سرگرمی DET یا کسی فری زون کے تحت آتی ہے۔ ریگولیٹری ذمہ داری اس اتھارٹی پر ہوتی ہے جو خریدار کی نگرانی کرتی ہے: بینک یا ایکسچینج ہاؤس CBUAE کے سامنے جوابدہ ہے، DIFC کی فرم DFSA کے، ADGM کی فرم FSRA کے، کیپٹل مارکیٹس کی فرم CMA کے، اور ورچوئل ایسیٹ سروس پرووائیڈر VARA کے۔ ہر اتھارٹی اپنے لائسنس یافتہ ادارے سے توقع رکھتی ہے کہ وہ آؤٹ سورس کیے گئے ہر فنکشن پر ڈیو ڈیلیجنس (due diligence) کرے اور فراہم کنندہ پر آڈٹ کے حقوق برقرار رکھے۔ پلیٹ فارم شاذ و نادر ہی ریگولیٹڈ فریق ہوتا ہے؛ جو معاہدہ کسٹمر کو اس کا جوابدہ بناتا ہے، وہی ہے جسے یہ ریگولیٹرز آخرکار دیکھنا چاہیں گے۔
علیحدہ طور پر، اور اس سے قطع نظر کہ کون سا مالیاتی ریگولیٹر لاگو ہوتا ہے، وفاقی پرسنل ڈیٹا پروٹیکشن لاء ذاتی ڈیٹا کی پراسیسنگ کا احاطہ کرتا ہے "خواہ مکمل طور پر یا جزوی طور پر الیکٹرانک نظاموں کے ذریعے، ملک کے اندر یا باہر۔" یہ مالک کی رضامندی کے بغیر پراسیسنگ کو ممنوع قرار دیتا ہے، محدود استثناءات کے تحت، اور افراد کو اپنے ڈیٹا کی پراسیسنگ کو درست کرنے یا محدود کرنے کا حق دیتا ہے۔ ایک پلیٹ فارم جو پاسپورٹس، سیلفیز یا ٹرانزیکشن ہسٹری کو ہینڈل کرتا ہے وہ اس قانون کے تحت ذاتی ڈیٹا پراسیس کر رہا ہے خواہ یہ کیسے بھی لائسنس یافتہ ہو۔
خریدار کی کمپلائنس ٹیم حقیقت میں کیا چیک کرے گی
پروکیورمنٹ ڈیلیجنس، نہ کہ انکارپوریشن، وہ جگہ ہے جہاں ریگ ٹیک کی فروخت رک جاتی ہے۔ ایک ریگولیٹڈ خریدار دیکھنا چاہتا ہے:
- بنیادی ڈیٹا کہاں سے آتا ہے اور آیا پلیٹ فارم کو اسے استعمال کرنے کے پائیدار حقوق حاصل ہیں
- آیا کوئی شخص متنازعہ کیسز کا جائزہ لیتا ہے، یا ماڈل تنہا فیصلہ کرتا ہے
- ڈیٹا کہاں ہوسٹ کیا جاتا ہے اور سپورٹ اسٹاف کہاں بیٹھتا ہے
- غلط مثبت نتائج اور ماڈل کی تبدیلیوں کو کیسے ماپا اور لاگ کیا جاتا ہے
- جب خریدار کا اپنا ریگولیٹر کیس فائل مانگتا ہے تو اس کے ساتھ کیا ہوتا ہے
UAE Cyber Security Council ایک پانچ سالہ National Cybersecurity Strategy چلاتی ہے، جسے 2025 میں منظور کیا گیا تھا، اور ایک National Cyber Security Accreditation Program، جو سائبر سیکیورٹی کے طریقہ کار کو معیاری بنانے کا ایک سرٹیفیکیشن راستہ ہے۔ ان میں سے کوئی بھی ہر وینڈر کے لیے لازمی رکاوٹ نہیں ہے، لیکن خریدار کا سیکیورٹی جائزہ بڑھتے ہوئے یہ پوچھتا ہے کہ کوئی پلیٹ فارم اس پروگرام کے مقابلے میں کہاں کھڑا ہے، خاص طور پر ایسی کسی بھی چیز کے لیے جو بائیومیٹرک ڈیٹا کو چھوتی ہو۔
رقم اور ذمہ داری پراڈکٹ کے ذریعے کیسے حرکت کرتی ہے
ریگ ٹیک (RegTech) کمپنی کا اپنا بینک اکاؤنٹ عموماً بینکنگ کا پہلا سوال ہوتا ہے، اور سب سے سیدھا بھی: کاروبار کو کسی بھی سافٹ ویئر کمپنی کی طرح آپریٹنگ اکاؤنٹ درکار ہے، اور بینک جو فائل مانگتا ہے وہ بھی ویسی ہی ہوتی ہے (ملکیت، بانیوں کے فنڈز کا ذریعہ، اور اس بات کی واضح وضاحت کہ پروڈکٹ کسٹمر کے ڈیٹا کے ساتھ کیا کرتی ہے)۔ بینک اکاؤنٹ کی تیاری پر ابتدا ہی میں کام کر لینے سے اکاؤنٹ لانچ سے پہلے آخری طے ہونے والی چیز نہیں بنتا۔
جب پروڈکٹ خالص سافٹ ویئر نہیں رہتی تو یہ صورتحال بدل جاتی ہے۔ وہی سوالات جو فن ٹیک (fintech) میں طے کرتے ہیں کہ رقم کون وصول کرتا ہے یا کنٹرول کرتا ہے، یہاں بھی لاگو ہوتے ہیں: جو ٹول کلائنٹ کی رقم رکھتا ہے، ادائیگی شروع کرتا ہے، یا قرض فراہم کرتا ہے، وہ ایک مختلف ریگولیٹڈ سرگرمی ہے، اور بینک اکاؤنٹ کی کتنی ہی تیاری تجارتی لائسنس کو یہ کام کرنے کی اجازت میں تبدیل نہیں کر سکتی۔ دونوں سوالوں کو الگ رکھیں: کیا یہ کمپنی بینکنگ کر سکتی ہے، اور کیا یہ کمپنی، نہ کہ اس کا کسٹمر، کبھی کسٹمر کی رقم کو ہاتھ لگاتی ہے۔ دوسرے سوال کے لیے، جہاں یہ پیدا ہو، الگ اجازت یا اسپانسر درکار ہوتا ہے۔
ملکیت، سبسٹینس اور وہ کردار جو خریدار چیک کرتا ہے
گروپ ڈھانچہ ٹیکنالوجی، دانشورانہ املاک اور کسی بھی لائسنس یافتہ فنکشن کو علیحدہ اداروں میں رکھ سکتا ہے، بشرطیکہ ہر ایک کا ایک حقیقی کردار ہو۔ خریدار کی قانونی ٹیم پوچھے گی کہ ماڈل اور ڈیٹا پائپ لائن کا مالک کون ہے، معاہدے پر کس کا نام ہے، اور اگر اسکریننگ نتیجہ غلط ہو تو کون ذمہ دار ہے۔ جہاں ملکیت ایک سے زیادہ دائرہ اختیار میں بیٹھی ہو، اسے ڈیلیجنس ٹیم کے جانچنے سے پہلے ریگولیٹڈ اینڈ کمپلیکس اونرشپ کے طور پر طے کریں۔ تحریری کیس معاون بزنس پلان میں ہونا چاہیے، سوال پوچھے جانے کے بعد جمع نہیں کیا جانا چاہیے۔
عام طور پر کیا غلط ہو جاتا ہے
- اسکریننگ کے لیے استعمال کرنے کے پائیدار حق کے بغیر ڈیٹا اسکریپ کرنا یا خریدنا
- ٹول کو ایسی چیز کے طور پر بیان کرنا جو کسٹمر کو "کمپلائنٹ" بناتی ہے، بجائے اس کے کہ یہ ایک ایسے فیصلے میں مدد کرتی ہے جس کا مالک بدستور کسٹمر ہی ہے
- بائیومیٹرک ڈیٹا کو پہلے ڈیٹا پروٹیکشن قانون کی رضامندی اور مقصد کی ضروریات کے ذریعے کام کیے بغیر استعمال کرنا
- ایک آف شور ریویو ٹیم یا سب پروسیسر کو معاہدے سے باہر اور خریدار کی ڈیلیجنس فائل سے باہر رکھنا
انکارپوریشن فیسوں کا موازنہ کرنا سب سے عام ابتدائی غلطی ہے۔ وہ لاگت جو اہم ہے وہ مکمل راستہ ہے: ادارہ، کوئی بھی ڈیٹا لائسنسنگ اور سیکیورٹی یقین دہانی جو خریدار درکار کرتا ہے، اور اگر صرف سافٹ ویئر کافی ثابت نہ ہو تو بعد میں ایک منیجڈ ریویو لیئر شامل کرنے کی لاگت کیا ہے۔ Velarozone فارمیشن کی سرخی کے بجائے اس مکمل اسٹیک کی قیمت لگاتا ہے، اور اپنی فیس اسی طرح بیان کرتا ہے جیسے Velarozone کیسے کام کرتا ہے بیان کرتا ہے۔
