Quy tắc giám sát tài khoản ngân hàng và cơ hội RegTech tại UAE

Cuộc tranh luận ở Anh liên quan đến một cơ quan chính phủ muốn kiểm tra tài khoản ngân hàng để phát hiện gian lận và sai sót trong các khoản chi trả phúc lợi. Đó là quyền lực của nhà nước, do luật pháp Vương quốc Anh quy định và được thực thi đối với một nhóm người nhận trợ cấp cụ thể. Không có quy định tương đương nào trao cho một công ty tư nhân tại UAE quyền xem tài khoản của bất kỳ ai.

Câu chuyện của Anh đặt ra một vấn đề thiết kế cho nhà sáng lập: công ty của tôi sẽ sở hữu phần nào trong chuỗi giám sát? Các ngân hàng vận hành hoạt động giám sát giao dịch vì họ có nghĩa vụ phải làm vậy. Một công ty phần mềm có thể xây dựng công cụ giúp việc đó rẻ hơn và chính xác hơn. Công ty đó không thể mượn thẩm quyền của ngân hàng để xem dữ liệu.

Ranh giới đó quyết định lộ trình pháp lý. Theo Open Finance Regulation (C 03/2025) của CBUAE, một công ty truy xuất dữ liệu tài khoản của khách hàng thông qua các giao diện của ngân hàng cần có Open Finance Licence, trong khi một nhà cung cấp làm việc theo hợp đồng với ngân hàng là một trường hợp khác. Các bản thuyết trình gọi vốn thường sai ở chỗ mô tả một sản phẩm của nhà cung cấp bằng ngôn ngữ của một chức năng được quản lý.

Quản lý sự đồng ý và quyền hạn. Sản phẩm ghi lại những gì khách hàng đã đồng ý, cho phép họ rút lại và lưu giữ dấu vết kiểm toán. Sản phẩm xử lý hồ sơ đồng ý, không nhất thiết là dữ liệu tài khoản bên dưới. Đây là loại gần nhất với các quy tắc bảo vệ dữ liệu, vì nghĩa vụ trọng tâm là chứng minh sự đồng ý hợp lệ.

Phần mềm giám sát bán cho các tổ chức. Trên thực tế, ngân hàng là bên kiểm soát dữ liệu và nhà cung cấp làm việc theo hợp đồng của ngân hàng. Các vấn đề về quyền truy cập, lưu giữ, huấn luyện mô hình trên dữ liệu khách hàng và báo cáo sự cố được giải quyết trong hợp đồng dịch vụ. Nhà cung cấp có cần bất kỳ sự cho phép nào hay không phụ thuộc vào việc chính xác họ làm gì, và đó là điểm cần xác nhận với cơ quan quản lý liên quan, không nên giả định.

Phân tích tài chính mở. Ở đây, công ty đọc dữ liệu tài khoản của khách hàng qua giao diện ngân hàng với sự cho phép của khách hàng. Đây là nơi khung tài chính mở của CBUAE có ý nghĩa, và là mô hình có khả năng cao nhất cần sự cho phép riêng. Hướng dẫn riêng về lộ trình nhà cung cấp tài chính mở đề cập đến phạm vi đó.

Công cụ quản lý hồ sơ và báo cáo quy định. Các công cụ này giúp đội ngũ tuân thủ ghi chép các quyết định. Chi tiết quan trọng là công cụ chỉ ghi lại các quyết định của con người hay bắt đầu tự đưa ra quyết định.

Một tập đoàn có thể vận hành nhiều mô hình trong số này dưới cùng một thương hiệu, nhưng các hợp đồng sẽ khác nhau.

Luật bảo vệ dữ liệu cá nhân liên bang áp dụng cho việc xử lý được thực hiện trong hoặc ngoài UAE, toàn bộ hoặc một phần bằng phương tiện điện tử, và đặt ra các yêu cầu đối với việc chuyển dữ liệu xuyên biên giới. UAE Data Office, trực thuộc Nội các UAE, soạn hướng dẫn và xử lý khiếu nại. Chủ sở hữu dữ liệu có thể yêu cầu chỉnh sửa và có thể hạn chế hoặc dừng việc xử lý.

Đối với một sản phẩm giám sát hoặc dữ liệu, có ba điểm thực tiễn cần lưu ý. Sự đồng ý phải đủ cụ thể để bao quát những gì phần mềm thực sự làm với dữ liệu. Việc rút lại sự đồng ý phải thực hiện được ngay trong sản phẩm, chứ không chỉ trong các điều khoản. Và một luồng dữ liệu rời khỏi UAE, đến một vùng đám mây hoặc một công ty mẹ ở nước ngoài, cần có cơ sở được ghi nhận bằng văn bản. Một nhà cung cấp dịch vụ tài chính mở được cấp phép phải chịu các điều khoản chặt chẽ hơn. Open Finance Regulation của CBUAE yêu cầu có sự đồng ý riêng cho từng mục đích, và việc rút lại sự đồng ý phải dễ dàng như việc đưa ra sự đồng ý. Quy định này cũng yêu cầu dữ liệu được lưu trữ tại UAE, trừ khi CBUAE đã phê duyệt việc lưu trữ ở nước ngoài và khách hàng đã đồng ý bằng văn bản sau khi được thông báo dữ liệu sẽ được đặt ở đâu và vì sao.

Địa điểm bổ sung thêm một lớp phức tạp. Trang về bảo vệ dữ liệu của Chính phủ UAE liệt kê DIFC Data Protection Law (DIFC Law No. 5 of 2020) và Dubai Data Law (Law No. 26 of 2015) bên cạnh luật liên bang. Do đó, một công ty nằm trong một free zone tài chính có thể phải tuân theo một chế độ dữ liệu khác với một công ty ở mainland, và một công ty phục vụ khách hàng ở cả hai nơi có thể phải tuân theo cả hai. Trang liên bang không giải thích các chế độ này tương tác với nhau như thế nào, vì vậy vị thế đối với cơ cấu của riêng quý vị nên được xác nhận với cơ quan quản lý của khu vực đó và cơ quan quản lý có liên quan trước khi quý vị quyết định chọn địa điểm.

Công ty mainland phù hợp với doanh nghiệp chủ yếu bán cho các ngân hàng và tập đoàn tại UAE và không muốn bị giới hạn về lãnh thổ đối với bên mình ký hợp đồng. Công ty free zone có thể hoạt động tốt với doanh nghiệp công nghệ có tệp khách hàng trong khu vực, miễn là hoạt động được cấp phép của khu vực phù hợp với dịch vụ phần mềm và dữ liệu, và các hợp đồng được ký với đúng pháp nhân.

Với một nhà cung cấp RegTech, các phép thử thực tế khác với một công ty thương mại. Giấy phép có thể mô tả chính xác việc phát triển phần mềm và xử lý dữ liệu không? Bộ phận mua sắm của ngân hàng có chấp nhận pháp nhân này là nhà cung cấp không? Nhân sự sẽ làm việc ở đâu, và địa điểm đó hỗ trợ những thị thực cư trú cho nhóm sáng lập nào? Dữ liệu sẽ được lưu trữ vật lý ở đâu?

Mức giá thành lập thấp không có ý nghĩa nhiều nếu hoạt động ghi trong giấy phép thương mại phải được sửa đổi sau này vì sản phẩm hóa ra có liên quan đến dữ liệu được quản lý. Hãy xác định ranh giới sản phẩm trước, rồi mới so sánh các địa điểm, đó là trình tự được mô tả trong cách Velarozone vận hành.

Người sáng lập thường coi ngân hàng là việc sau khi thành lập công ty. Với ngành này, đó cũng là quy trình bán hàng. Ngân hàng mua phần mềm giám sát, hoặc ngân hàng mở tài khoản doanh nghiệp của quý vị, sẽ muốn thấy một bức tranh nhất quán.

Hãy chuẩn bị cho các câu hỏi về việc ai sở hữu công ty và ai kiểm soát mã nguồn, dữ liệu khách hàng được lưu trữ ở đâu và ai có thể truy cập, mô hình được kiểm thử như thế nào và các trường hợp báo động giả được xử lý ra sao, cũng như điều gì xảy ra sau một vụ vi phạm. Về quyền sở hữu, hướng dẫn của CBUAE yêu cầu ngân hàng nhận diện và xác minh mọi cá nhân sở hữu hoặc kiểm soát từ 25% trở lên của một công ty là khách hàng. Nếu không ai đạt đến 25%, ngân hàng sẽ nhận diện người quản lý cấp cao. Các ngân hàng cũng sẽ hỏi liệu nhân sự của quý vị có kinh nghiệm về tuân thủ hay không, vì sản phẩm chỉ đáng tin cậy khi đội ngũ đứng sau nó đáng tin cậy.

Cảnh báo tự động làm nảy sinh một mối lo cụ thể. Nếu một mô hình gắn cờ một tài khoản và nhà phân tích chỉ chấp nhận cờ đó, thì quyết định trên thực tế là tự động. Khách hàng chịu quản lý ưa chuộng các công cụ hỗ trợ phán đoán của con người có ghi chép. Tích hợp điều đó vào quy trình ngay từ đầu rẻ hơn so với bổ sung sau khi ngân hàng yêu cầu.

Lộ trình nền tảng RegTech KYC và AML trùng lặp rất nhiều với hoạt động giám sát. Đối tượng mua của lộ trình này cũng là các bộ phận tuân thủ đó, nên cùng một quy trình thẩm định nhà cung cấp áp dụng.