Nền tảng RegTech, KYC và AML tại UAE: Quy định về thuê ngoài

Không có cơ quan quản lý đơn lẻ nào tại UAE cấp "giấy phép RegTech". Hoạt động thương mại thuộc về DET hoặc một free zone. Trọng tâm quản lý thuộc về cơ quan nào giám sát bên mua: ngân hàng hoặc công ty trao đổi ngoại tệ chịu sự quản lý của CBUAE, công ty tại DIFC chịu sự quản lý của DFSA, công ty tại ADGM chịu sự quản lý của FSRA, công ty thị trường vốn chịu sự quản lý của CMA, nhà cung cấp dịch vụ tài sản ảo chịu sự quản lý của VARA. Mỗi cơ quan đều yêu cầu pháp nhân được cấp phép của mình phải thực hiện thẩm định đối với bất kỳ chức năng thuê ngoài nào và giữ quyền kiểm toán đối với nhà cung cấp. Nền tảng hiếm khi là bên chịu quản lý; điều mà các cơ quan này cuối cùng sẽ yêu cầu xem là hợp đồng khiến khách hàng phải chịu trách nhiệm về nền tảng đó.

Riêng biệt, và bất kể cơ quan quản lý tài chính nào áp dụng, Personal Data Protection Law liên bang bao trùm việc xử lý dữ liệu cá nhân "toàn phần hoặc một phần qua các hệ thống điện tử, trong hoặc ngoài nước." Luật này cấm việc xử lý mà không có sự đồng ý của chủ sở hữu, trừ một số trường hợp ngoại lệ hạn chế, và trao cho cá nhân quyền chỉnh sửa hoặc hạn chế việc xử lý dữ liệu của họ. Một nền tảng xử lý hộ chiếu, ảnh selfie hay lịch sử giao dịch đang xử lý dữ liệu cá nhân theo luật này bất kể nền tảng đó được cấp phép như thế nào.

Thẩm định mua sắm, không phải việc thành lập công ty, mới là nơi các giao dịch bán hàng RegTech bị trì trệ. Một người mua chịu quản lý muốn thấy:

UAE Cyber Security Council vận hành một National Cybersecurity Strategy kéo dài năm năm, được phê duyệt vào năm 2025, và một National Cyber Security Accreditation Program, một lộ trình chứng nhận nhằm chuẩn hóa thực hành an ninh mạng. Không chương trình nào là một cổng bắt buộc đối với mọi nhà cung cấp, nhưng việc rà soát an ninh của bên mua ngày càng thường hỏi xem một nền tảng đang ở đâu so với chương trình đó, đặc biệt đối với bất kỳ nội dung nào liên quan đến dữ liệu sinh trắc học (biometric data).

Tài khoản ngân hàng của chính công ty RegTech thường là câu hỏi ngân hàng đầu tiên, và cũng là câu hỏi đơn giản nhất: doanh nghiệp cần một tài khoản hoạt động như bất kỳ công ty phần mềm nào, và hồ sơ mà ngân hàng yêu cầu cũng tương tự (cơ cấu sở hữu, nguồn tiền của những người sáng lập, và mô tả rõ ràng về cách sản phẩm xử lý dữ liệu khách hàng). Việc xử lý sớm mức độ sẵn sàng của tài khoản ngân hàng giúp tránh để tài khoản trở thành việc cuối cùng phải giải quyết trước khi ra mắt.

Điều đó thay đổi ngay khi sản phẩm không còn là phần mềm thuần túy. Những câu hỏi quyết định ai nhận hoặc kiểm soát tiền trong lĩnh vực fintech cũng áp dụng ở đây: một công cụ giữ tiền của khách hàng, khởi tạo thanh toán hoặc cấp tín dụng là một hoạt động được quản lý khác, và dù tài khoản ngân hàng có sẵn sàng đến đâu thì giấy phép thương mại cũng không trở thành sự cho phép thực hiện hoạt động đó. Hãy tách riêng hai câu hỏi: công ty này có thể mở tài khoản ngân hàng hay không, và liệu chính công ty, chứ không phải khách hàng của nó, có bao giờ chạm vào tiền của khách hàng hay không. Câu hỏi thứ hai, khi phát sinh, cần có sự cho phép riêng hoặc một bên bảo trợ.

Cấu trúc tập đoàn có thể đặt công nghệ, tài sản trí tuệ và bất kỳ chức năng được cấp phép nào vào các pháp nhân riêng biệt, miễn là mỗi pháp nhân có một vai trò thực chất. Đội ngũ pháp lý của người mua sẽ hỏi ai sở hữu mô hình và pipeline dữ liệu, ai được nêu tên trên hợp đồng, và ai chịu trách nhiệm nếu một kết quả sàng lọc sai. Khi quyền sở hữu nằm trên nhiều hơn một khu vực pháp lý, hãy xử lý điều đó như sở hữu phức tạp và được quản lý trước khi một đội thẩm định kiểm tra nó. Hồ sơ lập luận bằng văn bản thuộc về kế hoạch kinh doanh hỗ trợ, không phải được lắp ghép sau khi câu hỏi được đặt ra.

So sánh phí thành lập là sai lầm sớm phổ biến nhất. Chi phí thực sự quan trọng là toàn bộ hướng đi: pháp nhân, bất kỳ việc cấp phép dữ liệu và bảo đảm an ninh nào một người mua yêu cầu, và chi phí để thêm một lớp xem xét có quản lý (managed-review) sau này nếu chỉ phần mềm hóa ra không đủ. Velarozone định giá toàn bộ chuỗi đó thay vì một con số thành lập đơn lẻ, và nêu rõ phí riêng của mình theo cách cách Velarozone hoạt động mô tả.