指南
阿联酋 RegTech、KYC 与 AML 平台：外包规则
简短的回答
RegTech、KYC 或 AML 平台本身通常无需另行取得专门的许可。公司按常规方式注册，可通过迪拜经济与旅游局（Dubai Department of Economy and Tourism，DET）、某个自由区（free zone）或金融自由区主管机构办理。真正改变情况的是客户。一旦持牌金融机构依赖该平台开展反洗钱/反恐融资（AML/CFT）核查，该机构自身的监管机构便会将这种安排视为外包，并由该机构而非供应商对此承担责任。该监管机构可能是阿联酋中央银行（Central Bank of the UAE，CBUAE）、迪拜金融服务管理局（Dubai Financial Services Authority，DFSA，DIFC）、金融服务监管局（Financial Services Regulatory Authority，FSRA，ADGM）、资本市场管理局（Capital Market Authority，CMA，前身为证券和商品管理局）或虚拟资产监管局（Virtual Assets Regulatory Authority，VARA，迪拜）。决定路径的问题在于：该平台是仅提供软件，还是同时参与决策，例如关闭警报、结案处理或提交报告。
由谁决定,监管边界取决于什么
阿联酋没有任何一家监管机构签发“RegTech 许可证”。商业活动归 DET 或自由区管辖。监管重点则取决于由哪家机构监管买方：银行或汇兑机构受 CBUAE 监管，DIFC 的公司受 DFSA 监管，ADGM 的公司受 FSRA 监管，资本市场公司受 CMA 监管，虚拟资产服务提供商受 VARA 监管。各机构均要求其持牌实体对任何外包职能开展尽职调查，并对服务提供商保留审计权。平台本身很少是受监管主体；这些监管机构最终会要求查看的，是使客户对平台负责的那份合同。
另外,无论适用哪一个金融监管机构,联邦《个人数据保护法》(Personal Data Protection Law)都适用于"无论是全部还是部分通过电子系统、在境内或境外"处理个人数据的情形。该法律禁止在未取得数据所有者同意的情况下处理数据,但存在有限的例外情形,并赋予个人更正或限制其数据处理的权利。无论其牌照类型如何,处理护照信息、自拍照片或交易记录的平台,都属于该法律所规范的个人数据处理行为。
买方合规团队实际会核查的内容
采购尽职调查,而非公司注册本身,才是监管科技(RegTech)产品销售真正受阻的环节。受监管的买方希望看到以下内容:
- 底层数据的来源,以及该平台是否拥有可持续使用该数据的合法权利
- 存在争议的事项是否由人工复核,还是完全由模型自行决定
- 数据托管的地点,以及支持人员所在的地点
- 误报情况与模型变更是如何被衡量和记录的
- 当买方自身的监管机构索取相关资料时,该如何处理
UAE Cyber Security Council 负责推行一项为期五年的国家网络安全战略(National Cybersecurity Strategy),该战略于2025年获批,以及一项国家网络安全认证计划(National Cyber Security Accreditation Program),作为规范网络安全实践的一种认证途径。这两者都不是适用于每一家供应商的强制性关卡,但买方的安全审查越来越多地会询问某个平台在该计划下处于什么地位,尤其是涉及生物特征数据的任何事项。
资金与责任如何在产品中流转
RegTech 公司自身的银行账户通常是首个银行方面的问题，也是最简单的一个：该业务与任何软件公司一样需要一个运营账户，银行所要求的材料也大同小异（股权结构、创始人的资金来源，以及对产品如何处理客户数据的清晰说明）。及早办理银行账户准备，可避免开户成为上线前最后才解决的事项。
一旦产品不再是纯粹的软件，情况便会改变。在金融科技中决定谁来接收或控制资金的那些问题同样适用于此：凡是持有客户资金、发起支付或提供信贷的工具，属于另一类受监管活动，再充分的银行账户准备也无法使商业许可证变成从事该活动的许可。应将两个问题分开看待：这家公司能否开立银行账户，以及它（而非其客户）是否会接触客户资金。后一个问题一旦出现，需要单独的授权或担保方。
股权结构、实质性要求与买方核查的角色
集团架构可以将技术、知识产权以及任何持牌职能分别置于不同的实体之下,前提是每个实体都承担真实的职能。买方的法务团队会询问:模型和数据管道的所有权归属于谁、合同上列明的是哪一方,以及如果筛查结果出错,由谁承担责任。如果所有权分布在多个管辖区(jurisdiction),就应当在尽职调查团队对其进行审查之前,先按照受监管与复杂股权架构的方式梳理清楚。书面论证应纳入配套商业计划书之中,而不是等到被问起时才临时拼凑。
常见的问题
- 在未取得可持续使用权的情况下,通过抓取或购买方式获取用于筛查的数据
- 把该工具描述为能让客户"合规"的手段,而不是将其描述为辅助客户自行做出决定的工具,而决定权仍归客户所有
- 在尚未事先梳理清楚数据保护法律关于同意和处理目的的要求之前,就使用生物识别数据
- 将离岸审核团队或分包处理方排除在合同之外,也不纳入买方的尽职调查文件
比较公司注册费用,是最常见的早期误区。真正重要的成本是整条路径的成本:实体本身、买方所要求的任何数据许可与安全保障,以及如果纯软件模式后来证明不够充分、需要后续增加人工审核层级所产生的费用。Velarozone 对这整套方案进行报价,而不只是给出一个注册费用的标题数字,并按照Velarozone 的运作方式所述的方式,列明其 Velarozone 服务费。
