امتثال تطبيقات التقنية المالية في الإمارات: دليل عملي للترخيص والتطوير

ما الإطار التنظيمي لتطبيقات التقنية المالية في الإمارات؟

تنبيه: يقدّم هذا المقال إرشادات في الهندسة وتصميم المنتج فحسب، ولا يُعدّ استشارة قانونية. وفي قرارات الترخيص وهيكلة الامتثال والمسائل التنظيمية، استعينوا بمستشار مؤهّل في تنظيم الخدمات المالية في الدولة.

لا توجد في الإمارات جهة تنظيمية واحدة للتقنية المالية، فالاختصاص يتحدّد بمكان تأسيس منشأتكم وبالأنشطة المالية التي تزاولها. وحسم هذه المسألة هو أول قرار يتعيّن على أي فريق يطوّر منتجاً في التقنية المالية اتّخاذه، إذ يمتدّ أثره إلى كل شيء، من فتح الحساب المصرفي للشركة إلى موعد الإطلاق.

مصرف الإمارات العربية المتحدة المركزي (CBUAE) هو الجهة التنظيمية الرئيسية للخدمات المالية في البرّ الرئيسي للدولة. فقبول المدفوعات، وإصدار القيمة المخزّنة، وتحويل الأموال، ومنح الائتمان للمقيمين في البرّ الرئيسي، كلّها أنشطة تخضع لرقابته. وقد أصدر المصرف نظام خدمات الدفع للتجزئة ومنظومات البطاقات (Retail Payment Services and Card Schemes Regulation)، الذي يحدّد فئات الترخيص ومتطلبات رأس المال والالتزامات المستمرّة المفروضة على مزوّدي خدمات الدفع. كما يدير بيئة تجريبية تنظيمية تمنح شركات التقنية المالية تصريحاً محدود المدّة لاختبار منتجاتها الناشئة مع عملاء حقيقيين قبل التقدّم بطلب ترخيص كامل.

أما مركز دبي المالي العالمي (DIFC) فمنطقة حرّة مالية مستقلّة لها قوانينها المدنية والتجارية الخاصّة، ولا تسري فيها القوانين المدنية والتجارية الاتحادية، وإن ظلّت القوانين الجزائية الاتحادية سارية فيها [5]. وتخضع الخدمات المالية التي تُزاوَل داخل المركز لسلطة دبي للخدمات المالية (DFSA)، لا للمصرف المركزي [2]. وبذلك تقع المنتجات الموجّهة إلى أسواق رأس المال أو إدارة الأصول أو الوساطة تحت إشراف DFSA متى كانت المنشأة مؤسّسة في المركز. وتمنح السلطة رخصة اختبار الابتكار (Innovation Testing Licence) للمنتجات التي لا تندرج ضمن الفئات التنظيمية المعتادة [6]. ولا يحقّ للمنشأة المرخّصة في المركز خدمة عملاء البرّ الرئيسي تلقائياً، إذ يتطلّب العمل خارج نطاق المركز عادةً تصريحاً منفصلاً من المصرف المركزي. لذا استعينوا بمستشار مؤهّل في تنظيم الخدمات المالية في الدولة قبل تحديد هيكل التأسيس.

وسوق أبوظبي العالمي (ADGM) هو المركز المالي الدولي لأبوظبي، وتنظّمه سلطة تنظيم الخدمات المالية (FSRA) [3]. وللسوق إطاره التنظيمي الخاصّ بالأصول الرقمية والتقنية المالية، ويدعم مختبره التنظيمي RegLab المنتجات المبتكرة في مراحلها الأولى. وكما في مركز دبي المالي العالمي، يقتصر اختصاص السوق على نطاقه، فالمنتجات التي تخدم عملاء البرّ الرئيسي تحتاج إلى ترخيص منفصل من المصرف المركزي بصرف النظر عن تسجيلها في السوق.

ويسري المرسوم بقانون اتحادي رقم 45 لسنة 2021، أي قانون حماية البيانات الشخصية الإماراتي (PDPL)، على معالجة البيانات الشخصية داخل الدولة، غير أنّه يستثني أمرين يعنيان شركات التقنية المالية مباشرةً: المناطق الحرّة التي لها تشريعاتها الخاصّة بحماية البيانات، والبيانات المصرفية والائتمانية التي ينظّم حمايتها تشريع خاصّ. لذا تخضع الشركة المؤسّسة في مركز دبي المالي العالمي لقانون حماية البيانات الخاصّ بالمركز (DIFC Data Protection Law No. 5 of 2020)، والمؤسّسة في سوق أبوظبي العالمي للوائح حماية البيانات الخاصّة بالسوق لسنة 2021.

أيّ ترخيص من المصرف المركزي يحتاجه منتجكم؟

إذا كان منتجكم يقدّم نشاطاً مالياً خاضعاً للتنظيم لعملاء في البرّ الرئيسي، فأنتم أمام مسار الترخيص لدى المصرف المركزي. ويصنّف نظام خدمات الدفع للتجزئة ومنظومات البطاقات خدمات الدفع بحسب نوع النشاط، ومنها تحويل الأموال محلياً وعبر الحدود، وبدء الدفع، وتجميع المدفوعات. أما إصدار تسهيلات القيم المخزّنة فيقع خارج نطاقه، ويُرخَّص بموجب نظام تسهيلات القيم المخزّنة الصادر عن المصرف المركزي. ولكل فئة متطلباتها الخاصّة لكفاية رأس المال والتزاماتها المستمرّة في رفع التقارير. لذا استعينوا بمستشار مؤهّل في تنظيم الخدمات المالية في الدولة لمعرفة التعريفات الحالية للفئات والحدّ الأدنى لرأس المال قبل الشروع في أي طلب.

وتبدأ العملية بشهادة عدم ممانعة من المصرف المركزي، تليها موافقة مبدئية، ثم منح الترخيص الكامل. ويجب أن يغطّي الطلب نموذج أعمالكم، وبنيتكم التقنية، وإطار الامتثال ومكافحة غسل الأموال، وهيكل الحوكمة، والتوقّعات المالية. وعادةً ما يستغرق إعداد طلب مكتمل عدّة أشهر قبل تقديمه. وتتوقّف سرعة المراجعة أساساً على جودة الطلب واكتماله، كما أن الاستعانة بمستشار امتثال سبق له أن خاض هذه العملية تقلّل في العادة جولات المراسلة المتكرّرة مع الجهة التنظيمية.

وثمّة نقطة هندسية يستهين بها المتقدّمون للمرّة الأولى باستمرار: فالمصرف المركزي يراجع بنيتكم التقنية ضمن تقييم الترخيص. ويجب أن تستوفي الأنظمة التي تعالج بيانات الدفع معايير محدّدة للأمان والصمود التشغيلي وقابلية التدقيق. لذلك فإن التطوير وفق هذه المعايير منذ البداية أسرع وأقلّ تكلفة على امتداد عمر المنتج من إلحاق الامتثال لاحقاً بنظام صُمّم دون مراعاتها. والبيئة التجريبية الرقابية لدى المصرف المركزي هي المدخل المناسب للمنتجات الناشئة، لكنّ المصرف يتوقّع نموذجاً أولياً عاملاً وإطار امتثال موثوقاً قبل أي طلب، لا عرضاً تقديمياً يصف فكرة مستقبلية.

ما المتطلبات الهندسية للتحقّق من هوية العملاء (KYC) ومكافحة غسل الأموال؟

تخضع كل شركة تقنية مالية في الإمارات تتعامل مع تدفّقات مالية لالتزامات مكافحة غسل الأموال وتمويل الإرهاب، ولا مجال للتهاون فيها. ويضع قانون مكافحة غسل الأموال الإماراتي (المرسوم بقانون اتحادي رقم 10 لسنة 2025، الذي حلّ محل المرسوم بقانون اتحادي رقم 20 لسنة 2018) الإطار القانوني لهذه الالتزامات، والإمارات عضو في مجموعة العمل المالي لمنطقة الشرق الأوسط وشمال أفريقيا (MENAFATF)، وهي هيئة إقليمية على غرار مجموعة العمل المالي (FATF)، لذا تتماشى توقّعات الامتثال مع توصيات FATF. وقد تطوّرت متطلبات KYC من مجرّد التحقّق من الهوية إلى أطر شاملة لإدارة المخاطر غايتها مكافحة الأنشطة المالية غير المشروعة [1]. وفي منتجات التقنية المالية، تتحوّل هذه الالتزامات إلى أربعة متطلبات هندسية ملموسة.

العناية الواجبة تجاه العملاء عند فتح الحساب. يجب التعرّف على هوية كل عميل والتحقّق منها قبل أن يُجري أي معاملة. ففي حالة الأفراد، يعني ذلك التحقّق من وثيقة هوية حكومية والتأكّد من أن مقدّمها هو صاحبها الفعلي، باستخدام كشف الحيوية لا بمسح ضوئي ثابت للوثيقة. أما في حالة عملاء الشركات، فيجب أن يشمل التحقّق المنشأة نفسها والمستفيدين الحقيقيين منها.

التحقّق الرقمي من الهوية (eKYC) عبر UAE Pass. UAE Pass هي منصّة الهوية الرقمية الوطنية لحكومة الإمارات، ويتيح دمجها في مسار فتح الحساب التحقّق الفوري من الهوية بمطابقتها مع السجلّات الحكومية، فيستوفي شقّ التعرّف على الهوية والتحقّق منها ضمن العناية الواجبة تجاه العملاء، وذلك للمواطنين والمقيمين المسجّلين في المنصّة. ويتبع التكامل تدفّق OAuth 2.0 قياسياً، ويعيد بيانات هوية موثّقة مباشرةً من قاعدة بيانات الهوية الحكومية. وبذلك تخفّ العقبات أمام العميل عند فتح الحساب، ولا تتراكم الطلبات في قائمة انتظار للمراجعة اليدوية كما يحدث في المسارات التي تكتفي برفع الوثائق.

العناية الواجبة المعزّزة القائمة على المخاطر. إذا أظهر العميل أو المعاملة مؤشّرات مخاطر مرتفعة، كأحجام المعاملات الكبيرة، أو كون العميل من الأشخاص السياسيين ممثّلي المخاطر، أو التدفّقات العابرة للحدود نحو ولايات قضائية عالية المخاطر، وجب تطبيق متطلبات تحقّق معزّزة. لذا يجب أن يدعم نظامكم تصنيفاً للمخاطر قابلاً للتهيئة، وسير عمل للعناية الواجبة المعزّزة، وسجلّ تدقيق لكل قرار يخصّ المخاطر يصمد أمام المراجعة التنظيمية.

المراقبة المستمرّة للمعاملات. الامتثال لمتطلبات مكافحة غسل الأموال ليس فحصاً يُجرى مرّة واحدة عند فتح الحساب. فعلى منتجات التقنية المالية أن تراقب أنماط المعاملات باستمرار، وأن ترصد الحالات الشاذّة بمقارنتها بأنماط غسل الأموال المحدّدة، وأن تقدّم تقارير المعاملات المشبوهة إلى وحدة المعلومات المالية في الإمارات عند الاقتضاء، وأن تحتفظ بالسجلّات مدّة لا تقلّ عمّا يفرضه القانون. ويجب أن تكون قواعد المراقبة قابلة للتهيئة دون نشر شيفرة جديدة. أما القواعد المكتوبة داخل الشيفرة، التي يتطلّب كل تحديث لها دورة تطوير كاملة، فتتحوّل إلى عبء تشغيلي. ويمكن لمنصّات التقنية التنظيمية (RegTech) المصمّمة للامتثال المالي أن تسرّع بناء هذه القدرة إلى حدّ كبير [4].

كيف يؤثّر قانون PDPL في هندسة البيانات لتطبيقات التقنية المالية؟

يتعامل المرسوم بقانون اتحادي رقم 45 لسنة 2021 مع حماية البيانات بوصفها حقوقاً يملكها الأفراد، لا مجرّد التزامات مفروضة على الشركات. ولهذه المقاربة انعكاسات عملية على فرق الهندسة في شركات التقنية المالية، تندرج في ثلاثة جوانب.

تقليل البيانات في مسارات فتح الحساب. يشترط قانون PDPL أن تقتصر البيانات الشخصية التي تُجمع على ما هو ضروري للغرض المحدّد الذي جُمعت من أجله. فتطبيق الدفع الذي يطلب تاريخ الميلاد عند فتح الحساب ثم لا يستخدم هذا الحقل لأي غرض تنظيمي أو وظيفي، يعالج بيانات دون أساس قانوني سليم. لذا يجب أن يُصمَّم مسار فتح الحساب انطلاقاً من جرد موثّق للبيانات يربط كل حقل بغرض محدّد ومعلَن.

إدارة الموافقات في التنميط والتقييم الائتماني. إذا كان منتجكم يستخدم البيانات المالية الشخصية لاحتساب درجات ائتمانية أو ملفات مخاطر أو نماذج سلوكية، فتنطبق عليه متطلبات PDPL المتعلّقة بالموافقة واتّخاذ القرارات المؤتمتة. ويجب إبلاغ المستخدمين بوضوح بأن بياناتهم تخضع للتنميط، ومنحهم آلية موافقة تفصيلية، لا خانة اختيار تضيع بين بنود شروط الخدمة. كما يجب أن يتمتّع المستخدمون بحقّ فعلي في الاعتراض على القرارات التي تُصدرها الأنظمة المؤتمتة. وهذا يتطلّب إدارة الموافقات والاعتراضات بوصفها قدرة هندسية تستند إلى قاعدة البيانات، لا مجرّد شاشة ثابتة ضمن مسار فتح الحساب.

إقامة البيانات والنقل عبر الحدود. يفرض قانون PDPL شروطاً على نقل البيانات الشخصية إلى خارج الإمارات. لذلك فإن تمرير البيانات المالية لعملائكم في الإمارات عبر بنية تحتية مستضافة بالكامل خارج الدولة، دون أساس قانوني موثّق، ينطوي على مخاطر تنظيمية. وتُعدّ البنية التحتية السحابية المستضافة في الإمارات، التي يوفّرها كبار المزوّدين عبر مناطق مراكز بيانات محلية، أبسط طريقة لاستيفاء التزامات إقامة البيانات بحكم التصميم لا بالسياسات المكتوبة.

ما مكوّنات بنية تطبيق تقنية مالية متوافق تنظيمياً؟

يحدّد الامتثال شكل البنية قبل أن يحدّد شكل الشيفرة، وتتوقّف قدرة منتج التقنية المالية على اجتياز المراجعة التنظيمية على القرارات الهيكلية التالية.

بنية تحتية مستضافة في الإمارات. شغّلوا أحمال عمل التطبيق وقواعد البيانات في مناطق سحابية داخل الإمارات، إذ يوفّر معظم كبار مزوّدي الحوسبة السحابية مناطق مراكز بيانات في الدولة. ويعالج هذا الخيار شروط PDPL لنقل البيانات عبر الحدود وتوقّعات الجهات التنظيمية بشأن موقع البيانات، ويمنح المستخدمين في الإمارات زمن استجابة منخفضاً، ويلبّي توقّع المصرف المركزي بأن تستند أنظمة الدفع التي تخدم عملاء الإمارات إلى بنية تحتية محلية مناسبة.

التشفير أثناء التخزين والنقل. يجب تشفير جميع البيانات المالية الشخصية أثناء التخزين بخوارزمية معترف بها، ونقل جميع البيانات عبر TLS 1.2 أو إصدار أحدث، مع تثبيت الشهادات (certificate pinning) في تطبيقات الجوال عند الاقتضاء. وينبغي أن تُدار مفاتيح التشفير عبر خدمة مخصّصة لإدارة المفاتيح (KMS) أو وحدة أمان مادّية (HSM)، لا عبر متغيّرات البيئة على مستوى التطبيق. وهذه توقّعات أساسية في أي تقييم تقني يجريه المصرف المركزي، وليست ضوابط أمنية اختيارية.

سجلّات تدقيق غير قابلة للتعديل. يجب تسجيل كل إجراء جوهري في نظام التقنية المالية مع طابع زمني ومعرّف المنفّذ وسياق كافٍ لإعادة بناء ما حدث وسببه. ويشمل ذلك إنشاء الحساب، ونتيجة التحقّق من الهوية، وبدء المعاملة، والموافقة، والرفض، ورفع تنبيه مراقبة، وتقديم تقرير معاملة مشبوهة، وأي تغيير إداري. ويجب حفظ السجلّات بطريقة تمنع تعديلها لاحقاً، باستخدام مخازن سجلّات تقبل الإضافة فقط (append-only) أو خدمات تدقيق مخصّصة. ويمكن للمصرف المركزي وسلطة دبي للخدمات المالية طلب سجلّات التدقيق خلال المراجعات الإشرافية، وتُعدّ القدرة على تقديمها دون تأخير من التوقّعات المرتبطة بالترخيص.

فصل البيانات وتطبيق مبدأ الحدّ الأدنى من الصلاحيات. ينبغي أن تُحفظ بيانات الهوية الشخصية وبيانات تدفّقات الدفع وبيانات تحليلات المعاملات في مخازن بيانات منفصلة، مع ضوابط وصول تُفرض على مستوى البنية التحتية. فلا ينبغي أن يتمكّن المهندس العامل على مسار بيانات التحليلات من الاستعلام في مخزن بيانات الهوية دون تصريح صريح. وهذه ممارسة أمنية سليمة، وهي في الوقت نفسه من متطلبات PDPL بشأن التدابير التقنية المناسبة. ويمكن لمنصّات RegTech المؤتمتة أن تساعد في تخفيف العبء التشغيلي الذي يفرضه الحفاظ على هذا الفصل مع توسّع النظام.

كيف ينبغي تنظيم مراحل التطوير من اليوم الأول؟

في النهج الذي يراعي الامتثال، يسير الترخيص والهندسة بالتوازي منذ اليوم الأول. أما تطوير المنتج أولاً ثم الالتفات إلى الامتثال فهو أضمن طريق إلى إعادة عمل مكلفة وتأخّر موعد الإطلاق.

المرحلة الأولى: المتطلبات وخريطة الامتثال. قبل أي عمل تصميمي، أعدّوا وثيقة متطلبات الأعمال (BRD) تحدّد غرض المنتج، وشريحة العملاء المستهدفة، والأنشطة المالية المحدّدة التي سيزاولها. ثم اربطوا هذه الأنشطة بالالتزامات التنظيمية التي تترتّب عليها: فئة ترخيص المصرف المركزي التي تنطبق عليها، والتزامات مكافحة غسل الأموال التي تدخل في النطاق، وأنشطة المعالجة الخاضعة لقانون PDPL، وتدفّقات البيانات التي تنتقل من ولاية قضائية إلى أخرى. وتكون حصيلة هذه المرحلة مصفوفة امتثال، أي وثيقة تُحدَّث باستمرار وتربط كل التزام تنظيمي بمتطلب في المنتج، وكل متطلب بالمكوّن الهندسي الذي سيستوفيه. كما تشكّل هذه الوثيقة الأساس لأي طلب انضمام إلى البيئة التجريبية للمصرف المركزي أو طلب ترخيص.

المرحلة الثانية: تصميم البنية والأمان. يجب مراجعة وثيقة تصميم البرمجيات (SDD) لمنتج التقنية المالية في ضوء مصفوفة الامتثال قبل كتابة أي شيفرة. وينبغي أن تتناول المراجعة نهج إقامة البيانات، واستراتيجية التشفير، وتصميم سجلّات التدقيق، ونموذج التحكّم في الوصول، وأنماط التكامل عبر API. وينبغي إعداد تقييم أثر حماية البيانات الشخصية (DPIA) في هذه المرحلة لكل نشاط معالجة يتضمّن بيانات شخصية عالية المخاطر، ومن ذلك التقييم الائتماني والتنميط وقرارات فتح الحساب المؤتمتة. وإن كنتم تستهدفون الانضمام إلى البيئة التجريبية للمصرف المركزي، فإن وثيقة البنية التقنية التي ستقدّمونها تُستمدّ مباشرةً من هذه المرحلة. والبدء بوثيقة البنية ثم التقدّم بالطلب أسرع بكثير من التطوير أولاً وكتابة الوثائق لاحقاً.

المرحلة الثالثة: التطوير مع نقاط تحقّق للامتثال. ينبغي أن تتضمّن كل محطة في دورات التطوير معايير قبول صريحة للامتثال إلى جانب المعايير الوظيفية. فشاشة KYC لا تكتمل بمجرّد أن تظهر الواجهة سليمة، بل حين تتعامل على نحو صحيح مع رفع الوثيقة، وفحص الحيوية، واستجابة التحقّق من الهوية، ومسارات الرفض، وقيد سجلّ التدقيق لكل نتيجة. وقاعدة مراقبة المعاملات لمكافحة غسل الأموال لا تكتمل بمجرّد أن ترصد معاملة، بل حين يُطلق هذا الرصد سير العمل الداخلي الصحيح، ويُنتج سير العمل هذا سجلّ تدقيق يكشف أي تلاعب.

المرحلة الرابعة: اختبار قبول المستخدم (UAT) والجاهزية التنظيمية قبل الإطلاق. يجب أن يشمل هذا الاختبار في منتجات التقنية المالية حالات اختبار تتعمّد تحدّي النظام: ماذا يحدث حين يقدّم مستخدم وثيقة مزوّرة؟ أو حين تبلغ معاملة عتبة المراقبة؟ أو حين يطلب صاحب البيانات الاطّلاع على بياناته بموجب PDPL؟ ويجب أن يتعامل النظام مع هذه السيناريوهات على نحو صحيح قبل الإطلاق، وأن تُوثَّق أدلة الاختبار ويُحتفَظ بها. أما مراجعة الجاهزية التنظيمية، سواء لطلب الانضمام إلى البيئة التجريبية للمصرف المركزي أو لطلب ترخيص كامل، فتتطلّب جمع الوثائق التالية في ملف طلب متماسك: مصفوفة الامتثال، وتقييم أثر حماية البيانات الشخصية، ووثائق بنية الأمان، وسياسة مكافحة غسل الأموال وإجراءاتها. وفي innopalm، ننظّم كل مشروع في التقنية المالية وفق هذا التسلسل ذي المراحل الأربع، ونتعامل مع الامتثال بوصفه نقطة فحص أساسية للجودة، لا تدقيقاً يُجرى قبيل الإطلاق.

يندرج هذا المقال ضمن عملنا في تطوير برمجيات التقنية المالية، ويعكس منهجية التخطيط التي تقوم عليها طريقة عملنا.

اقرؤوا أيضاً: تطوير وكلاء الذكاء الاصطناعي في الإمارات: دليل المؤسّسات.

أبرز النقاط

• تحتاج معظم منتجات التقنية المالية في البرّ الرئيسي إلى ترخيص من المصرف المركزي، بينما تخضع منتجات الشركات المؤسّسة في مركز دبي المالي العالمي لسلطة دبي للخدمات المالية (DFSA)، ومنتجات الشركات المؤسّسة في سوق أبوظبي العالمي لسلطة تنظيم الخدمات المالية (FSRA)، دون أي تداخل تلقائي بين هذه المسارات.
• يجعل قانون مكافحة غسل الأموال الإماراتي التحقّق من الهوية والمراقبة المستمرّة للمعاملات متطلبات هندسية إلزامية منذ أول دورة تطوير، لا سياسات تشغيلية اختيارية تُطبَّق بعد الإطلاق.
• يسري المرسوم بقانون اتحادي رقم 45 لسنة 2021 (PDPL) على معظم شركات التقنية المالية التي تعالج بيانات المقيمين في الإمارات خارج مركز دبي المالي العالمي وسوق أبوظبي العالمي، باستثناء البيانات المصرفية والائتمانية التي ينظّم حمايتها تشريع خاصّ، ويفرض إدارة الموافقات وتقليل البيانات وأساساً قانونياً موثّقاً لكل نشاط معالجة.
• UAE Pass هي منصّة الهوية الرقمية الوطنية لحكومة الإمارات، وقد سمح المصرف المركزي للمؤسّسات المالية باستخدامها في التحقّق من هوية العملاء، فتخفّ عقبات فتح الحساب للمواطنين والمقيمين المسجّلين في المنصّة.
• تسيير الترخيص والهندسة بالتوازي منذ اليوم الأول، انطلاقاً من مصفوفة امتثال، هو أكفأ طريق من الفكرة إلى الموافقة التنظيمية.

المصادر

1. Know your customer - Wikipedia (en.wikipedia.org)
2. Dubai International Financial Centre - Wikipedia (en.wikipedia.org)
3. Abu Dhabi Global Market - Wikipedia (en.wikipedia.org)
4. Regulatory technology - Wikipedia (en.wikipedia.org)
5. Dubai International Financial Centre - Wikipedia (en.wikipedia.org)
6. Regulatory sandboxes in the UAE (u.ae)
7. The UAE PASS app (u.ae)
8. UAE banks given go-ahead to use UAE Pass to validate clients' identities (pinsentmasons.com)