Viktige poeng
-
Autoriserte personer som SEO, CFO, MLRO og CO må oppfylle krav til skikkethet og hederlighet og er personlig ansvarlige etter DFSA-reglene.
-
Foretak må ha sterk styring, inkludert kvartalsvise styremøter, dokumentert tilsyn, uavhengige komiteer og risikobaserte compliance-planer.
-
AML-etterlevelse omfatter årlig opplæring av ansatte, sanksjonsscreening, PEP-kontroller, transaksjonsovervåking, SAR-innsendinger og detaljerte MLRO-rapporter.
I det øyeblikket et selskap mottar sin Financial Services Permission fra Dubai Financial Services Authority, begynner et nytt kapittel. Rekruttering og kundejakt kan få mest oppmerksomhet, men den virkelige avgjørende faktoren for langsiktig suksess i Dubai International Financial Centre er påviselig etterlevelse av DFSA-regelverket. Denne regeletterlevelsen er det som gjør at dusinvis av stiftelser i DIFC kan vokse under tilsyn og bli svært vellykkede virksomheter med bånd til andre internasjonale selskaper. Denne artikkelen forklarer hele landskapet for etterlevelse for DFSA-selskaper.
Den forklarer hvordan tilsynsmyndigheter klassifiserer risiko, hvilke periodiske rapporter selskaper må fylle ut, hvordan DIFC forventer at styrer håndterer cybertrusler, og hvorfor tester for økonomisk substans nå står side om side med de mer kjente pliktene knyttet til antihvitvasking. Med all nødvendig informasjon for både Senior Executive Officers, compliance-ledere og investorer gjør den tett lovtekst om til praktiske tiltak. Den bør gi deg en god forståelse av hvordan tidlig planlegging hindrer kostbar utbedring senere. Med andre ord: Les videre for å lære alt om etterlevelsesbehovene for DFSA-selskaper og hva du kan forvente når du etablerer ditt eget.
DFSAs etterlevelse for selskaper og prinsippene som former den
DFSA er en uavhengig, risikobasert tilsynsmyndighet med ansvar for å gi tillatelser til foretak, godkjenne enkeltpersoner, fastsette adferds- og soliditetskrav samt håndheve DIFC-lovene som ligger til grunn for mandatet. I tillegg til å føre tilsyn med finansielle tjenester har den eneansvar for håndheving av tiltak mot hvitvasking og terrorfinansiering innenfor frisonen.
Myndigheten må balansere markedsutvikling med vern av forbrukere og omdømmet til De forente arabiske emirater, og derfor bygger tilnærmingen på fem overordnede prinsipper: forholdsmessighet, åpenhet, konsistens, internasjonal tilpasning og konsultativ politikkutforming. Etterlevelse for DFSA-foretak innebærer derfor langt mer enn å bare fylle ut skjemaer; det krever en kultur for åpenhet og evne til å dokumentere kontroller som står i forhold til omfanget og kompleksiteten i hver forretningsmodell.
Autoriserte foretak og autoriserte personer
Når DFSA gir en enhet tillatelse til å yte bestemte finansielle tjenester, blir den et autorisert foretak, underlagt hele regelverket for forretningsskikk, prudensielle krav og generelle moduler. Hver lisensierte funksjon i foretaket må utføres av en autorisert person som oppfyller strenge krav til egnethet og skikkethet knyttet til integritet, kompetanse, finansiell soliditet og løpende faglig utvikling.
Listen omfatter vanligvis Senior Executive Officer, Finance Officer, Compliance Officer, Money Laundering Reporting Officer, og, der det er relevant, ansvarlige for risiko, investering eller teknologi. Når de er godkjent, forblir disse personene personlig ansvarlige, noe som understrekes av DFSAs adgang til å ilegge bøter og, i alvorlige tilfeller, utestenge dem fra ledende roller i hele senteret.
DFSAs rammeverk for etterlevelse
All etterlevelse for DFSA-foretak starter med tilsynsmyndighetens egen risikomodell. Tilsynspersoner vurderer fem iboende risikopilarer.
Forretningsmodell, strategi og styring
De vurderer om inntektene bygger på bærekraftige produkter, om interessekonflikter er identifisert, og hvordan styret fører tilsyn med resultatene.
Finansiell risiko
Uredusert eksponering mot kreditt, likviditet og markedsbevegelser vurderes.
Operasjonell risiko
Sårbarheter i mennesker, prosesser og teknologi kartlegges, med oppmerksomhet på utkontrakterte funksjoner og eldre systemer.
Risiko i forretningsskikk
Tilsynspersoner går gjennom kundeakter og markedsføringsmateriell og vurderer kultur samt risiko for feilrådgivning eller markedsmisbruk.
AML- og finansiell kriminalitetsrisiko
Landeksponering, kundetyper og distribusjonskanaler inngår i en matrise som vurderer sannsynligheten for hvitvasking eller brudd på sanksjoner.
Deretter legges avbøtende systemer og kontroller til, og gapet mellom iboende og gjenværende risiko avgjør om et foretak blir lagt inn under Relationship Management, med en dedikert tilsynsansvarlig, eller Team Supervision, en felles tilnærming brukt for enheter med lavere risiko.
Våre åpningstider: mandag til fredag, kl. 9–18 GMT+4
Tilsynsdialogen: Hva du kan forvente og hvordan du forbereder deg
Etterlevelse for DFSA-foretak er ikke en revisjon én gang i året, det er en løpende dialog. Relationship Managers planlegger stedlige risikovurderinger, tematiske tilsyn, dokumentgjennomganger fra skrivebordet og møter med toppledelsen. De sender også Dear SEO-brev når det oppstår sektorvise bekymringer, for eksempel cyberangrep eller svakheter i atferd overfor detaljkunder. Selv foretak i pooled-modellen har jevnlig kontakt gjennom Supervised Firm Contact Form og tematiske oppsøkende økter. Å gi åpne og raske svar på forespørsler om informasjon er avgjørende; myndigheten anser forsinkelse eller trenering som et varselsignal som fører til nærmere granskning.
Pilar én: Selskapsstyring som fungerer i praksis
DFSA forventer minst fire styremøter hvert år, med agendaer som dekker strategi, risikovilje, kapitalsituasjon, atferdsmål og nye regler. Protokoller må vise kritiske spørsmål, ikke bare stadfeste ledelsens forslag.
Der et foretak har komiteer, revisjon, risiko, godtgjørelse – må mandatene og medlemskapet være i tråd med global beste praksis og unngå interessekonflikter. Uavhengige ikke-utøvende styremedlemmer bør ha sektorkunnskap, sette av nok tid og møte interne og eksterne revisorer alene minst én gang i året. Etterlevelse for DFSA-foretak starter derfor ved styrebordet.
Pilar to: AML- og CTF-kontroller etter Cabinet Decision 10 of 2019
Hvert foretak må opprettholde et risikobasert AML-rammeverk som omfatter vurdering av kunders risiko, kontroll mot sanksjonslister fra UAE og FN, utvidet kundekontroll for politisk eksponerte personer, transaksjonsovervåking tilpasset produktrisiko og rask innsending av rapporter om mistenkelig aktivitet til sentralbankens AMLSCU med kopi til DFSA.
Opplæring av ansatte må skje minst årlig og være rollebasert, mens MLRO sender inn en årlig AML-rapport som oppsummerer systemets effektivitet, identifiserte typologier og iverksatte tiltak.
"Selskaper som håndterer virtuelle eiendeler møter nå flere spørsmål i kundekontrollen om formuens opprinnelse, lommeboktilknytning og etterlevelse av travel rule."
Søyle tre: Økonomisk substans og skattemessig bosted
Selv om DIFC har et femtiårig fritak fra selskapsskatt for de fleste aktiviteter, må enheter som bygger på De forente arabiske emiraters voksende nettverk av skatteavtaler, oppfylle Economic Substance Regulations. Hvis selskapet har inntekter fra hovedkontortjenester, finansiering, leasing, immaterielle rettigheter, distribusjon eller servicesenteraktiviteter, må det utføre kjernefunksjoner som skaper inntekt i De forente arabiske emirater, ha tilstrekkelig bemanning, pådra seg forholdsmessige driftskostnader og opprettholde lokaler. Varsler skal sendes innen seks måneder etter årets slutt, og fullstendige substansrapporter innen tolv måneder der det er aktuelt. Rene holdingselskaper for egenkapital leverer bare varsler, men de trenger fortsatt en direktør i landet og dokumentasjon på beslutningsprosesser.
Søyle fire: Datavern og cyberrobusthet
I henhold til DIFC Law 5 of 2020 må selskaper registrere seg hos Commissioner of Data Protection og utpeke en personvernansvarlig. Samtykke, formålet med behandlingen og oppbevaringsperioder må dokumenteres for hvert sett med personopplysninger. Sikkerhetsbrudd som sannsynligvis kan skade enkeltpersoner, utløser en rapporteringsfrist på syttito timer.
Cyberstyring går lenger; DFSA ønsker at styremedlemmer skal forstå sårbarheter, godkjenne budsjetter og gjennomgå læringspunkter etter hendelser. Eksterne penetrasjonstester, red-team-simuleringer og leverandørvurderinger inngår i et dashbord på styrenivå. Der skytjenester brukes, må banken eller fondsforvalteren eie krypteringsnøkler, replikere på tvers av tilgjengelighetssoner og forhandle frem exit-klausuler dersom leverandøren svikter.
Søyle fem: Operasjonell risiko og Basels elleve prinsipper
Operasjonell risiko fører ofte til de største regulatoriske bøtene, så etterlevelse for DFSA-selskaper krever et strukturert rammeverk. Tilsynet anvender Baselkomiteens elleve prinsipper for god praksis, som krever identifisering og vurdering av operasjonell risiko, omfattende retningslinjer, klart ansvar, tilstrekkelig beredskapsplanlegging, uavhengig verifisering og offentliggjøring der dette er vesentlig. Internrevisjonen må teste rammeverket minst årlig, rapportere direkte til revisjonsutvalget og følge opp utbedringstiltak. Selskaper med handelsplattformer eller betalingsporter må utvide kontrollene til sanntidsovervåking av kapasitet og testing av hot-standby-miljøer.
Få den mest relevante informasjonen om næringslivet i Dubai
Periodisk rapportering
Foretak sender inn kvartalsvise prudensielle rapporter én måned etter utgangen av hvert kvartal og årlige prudensielle rapporter fire måneder etter regnskapsårets slutt. Enheter i kategori 1, 2, 3A og 5 leverer dokumenter for Internal Capital Adequacy Assessment Process samtidig med årsrapporten, mens kategori 3D og Kategori 4 for tiden leverer rapporter for Internal Risk Assessment Process.
Reviderte årsregnskap leveres innen fire måneder etter årsslutt og må stemme nøyaktig med de prudensielle innrapporteringene. Forsikringer for profesjonsansvar fornyes på årsdagen med bekreftelse til tilsynsmyndigheten. Rapporter om mistenkelig aktivitet, sanksjonstreff og vesentlige cybersikkerhetshendelser sendes inn umiddelbart. Forsinkelse eller unøyaktighet kan utløse bøter på opptil USD 100,000.
Forpliktelser overfor selskapsregisteret
Stiftelsesdokumenter ligger hos DIFC Registrar, ikke DFSA, men de to organene deler informasjon. Selskaper må sende inn en årlig bekreftelseserklæring, fornye sin kommersielle lisens på årsdagen, oppdatere registre over aksjeeiere og styremedlemmer innen fjorten dager etter endring og melde enhver endring i aksjekapital eller vedtekter før hendelsen finner sted.
"Manglende overholdelse av ROC-frister medfører økonomiske sanksjoner og signaliserer svakhet til DFSA-tilsynet."
Håndhevings-myndighet og vanlige utløsende hendelser
DFSA kan ilegge økonomiske sanksjoner, begrense virksomhet, suspendere autoriserte personer eller trekke tilbake lisensen. Vanlige utløsere er gjentatt sen rapportering, utilstrekkelig skille av klientmidler, villedende opplysninger i søknader, brudd på minstekrav til kapital eller vesentlige AML-feil. Undersøkelser skjer etter Regulatory Law, og selskaper må bevare dokumenter og samarbeide. Tidlig selvrapportering og korrigerende tiltak reduserer sanksjoner, mens benektelse eller ødeleggelse av dokumentasjon øker dem.
Beste praksis for å bygge etterlevelse i DFSA-selskaper
En integrert etterlevelseskultur starter med tonen fra toppen. Styret bør godkjenne en etterlevelsesplan hver januar, tildele ressurser og følge opp fullføring. Ledelsesinformasjon må være fremoverskuende, for eksempel kapitalprognoser tolv måneder frem og hvordan pipeline påvirker likviditeten. Opplæring virker best når den er tilpasset roller, ikke generelle presentasjoner. Tredjepartsleverandører, fra fondsadministratorer til skyleverandører, trenger risikobasert due diligence, tjenestenivåavtaler og løpende oppfølging. Til slutt bør kvartalsvise styrepapirer inneholde en regulatorisk horisontskanning slik at regelendringer aldri kommer som overraskelser.
Nye temaer: Hvorfor dagens retningslinjer må være klare for fremtiden
DFSA konsulterer om bærekraftsrapportering, samordning av operasjonell robusthet og mulig datadeling innen åpen finans. Selskaper som nå bygger inn fleksible styringsrammer, vil lettere kunne tilpasse seg. Kunstig intelligens i kreditt- og investeringsforvaltning vil møte krav til forklarbarhet og regler mot skjevhet, noe som gjør oversikt over algoritmer og dokumentasjon kritisk. Samtidig endres globale sanksjonsregimer ukentlig, noe som understreker behovet for sanntidsverktøy for screening fremfor periodisk batchbehandling.
Et annet område i rask utvikling er reform av forbrukerplikter, der DFSA signaliserer en dreining mot resultatbasert tilsyn som vil teste komiteer for produktutforming og egnethetsvurderinger. Proaktive selskaper kartlegger allerede kundereiser, dokumenterer verdi for pengene og overvåker klageanalyser for å ligge i forkant.
Styrking av styrets tilsyn: Evaluering, etterfølgelse og mangfold
Selv om DFSA-regelverket fastsetter minimumsfrekvens for møter, går avanserte styrer lenger ved å bestille årlige eksterne evalueringer som måler ytelse mot sammenlignbare selskaper, vurderer hvert styremedlems bidrag og setter målbare forbedringsmål. Planlegging av etterfølgelse dokumenteres og gjennomgås hvert kvartal, slik at kritiske kunnskapsgap ikke oppstår når ledere går videre. Mangfold, ikke bare i kjønn, men også i ferdigheter, geografi og yrkesbakgrunn, behandles som en strategisk styrke som beriker debatten og motvirker gruppetenkning. Å bygge inn disse praksisene signaliserer til DFSA at styring ikke er en etterlevelsesfasade, men en levende drivkraft for robusthet.
-
Enheter som baserer seg på UAEs skatteavtaler, må oppfylle kravene til økonomisk substans, inkludert lokal drift, bemanning og rapporteringsplikt.
-
Databeskyttelse er regulert av DIFC Law 5 of 2020; selskaper må utpeke en personvernansvarlig, sikre data og rapportere brudd innen 72 timer.
-
Periodiske rapporter omfatter kvartalsvise tilsynsreturer, reviderte regnskap, innleveringer om kapitaldekning og ROC-innleveringer ved endringer i aksjonærer eller styremedlemmer.
Hvordan RegTech omformer etterlevelse for DFSA-foretak
RegTech-løsninger automatiserer nå kartlegging av regelendringer, risikoscore, transaksjonsovervåking og generering av regulatoriske rapporter. Foretak som bruker maskinlæringsmotorer for navnescreening har redusert falske positive med femti prosent, noe som frigjør analytikere til mer verdifulle undersøkelser. Verktøy for naturlig språkprosessering skanner styredokumenter og e-posttrafikk for indikatorer på atferdsrisiko, og varsler Compliance lenge før problemer blir tydelige.
DFSA oppmuntrer til slik innovasjon, forutsatt at algoritmene er transparente, datalinjen er dokumentert og mennesker fortsatt er ansvarlige for endelige beslutninger. Tidlig bruk reduserer ikke bare kostnads-/inntektsforholdet, det viser også regulatoren at foretaket investerer i en bærekraftig infrastruktur for etterlevelse.
Aston VIPs rolle i deres etterlevelsesreise
Å ligge i forkant med etterlevelse for DFSA-foretak er en kontinuerlig prosess, ikke et engangsprosjekt. Aston VIP støtter hele syklusen, fra innledende gap-analyse og utforming av retningslinjer til utkontrakterte mandater som Compliance Officer og MLRO. Vårt team utformer risikobaserte overvåkingsprogrammer, bygger maler for prudensielle rapporter, leverer testing av cyberrobusthet med kvalifiserte etiske hackere og lærer opp styrer i praktiske tilsynsteknikker.
Vi håndterer også oppdateringer av Regulatory Business Plan når foretak legger til nye tillatelser eller utvider på tvers av grenser, og vi fungerer som kontaktledd under DFSAs tematiske gjennomganger, og sikrer rettidige og nøyaktige svar som bygger tillit hos tilsynsmyndigheten. For å diskutere et skreddersydd veikart for etterlevelse som passer budsjettet og vekstambisjonene deres, ta kontakt via Aston VIPs kontaktside, så vil vårt DIFC-team for etterlevelse svare innen én arbeidsdag.
