الأسئلة الشائعة
إجابات عن مخاطر الأطراف الثالثة في الإمارات.
خمسة عشر سؤالًا نسمعها من فرق المخاطر والامتثال في الإمارات. وتذكر كل إجابة القواعد التي تستند إليها مع مراجعها.
القواعد مستقاة من خريطتنا التنظيمية المستندة إلى المصادر، وقد رُوجعت في 3 نوفمبر 2026. و«مصدر ثانوي» يعني الاعتماد على مكاتب المحاماة أو مصادر ثانوية فقط، و«قيد التأكيد» يعني أن البند مذكور ولم يُتحقق منه.
القواعد
هل إدارة مخاطر الأطراف الثالثة التزام قانوني في الإمارات؟
لا يوجد قانون إماراتي واحد لمخاطر الأطراف الثالثة، وينشأ الالتزام من الجهة الرقابية لكل قطاع. فالمصرف المركزي يشترط استراتيجية لمخاطر الأطراف الثالثة يعتمدها مجلس الإدارة، وعناية واجبة قبل أي ترتيب، ولكل من سلطة دبي للخدمات المالية وسلطة تنظيم الخدمات المالية وسلطة دبي لتنظيم الأصول الافتراضية قواعدها للإسناد الخارجي.
كما تسري القوانين الاتحادية لحماية البيانات ومكافحة غسل الأموال والعقوبات والمستفيد الحقيقي على التعامل مع الموردين في جميع القطاعات.
ما الذي يتطلبه نظام المصرف المركزي C 1/2026 بشأن الأطراف الثالثة؟
يسري نظام إدارة المخاطر التشغيلية منذ 14 سبتمبر 2026. ويتطلب بشأن الأطراف الثالثة استراتيجية يعتمدها مجلس الإدارة (المادة 13.1)، وقدرات داخلية كافية لتجنّب الاعتماد المفرط (المادة 13.2)، وتقييمًا للمخاطر وعناية واجبة قبل أي ترتيب (المادة 13.3)، ومرونة مكافئة لدى المزوّدين الذين تعتمد عليهم العمليات الحرجة (المادة 13.4).
كما يتطلب عقودًا تتيح وصول المصرف المركزي (المواد 13.6 إلى 13.8)، وسجلًا محدّثًا ورقابة مستمرة (المادة 13.9)، وخطط طوارئ وخروج قابلة للتنفيذ (المادة 13.11).
ماذا حدث لهيئة الأوراق المالية والسلع؟
منذ 1 يناير 2026 أُعيد تشكيل هيئة الأوراق المالية والسلع لتصبح هيئة سوق رأس المال، بموجب القانونين الاتحاديين رقم 32 ورقم 33 لسنة 2025. وأصبحت الأصول الافتراضية ضمن نطاق الهيئة، وقد يتداخل ذلك مع سلطة دبي لتنظيم الأصول الافتراضية بالنسبة لمزوّدي الأصول الافتراضية في دبي.
وتشير مصادر ثانوية إلى مهلة سماح حتى 1 يناير 2027 للجهات التي دخلت النطاق حديثًا. ويُستحسن تحديث سجلات الموردين والتراخيص التي ما زالت تذكر الهيئة باسمها السابق.
أي اللغتين هي المعتمدة: العربية أم الإنجليزية؟
في التشريعات الاتحادية والمحلية في البر الرئيسي، تُعد النسخ الإنجليزية ترجمات، ويُعتمد النص العربي عند التعارض. أما مركز دبي المالي العالمي وسوق أبوظبي العالمي فيُصدران تشريعاتهما بالإنجليزية.
وفي العقود والنماذج ثنائية اللغة، يُنص على اللغة المعتمدة، ويُستحسن طلب المشورة القانونية بشأن مستنداتكم.
الإخطارات والموافقات
متى تحتاج المؤسسة الخاضعة للمصرف المركزي إلى عدم ممانعة؟
تنطبق قاعدتان منفصلتان بموجب النظام C 1/2026. فقبل إسناد أي نشاط قد يؤثر تعطّله تأثيرًا كبيرًا في العمليات الحرجة، يجب الحصول على إشعار بعدم الممانعة من المصرف المركزي (المادة 13.5).
أما التغيير الجوهري في عملية حرجة، وقد يشمل تغيير المزوّد، فيستلزم إخطار المصرف المركزي قبل 30 يومًا تقويميًا على الأقل من التنفيذ مع تقرير خبير خارجي، والحصول على عدم ممانعته الكتابية أولًا (المادتان 12.5.5 و12.5.6). وتحتاج البنوك أيضًا إلى عدم ممانعة مسبقة للإسناد الجوهري وفق النظام C 14/2021 (المادة 8.1)، وكذلك شركات التأمين وفق النظام C 25/2022 (المادة 12.2(د)).
هل يتعيّن على الجهات في مركز دبي المالي العالمي وسوق أبوظبي العالمي ولدى سلطة دبي لتنظيم الأصول الافتراضية إخطار جهتها الرقابية بالإسناد الخارجي؟
نعم، للترتيبات الجوهرية. فالجهات الخاضعة لسلطة دبي للخدمات المالية تُبلغها بأي إسناد جوهري (GEN 5.3.22(1))، ولا تحدد القاعدة مهلة لذلك. والجهات الخاضعة لسلطة تنظيم الخدمات المالية تُبلغها بالإسناد الجوهري (GEN 3.3.32(1))، وقد طلبت السلطة في خطابها في يناير 2026 قائمة كاملة بالمزوّدين تشمل وظائف المجموعة.
أما مزوّدو خدمات الأصول الافتراضية فيُخطرون السلطة مسبقًا بأي إسناد جوهري جديد أو متغير جوهريًا، وقبل أي إسناد عابر للحدود.
ما المهلة المتاحة للمؤسسة الخاضعة للمصرف المركزي للإبلاغ عن حادثة؟
هناك محفزان منفصلان. ففي حدث مخاطر تشغيلية يؤثر أو قد يؤثر تأثيرًا كبيرًا في العمليات الحرجة، يُخطر المصرف المركزي خلال 4 ساعات (المادة 15.2.1)، ويُرسل تقرير موجز خلال 24 ساعة (المادة 15.2.2)، ويُخطر عند استئناف العمل الطبيعي (المادة 15.2.3).
وبصورة مستقلة، يجب الإبلاغ عن أي حادثة عالية المخاطر وفق معايير التصنيف المعتمدة من مجلس الإدارة خلال 72 ساعة (المادة 15.3). وإخطار الـ 72 ساعة محفز قائم بذاته يسري بمعزل عن سلسلة الساعات الأربع.
ما مهل الإبلاغ عن الحوادث في مركز دبي المالي العالمي وسوق أبوظبي العالمي ولدى سلطة دبي لتنظيم الأصول الافتراضية؟
تُخطر الجهات في سوق أبوظبي العالمي سلطة تنظيم الخدمات المالية بأي حادثة سيبرانية جوهرية مشتبه بها فور اكتشافها، على ألا يتجاوز التقرير الأول 24 ساعة، ويذكر نص الاستشارة أن عطلات نهاية الأسبوع والعطلات الرسمية تُحتسب. وتُخطر الجهات الخاضعة لسلطة دبي للخدمات المالية بأي حادثة سيبرانية جوهرية خلال 72 ساعة كحد أقصى من العلم بها، وفق مصادر ثانوية.
ويُبلغ مزوّدو خدمات الأصول الافتراضية السلطة بأي حدث جوهري للأمن السيبراني خلال 72 ساعة كحد أقصى من اكتشافه، وبأي إخلال جوهري باتفاقية إسناد جوهري فورًا. أما خروقات البيانات الشخصية فتُبلَّغ إلى مكتب حماية البيانات في سوق أبوظبي العالمي خلال 72 ساعة حيثما أمكن، وإلى مفوض حماية البيانات في مركز دبي المالي العالمي في أقرب وقت ممكن عمليًا.
البيانات
هل يجب أن تبقى بياناتنا داخل الدولة؟
بالنسبة للمؤسسات الخاضعة للمصرف المركزي، يجب الاحتفاظ بنظام السجل الرئيسي (البيانات اللازمة لتشغيل العمليات الحرجة) وحفظه باستمرار داخل الدولة، بما في ذلك عند إسناد النشاط (المادة 8.9 من النظام C 1/2026). ويجوز لفروع المؤسسات الأجنبية الاحتفاظ بنسخة محدّثة داخل الدولة بدلًا من ذلك، بموافقة المصرف المركزي.
وتحتاج البنوك أيضًا إلى موافقة المصرف المركزي وموافقة العميل الكتابية المسبقة قبل مشاركة البيانات السرية خارج الدولة. ويجب أن تبقى المعلومات الصحية المتعلقة بالخدمات المقدمة في الدولة داخلها، إلا حيث يجيز قرار من الجهة الصحية خلاف ذلك.
هل ينطبق قانون حماية البيانات الشخصية على مورّدينا؟
يشمل قانون حماية البيانات الشخصية (المرسوم بقانون اتحادي رقم 45 لسنة 2021) البيانات الشخصية التي تُعالج في البر الرئيسي والمناطق الحرة غير المالية. ويستثني البيانات الحكومية والقطاعات التي لها قوانينها الخاصة، ولكل من مركز دبي المالي العالمي وسوق أبوظبي العالمي قانونه الخاص لحماية البيانات. ويعمل المعالج وفق تعليمات المتحكم.
ويستند النقل إلى الخارج إلى قرار بكفاية الحماية أو إلى اتفاقية دولية أو إلى استثناءات محدودة. ولم تكن اللائحة التنفيذية قد صدرت عند آخر مراجعة لنا، لذا ما زالت مهل الإبلاغ عن الخروقات وتفاصيل النقل بانتظار التحديد.
فحوص الموردين
ما قوائم العقوبات التي يجب على الجهات في الإمارات فحص الموردين مقابلها؟
يجب فحص العملاء والأطراف المقابلة والمستفيدين الحقيقيين والأشخاص ذوي الصلة مقابل قائمة الإرهاب المحلية وقائمة الأمم المتحدة الموحدة (قرار مجلس الوزراء رقم 74 لسنة 2020، المادة 21). ويُشترط الاشتراك في تنبيهات المكتب التنفيذي للرقابة وحظر الانتشار عبر البريد الإلكتروني، وإعادة الفحص فور كل تحديث.
ويجب تجميد أموال الشخص المدرج دون تأخير، أي خلال 24 ساعة من قرار الإدراج. وقد تكون قوائم الدول الأخرى مهمة لأعمالكم، لكنها لا تحل محل القائمة المحلية وقائمة الأمم المتحدة.
من يُعد مستفيدًا حقيقيًا في الإمارات؟
وفق قرار مجلس الوزراء رقم 109 لسنة 2023، المستفيد الحقيقي هو الشخص الطبيعي الذي يملك 25% أو أكثر من الحصص أو حقوق التصويت أو يسيطر عليها، بصورة مباشرة أو غير مباشرة. فإن لم يوجد، فهو من يسيطر على الشركة بوسائل أخرى، وإلا فالمسؤول الإداري الأعلى.
وتحتفظ الشركات بسجل للمستفيدين الحقيقيين وتودعه لدى المسجّل وتُبلغ بالتغييرات خلال 15 يومًا. وتخضع الجهات في مركز دبي المالي العالمي وسوق أبوظبي العالمي والشركات المدرجة والشركات المملوكة بالكامل للحكومة لأنظمة أخرى.
كيف نتحقق من الرخصة التجارية للمورّد ورقم تسجيله الضريبي في الإمارات؟
يتكوّن رقم التسجيل الضريبي من 15 رقمًا ويبدأ بـ 100. وتعرض خدمة «إمارات تاكس» العامة التابعة للهيئة الاتحادية للضرائب الاسم القانوني والحالة لأي رقم تسجيل ضريبي. ويغطي السجل الاقتصادي الوطني رخص البر الرئيسي، أما رخص المناطق الحرة فيُتحقق منها لدى الجهة المصدرة أو في سجلات مركز دبي المالي العالمي وسوق أبوظبي العالمي.
وتحتاج شركة المنطقة الحرة التي تمارس نشاطها في البر الرئيسي إلى فرع أو مكتب تمثيلي هناك. ويمكنكم في هذا الموقع إجراء فحص صيغة رقم التسجيل الضريبي ورقم IBAN. وفي NexaPair تُسجَّل الرخصة ورقم التسجيل الضريبي مع الأدلة التي يراجعها المختص، ويُطلق اقتراب انتهاء الرخصة تنبيهًا.
العقود والمراجعات
ما الذي ينبغي أن يتضمنه عقد الإسناد الخارجي؟
وفق نظام المصرف المركزي C 1/2026، يغطي العقد المكتوب الملزم قانونًا الحقوق والواجبات وملكية البيانات والسرية والإنهاء. وفي العمليات الحرجة يجب أن يتيح لكم فحص السجلات وتلقي تقارير التدقيق والمخاطر، وأن يُلزم المزوّد بالاستجابة لطلبات المصرف المركزي والسماح بالتفتيش الميداني، وأن تمتد البنود نفسها إلى المتعاقدين من الباطن الذين يتلقون بياناتكم (المواد 13.6 إلى 13.8).
وتضيف قواعد سلطة دبي للخدمات المالية وسلطة دبي لتنظيم الأصول الافتراضية التعاون مع الجهة الرقابية، والوصول إلى المقار، ومستويات الخدمة، والمساعدة عند الخروج، وتحديد مواقع البيانات.
كم مرة ينبغي مراجعة المورّد؟
لا توجد دورة موحدة على مستوى الدولة. فسلطة دبي لتنظيم الأصول الافتراضية تتوقع تقييم كل ترتيب قبل بدئه وسنويًا على الأقل. وتتوقع سلطة تنظيم الخدمات المالية تصنيف المزوّدين حسب المخاطر بحيث يحدد التصنيف تواتر المراجعة.
ويتوقع المصرف المركزي تقييمًا مستمرًا يشمل الوضع المالي للمزوّد، واختبار خطط استمرارية الأعمال والتعافي من الكوارث للعمليات الحرجة سنويًا على الأقل. ومن الممارسات الشائعة تحديد تواتر المراجعة حسب الفئة، والمراجعة في وقت أبكر عند صدور تنبيه رقابي.
هذا ملخص للاسترشاد ولا يُعد استشارة قانونية. يُرجى دائمًا الرجوع إلى النص الرسمي وطلب المشورة بشأن وضعكم. وفي التشريعات الاتحادية، يكون النص العربي هو المعتمد.