> Disclaimer: Questo contenuto è fornito esclusivamente a scopo educativo e di riferimento per i software builder. Non costituisce consulenza medica, legale, finanziaria o normativa. Consulta un professionista qualificato prima di prendere decisioni basate su questo contenuto.
Qual è il periodo minimo di conservazione per i record dei broker-dealer ai sensi della Regola 17a-4?
Il periodo minimo di conservazione generale ai sensi della Regola 17a-4(b)(1) è di sei anni dalla fine dell'esercizio fiscale in cui il record è stato creato. Per i record nei primi due di questi sei anni, devono essere facilmente accessibili - recuperabili e riproducibili entro un tempo di risposta accettabile per gli ispettori (tipicamente entro lo stesso giorno o il giorno lavorativo successivo). Alcuni record hanno periodi di conservazione più lunghi: gli accordi di partnership, gli atti costitutivi e determinati record dei clienti devono essere conservati per tutta la vita dell'impresa più tre anni. I builder dovrebbero codificare l'obbligo di conservazione di ciascun tipo di record in una tabella di configurazione e guidare il motore di archiviazione da quella configurazione. (17 CFR § 240.17a-4(b))
Il cloud object storage soddisfa il requisito WORM della Regola 17a-4?
Sì, il cloud object storage può soddisfare la Regola 17a-4(f) se configurato in modalità Object Lock Compliance, che impedisce a qualsiasi utente - incluso il proprietario del bucket - di eliminare o sovrascrivere un oggetto prima della scadenza del periodo di conservazione. Il requisito aggiuntivo fondamentale è ottenere una lettera di impegno (undertaking letter) dal provider cloud che dichiari che notificherà alla DEA del broker-dealer prima di eliminare qualsiasi record e fornirà accesso ai record su richiesta normativa. Amazon S3, Azure Blob Storage Immutable e Google Cloud Storage Object Lock offrono tutti la modalità Compliance e possono fornire la lettera richiesta. (17 CFR § 240.17a-4(f)(3)(vii))
Quali record deve creare un broker-dealer ai sensi della Regola 17a-3?
La Regola 17a-3 richiede ai broker-dealer di creare e mantenere le seguenti categorie di record: (1) blotter di tutti gli acquisti e le vendite di valori mobiliari, con data, ora, prezzo e controparte; (2) libri mastri dei valori mobiliari long e short; (3) conti di libro mastro per ciascun cliente; (4) memoranda degli ordini ricevuti e trasmessi; (5) copie di tutte le conferme di esecuzione inviate ai clienti; (6) record di tutte le informazioni sui clienti richieste da FINRA (Regola 17a-3(a)(17)); e (7) record degli accordi di compensazione per i collaboratori. Le piattaforme software per broker-dealer devono generare automaticamente tutti i tipi di record richiesti man mano che le transazioni vengono elaborate. (17 CFR § 240.17a-3(a))
Come si applica la Regulation SCI a un sistema di trading alternativo?
Un ATS che abbia rappresentato il cinque percento o più del volume medio giornaliero in dollari negoziato in qualsiasi titolo NMS è soggetto alla Regulation SCI come SCI ATS. Le SCI ATS devono: adottare e applicare politiche e procedure SCI scritte; segnalare gli eventi SCI alla SEC; condurre revisioni SCI annuali; e implementare solidi piani di business continuity con test regolari. I builder devono strumentare i loro sistemi ATS con monitoraggio della capacità, pipeline di test automatizzato del failover e logica di classificazione degli eventi SCI. (17 CFR §§ 242.1000–1007)
Quali dati devono essere acquisiti in un record di ordine ai sensi della Regola 17a-3?
Un memorandum di ordine ai sensi della Regola 17a-3(a)(6) deve contenere: il conto per cui è stato inserito; il momento in cui l'ordine è stato ricevuto; il momento in cui l'ordine è stato inserito; il prezzo a cui l'ordine è stato eseguito; e l'identità del collaboratore che ha inserito l'ordine. I builder devono garantire che l'OMS applichi un timestamp UTC lato server a ogni transizione di stato dell'ordine e registri il broker esecutore e la venue.
Cos'è una lettera di impegno di terze parti e quando è richiesta?
Una lettera di impegno di terze parti è una dichiarazione firmata dal provider del supporto di archiviazione elettronica - tipicamente un provider di cloud storage - che si impegna a notificare alla DEA del broker-dealer prima di eliminare qualsiasi record e a fornire l'accesso ai record agli ispettori su richiesta. È richiesta ai sensi della Regola 17a-4(f)(3)(vii) ogni volta che un broker-dealer utilizza un sistema di archiviazione di terze parti per soddisfare il requisito WORM. Senza questa lettera in archivio, la configurazione WORM cloud da sola non soddisfa la regola.
Come dovrebbe un builder implementare un audit log immutabile per i record regolamentati dalla SEC?
Un audit log immutabile per i record regolamentati dalla SEC deve: (1) registrare ogni lettura, scrittura, tentativo di cancellazione ed esportazione di ciascun book-or-record con l'identità dell'attore, il timestamp UTC, l'identificatore della risorsa, il tipo di azione e l'esito; (2) essere conservato su supporto WORM-compliant separatamente dal database dell'applicazione; (3) essere coperto dalla stessa politica di conservazione di sei anni dei record sottostanti; e (4) essere indicizzato per consentire il recupero per ID record, ID utente, intervallo di tempo e tipo di azione. (17 CFR § 240.17a-4(f)(2)(ii))
Qual è la tempistica di notifica degli eventi SCI?
Ai sensi della Regola 242.1002, le SCI entity devono presentare un rapporto iniziale alla SEC per gli eventi SCI che interessano sistemi SCI critici entro un'ora dalla valutazione dell'entità che l'evento SCI ha avuto o potrebbe avere un impatto materiale sulle sue operazioni o sui partecipanti al mercato. Per gli eventi SCI che interessano sistemi non critici, il rapporto iniziale deve essere presentato tempestivamente ma non oltre 24 ore. Un rapporto di follow-up con informazioni complete deve essere presentato entro 30 giorni di calendario. (17 CFR § 242.1002(b))
Come dovrebbero essere configurate le soglie di monitoraggio delle transazioni AML per una piattaforma broker-dealer?
Il monitoraggio delle transazioni AML non dovrebbe fare affidamento su una singola soglia monetaria fissa. La best practice è un approccio stratificato: (1) presentazione obbligatoria del CTR per qualsiasi transazione in contanti superiore a $10.000 per le regole FinCEN; (2) controlli di velocità che segnalano una frequenza di transazioni insolita per il livello di rischio del cliente; (3) rilevamento di pattern per tipologie note come transazioni a cifra tonda, layering su più conti e movimenti rapidi in entrata e in uscita; e (4) rilevamento di anomalie nel gruppo di pari che segnala le transazioni che si discostano più di due deviazioni standard da una baseline. I builder devono implementare le regole come oggetti configurabili e verificabili nel database piuttosto che come logica codificata in modo rigido. (31 CFR § 1023.320; 31 CFR § 1010.311)
Quali sono i requisiti di segregazione dei dati per i fondi dei clienti presso un broker-dealer?
Ai sensi della Regola 15c3-3 (Customer Protection Rule), i broker-dealer devono segregare i fondi e i valori mobiliari dei clienti dagli asset proprietari della società. Specificamente, i saldi di credito liberi dei clienti devono essere depositati in un Special Reserve Bank Account for the Exclusive Benefit of Customers (SEC Account). I builder di sistemi back-office per broker-dealer devono implementare: conti di libro mastro separati per gli asset dei clienti rispetto a quelli della società; calcolo notturno della formula di riserva; trasferimento automatizzato al conto bancario di riserva; e audit trail che evidenzi ciascun calcolo notturno. (17 CFR § 240.15c3-3)
Qual è la differenza tra record facilmente accessibili e non facilmente accessibili ai sensi della Regola 17a-4?
Ai sensi della Regola 17a-4(b)(4), i record nei primi due anni del loro periodo di conservazione richiesto devono essere facilmente accessibili - il broker-dealer deve essere in grado di fornire tempestivamente una copia agli ispettori. Per il restante periodo di conservazione (anni 3–6 per i record con obbligo di sei anni), i record possono essere in archiviazione meno immediatamente accessibile, purché possano ancora essere recuperati entro un tempo ragionevole su richiesta dell'ispettore. I builder dovrebbero implementare archiviazione a livelli: archiviazione attiva per gli anni 0–2 (alta IOPS, online) e archiviazione di archivio per gli anni 3–6 (ottimizzata per i costi, tier offline o cold). (17 CFR § 240.17a-4(b)(4))
Come dovrebbero essere protette le informazioni di identità dei clienti presso un broker-dealer?
Le informazioni di identità dei clienti includono nome, indirizzo, data di nascita, codice fiscale e copie dei documenti di identità raccolti durante l'apertura del conto. Queste informazioni devono essere: (1) conservate crittografate a riposo (AES-256); (2) il cui accesso è controllato solo al personale autorizzato; (3) conservate per almeno cinque anni dalla chiusura del conto per le regole CIP; e (4) coperte dal programma di sicurezza delle informazioni del broker-dealer.
Cos'è lo strutturazione (structuring) e come dovrebbe un builder implementare il suo rilevamento?
Lo structuring (o smurfing) è la pratica di condurre transazioni finanziarie in importi progettati per eludere la soglia di presentazione del CTR di $10.000. Lo structuring è illegale ai sensi del 31 U.S.C. § 5324. La logica di rilevamento deve: aggregare tutte le transazioni per cliente e giorno; segnalare qualsiasi giorno in cui l'attività aggregata in contanti si avvicina ma non supera i $10.000 in assenza di una plausibile spiegazione aziendale; applicare una finestra di lookback (tipicamente 30 giorni) per rilevare lo structuring su più giorni; e integrare il flag nel workflow decisionale del SAR per la revisione dell'analista.
Come dovrebbe un builder implementare libri e registri per un broker-dealer basato sul web?
Il sistema di libri e registri di un broker-dealer basato sul web deve acquisire: tutte le comunicazioni elettroniche relative all'attività del broker-dealer (email, chat, SMS - ai sensi della Regola 17a-4(b)(4)); blotter degli scambi e memoranda degli ordini generati dal sistema di trading (Regola 17a-3); record dei conti dei clienti (Regola 17a-3(a)(17)); e record di libro mastro finanziario (Regola 17a-3(a)(2)). Lo stack di implementazione dovrebbe instradare tutti i record regolamentati attraverso un tier di archiviazione WORM append-only al momento della scrittura, con un database indice separato per la capacità di query.
Cos'è il requisito di riproduzione accessibile della SEC ai sensi della Regola 17a-4?
La Regola 17a-4(f)(2)(ii) richiede che i broker-dealer siano in grado di produrre una stampa leggibile di qualsiasi record conservato elettronicamente prontamente su richiesta della SEC o dell'SRO. I builder devono implementare: (1) una API di query che recuperi qualsiasi record per account ID, data range e tipo di documento entro secondi; (2) funzionalità di esportazione in PDF/TIFF per la stampa pronta; (3) controlli di accesso per i revisori regolatori che garantiscano l'accesso in sola lettura; e (4) sistemi di accesso secondari fuori sede che possano servire le richieste dei revisori se il sistema primario è indisponibile. Il mancato soddisfacimento di questo requisito durante un esame può portare a sanzioni normative.