Главное: Dubai Financial Services Authority 28 октября 2026 года оштрафовал местную «дочку» Moody's — Moody's Investors Service Middle East Limited — на $585 825 (Dh2 149 977, около Dh2,15 млн) за недостатки в защите конфиденциальных данных. С декабря 2023 по май 2026 года компания сама сообщила регулятору о семи инцидентах непреднамеренного раскрытия информации, четыре из которых затронули внешних получателей.
Это первое громкое публичное наказание международного рейтингового агентства со стороны DIFC-регулятора — и прямой сигнал всему финсектору ОАЭ: data governance теперь проверяется не на бумаге. По материалам Gulf News и The National, Moody's подписала досрочное соглашение об урегулировании и получила скидку: без неё штраф составил бы $836 892 (около Dh3,07 млн).
Что именно нарушила Moody's
Расследование DFSA зафиксировало, что в период с декабря 2023 по май 2026 года в Moody's Middle East случилось семь инцидентов непреднамеренной утечки данных. В четырёх из них конфиденциальные сведения ушли внешним получателям — то есть покинули периметр компании.
Корень проблемы, по формулировке регулятора, — организационный: Mismel прекратила использование одного из инструментов информационной безопасности без немедленной замены, а внутренние системы и контроли не позволяли своевременно обнаруживать и предотвращать такие утечки. Внутренняя дисциплинарная практика в отношении сотрудников, допускавших нарушения, тоже признана недостаточно эффективной.
«Рейтинговые агентства хранят у себя большие объёмы в том числе высокочувствительной и конфиденциальной информации, — отметил Alan Linning, управляющий директор по правоприменению DFSA. — Они обязаны обеспечивать защиту таких данных от несанкционированного доступа и раскрытия, иначе под угрозой оказывается целостность, стабильность и упорядоченное функционирование финансовых рынков». Регулятор особо подчеркнул, что Mismel хранит сведения о публичных и частных компаниях, правительствах и других контрагентах — то есть практически обо всех «субъектах» местного рынка капитала.
Что это значит для DIFC и ADGM
Публично наказав международное рейтинг-агентство, DFSA зафиксировал новую планку требований к data confidentiality для всех лицензированных компаний в DIFC и — по аналогии — в ADGM. Тема актуальна для банков, брокеров, управляющих активами, крипто-платформ и фондов: любой участник, работающий с чувствительной клиентской информацией, попадает в ту же категорию риска. Подробнее о последних изменениях в регулировании бизнеса в ОАЭ мы разбирали отдельно — но прецедент с Moody's добавляет к ним конкретный ценник за «пробои» в data governance.
Три практических вывода из решения регулятора:
- Инструменты безопасности нельзя отключать «на время». Снятие любого контроля без немедленной компенсирующей замены — автоматический риск-фактор при проверке.
- Контроль утечек должен быть не только превентивным, но и детектирующим. DFSA отдельно обратил внимание на отсутствие возможности своевременно обнаруживать и купировать инциденты.
- Дисциплинарная практика внутри компании — часть compliance. Если сотрудник, допустивший утечку, не получает чётких внутренних последствий, регулятор видит в этом системный пробел.
Как снизить вероятность похожей истории
Для компаний в DIFC и ADGM — и для тех, кто только планирует регистрацию в финзонах — минимальная «гигиена» data governance в 2026 году выглядит так:
- Поддерживать актуальный реестр инструментов data security и чётко документировать любые изменения (отключение, замена, миграция).
- Выстроить мониторинг исходящего трафика и доступа к чувствительным данным — Data Loss Prevention не на бумаге, а в метриках.
- Внедрить процедуру быстрого самостоятельного уведомления регулятора о выявленных инцидентах — Moody's сама сообщила DFSA, и это, по сути, стало частью смягчающих обстоятельств.
- Регулярно проводить внутренний аудит дисциплинарных мер по инцидентам — не только фиксировать событие, но и показывать выводы в отношении сотрудников.
Для международных компаний, выбирающих юрисдикцию в экономике ОАЭ на 2026 год, этот кейс — не повод отказаться от DIFC или ADGM, а наоборот: подтверждение того, что регулятор работает по международным стандартам и прозрачно публикует решения.
DFSA ужесточает enforcement
Штраф Moody's — не единичный случай. По материалам The National, в последнее время DFSA штрафует и других участников: бывший финансист Gary Joseph Peters получил $210 000 за недостоверную информацию и непредоставление документов, Dubai-подразделение Hayman-Woodward Global Mobility Services — $454 367 за несанкционированные услуги, Vault Wealth — Dh401 000 за несанкционированные операции. Параллельно свои решения публикуют ADGM FSRA и Центральный банк ОАЭ. Это та самая зрелость юрисдикции, о которой любят говорить проспекты DIFC — просто теперь она подкреплена цифрами в графе «штраф».
Эта статья носит информационный характер и не является юридической или инвестиционной рекомендацией. Для оценки комплаенс-рисков в вашей структуре обращайтесь к лицензированным консультантам в DIFC/ADGM.
