Kernbankwese, wolk, uitkontraktering en tegnologieregulering

'n Bank is 'n stel belofte wat in 'n grootboek opgeteken word. As die grootboek verkeerd, onbeskikbaar of gekompromitteerd is, kan die bank nie weet wat dit skuld nie, sy kliënte betaal of aan sy toesighouer verslag doen nie. Om hierdie rede ondersoek reguleerders nou tegnologiese argitektuur, uitkontraktering en cyber-weerstand so naby as kapitaalplanne.

Wat 'n kernbankstelsel doen

Die kern bankstelsel is die grootboek van rekord. Dit hou kliënt en rekening data, pos elke transaksie, bereken belange en fooie, en produseer die saldo's waarop alles anders staatmaak.

Typische Funksies bevat:

Funksie	Wat dit dek
Kliënt en rekeningbestuur	Kliënt rekords, rekening opening, produk terme, rekening status
Boekhouding en pos	Real-time of batch posting van debits en credits, algemene grootboek feeds
Deposito's	Huidige, spaar- en termrekeninge, rentekoersverhoging en kapitalisasie
Lening	Lening-oorsprongskoppelvlakke, skemas, terugbetalings, agterstallige bedrae, voorsieningsvoere
Betalingskoppelvlakke	Verbindings na betaling hubs, kaart verwerkers en correspondent rekeninge
Produk konfigurasie	Tariewe, fooie, limiete en reëls sonder kodeveranderinge
Data en verslagdoening	Uittreksels vir finansiële, risiko- en regulatiewe verslagdoening en AML-monitoring

Rondom die kern sit ander stelsels: digitale kanale, 'n betalingshub, kaartbestuur, kliënt-aansluiting en identiteitsverifikasie, sanksieskiet, transaksiemonitoring, treasury, finansies en die regulerende verslagdoeningseenhede.

Argitektuurkeuses

Nuwe banke kies gewoonlik tussen drie modelle.

1. Lisensieerde sagteware, gehost deur die bank of 'n verskaffer. Die bank beheer konfigurasie en data, maar dra die integrasielas.
2. Software as 'n diens op 'n wolkplatform. Vinniger om te lanseer, maar die bank hang af van die verkoper se roetekaart en veerkragtigheid, en die ooreenkoms is uitkontraktering.
3. Banking as 'n diens van 'n ander gelisensieerde instelling. Die vinnigste roete, maar dit kan die vraag oproep of die nuwe bank genoeg eie substansie het.

Toesighouers skryf nie 'n model voor nie. Hulle beoordeel of die bank die een wat hulle gekies het, verstaan en beheer.

Uitkontraktering reëls

Uitkontraktering beteken dat 'n diensverskaffer 'n proses, diens of aktiwiteit uitvoer wat die bank anders self sou uitvoer. In die EU het die EBA Riglyne vir uitkontrakteringsooreenkomste (EBA/GL/2019/02) op 30 September 2019 in werking getree. Hulle vervang vroeër riglyne, waaronder die EBA se aparte aanbeveling oor uitkontraktering na wolkdiensverskaffers.

Die sentrale beginsel is dat verantwoordelikheid nie uitgekontrakteer kan word nie. Die beheerliggaam bly verantwoordelik vir alle uitgekontrakeerde funksies. Instellings “moet ten alle tye voldoende inhoud handhaaf en nie ‘leë velle’ of ‘briefkas-entiteite’ word nie”.

Kritieke of belangrike funksies

Die riglyne pas strenger vereistes toe waar die uitkontrakteringskrities of belangrik is, wat beteken dat 'n mislukking nakoming, finansiële prestasie of voortbestaan materieel sou benadeel. Vir sodanige funksies moet die bank:

1. Voer 'n risikobeoordeling en due diligence op die verskaffer uit voor kontraktering.
2. Insluit kontraktuele regte van toegang, inligting en oudisie vir die bank en die bevoegde owerhede.
3. Beheer van sub-uitkontraktering, insluitend kennisgewing en die reg om te betwis of te beëindig.
4. Stel data sekuriteit, ligging en vertroulikheid vereistes.
5. Uitstapstrategieë gedokumenteer en getoets.
6. Die bevoegde owerhede vooraf in kennis stel van geplande kritieke of belangrike uitkontraktering.

Alle ooreenkomste moet in 'n uitkontrakteringregister wat deur die bank gehou word, opgeteken word.

Buite die EU

Soortgelyke reëls is elders van toepassing. In die Verenigde Koninkryk, PRA Supervisory Statement SS2/21 oor uitkontraktering en derdeparty-risikobestuur, gepubliseer in Maart 2021 en effektief vanaf 31 Maart 2022, dek materiaalheid, datasekuriteit, wolk en uitstapplanning. Die PRA beskryf dit as bedoel om “groter veerkragtigheid en aanvaarding van die wolk en ander nuwe tegnologieë” te vergemaklik.

In Singapoer stel die MASRiglyne vir tegnologiese risikobestuur, wat op 18 Januarie 2021 gepubliseer is, beginsels vir tegnologiese risikobestuur, IT en cyber-weerstand, en word aangevul deur 'n bindende kennisgewing en instruksies vir voorvalverslagdoening.

DORA: digitale operationele veerkragtigheid in die EU

Die Digital Operational Resilience Act, Verordening (EU) 2022/2554, is sedert 17 Januarie 2025 van toepassing. Dit bring IKT-risikobestuur, voorvalverslagdoening, toetsing en derdeparty-risico in een regulasie vir die meeste EU-finansiële entiteite, waaronder banke.

DORA area	Kernvereiste vir banke
IKT-risikobestuur	'n gedokumenteerde raamwerk wat deur die bestuursliggaam goedgekeur en oorsien word, en wat identifikasie, beskerming, opsporing, reaksie en herstel dek
Insidentverslagdoening	Groter IKT-verwante voorvalle moet aan die bevoegde owerhede gerapporteer word onder Artikel 19, met behulp van geharmoniseerde indeling en sjablone
Veerkragtoets	'n toetsprogram vir alle entiteite; vir entiteite wat deur die owerhede geïdentifiseer is, gevorderde bedreigingsgedrewe penetrasietoetse ten minste elke drie jaar op lewende produksiestelsels onder Artikel 26
IKT derdeparty-risiko	'n Strategie oor IKT-derdepartyrisiko, kontrakminimums en 'n register van inligting oor alle IKT-dienskontrakte onder Artikel 28
Toesig oor kritieke verskaffers	Die Europese Toesighoudende Autoriteite benoem kritieke IKT-derdepartydiensverskaffers en beheer hulle direk onder Artikel 31

Artikel 28 bepaal dat finansiële entiteite wat IKT-dienste gebruik, "te alle tye volledig verantwoordelik sal bly vir die nakoming en uitvoering van alle verpligtinge" onder DORA en die finansiële dienstewet. Die register moet dienste onderskei wat kritieke of belangrike funksies ondersteun. Entiteite moet jaarliks oor nuwe reëlings rapporteer en die owerhede op tyd in kennis stel van voorgeskrewe kontrakte vir kritieke of belangrike funksies.

DORA is van toepassing saam met die EBA uitkontraktering riglyne. In praktyk, banke handhaaf een inventaris wat beide tevrede stel.

Cybersecurity

Cyber-risiko is nou deel van prudentiële toesig. Toesighouers verwag dat 'n bank sy inligtingsbates ken, dit in verhouding tot hul kritisiteit beskerm, aanvalle vinnig opspoor en kritieke dienste binne gedefinieerde toleransies herstel.

Sleutel kontroles gewoonlik insluit:

1. Sterke identiteits- en toegangsbestuur, met multi-faktor geldigheidsverklaring en bevoorregte toegangsbeheer.
2. Beveilig sagteware ontwikkeling en verander bestuur, insluitend vir verkoper vrystellings.
3. Enkripsie van data in transit en in rus, en sleutelbestuur wat die bank beheer.
4. Aanhoudende monitering en 'n sekuriteitsoperasies vermoë, in-huis of uitgekontrakteer.
5. Kwetsbaarheidsbestuur en gereelde penetrasietoetse.
6. Rugsteun wat geïsoleer is van die produksie-omgewing en getoets is vir herstel.
7. Insidentantwoordplanne wat regulatiewe kennisgewing en kliëntkommunikasie dek.

Fraudebeheer verbind cyber en betalings. Betalerverifikasie, gedragsanalise en sterk kliëntbevestiging beskerm kliënte omdat betalings onmiddellik en onherroeplik word.

Reglementêre verslagdoening

Banke rapporteer groot hoeveelhede data aan toesighouers en sentrale banke. In die EU, Artikel 430 van die CRR vereis instellings om te rapporteer op eie fondse behoeftes insluitend die hefboom verhouding, groot blootstellings, likiditeitsvereistes, eiendomsbelasting en ESG blootstellings, onder andere items, en sekere instellings moet ook finansiële inligting rapportering. Sentrale banke voeg statistiese verslagdoening, en finansiële inligting eenhede ontvang verdagte transaksie verslagdoening.

Verslagdoenings is net so goed as die data agter hulle. Die ketting van kernstelsel na reguleerder loop gewoonlik:

1. Bron data in die kern stelsel en ander bedryfstelsels.
2. 'n Datawarehuis of verslagdoeningslaag met ooreenstemming na die algemene grootboek.
3. 'n Reglementêre verslagdoeningsmasjien wat data aan toesighouersjablone en geldigheidstoetsreëls toewys.
4. Toetsing en goedkeuring deur finansiële en risiko, met gedokumenteerde beheer.
5. indiening deur die reguleerder se portaal of formaat.

Foute in verslagdoening kan lei tot toesighoudende bevindings en, waar hulle die toesighouer mislei, afdwinging. Nuwe banke onderskat dikwels die werk van die mapping produk data na verslagdoening sjablone voor lansering.

Wat toesighouers soek in 'n lisensie-aansoek

1. 'n Duidelike teikenargitektuur, met elke stelsel, sy eienaar, sy verskaffer en sy ligging.
2. 'n Kritieke of belangrike funksiekaart, wat wys watter funksies uitgekontrakteer is en aan wie.
3. Uittreeplanne vir elke kritieke verskaffer, realisties in tyd en koste.
4. Data ligging en toegang, insluitend vir die toesighouer en resolusie gesag.
5. Getoetsde veerkragtigheid, met hersteltydperke wat ooreenstem met die besigheidsplan se diensbeloftes.
6. Gereedheidsbewyse, soos einde-tot-einde toetsing, migrasieoefening en operationele aanvaarding.

Die ECB se gids vir fintech-banklisensiering vra aansoekers om 'n uitstapplan te oorweeg vir die stop van bedrywighede op 'n ordentlike en solvabele wyse, sonder om verbruikers te benadeel of regulerende ingryping te benodig. Tegnologiekeuses bepaal of so 'n plan geloofwaardig is: data moet herwinbaar wees, rekeninge oordraagbaar en betalings kan skoon stop.

Die volgende artikel verduidelik die betalingsspoor wat die kernstelsel verbind met: kaartskemas, SEPA, onmiddellike betalings en reële tyd bruto nedersetting.