الخدمات المصرفية الأساسية، والسحابة، والاستعانة بمصادر خارجية وتنظيم التكنولوجيا

إن البنك عبارة عن مجموعة من الوعود المسجلة في دفتر الأستاذ. وإذا كان دفتر الأستاذ خاطئاً أو غير متاح أو معرض للخطر، فإن البنك لا يستطيع أن يعرف ماذا يدين لعملائه، أو يدفع لزبائنه، أو يقدم تقارير إلى المشرف عليه. ولهذا السبب، تدرس الهيئات التنظيمية الآن بنية التكنولوجيا، والاستعانة بمصادر خارجية، والمرونة السيبرانية بنفس الدقة التي تدرس بها خطط رأس المال.

ماذا يفعل النظام المصرفي الأساسي

إن النظام المصرفي الأساسي هو دفتر الأستاذ للسجلات. فهو يحتفظ ببيانات العملاء والحسابات، ويسجل كل معاملة، ويحسب الفوائد والرسوم، وينتج الأرصدة التي يعتمد عليها كل شيء آخر.

الوظائف النمطية تشمل:

الوظيفة	ما تغطيه
إدارة العملاء والحسابات	سجلات العملاء، وفتح الحسابات، وشروط المنتجات، وحالة الحساب
دفتر الأستاذ والتسجيل	تسجيل المبالغ المدينة والمبالغ الدائنة في الوقت الحقيقي أو على دفعات، وتغذية دفتر الأستاذ العام
الودائع	الحسابات الجارية وحسابات الادخار والحسابات لأجل، واستحقاق الفوائد ورسملة الأصول
الإقراض	الوصلات البينية لإصدار القروض، والجداول الزمنية، والسدادات، والمتأخرات، وتغذية المخصصات
واجهات الدفع	وصلات بمراكز المدفوعات، وجهات تجهيز البطاقات وحسابات المراسلين
تشكيل المنتج	المعدلات والرسوم والحدود والقواعد دون تغييرات في الرموز
البيانات والإبلاغ	مقتطفات للتمويل والمخاطر والإبلاغ التنظيمي والرصد AML

وتوجد حول النواة نظم أخرى هي: القنوات الرقمية، ومركز للدفع، وإدارة البطاقات، وإدخال العملاء والتحقق من هويتهم، وفحص الجزاءات، ورصد المعاملات، والخزانة، والشؤون المالية، ومحرك الإبلاغ التنظيمي.

الخيارات المعمارية

وتختار المصارف الجديدة عادة بين ثلاثة نماذج.

1. :: برمجيات مرخصة، يستضيفها المصرف أو مقدم خدمات. ويتحكم المصرف في التشكيل والبيانات، ولكنه يتحمل عبء التكامل.
2. البرمجيات كخدمة على منصة سحابية. أسرع في البدء، ولكن المصرف يعتمد على خريطة الطريق للبائع ومرونته، والترتيب هو الاستعانة بمصادر خارجية.
3. :: الخدمات المصرفية كخدمة من مؤسسة أخرى مرخص لها. هذا هو أسرع طريق، ولكنه قد يثير تساؤلاً عما إذا كان لدى المصرف الجديد ما يكفي من العناصر الخاصة به.

إن المشرفين لا يفرضون أي نموذج، بل يقومون بتقييم ما إذا كان البنك يفهم النموذج الذي اختاره ويسيطر عليه.

قواعد الاستعانة بمصادر خارجية

ويعني الاستعانة بمصادر خارجية أن يقوم مقدم الخدمات بعملية أو خدمة أو نشاط كان المصرف سيضطلع به لولا ذلك. In the EU, the EBA Guidelines on outsourcing arrangements (EBA/GL/2019/02) entered into force on 30 September 2019. وقد حلت هذه التوصيات محل توجيهات سابقة، بما في ذلك التوصية المنفصلة الصادرة عن EBA بشأن الاستعانة بمصادر خارجية لتقديم خدمات السحابة.

والمبدأ المركزي هو أنه ﻻ يمكن اﻻستعانة بمصادر خارجية للقيام بالمسؤولية، وتظل هيئة اﻹدارة مسؤولة عن جميع المهام المستعان فيها بمصادر خارجية، وينبغي للمؤسسات " أن تحتفظ في كل اﻷوقات بما يكفي من المحتوى وأﻻ تصبح ' قشوراً فارغة ' أو ' كيانات صناديق بريد ' " .

الوظائف الحرجة أو الهامة

وتطبق المبادئ التوجيهية شروطا أكثر صرامة عندما تكون الوظيفة المستعان فيها بمصادر خارجية حاسمة أو هامة، أي أن الفشل في ذلك من شأنه أن يضر ماديا بالامتثال أو الأداء المالي أو الاستمرارية.

1. إجراء تقييم للمخاطر وبذل العناية الواجبة بشأن مقدم الخدمات قبل التعاقد.
2. تشمل حقوقا تعاقدية للمصرف والسلطة المختصة في الوصول إلى المعلومات ومراجعتها.
3. مراقبة الاستعانة بمصادر خارجية من الباطن، بما في ذلك الإخطار والحق في الاعتراض أو الإنهاء.
4. (ب) تحديد متطلبات أمن البيانات وموقعها وسريتها.
5. توثيق واختبار استراتيجيات الخروج.
6. إبلاغ السلطة المختصة مسبقاً بالاستعانة بمصادر خارجية في الأعمال الحرجة أو الهامة المقررة.

ويجب تسجيل جميع الترتيبات في سجل للاستعانة بمصادر خارجية يحتفظ به المصرف.

خارج الاتحاد الأوروبي

وتنطبق قواعد مماثلة في أماكن أخرى. PRA البيان الإشرافي دإ-2/21 وتغطي المبادئ التوجيهية المتعلقة بالاستعانة بمصادر خارجية وإدارة مخاطر الأطراف الثالثة، الصادرة في آذار/مارس 2021 والتي ستدخل حيز النفاذ اعتبارا من 31 آذار/مارس 2022، الأهمية النسبية وأمن البيانات والتخطيط السحابي والخروج. PRA ويصفها بأنها تهدف إلى تيسير " زيادة المرونة واعتماد التكنولوجيا السحابية وغيرها من التكنولوجيات الجديدة " .

وفي سنغافورة، MAS المبادئ التوجيهية لإدارة المخاطر التكنولوجية) الصادرة في 18 كانون الثاني/يناير 2021، تحدد المبادئ المتعلقة بإدارة المخاطر التكنولوجية وتكنولوجيا المعلومات والقدرة على مواجهة الأخطار الحاسوبية، وتُستكمل بإشعار ملزم وتعليمات بشأن الإبلاغ عن الحوادث.

DORA: المرونة التشغيلية الرقمية في الاتحاد الأوروبي

اللجنة الفرعية قانون المرونة التشغيلية الرقميةوتنطبق اللائحة (EU) 2022/2554، منذ 17 كانون الثاني/يناير 2025، وهي تجمع بين إدارة مخاطر تكنولوجيا المعلومات والاتصالات والإبلاغ عن الحوادث والاختبار ومخاطر الأطراف الثالثة في لائحة واحدة لمعظم الكيانات المالية التابعة للاتحاد الأوروبي، بما فيها المصارف.

منطقة دورا	المتطلبات الأساسية للمصارف
إدارة مخاطر تكنولوجيا المعلومات والاتصالات	:: إطار موثق توافق عليه الهيئة الإدارية وتشرف عليه، ويشمل تحديد الهوية والحماية والكشف والاستجابة والاسترداد
الإبلاغ عن الحادث	ويجب إبلاغ السلطة المختصة بالحوادث الكبرى المتصلة بتكنولوجيا المعلومات والاتصالات في إطار المادة 19:) باستخدام التصنيف المنسق والنماذج
اختبار المرونة	:: برنامج اختبار لجميع الكيانات؛ وبالنسبة للكيانات التي تحددها السلطات، إجراء اختبارات اختراق متقدمة على أساس التهديد كل ثلاث سنوات على الأقل على نظم الإنتاج الحية في إطار المادة 26
مخاطر الأطراف الثالثة في مجال تكنولوجيا المعلومات والاتصالات	وضع استراتيجية بشأن مخاطر الأطراف الثالثة في مجال تكنولوجيا المعلومات والاتصالات، والحدود الدنيا التعاقدية، وسجل للمعلومات المتعلقة بجميع عقود خدمات تكنولوجيا المعلومات والاتصالات في إطار الميزانية المادة 28
الرقابة على مقدمي الخدمات الحاسمين	تعين السلطات الإشرافية الأوروبية مقدمي خدمات تكنولوجيا المعلومات والاتصالات الحرجة من الأطراف الثالثة وتشرف عليهم مباشرة بموجب المادة 31

وتنص المادة 28 على أن الكيانات المالية التي تستخدم خدمات تكنولوجيا المعلومات والاتصالات " تظل في جميع الأوقات مسؤولة مسؤولية كاملة عن الامتثال لجميع الالتزامات والوفاء بها " بموجب هذا القانون. DORA ويجب أن يميز السجل بين الخدمات التي تدعم الوظائف الحاسمة أو الهامة، كما يجب على الكيانات أن تقدم تقارير سنوية عن الترتيبات الجديدة وأن تبلغ السلطة في الوقت المناسب بشأن العقود المقرر إبرامها للوظائف الحاسمة أو الهامة.

وينطبق DORA إلى جانب المبادئ التوجيهية للاستعانة بمصادر خارجية EBA، وفي الممارسة العملية تحتفظ المصارف بجرد واحد يفي بالشروط المذكورة أعلاه.

الأمن السيبراني

أصبحت المخاطر السيبرانية الآن جزءاً من الإشراف التحوطي. ويتوقع المشرفون أن يعرف البنك أصوله المعلوماتية، وأن يحميها بما يتناسب مع أهميتها الحاسمة، وأن يكشف عن الهجمات بسرعة، وأن يستعيد الخدمات الحيوية في حدود تسامح محددة.

وتشمل الضوابط الرئيسية عادة ما يلي:

1. إدارة قوية للهوية والدخول، مع التحقق من الهوية بعوامل متعددة وضوابط الدخول المميزة.
2. تأمين تطوير البرمجيات وإدارة التغيير، بما في ذلك إصدارات البائعين.
3. :: تشفير البيانات العابرة والثابتة، وإدارة المفاتيح التي يسيطر عليها المصرف.
4. الرصد المستمر وقدرة على إجراء عمليات أمنية داخليا أو بالاستعانة بمصادر خارجية.
5. :: إدارة مواطن الضعف واختبار الاختراق بانتظام.
6. النسخ الاحتياطية المعزولة عن بيئة الإنتاج والمختبرة من أجل الاستعادة.
7. خطط الاستجابة للحوادث التي تشمل الإخطار التنظيمي والاتصال بالعملاء.

وتربط ضوابط الغش بين الفضاء الإلكتروني والمدفوعات - ويحمي التحقق من المستفيدين، والتحليل السلوكي، والتوثيق القوي للعملاء العملاء لأن المدفوعات تصبح فورية ولا رجعة فيها.

التقارير التنظيمية

وتقوم المصارف بإبلاغ جهات الإشراف والمصارف المركزية بأحجام كبيرة من البيانات. المادة 430 من القانون الجنائي CRR يقتضي من المؤسسات الإبلاغ عن متطلبات رأس المال الخاص بما في ذلك نسبة الاستدانة، والتعرض الكبير للخطر، ومتطلبات السيولة، وعبء الأصول، والتعرض للمخاطر البيئية والاجتماعية والإدارية، ضمن بنود أخرى، ويجب على بعض المؤسسات أيضاً الإبلاغ عن المعلومات المالية.() وتضيف المصارف المركزية تقارير إحصائية، وتتلقى وحدات الاستخبارات المالية تقارير عن المعاملات المشبوهة.

إن جودة التقارير لا تتجاوز جودة البيانات التي تستند إليها. والواقع أن السلسلة من النظام الأساسي إلى الهيئة التنظيمية تسير عادة على النحو التالي:

1. بيانات المصدر في النظام الأساسي والنظم التشغيلية الأخرى.
2. مستودع بيانات أو طبقة إبلاغ مع تسوية مع دفتر الأستاذ العام.
3. :: محرك للإبلاغ التنظيمي يربط البيانات بالنماذج الإشرافية وقواعد التحقق.
4. استعراض وتوقيع الوثائق من قبل الشؤون المالية والمخاطر، مع توثيق الضوابط.
5. تقديم التقارير عن طريق بوابة أو شكل الهيئة التنظيمية.

إن الأخطاء في الإبلاغ من الممكن أن تؤدي إلى نتائج إشرافية، وحيثما تضلل المشرفين فإنها قد تؤدي إلى الإنفاذ. وكثيراً ما تقلل البنوك الجديدة من شأن العمل الذي يتطلبه ربط بيانات المنتجات بقوالب الإبلاغ قبل إطلاقها.

ما الذي يبحث عنه المشرفون في طلب الترخيص

1. A clear target architecture, with each system, its owner, its provider and its location.
2. A critical or important functions map, showing which functions are outsourced and to whom.
3. خطط الخروج (ب) لكل مقدم خدمات بالغ الأهمية، وواقعية من حيث الزمن والتكلفة.
4. موقع البيانات والوصول إليها) بما في ذلك ما يتعلق بسلطة اﻻشراف وسلطة التسوية.
5. Tested resilience, with recovery times that match the business plan’s service promises.
6. Readiness evidence, such as end-to-end testing, migration rehearsal and operational acceptance.

اللجنة الفرعية ECBدليل ترخيص المصارف التكنولوجية المالية (ب) يطلب من مقدمي الطلبات النظر في خطة خروج لوقف العمليات بطريقة منظمة ومستقرة، دون الإضرار بالمستهلكين أو الحاجة إلى تدخل تنظيمي.() وتحدد الخيارات التكنولوجية ما إذا كانت هذه الخطة ذات مصداقية: يجب أن تكون البيانات قابلة للاسترجاع، والحسابات قابلة للتحويل، والمدفوعات قادرة على التوقف بصورة نظيفة.

وتشرح المقالة التالية مسارات الدفع التي يربطها النظام الأساسي: مخططات البطاقات، SEPA، المدفوعات الفورية والتسوية الإجمالية في الوقت الحقيقي.