Əsas bankçılıq, bulud, asılılıq və texnologiya tənzimlənməsi

Bir bank bir kitabda qeyd olunan vədlər toplusudur. Əgər bu kitab səhv, mövcud deyilsə ya da təhlükə altındadırsa, bank borclarının nə olduğunu bilməyəcək, müştərilərinə ödəyəcək və ya nəzarətçilərinə hesabat verə bilməyəcəkdir. Bu səbəbdən, tənzimləyicilər indi kapital planları kimi texnologiya quruluşunu, asılılığı və kibertəhlükəsizliyi də yaxından araşdırırlar.

Core bank sistemi nə edir

Əsas bankçılıq sistemi qeydlərin böyük kitabıdır. O, müştəri və hesab məlumatlarını saxlayır, hər əməliyyatı yazır, faizləri və ödənişləri hesablayır və bütün digər şeylərin əsasını təşkil edən balansları istehsal edir.

Tipik funksiyalar aşağıdakıları ehtiva edir:

Funksiya	( O ) nələri bürüyəcəkdir ?
Müştəri və hesab idarəsi	Müştəri qeydləri, hesab açma, məhsul şərtləri, hesab vəziyyəti
Hesab və ödəniş	Debet və kreditlərin real vaxtlı ya da paketli yazılmaları, ümumi kitabxana axınları
Depozitlər	Ödənişli, sığorta və müddətli hesablar, faiz yığımı və kapitallaşdırma
Borclu	Kredit yaranma interfeysləri, təqvimlər, geriödənişlər, borclar, təminat axınları
Ödəniş interfeysləri	Ödəniş mərkəzlərinə, kart prosessorlarına və əlaqəli hesablara bağlantılar
Produkt konfiqurasiya	Kod dəyişikliyi olmadan dərəcələr, ödənişlər, limitlər və qaydalar
Verilənlər və hesabatlar	Maliyyə, risk, tənzimləyici hesabatlar və AML monitorinq üçün çıxarışlar

Əsas ətrafında digər sistemlər oturur: rəqəmsal kanallar, ödəniş mərkəzi, kart idarəetməsi, müştərilərin daxil olması və şəxsiyyətin təsdiqi, sanksiyaların yoxlanılması, əməliyyatların monitorinqi, xəzinədarlıq, maliyyə və tənzimləyici hesabat motoru.

Mimari seçimləri

Yeni banklar adətən üç model arasında seçim edirlər.

1. Lisenziyalaşdırılmış proqram təminatı, bank və ya bir provayder tərəfindən idarə olunur. Bank konfiqurasiya və məlumatları nəzarət edir, lakin inteqrasiya yükünü daşıyır.
2. Software as a service on a cloud platform. Daha sürətli başlatmaq, lakin bank satıcının yol xəritəsinə və davamlılığına bağlıdır, və razılaşma outsourcingdir.
3. Banking as a service from another licensed institution. Ən sürətli yol, lakin bu yeni bankın özlüyündə kifayət qədər maddəyə malik olub-olmadığını soruşa bilər.

Nəzarətçilər bir model təyin etmirlər. Onlar bankın seçdiyi modeli anladığını və idarə etdiyini qiymətləndirirlər.

Outsourcing qaydaları

Outsourcing deməkdir ki, xidmət təminatçısı prosesi, xidməti və ya fəaliyyəti bankın başqa cür yerinə yetirəcəyini yerinə yetirir. Avropa Birliyində EBA Outsourcing arrangements (EBA/GL/2019/02) 30 sentyabr 2019-cu ildə qüvvəyə minib. Onlar əvvəlki göstərişləri, o cümlədən EBA-in bulud xidmət təminatçıları üçün outsourcing haqqında ayrı tövsiyələrini əvəz etmişdir.

Mərkəzi prinsip budur ki, məsuliyyət kənarlaşdırıla bilməz. İdarəetmə orqanı bütün kənarlaşdırılmış funksiyalar üçün məsuliyyət daşıyır. İnstitutlar "hər zaman kifayət qədər maddəyə sahib olmalı və 'boş qabıq' və ya 'poçt qutusu entitetləri' olmamalıdır".

Çox vacib və ya əhəmiyyətli funksiyalar

Bu qaydalar daha sərt tələblər tətbiq edir, yəni xarici funksiya kritik və ya vacibdirsə, səhv material uyğunluğu, maliyyə performansı və ya davamlılığı zəiflədəcəkdir. Belə funksiyalar üçün bank:

1. Müqavilə bağlamazdan əvvəl xidmət göstəricisi haqqında risk qiymətləndirməsi və lazımi diqqət yetirin.
2. Bank və müvafiq orqanlar üçün əldə etmək, məlumatlandırmaq və audit etmək hüquqlarını əhatə edir.
3. İdarəetmə sub-outsourcing, xəbərdarlıq və etiraz etmək və ya dayandırmaq hüququ da daxil olmaqla.
4. Data təhlükəsizliyi, yer və məxfilik tələblərini təyin edin.
5. Çıxış strategiyalarını sənədləşdirmiş və sınamışam.
6. Planlaşdırılan kritik və ya vacib outsourcing haqqında müvafiq orqanı əvvəlcədən məlumatlandırın.

Bütün razılaşmalar bank tərəfindən saxlanılan bir outsourcing qeydiyyatında qeyd edilməlidir.

ABŞ-dan kənar

Böyük Britaniyada, PRA SS2/21 Outsourcing və üçüncü tərəf risk idarəçiliyi haqqında 2021-ci ilin mart ayında nəşr olunan və 31 Mart 2022-ci ildən qüvvəyə minəcək Supervisory Statement, materiallıq, məlumat təhlükəsizliyi, bulud və çıxış planlaşdırmasını əhatə edir. PRA onu "daha böyük davamlılıq və buludun və digər yeni texnologiyaların qəbulunu asanlaşdırmaq" məqsədilə nəzərdə tutulmuşdur.

Sinqapurda, 18 yanvar 2021-ci ildə nəşr olunan MAS Texnologiya Risk İdarəetmə Qaydaları texnologiya risk idarəçiliyi, IT və kiber davamlılıq üçün prinsipləri müəyyənləşdirir və bağlayıcı xəbərdarlıq və hadisənin məlumatlandırması ilə tamamlayırlar.

DORA: AB-də rəqəmsal əməliyyat davamlılığı

Digital Operational Resilience Act, Regulation (EU) 2022/2554, 17 yanvar 2025-ci ildən tətbiq edilmişdir. Bu, banklar da daxil olmaqla AB-nin bir çox maliyyə təşkilatları üçün İKT risk idarəetmə, hadisə xəbərdarlığı, test və üçüncü tərəf riskini bir qaydaya gətirir.

DORA sahəsi	Banklar üçün əsas tələblər
İKT risk idarəetməsi	İdarəetmə orqanı tərəfindən təsdiqlənmiş və nəzarət edilən, identifikasiya, qorunma, aşkarlama, cavab və bərpanı əhatə edən sənədləşdirilmiş çərçivələr
Hadisə xəbərdarlığı	Böyük İKT-lə bağlı hadisələr müvafiq orqana Maddədə 19, harmonizasiya edilmiş sinifləndirmə və şablonlardan istifadə etməklə məlumat verilməlidir
Dözümlülük sınağı	Bütün subyektlər üçün bir test proqramı; orqanlar tərəfindən müəyyən edilmiş subyektlər üçün, 26-cı maddənin altında canlı istehsal sistemlərində ən azı hər üç ildən bir təhlükə ilə idarə olunan penetrasiya testi
Üçüncü tərəf riskləri	İKT üçüncü tərəf riskləri, müqavilə minimumları və Maddəsi 28 üzrə bütün İKT xidmət müqavilələri haqqında məlumatların qeydiyyatı
Çox vacib təminatçıların nəzarəti	Avropa Müşahidə Orqanları 31-ci maddənin tələblərinə uyğun olaraq vacib üçüncü tərəf İKT xidmət təminatçıları müəyyən edir və onları doğrudan nəzarətə götürürlər

28-ci maddədə bildirilir ki, İKT xidmətlərindən istifadə edən maliyyə qurumları DORA və maliyyə xidmətləri haqqında qanuna uyğun olaraq "hər zaman bütün öhdəliklərin yerinə yetirilməsi üçün tam məsuliyyət daşımalıdırlar". Qeydiyyatda kritik və ya vacib funksiyaları dəstəkləyən xidmətlər fərqləndirilməlidir. Qurumlar hər il yeni razılaşmalar barədə hesabat verməli və əhəmiyyətli və ya vacib funksiyalar üçün planlaşdırılan müqavilələr haqqında vaxtında orqanı məlumatlandırmalı olmalıdırlar.

DORA EBA outsourcing istiqamətləri ilə yanaşı tətbiq olunur. Praktikada, banklar hər ikisini razı salacaq bir inventarı saxlayır.

Kiber təhlükəsizlik

Cyber risk indi prudential supervisionin bir hissəsidir. Supervisors a bank its information assets know, protect them in proportion to their criticality, detect attacks quickly, and recover critical services within defined tolerance.

Açar idarələri adətən aşağıdakıları ehtiva edir:

1. Güclü şəxsiyyət və giriş idarəetməsi, çox-faktorlu təsdiqləmə və üstünlüklü giriş nəzarəti ilə.
2. Təhlükəsiz proqram təminatı inkişaf etdirilməsi və dəyişiklik idarəetməsi, satıcı buraxılışları da daxil olmaqla.
3. Datanın şifrələnməsi tranzit və istirahət zamanı, və bankın nəzarət etdiyi açar idarəetmə.
4. Davamlı monitorinq və təhlükəsizlik əməliyyatları bacarığı, daxili və ya xarici.
5. Təhlükəsizlik idarəetməsi və müntəzəm penetrasiya testləri.
6. İstehsal mühitindən izolyasiya edilmiş və bərpa üçün sınaqdan keçirilmiş ehtiyat nüsxələri.
7. İdarəetmə bildirişləri və müştəri kommunikasiyasını əhatə edən hadisə cavab planları.

Dolandırıcılıq nəzarətləri kiber və ödənişləri birləşdirir. Ödənişlərin dərhal və geri qaytarılamaz olduğu üçün alıcının təsdiqi, davranış analizi və güclü müştəri tanınması müştəriləri qoruyur.

İdarəetmə

Banklar nəzarətçilərə və mərkəzi banklara böyük həcmdə məlumat təqdim edirlər. Avropa İttifaqında 430-cu maddənin CRR müddəası institutlardan öz kapital tələbləri, o cümlədən öhdəlik nisbəti, böyük risklər, likvidlik tələbləri, aktivlərin yüklənməsi və ESG riskləri barədə məlumat vermələrini tələb edir. Bəzi institutlar da maliyyə məlumatlarını təqdim etməlidirlər. Mərkəzi banklar statistik hesabat verməyə başlayır və maliyyə kəşfiyyat bölmələri şübhəli əməliyyatların hesabatlarını alır.

Hesabatlar onların arxasındakı məlumatlar qədər yaxşıdır. Əsas sistemdən tənzimləyiciyə olan zəncir adətən belədir:

1. Mənbə məlumatları əsas sistemdə və digər əməliyyat sistemlərində.
2. Əsas kitabçasına uyğunlaşdırılmış məlumat deposu və ya hesabat təbəqəsi.
3. Verilişləri nəzarət şablonlarına və təsdiqləmə qaydalarına uyğunlaşdıran bir tənzimləyici hesabat motoru.
4. Maliyyə və risk, sənədləşdirilmiş nəzarətlərlə nəzərdən keçirin və imzalayın.
5. İnternet portalı və ya format vasitəsilə təqdimat.

Hesablamada səhvlər nəzarətçi tapıntılarına səbəb ola bilər və, onlar nəzarətçini aldatdıqları yerdə, tətbiq edə bilər. Yeni banklar tez-tez məhsul məlumatlarını başlatmadan əvvəl hesabat şablonlarına xəritələşdirmənin işini aşağı qiymətləndirirlər.

Lisenziya müraciətində nələrə diqqət yetirilməlidir

1. Hər bir sistem, onun sahibi, onun provayderi və onun yeri ilə aydın bir hədəf arxitekturası
2. Kritik və ya vacib funksiya xəritəsi, hansı funksiyaların kənarlaşdırıldığını və kimə verildiyini göstərir.
3. Hər bir kritik təminatçı üçün real vaxt və xərcdə çıxma planları.
4. Data yeri və çıxış, nəzarətçi və həlledici orqan üçün daxil olmaqla.
5. Sınaqdan keçirilmiş davamlılıq, iş planının xidmət vədlərinə uyğun olan bərpa vaxtları ilə.
6. Hazırlıq sübutu, son-son test, köçürmə repetisiyası və əməliyyat qəbulu kimi.

ECB fintech bank lisenziyalaşdırma-nin bələdçisi müraciətçilərdən istehlakçılara zərər vermədən və ya tənzimləyici müdaxilə tələb etmədən əməliyyatları düzgün və həlledici şəkildə dayandırmaq üçün çıxma planını nəzərdən keçirməyi xahiş edir. Texnologiya seçimləri belə bir planın etibarlı olub olmadığını müəyyənləşdirir: məlumatlar geri alınmalı, hesablar köçürülməli və ödənişlər təmiz şəkildə dayandırıla bilər.

Sonrakı məqalə əsas sistemin bağlandığı ödəniş dəmiryollarını izah edir: kart planları, SEPA, dərhal ödənişlər və real vaxt ümumi həlli.