Основно банкиране, облак, аутсорсинг и технологично регулиране

Банката е набор от обещания, записани в регистър.Ако регистърът е грешен, недостъпен или компрометиран, банката не може да знае какво дължи, да плаща на клиентите си или да докладва на своя надзорник.Поради тази причина регулаторите сега разглеждат технологичната архитектура, аутсорсинга и киберустойчивостта толкова внимателно, колкото капиталовите планове.

Какво прави основната банкова система

Основната банкова система е главната книга, която съхранява данните за клиентите и сметките, публикува всяка транзакция, изчислява лихвите и таксите и създава балансите, от които зависи всичко останало.

Типичните функции включват:

Функция	Какво покрива
Управление на клиенти и акаунти	Досиета на клиенти, откриване на сметка, условия за продуктите, статус на сметката
Обща книга и отчитане	В реално време или партидно отчитане на дебитни и кредитни позиции, захранване на главната книга
Депозити	Разплащателни, спестовни и срочни сметки, начисляване на лихви и капитализация
Кредитиране	Интерфейси за иницииране на кредити, графици, погасителни вноски, просрочени плащания, провизионни потоци
Интерфейси за плащания	Връзки към платежни центрове, картови обработващи фирми и кореспондентски сметки
Конфигурация на продукта	Цени, такси, лимити и правила без промяна на кода
Данни и отчитане	Извлечения за финанси, риск, регулаторна отчетност и AML мониторинг

Около ядрото се намират други системи: дигитални канали, разплащателен център, управление на карти, въвеждане на клиенти и проверка на самоличността, санкционен скрининг, наблюдение на транзакции, съкровищница, финанси и регулаторна система за отчитане.

Избор на архитектура

Новите банки обикновено избират между три модела.

1. Лицензиран софтуер, хостван от банката или доставчик. Банката контролира конфигурацията и данните, но носи тежестта на интеграцията.
2. Софтуер като услуга на облачна платформа. По-бързо стартиране, но банката зависи от пътната карта и устойчивостта на доставчика, а споразумението е аутсорсинг.
3. Банкиране като услуга от друга лицензирана институция. Най-бързият път, но може да повдигне въпроса дали новата банка има достатъчно собствено съдържание.

Надзорните органи не предписват модел, а оценяват дали банката разбира и контролира избрания от нея модел.

Правила за аутсорсинг

Аутсорсингът означава, че доставчик на услуги извършва процес, услуга или дейност, която в противен случай банката би извършила сама. EBA Насоки относно договореностите за възлагане на дейности на външни подизпълнители (EBA/ГЛ/2019/02) влязоха в сила на 30 септември 2019 г. и замениха предишните насоки, включително EBAотделна препоръка на Комисията относно възлагането на дейности на доставчици на услуги в облак.

Централният принцип е, че отговорността не може да бъде възложена на външни изпълнители, а ръководният орган остава отговорен за всички възложени функции. Институциите „трябва по всяко време да поддържат достатъчно съдържание и да не се превръщат в „празни черупки“ или „субекти от типа на пощенската кутия“.

Критични или важни функции

В насоките се прилагат по-строги изисквания, когато възложената на външни изпълнители функция е от критично значение или важна, което означава, че неизпълнението ѝ би засегнало съществено съответствието, финансовите резултати или приемствеността.

1. Извършете оценка на риска и надлежна проверка на доставчика преди сключване на договор.
2. Включва договорни права на достъп, информация и одит за банката и компетентния орган.
3. Контрол върху подизпълнението, включително уведомяване и право на възражение или прекратяване.
4. Определете изискванията за сигурност, местоположение и поверителност на данните.
5. Имате документирани и тествани стратегии за изход.
6. Предварително информиране на компетентния орган за планирано възлагане на критични или важни дейности на външни подизпълнители.

Всички договорености трябва да бъдат вписани в регистър за аутсорсинг, поддържан от банката.

Извън ЕС

Подобни правила важат и на други места. В Обединеното кралство PRA Надзорна декларация СС2/21 относно аутсорсинга и управлението на риска от трети страни, публикувани през март 2021 г. и в сила от 31 март 2022 г., обхващат съществеността, сигурността на данните, облака и планирането за излизане. PRA описва го като предназначен да улесни „по-голяма устойчивост и приемане на облака и други нови технологии“.

В Сингапур, MAS Насоки за управление на технологичния риск, публикувани на 18 януари 2021 г., определят принципите за управление на технологичния риск, устойчивостта в областта на информационните технологии и киберсигурността и се допълват от обвързващо известие и инструкции за докладване на инциденти.

DORA: цифрова оперативна устойчивост в ЕС

Всички Закон за дигитална оперативна устойчивост, Регламент (ЕС) 2022/2554, се прилага от 17 януари 2025 г. Той обединява управлението на риска в областта на ИКТ, докладването за инциденти, тестването и риска от трети страни в един регламент за повечето финансови субекти в ЕС, включително банките.

Зона Дора	Основно изискване за банките
Управление на ИКТ риска	Документирана рамка, одобрена и контролирана от ръководния орган, обхващаща идентификация, защита, откриване, реагиране и възстановяване
Докладване на инцидент	Значителните инциденти, свързани с ИКТ, трябва да бъдат докладвани на компетентния орган съгласно: Член 19, като се използват хармонизирана класификация и образци
Тестване на устойчивостта	Програма за изпитване на всички субекти; за субектите, идентифицирани от органите, усъвършенствани тестове за проникване най-малко веднъж на всеки три години върху активни производствени системи под Член 26
ИКТ риск от трети страни	Стратегия относно риска от трети страни в областта на ИКТ, договорни минимални изисквания и регистър с информация за всички договори за услуги в областта на ИКТ съгласно Член 28
Надзор на критични доставчици	Европейските надзорни органи определят трети страни — доставчици на критични ИКТ услуги, и упражняват пряк надзор върху тях съгласно член 31

Член 28 постановява, че финансовите субекти, използващи ИКТ услуги „по всяко време остават изцяло отговорни за спазването и изпълнението на всички задължения“ по силата на DORA Регистърът трябва да разграничава услугите, подпомагащи критичните или важните функции. Субектите трябва да докладват ежегодно за нови договорености и да уведомяват органа своевременно за планирани договори за критични или важни функции.

DORA се прилага успоредно с EBA На практика банките поддържат един инвентар, който отговаря и на двете.

Киберсигурност

Надзорните органи очакват от банките да знаят своите информационни активи, да ги защитават пропорционално на тяхната критичност, да откриват атаките бързо и да възстановяват критичните услуги в рамките на определени допустими отклонения.

Ключови контроли обикновено включват:

1. Силно управление на идентичността и достъпа, с многофакторна автентикация и контрол на привилегирования достъп.
2. Сигурно разработване на софтуер и управление на промените, включително за версии на доставчици.
3. Криптиране на данни в транзит и в покой, както и управление на ключове, които банката контролира.
4. Непрекъснато наблюдение и възможност за операции по сигурността, вътрешно или аутсорсирани.
5. Управление на уязвимости и редовни тестове за проникване.
6. Архиви, които са изолирани от производствената среда и тествани за възстановяване.
7. Планове за реагиране на инциденти, които обхващат регулаторното уведомяване и комуникацията с клиентите.

Проверката на получателя, поведенческите анализи и силната автентикация на клиентите защитават клиентите, тъй като плащанията стават незабавни и неотменими.

Регулаторно отчитане

Банките отчитат големи обеми данни пред надзорните органи и централните банки. В ЕС Член 430 от CRR изисква от институциите да докладват за капиталовите изисквания, включително коефициента на ливъридж, големите експозиции, изискванията за ликвидност, тежестта върху активите и ЕСУ експозициите, наред с други елементи, а някои институции трябва също така да докладват финансова информация.Централните банки добавят статистическа отчетност, а звената за финансово разузнаване получават доклади за съмнителни транзакции.

Отчетите са толкова добри, колкото и данните зад тях.Верига от ядрото на системата до регулатора обикновено протича:

1. Изходни данни в основната система и други операционни системи.
2. Склад за данни или слой за отчитане с помирение към главната книга.
3. Регулаторен двигател за отчитане, който съпоставя данни с надзорни шаблони и правила за валидиране.
4. Преглед и одобрение от страна на финансите и риска, с документирани контроли.
5. Подаване чрез портала или формата на регулатора.

Грешките в отчетността могат да доведат до констатации от страна на надзорните органи, а когато подвеждат надзорния орган, и до правоприлагане.Новите банки често подценяват работата по съпоставянето на продуктовите данни с образците за отчетност преди стартирането им.

Какво търсят надзорните органи в заявлението за лиценз

1. Ясна целева архитектура, с всяка система, нейния собственик, доставчик и местоположението му.
2. Карта на критични или важни функции, показващи кои функции са възложени на външни изпълнители и на кого.
3. Планове за излизане за всеки критичен доставчик, реалистичен във времето и разходите.
4. Местоположение на данните и достъп, включително за надзорния орган и органа за преструктуриране.
5. Изпитана устойчивост на удари, с времена за възстановяване, които съответстват на обещанията за услуги в бизнес плана.
6. Доказателство за готовност, като тестване от край до край, репетиция за миграция и оперативно приемане.

Всички ECBРъководство за лицензиране на финтех банки изисква от заявителите да обмислят план за излизане от банковата система с цел прекратяване на дейността по организиран и платежоспособен начин, без да се нанасят вреди на потребителите или да се изисква регулаторна намеса.Изборът на технология определя дали един такъв план е надежден: данните трябва да могат да бъдат извличани, сметките да могат да бъдат прехвърляни и плащанията да могат да бъдат спрени без проблеми.

Следващата статия обяснява платежните релси, към които се свързва основната система: картови схеми, SEPA, незабавни плащания и в реално време брутен сетълмент.