কোর ব্যাঙ্কিং, ক্লাউড, আউটসোর্সিং এবং প্রযুক্তি নিয়ন্ত্রণ

একটি ব্যাংক হল একটি বইয়ের মধ্যে রেকর্ডকৃত প্রতিশ্রুতি। যদি বইটি ভুল হয়, অপ্রয়োজনীয় বা ক্ষতিগ্রস্ত হয়, তাহলে ব্যাংক জানতে পারবে না যে তার কাছে কি আছে, গ্রাহকদের অর্থ প্রদান করতে পারবে না অথবা নিয়ন্ত্রকের কাছে রিপোর্ট করতে পারবে না। এই কারণে নিয়ন্ত্রণকারীরা এখন প্রযুক্তিগত স্থাপত্য, আউটসোর্সিং এবং সাইবার স্থিতিশীলতাকে মূলধনের পরিকল্পনার মতো নিবিড়ভাবে পরীক্ষা করছে।

একটি মূল ব্যাংকিং ব্যবস্থা কি করে

মূল ব্যাংকিং সিস্টেম হল রেকর্ডের বই, এটি গ্রাহক এবং অ্যাকাউন্ট তথ্য সংরক্ষণ করে, প্রত্যেকটি ট্রানজেকশন পোস্ট করে, সুদ ও ফি গণনা করে এবং বাকি সবকিছুর উপর নির্ভরশীল ভারসাম্য তৈরি করে।

সাধারণ ফাংশনগুলির মধ্যে রয়েছে:

ফাংশন	এতে কি আছে
গ্রাহক এবং অ্যাকাউন্ট ব্যবস্থাপনা	গ্রাহক রেকর্ড, অ্যাকাউন্ট খোলা, পণ্য শর্তাবলী, অ্যাকাউন্ট অবস্থা
লেজার এবং পোস্টিং	ডেবিট এবং ক্রেডিটের বাস্তব-সময় বা ব্যাচ পোস্টিং, সাধারণ লেজার ফিড
জমা	চলমান, সঞ্চয় ও স্থায়ী হিসাব, সুদ সংগ্রহ এবং পুঁজিকরণ
ঋণ	ঋণ উদ্ভব ইন্টারফেস, সময়সূচি, পরিশোধ, অগ্রিম, সরবরাহ ফিড
পেমেন্ট ইন্টারফেস	পেমেন্ট হাব, কার্ড প্রসেসর এবং প্রতিনিধি অ্যাকাউন্টের সাথে সংযোগ
প্রডাক্ট কনফিগারেশন	কোড পরিবর্তন ছাড়াই হার, ফি, সীমা এবং নিয়ম
ডাটা এবং রিপোর্টিং	অর্থনীতি, ঝুঁকি, নিয়ন্ত্রক প্রতিবেদন এবং AML পর্যবেক্ষণের জন্য এক্সট্র্যাক্ট

এর কেন্দ্রের চারপাশে রয়েছে অন্যান্য ব্যবস্থা: ডিজিটাল চ্যানেল, একটি পেমেন্ট হাব, কার্ড ব্যবস্থাপনা, গ্রাহক নিবন্ধন এবং পরিচয় যাচাই, নিষেধাজ্ঞার স্ক্রীনিং, ট্রানজেকশন মনিটরিং, তহবিল, অর্থনীতি এবং নিয়ন্ত্রক রিপোর্টিং ইঞ্জিন।

স্থাপত্য সংক্রান্ত পছন্দ

নতুন ব্যাংকগুলো সাধারণত তিনটি মডেলের মধ্যে একটি বেছে নেয়।

1. লাইসেন্সকৃত সফটওয়্যার, ব্যাংক অথবা প্রদানকারীর দ্বারা হোস্ট করা। ব্যাংক কনফিগারেশন এবং ডেটা নিয়ন্ত্রণ করে, কিন্তু একীভূতকরণের বোঝা বহন করে।
2. ক্লাউড প্ল্যাটফর্মে সফটওয়্যারকে পরিষেবা হিসেবে প্রদান করা। দ্রুত চালু করা যায়, কিন্তু ব্যাংকটি বিক্রেতার রোডম্যাপ এবং স্থিতিশীলতার উপর নির্ভর করে, আর এই ব্যবস্থা আউটসোর্সিং।
3. অন্য লাইসেন্সপ্রাপ্ত প্রতিষ্ঠান থেকে ব্যাংকিং পরিষেবা হিসেবে। দ্রুততম পথ, কিন্তু এটা প্রশ্ন তুলতে পারে যে নতুন ব্যাংকের নিজস্ব যথেষ্ট উপাদান আছে কিনা।

সুপারভাইজাররা কোন মডেল নির্ধারণ করেন না, তারা ব্যাংকের বোঝা এবং নিয়ন্ত্রণ যা তারা বেছে নেয় তা মূল্যায়ন করে।

আউটসোর্সিং নিয়ম

আউটসোর্সিং এর অর্থ হচ্ছে, একটি পরিষেবা প্রদানকারী এমন একটি প্রক্রিয়া, সেবা বা কার্যক্রম সম্পাদন করে যা ব্যাংক অন্যথায় নিজেই সম্পাদন করত। EBA আউটসোর্সিং ব্যবস্থার দিকনির্দেশনা (EBA/জিএল/2019/02) 30 সেপ্টেম্বর, 2019 তারিখে কার্যকর হয়েছে। EBAক্লাউড সার্ভিস প্রদানকারী সংস্থাগুলির সঙ্গে আউটসোর্সিং-এর বিষয়ে আলাদাভাবে সুপারিশ করা হয়েছে।

কেন্দ্রীয় নীতি হল যে দায়িত্ব আউটসোর্স করা যাবে না, ব্যবস্থাপনা সংস্থা সব ধরনের আউটসোর্সিং কার্যক্রমের জন্য দায়ী থাকবে। প্রতিষ্ঠানগুলির “সব সময়ই যথেষ্ট উপাদান বজায় রাখা উচিত এবং ‘খালি শিরা’ বা ‘লেটার-বক্স এক্টিভিটি’তে পরিণত হতে হবে না”।

গুরুত্বপূর্ণ ফাংশন

যেখানে আউটসোর্সিং কার্যক্রম গুরুত্বপূর্ণ বা জরুরি, সেখানে এই নির্দেশিকা আরও কঠোর শর্ত প্রয়োগ করবে, যার অর্থ ব্যর্থ হলে আইন মেনে চলা, আর্থিক কার্যকারিতা বা অবিরামতা ব্যাপকভাবে ক্ষতিগ্রস্ত হবে।

1. চুক্তি স্বাক্ষরের আগে প্রদানকারী সংস্থার ঝুঁকি মূল্যায়ন ও যথাযথ সতর্কতা অবলম্বন করা হবে।
2. ব্যাঙ্ক এবং সংশ্লিষ্ট কর্তৃপক্ষের জন্য তথ্য ও অডিট সম্পর্কিত চুক্তিভিত্তিক অধিকারগুলি অন্তর্ভুক্ত করা হবে।
3. সাব-আউটসোর্সিং নিয়ন্ত্রণ, যার মধ্যে রয়েছে বিজ্ঞপ্তি এবং প্রতিবাদ বা সমাপ্তির অধিকার।
4. তথ্য নিরাপত্তা, অবস্থান এবং গোপনীয়তার প্রয়োজনীয়তা নির্ধারণ করা হবে।
5. বেরিয়ে যাওয়ার কৌশল নথিভুক্ত এবং পরীক্ষা করা হয়েছে।
6. গুরুত্বপূর্ণ কাজের আউটসোর্সিং-এর পরিকল্পনা থাকলে তা আগে থেকেই জানাতে হবে সংশ্লিষ্ট কর্তৃপক্ষকে।

ব্যাঙ্কগুলির আউটসোর্সিং সংক্রান্ত সকল ব্যবস্থাপত্র অবশ্যই একটি রেজিস্টারে রেকর্ড করা হবে।

ইইউ-এর বাইরে

অন্যত্রও একই ধরনের নিয়ম প্রযোজ্য। In the United Kingdom, PRA Supervisory Statement SS2/21 on outsourcing and third party risk management, published in March 2021 and effective from 31 March 2022, covers materiality, data security, cloud and exit planning. PRA এর বর্ণনা অনুযায়ী এটির উদ্দেশ্য হচ্ছে “বৃহত্তর স্থিতিশীলতা এবং ক্লাউড এবং অন্যান্য নতুন প্রযুক্তি গ্রহণ”।

In Singapore, the MAS Technology Risk Management Guidelines, published on 18 January 2021, set principles for technology risk governance, IT and cyber resilience, and are supplemented by a binding notice and incident reporting instructions.

DORA: ইউরোপীয় ইউনিয়নের ডিজিটাল অপারেশনাল রিলেটিভিটি

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. এটি আইসিটি ঝুঁকি ব্যবস্থাপনা, দুর্ঘটনা প্রতিবেদন, পরীক্ষা এবং তৃতীয় পক্ষের ঝুঁকিকে এক নিয়মনীতিতে নিয়ে আসবে ইউরোপের ব্যাঙ্ক সহ অধিকাংশ আর্থিক প্রতিষ্ঠানের জন্য।

ডোরা এরিয়া	ব্যাঙ্কগুলির জন্য মূল শর্ত
আইসিটি ঝুঁকি ব্যবস্থাপনা	সনাক্তকরণ, সুরক্ষা, শনাক্তকরণ, প্রতিক্রিয়া ও পুনরুদ্ধার প্রভৃতি বিষয়গুলিকে অন্তর্ভুক্ত করে ব্যবস্থাপনা সংস্থা কর্তৃক অনুমোদিত এবং তদারকিকৃত একটি নথিভুক্ত কাঠামো
ঘটনা প্রতিবেদন	আইসিটি সংশ্লিষ্ট গুরুত্বপূর্ণ ঘটনাগুলি অবশ্যই সংশ্লিষ্ট কর্তৃপক্ষের কাছে রিপোর্ট করতে হবে। অনুচ্ছেদ 19, সমন্বিত শ্রেণীবিভাগ এবং টেমপ্লেট ব্যবহার করে
প্রতিরোধ ক্ষমতা পরীক্ষা	সকল প্রতিষ্ঠানের জন্য পরীক্ষামূলক কর্মসূচি; কর্তৃপক্ষের দ্বারা চিহ্নিত প্রতিষ্ঠানের জন্য, আধুনিক হুমকি পরিচালিত প্রবেশ পরীক্ষা অন্তত প্রতি তিন বছরে 26 অনুচ্ছেদএর অধীনে লাইভ উৎপাদন সিস্টেমের উপর
আইসিটি তৃতীয় পক্ষের ঝুঁকি	তথ্য ও যোগাযোগ প্রযুক্তির ক্ষেত্রে তৃতীয় পক্ষের ঝুঁকি, চুক্তিভিত্তিক সর্বনিম্ন পরিমাণ এবং এই আইনের অধীনে সকল তথ্য ও যোগাযোগ প্রযুক্তি সংক্রান্ত পরিষেবা চুক্তি সম্পর্কে তথ্যের একটি নিবন্ধন সম্পর্কিত কৌশল ধারা 28
গুরুত্বপূর্ণ প্রদানকারীদের তদারকি	ইউরোপীয় তত্ত্বাবধায়ক কর্তৃপক্ষ গুরুত্বপূর্ণ আইসিটি তৃতীয় পক্ষের পরিষেবা প্রদানকারীদের নির্ধারণ করে এবং 31 অনুচ্ছেদের অধীনে তাদের সরাসরি তদারকি করে।

28 নম্বর অনুচ্ছেদে বলা হয়েছে যে আইসিটি পরিষেবা ব্যবহারকারী আর্থিক প্রতিষ্ঠানগুলি “সব সময়ই সকল কর্তব্য পালনের জন্য পূর্ণভাবে দায়িত্বশীল থাকবে”। DORA এই রেজিস্টারে গুরুত্বপূর্ণ বা গুরুত্বপূর্ণ কাজের জন্য যে সমস্ত পরিষেবাগুলির প্রয়োজন, সেগুলিকে আলাদাভাবে চিহ্নিত করতে হবে।প্রতিষ্ঠানগুলিকে প্রতিবছর নতুন ব্যবস্থা সম্পর্কে রিপোর্ট দিতে হবে এবং গুরুত্বপূর্ণ বা গুরুত্বপূর্ণ কাজের জন্য নির্ধারিত চুক্তিগুলি সম্পর্কে সময়মতো কর্তৃপক্ষকে অবহিত করতে হবে।

DORA EBA আউটসোর্সিং গাইডলাইনের সাথে একসাথে প্রযোজ্য। বাস্তবে, ব্যাংকগুলো একটি জিনিসপত্র রাখে যা উভয়কে সন্তুষ্ট করে।

সাইবার নিরাপত্তা

সাইবার ঝুঁকি এখন সতর্কতামূলক তদারকির অংশ।তদারকিকারীরা আশা করেন যে একটি ব্যাঙ্ক তার তথ্য সম্পদ সম্পর্কে জানবে, তাদের গুরুত্বের অনুপাতে সুরক্ষা দেবে, আক্রমণ দ্রুত শনাক্ত করবে এবং নির্দিষ্ট সহনশীলতার মধ্যে গুরুত্বপূর্ণ পরিষেবা পুনরুদ্ধার করবে।

সাধারণত কী নিয়ন্ত্রণের মধ্যে রয়েছে:

1. বহুমুখী প্রমাণীকরণ এবং বিশেষাধিকারপ্রাপ্ত ব্যবহার নিয়ন্ত্রণের মাধ্যমে শক্তিশালী পরিচয় ও ব্যবহার ব্যবস্থাপনা।
2. নিরাপদ সফটওয়্যার উন্নয়ন এবং পরিবর্তন ব্যবস্থাপনা, ভেন্ডার রিলিজ সহ।
3. ট্রান্সফার এবং স্ট্যান্ডার্ড ডেটা এনক্রিপশন, এবং কী ব্যবস্থাপনা যে ব্যাংক নিয়ন্ত্রণ করে।
4. নিরন্তর পর্যবেক্ষণ এবং নিরাপত্তা কার্যক্রমের ক্ষমতা, অভ্যন্তরীণ বা আউটসোর্সিং।
5. ঝুঁকি ব্যবস্থাপনা এবং নিয়মিত প্রবেশ পরীক্ষা।
6. ব্যাক-আপ যা উৎপাদন পরিবেশ থেকে আলাদা করা হয়েছে এবং পুনরুদ্ধার করার জন্য পরীক্ষা করা হয়েছে।
7. নিয়ন্ত্রণমূলক বিজ্ঞপ্তি এবং গ্রাহকের সঙ্গে যোগাযোগের ক্ষেত্রে ঘটনার প্রতিক্রিয়া পরিকল্পনা।

প্রতারণা নিয়ন্ত্রণ সাইবার এবং পেমেন্টের মধ্যে সংযোগ স্থাপন করে, গ্রাহকদের নিরাপত্তা নিশ্চিত করে, তাদের আচরণ বিশ্লেষণ করে এবং দ্রুত ও অবিলম্বে অর্থ পরিশোধের মাধ্যমে গ্রাহককে সুরক্ষিত রাখে।

নিয়ন্ত্রক রিপোর্টিং

ব্যাংকগুলো নিয়ন্ত্রক সংস্থা এবং কেন্দ্রীয় ব্যাংকের কাছে বড় ধরনের তথ্য রিপোর্ট করে। সংবিধানের 430 অনুচ্ছেদ CRR কেন্দ্রীয় ব্যাঙ্কগুলি পরিসংখ্যানগত রিপোর্টিং যোগ করে এবং আর্থিক গোয়েন্দা সংস্থাগুলি সন্দেহজনক লেনদেনের প্রতিবেদন গ্রহণ করে।

রিপোর্ট যতটা ভালো, তার পেছনের তথ্য ততটাই ভাল। কোর সিস্টেম থেকে নিয়ন্ত্রক পর্যন্ত সাধারণত এই শৃঙ্খলা অনুসরণ করা হয়:

1. কোর সিস্টেম এবং অন্যান্য অপারেটিং সিস্টেমের উৎস তথ্য।
2. সাধারণ বইয়ের সাথে সমন্বয় করার জন্য একটি তথ্য ভান্ডার বা প্রতিবেদন স্তর।
3. একটি নিয়ন্ত্রক রিপোর্টিং ইঞ্জিন যা তত্ত্বাবধায়ক টেমপ্লেট এবং বৈধতা নিয়মের জন্য তথ্য ম্যাপ করে।
4. নথিভুক্ত নিয়ন্ত্রণের মাধ্যমে অর্থ ও ঝুঁকির ভিত্তিতে পর্যালোচনা এবং অনুমোদন।
5. নিয়ন্ত্রকের পোর্টাল বা ফরম্যাটের মাধ্যমে জমা দেওয়া।

রিপোর্টিংয়ের ভুলগুলো নিয়ন্ত্রণকারীদের পর্যবেক্ষণের দিকে নিয়ে যেতে পারে এবং যেখানে তারা নিয়ন্ত্রককে বিভ্রান্ত করে, সেখানে আইন প্রয়োগ করা হয়।

লাইসেন্সের আবেদনে সুপারভাইজাররা কি দেখতে চান

1. একটি পরিষ্কার লক্ষ্য স্থাপত্য, প্রতিটি সিস্টেম, এর মালিক, এর প্রদানকারী এবং তার অবস্থান।
2. একটি গুরুত্বপূর্ণ অথবা গুরুত্বপূর্ণ ফাংশন ম্যাপ, যেখানে দেখানো হয়েছে কোন ফাংশনগুলো আউটসোর্স করা হয়েছে এবং কাদের কাছে।
3. প্রস্থানের পরিকল্পনা প্রত্যেক গুরুত্বপূর্ণ প্রদানকারীর জন্য, সময় এবং খরচের বাস্তবতা।
4. ডাটা অবস্থান এবং প্রবেশাধিকার, সুপারভাইজার এবং সমাধান কর্তৃপক্ষ সহ।
5. স্থিতিশীলতা পরীক্ষা করা হয়েছেব্যবসায়িক পরিকল্পনার প্রতিশ্রুতি অনুযায়ী সেবা প্রদানের জন্য প্রয়োজনীয় সময়ের সঙ্গে সামঞ্জস্য রেখে পুনরুদ্ধারের কাজটি সম্পন্ন করা হবে।
6. প্রস্তুতির প্রমাণএই প্রকল্পের আওতায় বিভিন্ন ধরনের পরীক্ষা-নিরীক্ষা, অভিবাসন প্রচেষ্টা এবং কার্যকরভাবে গ্রহণযোগ্যতা নিশ্চিত করা হবে।

দ্য ECBফিনটেক ব্যাংক লাইসেন্সের গাইডলাইন প্রযুক্তিগত পছন্দ নির্ধারণ করে যে এই ধরনের পরিকল্পনা বিশ্বাসযোগ্য কিনা: তথ্য পুনরুদ্ধার করা সম্ভব হবে, অ্যাকাউন্ট স্থানান্তরিত করা যাবে এবং পরিশোধ পরিষ্কারভাবে বন্ধ করতে সক্ষম হবে।

পরবর্তী প্রবন্ধে ব্যাখ্যা করা হবে মূল সিস্টেমের সাথে সংযুক্ত পেমেন্ট লাইন: কার্ড স্কিম, SEPA, তাৎক্ষণিক অর্থপ্রদান এবং বাস্তব সময়ের মোট পরিশোধ।