Bancs bàsics, núvol, subcontractació i regulació tecnològica

Un banc és un conjunt de promeses registrades en un llibre major. Si el llibre major està equivocat, no disponible o compromès, el banc no pot saber el que deu als seus clients, pagar-los o informar al seu supervisor. Per aquesta raó, els reguladors ara examinen l'arquitectura tecnològica, la subcontractació i la resiliència cibernètica tan de prop com els plans de capital.

Què fa un sistema bancari bàsic

El sistema bancari central és el llibre major dels registres. Manté les dades del client i del compte, publica cada transacció, calcula els interessos i les taxes, i produeix els saldos sobre els quals depèn tota la resta.

Les funcions típiques inclouen:

Funció	Què cobreix
Gestió de clients i comptes	Registres de clients, obertura de comptes, termes del producte, estat del compte
Llibre major i comptabilitat	Publicació en temps real o per lots de dèbits i crèdits, fonts del llibre major general
Dipòsits	Comptes corrents, d'estalvi i a termini, acumulació d'interessos i capitalització
Préstec	Interfícies d'origen de préstecs, calendaris, pagaments, impagaments, fonts de proveïment
Interfícies de pagaments	Connexions a centres de pagament, processadors de targetes i comptes corresponents
Configuració del producte	Tarifes, tarifes, límits i regles sense canvis de codi
Dades i informes	Extractes per a finances, risc, informes reguladors i control AML

Al voltant del nucli hi ha altres sistemes: canals digitals, un centre de pagament, gestió de targetes, incorporació de clients i verificació d'identitat, control de sancions, monitoratge de transaccions, tresoreria, finances i el motor d'informació reguladora.

Opcions d'arquitectura

Els nous bancs normalment trien entre tres models.

1. Programari amb llicència, allotjat pel banc o un proveïdor. El banc controla la configuració i les dades, però suporta el pes de la integració.
2. Programari com a servei en una plataforma de núvol. Més ràpid d'iniciar, però el banc depèn del pla i la resiliència del proveïdor, i l'acord és externalització.
3. Banca com a servei d'una altra institució amb llicència. La ruta més ràpida, però pot plantejar la qüestió de si el nou banc té prou substància pròpia.

Els supervisors no prescriuen un model. Avaluen si el banc entén i controla el que ha triat.

Regles de subcontractació

L'externalització significa que un proveïdor de serveis realitza un procés, servei o activitat que el banc faria ell mateix. A la UE, les EBA Lineals on outsourcing arrangements (EBA/GL/2019/02) van entrar en vigor el 30 de setembre de 2019. Reemplacen orientacions anteriors, incloent-hi la recomanació separada del EBA sobre l'externalització a proveïdors de serveis en núvol.

El principi central és que la responsabilitat no pot ser externalitzada. L'òrgan de gestió segueix sent responsable de totes les funcions externalitzades. Les institucions "haurien de mantenir en tot moment suficient substància i no convertir-se en 'closques buides' o 'entitats de bústia de correu'".

Funcions crítiques o importants

Les directrius apliquen requisits més estrictes quan la funció subcontractada és crítica o important, el que significa que un fracàs perjudicaria materialment el compliment, el rendiment financer o la continuïtat. Per a aquestes funcions, el banc hauria de:

1. Realitzar una avaluació del risc i la deguda diligencia sobre el proveïdor abans de contractar.
2. Incloure drets contractuals d'accés, informació i auditoria per al banc i l'autoritat competent.
3. Controlar la subcontractació, incloent-hi la notificació i el dret a oposar-se o cancel·lar.
4. Estableix els requisits de seguretat, ubicació i confidencialitat de les dades.
5. Han documentat i provat estratègies de sortida.
6. Informar l'autoritat competent amb antelació de la planificació d'externalització crítica o important.

Tots els acords s'han de registrar en un registre d'externalització mantingut pel banc.

Fora de la UE

Al Regne Unit, PRA Declaració de supervisió SS2/21 La nova norma sobre externalització i gestió de riscos de tercers, publicada al març de 2021 i efectiva a partir del 31 de març de 2022, cobreix la materialitat, la seguretat de les dades, el núvol i la planificació de sortida. PRA el descriu com a destinat a facilitar "una major resiliència i adopció del núvol i altres noves tecnologies".

A Singapur, el MAS Línies directrius de gestió del risc tecnològic, publicat el 18 de gener de 2021, estableix principis per a la governança del risc tecnològic, TI i resiliència cibernètica, i es complementen amb un avís vinculant i instruccions d'informació d'incidents.

DORA: resiliència operativa digital a la UE

El Llei de resiliència operacional digital, el Reglament (UE) 2022/2554, s'aplica des del 17 de gener de 2025. porta la gestió del risc de les TIC, l'informe d'incidents, les proves i el risc de tercers en un sol reglament per a la majoria d'entitats financeres de la UE, inclosos els bancs.

Àrea DORA	Requisits bàsics per als bancs
Gestió de riscos TIC	Un marc documentat aprovat i supervisat pel cos de gestió, que cobreix la identificació, protecció, detecció, resposta i recuperació
Informe d'incident	Els incidents importants relacionats amb les TIC s'han d'informar a l'autoritat competent sota Article 19, utilitzant la classificació i plantilles harmonitzades
Prova de resiliència	Un programa de proves per a totes les entitats; per a entitats identificades per les autoritats, proves avançades de penetració dirigides per amenaces almenys cada tres anys en sistemes de producció en viu sota Article 26
TIC risc de tercers	Una estratègia sobre el risc de tercers en les TIC, mínims contractuals i un registre d'informació sobre tots els contractes de serveis de les TIC sota Article 28
Supervisió dels proveïdors crítics	Les autoritats europees de supervisió designen els proveïdors de serveis crítics de terceres parts i els supervisen directament en virtut de l'article 31

L'article 28 estableix que les entitats financeres que utilitzen serveis de TIC "han de ser, en tot moment, plenament responsables del compliment i l'execució de totes les obligacions" sota aquesta llei. DORA El registre ha de distingir els serveis que donen suport a funcions crítiques o importants. Les entitats han d'informar anualment sobre nous acords i informar l'autoritat de manera oportuna sobre contractes planejats per a funcions crítiques o importants.

DORA s'aplica al costat de les directrius d'externalització EBA. A la pràctica, els bancs mantenen un inventari que satisfà ambdós.

Ciberseguretat

El risc cibernètic és ara part de la supervisió prudent. Els supervisors esperen que un banc conegui els seus actius d'informació, els protegeixi en proporció a la seva criticitat, detecti atacs ràpidament i recuperi serveis crítics dins de toleràncies definides.

Els controls clau normalment inclouen:

1. Gestió forta de la identitat i l'accés, amb autenticació multifactorial i controls d'accés privilegiats.
2. Desenvolupament de programari segur i gestió de canvis, incloent-hi les versions dels proveïdors.
3. Encriptatge de dades en trànsit i en repòs, i gestió de claus que controla el banc.
4. Supervisió contínua i una capacitat d'operacions de seguretat, interna o subcontractada.
5. Gestió de vulnerabilitats i proves regulars de penetració.
6. Còpies de seguretat que estan aïllades de l' entorn de producció i provades per a la restauració.
7. Plans de resposta a incidents que cobreixin la notificació reguladora i la comunicació amb el client.

Els controls de frau connecten el ciberspais i els pagaments. La verificació del beneficiari, l'anàlisi comportamental i la forta autenticació del client protegeixen als clients a mesura que els pagaments esdevenen instantanis i irrevocables.

Informació reguladora

Els bancs informen grans volums de dades als supervisors i als bancs centrals. Article 430 de la CRR requereix que les institucions informin sobre els requisits de fons propis, incloent-hi la taxa d'apalancament, grans exposicions, requisits de liquiditat, encomanament d'actius i exposicions ESG, entre altres ítems, i certes institucions també han d'informar informació financera.

Els informes només són tan bons com les dades darrere d' ells. La cadena des del sistema central fins al regulador normalment corre:

1. Font de dades en el sistema central i altres sistemes operatius.
2. Un magatzem de dades o capa d' informes amb reconciliació al llibre major general.
3. Un motor d'informes reguladors que mapeja les dades a plantilles de supervisió i regles de validació.
4. Revisió i aprovació per finances i risc, amb controls documentats.
5. Presentació a través del portal o format del regulador.

Els errors en els informes poden conduir a descobriments de supervisió i, quan enganyen el supervisor, a l' aplicació. Els nous bancs sovint subestimen la feina de mapejar les dades del producte a plantilles d' informe abans del llançament.

Què busquen els supervisors en una aplicació de llicència

1. Una arquitectura destí clara, amb cada sistema, el seu propietari, el seu proveïdor i la seva ubicació.
2. Un mapa de funcions crítiques o importants, mostrant quines funcions són subcontractades i a qui.
3. Plans de sortida per a cada proveïdor crític, realistes en temps i cost.
4. Ubicació i accés a les dades, incloent-hi per al supervisor i l'autoritat de resolució.
5. Resiliència provada, amb temps de recuperació que coincideixen amb les promeses de servei del pla de negocis.
6. Evidència de preparació, com ara proves d'extrem a extrem, assajos de migració i acceptació operativa.

La guia de la ECBFintech per a l'obtenció de llicències bancàriesdemana als sol·licitants que considerin un pla de sortida per cessar les operacions d'una manera ordenada i solvent, sense perjudicar els consumidors o requerir una intervenció reguladora. Les opcions tecnològiques determinen si aquest pla és creïble: les dades han de ser recuperables, els comptes transferibles i els pagaments capaços de parar-se nets.

El següent article explica els rails de pagament que el sistema central es connecta a: esquemes de targetes, SEPA, pagaments instantanis i liquidació bruta en temps real.