Základní bankovnictví, cloud, outsourcing a regulace technologií

Banka je soubor slibů zaznamenaných v hlavní knize. Pokud je hlavní kniha nesprávná, nedostupná nebo ohrožená, banka nemůže vědět, co dluží, platit svým zákazníkům ani podat zprávu svému dozoru.Z tohoto důvodu regulátoři nyní prověřují technologickou architekturu, outsourcing a kybernetickou odolnost stejně pečlivě jako kapitálové plány.

Co jádro bankovního systému dělá

Základním bankovním systémem je hlavní kniha záznamů, která uchovává údaje o zákaznících a účtech, zaznamenává každou transakci, počítá úroky a poplatky a vytváří zůstatky, na nichž vše ostatní závisí.

Typickou funkcí je:

Funkce	Co to zahrnuje
Správa zákazníků a účtů	Záznamy o zákaznících, otevření účtu, podmínky produktu, stav účtu
Kniha a zaúčtování	Real-time nebo dávkové zaúčtování debetů a kreditů, vstupy do hlavní knihy
Vklady	Běžné, spořicí a termínované účty, úročení a kapitalizace
Půjčování	Rozhraní pro vytváření úvěrů, plány, splátky, nedoplatky, zdroje pro provisioning
Platební rozhraní	Připojení k platebním centrům, zpracovatelům karet a korespondenčním účtům
Konfigurace produktu	Sazby, poplatky, limity a pravidla bez změn kódu
Údaje a reporting	Výpisy pro finance, rizika, regulační reporting a AML monitoring

Kolem jádra se nacházejí další systémy: digitální kanály, platební centrum, správa karet, onboarding zákazníků a ověřování totožnosti, prověřování sankcí, sledování transakcí, pokladna, finance a regulatorní reportovací modul.

Možnosti architektury

Nové banky si obvykle vybírají mezi třemi modely.

1. Licencovaný software, hostovaný bankou nebo poskytovatelem. Banka kontroluje konfiguraci a data, ale nese břemeno integrace.
2. Software jako služba na cloudové platformě. Rychlejší spuštění, ale banka závisí na plánu a odolnosti dodavatele a uspořádání je outsourcing.
3. Bankovnictví jako služba od jiné licencované instituce. Nejrychlejší cesta, ale může vyvolat otázku, zda má nová banka dostatek vlastní podstaty.

Orgány dohledu model nepředepisují, ale posuzují, zda banka tomuto modelu rozumí a kontroluje jej.

Pravidla outsourcingu

Outsourcingem se rozumí, že poskytovatel služeb provádí proces, službu nebo činnost, kterou by banka jinak vykonávala sama. V EU vstoupily dne 30. září 2019 v platnost EBA Pokyny k outsourcingovým dohodám (EBA/GL/2019/02), které nahradily předchozí pokyny včetně samostatného doporučení EBA o outsourcingu poskytovatelům cloudových služeb.

Ústřední zásadou je, že odpovědnost nelze outsourcovat a vedoucí orgán zůstává zodpovědný za všechny outsourcované funkce. Instituce „by si měly vždy udržovat dostatečný obsah a neměly by se stát ‚prázdnými skořápkami‘ nebo ‚subjekty poštovní schránky‘“.

Kritické nebo důležité funkce

Obecné zásady uplatňují přísnější požadavky v případech, kdy je outsourcovaná funkce kritická nebo důležitá, což znamená, že její selhání by podstatně narušilo dodržování předpisů, finanční výkonnost nebo kontinuitu.

1. Před uzavřením smlouvy proveďte posouzení rizik a náležitou péči o poskytovatele.
2. Zahrnují smluvní práva na přístup, informace a audit pro banku a příslušný orgán.
3. Kontrola sub-outsourcingu, včetně oznámení a práva vznést námitku nebo ukončit.
4. Stanovte požadavky na zabezpečení dat, umístění a důvěrnost.
5. Máte zdokumentované a otestované exit strategie.
6. Informovat příslušný orgán předem o plánovaném kritickém nebo významném outsourcingu.

Všechna ujednání musí být zaznamenána do registru outsourcingu, který vede banka.

Mimo EU

Podobná pravidla platí i jinde. Ve Velké Británii PRA Prohlášení orgánu dohledu SS2/21 o outsourcingu a řízení rizik třetích stran, které byly zveřejněny v březnu 2021 a jsou účinné od 31. března 2022, se týkají významnosti, zabezpečení dat, cloudu a plánování ukončení. PRA popisuje ji jako zaměřenou na usnadnění „větší odolnosti a přijetí cloudu a dalších nových technologií“.

V Singapuru stanovují MAS Pokyny pro řízení technologických rizik, zveřejněné 18. ledna 2021, zásady pro řízení technologických rizik, IT a kybernetickou odolnost a jsou doplněny závazným oznámením a pokyny k oznamování incidentů.

DORA: digitální provozní odolnost v EU

The Zákon o digitální provozní odolnosti, nařízení (EU) 2022/2554, platí od 17. ledna 2025 a sjednocuje řízení rizik v oblasti informačních a komunikačních technologií, oznamování incidentů, testování a riziko třetích stran do jednoho nařízení pro většinu finančních subjektů EU, včetně bank.

DORA oblast	Základní požadavek pro banky
Řízení rizik ICT	Zdokumentovaný rámec schválený a kontrolovaný řídicím orgánem, který zahrnuje identifikaci, ochranu, detekci, reakci a obnovení
Hlášení incidentů	Závažnější incidenty související s IKT musí být oznámeny příslušnému orgánu podle Článek 19, s použitím harmonizované klasifikace a šablon
Testování odolnosti	Program testování pro všechny subjekty; pro subjekty určené orgány pokročilé penetrační testy založené na hrozbách alespoň každé tři roky na živých produkčních systémech podle Článku 26
ICT riziko třetí strany	Strategie týkající se rizika třetích stran v oblasti IKT, smluvních minim a rejstříku informací o všech smlouvách na služby v oblasti IKT podle Článek 28
Dohled nad kritickými poskytovateli	Evropské orgány dohledu určují třetí strany poskytující kritické služby IKT a vykonávají nad nimi přímý dohled podle článku 31.

Článek 28 uvádí, že finanční subjekty využívající služby IKT „zůstávají vždy plně odpovědné za dodržování a plnění všech povinností“ podle DORA V registru musí být rozlišeny služby podporující kritické nebo důležité funkce. Subjekty musí každoročně podávat zprávy o nových opatřeních a včas informovat orgán o plánovaných smlouvách na kritické nebo důležité funkce.

V praxi banky udržují jeden inventář, který vyhovuje oběma požadavkům.DORA se uplatňuje vedle EBA outsourcingových směrnic.

Kybernetická bezpečnost

Kybernetické riziko je nyní součástí obezřetnostního dohledu, který od banky očekává, že bude znát svá informační aktiva, chránit je úměrně jejich kritičnosti, rychle detekovat útoky a obnovovat kritické služby v rámci definovaných tolerancí.

Klíčové ovládací prvky obvykle zahrnují:

1. Silná správa identit a přístupu s vícefaktorovým ověřováním a oprávněným řízením přístupu.
2. Zabezpečený vývoj softwaru a řízení změn, včetně vydání od dodavatelů.
3. Šifrování dat během přenosu i v klidu a správa klíčů, které banka kontroluje.
4. Nepřetržité monitorování a schopnost bezpečnostních operací, interně nebo externě.
5. Správa zranitelností a pravidelné penetrační testy.
6. Zálohy, které jsou izolovány od produkčního prostředí a testovány pro obnovení.
7. Plány reakce na incidenty, které zahrnují regulační oznámení a komunikaci se zákazníky.

Ověřování příjemců plateb, behaviorální analýza a silné ověření zákazníka chrání zákazníky, protože platby jsou okamžité a neodvolatelné.

Regulační výkaznictví

Banky vykazují velké objemy dat orgánům dohledu a centrálním bankám. V EU Článek 430 CRR požaduje, aby instituce vykazovaly kapitálové požadavky včetně pákového poměru, velkých expozic, požadavků na likviditu, zatížení aktiv a ESG expozic, mimo jiné, a některé instituce musí také vykazovat finanční informace.

Řetězec od jádra systému k regulátoru obvykle probíhá takto: Řetězec od regulačního systému k řídicí jednotce.

1. Zdrojová data v jádrovém systému a dalších operačních systémech.
2. Datový sklad nebo reportovací vrstva s odsouhlasením do hlavní knihy.
3. Modul pro regulační reportování, který mapuje data na šablony dohledu a ověřovací pravidla.
4. Kontrola a schvalování podle financí a rizik, s dokumentovanými kontrolními prvky.
5. Podání prostřednictvím portálu nebo formátu regulátora.

Nové banky často podceňují práci spojenou s mapováním dat o produktech na šablony výkaznictví ještě před zahájením činnosti.

Co dozorčí orgány hledají v žádosti o licenci

1. Jasná cílová architektura, s každým systémem, jeho vlastníkem, poskytovatelem a umístěním.
2. Mapa kritických nebo důležitých funkcí, která ukazuje, které funkce jsou outsourcovány a komu.
3. Exit plány pro každého kritického dodavatele, realistické v čase a nákladech.
4. Umístění a přístup k datům, včetně orgánu dohledu a orgánu příslušného k řešení krize.
5. Testovaná odolnost proti poškození, s dobami obnovení, které odpovídají příslibům služeb v obchodním plánu.
6. Důkazy o připravenosti, jako je end-to-end testování, zkouška migrace a provozní přijetí.

The ECBPrůvodce licencováním fintech bank žádá žadatele, aby zvážili plán ukončení činnosti spořádaným a solventním způsobem, aniž by tím byli poškozeni spotřebitelé nebo byl vyžadován zásah regulačních orgánů; o důvěryhodnosti takového plánu rozhoduje volba technologie: data musí být obnovitelná, účty přenositelné a platby schopné čistého ukončení.

Další článek vysvětluje platební kolejnice, ke kterým se jádro systému připojuje: karetní schémata, SEPA, okamžité platby a hrubé vypořádání v reálném čase.