Core banking, cloud, outsourcing og teknologiregulering

En bank er et sæt af løfter, der er registreret i en hovedbog.Hvis hovedbogen er forkert, utilgængelig eller kompromitteret, kan banken ikke vide, hvad den skylder, betale sine kunder eller rapportere til sin tilsynsmyndighed. Af denne grund undersøger regulatorerne nu teknologisk arkitektur, outsourcing og cyber resiliens lige så nøje som kapitalplaner.

Hvad et centralt banksystem gør

Det centrale banksystem er hovedbogen, som indeholder kunde- og kontodata, bogfører alle transaktioner, beregner renter og gebyrer og producerer de balancer, som alt andet afhænger af.

Typiske funktioner omfatter:

Funktion	Hvad det dækker
Kunde- og kontostyring	Kundeoptegnelser, kontoåbning, produktvilkår, kontostatus
Hovedbog og bogføring	Real-time eller batch bogføring af debiteringer og krediteringer, hovedbog feeds
Indskud	Anfordrings-, opsparings- og tidsindskudskonti, renteoptjening og kapitalisering
Udlån	Grænseflader til låneoprettelse, tidsplaner, tilbagebetalinger, efterslæb, provisioner
Betalingsgrænseflader	Forbindelser til betalingshubs, kortprocessorer og korrespondentkonti
Produktkonfiguration	Satser, gebyrer, grænser og regler uden kodeændringer
Data og rapportering	Uddrag til økonomi, risiko, regulatorisk rapportering og AML overvågning

Omkring kernen sidder andre systemer: digitale kanaler, et betalingshub, korthåndtering, kundeonboarding og identitetsverifikation, sanktionsscreening, transaktionsovervågning, treasury, økonomi og regulatorisk rapporteringsmotor.

Arkitekturvalg

Nye banker vælger normalt mellem tre modeller.

1. Licenseret software, hostet af banken eller en udbyder. Banken styrer konfiguration og data, men bærer integrationsbyrden.
2. Software as a service på en cloud-platform. Hurtigere at lancere, men banken er afhængig af leverandørens køreplan og robusthed, og arrangementet er outsourcing.
3. Banking som service fra en anden autoriseret institution. Den hurtigste vej, men det kan rejse spørgsmålet om, hvorvidt den nye bank har tilstrækkelig substans i sig selv.

Tilsynsmyndighederne foreskriver ikke en model, men vurderer, om banken forstår og kontrollerer den valgte model.

Outsourcing regler

Ved outsourcing forstås, at en tjenesteudbyder udfører en proces, ydelse eller aktivitet, som banken ellers selv ville udføre. I EU trådte EBA Retningslinjer for outsourcingaftaler (EBA/GL/2019/02) i kraft den 30. september 2019 og erstatter tidligere vejledninger, herunder EBAs særskilte anbefaling om outsourcing til cloud-udbydere.

Det centrale princip er, at ansvaret ikke kan outsources, og at ledelsesorganet fortsat skal være ansvarligt for alle outsourcede funktioner. Institutionerne ”bør til enhver tid bevare et tilstrækkeligt indhold og ikke blive tomme skaller eller postkasseenheder”.

Kritiske eller vigtige funktioner

Retningslinjerne stiller strengere krav, når den outsourcede funktion er kritisk eller vigtig, hvilket betyder, at et svigt i væsentlig grad ville forringe compliance, finansielle resultater eller kontinuitet.

1. Udfør en risikovurdering og due diligence på leverandøren, før du indgår kontrakt.
2. Inkluder kontraktlige rettigheder til adgang, information og revision for banken og den kompetente myndighed.
3. Kontrol af underleverancer, herunder meddelelse og ret til at gøre indsigelse eller opsige.
4. Angiv krav til datasikkerhed, placering og fortrolighed.
5. Har dokumenteret og testet exitstrategier.
6. Underrette den kompetente myndighed på forhånd om planlagt kritisk eller vigtig outsourcing.

Alle aftaler skal registreres i et outsourcingregister, som banken fører.

Uden for EU

Lignende regler gælder andre steder. I Storbritannien dækker PRA Supervisory Statement SS2/21 om outsourcing og tredjepartsrisikostyring, der blev offentliggjort i marts 2021 og træder i kraft den 31. marts 2022, væsentlighed, datasikkerhed, cloud- og exitplanlægning. PRA beskriver det som værende beregnet til at fremme “større modstandsdygtighed og adoption af skyen og andre nye teknologier”.

I Singapore fastsætter MAS Technology Risk Management Guidelines, der blev offentliggjort den 18. januar 2021, principper for styring af teknologiske risici, it- og cyberresistens og suppleres med en bindende meddelelse og instruktioner om rapportering af hændelser.

DORA: digital operationel robusthed i EU

Det er vigtigt, at patienten får den nødvendige behandling. Lov om digital driftssikkerhed, forordning (EU) 2022/2554, har været gældende siden den 17. januar 2025 og samler IKT-risikostyring, indberetning af hændelser, testning og tredjepartsrisici i én forordning for de fleste finansielle enheder i EU, herunder banker.

DORA område	Kernekrav til banker
IKT-risikostyring	En dokumenteret ramme, der er godkendt og overvåget af ledelsesorganet, og som dækker identifikation, beskyttelse, opdagelse, reaktion og genopretning
Hændelsesrapportering	Større IKT-relaterede hændelser skal indberettes til den kompetente myndighed i henhold Artikel 19, ved brug af harmoniseret klassificering og skabeloner
Test af modstandsdygtighed	Et testprogram for alle enheder; for enheder, der er identificeret af myndighederne, avanceret trusselsbaseret penetrationstest mindst hvert tredje år på levende produktionssystemer under Artikel 26
IKT tredjepartsrisiko	En strategi for IKT-tredjepartsrisici, kontraktmæssige minimumskrav og et register over oplysninger om alle IKT-tjenesteydelsesaftaler i henhold til Artikel 28
Overvågning af kritiske udbydere	De europæiske tilsynsmyndigheder udpeger tredjepartsudbydere af kritiske IKT-tjenester og fører direkte tilsyn med dem i henhold til artikel 31

Artikel 28 fastslår, at finansielle enheder, der bruger IKT-tjenester, "til enhver tid forbliver fuldt ud ansvarlige for overholdelse og opfyldelse af alle forpligtelser" i henhold til DORA Registret skal skelne mellem tjenesteydelser, der understøtter kritiske eller vigtige funktioner. Enhederne skal årligt aflægge rapport om nye aftaler og informere myndigheden i god tid om planlagte kontrakter vedrørende kritiske eller vigtige funktioner.

DORA gælder sideløbende med EBA outsourcing-retningslinjerne, og i praksis vedligeholder bankerne én lagerbeholdning, der opfylder begge.

Cybersikkerhed

Tilsynsmyndighederne forventer, at en bank kender sine informationsaktiver, beskytter dem i forhold til deres kritiske betydning, hurtigt opdager angreb og genopretter kritiske tjenester inden for definerede tolerancer.

Nøglekontrolelementer omfatter normalt:

1. Stærk identitets- og adgangsstyring med multifaktorgodkendelse og privilegieret adgangskontrol.
2. Sikker softwareudvikling og ændringsstyring, herunder for leverandørudgivelser.
3. Kryptering af data under overførsel og i hvile, samt nøglestyring, som banken kontrollerer.
4. Kontinuerlig overvågning og en sikkerhedsoperationskapacitet, in-house eller outsourcet.
5. Sårbarhedsstyring og regelmæssig penetration test.
6. Sikkerhedskopier, der er isoleret fra produktionsmiljøet og testet til gendannelse.
7. Hændelsesresponsplaner, der dækker underretning af myndigheder og kundekommunikation.

Verifikation af betalingsmodtagere, adfærdsanalyse og stærk kundegodkendelse beskytter kunderne, da betalinger bliver øjeblikkelige og uigenkaldelige.

Rapportering til myndigheder

Bankerne indberetter store mængder data til tilsynsmyndighederne og centralbankerne. I EU Artikel 430 i CRR kræver, at institutter indberetter kapitalgrundlagskrav, herunder gearingsgrad, store eksponeringer, likviditetskrav, aktivbelastning og ESG-eksponeringer, blandt andre poster, og visse institutter skal også indberette finansielle oplysninger.Centralbankerne tilføjer statistisk rapportering, og de finansielle efterretningsenheder modtager rapporter om mistænkelige transaktioner.

Rapporter er kun så gode som dataene bag dem, og kæden fra kernesystem til regulator løber normalt således:

1. Kildedata i kernesystemet og andre driftssystemer.
2. Et datalager eller rapporteringslag med afstemning til hovedbogen.
3. En regulatorisk rapporteringsmotor, der knytter data til overvågningsskabeloner og valideringsregler.
4. Gennemgang og godkendelse af økonomi og risiko med dokumenterede kontroller.
5. Indsendelse via tilsynsmyndighedens portal eller format.

Nye banker undervurderer ofte arbejdet med at tilknytte produktdata til rapporteringsskabeloner inden lanceringen, og det er derfor vigtigt, at de sikrer sig, at der ikke forekommer fejl i deres rapportering.

Hvad tilsynsmyndighederne ser efter i en ansøgning om tilladelse

1. En klar målarkitektur, med hvert system, dets ejer, udbyder og placering.
2. Et kort over kritiske eller vigtige funktioner, som viser hvilke funktioner der outsources og til hvem.
3. Afgangsplaner for hver kritisk udbyder, realistisk i tid og omkostninger.
4. Dataplacering og adgang, herunder for tilsyns- og afviklingsmyndigheden.
5. Afprøvet modstandsdygtighed, med genoprettelsestider, der matcher forretningsplanens serviceløfter.
6. Bevis for parathed, såsom end-to-end testning, migration øvelse og operationel accept.

Det er vigtigt, at patienten får den nødvendige behandling. ECB’s guide til fintech bank licens anmoder ansøgerne om at overveje en exitplan for ophør af aktiviteterne på en velordnet og solvent måde, uden at det skader forbrugerne eller kræver lovgivningsmæssig indgriben.Det er de teknologiske valg, der afgør, om en sådan plan er troværdig: data skal kunne hentes, konti skal kunne overføres, og betalinger skal kunne standses uden problemer.

Den næste artikel forklarer de betalingsskinner, som kernesystemet forbinder til: kortordninger, SEPA, øjeblikkelige betalinger og real-time bruttoafvikling.