Core Banking, Cloud, Outsourcing und Technologieregulierung

Eine Bank ist eine Reihe von Versprechen, die in einem Hauptbuch aufgezeichnet sind.Wenn das Hauptbuch falsch, nicht verfügbar oder kompromittiert ist, kann die Bank nicht wissen, was sie schuldet, ihre Kunden bezahlen oder ihrer Aufsichtsbehörde Bericht erstatten. Aus diesem Grund untersuchen Aufsichtsbehörden heute Technologiearchitektur, Outsourcing und Cyber-Resilienz genauso genau wie Kapitalpläne.

Was ein Kernbanksystem leistet

Das Kernbanksystem ist das Hauptbuch: Es speichert Kunden- und Kontodaten, verzeichnet jede Transaktion, berechnet Zinsen und Gebühren und erstellt die Salden, auf denen alles andere beruht.

Typische Funktionen umfassen:

Funktion	Was es umfasst
Kunden- und Accountmanagement	Kundendatensätze, Kontoeröffnung, Produktbedingungen, Kontostatus
Großbuch und Buchung	Echtzeit- oder Stapelverbuchung von Lastschriften und Gutschriften, Hauptbuchzuführungen
Einzahlungen	Giro-, Spar- und Terminkonten, Zinserträge und Aktivierungen
Ausleihen	Schnittstellen zur Kreditausstellung, Zeitpläne, Rückzahlungen, Rückstände, Bereitstellungsfeeds
Zahlungsschnittstellen	Verbindungen zu Zahlungs-Hubs, Kartenprozessoren und Korrespondentenkonten
Produktkonfiguration	Tarife, Gebühren, Limits und Regeln ohne Codeänderungen
Daten und Berichte	Auszüge für Finanz-, Risiko- und regulatorisches Reporting sowie AML Monitoring

Um den Kern herum befinden sich weitere Systeme: digitale Kanäle, ein Zahlungs-Hub, Kartenmanagement, Kunden-Onboarding und Identitätsprüfung, Sanktionsscreening, Transaktionsüberwachung, Treasury, Finanzen und die regulatorische Berichterstattung.

Architekturoptionen

Neue Banken wählen in der Regel zwischen drei Modellen.

1. Lizenzierte Software, die von der Bank oder einem Provider gehostet wird. Die Bank kontrolliert Konfiguration und Daten, trägt aber die Integrationslast.
2. Software as a Service auf einer Cloud-Plattform. Schnellere Einführung, aber die Bank hängt von der Roadmap und der Belastbarkeit des Anbieters ab, und das Arrangement ist Outsourcing.
3. Banking as a Service von einem anderen lizenzierten Institut. Der schnellste Weg, aber es kann die Frage aufwerfen, ob die neue Bank genug eigene Substanz hat.

Die Aufsichtsbehörden schreiben kein Modell vor, sondern beurteilen, ob die Bank das von ihr gewählte Modell versteht und kontrolliert.

Outsourcing-Regeln

Unter Outsourcing versteht man, dass ein Dienstleister einen Prozess, eine Dienstleistung oder Tätigkeit ausführt, die die Bank ansonsten selbst erbringen würde. In der EU sind am 30. September 2019 die EBA Leitlinien zu Outsourcing-Vereinbarungen (EBA/GL/2019/02) in Kraft getreten, die frühere Leitlinien einschließlich der gesonderten Empfehlung der EBA zur Auslagerung an Cloud-Dienstleister ersetzen.

Das zentrale Prinzip ist, dass Verantwortung nicht ausgelagert werden kann: Das Leitungsorgan bleibt für alle ausgelagerten Funktionen verantwortlich. Institutionen „sollten jederzeit ausreichend Substanz behalten und nicht zu ‚leeren Hüllen‘ oder ‚Briefkasten-Einheiten‘ werden“.

Kritische oder wichtige Funktionen

Die Leitlinien legen strengere Anforderungen fest, wenn die ausgelagerte Funktion kritisch oder wichtig ist, d. h. ein Ausfall würde die Compliance, die finanzielle Leistung oder die Kontinuität wesentlich beeinträchtigen.

1. Führen Sie vor der Vertragsunterzeichnung eine Risikobewertung und Due Diligence des Anbieters durch.
2. Vertragliche Zugangs-, Informations- und Prüfungsrechte für die Bank und die zuständige Behörde vorsehen.
3. Kontrolle der Sub-Outsourcing, einschließlich Benachrichtigung und das Recht auf Widerspruch oder Kündigung.
4. Legen Sie Anforderungen an Datensicherheit, Standort und Vertraulichkeit fest.
5. Exit-Strategien dokumentiert und getestet haben.
6. Informieren Sie die zuständige Behörde im Voraus über geplante kritische oder wichtige Outsourcings.

Alle Vereinbarungen müssen in einem von der Bank geführten Outsourcing-Register erfasst werden.

Außerhalb der EU

Ähnliche Regeln gelten auch anderswo. Im Vereinigten Königreich PRA Aufsichtserklärung SS2/21 Die im März 2021 veröffentlichte und ab dem 31. März 2022 gültige Richtlinie über Outsourcing und Drittanbieter-Risikomanagement umfasst die Themen Wesentlichkeit, Datensicherheit, Cloud und Exitplanung. PRA Das Unternehmen beschreibt es so, dass es „eine größere Widerstandsfähigkeit und Akzeptanz der Cloud und anderer neuer Technologien“ ermöglichen soll.

In Singapur legen die am 18. Januar 2021 veröffentlichten MAS Technology Risk Management Guidelines Grundsätze für Technologierisiko-Governance, IT- und Cyberresilienz fest und werden durch eine verbindliche Mitteilung und Anweisungen zur Meldung von Vorfällen ergänzt.

DORA: digitale operative Resilienz in der EU

The Digital Operational Resilience ActSeit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554, die das IKT-Risikomanagement, die Meldung von Vorfällen, Tests und Drittparteirisiken für die meisten EU-Finanzinstitute einschließlich Banken in einer einzigen Verordnung zusammenfasst.

DORA-Bereich	Kernanforderung für Banken
ICT-Risikomanagement	Ein dokumentierter Rahmen, der vom Managementorgan genehmigt und überwacht wird und die Identifizierung, den Schutz, die Erkennung, die Reaktion und die Wiederherstellung umfasst
Vorfall melden	Wichtige IKT-bezogene Vorfälle müssen der zuständigen Behörde gemäß Artikel 19, unter Verwendung der harmonisierten Klassifizierung und Vorlagen
Resilienztest	Ein Testprogramm für alle Unternehmen; für von Behörden identifizierte Unternehmen mindestens alle drei Jahre erweiterte bedrohungsbasierte Penetrationstests auf Live-Produktionssystemen unter Artikel 26
ICT-Drittrisiken	Eine Strategie für IKT-Risiken Dritter, vertragliche Mindestanforderungen und ein Register mit Informationen zu allen IKT-Dienstleistungsverträgen unter Artikel 28
Überwachung kritischer Anbieter	Die Europäischen Aufsichtsbehörden benennen kritische Drittdienstleister im IKT-Bereich und beaufsichtigen diese gemäß Artikel 31 direkt.

In Artikel 28 heißt es, dass Finanzinstitute, die IKT-Dienstleistungen nutzen, „zu jeder Zeit für die Einhaltung und Erfüllung aller Verpflichtungen“ nach dem DORA und dem Finanzdienstleistungsgesetz voll verantwortlich bleiben. Das Register muss Dienstleistungen unterscheiden, die kritische oder wichtige Funktionen unterstützen, Unternehmen müssen jährlich über neue Vereinbarungen berichten und die Behörde rechtzeitig über geplante Verträge für kritische oder wichtige Funktionen informieren.

DORA gilt neben den Outsourcing-Richtlinien EBA, in der Praxis führen Banken einen Bestand, der beides erfüllt.

Cybersecurity

Die Aufsichtsbehörden erwarten von einer Bank, dass sie ihre Informationsressourcen kennt, diese entsprechend ihrer Kritizität schützt, Angriffe schnell erkennt und kritische Services innerhalb definierter Toleranzen wiederherstellt.

Zu den wichtigsten Steuerelementen gehören in der Regel:

1. Starkes Identitäts- und Zugriffsmanagement mit Multifaktor-Authentifizierung und privilegierter Zugriffskontrolle.
2. Sichere Softwareentwicklung und Change Management, auch für Hersteller-Releases.
3. Verschlüsselung von Daten während der Übertragung und im Ruhezustand sowie Schlüsselverwaltung, die von der Bank kontrolliert wird.
4. Kontinuierliche Überwachung und Sicherheitsoperationen, intern oder ausgelagert.
5. Schwachstellenmanagement und regelmäßige Penetrationstests.
6. Backups, die von der Produktionsumgebung isoliert und auf Wiederherstellung getestet werden.
7. Reaktionspläne für Vorfälle, die die Benachrichtigung der Aufsichtsbehörden und die Kundenkommunikation abdecken.

Die Verifizierung der Zahlungsempfänger, Verhaltensanalysen und eine starke Kundenauthentifizierung schützen die Kunden, da Zahlungen sofort und unwiderruflich erfolgen.

Regulatorische Berichterstattung

Banken melden große Datenmengen an die Aufsichtsbehörden und Zentralbanken. In der EU Artikel 430 des CRR Die Verordnung verpflichtet Institute, über Eigenmittelanforderungen zu berichten, einschließlich der Verschuldungsquote, großer Risiken, Liquiditätsanforderungen, Belastungen von Vermögenswerten und ESG-Risiken sowie anderer Punkte. Bestimmte Institute müssen auch Finanzinformationen melden. Zentralbanken fügen statistische Berichterstattung hinzu, und die zentralen Nachrichtendienste erhalten Meldungen verdächtiger Transaktionen.

Berichte sind nur so gut wie die dahinter stehenden Daten: Die Kette vom Kernsystem zum Regler verläuft in der Regel wie folgt:

1. Quelldaten im Kernsystem und in anderen Betriebssystemen.
2. Ein Data Warehouse oder eine Berichtsebene mit Abstimmung auf das Hauptbuch.
3. Ein regulatorisches Reporting-Modul, das Daten aufsichtsrechtlichen Vorlagen und Validierungsregeln zuordnet.
4. Überprüfung und Genehmigung durch Finanzen und Risiko, mit dokumentierten Kontrollen.
5. Einreichung über das Portal oder Format der Regulierungsbehörde.

Fehler bei der Berichterstattung können zu aufsichtlichen Erkenntnissen und, wenn sie die Aufsichtsbehörde irreführen, zur Durchsetzung führen.Neue Banken unterschätzen häufig den Aufwand, Produktdaten vor dem Start mit Berichtsvorlagen abzubilden.

Worauf Aufsichtsbehörden bei einem Genehmigungsantrag achten

1. Eine klare Zielarchitektur, mit jedem System, seinem Eigentümer, seinem Anbieter und seinem Standort.
2. Eine Karte der kritischen oder wichtigen Funktionen, die zeigt, welche Funktionen ausgelagert werden und an wen.
3. Exit-Pläne für jeden kritischen Anbieter, realistisch in Zeit und Kosten.
4. Datenstandort und -zugang, auch für die Aufsichts- und Abwicklungsbehörde.
5. Geprüfte Belastbarkeit, mit Wiederherstellungszeiten, die den Serviceversprechen des Geschäftsplans entsprechen.
6. Bereitschaftsnachweis, wie End-to-End-Tests, Migrationsproben und betriebliche Abnahme.

In ihrem Leitfaden für die Lizenzierung von Fintech-Banken fordert die ECBFinancial Conduct Authority Antragsteller auf, einen Exit-Plan zu entwickeln, um den Geschäftsbetrieb geordnet und solvent einstellen zu können, ohne Verbraucher zu schädigen oder regulatorische Eingriffe erforderlich zu machen.Die Technologiewahl bestimmt, ob ein solcher Plan glaubwürdig ist: Daten müssen abrufbar sein, Konten übertragbar und Zahlungen müssen sauber beendet werden können.

Der nächste Artikel erklärt die Zahlungsschienen, an die sich das Kernsystem anschließt: Kartenschemata, SEPA, Sofortzahlungen und Echtzeit-Bruttoabrechnung.