Βασική τραπεζική, νέφος, εξωτερική ανάθεση και ρύθμιση της τεχνολογίας

Μια τράπεζα είναι ένα σύνολο υποσχέσεων που καταγράφονται σε ένα βιβλίο.Εάν το βιβλίο είναι λάθος, μη διαθέσιμο ή παραβιαστεί, η τράπεζα δεν μπορεί να γνωρίζει τι οφείλει, να πληρώσει τους πελάτες της ή να αναφέρει στον επόπτη της.Για αυτόν τον λόγο, οι ρυθμιστικές αρχές εξετάζουν τώρα την τεχνολογική αρχιτεκτονική, την εξωτερική ανάθεση και την ανθεκτικότητα στον κυβερνοχώρο τόσο στενά όσο και τα κεφαλαιακά σχέδια.

Τι κάνει ένα βασικό τραπεζικό σύστημα

Ο πυρήνας του τραπεζικού συστήματος είναι το μεγάλο βιβλίο των αρχείων.Κρατά τα δεδομένα των πελατών και των λογαριασμών, καταχωρεί κάθε συναλλαγή, υπολογίζει τους τόκους και τις χρεώσεις και παράγει τα υπόλοιπα στα οποία βασίζονται όλα τα άλλα.

Τυπικές λειτουργίες περιλαμβάνουν:

Λειτουργία	Τι καλύπτει
Διαχείριση πελατών και λογαριασμών	Αρχεία πελατών, άνοιγμα λογαριασμού, όροι προϊόντων, κατάσταση λογαριασμού
Λογιστικό βιβλίο και καταχώριση	Καταχώρηση χρεώσεων και πιστώσεων σε πραγματικό χρόνο ή κατά παρτίδες, τροφοδοσίες γενικού βιβλίου
Καταθέσεις	Τρεχούμενοι, αποταμιευτικοί και προθεσμιακοί λογαριασμοί, δεδουλευμένοι τόκοι και κεφαλαιοποίηση
Δανεισμός	Διασυνδέσεις δημιουργίας δανείων, χρονοδιαγράμματα, αποπληρωμές, καθυστερήσεις πληρωμών, τροφοδοσίες πρόβλεψης
Διεπαφές πληρωμών	Συνδέσεις με κέντρα πληρωμών, επεξεργαστές καρτών και λογαριασμούς ανταποκριτών
Διαμόρφωση προϊόντος	Τιμές, τέλη, όρια και κανόνες χωρίς αλλαγή κωδικού
Δεδομένα και αναφορές	Αποσπάσματα για χρηματοοικονομικές, ρυθμιστικές αναφορές και διαχείριση κινδύνου AML παρακολούθηση

Γύρω από τον πυρήνα βρίσκονται άλλα συστήματα: ψηφιακά κανάλια, ένας κόμβος πληρωμών, διαχείριση καρτών, ένταξη πελατών και επαλήθευση ταυτότητας, έλεγχος κυρώσεων, παρακολούθηση συναλλαγών, ταμείο, χρηματοοικονομικά και η ρυθμιστική μηχανή αναφοράς.

Επιλογές αρχιτεκτονικής

Οι νέες τράπεζες επιλέγουν συνήθως μεταξύ τριών μοντέλων.

1. Λογισμικό με άδεια χρήσης, που φιλοξενείται από την τράπεζα ή έναν πάροχο. Η τράπεζα ελέγχει τη διαμόρφωση και τα δεδομένα, αλλά φέρει το βάρος της ενσωμάτωσης.
2. Λογισμικό ως υπηρεσία σε μια πλατφόρμα σύννεφο. Ταχύτερη εκκίνηση, αλλά η τράπεζα εξαρτάται από τον οδικό χάρτη και την ανθεκτικότητα του προμηθευτή και η διευθέτηση είναι εξωτερική ανάθεση.
3. Τραπεζική ως υπηρεσία από άλλο αδειοδοτημένο ίδρυμα. Η ταχύτερη διαδρομή, αλλά μπορεί να εγείρει το ερώτημα αν η νέα τράπεζα έχει αρκετή ουσία από μόνη της.

Οι επόπτες δεν επιβάλλουν ένα μοντέλο, αλλά αξιολογούν κατά πόσον η τράπεζα κατανοεί και ελέγχει το μοντέλο που έχει επιλέξει.

Κανόνες εξωτερικής ανάθεσης

Η εξωτερική ανάθεση σημαίνει ότι ένας πάροχος υπηρεσιών εκτελεί μια διαδικασία, υπηρεσία ή δραστηριότητα που η τράπεζα θα εκτελούσε διαφορετικά μόνη της. In the EU, the EBA Guidelines on outsourcing arrangements (EBA/GL/2019/02) entered into force on 30 September 2019. They replaced earlier guidance, including the EBA’s separate recommendation on outsourcing to cloud service providers.

Η κεντρική αρχή είναι ότι η ευθύνη δεν μπορεί να ανατεθεί σε εξωτερικούς συνεργάτες. Το διοικητικό όργανο παραμένει υπεύθυνο για όλες τις λειτουργίες που έχουν ανατεθεί σε εξωτερικούς συνεργάτες.

Κρίσιμες ή σημαντικές λειτουργίες

Οι κατευθυντήριες γραμμές εφαρμόζουν αυστηρότερες απαιτήσεις στις περιπτώσεις όπου η εξωτερική ανάθεση λειτουργιών είναι κρίσιμης ή σημαντικής σημασίας, πράγμα που σημαίνει ότι μια αποτυχία θα μπορούσε να επηρεάσει ουσιωδώς τη συμμόρφωση, τις οικονομικές επιδόσεις ή τη συνέχεια.

1. Εκτελέστε μια αξιολόγηση κινδύνου και δέουσα επιμέλεια για τον πάροχο πριν από τη σύναψη σύμβασης.
2. Περιλαμβάνουν συμβατικά δικαιώματα πρόσβασης, πληροφόρησης και ελέγχου για την τράπεζα και την αρμόδια αρχή.
3. Έλεγχος υπεργολαβίας, συμπεριλαμβανομένης της κοινοποίησης και του δικαιώματος αντίρρησης ή καταγγελίας.
4. Καθορίστε τις απαιτήσεις ασφάλειας, τοποθεσίας και εμπιστευτικότητας των δεδομένων.
5. Έχουν τεκμηριωμένες και δοκιμασμένες στρατηγικές εξόδου.
6. Ενημερώνει εκ των προτέρων την αρμόδια αρχή για σχεδιαζόμενη εξωτερική ανάθεση κρίσιμων ή σημαντικών εργασιών.

Όλες οι ρυθμίσεις πρέπει να καταγράφονται σε μητρώο εξωτερικής ανάθεσης που τηρείται από την τράπεζα.

Εκτός της ΕΕ

Παρόμοιοι κανόνες ισχύουν και αλλού. Στο Ηνωμένο Βασίλειο PRA Εποπτική Δήλωση ΕΣ2/21 για την εξωτερική ανάθεση και τη διαχείριση κινδύνου τρίτων, που δημοσιεύθηκε τον Μάρτιο του 2021 και τίθεται σε ισχύ από τις 31 Μαρτίου 2022, καλύπτει θέματα σημαντικότητας, ασφάλειας δεδομένων, νέφους και σχεδιασμού εξόδου. PRA περιγράφει ότι έχει ως στόχο να διευκολύνει «μεγαλύτερη ανθεκτικότητα και υιοθέτηση του νέφους και άλλων νέων τεχνολογιών».

Στη Σιγκαπούρη, η MAS Κατευθυντήριες γραμμές διαχείρισης κινδύνου τεχνολογίας, που δημοσιεύθηκε στις 18 Ιανουαρίου 2021, καθορίζουν τις αρχές για τη διακυβέρνηση του τεχνολογικού κινδύνου, την πληροφορική και την ανθεκτικότητα στον κυβερνοχώρο και συμπληρώνονται από μια δεσμευτική ανακοίνωση και οδηγίες αναφοράς συμβάντων.

DORA: ψηφιακή επιχειρησιακή ανθεκτικότητα στην ΕΕ

Η Πράξη Ψηφιακής Επιχειρησιακής Ανθεκτικότητας, ο κανονισμός (ΕΕ) 2022/2554, εφαρμόζεται από τις 17 Ιανουαρίου 2025 και ενσωματώνει τη διαχείριση κινδύνου ΤΠΕ, την αναφορά συμβάντων, τους ελέγχους και τον κίνδυνο τρίτων σε έναν ενιαίο κανονισμό για τα περισσότερα χρηματοπιστωτικά ιδρύματα της ΕΕ, συμπεριλαμβανομένων των τραπεζών.

Περιοχή ΔΩΡΑ	Βασική απαίτηση για τις τράπεζες
Διαχείριση κινδύνου ΤΠΕ	Ένα τεκμηριωμένο πλαίσιο εγκεκριμένο και εποπτευόμενο από το διοικητικό όργανο, που καλύπτει τον προσδιορισμό, την προστασία, την ανίχνευση, την αντιμετώπιση και την ανάκτηση
Αναφορά συμβάντος	Major ICT-related incidents must be reported to the competent authority under Article 19, using harmonised classification and templates
Έλεγχος ανθεκτικότητας	Ένα πρόγραμμα δοκιμών για όλες τις οντότητες. Για τις οντότητες που προσδιορίζονται από τις αρχές, προηγμένες δοκιμές διείσδυσης με βάση την απειλή τουλάχιστον κάθε τρία χρόνια σε ζωντανά συστήματα παραγωγής υπό Άρθρο 26
Κίνδυνος τρίτου μέρους ΤΠΕ	Στρατηγική για τον κίνδυνο ΤΠΕ τρίτων, συμβατικά ελάχιστα όρια και μητρώο πληροφοριών για όλες τις συμβάσεις παροχής υπηρεσιών ΤΠΕ στο πλαίσιο Άρθρο 28
Εποπτεία κρίσιμων παρόχων	Οι Ευρωπαϊκές Εποπτικές Αρχές ορίζουν τρίτους παρόχους κρίσιμων υπηρεσιών ΤΠΕ και τους εποπτεύουν απευθείας σύμφωνα με το άρθρο 31

Το άρθρο 28 αναφέρει ότι οι χρηματοπιστωτικές οντότητες που χρησιμοποιούν υπηρεσίες ΤΠΕ «παραμένουν, ανά πάσα στιγμή, πλήρως υπεύθυνες για τη συμμόρφωση και την εκπλήρωση όλων των υποχρεώσεων» σύμφωνα με DORA Το μητρώο πρέπει να διακρίνει τις υπηρεσίες που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Οι οντότητες πρέπει να αναφέρουν ετησίως τις νέες ρυθμίσεις και να ενημερώνουν την αρχή εγκαίρως για τις προγραμματισμένες συμβάσεις για κρίσιμες ή σημαντικές λειτουργίες.

DORA ισχύει παράλληλα με το EBA Στην πράξη, οι τράπεζες διατηρούν ένα απόθεμα που ικανοποιεί και τα δύο.

Ασφάλεια στον κυβερνοχώρο

Οι επόπτες αναμένουν από μια τράπεζα να γνωρίζει τα στοιχεία ενεργητικού της που αφορούν τις πληροφορίες, να τα προστατεύει ανάλογα με την κρίσιμη σημασία τους, να εντοπίζει γρήγορα επιθέσεις και να αποκαθιστά κρίσιμες υπηρεσίες εντός καθορισμένων ανοχών.

Τα βασικά στοιχεία ελέγχου συνήθως περιλαμβάνουν:

1. Ισχυρή διαχείριση ταυτότητας και πρόσβασης, με έλεγχο ταυτότητας πολλαπλών παραγόντων και προνομιακούς ελέγχους πρόσβασης.
2. Ασφαλής ανάπτυξη λογισμικού και διαχείριση αλλαγών, συμπεριλαμβανομένων των εκδόσεων προμηθευτή.
3. Κρυπτογράφηση των δεδομένων κατά τη μεταφορά και την ανάπαυση, καθώς και διαχείριση κλειδιών που ελέγχει η τράπεζα.
4. Συνεχής παρακολούθηση και ικανότητα λειτουργίας ασφάλειας, εσωτερική ή εξωτερική.
5. Διαχείριση ευπαθειών και τακτική διείσδυση.
6. Αντίγραφα ασφαλείας που απομονώνονται από το περιβάλλον παραγωγής και ελέγχονται για επαναφορά.
7. Σχέδια αντιμετώπισης περιστατικών που καλύπτουν την κανονιστική κοινοποίηση και την επικοινωνία με τους πελάτες.

Η επαλήθευση δικαιούχου, η ανάλυση συμπεριφοράς και ο ισχυρός έλεγχος ταυτότητας πελάτη προστατεύουν τους πελάτες καθώς οι πληρωμές γίνονται στιγμιαίες και αμετάκλητες.

Ρυθμιστική αναφορά

Οι τράπεζες υποβάλλουν μεγάλους όγκους δεδομένων στις εποπτικές αρχές και τις κεντρικές τράπεζες. Άρθρο 430 του CRR απαιτεί από τα ιδρύματα να υποβάλλουν εκθέσεις σχετικά με τις απαιτήσεις ιδίων κεφαλαίων, συμπεριλαμβανομένου του δείκτη μόχλευσης, των μεγάλων ανοιγμάτων, των απαιτήσεων ρευστότητας, της επιβάρυνσης των περιουσιακών στοιχείων και των εκθέσεων μεταξύ άλλων στοιχείων, ενώ ορισμένα ιδρύματα πρέπει επίσης να αναφέρουν χρηματοοικονομικές πληροφορίες.Οι κεντρικές τράπεζες προσθέτουν στατιστικές αναφορές και οι μονάδες χρηματοοικονομικών πληροφοριών λαμβάνουν αναφορές ύποπτων συναλλαγών.

Οι αναφορές είναι τόσο καλές όσο τα δεδομένα πίσω τους.Η αλυσίδα από το βασικό σύστημα στον ελεγκτή συνήθως τρέχει:

1. Πηγή δεδομένων στο βασικό σύστημα και σε άλλα λειτουργικά συστήματα.
2. Μια αποθήκη δεδομένων ή στρώμα αναφοράς με συμφιλίωση στο γενικό βιβλίο.
3. Μια ρυθμιστική μηχανή αναφοράς που αντιστοιχίζει δεδομένα σε εποπτικά πρότυπα και κανόνες επικύρωσης.
4. Επανεξέταση και έγκριση από την οικονομική υπηρεσία και τον κίνδυνο, με τεκμηριωμένους ελέγχους.
5. Υποβολή μέσω της πύλης ή της μορφής του ρυθμιστικού φορέα.

Τα σφάλματα στην υποβολή εκθέσεων μπορούν να οδηγήσουν σε εποπτικά πορίσματα και, όταν παραπλανούν τον επόπτη, σε μέτρα επιβολής.Οι νέες τράπεζες συχνά υποτιμούν το έργο της αντιστοίχισης των δεδομένων προϊόντος με τα πρότυπα αναφοράς πριν από την έναρξη λειτουργίας τους.

Τι αναζητούν οι επόπτες σε μια αίτηση αδειοδότησης

1. Μια σαφής αρχιτεκτονική στόχων, με κάθε σύστημα, τον ιδιοκτήτη του, τον πάροχο και την τοποθεσία του.
2. Ένας χάρτης κρίσιμων ή σημαντικών λειτουργιών, που δείχνει ποιες λειτουργίες ανατίθενται σε εξωτερικούς συνεργάτες και σε ποιον.
3. Σχέδια εξόδου για κάθε κρίσιμο πάροχο, ρεαλιστικός στο χρόνο και το κόστος.
4. Τοποθεσία και πρόσβαση δεδομένων, συμπεριλαμβανομένης της εποπτικής αρχής και της αρχής εξυγίανσης.
5. Δοκιμασμένη ανθεκτικότητα, με τους χρόνους αποκατάστασης που ταιριάζουν με τις υποσχέσεις υπηρεσιών του επιχειρησιακού σχεδίου.
6. Απόδειξη ετοιμότητας, όπως η από άκρο σε άκρο δοκιμή, η πρόβα μετανάστευσης και η λειτουργική αποδοχή.

Η ECBΟδηγός για την αδειοδότηση τραπεζών χρηματοοικονομικής τεχνολογίας ζητεί από τους αιτούντες να εξετάσουν ένα σχέδιο εξόδου για τη διακοπή των δραστηριοτήτων με συντεταγμένο και φερέγγυο τρόπο, χωρίς να βλάπτονται οι καταναλωτές ή να απαιτείται ρυθμιστική παρέμβαση.Οι τεχνολογικές επιλογές καθορίζουν το κατά πόσον ένα τέτοιο σχέδιο είναι αξιόπιστο: τα δεδομένα πρέπει να μπορούν να ανακτηθούν, οι λογαριασμοί να μεταβιβάζονται και οι πληρωμές να μπορούν να σταματήσουν καθαρά.

Το επόμενο άρθρο εξηγεί τις σιδηροτροχιές πληρωμών που το βασικό σύστημα συνδέεται με: συστήματα καρτών, SEPA, στιγμιαίες πληρωμές και σε πραγματικό χρόνο ακαθάριστο διακανονισμό.