Banca básica, nube, outsourcing y regulación tecnológica

Un banco es un conjunto de promesas registradas en un libro mayor.Si el libro mayor está equivocado, no disponible o comprometido, el banco no puede saber lo que debe, pagar a sus clientes o informar a su supervisor.Por esta razón, los reguladores ahora examinan la arquitectura tecnológica, la subcontratación y la resiliencia cibernética tan de cerca como los planes de capital.

Lo que hace un sistema bancario central

El núcleo del sistema bancario es el libro mayor, que contiene los datos de los clientes y las cuentas, registra cada transacción, calcula los intereses y comisiones, y produce los saldos en los que todo lo demás depende.

Funciones típicas incluyen:

Función	Qué cubre
Gestión de clientes y cuentas	Registros de clientes, apertura de cuentas, términos del producto, estado de la cuenta
Libro mayor y contabilización	Registro en tiempo real o por lotes de débitos y créditos, entradas del libro mayor
Depósitos	Cuentas corrientes, de ahorro y a plazo, intereses devengados y capitalización
Préstamo	Interfaces de origen de préstamos, calendarios, reembolsos, atrasos, fuentes de aprovisionamiento
Interfaces de pago	Conexiones a centros de pago, procesadores de tarjetas y cuentas corresponsales
Configuración del producto	Tarifas, comisiones, límites y reglas sin cambios de código
Datos e informes	Extractos para finanzas, riesgos, informes regulatorios y monitoreo AML

Alrededor del núcleo se encuentran otros sistemas: canales digitales, un centro de pagos, gestión de tarjetas, incorporación de clientes y verificación de identidad, revisión de sanciones, monitoreo de transacciones, tesorería, finanzas y el motor de informes regulatorios.

Opciones de arquitectura

Los nuevos bancos suelen elegir entre tres modelos.

1. Software con licencia, alojado por el banco o un proveedor. El banco controla la configuración y los datos, pero soporta la carga de integración.
2. Software como servicio en una plataforma en la nube. Más rápido de lanzar, pero el banco depende de la hoja de ruta y la resiliencia del proveedor, y el arreglo es la subcontratación.
3. Banca como servicio de otra institución con licencia. La ruta más rápida, pero puede plantear la cuestión de si el nuevo banco tiene suficiente sustancia propia.

Los supervisores no prescriben un modelo, sino que evalúan si el banco entiende y controla el que ha elegido.

Reglas de subcontratación

Por externalización se entiende que un proveedor de servicios realiza un proceso, servicio o actividad que el banco realizaría él mismo. En la UE, las EBA Directrices sobre acuerdos de externalización (EBA/GL/2019/02) entraron en vigor el 30 de septiembre de 2019 y sustituyeron a orientaciones anteriores, incluida la recomendación separada del EBA sobre la externalización a proveedores de servicios en la nube.

El principio central es que la responsabilidad no puede ser externalizada, el órgano de gestión sigue siendo responsable de todas las funciones externalizadas. Las instituciones “deben mantener en todo momento una sustancia suficiente y no convertirse en ‘cáscaras vacías’ o ‘entidades de buzón’”.

Funciones críticas o importantes

Las directrices aplican requisitos más estrictos cuando la función subcontratada es crítica o importante, lo que significa que un fallo afectaría materialmente el cumplimiento, el rendimiento financiero o la continuidad.

1. Realice una evaluación de riesgos y diligencia debida sobre el proveedor antes de contratar.
2. Incluir derechos contractuales de acceso, información y auditoría para el banco y la autoridad competente.
3. Control de la subcontratación, incluida la notificación y el derecho a oponerse o terminar.
4. Establezca los requisitos de seguridad, ubicación y confidencialidad de los datos.
5. Tener estrategias de salida documentadas y probadas.
6. Informar con antelación a la autoridad competente de la externalización crítica o importante prevista.

Todos los acuerdos deben registrarse en un registro de subcontratación mantenido por el banco.

Fuera de la UE

En el Reino Unido se aplican normas similares. PRA Declaración de Supervisión SS2/21 El nuevo reglamento sobre la gestión de riesgos de externalización y terceros, publicado en marzo de 2021 y vigente a partir del 31 de marzo de 2022, abarca la materialidad, la seguridad de los datos, la nube y la planificación de salida. PRA El objetivo es facilitar “una mayor resiliencia y adopción de la nube y otras nuevas tecnologías”.

En Singapur, el MAS Directrices de gestión del riesgo tecnológico, publicados el 18 de enero de 2021, establecen principios para la gobernanza del riesgo tecnológico, las TI y la resiliencia cibernética, y se complementan con un aviso vinculante e instrucciones de notificación de incidentes.

DORA: resiliencia operativa digital en la UE

The Ley de Resiliencia Operacional DigitalEl Reglamento (UE) 2022/2554, que se aplica desde el 17 de enero de 2025, reúne la gestión del riesgo de las TIC, la notificación de incidentes, las pruebas y el riesgo de terceros en un único reglamento para la mayoría de las entidades financieras de la UE, incluidos los bancos.

DORA área	Requisito básico para los bancos
Gestión de riesgos TIC	Un marco documentado aprobado y supervisado por el órgano de gestión, que cubra la identificación, protección, detección, respuesta y recuperación
Información de incidentes	Los incidentes importantes relacionados con las TIC deben notificarse a la autoridad competente en virtud del Artículo 19, utilizando la clasificación armonizada y los modelos
Pruebas de resiliencia	Un programa de pruebas para todas las entidades; para las entidades identificadas por las autoridades, pruebas avanzadas de penetración basadas en amenazas al menos cada tres años en sistemas de producción activos bajo Artículo 26
Riesgo de terceros TIC	Una estrategia sobre el riesgo de terceros en materia de TIC, los mínimos contractuales y un registro de información sobre todos los contratos de servicios de TIC en virtud del Artículo 28
Supervisión de proveedores críticos	Las Autoridades Europeas de Supervisión designan a los terceros proveedores de servicios críticos de TIC y los supervisan directamente en virtud del artículo 31

El artículo 28 establece que las entidades financieras que utilicen servicios de TIC “serán en todo momento plenamente responsables del cumplimiento y el cumplimiento de todas las obligaciones” bajo DORAy la ley de servicios financieros.El registro debe distinguir los servicios que apoyan funciones críticas o importantes.Las entidades deben informar anualmente sobre nuevos arreglos e informar a la autoridad de manera oportuna sobre contratos planificados para funciones críticas o importantes.

DORA se aplica junto con el EBA En la práctica, los bancos mantienen un inventario que satisface ambos requisitos.

Ciberseguridad

Los supervisores esperan que un banco conozca sus activos de información, los proteja en proporción a su criticidad, detecte ataques rápidamente y recupere servicios críticos dentro de tolerancias definidas, lo cual es fundamental para la supervisión prudencial.

Los controles clave generalmente incluyen:

1. Gestión sólida de identidades y accesos, con autenticación multifactor y controles de acceso privilegiado.
2. Desarrollo de software seguro y gestión de cambios, incluso para versiones de proveedores.
3. Cifrado de datos en tránsito y en reposo, y gestión de claves que controla el banco.
4. Supervisión continua y capacidad de operaciones de seguridad, interna o externa.
5. Gestión de vulnerabilidades y pruebas de penetración periódicas.
6. Copias de seguridad aisladas del entorno de producción y probadas para su restauración.
7. Planes de respuesta a incidentes que cubren la notificación regulatoria y la comunicación con el cliente.

La verificación del beneficiario, el análisis de comportamiento y la fuerte autenticación del cliente protegen a los clientes ya que los pagos se vuelven instantáneos e irrevocables.

Información regulatoria

Los bancos informan grandes volúmenes de datos a los supervisores y a los bancos centrales. In the EU, Article 430 of the CRR requires institutions to report on own funds requirements including the leverage ratio, large exposures, liquidity requirements, asset encumbrance and ESG exposures, among other items, and certain institutions must also report financial information. Los bancos centrales añaden informes estadísticos y las unidades de inteligencia financiera reciben informes sobre transacciones sospechosas.

Los informes solo son tan buenos como los datos que hay detrás de ellos.La cadena desde el sistema central hasta el regulador suele ser la siguiente:

1. Datos de origen en el sistema central y otros sistemas operativos.
2. Un almacén de datos o capa de informes con conciliación al libro mayor.
3. Un motor de informes regulatorios que asigna datos a plantillas de supervisión y reglas de validación.
4. Revisión y aprobación por finanzas y riesgo, con controles documentados.
5. Presentación a través del portal o formato del regulador.

Los nuevos bancos suelen subestimar el trabajo de mapear los datos del producto a las plantillas de informes antes del lanzamiento, lo que puede llevar a errores en la presentación de informes.

Lo que los supervisores buscan en una solicitud de licencia

1. Una arquitectura objetivo clara, con cada sistema, su propietario, su proveedor y su ubicación.
2. Un mapa de funciones críticas o importantes, mostrando qué funciones se subcontratan y a quién.
3. Planes de salida para cada proveedor crítico, realista en tiempo y costo.
4. Ubicación y acceso a los datos, incluso para la autoridad de supervisión y resolución.
5. Resiliencia probada, con tiempos de recuperación que coinciden con las promesas de servicio del plan de negocio.
6. Evidencia de preparación, como pruebas de extremo a extremo, ensayo de migración y aceptación operativa.

La guía del ECB para la concesión de licencias a bancos fintech pide a los solicitantes que consideren un plan de salida para cesar las operaciones de manera ordenada y solvente, sin dañar a los consumidores o requerir intervención regulatoria.Las opciones tecnológicas determinan si dicho plan es creíble: los datos deben ser recuperables, las cuentas transferibles y los pagos capaces de detenerse limpiamente.

El siguiente artículo explica los rieles de pago a los que se conecta el sistema principal: esquemas de tarjetas, SEPA, pagos instantáneos y liquidación bruta en tiempo real.