Peamised pangandus-, pilve-, allhanke- ja tehnoloogiaregulatsioonid

Pank on raamatupidamisarvestusse kantud lubaduste kogum. Kui raamatupidamine on vale, kättesaamatu või ohustatud, ei saa pank teada, mida ta võlgneb, maksta oma klientidele ega anda aru oma järelevalveasutusele. Sel põhjusel uurivad reguleerijad nüüd tehnoloogia arhitektuuri, allhankeid ja küberkindlust sama hoolikalt kui kapitaliplaane.

Mida teeb põhipangandussüsteem?

Peamine pangandussüsteem on raamatupidamisraamat, mis sisaldab kliendi- ja kontoandmeid, registreerib iga tehingu, arvutab intressi ja tasusid ning loob saldod, millest kõik muu sõltub.

Tüüpilised funktsioonid on järgmised:

Funktsioon	Mida see hõlmab
Kliendi- ja kontohaldus	Kliendi andmed, konto avamine, tootetingimused, konto staatus
Raamatupidamine ja postitus	Reaalajas või partiiviisiline deebet- ja krediitkontode kandmine, üldarvestuse andmed
Deposiidid	Jooksev-, hoiu- ja tähtajalised kontod, intresside kogumine ja kapitaliseerimine
Laenamine	Laenu väljastamise liidesed, ajakavad, tagasimaksed, võlad, provisioneerimise vood
Maksete liidesed	Ühendused maksekeskuste, kaarditöötlejate ja korrespondentkontodega
Toote konfiguratsioon	Hinnad, tasud, limiidid ja reeglid koodimuutusteta
Andmed ja aruandlus	Finants-, riski- ja regulatiivse aruandluse ning AML jälgimise väljavõtted

Tuuma ümber paiknevad teised süsteemid: digitaalsed kanalid, maksekeskus, kaardihaldus, klientide registreerimine ja isiku tuvastamine, sanktsioonide läbivaatamine, tehingute jälgimine, rahandus ja regulatiivse aruandluse mootor.

Arhitektuuri valikud

Uued pangad valivad tavaliselt kolme mudeli vahel.

1. Litsentsitud tarkvara, mida majutab pank või teenusepakkuja. Pank kontrollib konfiguratsiooni ja andmeid, kuid kannab integreerimise koormust.
2. Tarkvara teenusena pilveplatvormil. Kiirem käivitada, kuid pank sõltub müüja tegevuskavast ja vastupidavusest ning kokkulepe on allhanke korraldamine.
3. Teise litsentseeritud asutuse poolne pangandus teenusena. Kiireim tee, kuid see võib tekitada küsimuse, kas uuel pangal on piisavalt oma sisu.

Järelevalveasutused ei kirjuta mudelit ette, vaid hindavad, kas pank mõistab ja kontrollib valitud mudelit.

Allhankereeglid

Allhanke all mõistetakse seda, kui teenusepakkuja teostab protsessi, teenust või tegevust, mida pank muidu teostaks ise. EBA Suunised allhankelepingute kohta (EBA/GL/2019/02), mis jõustusid 30. septembril 2019 ja asendasid varasemad suunised, sealhulgas EBAKomisjoni eraldi soovitus allhanke kohta pilveteenuse pakkujatele.

Keskne põhimõte on see, et vastutust ei saa edasi anda ning juhtorgan jääb vastutavaks kõigi edasiantud funktsioonide eest. Institutsioonid „peaksid alati säilitama piisavalt sisu ega tohiks muutuda tühjadeks kestadeks või postkastideks”.

Kriitilised või olulised funktsioonid

Suunistes kohaldatakse rangemaid nõudeid juhul, kui allhankega hõlmatud funktsioon on kriitilise või olulise tähtsusega, mis tähendab, et selle täitmata jätmine kahjustaks oluliselt nõuetele vastavust, finantstulemusi või järjepidevust.

1. Enne lepingu sõlmimist tehke teenusepakkuja suhtes riskihindamine ja hoolsuskohustuse täitmine.
2. Sisaldab panga ja pädeva asutuse lepingulisi juurdepääsu-, teabe- ja auditeerimisõigusi.
3. Allhanke kontrollimine, sealhulgas teavitamine ja õigus esitada vastuväiteid või lõpetada.
4. Seadke andmete turvalisuse, asukoha ja konfidentsiaalsuse nõuded.
5. On dokumenteeritud ja testitud väljumisstrateegiaid.
6. Teavitage pädevat asutust eelnevalt kavandatavast kriitilisest või olulisest allhankest.

Kõik kokkulepped peavad olema kantud allhankeregistrisse, mida peab pank.

Väljaspool ELi

Sarnaseid eeskirju kohaldatakse ka mujal. Ühendkuningriigis PRA Järelevalvearuanne SS2/21 2021. aasta märtsis avaldatud ja alates 31. märtsist 2022 jõustuv allhanke- ja kolmandate osapoolte riskijuhtimise juhend hõlmab olulisust, andmeturvet, pilve ja väljumise planeerimist. PRA kirjeldab seda kui eesmärgiks on hõlbustada "suurem vastupidavus ja kasutuselevõtt pilve ja teiste uute tehnoloogiatega".

Singapuris, MAS Tehnoloogia riskijuhtimise suunised, mis avaldati 18. jaanuaril 2021, sätestavad tehnoloogiariskide juhtimise ning IT- ja kübervastupidavuse põhimõtted ning neid täiendavad siduv teade ja intsidentidest teavitamise juhised.

DORA: digitaalse tegevuse vastupanuvõime ELis

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. Sellega ühendatakse IKT riskijuhtimine, intsidentidest teatamine, testimine ja kolmandate isikutega seotud risk ühte määrusesse enamiku ELi finantseerimisasutuste, sealhulgas pankade jaoks.

DORA ala	Pankade põhinõue
IKT riskijuhtimine	Dokumenteeritud raamistik, mille on heaks kiitnud ja mille üle teostab järelevalvet juhtorgan ning mis hõlmab tuvastamist, kaitset, avastamist, reageerimist ja taastamised
Intsidendist teatamine	Suurtest IKT-ga seotud intsidentidest tuleb teatada pädevale asutusele vastavalt Artikkel 19, kasutades ühtlustatud klassifikatsiooni ja vorme
Vastupidavuse testimine	Testimisprogramm kõigile üksustele; ametiasutuste poolt kindlaks määratud üksuste puhul tehakse vähemalt iga kolme aasta järel täiustatud ohupõhine sissetungimise testimine aktiivsetes tootmissüsteemides, mis vastavad järgmistele nõuetele: Artikkel 26
ICT kolmanda osapoole risk	IKT kolmandate isikutega seotud riskide strateegia, lepingulised miinimumnõuded ja teaberegister kõigi IKT-teenuste lepingute kohta, mis on sõlmitud käesoleva direktiivi alusel. Artikkel 28
Kriitiliste teenusepakkujate järelevalve	Euroopa järelevalveasutused määravad kindlaks kolmandatest isikutest kriitiliste IKT-teenuste osutajad ja teostavad nende üle otsest järelevalvet vastavalt artiklile 31.

Artiklis 28 on sätestatud, et IKT-teenuseid kasutavad finantseerimisasutused „vastutavad igal ajal täielikult kõigi kohustuste täitmise eest” DORA ja finantsteenuste seaduse alusel. Registris tuleb eristada kriitilisi või olulisi funktsioone toetavaid teenuseid ning üksused peavad iga-aastaselt aru andma uutest kokkulepetest ja teavitama ametiasutust õigeaegselt kavandatavatest lepingutest kriitiliste või oluliste funktsioonide jaoks.

DORA kohaldatakse koos EBA Praktikas hoiavad pangad ühte inventuuri, mis vastab mõlemale nõudele.

Küberturvalisus

Järelevalveasutused eeldavad, et pank tunneb oma infovarasid, kaitseb neid proportsionaalselt nende kriitilisusega, tuvastab rünnakud kiiresti ja taastab kriitilised teenused kindlaksmääratud lubatud hälvete piires.

Peamised juhtelemendid hõlmavad tavaliselt järgmist.

1. Tugev identiteedi- ja juurdepääsuhaldus koos mitmefaktorilise autentimise ja privilegeeritud juurdepääsu juhtimisega.
2. Turvaline tarkvaraarendus ja muudatuste juhtimine, sealhulgas tarnijate väljaannete jaoks.
3. Andmete krüptimine nii edastamisel kui ka hoidmisel ning võtmehaldus, mida pank kontrollib.
4. Pidev jälgimine ja turvaoperatsioonide suutlikkus, kas ettevõttesiseselt või allhanke teel.
5. Haavatavuste haldamine ja regulaarne läbitungimise testimine.
6. Varundused, mis on tootmiskeskkonnast isoleeritud ja mida on taastamiseks testitud.
7. Intsidentide lahendamise plaanid, mis hõlmavad regulatiivset teavitamist ja klientidega suhtlemist.

Makse saaja kinnitamine, käitumisanalüüs ja tugev kliendi autentimine kaitsevad kliente, kuna maksed muutuvad koheseks ja tagasivõtmatuks.

Regulatoorne aruandlus

Pangad esitavad järelevalveasutustele ja keskpankadele suurel hulgal andmeid. ELis Artikkel 430 CRR nõuab, et krediidiasutused ja investeerimisühingud esitaksid aruandeid omavahendite nõuete kohta, sealhulgas finantsvõimenduse määra, suurte riskipositsioonide, likviidsusnõuete, varade koormamise ja ESG-riskide kohta. Teatud krediidiasutused ja investeerimisühingud peavad esitama ka finantsteavet. Keskpangad täiendavad seda statistilise aruandlusega ning rahapesu andmebürood saavad teateid kahtlaste tehingute kohta;

Aruanded on vaid nii head kui nende taga olevad andmed, sest ahel põhisüsteemist regulaatorini kulgeb tavaliselt järgmiselt:

1. Lähteandmed põhisüsteemis ja muudes operatsioonisüsteemides.
2. Andmeladu või aruandluskiht, mis on ühendatud pearaamatuga.
3. Regulatiivne aruandlusmootor, mis vastavusse seab andmed järelevalvemallide ja valideerimisreeglitega.
4. Läbivaatamine ja kinnitamine rahanduse ja riskide poolt koos dokumenteeritud kontrollidega.
5. Esitamine regulaatori portaali või vormi kaudu.

Uued pangad alahindavad sageli tööd, mis tuleb teha enne turuletulekut selleks, et tooteandmed vastavusse viia aruandlusmallidega.

Mida järelevalveasutused tegevusloa taotluses otsivad

1. Selge sihtarhitektuur, kus iga süsteem, selle omanik, pakkuja ja asukoht.
2. Kriitiliste või oluliste funktsioonide kaart, mis näitab, millised funktsioonid on allhanked ja kellele.
3. Väljumiskavad Iga kriitilise pakkuja jaoks, realistlik aja ja kulude osas.
4. Andmete asukoht ja juurdepääs, sealhulgas järelevalve- ja kriisilahendusasutusele.
5. Testitud vastupidavus, mille taastamise ajad vastavad äriplaani teenuse lubadustele.
6. Valmidustõend, nagu otsast lõpuni testimine, migratsiooni harjutus ja operatiivne vastuvõtmine.

The ECB’s guide to fintech bank licensing asks applicants to consider an exit plan for ceasing operations in an orderly and solvent manner, without harming consumers or requiring regulatory intervention. Tehnoloogilised valikud määravad ära, kas selline plaan on usaldusväärne: andmed peavad olema kättesaadavad, kontod ülekantavad ja maksed peavad suutma puhtalt lõppeda.

Järgmises artiklis selgitatakse makserööbasteid, millega põhisüsteem ühendub: kaardiskeemid, SEPA, kiirmaksed ja reaalajas brutoarveldus.