بانکداری هسته ای، ابر، خارج از کشور و مقررات فناوری

یک بانک مجموعه‌ای از وعده‌هایی است که در دفتر کل ثبت شده‌اند. اگر دفتر کل اشتباه، غیرقابل دسترس یا مخدوش باشد، بانک نمی‌تواند بداند چه چیزی را بدهکار است، به مشتریان خود پرداخت کند یا گزارشی به سرپرست خود ارائه دهد.

کاری که یک سیستم بانکی اساسی انجام می دهد

سیستم بانکی اصلی دفترچه ثبت است که داده‌های مشتری و حساب را نگه می‌دارد، هر معامله‌ای را منتشر می‌کند، سود و هزینه‌ها را محاسبه می‌کند، و توازن‌هایی را تولید می‌کند که همه چیز دیگر به آن وابسته است.

توابع معمول شامل:

کار	چه چیزی را پوشش می‌دهد
مدیریت مشتری و حساب	سوابق مشتری، افتتاح حساب، شرایط محصول، وضعیت حساب
دفتر و پست	زمان واقعی یا ارسال دسته ای بدهی ها و اعتبارات ، تغذیه دفتر کل عمومی
درآمدها	حساب‌های جاری، پس‌انداز و اعتباری، تراکم سود و سرمایه‌گذاری
قرض دادن	رابط‌های ایجاد وام، برنامه‌ریزی، بازپرداخت‌ها، بدهی‌ها، تأمین منابع
رابط پرداخت	اتصال به مراکز پرداخت، پردازشگرهای کارت و حساب‌های مصاحبه کننده
پیکربندی محصول	نرخ‌ها، عوارض، محدودیت‌ها و قوانین بدون تغییر کد
داده‌ها و گزارش‌ها	استخراج برای امور مالی، ریسک، گزارش‌دهی مقرراتی و نظارت AML

در اطراف هسته سیستم‌های دیگر قرار دارند: کانال‌های دیجیتال، یک مرکز پرداخت، مدیریت کارت، ثبت نام مشتری و تأیید هویت، بررسی تحریم‌ها، نظارت بر تراکنش، خزانه داری، مالیات و موتور گزارش‌دهی مقرراتی.

گزینه‌های معماری

بانک‌های جدید معمولاً بین سه مدل انتخاب می‌کنند.

1. نرم‌افزار مجوزدار، که توسط بانک یا یک ارائه دهنده میزبانی می‌شود. بانک کنترل پیکربندی و داده‌ها را بر عهده دارد، اما بار یکپارچه‌سازی را به دوش می‌کشد.
2. نرم‌افزار به عنوان یک سرویس در پلت فرم ابری. سریعتر برای راه اندازی، اما بانک به نقشه راهی و انعطاف‌پذیری فروشنده بستگی دارد، و این ترتیب است که خارج می‌شود.
3. بانکداری به عنوان یک خدمت از یک مؤسسه مجوزدار دیگر. سریعترین راه، اما ممکن است این سوال را مطرح کند که آیا بانک جدید به اندازه کافی مواد خود را دارد.

نظارت‌کنندگان یک مدل را توصیه نمی‌کنند، بلکه ارزیابی می‌کنند که آیا بانک آنچه را انتخاب کرده است درک و کنترل می‌کند.

قواعد بیرونی

به عبارت دیگر، یک ارائه دهنده خدمات فرایند، سرویس یا فعالیتی را انجام می‌دهد که بانک در غیر این صورت خود آن را انجام می‌داد. EBA راهنمایی در مورد تنظیمات بیرونی (EBA/GL/2019/02) در 30 سپتامبر 2019 به اجرا درآمد. EBAپیشنهاد جداگانه در مورد بیرون کشیدن به ارائه دهندگان خدمات ابری.

اصل مرکزی این است که مسئولیت را نمی‌توان به بیرون واگذار کرد. بدنه مدیریت برای تمام وظایف خارج شده مسئول باقی می‌ماند. مؤسسات «باید در همه زمان‌ها ماده کافی را حفظ کنند و تبدیل به «پوشش‌های خالی» یا «سازمان‌های صندوق پستی» نشوند».

توابع حیاتی یا مهم

این دستورالعمل‌ها نیازمندی‌های سخت‌تری را در جایی که وظایف بیرونی حیاتی یا مهم هستند، اعمال می‌کنند، به این معنی که شکست می‌تواند به‌طور مادی بر مطابقت، عملکرد مالی یا ادامه‌داری تأثیر بگذارد.

1. ارزیابی ریسک و دقت لازم را در مورد ارائه دهنده قبل از قرارداد انجام دهید.
2. شامل حقوق قراردادی دسترسی، اطلاعات و حسابرسی برای بانک و مقامات مربوطه.
3. کنترل زیرساخت‌های بیرونی، از جمله اطلاع‌رسانی و حق اعتراض یا لغو.
4. امنیت داده‌ها، مکان و نیازهای محرمانگی را تعیین کنید.
5. استراتژی‌های خروج را مستندسازی و آزمایش کنید.
6. در این روش، اطلاعات مورد نیاز برای برنامه‌ریزی و اجرای یک پروژه به صورت پیش‌فرض یا پیش‌بینی شده است.

تمام تنظیمات باید در یک دفترچه ثبت برون سپاری که توسط بانک نگهداری می‌شود، ثبت شود.

خارج از اتحادیه اروپا

قوانين مشابهي در جاهاي ديگه هم وجود داره PRA وب‌گاه رسمی SS2/21 در مورد بیرون کشیدن و مدیریت ریسک طرف سوم، که در مارس 2021 منتشر شد و از 31 مارس 2022 به اجرا درآمده است، پوشش می دهد، امنیت داده ها، ابر و برنامه ریزی خروج. PRA توصیف آن را به عنوان هدف تسهیل "انعطاف پذیری بیشتر و پذیرش ابر و سایر فناوری های جدید" توصیف می کند.

در سنگاپور، MAS راهنمای مدیریت ریسک فناوری, منتشر شده در 18 ژانویه 2021، اصولی را برای مدیریت ریسک فناوری، IT و انعطاف‌پذیری سایبری تعیین می‌کند و با یک اطلاعیه ملزم و دستورالعمل‌های گزارش حوادث تکمیل می‌شود.

DORA: مقاومت عملیاتی دیجیتال در اتحادیه اروپا

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. این قانون مدیریت ریسک ICT، گزارش حوادث، آزمایش و خطرات شخص ثالث را در یک مقرره برای اکثر نهادهای مالی اتحادیه اروپا از جمله بانک‌ها آورده‌است.

ناحیه DORA	نیازمندی‌های اساسی برای بانک‌ها
مدیریت ریسک ICT	یک چارچوب مستند که توسط بدنه مدیریت تأیید و نظارت می‌شود، شناسایی، محافظت، تشخیص، پاسخ و بازیابی را پوشش می‌دهد.
گزارش حادثه	حوادث مهم مرتبط با ICT باید تحت ماده 19، با استفاده از طبقه‌بندی و قالب‌های هماهنگ شده، به مقامات مربوطه گزارش شود.
آزمایش انعطاف پذیری	یک برنامه آزمایشی برای همه نهادها؛ برای نهادهایی که توسط مقامات شناسایی شده‌اند، حداقل هر سه سال آزمایش نفوذ هدایت شده توسط تهدیدات پیشرفته بر روی سیستم‌های تولید زنده تحت ماده 26.
وب‌گاه رسمی شرکت ICT	یک استراتژی در مورد ریسک طرف سوم ICT، حداقل‌های قراردادی و ثبت اطلاعات در مورد تمام قراردادهای خدمات ICT تحت ماده 28.
نظارت بر ارائه دهندگان حیاتی	مقامات نظارتی اروپایی ارائه دهندگان خدمات ICT مهم را تعیین می‌کنند و مستقیماً تحت ماده 31 بر آنها نظارت می‌کنند.

ماده 28 بیان می‌کند که نهادهای مالی که از خدمات ICT استفاده می‌کنند «باید در همه زمان‌ها، به‌طور کامل مسئول رعایت و انجام تمامی تعهدات» تحت این قانون باشند. DORA سازمان‌ها باید سالانه در مورد ترتیبات جدید گزارش دهند و به موقع دربارهٔ قراردادهای برنامه‌ریزی شده برای وظایف حیاتی یا مهم به اداره اطلاع دهند.

DORA در کنار EBA در عمل، بانکها يک موجودي نگه ميدارند که هر دو را برآورده مي کند.

امنیت سایبری

نظارت‌کنندگان انتظار دارند که یک بانک دارایی‌های اطلاعاتی خود را بداند، آن‌ها را متناسب با اهمیتشان محافظت کند، حملات را سریعاً تشخیص دهد و خدمات حیاتی را در محدوده تحمل تعریف شده بازیابی کند.

کنترل‌های کلیدی معمولاً شامل موارد زیر هستند:

1. مدیریت هویت و دسترسی قوی، با احراز هویت چند عاملی و کنترل‌های دسترسی ویژه.
2. توسعه نرم‌افزار امن و مدیریت تغییرات، از جمله برای انتشارات فروشنده.
3. رمزگذاری داده‌ها در انتقال و استراحت، و مدیریت کلید که بانک کنترل می‌کند.
4. نظارت مداوم و توانایی عملیات امنیتی، در داخل یا خارج از کشور.
5. مدیریت آسیب‌پذیری و آزمایش نفوذ منظم.
6. پشتیبان‌هایی که از محیط تولید جدا شده و برای بازیابی آزمایش شده‌اند.
7. برنامه‌های پاسخگویی به حوادث که شامل اطلاع‌رسانی مقرراتی و ارتباط با مشتریان است.

تایید دریافت‌کننده، تجزیه و تحلیل رفتاری و احراز هویت قوی مشتری از مشتریان محافظت می‌کند زیرا پرداخت‌ها بلافاصله و غیرقابل بازگشت می‌شوند.

گزارش تنظیمی

بانک ها حجم زيادي از اطلاعات رو به بازرسان و بانک هاي مركزي گزارش ميدن ماده 430 CRR بانک‌های مرکزی گزارش‌دهی آماری را اضافه می‌کنند و واحدهای اطلاعات مالی گزارش‌های مشکوک از تراکنش‌ها را دریافت می‌کنند.

گزارش ها فقط به اندازه داده هاي پشت سرشون خوبند. زنجیره از سيستم اصلي تا تنظيم کننده معمولا اينطوري پيش ميره:

1. داده‌های منبع در سیستم اصلی و دیگر سیستم‌های عملیاتی.
2. یک انبار داده یا لایه گزارش با هماهنگی به دفتر کل.
3. یک موتور گزارش‌دهی قانونی که داده‌ها را به قالب‌های نظارتی و قوانین اعتبارسنجی نگاشت می‌کند.
4. بررسی و امضا توسط مالیات و ریسک، با کنترل‌های مستند.
5. در این روش از طریق پورت یا پورت‌های خروجی به سیستم متصل می‌شود.

اشتباهات در گزارش‌دهی می‌تواند منجر به یافته‌های نظارتی شود و جایی که آنها نظارت‌کننده را گمراه می‌کنند، اجرای قانون.

چيزايي که سرپرستان در درخواست مجوز دنبالشون هستن

1. یک معماری هدف واضحبا هر سيستم، صاحبش، ارائه دهنده اش و مکانش.
2. یک نقشهٔ توابع حیاتی یا مهم، که نشان می‌دهد کدام توابع بیرونی شده‌اند و به چه کسی.
3. پلان‌های خروج برای هر ارائه دهندهٔ حیاتی، واقع‌گرایانه در زمان و هزینه.
4. مکان داده و دسترسی، از جمله برای نظارت‌کننده و تصمیم‌گیری.
5. مقاومت آزموده شده، با زمان‌های بازیابی که با وعده خدمات برنامه کسب و کار مطابقت دارد.
6. شواهد آمادگی، مانند آزمایش پایان به پایان، تمرین مهاجرت و پذیرش عملیاتی.

. اون ECBفهرست بانک‌های فنلاند بانک مرکزی فنلاند از متقاضیان می‌خواهد که یک برنامه خروج برای متوقف کردن عملیات به صورت منظم و قابل پرداخت را در نظر بگیرند، بدون آسیب رساندن به مصرف‌کنندگان یا نیاز به مداخله تنظیمی.

مقالهٔ بعدی ریل‌های پرداختی را توضیح می‌دهد که سیستم هسته‌ای به آن‌ها متصل می‌شود: طرح‌های کارت، SEPA، پرداخت‌های فوری و تسویه کل در زمان واقعی.