Ydinpankkitoiminta, pilvipalvelut, ulkoistaminen ja teknologian sääntely

Pankki on joukko lupauksia, jotka tallennetaan pääkirjaan.Jos pääkirja on virheellinen, käytettävissä tai vaarantunut, pankki ei voi tietää, mitä se on velkaa, maksaa asiakkailleen tai raportoida valvojilleen.Tästä syystä sääntelyviranomaiset tutkivat nyt teknologiaa, ulkoistamista ja kyberturvallisuutta yhtä tarkasti kuin pääomasuunnitelmia.

Mitä ydinpankkijärjestelmä tekee

Ydinpankkijärjestelmä on kirjanpitojärjestelmä, joka pitää kirjaa asiakkaista ja tilitiedoista, kirjaa kaikki tapahtumat, laskee korot ja maksut sekä tuottaa saldot, joihin kaikki muu perustuu.

Tyypillisiä toimintoja ovat:

Toiminto	Mitä se kattaa
Asiakas- ja tilinhallinta	Asiakastiedot, tilin avaaminen, tuoteehdot, tilin tila
Kirjanpito ja kirjaaminen	Veloitusten ja hyvitysten kirjaaminen reaaliajassa tai erissä, pääkirjan syötteet
Talletukset	Vaihto-, säästö- ja määräaikaistilit, korkokehitys ja aktivointi
Lainaus	Lainojen aloitusrajapinnat, aikataulut, takaisinmaksut, viivästykset, varaussyötteet
Maksuliittymät	Yhteydet maksukeskuksille, kortinkäsittelijöille ja kirjeenvaihtajatileille
Tuotekonfigurointi	Hinnat, maksut, rajat ja säännöt ilman koodimuutoksia
Tiedot ja raportointi	Otteita rahoitus-, riski- ja sääntelyraportointiin sekä AML -seurantaan

Ytimen ympärillä ovat muut järjestelmät: digitaaliset kanavat, maksukeskus, korttien hallinta, asiakkaiden perehdytys ja henkilöllisyyden varmistaminen, sanktioiden tarkastelu, tapahtumien valvonta, varainhoito, taloushallinto ja viranomaisraportointi.

Arkkitehtuurivaihtoehdot

Uudet pankit valitsevat yleensä kolmen mallin välillä.

1. Lisensoitu ohjelmisto, jota isännöi pankki tai palveluntarjoaja. Pankki hallitsee kokoonpanoa ja tietoja, mutta kantaa integrointitaakan.
2. Ohjelmisto palveluna pilvialustalla. Nopeampi käynnistää, mutta pankki on riippuvainen toimittajan etenemissuunnitelmasta ja kestävyydestä, ja järjestely on ulkoistettu.
3. Pankkitoiminta palveluna toiselta toimiluvan saaneelta laitokselta. Nopein tapa, mutta se voi herättää kysymyksen siitä, onko uudella pankilla riittävästi omaa sisältöä.

Valvojat eivät määrää mallia, vaan arvioivat, ymmärtääkö pankki valitsemansa mallin ja hallitseeko se sitä.

Ulkoistamissäännöt

Ulkoistaminen tarkoittaa sitä, että palveluntarjoaja suorittaa prosessin, palvelun tai toiminnan, jonka pankki muuten tekisi itse. EU:ssa EBA Ulkoistamisjärjestelyjä koskevat suuntaviivat (EBA/GL/2019/02) tulivat voimaan 30 syyskuussa 2019. Ne korvaavat aiemmat ohjeet, mukaan lukien EBA:n erillisen suosituksen ulkoistamisesta pilvipalvelujen tarjoajille.

Keskeisenä periaatteena on, että vastuuta ei voida ulkoistaa, vaan ylin hallintoelin on edelleen vastuussa kaikista ulkoistetuista toiminnoista. Laitosten ”pitäisi aina säilyttää riittävä sisältö eikä niistä pitäisi tulla tyhjiä kuoria tai postilaatikkoyhteisöjä”.

Kriittiset tai tärkeät toiminnot

Suuntaviivoissa asetetaan tiukempia vaatimuksia, jos ulkoistettu toiminto on kriittinen tai tärkeä, mikä tarkoittaa sitä, että sen epäonnistuminen heikentäisi olennaisesti sääntöjen noudattamista, taloudellista tulosta tai jatkuvuutta.

1. Suorita riskinarviointi ja due diligence palveluntarjoajalle ennen sopimuksen tekemistä.
2. Pankille ja toimivaltaiselle viranomaiselle on annettava sopimusperusteiset oikeudet tutustua tietoihin, saada niistä tietoja ja suorittaa tarkastuksia.
3. Hallitse alihankintaa, mukaan lukien ilmoitus ja oikeus vastustaa tai lopettaa.
4. Määritä tietoturva-, sijainti- ja luottamuksellisuusvaatimukset.
5. On dokumentoitu ja testattu exit-strategioita.
6. Ilmoita toimivaltaiselle viranomaiselle etukäteen suunnitellusta kriittisestä tai merkittävästä ulkoistamisesta.

Kaikki järjestelyt on kirjattava pankin ylläpitämään ulkoistamisrekisteriin.

EU:n ulkopuolella

Vastaavia sääntöjä sovelletaan muuallakin. Yhdistyneessä kuningaskunnassa PRA Valvontaviranomaisen lausuma SS2/21 ulkoistamisesta ja kolmansien osapuolten riskienhallinnasta, joka julkaistiin maaliskuussa 2021 ja tulee voimaan 31. maaliskuuta 2022, kattaa olennaisuuden, tietoturvan, pilvipalvelun ja irtautumissuunnitelman. PRA kuvailee sen tarkoituksen olevan helpottaa ”parempaa sietokykyä ja pilvipalvelun ja muiden uusien teknologioiden käyttöönottoa”.

Singaporessa 18. tammikuuta 2021 julkaistuissa MAS Technology Risk Management Guidelines -ohjeissa asetetaan periaatteet teknologiariskien hallinnalle, IT- ja kyberturvallisuudelle, ja niitä täydennetään sitovalla ilmoituksella ja poikkeamien raportointiohjeilla.

DORA: digitaalinen operatiivinen kestävyys EU:ssa

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. Siinä yhdistetään tieto- ja viestintätekniikan riskienhallinta, poikkeamien raportointi, testaus ja kolmansien osapuolten aiheuttamat riskit yhteen asetukseen useimpien EU:n rahoituslaitosten, myös pankkien, osalta.

DORA-alue	Pankkien ydinvaatimus
ICT-riskien hallinta	Johtoryhmän hyväksymä ja valvoma dokumentoitu kehys, joka kattaa tunnistamisen, suojauksen, havaitsemisen, reagoinnin ja palauttamisen
Tapahtuman ilmoittaminen	Suurista tieto- ja viestintäteknisiin järjestelmiin liittyvistä poikkeamista on ilmoitettava toimivaltaiselle viranomaiselle 19 artikla, käyttäen yhdenmukaistettua luokitusta ja malleja
Kestävyyden testaus	Testausohjelma kaikille yhteisöille; viranomaisten määrittämien yhteisöjen osalta kehittyneet uhkapohjaiset tunkeutumistestit vähintään kolmen vuoden välein käytössä olevissa tuotantojärjestelmissä 26 artiklan mukaisesti
ICT kolmannen osapuolen riski	Tieto- ja viestintätekniikan kolmansien osapuolten aiheuttamia riskejä koskeva strategia, sopimuksiin sisältyvät vähimmäisvaatimukset sekä rekisteri kaikista tieto- ja viestintätekniikkapalveluja koskevista sopimuksista. 28 artikla
Kriittisten palveluntarjoajien valvonta	Euroopan valvontaviranomaiset nimeävät kriittisten tieto- ja viestintätekniikkapalvelujen kolmannen osapuolen tarjoajat ja valvovat niitä suoraan 31 artiklan mukaisesti.

Artiklassa 28 todetaan, että tieto- ja viestintätekniikkapalveluja käyttävät rahoituslaitokset ”ovat aina täysin vastuussa kaikkien velvoitteiden noudattamisesta ja täyttämisestä” direktiivin mukaisesti. DORA Yhteisöjen on raportoitava vuosittain uusista järjestelyistä ja ilmoitettava viranomaiselle hyvissä ajoin kriittisiä tai tärkeitä toimintoja koskevista suunnitelluista sopimuksista, jotta viranomainen voi tehdä tarvittavat päätökset.

DORA Sovelletaan yhdessä EBA Käytännössä pankit ylläpitävät yhtä inventaariota, joka täyttää molemmat vaatimukset.

Kyberturvallisuus

Kyberriski on nyt osa toiminnan vakauden valvontaa, jossa pankin odotetaan tuntevan tietovarantonsa, suojaavan sitä sen kriittisyyteen nähden, havaitsevan hyökkäykset nopeasti ja palauttavan kriittiset palvelut määriteltyjen toleranssien puitteissa.

Tärkeimmät ohjausobjektit ovat yleensä:

1. Vahva identiteetti- ja käyttöoikeuksien hallinta monivaiheisella todennuksella ja etuoikeutetuilla käyttöoikeuksilla.
2. Turvallinen ohjelmistokehitys ja muutoksenhallinta, mukaan lukien toimittajan julkaisut.
3. Tiedon salaus siirrettäessä ja lepotilassa sekä avainten hallinta, jota pankki valvoo.
4. Jatkuva valvonta ja turvallisuustoimintojen hallinta, joko yrityksen sisällä tai ulkoistettuna.
5. Haavoittuvuuksien hallinta ja säännöllinen tunkeutumistestaus.
6. Varmuuskopiot, jotka on eristetty tuotantoympäristöstä ja testattu palauttamista varten.
7. Poikkeamien vastaussuunnitelmat, jotka kattavat sääntelyyn liittyvät ilmoitukset ja asiakasviestintä.

Petostentorjunta yhdistää kyberturvallisuuden ja maksut: Maksunsaajan todentaminen, käyttäytymisen analysointi ja vahva asiakastodennus suojaavat asiakkaita, kun maksuista tulee välittömiä ja peruuttamattomia.

Sääntelyyn liittyvä raportointi

Pankit raportoivat valvontaviranomaisille ja keskuspankeille suuria määriä tietoja. EU:ssa 430 artikla CRR Direktiivi edellyttää, että laitokset raportoivat muun muassa omien varojen vaatimuksiin liittyvistä seikoista, kuten vähimmäisomavaraisuusasteesta, suurista vastuista, likviditeettivaatimuksista, omaisuuserien kuormittamisesta ja ESG-riskeistä. Tiettyjen laitosten on myös raportoitava rahoitustietoja. Keskuspankit lisäävät tilastotietojen raportointia ja rahanpesun selvittelykeskukset saavat epäilyttävistä liiketoimista ilmoituksia.

Raportit ovat vain yhtä hyviä kuin niiden takana olevat tiedot, ketju ydinjärjestelmästä säätimeen kulkee yleensä seuraavasti:

1. Lähdetiedot ydinjärjestelmässä ja muissa käyttöjärjestelmissä.
2. Tietovarasto tai raportointitaso, jossa on yhteensopivuus pääkirjan kanssa.
3. Sääntelyyn perustuva raportointimoottori, joka yhdistää tiedot valvontamalleihin ja validointisääntöihin.
4. Tarkastus ja hyväksyntä talous- ja riskiasioissa dokumentoitujen valvontajärjestelmien avulla.
5. Toimittaminen sääntelyviranomaisen portaalin tai muodon kautta.

Uudet pankit usein aliarvioivat sen työn, joka liittyy tuotetietojen yhdistämiseen raportointipohjiin ennen niiden käyttöönottoa, ja siksi ne eivät välttämättä ole valmiita vastaamaan kysymyksiin.

Mitä valvojat etsivät lupahakemuksesta

1. Selkeä tavoitearkkitehtuuri, joissa kukin järjestelmä, sen omistaja, sen tarjoaja ja sen sijainti.
2. Kriittisten tai tärkeiden toimintojen kartta, josta käy ilmi mitkä toiminnot ulkoistetaan ja kenelle.
3. Poistumissuunnitelmat jokaiselle kriittiselle palveluntarjoajalle, realistinen aika ja kustannukset.
4. Tietojen sijainti ja käyttö, myös valvonta- ja kriisinratkaisuviranomaiselle.
5. Testattu kestävyys, jonka palautumisaika vastaa liiketoimintasuunnitelman palvelulupauksia.
6. Valmiusnäyttö, kuten loppuun asti kestävä testaus, siirtymäharjoitus ja toiminnallinen hyväksyntä.

The ECB’s guide to fintech bank licensing asks applicants to consider an exit plan for ceasing operations in an orderly and solvent manner, without harming consumers or requiring regulatory intervention. Teknologiavalinnat määräävät, onko tällainen suunnitelma uskottava: datan on oltava haettavissa, tilien siirrettävissä ja maksujen pysäytettävä puhtaasti.

Seuraavassa artikkelissa kerrotaan maksuraiteista, joihin ydinjärjestelmä liittyy: korttijärjestelmät, SEPA, pikamaksut ja reaaliaikainen bruttoselvitys.