Core banking, cloud, outsourcing at teknolohiya regulasyon

Ang isang bangko ay isang hanay ng mga pangako na naka-record sa isang ledger. Kung ang ledger ay mali, hindi magagamit o compromised, ang bangko ay hindi maaaring malaman kung ano ito utang, magbayad ng mga customer nito o mag-ulat sa kanyang supervisor. Para sa kadahilanang ito, regulators ngayon suriin teknolohiya architecture, outsourcing at cyber resilience bilang malapit bilang kapital plano.

Ano ang isang core banking system ay hindi

Ang core banking system ay ang ledger ng talaan. Ito hold customer at account data, posts bawat transaksyon, kinakalkula interes at mga singil, at gumagawa ng mga balanse sa kung saan lahat ng iba ay umaasa.

Tipikal na mga function ay kasama:

Pagkilos	Ano ang sakop nito
Pamamahala ng customer at account	Mga talaan ng customer, pagbubukas ng account, mga tuntunin ng produkto, katayuan ng account
Ledger at pag-post	Real-time o batch pag-post ng mga debits at credits, pangkalahatang ledger feed
Deposito	Kasalukuyang, pagtitipid at terminong mga account, interes na naipon at kapitalisasyon
Pagpapahiram	Loan origination interfaces, mga iskedyul, pagbabayad-balikan, atraso, probisyon feed
Pagbabayad interface	Koneksyon sa pagbabayad hubs, card processors at correspondent account
Produkto configuration	Mga rate, singil, limitasyon at mga patakaran nang walang pagbabago sa code
Data at pag-uulat	Extracts para sa pananalapi, panganib, regulatory pag-uulat at AML pagsubaybay

Sa paligid ng core umupo iba pang mga sistema: digital channels, isang pagbabayad hub, card management, customer onboarding at pagpapatunay ng pagkakakilanlan, sanctions screening, transaksyon monitoring, treasury, pananalapi at ang regulatory pag-uulat engine.

Pagpipilian sa arkitektura

Bagong bangko karaniwang pumili sa pagitan ng tatlong mga modelo.

1. Licensed software, hosted sa pamamagitan ng bangko o isang provider. Ang bangko controls configuration at data, ngunit bears ang integration pasanin.
2. Software bilang isang serbisyo sa isang cloud platform. Mas mabilis na ilunsad, ngunit ang bangko ay depende sa roadmap ng vendor at kakayahang umangkop, at ang pagkakaayos ay outsourcing.
3. Banking bilang isang serbisyo mula sa iba pang lisensyadong institusyon. Ang pinakamabilis na ruta, ngunit ito ay maaaring itaas ang tanong kung ang bagong bangko ay may sapat na sangkap ng kanyang sarili.

Supervisors ay hindi magreseta ng isang modelo. Sinusuri nila kung ang bangko nauunawaan at kinokontrol ang isa na pinili nito.

Outsourcing patakaran

Outsourcing ay nangangahulugan na ang isang provider ng serbisyo ay nagsasagawa ng isang proseso, serbisyo o aktibidad na kung hindi man ang bangko ay magsagawa mismo. Sa EU, ang EBA Mga alituntunin sa outsourcing arrangements (EBA/GL/2019/02) ay pumasok sa bisa noong Setyembre 30, 2019. EBA’s hiwalay na rekomendasyon sa outsourcing sa cloud service provider.

Ang sentral na prinsipyo ay ang responsibilidad ay hindi maaaring outsourced. Ang katawan ng pamamahala ay nananatiling responsable para sa lahat ng mga function outsourced. Institusyon “ay dapat mapanatili sa lahat ng oras sapat na sangkap at hindi maging ‘walang laman shells’ o ‘letter-box entities’”.

Kritikal o mahalagang pag-andar

Ang mga alituntunin mag-aplay mas mahigpit na mga kinakailangan kung saan ang outsourced function ay kritikal o mahalaga, ibig sabihin ng isang pagkabigo ay materyal na makapinsala sa pagsunod, pinansiyal na pagganap o pagpapatuloy. Para sa mga tulad ng mga function, ang bangko ay dapat:

1. Gawin ang isang pagtatasa ng panganib at due diligence sa provider bago contracting.
2. Kasama ang mga kontratang karapatan ng access, impormasyon at pag-audit para sa bangko at ang may kapangyarihan na awtoridad.
3. Kontrolin ang sub-outsourcing, kabilang ang abiso at karapatan sa pagsang-ayon o pagtatapos.
4. Itakda ang mga kinakailangan sa seguridad ng data, lokasyon at pagkapribado.
5. May dokumentado at nasubok exit diskarte.
6. Ipaalam sa may-kapangyarihan ang awtoridad nang maaga ng binalak kritikal o mahalagang outsourcing.

Ang lahat ng mga pagsasaayos ay dapat na naitala sa isang outsourcing register pinapanatili ng bangko.

Sa labas ng EU

Sa United Kingdom, PRA Supervisory Statement SS2/21 sa outsourcing at third party na pamamahala ng panganib, inilathala noong Marso 2021 at epektibo mula sa 31 Marso 2022, sumasaklaw sa materyalidad, seguridad ng data, ulap at pagpaplano ng paglabas. Inilalarawan ng PRA ito bilang inilaan upang mapadali ang "pinakamalaking kakayahang umangkop at pagpapatibay ng cloud at iba pang mga bagong teknolohiya".

Sa Singapore, ang MAS Technology Risk Management Guidelines, na inilathala noong Enero 18, 2021, ay nagtatakda ng mga prinsipyo para sa pamamahala ng panganib ng teknolohiya, IT at cyber resilience, at pinagsasama ng isang nakabinbing abiso at mga tagubilin sa pag-uulat ng insidente.

DORA: digital operasyon paglaban sa EU

Ang Digital Operational Resilience Act, Regulation (EU) 2022/2554, ay inilapat mula noong Enero 17, 2025. Ito ay nagdadala ng pamamahala ng panganib sa ICT, pag-uulat ng insidente, pagsusuri at panganib ng third-party sa isang regulasyon para sa karamihan ng mga entidad na pinansiyal ng EU, kabilang ang mga bangko.

DORA lugar	Core kinakailangan para sa mga bangko
ICT pamamahala ng panganib	Ang isang dokumentadong framework na inaprubahan at pinamamahalaan ng katawan ng pamamahala, na sumasaklaw sa pagkakakilanlan, proteksyon, detection, tugon at pagbawi
Pag-uulat ng insidente	Ang mga pangunahing insidente na may kaugnayan sa ICT ay dapat iulat sa may-kapangyarihang awtoridad sa ilalim ng Artikulo 19, gamit ang harmonised classification at templates
Pagsubok ng pagtitiis	Ang isang pagsubok na programa para sa lahat ng mga entidad; para sa mga entidad na kinikilala ng mga awtoridad, advanced banta-na humantong penetration testing hindi bababa sa bawat tatlong taon sa live na produksyon system sa ilalim Artikulo 26
ICT third-party panganib	Isang diskarte sa ICT third-party na panganib, minimum na kontrata, at isang talaan ng impormasyon sa lahat ng mga kontrata ng serbisyo ng ICT sa ilalim ng Artikulo 28
Pagpapasuri ng kritikal na provider	Ang mga European Supervisory Authority magtalaga ng kritikal na ICT third-party service provider at direktang pamahalaan ang mga ito sa ilalim ng Artikulo 31

Ang artikulong 28 ay nagsasaad na ang mga entidad sa pananalapi na gumagamit ng mga serbisyo ng ICT “ay dapat, sa lahat ng oras, mananatiling ganap na responsable para sa pagsunod sa, at ang paglabas ng, lahat ng obligasyon” sa ilalim ng DORA at batas sa mga serbisyong pinansyal. Dapat makilala ng register ang mga serbisyong sumusuporta sa kritikal o mahalagang mga function.

DORA ay nalalapat sa tabi ng EBA outsourcing alituntunin. Sa pagsasanay, bangko mapanatili ang isang imbentaryo na satisfies parehong.

Cybersecurity

Cyber panganib ay ngayon bahagi ng maingat na pangangasiwa. Supervisors inaasahan ng isang bangko upang malaman ang mga ari-arian ng impormasyon nito, protektahan ang mga ito sa proporsyon sa kanilang criticality, tuklasin ang mga atake mabilis, at ibalik kritikal na serbisyo sa loob ng tinukoy tolerance.

Ang mga pangunahing kontrol ay karaniwang kasama ang:

1. Malakas na pamamahala ng pagkakakilanlan at pag-access, may multi-factor authentication at mga pribilehiyong kontrol sa access.
2. Siguraduhin ang pag-unlad ng software at pamamahala ng pagbabago, kabilang ang para sa mga vendor release.
3. Encryption ng data sa transit at sa pahinga, at key management na kontrolin ang bangko.
4. Patuloy na pagsubaybay at isang kakayahan sa operasyon ng seguridad, in-house o outsourced.
5. Pamamahala ng kahinaan at regular na pagsusuri sa pagpasok.
6. Backup na naiiba mula sa kapaligiran ng produksyon at sinubukan para sa pagpapanumbalik.
7. Plano ng tugon sa insidente na sumasaklaw sa regulasyon at komunikasyon sa customer.

Ang pag-verify ng benepisyaryo, behavioral analytics at malakas na authentication ng customer ay pinoprotektahan ang mga customer habang ang mga pagbabayad ay nagiging kaagad at hindi maibabalik.

Regulatoryo pag-uulat

Ang mga bangko ay nag-uulat ng malaking dami ng data sa mga superbisor at sentral na bangko. Sa EU, Artikulo 430 ng CRR ay nangangailangan ng mga institusyon upang mag-ulat sa sariling mga kinakailangan sa pondo kabilang ang leverage ratio, malalaking exposures, mga kinakailangan sa likido, asset encumbrance at ESG exposures, bukod sa iba pang mga item, at ang ilang mga institusyon ay dapat ding mag-ulat ng pinansiyal na impormasyon.

Ang mga ulat ay lamang bilang mabuti bilang ang data sa likod ng mga ito. Ang chain mula sa core system sa regulator karaniwang tumatakbo:

1. Source data sa core system at iba pang mga operating systems.
2. Ang isang data warehouse o pag-uulat layer na may pagtutugma sa pangkalahatang ledger.
3. Ang isang regulatoryong pag-uulat engine na mappings data sa superbisyon template at mga patakaran ng pagpapatunay.
4. Tingnan at mag-sign-off sa pamamagitan ng pananalapi at panganib, na may dokumentadong mga kontrol.
5. Pagsusumite sa pamamagitan ng portal o format ng regulator.

Mga pagkakamali sa pag-uulat ay maaaring humantong sa mga natuklasan ng superbisor at, kung saan sila mali ang supervisor, pagpapatupad. Bagong bangko madalas underestimate ang trabaho ng mapping data produkto sa pag-uulat template bago ilunsad.

Ano ang mga supervisors tumingin para sa isang application ng lisensya

1. A malinaw na target architecture, sa bawat sistema, ang may-ari nito, ang provider nito at ang lokasyon nito.
2. A kritikal o mahalagang mga function mapa, na nagpapakita kung aling mga function ay outsourced at sa kanino.
3. Exit plano para sa bawat kritikal na provider, makatotohanan sa oras at gastos.
4. Data lokasyon at pag-access, kabilang ang para sa mga supervisor at resolusyon awtoridad.
5. Tested resilience, na may mga oras ng pagbawi na tumugma sa mga pangako ng serbisyo ng plano ng negosyo.
6. Readiness katibayan , tulad ng end-to-end testing, migration rehearsal at operasyonal na pagtanggap.

Ang ECB's gabay sa fintech bangko licensing humihiling ng mga aplikante na isaalang-alang ang isang exit plano para sa pagtigil ng operasyon sa isang maayos at soluble paraan, nang hindi nakakapinsala sa mga mamimili o nangangailangan regulatory interbensyon. Technology choices matukoy kung tulad ng isang plano ay mapagkakatiwalaan: data ay dapat na retrievable, account transferable at pagbabayad upang tumigil malinis.

Ang susunod na artikulo ay nagpapaliwanag ng mga rail pagbabayad na ang core system ay kumokonekta sa: card schemes, SEPA, instant na pagbabayad at real-time gross settlement.