Core banking, cloud, externalisation et réglementation technologique

Une banque est un ensemble de promesses consignées dans un grand livre. Si le grand livre est erroné, indisponible ou compromis, la banque ne peut pas savoir ce qu’elle doit, payer ses clients ou faire rapport à son superviseur.C’est pourquoi les régulateurs examinent désormais l’architecture technologique, l’externalisation et la cyberrésilience aussi attentivement que les plans d’investissement.

Ce que fait un système bancaire de base

Le système bancaire de base est le grand livre des registres, il contient les données des clients et des comptes, enregistre chaque transaction, calcule les intérêts et les frais, et produit les soldes sur lesquels tout le reste repose.

Les fonctions typiques comprennent:

Fonction	Ce que cela couvre
Gestion des clients et comptes	Fichiers clients, ouverture de compte, conditions du produit, statut du compte
Grand livre et comptabilisation	Enregistrement en temps réel ou par lots des débits et crédits, flux du grand livre général
Dépôts	Comptes courants, d’épargne et à terme, intérêts courus et capitalisation
Prêt	Interfaces d'origine de prêt, calendriers, remboursements, arriérés, flux de provisionnement
Interfaces de paiement	Connexions aux centres de paiement, aux processeurs de cartes et aux comptes correspondants
Configuration du produit	Tarifs, frais, limites et règles sans changement de code
Données et rapports	Extraits pour la finance, le risque, les rapports réglementaires et le suivi AML

Autour du noyau se trouvent d’autres systèmes : les canaux numériques, un hub de paiement, la gestion des cartes, l’intégration et la vérification de l’identité des clients, le filtrage des sanctions, le suivi des transactions, la trésorerie, les finances et le moteur de reporting réglementaire.

Choix d'architecture

Les nouvelles banques choisissent généralement entre trois modèles.

1. Logiciel sous licence, hébergé par la banque ou un fournisseur. La banque contrôle la configuration et les données, mais supporte le fardeau de l'intégration.
2. Logiciel en tant que service sur une plateforme cloud. Plus rapide à lancer, mais la banque dépend de la feuille de route et de la résilience du fournisseur, et l’arrangement est l’externalisation.
3. La banque en tant que service d'une autre institution autorisée. La voie la plus rapide, mais cela peut soulever la question de savoir si la nouvelle banque a suffisamment de substance propre.

Les autorités de surveillance ne prescrivent pas un modèle, mais évaluent si la banque comprend et contrôle celui qu’elle a choisi.

Règles d'externalisation

Par externalisation, on entend le fait qu’un prestataire de services exécute un processus, un service ou une activité que la banque effectuerait elle-même. Dans l’UE, les EBA Lignes directrices relatives aux arrangements d’externalisation (EBA/GL/2019/02) sont entrées en vigueur le 30 septembre 2019 et ont remplacé des orientations antérieures, y compris la recommandation distincte de la EBA sur l’externalisation à des fournisseurs de services cloud.

Le principe central est que la responsabilité ne peut pas être externalisée, l’organe de direction restant responsable de toutes les fonctions externalisées. Les institutions « devraient conserver en tout temps une substance suffisante et ne pas devenir des ‘coquilles vides’ ou des ‘entités boîtes aux lettres’ ».

Fonctions critiques ou importantes

Les lignes directrices imposent des exigences plus strictes lorsque la fonction externalisée est essentielle ou importante, ce qui signifie qu’une défaillance compromettrait considérablement la conformité, le rendement financier ou la continuité.

1. Effectuer une évaluation des risques et une diligence raisonnable sur le fournisseur avant de passer un contrat.
2. Inclure des droits contractuels d'accès, d'information et d'audit pour la banque et l'autorité compétente.
3. Contrôler la sous-traitance, y compris la notification et le droit de s’opposer ou de résilier.
4. Définir les exigences en matière de sécurité, d’emplacement et de confidentialité des données.
5. Des stratégies de sortie documentées et testées.
6. Informer l'autorité compétente à l'avance de la sous-traitance critique ou importante prévue.

Tous les arrangements doivent être consignés dans un registre d'impartition tenu par la banque.

En dehors de l'UE

Des règles similaires s'appliquent ailleurs. Au Royaume-Uni, PRA Déclaration de surveillance SS2/21 Les nouvelles règles sur la gestion des risques liés à l’externalisation et aux tiers, publiées en mars 2021 et en vigueur à compter du 31 mars 2022, portent sur la matérialité, la sécurité des données, le cloud et la planification de sortie. PRA Il vise à faciliter « une plus grande résilience et l’adoption du cloud et d’autres nouvelles technologies ».

À Singapour, les MAS Technology Risk Management Guidelines, publiées le 18 janvier 2021, établissent des principes pour la gouvernance du risque technologique, l’informatique et la cyberrésilience, et sont complétées par un avis contraignant et des instructions de signalement d’incidents.

DORA: résilience opérationnelle numérique dans l’UE

The Loi sur la résilience opérationnelle numériqueLe règlement (UE) 2022/2554, qui s’applique depuis le 17 janvier 2025, rassemble la gestion des risques liés aux TIC, le signalement d’incidents, les tests et le risque de tiers dans un seul règlement pour la plupart des entités financières de l’UE, y compris les banques.

Zone DORA	Exigence de base pour les banques
Gestion des risques TIC	Un cadre documenté approuvé et supervisé par l’organisme de gestion, couvrant l’identification, la protection, la détection, l’intervention et le rétablissement
Signalement d'incident	Les incidents majeurs liés aux TIC doivent être signalés à l'autorité compétente en vertu Article 19, en utilisant la classification harmonisée et les modèles
Test de résilience	Un programme de tests pour toutes les entités; pour les entités identifiées par les autorités, des tests d'intrusion avancés basés sur la menace au moins tous les trois ans sur les systèmes de production en cours sous Article 26
Risques tiers TIC	Une stratégie sur le risque de tiers, les minimums contractuels et un registre d'information sur tous les contrats de services TIC en vertu Article 28
Surveillance des fournisseurs essentiels	Les autorités européennes de surveillance désignent les fournisseurs tiers de services TIC critiques et les supervisent directement en vertu de l'article 31

L’article 28 stipule que les entités financières utilisant des services de TIC « restent, à tout moment, pleinement responsables du respect et de l’exécution de toutes les obligations » en vertu DORA Le registre doit faire la distinction entre les services qui appuient des fonctions essentielles ou importantes. Les entités doivent rendre compte chaque année des nouveaux arrangements et informer l’autorité en temps opportun des contrats prévus pour des fonctions essentielles ou importantes.

DORA s ' applique parallèlement à la EBA Dans la pratique, les banques maintiennent un inventaire qui satisfait aux deux critères.

Cybersécurité

Les autorités de surveillance s’attendent à ce qu’une banque connaisse ses actifs informatiques, les protège en fonction de leur criticité, détecte rapidement les attaques et rétablisse les services critiques dans des tolérances définies.

Les contrôles clés comprennent généralement:

1. Gestion solide des identités et des accès, avec authentification multifacteur et contrôles d'accès privilégiés.
2. Sécurisez le développement logiciel et la gestion des changements, y compris pour les versions fournisseur.
3. Chiffrement des données en transit et au repos, et gestion des clés que la banque contrôle.
4. Une surveillance continue et une capacité d’opérations de sécurité, en interne ou externalisée.
5. Gestion des vulnérabilités et tests de pénétration réguliers.
6. Sauvegardes isolées de l'environnement de production et testées pour la restauration.
7. Des plans d’intervention en cas d’incident qui couvrent la notification réglementaire et la communication avec les clients.

La vérification du bénéficiaire, l’analyse comportementale et une authentification client solide protègent les clients car les paiements deviennent instantanés et irrévocables.

Déclaration réglementaire

Les banques communiquent de grands volumes de données aux autorités de surveillance et aux banques centrales. Article 430 du Code CRR exige des établissements qu’ils déclarent les exigences en matière de fonds propres, y compris le ratio d’endettement, les grandes expositions, les exigences en matière de liquidités, la charge sur les actifs et les expositions aux facteurs ESG, entre autres; certains établissements doivent également déclarer des informations financières.

Les rapports sont seulement aussi bons que les données qui les sous-tendent.La chaîne du système central au régulateur se déroule généralement comme suit:

1. Données de source dans le système central et les autres systèmes opérationnels.
2. Un entrepôt de données ou une couche de reporting avec un rapprochement avec le grand livre.
3. Un moteur de reporting réglementaire qui mappe les données aux modèles de surveillance et aux règles de validation.
4. Examen et approbation par les finances et le risque, avec des contrôles documentés.
5. Soumission par l’intermédiaire du portail ou du format de l’organisme de réglementation.

Les nouvelles banques sous-estiment souvent le travail de mise en correspondance des données relatives aux produits avec les modèles de déclaration avant leur lancement, ce qui peut entraîner des erreurs dans les rapports.

Ce que les superviseurs recherchent dans une demande de permis

1. Une architecture cible claire, avec chaque système, son propriétaire, son fournisseur et son emplacement.
2. Une carte des fonctions critiques ou importantes, montrant quelles fonctions sont externalisées et à qui.
3. Des plans de sortie pour chaque fournisseur critique, réalistes en termes de temps et de coût.
4. Localisation et accès aux données, y compris pour l’autorité de surveillance et l’autorité de résolution.
5. Résilience testée, avec des temps de récupération qui correspondent aux promesses de service du plan d’affaires.
6. Les preuves de l'état de préparation, comme les essais de bout en bout, la répétition de migration et l'acceptation opérationnelle.

Le guide de la ECBFintech Bank Licensing demande aux candidats d’envisager un plan de sortie pour cesser leurs activités de manière ordonnée et solvable, sans nuire aux consommateurs ou nécessiter une intervention réglementaire.Les choix technologiques déterminent si un tel plan est crédible: les données doivent être récupérables, les comptes transférables et les paiements capables de s’arrêter proprement.

L'article suivant explique les rails de paiement auxquels le système principal se connecte: les systèmes de cartes, SEPA, les paiements instantanés et le règlement brut en temps réel.