कोर बैंकिंग, क्लाउड, आउटसोर्सिंग और प्रौद्योगिकी विनियमन

एक बैंक एक लेन-देन पुस्तिका में दर्ज किए गए वादों का एक सेट है। यदि यह लेन-देन पुस्तिका गलत, अनुपलब्ध या संदिग्ध हो जाती है, तो बैंक यह नहीं जान सकता कि वह क्या चुकाना चाहता है, अपने ग्राहकों को भुगतान नहीं कर सकता है या अपने निदेशक को रिपोर्ट नहीं कर सकता है।

एक कोर बैंकिंग प्रणाली क्या करता है

यह ग्राहक और खाता डेटा रखता है, हर लेनदेन को पोस्ट करता है, ब्याज और शुल्क की गणना करता है, और उन संतुलनों का उत्पादन करता है जिन पर बाकी सब कुछ निर्भर करता है।

सामान्य कार्यों में शामिल हैं:

कार्य	क्या यह कवर करता है
ग्राहक तथा खाता प्रबंधन	ग्राहक रिकॉर्ड, खाता खोलना, उत्पाद शर्तें, खाता स्थिति
लेजर और पोस्टिंग	डेबिट और क्रेडिट, सामान्य लेजर फीड्स का वास्तविक समय या बैच पोस्टिंग
जमा	चालू, बचत और अवधि खाते, ब्याज जमा और पूंजीकरण
लोन	ऋण उत्पत्ति इंटरफेस, समय सारणी, पुनर्भुगतान, बकाया, प्रावधान फीड
पेमेंट इंटरफेस	भुगतान हब, कार्ड प्रोसेसर और सहकर्मी खाते के लिए कनेक्शन
उत्पाद विन्यास	कोड परिवर्तन के बिना दरें, शुल्क, सीमाएं और नियम
डाटा और रिपोर्टिंग	वित्त, जोखिम, नियामक रिपोर्टिंग और AML निगरानी के लिए निकालें

कोर के चारों ओर अन्य प्रणालियां बैठती हैं: डिजिटल चैनल, एक भुगतान केंद्र, कार्ड प्रबंधन, ग्राहकों की भर्ती और पहचान सत्यापन, प्रतिबंध स्क्रीनिंग, लेनदेन निगरानी, खजाना, वित्त और नियामक रिपोर्टिंग इंजन।

आर्किटेक्चर विकल्प

आमतौर पर बैंक तीन प्रकार के ऋण प्रदान करते हैं।

1. लाइसेंस सॉफ्टवेयर, बैंक या एक प्रदाता द्वारा होस्ट किया जाता है। बैंक विन्यास और डेटा को नियंत्रित करता है, लेकिन एकीकरण का बोझ उठाता है।
2. क्लाउड प्लेटफॉर्म पर सॉफ्टवेयर एक सेवा के रूप में. लॉन्च करने में तेज़, लेकिन बैंक विक्रेता के रोडमैप और लचीलेपन पर निर्भर करता है, और व्यवस्था आउटसोर्सिंग है।
3. बैंकिंग एक अन्य लाइसेंस प्राप्त संस्थान से सेवा के रूप में. सबसे तेज़ रास्ता, लेकिन यह सवाल उठा सकता है कि क्या नए बैंक के पास अपने आप का पर्याप्त पदार्थ है।

पर्यवेक्षक कोई मॉडल नहीं निर्धारित करते हैं। वे यह मूल्यांकन करते हैं कि क्या बैंक उस मॉडल को समझता है और उसे नियंत्रित करता है जिसे उसने चुना है।

आउटसोर्सिंग नियम

आउटसोर्सिंग का मतलब है कि एक सेवा प्रदाता एक प्रक्रिया, सेवा या गतिविधि को पूरा करता है जिसे बैंक अन्यथा स्वयं पूरा करेगा। EBA आउटसोर्सिंग व्यवस्था पर दिशा-निर्देश (EBA/जीएल/2019/02) 30 सितंबर, 2019 को लागू हुआ है। EBAक्लाउड सेवा प्रदाताओं के लिए आउटसोर्सिंग पर अलग सिफारिश।

प्रबंधन निकाय सभी आउटसोर्सिंग कार्यों के लिए उत्तरदायी रहता है। संस्थानों को “हर समय पर्याप्त सामग्री बनाए रखनी चाहिए और ‘खाली शेल’ या ‘लेटर-बक्स इकाइयां’ नहीं बनना चाहिए।”

महत्वपूर्ण या महत्वपूर्ण फंक्शन्स

इन दिशा-निर्देशों के तहत उन मामलों में सख्ती से आवश्यकताएं लागू की जाएंगी जहां आउटसोर्सिंग कार्य महत्वपूर्ण या महत्‍वपूर्ण हो, जिसका अर्थ है कि विफलता अनुपालन, वित्तीय प्रदर्शन या निरंतरता को गंभीर रूप से प्रभावित करेगी।

1. बीमा कंपनी के लिए बीमाकर्ता की ओर से बीमा कराने से पहले जोखिम का आकलन और due diligence करना।
2. बैंक और संबंधित प्राधिकरण के लिए पहुंच, सूचना और लेखा परीक्षण के अनुबंध अधिकार शामिल करें।
3. उप-आउटसोर्सिंग का नियंत्रण, जिसमें सूचना और विरोध करने या समाप्त करने का अधिकार शामिल है।
4. सूचना सुरक्षा, स्थान और गोपनीयता की आवश्यकताओं को निर्धारित करें।
5. इसका अध्ययन और परीक्षण किया जा चुका है।
6. इसका उद्देश्य किसी भी महत्वपूर्ण या अप्रत्याशित घटना के बारे में सूचना प्रदान करना है।

सभी व्यवस्थाओं को बैंक द्वारा बनाए रखा एक आउटसोर्सिंग रजिस्टर में दर्ज किया जाना चाहिए।

यूरोपीय संघ के बाहर

यूनाइटेड किंगडम में, PRA सुपरिवेक्षण विवरण एसएस2/21 मार्च 2021 में प्रकाशित और 31 मार्च, 2022 से प्रभावी होने वाले आउटसोर्सिंग और तीसरे पक्ष के जोखिम प्रबंधन पर दिशा-निर्देशों में भौतिकता, डेटा सुरक्षा, क्लाउड और निकास योजना शामिल हैं। PRA इसका उद्देश्‍य ‘बड़े स्‍तर पर resilience और क्लाउड एवं अन्‍य नई प्रौद्योगिकियों को अपनाने’ की सुविधा प्रदान करना है।

सिंगापुर में, MAS प्रौद्योगिकी जोखिम प्रबंधन दिशानिर्देशों, जो 18 जनवरी 2021 को प्रकाशित किया गया था, ने प्रौद्योगिकी जोखिम शासन, आईटी और साइबर लचीलापन के लिए सिद्धांत निर्धारित किए हैं, और एक बाध्यकारी अधिसूचना और घटना रिपोर्टिंग निर्देशों द्वारा पूरक किए गए हैं।

DORA: यूरोपीय संघ में डिजिटल ऑपरेटिंग लचीलापन

डिजिटल ऑपरेटिंग रिलेक्सिबिलिटी एक्ट, विनियमन (ईयू) 2022/2554, 17 जनवरी 2025 से लागू किया गया है। यह आईसीटी जोखिम प्रबंधन, घटना रिपोर्टिंग, परीक्षण और तीसरे पक्ष के जोखिम को बैंकों सहित अधिकांश यूरोपीय संघ की वित्तीय संस्थाओं के लिए एक विनियम में लाता है।

DORA क्षेत्र	बैंकों के लिए कोर आवश्यकता
आईसीटी जोखिम प्रबंधन	पहचान, सुरक्षा, पता लगाने, प्रतिक्रिया और पुनर्प्राप्ति को कवर करने के लिए प्रबंधन निकाय द्वारा अनुमोदित और पर्यवेक्षित दस्तावेजीकृत ढांचा
घटना रिपोर्टिंग	अनुच्छेद 19 के तहत समरूप वर्गीकरण और टेम्पलेट का उपयोग करते हुए आईसीटी से संबंधित प्रमुख घटनाओं की रिपोर्ट प्रासंगिक प्राधिकरण को देनी होगी।
प्रतिरोध परीक्षण	सभी संस्थाओं के लिए एक परीक्षण कार्यक्रम; अधिकारियों द्वारा पहचाने गए संस्थाओं के लिए, अनुच्छेद 26के तहत कम से कम हर तीन वर्षों में लाइव उत्पादन प्रणालियों पर उन्नत खतरे-आधारित घुसपैठ परीक्षण
आईसीटी तीसरे पक्ष जोखिम	आईसीटी तीसरे पक्ष के जोखिम, अनुबंधीय न्यूनतम और सभी आईसीटी सेवा अनुबंधों पर जानकारी की एक पंजी पर रणनीति अनुच्छेद 28
महत्वपूर्ण प्रदाताओं की निगरानी	यूरोपीय पर्यवेक्षक प्राधिकरण महत्वपूर्ण आईसीटी तीसरे पक्ष के सेवा प्रदाताओं को निर्धारित करते हैं और अनुच्छेद 31 के तहत उनकी प्रत्यक्ष निगरानी करते हैं।

अनुच्छेद 28 में कहा गया है कि आईसीटी सेवाओं का उपयोग करने वाली वित्तीय संस्थाएं “सभी समय, सभी दायित्वों के पालन और निपटान के लिए पूरी तरह से जिम्मेदार रहेंगी”। DORA इस रजिस्टर को महत्वपूर्ण या महत्‍वपूर्ण कार्यों का समर्थन करने वाली सेवाओं को अलग करना होगा।

DORA EBA आउटसोर्सिंग दिशानिर्देशों के साथ लागू होता है।

साइबर सुरक्षा

पर्यवेक्षकों की उम्मीद है कि बैंक अपनी सूचना संपत्तियों को जानता हो, उनकी महत्वपूर्णता के अनुरूप उनकी रक्षा करता हो, हमलों का जल्दी पता लगाता हो, और परिभाषित सहनशीलताओं के भीतर महत्वपूर्ण सेवाओं को पुनर्प्राप्त करता हो।

कुंजी नियंत्रण आमतौर पर शामिल हैं:

1. मजबूत पहचान और पहुँच प्रबंधन, बहु-कारक प्रमाणीकरण और विशेषाधिकार प्राप्त पहुंच नियंत्रण के साथ।
2. सुरक्षा सॉफ्टवेयर विकास और परिवर्तन प्रबंधन, विक्रेता रिलीज सहित।
3. बैंकिंग प्रणाली में बैंकों के नियंत्रण और नियंत्रित करने की प्रक्रिया है, जिसके अंतर्गत बैंकों का संचालन होता है।
4. निरंतर निगरानी और एक सुरक्षा संचालन क्षमता, घरेलू या आउटसोर्सिंग।
5. विकिरण परीक्षण और नियमित रूप से परीक्षण किया जाना चाहिए।
6. बैकअप जो उत्पादन वातावरण से अलग किए जाते हैं और पुनर्स्थापन के लिए परीक्षण किए जाते हैं।
7. सूचना प्रौद्योगिकी के क्षेत्र में, सूचना प्रौद्योगिकी का अर्थ है सूचना और संचार प्रौद्योगिकी।

लाभार्थी सत्यापन, व्यवहार विश्लेषण और मजबूत ग्राहक प्रमाणीकरण ग्राहकों की सुरक्षा करते हैं क्योंकि भुगतान तुरंत और अपरिवर्तनीय हो जाते हैं।

नियमन रिपोर्टिंग

यूरोपीय संघ में, अनुच्छेद 430 के CRRके तहत संस्थानों को अन्य वस्तुओं के अलावा लीवरेज अनुपात, बड़े जोखिम, तरलता आवश्यकताएं, संपत्ति भार और ईएसजी जोखिम सहित अपने धन की आवश्यकताओं पर रिपोर्ट करने की आवश्यकता है, और कुछ संस्थानों को वित्तीय जानकारी भी रिपोर्ट करनी चाहिए।

रिपोर्ट केवल उतने ही अच्छे हैं जितना कि उनके पीछे डाटा है. कोर सिस्टम से नियामक तक की श्रृंखला आमतौर पर चलती है:

1. मुख्य प्रणाली और अन्य संचालन प्रणालियों में स्रोत डेटा।
2. एक डेटा भंडार या रिपोर्टिंग परत के साथ सामान्य लेजर में सुलह.
3. एक नियामक रिपोर्टिंग इंजन जो निगरानी टेम्पलेट और वैधता नियमों के लिए डेटा मैप करता है।
4. वित्त और जोखिम के साथ दस्तावेज़ीकृत नियंत्रणों द्वारा समीक्षा और हस्ताक्षर।
5. इसका उपयोग पोर्टल या वेबपेज के रूप में किया जाता है।

रिपोर्टिंग में त्रुटियों के कारण निगरानी निष्कर्ष हो सकते हैं और, जहां वे नियंत्रक को भ्रमित करते हैं, वहां कानून लागू किया जा सकता है।

लाइसेंस आवेदन में क्या देख रहे हैं पर्यवेक्षक

1. एक स्पष्ट लक्ष्य वास्तुकला, प्रत्येक प्रणाली, इसके मालिक, इसका प्रदाता और इसकी स्थिति के साथ।
2. एक महत्वपूर्ण या महत्वपूर्ण कार्यों का नक्शा, जो दिखाता है कि कौन से कार्य बाहरी हैं और किसके लिए।
3. प्रत्येक महत्वपूर्ण प्रदाता के लिए निष्कासन योजनाएं, समय और लागत में यथार्थवादी।
4. डाटा स्थान और पहुँच, जिसमें निदेशक और समाधान प्राधिकरण शामिल हैं।
5. परीक्षणित लचीलापन, जिसके साथ पुनर्प्राप्ति समय व्यवसाय योजना के सेवा वादों से मेल खाते हैं।
6. तैयारियों के सबूत, जैसे अंत-से-अंत परीक्षण, प्रवासन अभ्यास और संचालन स्वीकार्यता।

द ECBफिनटेक बैंक लाइसेंस के लिए गाइड प्रौद्योगिकी विकल्प यह निर्धारित करता है कि ऐसी योजना विश्वसनीय है या नहीं: डेटा पुनर्प्राप्त करने योग्य होना चाहिए, खाते स्थानांतरित किए जा सकते हैं और भुगतान साफ-सुथरे ढंग से रोकने में सक्षम होना चाहिए।

अगला लेख भुगतान रेलवे की व्याख्या करता है कि कोर प्रणाली से जुड़ा हुआ है: कार्ड योजनाएं, SEPA, तत्काल भुगतान और वास्तविक-समय सकल निपटान।