Osnovno bankarstvo, cloud, outsourcing i regulacija tehnologije

Banka je skup obećanja zabilježenih u glavnoj knjizi.Ako je glavna knjiga pogrešna, nedostupna ili kompromitirana, banka ne može znati što duguje, platiti svoje klijente ili izvijestiti svoj nadzorni organ. Iz tog razloga regulatori sada proučavaju tehnološku arhitekturu, outsourcing i kibernetičku otpornost jednako pažljivo kao i kapitalne planove.

Što radi osnovni bankovni sustav

Jezgra bankarskog sustava je glavna knjiga, koja drži podatke o kupcima i računima, objavljuje svaku transakciju, izračunava kamate i naknade te proizvodi bilance na kojima se sve ostalo temelji.

Tipične funkcije uključuju:

Funkcija	Što pokriva
Upravljanje klijentima i računima	Evidencija korisnika, otvaranje računa, uvjeti proizvoda, status računa
Knjiga i knjiženje	Knjiženje terećenja i dobropisa u stvarnom vremenu ili u serijama, prijenosi glavne knjige
Depoziti	Tekući, štedni i oročeni računi, obračun kamata i kapitalizacija
Pozajmljivanje	Sučelja za pokretanje kredita, rasporedi, otplate, zaostaci, feedovi za provisioniranje
Sučelja za plaćanje	Veze s platnim centrima, procesorima kartica i dopisničkim računima
Konfiguracija proizvoda	Stope, naknade, ograničenja i pravila bez izmjena koda
Podaci i izvješćivanje	Izvaci za financije, rizike, regulatorno izvještavanje i AML praćenje

Oko jezgre nalaze se drugi sustavi: digitalni kanali, središte za plaćanje, upravljanje karticama, uključivanje klijenata i provjera identiteta, pregled sankcija, praćenje transakcija, riznica, financije i regulatorni mehanizam izvješćivanja.

Izbor arhitekture

Nove banke obično biraju između tri modela.

1. Licencirani softver, koji je smješten u banci ili kod pružatelja usluga. Banka kontrolira konfiguraciju i podatke, ali snosi teret integracije.
2. Softver kao usluga na platformi u oblaku. Brži za pokretanje, ali banka ovisi o planu i otpornosti prodavatelja, a aranžman je outsourcing.
3. Bankarstvo kao usluga od druge licencirane institucije. Najbrži put, ali može se postaviti pitanje ima li nova banka dovoljno vlastite supstancije.

Nadzorna tijela ne propisuju model, već procjenjuju razumije li banka odabrani model i kontrolira li ga.

Pravila outsourcinga

Outsourcing znači da pružatelj usluga obavlja proces, uslugu ili aktivnost koju bi banka inače sama obavljala. U EU-u su 30. rujna 2019. na snagu stupile EBA Smjernice o aranžmanima za eksternalizaciju (EBA/GL/2019/02), kojima su zamijenjene prethodne smjernice, uključujući odvojenu preporuku EBA o eksternalizaciji pružateljima usluga u oblaku.

Središnje načelo je da se odgovornost ne može eksternalizirati, a upravljačko tijelo ostaje odgovorno za sve eksternalizirane funkcije. Institucije „trebaju u svakom trenutku održavati dovoljnu suštinsku vrijednost i ne smiju postati ‘prazne ljuske’ ili ‘subjekti poštanskog sandučića’”.

Kritične ili važne funkcije

Smjernicama se primjenjuju stroži zahtjevi ako je eksternalizirana funkcija kritična ili važna, što znači da bi njezin neuspjeh znatno ugrozio usklađenost s propisima, financijske rezultate ili kontinuitet.

1. Provedite procjenu rizika i dubinsku analizu pružatelja usluga prije sklapanja ugovora.
2. Uključiti ugovorna prava pristupa, informiranja i revizije za banku i nadležno tijelo.
3. Kontrola podugovaranja, uključujući obavješćivanje i pravo na prigovor ili otkaz.
4. Postavite zahtjeve za sigurnost, lokaciju i povjerljivost podataka.
5. Imaju dokumentirane i testirane izlazne strategije.
6. Unaprijed obavijestiti nadležno tijelo o planiranom kritičnom ili važnom eksternaliziranju.

Svi se aranžmani moraju evidentirati u registar vanjskih suradnika koji vodi banka.

Izvan EU-a

U Ujedinjenoj Kraljevini, PRA Supervisory Statement SS2/21 o outsourcingu i upravljanju rizicima trećih strana, objavljeno u ožujku 2021. i koje stupa na snagu od 31. ožujka 2022., obuhvaća materijalnost, sigurnost podataka, cloud i izlazno planiranje. PRA opisuje ga kao namijenjenog olakšavanju „veće otpornosti i prihvaćanja oblaka i drugih novih tehnologija“.

U Singapuru, MAS Smjernice za upravljanje tehnološkim rizicima, objavljene 18. siječnja 2021. godine, postavljaju načela upravljanja tehnološkim rizicima, IT i kibernetičkom otpornošću, a nadopunjuju se obvezujućom obavijesti i uputama za izvješćivanje o incidentima.

DORA: digitalna operativna otpornost EU-a

-Što? Zakon o digitalnoj operativnoj otpornosti, Uredba (EU) 2022/2554, primjenjuje se od 17. siječnja 2025. i njome se upravljanje rizicima u području IKT-a, izvješćivanje o incidentima, testiranje i rizik treće strane objedinjuju u jednu uredbu za većinu financijskih subjekata EU-a, uključujući banke.

DORA područje	Osnovni zahtjev za banke
Upravljanje rizicima IKT-a	Dokumentirani okvir koji odobrava i nadzire upravljačko tijelo, a obuhvaća identifikaciju, zaštitu, otkrivanje, odgovor i oporavak
Prijava incidenta	Veliki incidenti povezani s IKT-om moraju se prijaviti nadležnom tijelu u skladu s članom 19, koristeći usklađenu klasifikaciju i predloške
Testiranje otpornosti	Program testiranja za sve subjekte; za subjekte koje su utvrdila nadležna tijela, napredno ispitivanje penetracije temeljeno na prijetnji najmanje svake tri godine na živim proizvodnim sustavima u skladu s članom 26.
ICT rizik treće strane	Strategija o riziku treće strane u području IKT-a, ugovorni minimumi i registar informacija o svim ugovorima o uslugama IKT-a u okviru Članak 28
Nadzor kritičnih pružatelja usluga	Europska nadzorna tijela određuju treće pružatelje ključnih IKT usluga i izravno ih nadziru u skladu s člankom 31.

Članak 28. propisuje da financijski subjekti koji se koriste IKT uslugama „u svakom trenutku ostaju u potpunosti odgovorni za usklađenost i ispunjavanje svih obveza“ prema DORAzakonu o financijskim uslugama, a u registru moraju biti razdvojene usluge koje podržavaju kritične ili važne funkcije. Subjekti moraju godišnje izvješćivati o novim aranžmanima te pravodobno obavješćivati nadležno tijelo o planiranim ugovorima za kritične ili važne funkcije.

DORA se primjenjuje zajedno sa smjernicama za outsourcing EBA, a u praksi banke održavaju jednu inventarsku listu koja zadovoljava obje.

Kibernetička sigurnost

Kibernetički rizik sada je dio bonitetnog nadzora, a nadzornici od banke očekuju da poznaje svoju informacijsku imovinu, štiti je razmjerno njezinoj kritičnosti, brzo otkriva napade i obnavlja ključne usluge unutar definiranih tolerancija.

Ključne kontrole obično uključuju:

1. Snažno upravljanje identitetom i pristupom uz višestruku provjeru autentičnosti i kontrolu povlaštenog pristupa.
2. Siguran razvoj softvera i upravljanje promjenama, uključujući za izdavanja dobavljača.
3. Šifriranje podataka u tranzitu i mirovanju, te upravljanje ključevima koje banka kontrolira.
4. Kontinuirani nadzor i sposobnost sigurnosnih operacija, u kući ili vanjski.
5. Upravljanje ranjivostima i redovito penetracijsko testiranje.
6. Sigurnosne kopije koje su izolirane od produkcijskog okruženja i testirane za vraćanje.
7. Planovi odgovora na incidente koji pokrivaju regulatornu obavijest i komunikaciju s klijentima.

Provjera primatelja plaćanja, analitika ponašanja i snažna autentifikacija korisnika štite korisnike jer plaćanja postaju trenutna i neopoziva.

Regulatorno izvješćivanje

Banke izvještavaju velike količine podataka nadzornim tijelima i središnjim bankama. U EU-u, Članak 430. CRR zahtijeva od institucija da izvješćuju o kapitalnim zahtjevima uključujući omjer poluge, velike izloženosti, zahtjeve za likvidnošću, opterećenje imovine i ESG izloženosti, među ostalim stavkama, a određene institucije također moraju izvještavati financijske informacije.

Izvješća su samo toliko dobra koliko i podaci iza njih, a lanac od jezgre sustava do regulatora obično ide ovako:

1. Izvorni podaci u jezgri sustava i drugim operativnim sustavima.
2. Skladište podataka ili sloj izvješćivanja s usklađivanjem s glavnom knjigom.
3. Regulatorni mehanizam za izvješćivanje koji preslikava podatke u nadzorne predloške i pravila provjere valjanosti.
4. Pregled i odobrenje od strane financija i rizika, s dokumentiranim kontrolama.
5. Podnošenje putem regulatornog portala ili formata.

Pogreške u izvješćivanju mogu dovesti do nalaza nadzornih tijela, a ako obmanjuju nadzorno tijelo, i do provedbe.Nove banke često podcjenjuju važnost usklađivanja podataka o proizvodima s predlošcima za izvješćivanje prije pokretanja poslovanja.

Što nadzornici traže u zahtjevu za izdavanje dozvole

1. Jasna ciljana arhitektura, sa svakim sustavom, njegovim vlasnikom, pružateljem usluga i njegovom lokacijom.
2. Karta kritičnih ili važnih funkcija, koja pokazuje koje su funkcije eksternalizirane i kome.
3. Izlazni planovi za svakog kritičnog pružatelja usluga, realan u vremenu i troškovima.
4. Lokacija podataka i pristup, uključujući za nadzorno i sanacijsko tijelo.
5. Testirana otpornost, s vremenom oporavka koje odgovara obećanjima usluga poslovnog plana.
6. Dokazi o spremnosti, kao što su sveobuhvatno testiranje, vježba migracije i operativno prihvaćanje.

-Što? ECBVodič za licenciranje fintech banaka Od podnositelja zahtjeva traži se da razmotre izlazni plan za prestanak poslovanja na uredan i solventan način, bez štete za potrošače ili potrebe za regulatornom intervencijom.Od izbora tehnologije ovisi vjerodostojnost takvog plana: podaci moraju biti dostupni, računi prenosivi i plaćanja mogu nesmetano prestati.

Sljedeći članak objašnjava platne tračnice na koje se jezgra sustava povezuje: kartične sheme, SEPA, trenutna plaćanja i bruto namiru u stvarnom vremenu.