Core banking, felhő, outsourcing és technológiai szabályozás

Egy bank nem más, mint egy főkönyvben rögzített ígéretek gyűjteménye. Ha a főkönyv hibás, nem elérhető vagy veszélybe került, akkor a bank nem tudja, hogy mivel tartozik az ügyfeleinek, nem fizethet nekik, és nem tud jelentést tenni a felügyeleti hatóságnak.

Mit tesz egy alapvető banki rendszer?

Az alapvető banki rendszer a nyilvántartások főkönyve, amely az ügyfél- és számlaadatokat tárolja, minden tranzakciót rögzít, kiszámítja a kamatot és díjakat, valamint létrehozza azokat az egyenlegeket, amelyekre minden más támaszkodik.

Jellemző funkciók

Funkció	Mire terjed ki
Ügyfél- és fiókkezelés	Ügyfél nyilvántartások, számlanyitás, termékfeltételek, számla állapota
Főkönyv és elszámolás	Terhelések és jóváírások valós idejű vagy kötegelt könyvelése, főkönyvi adatok
Betétek	Folyószámlák, megtakarítások és határidős számlák, kamatfelhalmozás és tőkésítés
Hitelezés	Hitelfelvételi interfészek, ütemtervek, visszafizetések, késedelmi kamatok, provisionálási feedek
Fizetési interfészek	Kapcsolat fizetési központokkal, kártyafeldolgozókkal és levelezőszámlákkal
Termék konfiguráció	Tarifák, díjak, limitek és szabályok kódváltoztatás nélkül
Adatok és jelentések	Kivonatok a pénzügyi, kockázati és szabályozási jelentésekhez és AML monitoringhoz

A mag körül más rendszerek helyezkednek el: digitális csatornák, fizetési központ, kártyakezelés, ügyfélbevezetés és személyazonosság-ellenőrzés, szankciószűrés, tranzakciófelügyelet, kincstár, pénzügy és a szabályozói jelentéskészítő motor.

Architektúra választások

Az új bankok általában három modell közül választanak.

1. Licencelt szoftver, amelyet a bank vagy egy szolgáltató üzemeltet. A konfigurációt és az adatokat a bank ellenőrzi, de az integráció terhét maga viseli.
2. Szoftver, mint szolgáltatás felhőalapú platformon. Gyorsabb a bevezetés, de a bank a szállító ütemtervétől és rugalmasságától függ, és az elrendezés kiszervezés.
3. Bankolás, mint szolgáltatás egy másik engedéllyel rendelkező intézménytől. A leggyorsabb út, de felvetheti a kérdést, hogy az új banknak van-e elég saját tartalma.

A felügyeleti hatóságok nem írnak elő modellt, hanem értékelik, hogy a bank megértette-e és ellenőrzi-e az általa választott modellt.

Kiszervezési szabályok

A kiszervezés azt jelenti, hogy egy szolgáltató olyan folyamatot, szolgáltatást vagy tevékenységet végez, amelyet a bank egyébként saját maga végezne el. Az EU-ban 2019. szeptember 30-án lépett hatályba az EBA Iránymutatás a kiszervezési megállapodásokról (EBA/GL/2019/02), amely felváltja a korábbi iránymutatásokat, köztük a EBA külön ajánlását a felhőalapú szolgáltatók részére történő kiszervezésről.

A központi elv az, hogy a felelősség nem ruházható ki, minden kiszervezett funkcióért továbbra is a vezető testület felel. Az intézményeknek „mindig elegendő tartalommal kell rendelkezniük és nem válhatnak üres héjakká vagy postafiók-szervezetekké”.

Kritikus vagy fontos funkciók

Az iránymutatás szigorúbb követelményeket ír elő, ha a kiszervezett funkció kritikus vagy fontos, ami azt jelenti, hogy annak hiánya lényegesen veszélyeztetné a megfelelést, a pénzügyi teljesítményt vagy a folyamatosságot.

1. A szerződéskötés előtt végezzen kockázatelemzést és átvilágítást a szolgáltatóval kapcsolatban.
2. Tartalmazza a bank és az illetékes hatóság hozzáférési, tájékoztatási és ellenőrzési szerződéses jogait.
3. Az alvállalkozás ellenőrzése, beleértve az értesítést és a kifogásolási vagy megszüntetési jogot.
4. Állítsa be az adatbiztonsági, helymeghatározási és titoktartási követelményeket.
5. Dokumentált és tesztelt kilépési stratégiák.
6. Előzetesen tájékoztassa az illetékes hatóságot a tervezett kritikus vagy jelentős kiszervezésről.

Minden megállapodást a bank által vezetett kiszervezési nyilvántartásban kell rögzíteni.

EU-n kívül

Hasonló szabályok érvényesek az Egyesült Királyságban, PRA Felügyeleti nyilatkozat SS2/21 A 2021 márciusában közzétett és 2022. március 31-től hatályba lépő, a kiszervezésről és harmadik fél kockázatkezeléséről szóló irányelv a lényegességre, az adatbiztonságra, a felhőre és a kilépési tervezésre terjed ki. PRA A Microsoft úgy írja le, hogy célja a „nagyobb rugalmasság és a felhő és más új technológiák elfogadásának” elősegítése.

Szingapúrban, a MAS Technológiai kockázatkezelési irányelvekA 2021. január 18-án közzétett, a technológiai kockázatkezelésre, az informatikai és kiber ellenálló képességre vonatkozó alapelveket meghatározó dokumentumot kötelező érvényű értesítés és incidensjelentési útmutató egészíti ki.

DORA: digitális működési ellenálló képesség az EU-ban

A Digitális működési rugalmassági törvény2025. január 17-től alkalmazandó az (EU) 2022/2554 rendelet, amely a legtöbb uniós pénzügyi intézmény, köztük a bankok esetében egyetlen rendeletbe foglalja az IKT kockázatkezelést, az események bejelentését, a tesztelést és a harmadik fél által okozott kockázatot.

DORA terület	Bankokra vonatkozó alapkövetelmény
ICT kockázatkezelés	A vezető testület által jóváhagyott és felügyelt dokumentált keretrendszer, amely magában foglalja az azonosítást, a védelmet, a felderítést, a válaszadást és a helyreállítást
Incendium bejelentése	Az IKT-val kapcsolatos jelentős biztonsági eseményeket be kell jelenteni az illetékes hatóságnak a következők szerint: 19. cikk, a harmonizált osztályozás és sablonok használatával
Reziliencia tesztelés	Tesztelési program valamennyi szervezet számára; a hatóságok által azonosított szervezetek esetében legalább háromévente fejlett fenyegetésvezérelt behatolási tesztelés élő termelési rendszereken, 26. cikk
ICT harmadik fél kockázata	Harmadik fél által okozott IKT-kockázatra vonatkozó stratégia, szerződéses minimumok és az összes IKT-szolgáltatási szerződésre vonatkozó információk nyilvántartása 28. cikk
A kritikus szolgáltatók felügyelete	Az európai felügyeleti hatóságok kijelölik a kritikus IKT-szolgáltatásokat nyújtó harmadik feleket, és a 31. cikk értelmében közvetlenül felügyelik azokat

A 28. cikk kimondja, hogy az IKT-szolgáltatásokat igénybe vevő pénzügyi intézmények „mindenkor teljes mértékben felelősek maradnak a” DORA és a pénzügyi szolgáltatásokról szóló törvény szerinti „valamennyi kötelezettség teljesítéséért és betartásáért”. A nyilvántartásban meg kell különböztetni a kritikus vagy fontos funkciókat támogató szolgáltatásokat, évente jelentést kell tenni az új megállapodásról, valamint időben tájékoztatni kell a hatóságot a kritikus vagy fontos funkciókra vonatkozó tervezett szerződésekről.

DORA Az alábbi szabályok érvényesek: EBA A gyakorlatban a bankok egy olyan készletet tartanak fenn, amely mindkettőnek megfelel.

Kiberbiztonság

A felügyelők elvárják a bankoktól, hogy ismerjék az információs eszközeiket, kritikusságukkal arányosan védjék azokat, gyorsan észleljék a támadásokat és meghatározott tűréshatárokon belül helyreállítsák a kritikus fontosságú szolgáltatásokat.

A legfontosabb vezérlők általában a következők:

1. Erős identitás- és hozzáféréskezelés többtényezős hitelesítéssel és kiváltságos hozzáférés-vezérléssel.
2. Biztonságos szoftverfejlesztés és változáskezelés, beleértve a gyártói kiadásokat is.
3. Az adatok titkosítása átvitel közben és nyugvó állapotban, valamint a bank által ellenőrzött kulcskezelés.
4. Folyamatos felügyelet és biztonsági műveletek, házon belül vagy kiszervezve.
5. Sérülékenységek kezelése és rendszeres behatolási tesztek.
6. Az éles környezettől elkülönített és visszaállításra tesztelt biztonsági mentések.
7. A szabályozási értesítéseket és az ügyfélkommunikációt lefedő eseménykezelési tervek.

A kedvezményezettek ellenőrzése, a viselkedéselemzés és az erős ügyfél-hitelesítés védi az ügyfeleket, mivel a kifizetések azonnalivá és visszavonhatatlanná válnak.

Szabályozási jelentés

A bankok nagy mennyiségű adatot jelentenek a felügyeleti hatóságoknak és a központi bankoknak. 430. cikk CRR Az új szabályozás előírja, hogy az intézményeknek jelentést kell készíteniük a szavatolótőke-követelményekről, beleértve többek között a tőkeáttételi mutatót, a nagykockázatokat, a likviditási követelményeket, az eszközteher és az ESG kitettségeket. Egyes intézmények pénzügyi információkat is kötelesek bejelenteni. A központi bankok statisztikai adatszolgáltatást is végeznek, a pénzügyi hírszerzési egységek pedig gyanús tranzakciós jelentéseket kapnak.

A jelentések csak annyira jók, mint a mögötte álló adatok, a lánc az alaprendszertől a szabályozóig általában így működik:

1. Forrásadatok a magrendszerben és más operációs rendszerekben.
2. Egy adattárház vagy jelentéskészítő réteg, amely egyeztet a főkönyvvel.
3. Szabályozási jelentéskészítő motor, amely az adatokat felügyeleti sablonokhoz és érvényesítési szabályokhoz rendeli.
4. Ellenőrzés és jóváhagyás pénzügyi és kockázati szempontból, dokumentált ellenőrzésekkel.
5. Benyújtás a szabályozó portálján vagy formátumban.

Az új bankok gyakran alábecsülik, hogy mennyi munkát igényel a termékadatoknak a bejelentési sablonokhoz való hozzárendelése még a piacra lépés előtt.

Mit keresnek a felügyelők az engedélykérelemben?

1. Egy világos cél architektúra, minden rendszerrel, annak tulajdonosával, szolgáltatójával és helyével.
2. A kritikus vagy fontos funkciók térkép, amely megmutatja, hogy melyik funkciókat kiszervezték és kinek.
3. Kilépési tervek minden kritikus szolgáltató számára, reális időben és költségekben.
4. Az adatok helye és hozzáférése, többek között a felügyeleti és szanálási hatóság számára.
5. Tesztelt rugalmasság, olyan helyreállítási időkkel, amelyek megfelelnek az üzleti terv szolgáltatási ígéreteinek.
6. A készenlét bizonyítékai, mint például a végpontok közötti tesztelés, migrációs próba és üzemi átvétel.

A ECBfintech bankok engedélyezésére vonatkozó útmutatója arra kéri a kérelmezőket, hogy mérlegeljék egy olyan kilépési terv kidolgozását, amely lehetővé teszi a működés rendezett és fizetőképes megszüntetését anélkül, hogy kárt okozna a fogyasztóknak vagy szabályozói beavatkozásra lenne szükség.A technológiai döntések határozzák meg, hogy egy ilyen terv hiteles-e: az adatoknak visszakereshetőnek kell lenniük, a számláknak átvihetőknek, a fizetéseknek pedig tisztán leállíthatóknak.

A következő cikk a fizetési síneket ismerteti, amelyekhez a magrendszer csatlakozik: kártyarendszerek, SEPA, azonnali fizetések és valós idejű bruttó elszámolás.