Banking Utama, Cloud, Outsourcing dan Peraturan Teknologi

Sebuah bank adalah serangkaian janji yang tercatat dalam buku besar. Jika buku besar tersebut salah, tidak tersedia, atau dikompromi, maka bank tersebut tidak dapat mengetahui jumlah utangnya, membayar pelanggannya, atau melaporkan kepada supervisornya. Karena alasan ini, para regulator sekarang memeriksa arsitektur teknologi, outsourcing, dan ketahanan cyber sama dekatnya dengan rencana modal.

Apa yang dilakukan oleh sistem perbankan inti

Sistem perbankan inti adalah buku besar catatan, yang menyimpan data pelanggan dan rekening, mencatat setiap transaksi, menghitung bunga dan biaya, dan menghasilkan saldo yang menjadi dasar dari semua hal lainnya.

Tipical functions include:

Fungsi	Apa yang tertulis?
Manajemen pelanggan dan akun	Catatan pelanggan, pembukaan akun, syarat produk, status akun
Ledger dan posting	Real-time atau batch posting debit dan kredit, feed buku besar umum
Deposit	Akun saat ini, tabungan dan jangka panjang, akumulasi bunga dan kapitalisasi
Peminjaman	antarmuka pendirian pinjaman, jadwal, pembayaran kembali, utang, suplai persediaan
antarmuka pembayaran	Koneksi ke hub pembayaran, pemroses kartu dan akun koresponden
Produk konfigurasi	Tingkat, biaya, batas dan aturan tanpa perubahan kode
Data dan pelaporan	Ekstrak untuk keuangan, risiko, pelaporan peraturan dan AML pemantauan

Di sekitar inti terdapat sistem-sistem lain: saluran digital, pusat pembayaran, manajemen kartu, penerimaan pelanggan dan verifikasi identitas, penyaringan sanksi, pemantauan transaksi, keuangan, dan mesin pelaporan peraturan.

Pilihan arsitektur

Bank-bank baru biasanya memilih antara tiga model.

1. Perangkat lunak berlisensi, dihost oleh bank atau penyedia. Bank mengendalikan konfigurasi dan data, tetapi menanggung beban integrasi.
2. Perangkat lunak sebagai layanan pada platform awan. Lebih cepat untuk diluncurkan, namun bank bergantung pada roadmap dan ketahanan vendor, dan pengaturannya adalah outsourcing.
3. Banking sebagai layanan dari lembaga berlisensi lain. Rute tercepat, tapi itu dapat menimbulkan pertanyaan apakah bank baru memiliki cukup substansi sendiri.

Pengawas tidak menetapkan model, mereka menilai apakah bank memahami dan mengontrol model yang dipilih.

Peraturan outsourcing

Outsourcing berarti penyedia jasa melakukan proses, layanan atau aktivitas yang bank lain akan melakukan sendiri. EBA Panduan tentang pengaturan outsourcing (EBA/GL/2019/02) mulai berlaku pada tanggal 30 September 2019. EBA’s rekomendasi terpisah tentang outsourcing ke penyedia layanan cloud.

Prinsip utamanya adalah bahwa tanggung jawab tidak dapat dikontrak. Badan manajemen tetap bertanggung jawab atas semua fungsi yang dikontrak. Institusi “seharusnya selalu mempertahankan substansi yang cukup dan tidak menjadi ‘kulit kosong’ atau ‘entitas kotak surat’”.

Fungsi kritis atau penting

Panduan ini menerapkan persyaratan yang lebih ketat di mana fungsi outsourcing sangat penting atau kritis, artinya kegagalan akan berdampak buruk pada kepatuhan, kinerja keuangan atau kontinuitas.

1. Lakukan penilaian risiko dan due diligence pada penyedia sebelum kontrak.
2. Termasuk hak kontrak untuk akses, informasi dan audit bagi bank dan otoritas yang berwenang.
3. Kontrol sub-outsourcing, termasuk pemberitahuan dan hak untuk membantah atau mengakhiri.
4. Menetapkan keamanan data, lokasi dan persyaratan kerahasiaan.
5. Mendokumentasikan dan menguji strategi keluar.
6. Memberitahu otoritas yang berwenang terlebih dahulu tentang outsourcing kritis atau penting yang direncanakan.

Semua pengaturan harus tercatat dalam register outsourcing yang dipelihara oleh bank.

Diluar Uni Eropa

Peraturan serupa diterapkan di tempat lain. Di Inggris, PRA Supervisory Statement SS2/21 tentang outsourcing dan manajemen risiko pihak ketiga, diterbitkan pada Maret 2021 dan berlaku sejak 31 Maret 2022, mencakup materialitas, keamanan data, awan dan perencanaan keluar. PRA menggambarkannya sebagai dimaksudkan untuk memfasilitasi “ketahanan yang lebih besar dan adopsi awan dan teknologi baru lainnya”.

Di Singapura, MAS Panduan Manajemen Risiko Teknologi, diterbitkan pada tanggal 18 Januari 2021, menetapkan prinsip-prinsip untuk tata kelola risiko teknologi, IT dan ketahanan siber, dan dilengkapi dengan pemberitahuan mengikat dan instruksi pelaporan insiden.

DORA: ketahanan operasi digital di UE

The Undang-Undang Ketahanan Operasi Digital, Regulation (EU) 2022/2554, telah diterapkan sejak 17 Januari 2025. ini membawa manajemen risiko ICT, pelaporan insiden, pengujian dan risiko pihak ketiga ke dalam satu peraturan untuk sebagian besar entitas keuangan UE, termasuk bank-bank.

area DORA	Persyaratan Utama bagi Bank
Manajemen risiko ICT	Sebuah kerangka kerja terdokumentasi yang disetujui dan diawasi oleh badan manajemen, meliputi identifikasi, perlindungan, deteksi, respons dan pemulihan
Insiden melaporkan	Kecelakaan besar yang berhubungan dengan ICT harus dilaporkan kepada otoritas berwenang sesuai Artikel 19, menggunakan klasifikasi dan template yang terharmonisasi
Pengujian ketahanan	Sebuah program pengujian untuk semua entitas; untuk entitas yang diidentifikasi oleh otoritas, pengujian penetrasi yang dipimpin ancaman canggih setidaknya setiap tiga tahun pada sistem produksi hidup di bawah Artikel 26
Risiko pihak ketiga ICT	Sebuah strategi mengenai risiko pihak ketiga ICT, minimum kontrak, dan sebuah register informasi tentang semua kontrak layanan ICT di bawah Artikel 28
Pengawasan penyedia layanan kritis	Otoritas Pengawas Eropa menunjuk penyedia layanan pihak ketiga ICT kritis dan mengawasi mereka secara langsung di bawah Pasal 31

Pasal 28 menyatakan bahwa entitas keuangan yang menggunakan layanan ICT “selalu bertanggung jawab penuh untuk memenuhi dan melaksanakan semua kewajiban” di bawah DORA dan hukum jasa keuangan. Pendaftaran harus membedakan layanan yang mendukung fungsi-fungsi kritis atau penting. Entitas harus melaporkan setiap tahun tentang pengaturan baru dan memberitahu otoritas secara tepat waktu mengenai kontrak yang direncanakan untuk fungsi-fungsi kritis atau penting.

DORA berlaku bersamaan dengan pedoman outsourcing EBA. Dalam praktiknya, bank mempertahankan satu inventaris yang memenuhi keduanya.

Keamanan Siber

Risiko siber kini menjadi bagian dari pengawasan kehati-hatian. Pengawas mengharapkan bank untuk mengetahui aset informasi mereka, melindunginya sesuai dengan tingkat kritisitasnya, mendeteksi serangan dengan cepat, dan memulihkan layanan penting dalam toleransi yang telah ditentukan.

Kendali kunci biasanya termasuk:

1. Manajemen identitas dan akses yang kuat, dengan otentikasi multi-faktor dan kontrol akses istimewa.
2. Menjamin pengembangan perangkat lunak dan manajemen perubahan, termasuk untuk rilis vendor.
3. Enkripsi data dalam perjalanan dan di tempat, dan manajemen kunci yang dikendalikan oleh bank.
4. Monitoring terus menerus dan kemampuan operasi keamanan, internal atau outsourced.
5. Manajemen kerentanan dan pengujian penetrasi reguler.
6. Backup yang terisolasi dari lingkungan produksi dan diuji untuk restorasi.
7. Rencana respon insiden yang mencakup pemberitahuan peraturan dan komunikasi pelanggan.

Verifikasi penerima pembayaran, analisis perilaku dan otentikasi pelanggan yang kuat melindungi konsumen karena pembayaran menjadi instan dan tidak dapat ditarik kembali.

Pelaporan peraturan

Bank-bank melaporkan data dalam jumlah besar kepada pengawas dan bank sentral. Artikel 430 dari CRR mewajibkan lembaga untuk melaporkan persyaratan modal sendiri termasuk rasio leverage, eksponensi besar, persyaratan likuiditas, beban aset dan eksponensi ESG, di antara hal-hal lain, dan institusi tertentu juga harus melaporkan informasi keuangan. bank sentral menambahkan laporan statistik, dan unit intelijen keuangan menerima laporan transaksi mencurigakan.

Laporan hanya sebaik data di baliknya. rantai dari sistem inti ke regulator biasanya berjalan:

1. Sumber data dalam sistem inti dan sistem operasi lainnya.
2. Sebuah gudang data atau lapisan laporan dengan rekonsiliasi ke buku besar umum.
3. Sebuah mesin pelaporan peraturan yang memetakan data ke template pengawasan dan aturan validasi.
4. Tinjauan dan tanda tangan oleh keuangan dan risiko, dengan kontrol terdokumentasikan.
5. Pengiriman melalui portal atau format regulator.

Kesalahan dalam pelaporan dapat menyebabkan temuan pengawasan dan, ketika hal tersebut menyesatkan pengawas, penegakan hukum.

Apa yang dicari supervisor dalam aplikasi lisensi

1. Sebuah arsitektur target yang jelas, dengan setiap sistem, pemiliknya, penyedianya dan lokasinya.
2. Peta fungsi kritis atau penting, menunjukkan fungsi mana yang dikontrak dan kepada siapa.
3. Rencana keluar untuk setiap penyedia kritis, realistis dalam waktu dan biaya.
4. Lokasi dan akses data, termasuk untuk otoritas pengawas dan resolusi.
5. Ketahanan diuji, dengan waktu pemulihan yang sesuai dengan janji layanan rencana bisnis.
6. Budidaya bukti, seperti pengujian end-to-end, latihan migrasi dan penerimaan operasional.

The ECB’s guide to fintech bank licensing Pemilihan teknologi menentukan apakah rencana tersebut dapat dipercaya: data harus dapat diperoleh kembali, rekening-rekening harus dapat dipindahkan dan pembayaran harus bisa berhenti dengan baik.

Artikel berikutnya menjelaskan jalur pembayaran yang sistem inti terhubung ke: skema kartu, SEPA, pembayaran instan dan penyelesaian bruto real-time.