Kjarnabankastarfsemi, ský, útvistun og tæknileg reglugerð

Banki er sett af loforðum sem skráð eru í bókhaldi. Ef bókhaldið er rangt, óaðgengilegt eða í hættu getur bankinn ekki vitað hvað hann skuldar, greitt viðskiptavinum sínum eða tilkynnt umsjónarmanni sínum.Af þessum sökum skoða eftirlitsaðilar nú tæknilega arkitektúr, útvistun og netþol eins nákvæmlega og fjármagnsáætlanir.

Hvað gerir kjarna bankakerfi

Kjarna bankakerfi er bókhald skrá.Það heldur viðskiptavini og reikningsgögn, birtir hvert viðskipti, reiknar vexti og gjöld, og framleiðir jafnvægi sem allt annað treystir á.

Dæmigerð aðgerðir eru:

Virkni	Hvað það nær til
Viðskiptavinur og reikningsstjórnun	Færslur viðskiptavina, opnun reiknings, vöruskilmálar, staða reiknings
Ledger og innlegg	Real-tími eða hópur innlegg af debet og innlán, almenna bókhald straumar
Innlán	Núverandi, sparnaðar- og tímabundnir reikningar, vaxtaupphæð og fjármögnun
Útlán	Lánsupprunaviðmót, áætlanir, endurgreiðslur, eftirstöðvar, framboðsfóður
Greiðsluviðmót	Tengingar við greiðslumiðstöðvar, kortavinnslu og samsvarandi reikninga
Vörustillingar	Verð, gjöld, takmörk og reglur án breytinga á kóða
Gögn og skýrslugerð	Útdráttur fyrir fjármál, áhættu, skýrslugerð og AML vöktun

Í kringum kjarnann sitja önnur kerfi: stafrænar leiðir, greiðslumiðstöð, kortastjórnun, innleiðing viðskiptavina og staðfesting á auðkenni, viðurlög, vöktun á færslum, fjármálagerningum, fjármálum og skýrslugerðarvélinni.

Arkitektúr valkostir

Nýir bankar velja yfirleitt á milli þriggja líkana.

1. Leyfður hugbúnaður, hýst af bankanum eða þjónustuveitanda. Bankinn stjórnar uppsetningu og gögnum en ber ábyrgð á samþættingu.
2. Hugbúnaður sem þjónusta á skýjavettvangi. Hraðar til að hefja, en bankinn veltur á vegabréfi og seiglu seljanda og fyrirkomulag er útvistun.
3. Bankastarfsemi sem þjónusta frá annarri leyfisskyldri stofnun. Hraðasta leiðin, en það getur vakið spurningu um hvort nýji bankinn hafi nóg efni af eigin raun.

Eftirlitsyfirvöld mæla ekki fyrir um líkan heldur meta hvort bankinn skilji og stjórni því sem hann velur.

Útvistunarreglur

Með útvistun er átt við að þjónustuveitandi framkvæmir ferli, þjónustu eða starfsemi sem bankinn myndi annars framkvæma sjálfur. Í ESB tóku EBA leiðbeiningar um útvistun (EBA/GL/2019/02) gildi þann 30. september 2019 og komu í stað fyrri leiðbeininga, þar á meðal sérstakrar tillögu EBA um útvistun til skýjafyrirtækja.

Mikilvægasta meginreglan er sú að ekki sé hægt að úthluta ábyrgð. Stjórnsýslan ber ábyrgð á öllum þeim verkefnum sem hún hefur úthlutað og stofnunin „á alltaf að hafa nægilegt innihald og ekki verða tóm skel eða pósthólf“.

Mikilvægt eða mikilvæg aðgerðir

Viðmiðunarreglurnar gera strangari kröfur þar sem útvistuð starfsemi er mikilvæg eða brýnt verkefni, þ.e.a.s. ef hún bregst myndi það hafa veruleg áhrif á reglufylgni, fjárhagslega afkomu eða samfellu.

1. Framkvæma áhættumat og due diligence á þjónustuveitanda áður en samningur er gerður.
2. Inniheldur samningsbundinn rétt til aðgangs, upplýsinga og endurskoðunar fyrir bankann og lögbært yfirvald.
3. Stjórna undirútvistun, þar á meðal tilkynningu og rétt til að andmæla eða segja upp.
4. Settu fram kröfur um gagnaöryggi, staðsetningu og trúnað.
5. Hafa skjalfest og prófað hættuáætlanir.
6. Upplýsa lögbært yfirvald fyrirfram um fyrirhugaða mikilvæga eða mikilvæga útvistun.

Öll fyrirkomulag verða að vera skráð í útboðsskrá sem bankinn heldur.

Utan ESB

Svipaðar reglur gilda annars staðar. Í Bretlandi, PRA Supervisory Statement SS2/21 um útvistun og áhættustýringu þriðja aðila, sem birt var í mars 2021 og tekur gildi frá 31. mars 2022, nær til efnislegs eðlis, gagnaöryggis, skýja og brottfararáætlana. PRA lýsir því sem ætlað er að auðvelda „meiri seiglu og innleiðingu á skýinu og annarri nýrri tækni“.

Í Singapúr eru MAS Tæknilegar áhættustýringarleiðbeiningar, sem birtar voru 18. janúar 2021, sett meginreglur um stjórnun tæknilegra áhætta, upplýsingatækni og netþol, og eru þær fullnægjandi með bindandi tilkynningu og leiðbeiningum um tilkynningu um atvik.

DORA: Stafrænn rekstrarlegur sveigjanleiki í ESB

The Lög um stafræna rekstrarþolReglugerð Evrópuþingsins og ráðsins (ESB) 2022/2554 frá 17. janúar 2025 um áhættustjórnun í tengslum við upplýsingatækni, tilkynningu um atvik, prófanir og áhættu þriðju aðila fyrir flesta fjármálastofnanir innan ESB, þar á meðal bankana.

DORA svæði	Kjarnakrafa fyrir bankana
Áhættustjórnun í upplýsingatækni	Skjalfest rammaáætlun sem stjórnendur hafa samþykkt og eftirlit með, sem nær til auðkenningar, verndar, uppgötvunar, viðbragða og bata
Tilkynning um atvik	Tilkynna skal lögbæru yfirvaldi um alvarleg atvik í tengslum við upplýsingatækni samkvæmt 19. gr. með samræmdri flokkun og sniðmátum
Sveifluprófanir	Prófunaráætlun fyrir alla aðila; fyrir þá aðila sem yfirvöld hafa tilgreint, háþróaða ógn-leiðrétta innrásarprófun a.m.k. á þriggja ára fresti á lifandi framleiðslukerfum undir 26. gr.
Áhætta vegna upplýsinga- og samskiptatækni frá þriðja aðila	Stefna um áhættu þriðju aðila á sviði upplýsingatækni, lágmarkskröfur í samningi og skrá yfir upplýsingar um alla þjónustusamninga á sviði upplýsingatækni samkvæmt 28. gr.
Eftirlit með mikilvægum þjónustuveitendum	Evrópsku eftirlitsstofnunirnar tilnefna mikilvæga þriðja aðila sem veita upplýsingatækniþjónustu og hafa bein eftirlit með þeim samkvæmt 31. gr.

Í 28. gr. er kveðið á um að fjármálastofnanir sem nota upplýsingatækniþjónustu „skulu ávallt bera fulla ábyrgð á því að uppfylla og framfylgja öllum skyldum“ samkvæmt DORA Í skránni skal greina þjónustu sem styður við mikilvægar eða brýnar starfsemi. Aðilar skulu árlega tilkynna um nýjar ráðstafanir og upplýsa stofnunina tímanlega um fyrirhugaða samninga um mikilvægar eða brýnar starfsemi.

DORA gildir samhliða EBA útvistunarleiðbeiningum og í reynd halda bankar einni birgðastöðu sem uppfyllir báðar.

Netöryggi

Eftirlitsyfirvöld gera ráð fyrir að bankinn þekki upplýsingaeignir sínar, verji þær í samræmi við mikilvægi þeirra, greini árásir hratt og endurheimti nauðsynlega þjónustu innan skilgreindra marka.

Helstu stýringar eru yfirleitt:

1. Sterk auðkenni og aðgangsstjórnun, með fjölþátta sannvottun og forréttindaaðgangsstýringu.
2. Örugg hugbúnaðarþróun og breytingastjórnun, þ.m.t. fyrir útgáfur framleiðanda.
3. Dulkóðun gagna í flutningi og í hvíld, og lykilstjórnun sem bankinn stjórnar.
4. Stöðugt eftirlit og öryggisstarfsemi, innanhúss eða útvistuð.
5. Varnarleysi stjórnun og reglulega penetration próf.
6. Afritun sem eru einangruð frá framleiðsluumhverfinu og prófuð fyrir endurheimt.
7. Áætlanir um viðbrögð við atvikum sem ná yfir tilkynningar til eftirlitsaðila og samskipti við viðskiptavini.

Staðfesting á greiðsluþega, greining á hegðun og sterk auðkenning viðskiptavina vernda viðskiptavini þar sem greiðslur verða samstundis og óafturkallanlegar.

Reglugerðarskýrsla

Bankar tilkynna mikið magn gagna til eftirlitsaðila og seðlabanka. Í Evrópusambandinu, 430. gr. CRRkrafist þess að stofnanir tilkynni um eiginfjárkröfur þar á meðal skuldsetningu, stórar áhættur, lausafjárkröfur, eignaálag og ESG áhættur, meðal annars, og sumar stofnanir þurfa einnig að tilkynna fjárhagslegar upplýsingar.

Skýrslur eru aðeins eins góðar og gögnin sem liggja að baki þeim.Keðjan frá kjarnakerfi til stýringar fer yfirleitt þannig fram:

1. Upprunaleg gögn í kjarnakerfinu og öðrum rekstrarkerfum.
2. A gagnavers eða skýrslugerð lag með sátt við aðalbók.
3. Reglugerð um skýrslugerðarvél sem kortleggur gögn til eftirlitssniðmáta og staðfestingarreglna.
4. Endurskoðun og undirritun eftir fjármálum og áhættu, með skjalfestum stjórntækjum.
5. Innsending í gegnum vefgátt eða snið eftirlitsins.

Villur í skýrslum geta leitt til niðurstaðna hjá eftirlitsaðilum og, ef þær leiða eftirlitsaðila í villu, til framkvæmdar.Nýir bankar vanmeta oft það sem þarf til að kortleggja vörugögn við skýrslusniðmát áður en þau eru sett á laggirnar.

Það sem eftirlitsaðilar leita að í leyfisumsókn

1. Skýr markmið arkitektúr, með hverju kerfi, eigandi þess, veitandi hennar og staðsetningu.
2. A mikilvæg eða mikilvæg aðgerðir kort , sem sýnir hvaða aðgerðir eru útvistuð og til hvers.
3. Exit áætlanir fyrir hverja mikilvæga þjónustuveitanda, raunhæf í tíma og kostnaði.
4. Staðsetning gagna og aðgangur, þ.m.t. fyrir eftirlits- og úrlausnaryfirvaldið.
5. Prófuð seigja, með batatíma sem passa við þjónustuloforð viðskiptaáætlunarinnar.
6. Sönnun um viðbragðshæfni, svo sem endir-til-endir próf, flutningsæfing og starfsviðurkenning.

The ECBLeiðbeiningar um leyfisveitingu fjármálafyrirtækja Umsækjendur eru beðnir um að íhuga útgönguáætlun til þess að hætta starfsemi á skipulegan og lánshæfan hátt, án þess að skaða neytendur eða þurfa inngripi eftirlitsaðila.Tæknival ákvarðar hvort slík áætlun er trúverðug: gögn verða að vera endurheimtanleg, reikninga má flytja og greiðslur geta hætt á hreinan hátt.

Næsta grein útskýrir greiðsluleiðir sem kjarnakerfið tengist við: kortakerfi, SEPA, augnabliksgreiðslur og rauntíma brunauppgjör.