Core banking, cloud, outsourcing and technology regulation

A bank is a set of promises recorded in a ledger. If the ledger is wrong, unavailable or compromised, the bank cannot know what it owes, pay its customers or report to its supervisor. For this reason, regulators now examine technology architecture, outsourcing and cyber resilience as closely as capital plans.

What a core banking system does

The core banking system is the ledger of record. It holds customer and account data, posts every transaction, calculates interest and fees, and produces the balances on which everything else relies.

ტიპური ფუნქციები მოიცავს:

ფუნქცია	რას მოიცავს
Customer and account management	Customer records, account opening, product terms, account status
საბუღალტრო წიგნაკი და გაგზავნა	Real-time or batch posting of debits and credits, general ledger feeds
დეპოზიტები	მიმდინარე, დაზოგვის და ვადიანი ანგარიშები, საპროცენტო შემოსავლები და კაპიტალიზაცია
ჱავმთ	Loan origination interfaces, schedules, repayments, arrears, provisioning feeds
გადახდების ინტერფეისები	Connections to payment hubs, card processors and correspondent accounts
პროდუქტის კონფიგურაცია	Rates, fees, limits and rules without code changes
დეტალები და შეტყობინებები	ფინანსების, რისკის, რეგულაციული ანგარიშგებისა და AML მონიტორინგის ექსტრაქტები

Around the core sit other systems: digital channels, a payment hub, card management, customer onboarding and identity verification, sanctions screening, transaction monitoring, treasury, finance and the regulatory reporting engine.

არქიტექტურის არჩევანი

New banks usually choose between three models.

1. Licensed software, hosted by the bank or a provider. The bank controls configuration and data, but bears the integration burden.
2. Software as a service on a cloud platform. Faster to launch, but the bank depends on the vendor’s roadmap and resilience, and the arrangement is outsourcing.
3. Banking as a service from another licensed institution. The fastest route, but it can raise the question whether the new bank has enough substance of its own.

Supervisors do not prescribe a model. They assess whether the bank understands and controls the one it chose.

Outsourcing rules

აუტსორინგი ნიშნავს, რომ სერვისის მიმწოდებელი ასრულებს ისეთ პროცესს, მომსახურებას ან აქტივობას, რომელსაც ბანკი სხვა შემთხვევაში თვითონ განახორციელებდა. ევროკავშირში EBA აუტსორინგის წესების მიმართულებები (EBA/GL/2019/02) ძალაში შევიდა 2019 წლის 30 სექტემბერს. ისინი ჩაანაცვლეს წინადადებებს, მათ შორის EBA-ის დამოუკიდებელ რეკომენდაციას აუტსორინგზე ღრუბლის სერვისის მომწოდებლებთან.

ცენტრალური პრინციპია ის, რომ პასუხისმგებლობა არ შეიძლება გარედან გადაეცეს. მენეჯმენტის ორგანო რჩება პასუხისმგებელი ყველა გარედან გადაცემული ფუნქციისთვის. ინსტიტუტები "ყველა დროს უნდა შეინარჩუნონ საკმარისი შინაარსი და არ უნდა გახდნენ 'ცარიელი ჭურვები' ან 'წერილის ყუთების ობიექტები'".

მნიშვნელოვანი ფუნქციები

ფინანსური ანგარიშგება (ინგლ. financial accounting) — ანგარიშგების მეთოდი, რომლის მიხედვითაც განისაზღვრება ფინანსური ინფორმაციის ხარისხი, მისი სიზუსტე და მნიშვნელობა. For such functions, the bank should:

1. Perform a risk assessment and due diligence on the provider before contracting.
2. Include contractual rights of access, information and audit for the bank and the competent authority.
3. კონტროლის ქვე-აუტსორინგი, მათ შორის ცნობა და უფლება უარყოფის ან შეწყვეტის შესახებ.
4. Set out data security, location and confidentiality requirements.
5. Have documented and tested exit strategies.
6. Inform the competent authority in advance of planned critical or important outsourcing.

All arrangements must be recorded in an outsourcing register maintained by the bank.

ევროკავშირის გარეთ

მსგავსი წესები მოქმედებს სხვაგანაც. დიდ ბრიტანეთში, PRA Supervisory Statement SS2/21 outsourcing- ზე და მესამე მხარის რისკების მართვის შესახებ, გამოქვეყნებულია 2021 წლის მარტის და ეფექტურია 31 მარტი 2022 წლიდან, მოიცავს მასალას, მონაცემთა უსაფრთხოებას, ღრუბელს და გასვლას. PRA აღწერს მას, როგორც მიზნად ისახავს "დიდ რეზისტენტობას და ღრუბლისა და სხვა ახალი ტექნოლოგიების მიღებას".

In Singapore, the MAS Technology Risk Management Guidelines, published on 18 January 2021, set principles for technology risk governance, IT and cyber resilience, and are supplemented by a binding notice and incident reporting instructions.

DORA: ციფრული საოპერაციო გამძლეობა ევროკავშირში

ციფრული ოპერაციების გამძლეობის შესახებ კანონი, რეგლამენტი (EU) 2022/2554, რომელიც 2025 წლის 17 იანვრიდან ამოქმედდა. ის აერთიანებს ICT-ის რისკების მართვის, ინციდენტების შეტყობინების, ტესტირებისა და მესამე მხარის რისკის ერთ რეგულაციას ევროკავშირის ფინანსური ორგანიზაციების უმეტესობისთვის, მათ შორის ბანკებისთვის.

არე DORA	ბანკების ძირითადი მოთხოვნები
ICT risk management	A documented framework approved and overseen by the management body, covering identification, protection, detection, response and recovery
თნუთევნრნა პაოჲპრაზ	მნიშვნელოვანი ინციდენტები, რომლებიც დაკავშირებულია ICT- სთან, უნდა მიეწოდოს შესაბამის უწყებას სტატიის 19 თანახმად, გამოყენებით ჰარმონიზებული კლასიფიკაციისა და შაბლონების
ტესტირება	ტესტირების პროგრამა ყველა ობიექტისთვის; უფლებამოსილებების მიერ დადგენილი ობიექტებისთვის, განვითარებული საფრთხის მიხედვით ჩარევის ტესტირება ყოველ სამ წელიწადში ერთხელ პროდუქციის სისტემებზე 26-ე მუხლის თანახმად
მესამე მხარის რისკი	სტრატეგიები ICT-ის მესამე მხარის რისკებზე, კონტრაქტული მინიმები და ინფორმაციის რეგისტრაცია ყველა ICT სერვისების კონტრაქტზე სტატიის 28 მიხედვით
Oversight of critical providers	ევროპული ზედამხედველობის ორგანოები განისაზღვრავენ კრიტიკულად მნიშვნელოვან მესამე მხარის სერვის პროვაიდერებს და მათ პირდაპირ ზედამხედველობას უწევენ სტატიის 31-ის მიხედვით.

სტატიის 28-ში ნათქვამია, რომ ფინანსური ორგანიზაციები, რომლებიც იყენებენ ინფორმაციულ და კომუნიკაციურ ტექნოლოგიებს, „ყოველ დროს პასუხისმგებელნი არიან ყველა ვალდებულების შესრულებაზე“ DORA და ფინანსური მომსახურების შესახებ კანონის მიხედვით. რეესტრმა უნდა განსაზღვროს სერვისები, რომლებიც უზრუნველყოფენ კრიტიკული ან მნიშვნელოვანი ფუნქციების მხარდაჭერას. ორგანიზაციებმა ყოველწლიურად უნდა წარმოადგინონ ანგარიშები ახალი ხელშეკრულებების შესახებ და დროულად გააფრთხილონ უფლებამოსილი პირი კრიტიკული ან მნიშვნელოვანი ფუნქციებისთვის დაგეგმილი კონტრაქტების შესახებ.

DORA მოქმედებს ერთად EBA outsourcing წესები. პრაქტიკაში, ბანკები შეინარჩუნოს ერთი ინვენტარიზაცია, რომელიც აკმაყოფილებს ორივე.

კიბერ უსაფრთხოება

Cyber risk is now part of prudential supervision. Supervisors expect a bank to know its information assets, protect them in proportion to their criticality, detect attacks quickly, and recover critical services within defined tolerances.

კლავიშების კონტროლი ჩვეულებრივ მოიცავს:

1. ძლიერი იდენტობისა და წვდომის მენეჯმენტი, მრავალფაქტორიანი ავთენტიფიკაციითა და პრივილეგიული წვდომის კონტროლით.
2. უსაფრთხო პროგრამული უზრუნველყოფის განვითარება და ცვლილებების მართვა, მათ შორის გამყიდველის გამოშვებებისთვის.
3. Encryption of data in transit and at rest, and key management that the bank controls.
4. Continuous monitoring and a security operations capability, in-house or outsourced.
5. Vulnerability management and regular penetration testing.
6. სარეზერვო ასლები, რომლებიც გამოყოფილია პროდუქციული გარემოსგან და ტესტირდება აღდგენისთვის.
7. Incident response plans that cover regulatory notification and customer communication.

Fraud controls connect cyber and payments. Payee verification, behavioural analytics and strong customer authentication protect customers as payments become instant and irrevocable.

რეგულაციური შეტყობინებები

ბანკები დიდი მოცულობის მონაცემებს აწვდიან ზედამხედველებსა და ცენტრალურ ბანკებს. ევროკავშირში, CRR-ის 430-ე მუხლი მოითხოვს, რომ ინსტიტუციებმა თავიანთი ფინანსური რესურსების მოთხოვნილებებზეც უნდა აცნობონ, მათ შორის საპროცენტო განაკვეთზე, დიდ ექსპოზიციაზე, likvidity requirements, asset burdens and ESG expositions, სხვა ელემენტებთან ერთად, ზოგიერთმა ინსტიტუციამ ასევე უნდა აცნობოს ფინანსური ინფორმაცია. ცენტრალური ბანკები სტატისტიკას ამატებენ, ხოლო ფინანსური ინტელექტის ერთეულები ეძებენ საეჭვო ტრანზაქციების ანგარიშებს.

Reports are only as good as the data behind them. The chain from core system to regulator usually runs:

1. წყაროს მონაცემები ძირითად სისტემაში და სხვა ოპერაციულ სისტემებში.
2. მონაცემთა საწყობი ან ანგარიშგების საფეხური, რომელიც შეესაბამება ძირითად წიგნს.
3. რეგულაციული ანგარიშგების მოწყობილობა, რომელიც მონაცემებს ზედამხედველობის შაბლონებსა და გამართვის წესებს უკავშირდება.
4. Review and sign-off by finance and risk, with documented controls.
5. Submission through the regulator’s portal or format.

შეცდომები ანგარიშში შეიძლება გამოიწვიოს ზედამხედველობის დასკვნები და, სადაც ისინი შეცდომაში შეჰყავთ ზედამხედველი, ძალის გამოყენება. ახალი ბანკები ხშირად უგულებელყოფენ პროდუქტის მონაცემების გამოსახულებას ანგარიშის შაბლონების გამოშვებამდე.

What supervisors look for in a licence application

1. ნათლად გამოხატული მიზნობრივი არქიტექტურა, ყოველი სისტემით, მის მფლობელთან, მის მიმწოდებელთან და მისი ადგილმდებარეობით.
2. კრიტიკული ან მნიშვნელოვანი ფუნქციების რუკა, რომელიც აჩვენებს რომელი ფუნქციები არის გარემოში და ვისი.
3. გამოსვლის გეგმებიყველა კრიტიკული მომწოდებლისთვის, რეალისტური დროისა და ფასის მიხედვით.
4. დასკვნების ადგილმდებარეობა და წვდომა, მათ შორის ზედამხედველობისა და გადაწყვეტილების ავტორიტეტისთვის.
5. Tested resilience, with recovery times that match the business plan’s service promises.
6. Readiness evidence, such as end-to-end testing, migration rehearsal and operational acceptance.

The ECB’s guide to fintech bank licensing asks applicants to consider an exit plan for ceasing operations in an orderly and solvent manner, without harming consumers or requiring regulatory intervention. Technology choices determine whether such a plan is credible: data must be retrievable, accounts transferable and payments able to stop cleanly.

The next article explains the payment rails that the core system connects to: card schemes, SEPA, instant payments and real-time gross settlement.