ធនាគារសំខាន់, ពពក, ការផ្គត់ផ្គង់ខាងក្រៅនិងបទប្បញ្ញត្តិបច្ចេកវិទ្យា

ធនាគារគឺជាសំណុំនៃការសន្យាដែលបានកត់ត្រានៅក្នុងសៀវភៅគណនេយ្យមួយ. ប្រសិនបើសៀវភៅគណនេយ្យគឺខុស, មិនអាចរកបានឬ compromised, ធនាគារមិនអាចដឹងថាអ្វីដែលវាជំពាក់, បង់អតិថិជនរបស់ខ្លួនឬរាយការណ៍ទៅអ្នកគ្រប់គ្រងរបស់ខ្លួន. សម្រាប់ហេតុផលនេះ, អ្នកត្រួតពិនិត្យឥឡូវនេះពិនិត្យមើលស្ថាបត្យកម្មបច្ចេកវិទ្យា, ការផ្គត់ផ្គង់ខាងក្រៅនិងភាពធន់ទ្រាំអ៊ីនធឺណិតយ៉ាងជិតស្និទ្ធដូចជាផែនការមូលនិធិ.

តើ​ប្រព័ន្ធ​ធនាគារ​ស្នូល​ធ្វើ​អ្វី

ប្រព័ន្ធធនាគារជាមូលដ្ឋានគឺជាបណ្ណាល័យនៃកំណត់ត្រា. វាមានអតិថិជននិងទិន្នន័យគណនី, ប្រកាសរាល់ការផ្ទេរប្រាក់, ការគណនាប្រាក់ចំណេញនិងថ្លៃសេវា, និងផលិតសន្ទស្សន៍ដែលអ្វីគ្រប់យ៉ាងផ្សេងទៀតផ្អែកលើ.

អនុគមន៍ទូទៅរួមមាន:

មុខងារ	អ្វី​ដែល​វា​គ្របដណ្តប់
ការ​គ្រប់គ្រង​អតិថិជន និង​គណនី	កំណត់ហេតុអតិថិជន ការបើកគណនី លក្ខខណ្ឌផលិតផល ស្ថានភាពគណនី
Ledger និងប្រកាស	ពេលវេលា​ពិតប្រាកដ ឬ​ការ​បង្ហោះ​បាច់​នៃ​កាតព្វកិច្ច និង​ឥណទាន មតិព័ត៌មាន​សៀវភៅ​បញ្ជី​ទូទៅ
ដាក់ប្រាក់	គណនី​បច្ចុប្បន្ន ការ​សន្សំ និង​រយៈពេល ប្រាក់​បញ្ញើ​ចំណេញ និង​ការ​ដាក់​មូលនិធិ
ផ្តល់ប្រាក់កម្ចី	ចំណុច​ប្រទាក់​បង្កើត​ប្រាក់​កម្ចី កាលវិភាគ ការ​ទូទាត់​សង ការ​ជំពាក់ ការ​ផ្គត់ផ្គង់
ចំណុចប្រទាក់ការទូទាត់	ការ​តភ្ជាប់​ទៅ​កាន់​មជ្ឈមណ្ឌល​ការ​ទូទាត់ កម្មវិធី​ដំណើរការ​កាត និង​គណនី​អ្នក​ផ្ញើ
ការកំណត់រចនាសម្ព័ន្ធផលិតផល	អត្រា, ថ្លៃ, ដែនកំណត់និងច្បាប់ដោយគ្មានការផ្លាស់ប្តូរកូដ
ទិន្នន័យនិងរបាយការណ៍	ដកស្រង់សម្រាប់ហិរញ្ញវត្ថុហានិភ័យការរាយការណ៍បទប្បញ្ញត្តិនិង AML ការត្រួតពិនិត្យ

នៅជុំវិញប្រព័ន្ធផ្សេងទៀតអង្គុយ core: ឆានែលឌីជីថល, ការទូទាត់មជ្ឈមណ្ឌលការគ្រប់គ្រងកាត, onboarding និងផ្ទៀងផ្ទាត់អត្តសញ្ញាណអតិថិជន, ការត្រួតពិនិត្យវិធានការ, ការត្រួតពិនិត្យប្រតិបត្តិការ, ទ្រព្យសម្បត្តិ, ហិរញ្ញវត្ថុនិងម៉ាស៊ីនរាយការណ៍បទប្បញ្ញត្តិ.

ជម្រើស​ស្ថាបត្យកម្ម

ធនាគារ​ថ្មី​ជា​ធម្មតា​ជ្រើស​រើស​រវាង​ម៉ូដែល​បី។

1. កម្មវិធីដែលមានអាជ្ញាប័ណ្ណដែលរៀបចំដោយធនាគារឬក្រុមហ៊ុនផ្ដល់សេវា។ ធនាគារគ្រប់គ្រងការកំណត់រចនាសម្ព័ន្ធនិងទិន្នន័យប៉ុន្តែមានបន្ទុករួមបញ្ចូលគ្នា។
2. កម្មវិធីជាសេវាកម្មនៅលើវេទិកាពពក។ រហ័សក្នុងការចាប់ផ្តើមប៉ុន្តែធនាគារអាស្រ័យលើផែនការនិងភាពធន់ទ្រាំរបស់ក្រុមហ៊ុនផលិតហើយកិច្ចព្រមព្រៀងនេះត្រូវបានបញ្ជូនចេញ។
3. ធនាគារជាសេវាពីស្ថាប័នដែលមានអាជ្ញាប័ណ្ណផ្សេងទៀត។ ផ្លូវលឿនបំផុតប៉ុន្តែវាអាចលើកឡើងនូវសំណួរថាតើធនាគារថ្មីមានសារធាតុគ្រប់គ្រាន់សម្រាប់ខ្លួនវាផ្ទាល់ឬអត់។

អ្នក​ត្រួតពិនិត្យ​មិន​បាន​កំណត់​ម៉ូដែល​មួយ។ ពួកគេ​វាយតម្លៃ​ថាតើ​ធនាគារ​យល់ និង​គ្រប់គ្រង​មួយ​ដែល​វា​បាន​ជ្រើស ។

ច្បាប់ Outsourcing

ការផ្តល់សេវាខាងក្រៅមានន័យថាអ្នកផ្ដល់សេវាកម្មអនុវត្តដំណើរការ, សេវាកម្មឬសកម្មភាពដែលធនាគារនឹងប្រតិបត្តិដោយខ្លួនឯង។ នៅក្នុងសហភាពអឺរ៉ុប EBA មគ្គុទ្ទេសក៍លើការរៀបចំ outsourcing (EBA/GL/2019/02) បានចូលជាធរមាននៅថ្ងៃទី 30 ខែកញ្ញាឆ្នាំ 2019 ។ EBAអនុសាសន៍ដាច់ដោយឡែកលើការផ្ទេរទៅអ្នកផ្ដល់សេវាពពក។

គោលការណ៍កណ្តាលគឺថាការទទួលខុសត្រូវមិនអាចត្រូវបានបញ្ជូនចេញ. អង្គភាពគ្រប់គ្រងនៅតែមានទំនួលខុសត្រូវចំពោះមុខងារទាំងអស់ដែលបានបញ្ជូនចេញ. ស្ថាប័ន "គួរតែរក្សាទុកនៅគ្រប់ពេលវេលាដែលមានសារធាតុគ្រប់គ្រាន់និងមិនក្លាយជា 'កញ្ចក់ទទេ' ឬ 'សាជីវកម្មប្រអប់សំបុត្រ'".

អនុគមន៍​សំខាន់ ឬ​សំខាន់

គោលការណ៍ណែនាំនេះអនុវត្តតាមតម្រូវការតឹងរ៉ឹងដែលមុខងារខាងក្រៅគឺមានសារៈសំខាន់ឬសំខាន់, មានន័យថាការបរាជ័យនឹងប៉ះពាល់ដល់ភាពស្របច្បាប់, ការអនុវត្តហិរញ្ញវត្ថុឬបន្ត. សម្រាប់មុខងារបែបនេះធនាគារគួរតែ:

1. អនុវត្តការវាយតម្លៃហានិភ័យនិងការយកចិត្តទុកដាក់លើអ្នកផ្ដល់សេវាមុនពេលចុះកិច្ចសន្យា។
2. រួមបញ្ចូលសិទ្ធិកិច្ចសន្យានៃការចូលដំណើរការ, ព័ត៌មាននិងត្រួតពិនិត្យសម្រាប់ធនាគារនិងអាជ្ញាធរដែលមានសមត្ថកិច្ច.
3. ត្រួតពិនិត្យ sub-outsourcing, រួមទាំងការជូនដំណឹងនិងសិទ្ធិដើម្បីជំទាស់ឬបញ្ចប់.
4. កំណត់​សុវត្ថិភាព​ទិន្នន័យ ទីតាំង និង​តម្រូវការ​សម្ងាត់ ។
5. បាន​ឯកសារ និង​សាកល្បង​យុទ្ធសាស្ត្រ​ចេញ ។
6. ជូនដំណឹងដល់អាជ្ញាធរមានសមត្ថកិច្ចជាមុននៃផែនការសំខាន់ឬសំខាន់ outsourcing.

ការរៀបចំទាំងអស់ត្រូវតែត្រូវបានចុះបញ្ជីនៅក្នុងបញ្ជី outsourcing ថែទាំដោយធនាគារ។

ក្រៅពីសហភាពអឺរ៉ុប

ច្បាប់ស្រដៀងគ្នានេះអនុវត្តនៅកន្លែងផ្សេងទៀត. នៅចក្រភពអង់គ្លេស, PRA សេចក្តីថ្លែងការណ៍ត្រួតពិនិត្យ SS2/21 លើការគ្រប់គ្រងហានិភ័យខាងក្រៅនិងភាគីទីបីដែលបានចេញផ្សាយនៅខែមីនាឆ្នាំ 2021 និងមានប្រសិទ្ធភាពចាប់ពីថ្ងៃទី 31 ខែមីនាឆ្នាំ 2022 គ្របដណ្តប់លើភាពសំខាន់សុវត្ថិភាពទិន្នន័យផែនការ cloud និង exit ។ PRA ពិពណ៌នាវាថាជាការមានបំណងដើម្បីសម្រួល "ភាពធន់ទ្រាំកាន់តែធំនិងការទទួលយកនៃពពកនិងបច្ចេកវិទ្យាថ្មីផ្សេងទៀត" ។

នៅ សិង្ហបុរី MAS មគ្គុទ្ទេសក៍គ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យា, ចេញផ្សាយនៅថ្ងៃទី 18 ខែមករាឆ្នាំ 2021 បានកំណត់គោលការណ៍សម្រាប់គ្រប់គ្រងហានិភ័យបច្ចេកវិទ្យាព័ត៌មានវិទ្យានិងភាពធន់នឹងប្រព័ន្ធអ៊ីនធឺណិតហើយត្រូវបានបំពេញបន្ថែមដោយសេចក្តីជូនដំណឹងដែលតម្រូវឱ្យមានការចង្អុលបង្ហាញនិងការរាយការណ៍អំពីហេតុការណ៍។

DORA: ភាពធន់នឹងប្រតិបត្តិការឌីជីថលនៅក្នុងសហភាពអឺរ៉ុប

​ ច្បាប់ស្តីពីការគ្រប់គ្រងប្រតិបត្តិការឌីជីថល, បទប្បញ្ញត្តិ (អឺរ៉ុប) 2022/2554 បានអនុវត្តចាប់តាំងពីខែមករាឆ្នាំ 17 ឆ្នាំ 2025 ។ វានាំមកនូវការគ្រប់គ្រងហានិភ័យ ICT ការរាយការណ៍ហេតុការណ៍ការសាកល្បងនិងហានិភ័យភាគីទីបីទៅក្នុងច្បាប់មួយសម្រាប់អង្គភាពហិរញ្ញវត្ថុភាគច្រើននៃសហភាពអឺរ៉ុបរួមទាំងធនាគារ។

តំបន់ DORA	តម្រូវការ​ចម្បង​សម្រាប់​ធនាគារ
ការគ្រប់គ្រងហានិភ័យ ICT	ក្របខ័ណ្ឌឯកសារដែលបានអនុម័តនិងត្រួតពិនិត្យដោយរាងកាយគ្រប់គ្រងដែលគ្របដណ្តប់ការកំណត់អត្តសញ្ញាណការការពារការរកឃើញការឆ្លើយតបនិងការស្តារឡើងវិញ
រាយការណ៍​ករណី	ព្រឹត្តិការណ៍សំខាន់ៗដែលទាក់ទងនឹងបច្ចេកវិទ្យាព័ត៌មាន និងទំនាក់ទំនងត្រូវរាយការណ៍ទៅអាជ្ញាធរដែលមានសមត្ថកិច្ចក្រោម មាត្រា 19 ដោយប្រើការចាត់ថ្នាក់និងពុម្ពដែលបានសម្រួល
ការ​សាកល្បង​ភាព​ធន់	កម្មវិធីសាកល្បងសម្រាប់អង្គភាពទាំងអស់; សម្រាប់អង្គភាពដែលបានកំណត់ដោយអាជ្ញាធរ, ការវាយប្រហារកម្រិតខ្ពស់នាំមុខការសាកល្បងចូលយ៉ាងហោចណាស់រៀងរាល់បីឆ្នាំលើប្រព័ន្ធផលិតកម្មរស់ក្រោម មាត្រា 26
ICT ហានិភ័យភាគីទីបី	យុទ្ធសាស្រ្តលើហានិភ័យរបស់ភាគីទីបីនៃបច្ចេកវិទ្យាព័ត៌មាន និងគមនាគមន៍ ការកំណត់អប្បបរមានៃកិច្ចសន្យានិងចុះបញ្ជីព័ត៌មានអំពីកិច្ចព្រមព្រៀងសេវាកម្មបច្ចេកវិទ្យាព័ត៌មាន និងគមនាគមន៍ទាំងអស់ក្រោម មាត្រា 28
ការ​ត្រួតពិនិត្យ​របស់​អ្នក​ផ្ដល់​សំខាន់	អាជ្ញាធរត្រួតពិនិត្យអឺរ៉ុបតែងតាំងអ្នកផ្ដល់សេវាភាគីទីបីសំខាន់ៗនិងត្រួតពិនិត្យពួកគេដោយផ្ទាល់ក្រោមមាត្រា 31

មាត្រា 28 បានចែងថា អង្គភាពហិរញ្ញវត្ថុដែលប្រើប្រាស់សេវា ICT “ត្រូវទទួលខុសត្រូវពេញលេញចំពោះការគោរព និងអនុវត្តតាមកាតព្វកិច្ចទាំងអស់” ក្រោម DORA និងច្បាប់ស្តីពីសេវាកម្មហិរញ្ញវត្ថុ។ បញ្ជីឈ្មោះនេះ ត្រូវធ្វើការបែងចែករវាងសេវាដែលគាំទ្រមុខងារសំខាន់ៗ ឬសំខាន់ៗ។ អង្គភាពត្រូវរាយការណ៍ជារៀងរាល់ឆ្នាំអំពីការរៀបចំថ្មី និងជូនដំណឹងដល់អាជ្ញាធរក្នុងពេលសមស្របអំពីកិច្ចសន្យាដែលបានគ្រោងទុកសម្រាប់មុខងារសំខាន់ៗឬសំខាន់ៗ។

DORA អនុវត្តនៅជាប់នឹង EBA គោលការណ៍ណែនាំ outsourcing ។ នៅក្នុងការប្រតិបត្តិធនាគាររក្សាទុកបញ្ជីមួយដែលពេញចិត្តទាំងពីរ។

សុវត្ថិភាពអ៊ីនធឺណិត

ឥឡូវនេះហានិភ័យអ៊ីនធឺណិតគឺជាផ្នែកមួយនៃការត្រួតពិនិត្យប្រុងប្រយ័ត្ន។ អ្នកត្រួតពិនិត្យរំពឹងថាធនាគារនឹងដឹងទ្រព្យសម្បត្តិព័ត៌មានរបស់ខ្លួនការពារពួកគេក្នុងសមាមាត្រទៅនឹងភាពសំខាន់របស់ពួកគេរកមើលការវាយប្រហារយ៉ាងឆាប់រហ័សនិងស្តារសេវាសំខាន់នៅក្នុងការអត់ធ្មត់ដែលបានកំណត់។

Key controls usually include:

1. ការគ្រប់គ្រងអត្តសញ្ញាណនិងចូលដំណើរការរឹងមាំជាមួយនឹងការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវច្រើនកត្តានិងការត្រួតពិនិត្យសិទ្ធិចូលដំណើរការ។
2. ការ​អភិវឌ្ឍ​កម្មវិធី​សុវត្ថិភាព និង​ការ​គ្រប់គ្រង​ការ​ផ្លាស់ប្ដូរ រួមទាំង​សម្រាប់​ការ​ចេញផ្សាយ​របស់​អ្នក​លក់ ។
3. Encryption of data in transit and at rest, and key management that the bank controls.
4. ការត្រួតពិនិត្យបន្តនិងសមត្ថភាពប្រតិបត្តិការសុវត្ថិភាពនៅក្នុងផ្ទះឬខាងក្រៅ។
5. ការ​គ្រប់គ្រង​ភាព​ងាយ​រងគ្រោះ និង​ការ​សាកល្បង​ចូល​ជានិច្ច ។
6. Backups that are isolated from the production environment and tested for restoration.
7. ផែនការឆ្លើយតបករណីដែលគ្របដណ្តប់ការជូនដំណឹងនិងការទំនាក់ទំនងអតិថិជន។

ការត្រួតពិនិត្យការលួចបន្លំភ្ជាប់បណ្តាញនិងការទូទាត់។ ការផ្ទៀងផ្ទាត់អ្នកទទួលការវិភាគឥរិយាបថនិងការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវរបស់អតិថិជនរឹងមាំការពារអតិថិជនខណៈពេលដែលការទូទាត់ក្លាយជាបន្ទាន់និងមិនអាចដកហូតបាន។

របាយការណ៍ស្តង់ដារ

ធនាគាររាយការណ៍បរិមាណធំនៃទិន្នន័យទៅអ្នកត្រួតពិនិត្យនិងធនាគារកណ្តាល។ នៅក្នុងសហភាពអឺរ៉ុប មាត្រា 430 នៃ CRR ទាមទារឱ្យស្ថាប័នរាយការណ៍អំពីតម្រូវការមូលនិធិផ្ទាល់ខ្លួនរួមទាំងសមាមាត្រការជំរុញការបង្ហាញធំតម្រូវការលុយកាក់ការដាក់ទណ្ឌកម្មទ្រព្យសម្បត្តិនិងការបង្ហាញ ESG ក្នុងចំណោមធាតុផ្សេងទៀតហើយស្ថាប័នមួយចំនួនក៏ត្រូវរាយការណ៍ព័ត៌មានហិរញ្ញវត្ថុផងដែរ។ ធនាគារកណ្តាលបន្ថែមរបាយការណ៍ស្ថិតិនិងឯកតាព័ត៌មានហិរញ្ញវត្ថុទទួលបានរបាយការណ៍ប្រតិបត្តិការសង្ស័យ។

Reports are only as good as the data behind them.The chain from core system to regulator usually runs:

1. Source data in the core system and other operational systems.
2. A data warehouse or reporting layer with reconciliation to the general ledger.
3. A regulatory reporting engine that maps data to supervisory templates and validation rules.
4. ពិនិត្យឡើងវិញនិងចុះហត្ថលេខាដោយហិរញ្ញវត្ថុនិងហានិភ័យជាមួយនឹងការត្រួតពិនិត្យដែលបានចុះបញ្ជី។
5. ការដាក់ស្នើតាមរយៈច្រកចូលឬទ្រង់ទ្រាយរបស់អ្នកគ្រប់គ្រង.

កំហុសក្នុងការរាយការណ៍អាចនាំទៅរកការរកឃើញនិងការត្រួតពិនិត្យ, កន្លែងដែលពួកគេបំភាន់អ្នកគ្រប់គ្រង, ការអនុវត្ត. ធនាគារថ្មីជាញឹកញាប់អាក់អន់ចិត្តការងារនៃការផ្គូផ្គងទិន្នន័យផលិតផលដើម្បីរាយការណ៍ពុម្ពមុនពេលចាប់ផ្តើម។

អ្វី​ដែល​អ្នក​ត្រួតពិនិត្យ​មើល​ក្នុង​កម្មវិធី​អាជ្ញាប័ណ្ណ

1. ស្ថាបត្យកម្ម​គោលដៅ​ច្បាស់លាស់ ជាមួយ​នឹង​ប្រព័ន្ធ​នីមួយៗ ម្ចាស់​របស់​វា អ្នក​ផ្ដល់​របស់​វា និង​ទីតាំង​របស់​វា ។
2. ផែនទីអនុគមន៍សំខាន់ឬសំខាន់, បង្ហាញថាតើអនុគមន៍ត្រូវបាន outsourced និងទៅនរណា។
3. ផែនការចាកចេញសម្រាប់អ្នកផ្ដល់សេវាសំខាន់ៗនីមួយៗ, ពិតប្រាកដនៅក្នុងពេលវេលានិងតម្លៃ។
4. ទីតាំងទិន្នន័យនិងចូលដំណើរការ, រួមទាំងសម្រាប់អ្នកត្រួតពិនិត្យនិងអាជ្ញាធរវិនិច្ឆ័យ។
5. ការសាកល្បងភាពធន់ទ្រាំ, ជាមួយនឹងពេលវេលានៃការស្តារឡើងវិញដែលផ្គូផ្គងការសន្យាសេវាកម្មផែនការអាជីវកម្ម។
6. ភស្តុតាងនៃការត្រៀមខ្លួនជាស្រេច, ដូចជាការសាកល្បងចុងបញ្ចប់ទៅចុងបញ្ចប់, ការបណ្តុះបណ្តាលនិងការទទួលយកប្រតិបត្តិការអន្តោប្រវេសន៍។

មគ្គុទ្ទេសក៍របស់ ECB ទៅ fintech ធនាគារអាជ្ញាប័ណ្ណ សួរអ្នកដាក់ពាក្យសុំដើម្បីពិចារណាផែនការចាកចេញសម្រាប់ការបញ្ឈប់ប្រតិបត្តិការនៅក្នុងរបៀបដែលមានលំដាប់និង solvent, ដោយគ្មានការប៉ះពាល់ដល់អតិថិជនឬទាមទារឱ្យមានការចូលរួមពីអាជ្ញាធរ.

អត្ថបទបន្ទាប់ពន្យល់ពីរថភ្លើងការទូទាត់ដែលប្រព័ន្ធគោលតភ្ជាប់ទៅ: គ្រោងការណ៍កាត, SEPA, ការទូទាត់ភ្លាមៗនិងពេលវេលាពិតប្រាកដនៃការដោះស្រាយសរុប។