Banken, Finanzinstituter, Technologiefirmen, etc.

Eng Bank ass e Set vu Versprieche, déi an engem Buch geschriwwe sinn. Wann d'Buch falsch ass, net verfügbar oder kompromittéiert ass, kann d'Bank net wëssen wat se schëllegt, hir Clienten bezuelen oder hirem Supervisor Bericht maachen. Aus dësem Grond ënnersichen d'Regulatoren haut Technologiearchitektur, Outsourcing a Cyber-Resilienz sou genau wéi Kapitalpläng.

Den Haaptuert ass Banon.

D'Basisbanksystem ass d'Groussbuch. Et enthält Clients- a Kontdaten, verëffentlecht all Transaktioun, berechent Zinsen a Kommissioune an erstellt de Saldo, op deen alles aner ofhängeg ass.

Lëtzebuerg

Lëtzebuergesch Sprooch	Places à visiter
Client- a Kontmanagement	Lëscht vu lëtzebuergeschen Auteuren, Literaturwëssenschaftler, Schrëftsteller a Politiker
Lëtzebuerg	Echtzäit oder Batch Buchung vun Debit- a Kreditkaart, allgemeng Ledger Feeds
Déngschtleeschtungen	Et gëtt och nach d'Konten, d'Sparkonten an d'Kapitalkonten.
Lëtzebuerg	D'Resultat ass eng Verbindung vu Präisser, Käschte, Recetten a Verloschter.
Lëtzebuerger Sprooch	Verbindunge mat Bezuelungszentren, Kaartprozessoren a Korrespondentkonten
Produktkonfiguratioun	D'Reegelen, d'Konditiounen, d'Bedéngungen an d'Reegele vum Spill sinn net ännerbar.
Informatioun a Kommunikatioun	D'Resultat ass e Risiko-, Finanz- an Effizienzbericht. AML Monitoring

Et gëtt verschidden Aarte vu Finanztransaktiounen, wéi z. B. Banktransaktiounen, Kreditttransaktiounen, Verméigenstransaktiounen, Immobilientransaktioune, Investitiounstransaktiounen, Handelstransaktiounen, an och Transaktiounen tëscht Privatpersounen a Firmen.

Lëtzebuerger Sprooch

New banks usually choose between three models.

1. D'Lizenz gëtt vun der Bank oder dem Provider verginn. D'Bank kontrolléiert och d'Konfiguratioun an d'Daten, awer huet d'Integratiounsbelaaschtung.
2. D'Software ass als Service op enger Cloud-Plattform verfügbar. D'Banken, déi sech op d'Verkafs- an d'Investitiounsstrategie konzentréieren, ginn och als Outsourcing-Banken bezeechent.
3. D'Bank ass eng vun de gréisste Banken an der Welt. Et kann ee sech awer och froen, ob d'Banken net méi esou vill Suen ausginn.

D'Supervisoren schreiwen net e Modell vir. Si bewäerten, ob d'Bank de Modell, deen se ausgewielt huet, verstanen a kontrolléiert.

Lëtzebuergesch Sprooch

D'Banken hunn d'Méiglechkeet, hir Servicer un eng aner Bank ze verkafen oder ze outsourcen. EBA Lëscht vun de lëtzebuergesche Gemengen (EBA/GL/2019/02) ass den 30. September 2019 a Kraaft getrueden an ersetzt déi vireg Richtlinnen, dorënner d' EBAD'Aarbechtsplazen an d'Servicer sinn op der Insel verdeelt.

D'Zentrale Prinzip ass, datt Verantwortung kann net outsourced ginn. De Verwaltungsorgan bleift verantwortlech fir all Outsourced Funktioun. Institutiounen "sollt zu all Moment genuch Substanz halen an net 'leeg Schalen' oder 'Briefkastenentitéiten' ginn".

Kritesch oder wichteg Funktiounen

D'Richtlinnen applizéieren strenger Ufuerderunge wann d'outsourced Funktioun ass kritesch oder wichteg, dat heescht e Feeler géif materiell verstäerkt Compliance, finanziell Performance oder Kontinuitéit. Fir sou Funktiounen, déi Bank sollt:

1. Et gëtt och e Risiko, datt d'Produktioun net méi funktionnéiert.
2. D'Banken hunn och d'Recht, Informatiounen iwwer d'Aarbecht vun der Bank ze froen.
3. D'Recht op Informatioun, d'Recht op Opklärung an d'Recht op Reparatur oder Austausch.
4. D'Informatiounen, d'Daten an d'Informatioune ginn dofir geschützt.
5. Et gëtt och e Programm fir Experimenter.
6. D'Aarbecht vun der Kommissioun besteet doran, d'Konsequenzen vun enger geplangter oder geplangter Explosioun ze bestëmmen.

All d'Informatiounen, déi an der Bank registréiert sinn, ginn un d'Bank weidergeleet.

Ausserhalb der EU

Am Vereenegte Kinnekräich, PRA Supervisory Statement SS2/21 iwwer Outsourcing an drëtt Partei Risikomanagement, verëffentlecht am Mäerz 2021 a gëlteg vum 31. Mäerz 2022, deckt Materialitéit, Datensécherheet, Cloud an Exit Planung. D'PRA beschreift et als geduecht fir "méi Resilienz an Adoptatioun vun der Cloud an aner nei Technologien" ze erliichteren.

In Singapore, the MAS Technology Risk Management Guidelines, published on 18 January 2021, set principles for technology risk governance, IT and cyber resilience, and are supplemented by a binding notice and incident reporting instructions.

DORA: digital operational resilience in the EU

D' Lëscht vu lëtzebuergesche Politiker, Verordnung (EU) 2022/2554, gëllt zanter dem 17. Januar 2025 an bréngt d'IKT-Risikomanagement, Incident Reporting, Testen a Risiken vun Drëttparteien an eng Verordnung fir déi meescht EU Finanzinstituter, dorënner Banken.

Dorra la Vella	Lëscht vun de Banken
Lëscht vun de wëssenschaftleche Risiken	D'Aarbecht vun der Kommissioun besteet doran, d'Konformitéit mat de Recommandatiounen ze iwwerwaachen, z'ënnersichen, ze bewerten an z'iwwerpréiwen.
Informatiouns- a Kommunikatiounstechnologie	Grouss IKT-bezéiend Incidenter mussen der zoustänneger Autoritéit ënner Artikel 19 gemellt ginn, andeems harmoniséiert Klassifikatioun a Templates benotzt ginn.
Resistance Testing	E Testprogramm fir all Entitéiten; for entities identified by authorities, advanced threat-led penetration testing at least every three years on live production systems under Article 26
ICT third-party risk	D'Informatiounstechnologie (IT) ass d'Technologie, déi Informatiounen iwwer all Aspekter vun der Gesellschaft bitt. Artikel 28
Lëscht vu lëtzebuergesche Kritiker	The European Supervisory Authorities designate critical ICT third-party service providers and oversee them directly under Article 31

Den Artikel 28 seet, datt d'Finanzinstituter, déi IKT-Servicer benotzen, "zu all Moment voll verantwortlech fir d'Konformitéit mat an d'Erfëllung vun allen Verpflichtungen" bleiwen. DORA D'Register muss Servicer ënnerscheeden, déi kritesch oder wichteg Funktiounen ënnerstëtzen. Entitéite mussen all Joer iwwer nei Arrangementer berichten an d'Autoritéit rechtzäiteg iwwer geplangte Kontrakter fir kritesch oder wichteg Funktioune informéieren.

DORA gëllt nieft dem EBA Outsourcing Guidelines. In practice, banks maintain one inventory that satisfies both.

Cyber-Security

D'Cyber-Risiko ass elo Deel vun der prudentieller Supervisiounen. Supervisoren erwaarden, datt eng Bank hir Informatiounsressourcen kennt, se proportional zu hirer Kritizitéit schützt, Attacken séier opdeckt an kritisch Servicer an definéierte Toleranzen zréckkënnt.

D'Kontrollkontrollen enthalen normalerweis:

1. Et gëtt och e System fir d'Verwaltung vun de Privilegien an den Autorisatiounen.
2. D'Software gëtt och fir d'Produktioun vun Audio- a Videodateien benotzt.
3. D'Banken an d'Finanzinstituter hunn och eng wichteg Roll bei der Kontroll vun de Finanzmäert.
4. Et gëtt och nach eng Rei aner Aktivitéiten, déi intern oder extern organiséiert ginn.
5. Et gëtt och e regelméissege Fluchverbuet.
6. D'Produktioun vun dësem Material gëtt och als Recycling bezeechent.
7. D'Resultat vun dësem Prozess ass d'Notifikatioun an d'Kommunikatioun.

D'Aarbecht vun der Bank besteet doran, de Client ze schützen an d'Vertrauen tëschent dem Client an der Bank opzebauen.

Lëscht vun de Reglementer

D'Banken bericht grouss Quantitéite vu Daten un d'Supervisoren an Zentralbanken. An der EU, Artikel 430 vum CRR verlaangt vun den Institutiounen, Berichter iwwer d'Eegenkapital Ufuerderunge mat dorënner de Leverage Ratio, grouss Exposiounen, Liquiditéitsbedürfnisser, Asset Belaaschtung a ESG Exposiounen, ënner anerem Elementer, an e puer Institutiounen mussen och finanziell Informatioune mellen. Zentralbanken addéieren statistische Reportage, a Finanzintelligenz-Einheiten kréien verdächteg Transaktiounsrapporten.

Berichter sinn nëmmen esou gutt wéi d'Donnéeën hannert hinnen. D'Kette vum Kernsystem zum Regler leeft normalerweis:

1. D'Daten an der Basis sinn och fir aner Systemer zougänglech.
2. D'Informatioune ginn an enger Datebank gelagert, déi op der Internetsäit vun der Gemeng publizéiert gëtt.
3. D'Resultater vun der Fuerschung ginn an engem Reportage publizéiert.
4. Et gëtt och e System fir d'Finanzkontroll an de Risikomanagement.
5. D'Resultat ass eng Formel oder e Formulaire.

D'Resultater vun der Ëmfro goufen an engem Rapport publizéiert, deen d'Resultater vun der Ëmfro mat de Resultater vun der Ëmfro verglach huet.

Wat Supervisoren an enger Lizenz-Applikatioun sichen

1. Lëscht vu lëtzebuergeschen Architekten, mat all System, sengem Besëtzer, sengem Provider an senger Plaz.
2. Eng kritisch oder wichteg Funktionskaart, ze weisen, wéi eng Funktiounen outsourced sinn a fir wien.
3. Plang verloossen D'Resultat ass e realistescht Bild vun der Realitéit, wat Zäit an Energie ugeet.
4. Datei-Standort a Zugang, och fir d'Aufsichts- a Resolutiounsbehörde.
5. D'Resistenz gëtt getest.D'Resultater vun de Wahle ginn an engem Budgetsplang festgehale.
6. Lëscht vun den AsteroidenEt gëtt och nach d'End-to-End Testing, Migratiounsprouf an Operational Acceptance.

The ECB’s guide to fintech bank licensing asks applicants to consider an exit plan for ceasing operations in an orderly and solvent manner, without harming consumers or requiring regulatory intervention. D'Technologie ass dofir noutwenneg, fir datt d'Informatioune kënnen iwwerdroen, gesammelt an analyséiert ginn.

De folgenden Artikel beschreift d'Reegelen, déi fir d'Ausféierung vun de verschiddenen Aktivitéiten gëllen. SEPAEt gëtt och e Verméigens- an e Verloschtverhältnes.