Pagrindinė bankininkystė, debesijos paslaugos, užsakomosios paslaugos ir technologijų reguliavimas

Bankas – tai pažadų rinkinys, įrašytas didelėje knygoje. Jeigu didžioji knyga yra neteisinga, nepasiekiama arba pažeidžiama, bankas negali žinoti, kiek jis skolingas savo klientams, sumokėti jiems ar pranešti savo priežiūros institucijai. Dėl šios priežasties reguliuotojai dabar taip pat atidžiai kaip kapitalo planus nagrinėja technologijų architektūrą, užsakomųjų paslaugų teikimą ir kibernetinį atsparumą.

Kas yra pagrindinė bankų sistema?

Pagrindinė bankininkystės sistema yra įrašų didžioji knyga, kurioje saugomi klientų ir sąskaitų duomenys, užregistruojamos visos operacijos, apskaičiuojamos palūkanos ir mokesčiai bei sukuriami likučiai, nuo kurių priklauso visa kita.

Tipiškos funkcijos apima:

Funkcija	Ką tai apima
Klientų ir sąskaitų valdymas	Klientų įrašai, sąskaitos atidarymas, produkto sąlygos, sąskaitos būsena
Didžioji knyga ir įrašymas	Debeto ir kredito įrašymas realiuoju laiku arba paketu, bendrosios knygos duomenų perdavimas
Indėliai	Einamosios, taupomosios ir terminuotosios sąskaitos, sukauptos palūkanos ir kapitalizacija
Skolinimas	Paskolos išdavimo sąsajos, grafikai, grąžinimai, įsiskolinimai, aprūpinimo kanalai
Mokėjimų sąsajos	Ryšiai su mokėjimų centrais, kortelių tvarkytojais ir korespondentų sąskaitomis
Produkto konfigūracija	Tarifai, mokesčiai, ribos ir taisyklės be kodo pakeitimų
Duomenys ir ataskaitos	Išrašai finansų, rizikos, reguliavimo ataskaitoms ir AML stebėsenai

Aplink branduolį yra kitos sistemos: skaitmeniniai kanalai, mokėjimų centras, kortelių valdymas, klientų priėmimas ir tapatybės patvirtinimas, sankcijų tikrinimas, operacijų stebėjimas, iždas, finansai ir reguliavimo ataskaitų variklis.

Architektūros pasirinkimas

Nauji bankai paprastai renkasi vieną iš trijų modelių.

1. Licencijuota programinė įranga, kurią talpina bankas arba paslaugų teikėjas. Bankas kontroliuoja konfigūraciją ir duomenis, tačiau prisiima integracijos naštą.
2. Programinė įranga kaip paslauga debesų platformoje. Greičiau pradėti, bet bankas priklauso nuo pardavėjo plano ir atsparumo, o susitarimas yra užsakomasis.
3. Bankininkystė kaip paslauga iš kitos licencijuotos įstaigos. Greičiausias kelias, tačiau gali kilti klausimas, ar naujasis bankas turi pakankamai savo esmės.

Priežiūros institucijos nenurodo modelio, bet vertina, ar bankas supranta ir kontroliuoja pasirinktą modelį.

Užsakomųjų paslaugų taisyklės

Užsakomosios paslaugos reiškia, kad paslaugų teikėjas vykdo procesą, paslaugą ar veiklą, kurią bankas kitaip atliktų pats. ES EBA 2019 m. rugsėjo 30 d. įsigaliojo EBA/GL/2019/02) Gairės dėl užsakomųjų paslaugų susitarimų, pakeičiančios ankstesnes gaires, įskaitant EBA atskirą rekomendaciją dėl užsakomųjų paslaugų teikimo debesijos paslaugų teikėjams.

Pagrindinis principas yra tas, kad atsakomybės negalima perduoti trečiosioms šalims. Valdymo organas lieka atsakingas už visas perduotas funkcijas, o institucijos „visada turėtų išlaikyti pakankamą turinį ir netapti tuščiais apvalkalais arba pašto dėžutės subjektais“.

Kritinės arba svarbios funkcijos

Gairėse griežtesni reikalavimai taikomi, kai užsakomosios funkcijos yra ypatingos arba svarbios, t. y. jeigu jos nevykdytų, iš esmės būtų pakenkta atitikčiai, finansiniams rezultatams ar tęstinumui.

1. Prieš sudarant sutartį atlikite rizikos vertinimą ir išsamų paslaugų teikėjo patikrinimą.
2. Įtraukiamos sutartinės banko ir kompetentingos institucijos teisės susipažinti, gauti informaciją ir atlikti auditą.
3. Subrangos kontrolė, įskaitant pranešimą ir teisę prieštarauti arba nutraukti.
4. Nustatykite duomenų saugumo, vietos ir konfidencialumo reikalavimus.
5. Turite dokumentuotų ir išbandytų pasitraukimo strategijų.
6. Iš anksto informuoti kompetentingą instituciją apie planuojamus ypatingos svarbos arba svarbius užsakomuosius darbus.

Visi susitarimai turi būti įrašomi banko tvarkomame užsakomųjų paslaugų registre.

Už ES ribų

Panašios taisyklės taikomos ir kitur. Jungtinėje Karalystėje PRA Priežiūros pareiškimas SS2/21 2021 m. kovo mėn. paskelbtas ir nuo 2022 m. kovo 31 d. įsigaliosiantis naujas vadovas dėl užsakomųjų paslaugų ir trečiosios šalies rizikos valdymo apima reikšmingumą, duomenų saugumą, debesį ir pasitraukimo planavimą. PRA apibūdina jį kaip skirtą palengvinti „didesnį atsparumą ir debesijos bei kitų naujų technologijų priėmimą“.

Singapūre, MAS Technologinės rizikos valdymo gairės, paskelbtame 2021 m. sausio 18 d., nustatyti technologinės rizikos valdymo, IT ir kibernetinio atsparumo principai, papildyti privalomu pranešimu ir pranešimo apie incidentus instrukcijomis.

DORA: skaitmeninis veiklos atsparumas ES

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. Juo IRT rizikos valdymas, pranešimas apie incidentus, testavimas ir trečiųjų šalių rizika sujungiami į vieną reglamentą daugumai ES finansinių subjektų, įskaitant bankus.

DORA srityje	Pagrindinis reikalavimas bankams
IKT rizikos valdymas	Dokumentuota sistema, kurią patvirtina ir prižiūri valdymo organas ir kuri apima identifikavimą, apsaugą, nustatymą, reagavimą ir atkūrimą
Pranešti apie incidentą	Apie didelius su IRT susijusius incidentus turi būti pranešama kompetentingai institucijai pagal 19 straipsnį, naudojant suderintą klasifikaciją ir šablonus
Atsparumo testavimas	Visų subjektų testavimo programa; valdžios institucijų nustatytiems subjektams bent kas trejus metus pagal 26 straipsnį atliekamas pažangus įsiskverbimo į aktyvias gamybos sistemas bandymas, pagrįstas grėsmėmis
IKT trečiosios šalies rizika	Trečiųjų šalių rizikos IRT srityje strategija, minimalūs sutarčių reikalavimai ir informacijos apie visas IRT paslaugų sutartis pagal 28 straipsnis
Ypatingos svarbos paslaugų teikėjų priežiūra	Europos priežiūros institucijos paskiria ypatingos svarbos trečiųjų šalių IRT paslaugų teikėjus ir tiesiogiai juos prižiūri pagal 31 straipsnį.

28 straipsnyje nurodyta, kad IRT paslaugomis besinaudojantys finansų subjektai „visą laiką lieka visiškai atsakingi už visų įsipareigojimų vykdymą“ pagal DORA ir Finansinių paslaugų įstatymą. Registre turi būti atskirtos ypatingos svarbos arba svarbias funkcijas palaikančios paslaugos, o subjektai privalo kasmet teikti ataskaitas apie naujus susitarimus ir laiku informuoti instituciją apie planuojamas sutartis dėl ypatingos svarbos ar svarbių funkcijų.

DORA taikomas kartu su EBA užsakomųjų paslaugų teikimo gairėmis. Praktiškai bankai turi vieną inventorių, atitinkantį abu reikalavimus.

Kibernetinis saugumas

Priežiūros institucijos tikisi, kad bankas žinos savo informacinį turtą, jį apsaugos proporcingai jo svarbai, greitai aptiks išpuolius ir atkurs ypatingos svarbos paslaugas laikydamasis nustatytų leistinų nukrypimų.

Pagrindiniai valdikliai paprastai apima:

1. Tvirtas tapatybės ir prieigos valdymas su kelių veiksnių autentifikavimu ir privilegijuotos prieigos valdikliais.
2. Apsaugokite programinės įrangos kūrimą ir pakeitimų valdymą, įskaitant tiekėjų leidimus.
3. Duomenų šifravimas persiunčiant ir nepersiunčiant bei raktų valdymas, kurį kontroliuoja bankas.
4. Nuolatinis stebėjimas ir saugumo operacijų pajėgumas, vidaus ar išorės.
5. Pažeidžiamumo valdymas ir reguliarūs įsiskverbimo testai.
6. Atsarginės kopijos, izoliuotos nuo gamybinės aplinkos ir išbandytos atkūrimui.
7. Reagavimo į incidentus planai, apimantys pranešimus reguliavimo institucijoms ir ryšius su klientais.

Mokėjimo gavėjo patvirtinimas, elgsenos analizė ir griežtas kliento autentifikavimas apsaugo klientus, nes mokėjimai tampa momentiniai ir neatšaukiami.

Reguliacinė atskaitomybė

Priežiūros institucijoms ir centriniams bankams bankai teikia daug duomenų. ES 430 straipsnis CRR reikalauja, kad įstaigos teiktų ataskaitas apie nuosavų lėšų reikalavimus, įskaitant sverto koeficientą, dideles pozicijas, likvidumo reikalavimus, turto apsunkinimą ir ESG pozicijas bei kitus elementus. Kai kurios įstaigos taip pat privalo teikti finansinę informaciją. Centriniai bankai papildomai teikia statistinę informaciją, o finansinės žvalgybos padaliniai gauna pranešimus apie įtartinus sandorius;

Ataskaitos yra tik tokios geros, kokie yra už jų esantys duomenys.Grandinė nuo pagrindinės sistemos iki reguliatoriaus paprastai eina taip:

1. Šaltinio duomenys pagrindinėje sistemoje ir kitose operacinėse sistemose.
2. Duomenų saugykla arba ataskaitų teikimo sluoksnis su suderinimu su pagrindine knyga.
3. Reguliavimo ataskaitų teikimo variklis, kuris susieja duomenis su priežiūros šablonais ir patvirtinimo taisyklėmis.
4. Peržiūra ir patvirtinimas pagal finansus ir riziką, su dokumentuotais kontrolės būdais.
5. Pateikimas per reguliavimo institucijos portalą arba formatu.

Nauji bankai dažnai nepakankamai įvertina, kiek darbo reikia atlikti prieš pradedant teikti paslaugas, kad produktų duomenys būtų suderinti su ataskaitų šablonais.

Ko priežiūros institucijos ieško paraiškoje išduoti licenciją

1. Aiški tikslinė architektūra, su kiekviena sistema, jos savininku, tiekėju ir vieta.
2. Kritinių ar svarbių funkcijų žemėlapis, rodantis, kurios funkcijos yra perduodamos ir kam.
3. Pasitraukimo planai kiekvienam svarbiam paslaugų teikėjui, realistiškas laiko ir sąnaudų atžvilgiu.
4. Duomenų buvimo vieta ir prieiga, įskaitant priežiūros ir pertvarkymo institucijos prieigą.
5. Išbandytas atsparumas, su atkūrimo laikais, atitinkančiais verslo plano paslaugų pažadus.
6. Parengties įrodymai, pvz., visiškas testavimas, perėjimo repeticija ir priėmimas eksploatuoti.

ECBFinTech bankų licencijavimo vadove prašoma pareiškėjų apsvarstyti planą, kaip tvarkingai ir mokumo požiūriu nutraukti veiklą nepakenkiant vartotojams ar nereikalaujant reguliavimo institucijos įsikišimo. Technologijų pasirinkimas lemia tokio plano patikimumą: duomenys turi būti atkuriami, sąskaitos perkeliamos, o mokėjimai gali būti sustabdyti švariai.

Kitame straipsnyje paaiškinami mokėjimo bėgiai, prie kurių jungiasi pagrindinė sistema: kortelių schemos, SEPA, momentiniai mokėjimai ir realaus laiko bruto atsiskaitymas.