Galvenie banku pakalpojumi, mākonis, ārpakalpojumi un tehnoloģiju regulējums

Banka ir solījumu kopums, kas ierakstīts galvenajā grāmatā. Ja galvenā grāmata ir nepareiza, nepieejama vai apdraudēta, banka nevar zināt, ko tā ir parādā saviem klientiem, veikt maksājumus vai ziņot uzraudzības iestādei.Šī iemesla dēļ regulatori tagad pārbauda tehnoloģiju arhitektūru, ārpakalpojumus un kibernoturību tikpat rūpīgi kā kapitāla plānus.

Kā darbojas banku sistēmas pamatstruktūra

Banku pamatsistēma ir uzskaites grāmata, kurā tiek glabāti klientu un kontu dati, reģistrēti visi darījumi, aprēķināti procenti un maksas, kā arī izveidoti bilances, no kurām ir atkarīgs viss pārējais.

Tipiskas funkcijas ietver:

Funkcija	Ko tas ietver
Klientu un kontu pārvaldība	Klientu dati, konta atvēršana, produktu noteikumi, konta statuss
Lielgrāmata un ierakstīšana	Debetu un kredītu ierakstīšana reāllaikā vai partijās, galvenās grāmatas plūsmas
Noguldījumi	Norēķinu, uzkrājumu un termiņnoguldījumu konti, procentu uzkrājumi un kapitalizācija
Aizdošana	Aizdevumu izsniegšanas interfeisi, grafiki, atmaksas, kavējumi, provīziju plūsmas
Maksājumu saskarnes	Savienojumi ar maksājumu centriem, karšu apstrādātājiem un korespondenta kontiem
Produkta konfigurācija	Tarifi, maksas, limiti un noteikumi bez kodu izmaiņām
Dati un pārskati	Izraksti finanšu, riska un normatīvo aktu pārskatiem un AML uzraudzībai

Ap pamatsistēmu atrodas citas sistēmas: digitālie kanāli, maksājumu centrs, karšu pārvaldība, klientu uzņemšana un identitātes pārbaude, sankciju pārbaude, darījumu uzraudzība, kases, finanšu un regulatīvās atskaites dzinējs.

Arhitektūras izvēle

Jaunās bankas parasti izvēlas kādu no trim modeļiem.

1. Licencēta programmatūra, kuru uztur banka vai pakalpojumu sniedzējs. Banka kontrolē konfigurāciju un datus, bet uzņemas integrācijas slogu.
2. Programmatūra kā pakalpojums uz mākoņa platformas. Ātrāk uzsākt, bet banka ir atkarīga no pārdevēja ceļveža un elastības, un vienošanās ir ārpakalpojumi.
3. Banku pakalpojumi no citas licencētas iestādes. Ātrākais ceļš, bet tas var radīt jautājumu, vai jaunajai bankai ir pietiekami daudz pašas būtības.

Uzraudzības iestādes nenosaka modeli, bet novērtē, vai banka izprot un kontrolē izvēlēto modeli.

Ārpakalpojumu noteikumi

Ārpakalpojumu sniegšana nozīmē to, ka pakalpojumu sniedzējs veic procesu, pakalpojumu vai darbību, ko banka citādi veiktu pati. Eiropas Savienībā 2019. gada 30. septembrī stājās spēkā EBA Pamatnostādnes par ārpakalpojumiem (EBA/GL/2019/02), kas aizstāja iepriekšējās pamatnostādnes, tostarp atsevišķo EBA ieteikumu par ārpakalpojumu sniegšanu mākoņpakalpojumu sniedzējiem.

Galvenais princips ir tāds, ka atbildību nevar uzticēt ārpakalpojumu sniedzējiem. Vadības struktūra joprojām ir atbildīga par visām uzticētajām funkcijām, un iestādēm “vienmēr būtu jāsaglabā pietiekams saturs un tās nedrīkstētu kļūt par “tukšām čaumalām” vai “pastkastes vienībām”.

Kritiskas vai svarīgas funkcijas

Pamatnostādnes piemēro stingrākas prasības, ja ārpakalpojuma funkcija ir kritiska vai svarīga, t.i., tās neveiksme būtiski ietekmētu atbilstību, finanšu rezultātus vai nepārtrauktību.

1. Pirms līguma noslēgšanas veiciet riska novērtējumu un padziļinātu izpēti par pakalpojumu sniedzēju.
2. Ietver līgumā noteiktas piekļuves, informācijas un revīzijas tiesības bankai un kompetentajai iestādei.
3. Apakšuzņēmumu kontrole, tostarp paziņošana un tiesības iebilst vai izbeigt.
4. Noteikt datu drošības, atrašanās vietas un konfidencialitātes prasības.
5. Ir dokumentētas un pārbaudītas izejas stratēģijas.
6. Iepriekš informē kompetento iestādi par plānotu kritiski svarīgu vai nozīmīgu ārpakalpojumu izmantošanu.

Visas vienošanās ir jāreģistrē ārpakalpojumu reģistrā, ko uztur banka.

Ārpus ES

Līdzīgi noteikumi ir spēkā arī citur. Apvienotajā Karalistē PRA Uzraudzības paziņojums SS2/21 2021. gada martā publicētais un no 2022. gada 31. marta spēkā esošais Eiropas Komisijas paziņojums par ārpakalpojumiem un trešo pušu risku pārvaldību aptver būtiskumu, datu drošību, mākoņpakalpojumu izmantošanu un izejas plānošanu. PRA apraksta to kā paredzētu, lai veicinātu “lielāku noturību un mākoņa un citu jauno tehnoloģiju pieņemšanu”.

Singapūrā, MAS Tehnoloģiju riska pārvaldības vadlīnijas, kas publicēts 2021. gada 18. janvārī, nosaka principus tehnoloģiju riska pārvaldībai, IT un kibernoturībai, un to papildina saistošs paziņojums un norādījumi par incidentu ziņošanu.

DORA: digitālā operatīvā noturība ES

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. Ar to IKT riska pārvaldība, ziņošana par incidentiem, testēšana un trešo personu risks tiek apvienoti vienā regulā lielākajai daļai ES finanšu iestāžu, tostarp bankām.

DORA zona	Pamatprasība bankām
IKT riska pārvaldība	Dokumentēta sistēma, ko apstiprinājusi un pārrauga vadības struktūra un kas attiecas uz identifikāciju, aizsardzību, atklāšanu, reaģēšanu un atjaunošanu
Ziņošana par incidentu	Par būtiskiem ar IKT saistītiem incidentiem jāziņo kompetentajai iestādei saskaņā ar: 19. pants, izmantojot saskaņoto klasifikāciju un veidnes
Resilience testēšana	Visu vienību testēšanas programma; iestāžu identificētām vienībām vismaz reizi trijos gados saskaņā ar 26. pantu jāveic uzlabota uz draudiem balstīta ielaušanās testēšana aktīvās ražošanas sistēmās
ICT trešās puses risks	Stratēģija attiecībā uz IKT trešo personu risku, līgumiskais minimums un informācijas reģistrs par visiem IKT pakalpojumu līgumiem saskaņā ar 28. pants
Kritiski svarīgo pakalpojumu sniedzēju uzraudzība	Eiropas uzraudzības iestādes izraugās kritiski svarīgus trešo personu IKT pakalpojumu sniedzējus un veic to tiešu uzraudzību saskaņā ar 31. pantu

28. pantā noteikts, ka finanšu iestādes, kas izmanto IKT pakalpojumus, “vienmēr ir pilnībā atbildīgas par visu pienākumu izpildi” saskaņā ar DORA un finanšu pakalpojumu likumu. Reģistrā jānošķir pakalpojumi, kas atbalsta kritiskas vai svarīgas funkcijas. Iestādēm katru gadu jāziņo par jauniem pasākumiem un savlaicīgi jāinformē iestāde par plānotajiem līgumiem attiecībā uz kritiskām vai svarīgām funkcijām.

DORA piemēro līdztekus ārpakalpojumu pamatnostādnēm EBA.Praksē bankas uztur vienu krājumu, kas atbilst abiem.

Kiberdrošība

Uzraugi sagaida, ka banka pārzina savus informācijas aktīvus, aizsargā tos proporcionāli to kritiskumam, ātri atklāj uzbrukumus un atgūst būtiski svarīgos pakalpojumus noteiktās pielaidēs.

Galvenās vadīklas parasti ietver:

1. Spēcīga identitātes un piekļuves pārvaldība ar daudzfaktoru autentifikāciju un priviliģētas piekļuves kontroli.
2. Droša programmatūras izstrāde un izmaiņu pārvaldība, tostarp attiecībā uz piegādātāju laidieniem.
3. Datu šifrēšana tranzītā un miera stāvoklī, kā arī atslēgu pārvaldība, ko kontrolē banka.
4. Nepārtraukta uzraudzība un drošības operāciju spējas, iekšēji vai ārpakalpojumi.
5. Neaizsargātības pārvaldība un regulāra iespiešanās testēšana.
6. Dublējumi, kas ir izolēti no ražošanas vides un pārbaudīti atjaunošanai.
7. Reaģēšanas uz incidentiem plāni, kas ietver regulatīvo paziņojumu un klientu saziņu.

Maksājuma saņēmēja verifikācija, uzvedības analīze un spēcīga klientu autentifikācija aizsargā klientus, jo maksājumi kļūst tūlītēji un neatgriezeniski.

Regulatīvā pārskatu sniegšana

Bankas uzraudzības iestādēm un centrālajām bankām ziņo par lielu datu apjomu. 430. pants CRR Direktīva paredz, ka iestādēm ir jāsniedz ziņojumi par pašu kapitāla prasībām, tostarp par sviras rādītāju, lieliem riska darījumiem, likviditātes prasībām, aktīvu apgrūtinājumu un ESG riska darījumiem. Dažām iestādēm ir jāsniedz arī finanšu informācija. Centrālās bankas papildus sniedz statistikas pārskatus, un finanšu izlūkošanas vienības saņem ziņojumus par aizdomīgiem darījumiem.

Atskaites ir tikai tik labas, cik labi ir dati, kas atrodas aiz tām.

1. Avota dati galvenajā sistēmā un citās operētājsistēmās.
2. Datu noliktava vai pārskatu sniegšanas slānis ar saskaņošanu ar galveno grāmatu.
3. Regulatīvo pārskatu sniegšanas programma, kas datus kartē uzraudzības veidnēm un validācijas noteikumiem.
4. Pārskatīšana un apstiprināšana pēc finansēm un riska, ar dokumentētu kontroli.
5. Iesniegšana, izmantojot regulatora portālu vai formātu.

Kļūdas pārskatos var novest pie uzraudzības konstatējumiem un, ja tās maldina uzraudzītāju, – pie izpildes nodrošināšanas pasākumiem.Jaunās bankas bieži vien nepietiekami novērtē darbu, kas saistīts ar produktu datu saskaņošanu ar pārskatu veidnēm pirms to ieviešanas.

Ko uzraugi meklē licences pieteikumā

1. Skaidra mērķa arhitektūra, ar katru sistēmu, tās īpašnieks, tā pakalpojumu sniedzējs un tā atrašanās vietu.
2. Kritisks vai svarīgas funkcijas karte, parādot, kuras funkcijas ir ārpakalpojumi un kam.
3. Izejas plāni katram kritiskajam pakalpojumu sniedzējam, reāli laika un izmaksu ziņā.
4. Datu atrašanās vieta un piekļuve, tostarp uzraudzības un noregulējuma iestādei.
5. Pārbaudīta noturība, ar atkopšanas laikiem, kas atbilst biznesa plāna pakalpojumu solījumiem.
6. Pierādījums par gatavību, piemēram, end-to-end testēšana, migrācijas mēģinājums un ekspluatācijas pieņemšana.

The ECB’s guide to fintech bank licensing asks applicants to consider an exit plan for ceasing operations in an orderly and solvent manner, without harming consumers or requiring regulatory intervention. Tehnoloģiju izvēle nosaka, vai šāds plāns ir uzticams: datiem jābūt izgūstamiem, kontiem jānodod un maksājumiem jāspēj pārtraukt tīri.

Nākamajā rakstā izskaidrotas maksājumu sliedes, ar kurām pamatsistēma ir savienota: karšu shēmas, SEPA, tūlītējie maksājumi un reālā laika bruto norēķini.