Основно банкарство, облак, аутсорсинг и регулација на технологијата

Банката е збир на ветувања запишани во книга. Ако книгата е погрешна, недостапна или компромитирана, банката не може да знае што должи, да ги плаќа своите клиенти или да го известува својот надзорник. Поради оваа причина, регулаторите сега ја испитуваат технологијата, аутсорсингот и сајбер отпорноста исто толку внимателно како и капиталните планови.

Што прави основниот банкарски систем

Главниот банкарски систем е главната книга на записите, ги содржи податоците за клиентите и сметките, ја објавува секоја трансакција, ги пресметува каматните стапки и таксите, и ги произведува балансите од кои зависи се друго.

Типичните функции вклучуваат:

Функција	Што покрива
Менаџмент на клиенти и сметки	Клиентски записи, отворање на сметка, услови за производот, статус на сметката
Главна книга и објавување	Реално време или групно објавување на дебитни и кредитни сметки, доводи во главната книга
Депозити	Тековни, штедливи и навремени сметки, каматна стапка и капитализација
Заем	Интерфејси за потекло на кредитите, распореди, враќања, задоцнувања, доводи за обезбедување
Плаќања интерфејси	Connections to payment hubs, card processors and correspondent accounts
Конфигурација на производот	Стапки, трошоци, ограничувања и правила без промена на кодот
Податоци и известување	Извадоци за финансии, ризик, регулаторно известување и AML следење

Околу јадрото се наоѓаат други системи: дигитални канали, центар за плаќање, менаџмент на картички, влез на клиенти и верификација на идентитетот, проверка на санкциите, следење на трансакциите, трезор, финансии и регулаторен мотор за известување.

Архитектонски избори

Новите банки обично избираат помеѓу три модели.

1. Лиценциран софтвер, хостиран од банка или провајдер. Банката ја контролира конфигурацијата и податоците, но го носи товарот на интеграцијата.
2. Софтверот како услуга на платформа во облак. Побрзо за лансирање, но банката зависи од патната карта и отпорноста на продавачот, а договорот е аутсорсинг.
3. Банкарство како услуга од друга лиценцирана институција. Најбрзиот пат, но може да го покрене прашањето дали новата банка има доволно сопствена содржина.

Надзорниците не препишуваат модел, туку проценуваат дали банката го разбира и го контролира оној што го избрала.

Правила за аутсорсинг

Аутсорсингот значи дека еден провајдер на услуги извршува процес, услуга или активност што банката инаку би ја извршила сама. EBA Упатства за аутсорсинг аранжмани (EBA/GL/2019/02) стапија на сила на 30 септември 2019 година. EBAОдделна препорака за аутсорсинг на провајдери на облачни услуги.

Централниот принцип е дека одговорноста не може да се аутсорсира. Менаџерското тело останува одговорно за сите аутсорсирани функции. Институциите „треба во секое време да одржуваат доволно содржина и да не станат „празни школки“ или „ентитети од поштенско сандаче“.

Критични или важни функции

Во насоките се применуваат построги барања кога аутсорсинг функцијата е критична или важна, што значи дека неуспехот би значително го нарушил усогласувањето, финансиските перформанси или континуитетот.

1. Извршување на проценка на ризикот и соодветна грижа за провајдерот пред склучување на договор.
2. Вклучуваат договорни права на пристап, информации и ревизија за банката и компетентната власт.
3. Контрола на суб-аутсорсинг, вклучувајќи известување и правото да се спротивстави или прекине.
4. Поставување на безбедносни барања за податоци, локација и доверливост.
5. Имаат документирани и тестирани стратегии за излез.
6. Информирање на компетентната власт пред планираниот критичен или важен аутсорсинг.

Сите аранжмани мора да бидат запишани во аутсорсинг регистар кој го води банката.

Надвор од ЕУ

Слични правила важат и на други места. PRA Надзорна изјава SS2/21 за аутсорсинг и управување со ризикот на трети страни, објавен во март 2021 година и кој ќе стапи на сила од 31 март 2022 година, ги покрива материјалноста, безбедноста на податоците, облакот и планирањето на излезот. PRA ја опишува како наменета за олеснување на „големата отпорност и усвојување на облакот и другите нови технологии“.

Во Сингапур, MAS Технологија за управување со ризик, објавен на 18 јануари 2021 година, поставува принципи за управување со технолошкиот ризик, ИТ и сајбер отпорност, и се надополнети со обврзувачки известувања и упатства за пријавување на инциденти.

DORA: дигитална оперативна отпорност во ЕУ

- Да. Дигитална операциона отпорност, Регулативата (ЕУ) 2022/2554, се применува од 17 јануари 2025 година. „Тој го носи управувањето со ризикот на ИКТ, известувањето за инциденти, тестирањето и ризикот од трети страни во една регулатива за повеќето финансиски субјекти на ЕУ, вклучувајќи ги и банките.

ДОРА област	Основни барања за банките
Управување со ризикот од ИКТ	Документирана рамка одобрена и надгледувана од страна на раководното тело, која покрива идентификација, заштита, откривање, одговор и закрепнување
Известување за инцидент	Големите инциденти поврзани со ИКТ мора да се пријават до надлежната власт под Член 19, користејќи хармонизирана класификација и шаблони
Тестирање на отпорност	Програма за тестирање на сите субјекти; за субјектите идентификувани од страна на властите, напредно тестирање на пенетрација предводено од закани најмалку на секои три години на живите производствени системи според Член 26
ИКТ ризик од трета страна	Стратегија за ИКТ ризикот на трета страна, договорни минимуми и регистар на информации за сите договори за услуги во ИКТ под Член 28
Надгледување на критичните провајдери	Европските надзорни власти ги одредуваат критичните ИКТ провајдери на услуги и директно ги надгледуваат во согласност со членот 31.

Членот 28 наведува дека финансиските субјекти кои користат ИКТ услуги „во секое време ќе останат целосно одговорни за усогласеноста со и исполнувањето на сите обврски“ во согласност со овој закон. DORA Регистарот мора да ги разликува услугите кои ги поддржуваат критичните или важните функции. Ентитетите мора годишно да известуваат за новите договори и навремено да ја информираат власта за планираните договори за критичните или важните функции.

DORA се применува заедно со EBA Во пракса, банките одржуваат еден инвентар кој ги задоволува и двете.

Сајбер безбедност

Супервизорите очекуваат банката да ги знае своите информатички средства, да ги заштити во пропорција со нивната критичност, брзо да ги детектира нападите и да ги обнови критичните услуги во рамките на дефинираните толеранции.

Клучните контроли обично вклучуваат:

1. Силен идентитет и управување со пристап, со повеќе фактори на автентикација и привилегирани контроли за пристап.
2. Безбеден развој на софтвер и управување со промените, вклучувајќи ги и издавањето на продавачите.
3. Криптирање на податоците во транзит и во мирување, како и управување со клучеви кои банката ги контролира.
4. Континуирано следење и способност за безбедносни операции, во рамките на компанијата или преку аутсорсинг.
5. Менаџмент на ранливост и редовно тестирање за продирање.
6. Заштитни копии кои се изолирани од производствената средина и тестирани за обновување.
7. Планови за одговор на инциденти кои покриваат регулаторни известувања и комуникација со клиентите.

Контролата на измамите ги поврзува сајберот и плаќањата.Верификацијата на примателите, анализата на однесувањето и силната автентикација на клиентите ги заштитуваат клиентите бидејќи плаќањата стануваат моментални и неповратни.

Регулаторно известување

Банките пријавуваат големи количини на податоци до надзорниците и централните банки. Член 430 од Уставот CRR бара од институциите да известуваат за барањата на сопствените средства, вклучувајќи го и односот на позајмување, големите изложености, барањата за ликвидност, оптеретувањето со активи и ЕСГ изложеност, меѓу другите работи, а одредени институции мора исто така да пријават финансиски информации.

Извештаите се само толку добри колку и податоците зад нив. синџирот од јадрото на системот до регулаторот обично тече:

1. Изворните податоци во јадрото на системот и други оперативни системи.
2. Складиште на податоци или слој за известување со помирување со главната книга.
3. Регулаторна машина за известување која ги мапира податоците на надзорните шаблони и правилата за валидација.
4. Преглед и одобрување од страна на финансиите и ризикот, со документирани контроли.
5. Поднесување преку регулаторниот портал или формат.

Грешките во извештаите можат да доведат до надзорни наоди и, каде што тие го заведуваат надзорникот, спроведување.Новите банки често ја потценуваат работата на мапирање на податоците за производите со шаблоните за извештаи пред нивното лансирање.

Што надзорниците бараат во апликацијата за лиценца

1. Јасна целна архитектура, со секој систем, неговиот сопственик, неговиот провајдер и неговата локација.
2. Мапа на критичните или важните функции, која покажува кои функции се аутсорсирани и на кого.
3. Планови за излез за секој критичен провајдер, реално во време и цена.
4. Податоците се лоцирани и достапни, вклучувајќи го и за надзорниот орган и органот за решавање.
5. Тестирана отпорност, со времиња на закрепнување кои се совпаѓаат со ветувањата на бизнис планот.
6. Доказ за подготвеност, како што се крај-до-крај тестирање, проба на миграција и оперативно прифаќање.

- Да. ECB’s водич за лиценцирање на финтех банки бара од апликантите да размислат за излезен план за прекинување на операциите на редовен и платежен начин, без да им наштети на потрошувачите или да бара регулаторна интервенција.

Следната статија ги објаснува платежните шини на кои се поврзува јадрото на системот: картички, SEPA, моментални плаќања и бруто наплата во реално време.