Банкны үйл ажиллагаа, дата төвүүд, аутсорсинг болон технологийн зохицуулалт

Банк гэдэг нь гүйлгээний бүртгэлд бичигдсэн амлалтуудын цуглуулга юм. Хэрэв гүйлгээний бүртгэл алдаатай, ашиглахад бэрх эсвэл зөрчилтэй байвал банк ямар хэмжээний өртэй болохыг мэдэхгүй, үйлчлүүлэгчдээ төлж чадахгүй, удирдлагадаа тайлан өгөх боломжгүй болно. Иймээс хууль тогтоогчид одоо технологийн бүтэц зохион байгуулалт, гадаад эх үүсвэр болон кибер аюулгүй байдлыг хөрөнгө оруулалтын төлөвлөгөө шиг нарийн судалж байна.

Үндсэн банкны систем юу хийдэг вэ?

Банкны үндсэн систем нь дансны бүртгэл юм. Энэ нь үйлчлүүлэгч болон дансны мэдээллийг хадгалж, бүх гүйлгээний мэдээллийг байршуулж, хүү, хураамжийг тооцож, бусад бүх зүйлийн суурь болох тэнцвэрийг гаргаж өгдөг.

Типик функцүүд нь:

Функц	Энэ нь юуг хамардаг вэ
Хэрэглэгчийн болон дансны удирдлага	Хэрэглэгчийн бүртгэл, дансны нээлт, бүтээгдэхүүний нөхцөл, дансны байдал
Хяналт, бүртгэл	Дебит болон кредитийн бодит цаг эсвэл багц бичлэг, ерөнхий бүртгэлийн мэдээ
Дээр нь нэмэх	Хугацаат, хадгаламжийн болон хугацаат дансны мэдээ, хүүгийн өсөлт ба капиталжуулалт
Зээл	Зээлийн эх үүсвэрийн интерфэйсүүд, хуваарьууд, буцаан төлөлтүүд, эргэн төлөлтүүд, хангамж
Нэхэмжлэхийн интерфэйс	Connections to payment hubs, card processors and correspondent accounts
Бүтээгдэхүүний тохиргоо	Код өөрчлөгдөхгүйгээр хүү, хураамж, хязгаарлалт болон дүрэм
Дата ба тайлан	Санхүү, эрсдэл, хууль тогтоомжийн тайлан болон AML хяналтын мэдээллүүд

Үүний хүрээнд бусад системүүд: дижитал сувгууд, төлбөрийн төв, картын менежмент, үйлчлүүлэгчдийн бүртгэл болон нууцлалын баталгаажуулалт, хориг арга хэмжээ шалгах, гүйлгээний хяналт, хадгаламж, санхүү, зохицуулалтын тайлангийн хөдөлгүүр.

Архитектур сонголтууд

New banks usually choose between three models.

1. Лицензтэй програм хангамж, банк эсвэл ханган нийлүүлэгчээр хадгалагдана. Банк тохиргоо болон мэдээллийг хянах боловч нэгтгэх ачааллыг үүрдэг.
2. Cloud платформ дээрх үйлчилгээний програм хангамж. Хурдан эхлүүлэх, гэхдээ банк нь нийлүүлэгчдийн төлөвлөгөө болон тогтвортой байдалд тулгуурлаж, тохиролцоо нь аутсорсинг юм.
3. Банкны үйлчилгээг өөр лицензтэй байгууллагаас авах. Хамгийн хурдан арга зам, гэхдээ шинэ банк өөрийн гэсэн хангалттай зүйлтэй эсэх талаар асуулт үүсгэж болно.

Санхүүгийн зохицуулагч нар ямар нэг загварыг зааж өгөхгүй. Тэд банкны сонгосон загварыг ойлгож, удирдаж чадах эсэхийг үнэлдэг.

Аутсорсингийн дүрэм

Аутсорсинг гэдэг нь банк өөрөө гүйцэтгэх ёстой үйл явц, үйлчилгээ эсвэл үйл ажиллагааг үйлчилгээ үзүүлэгч хийдэг гэсэн үг юм. In the EU, the EBA Guidelines on outsourcing arrangements (EBA/GL/2019/02) entered into force on 30 September 2019. Энэ нь өмнөх зааварчилгааг орлож, EBA-ийн үүлэн үйлчилгээ үзүүлэгчдэд аутсорсингийн тусгай зөвлөмжийг багтаасан.

Төслийн үндсэн зарчим нь хариуцлагыг гадны байгууллагад шилжүүлэх боломжгүй, удирдах байгууллагын бүх үүрэг хариуцлага нь гадаадын байгууллагад шилжүүлдэг. Байгууллагууд "хүний нөөцөө байнга хангалттай байлгаж байх ёстой бөгөөд 'бодит бус' эсвэл 'шуудангийн хайрцаг'-тай болох ёсгүй" юм.

Хямд эсвэл чухал функцүүд

Энэхүү зааварчилгаа нь гадаадад шилжүүлсэн үүрэг хариуцлага нь чухал эсвэл онцгой ач холбогдолтой бол илүү хатуу шаардлагыг тавьдаг бөгөөд энэ нь алдаа дутагдал нь зохицуулалт, санхүүгийн гүйцэтгэл, тасралтгүй ажиллагаанд сөргөөр нөлөөлөх болно гэсэн үг юм. Ийм үүргийн хувьд банк:

1. Хөрөнгө оруулалтын эрсдэлийн үнэлгээ болон гэрээ байгуулахаас өмнөх үйлчилгээ үзүүлэгчийг шалгана.
2. Банк болон эрх бүхий байгууллагын мэдээллийн нэвтрэх, мэдээлэл авах, аудит хийх гэрээний эрхийг багтаана.
3. Үйл ажиллагааг нь зогсоох, эсэргүүцэх эрхийг агуулсан мэдээллийг багтаасан дотоод аудит хийх.
4. Мэдээллийн аюулгүй байдал, байршил болон нууцлалын шаардлагыг тогтоох.
5. Бүх стратегиудыг баримтжуулж, туршиж үзсэн.
6. Хэрэглэгч нь өгөгдлийн эх үүсвэрийг сонгохдоо чухал эсвэл чухал биш гэсэн хоёр сонголттой байдаг.

Бүх арга хэмжээг банкны хадгалж буй аутсорсингийн бүртгэлд бүртгэх ёстой.

Европын холбооноос гадуур

Үүнтэй төстэй дүрэм бусад оронд ч үйлчилдэг. In the United Kingdom, PRA Supervisory Statement SS2/21 on outsourcing and third party risk management, published in March 2021 and effective from 31 March 2022, covers materiality, data security, cloud and exit planning. PRA нь үүнийг "илүү бат бөх байдал, далд болон бусад шинэ технологиудыг нэвтрүүлэхэд" туслах зорилготой гэж тодорхойлжээ.

In Singapore, the MAS Technology Risk Management Guidelines, published on 18 January 2021, set principles for technology risk governance, IT and cyber resilience, and are supplemented by a binding notice and incident reporting instructions.

DORA: Европын холбооны дижитал үйл ажиллагааны тогтвортой байдал

Энэ Цахим үйл ажиллагааны тогтвортой байдлын хууль, (Европын Холбоо) 2022/2554-ийн дүрэм, 17-р сарын 2025-аас эхлэн хэрэгжиж эхэлсэн. Энэ нь ИКТ эрсдэлийн менежмент, осол гэмтлийн мэдээллийг, туршилтыг болон гуравдагч этгээдийн эрсдэлийг банкууд зэрэг Европын холбооны ихэнх санхүүгийн байгууллагуудад нэг дүрэмд оруулдаг.

DORA талбай	Банкны үндсэн шаардлага
Хямралын менежмент	Барилгын менежментийн байгууллагын баталсан, хяналт тавьдаг, тодорхойлох, хамгаалах, илрүүлэх, хариулах болон сэргээх үйл ажиллагааг багтаасан баримт бичгийн бүтэц
Хэрэг явдлын мэдээ	19-р зүйл-ийн дагуу зохих эрх бүхий байгууллагад ICT-тэй холбоотой томоохон үйл явдлуудын талаар мэдээлэх ёстой бөгөөд энэ нь нэгтгэсэн ангилал болон загварыг ашиглан хийгддэг.
Давтамжийн туршилт	Бүх этгээдийн туршилтын хөтөлбөр; Article 26
Гуравдагч этгээдийн эрсдэл	28-р зүйлд заасны дагуу бүх ICT үйлчилгээний гэрээний мэдээллийн бүртгэл, ICT-ийн гуравдагч этгээдийн эрсдэлийн стратеги, гэрээний минимумууд
Критик ханган нийлүүлэгчдийн хяналт	Европын Хяналтын Байгууллага нь 31-р зүйлд заасны дагуу чухал ICT үйлчилгээ үзүүлэгчийг тодорхойлж, тэднийг шууд хянах үүрэгтэй.

28 дугаар зүйлд санхүүгийн байгууллагууд DORA болон санхүүгийн үйлчилгээний тухай хуульд заасны дагуу “хүний мэдээллийн технологийн үйлчилгээг ашиглаж байгаа бол бүх үүргээ биелүүлэхэд бүрэн хариуцлагатай байх ёстой” гэж заасан байдаг. Энэхүү бүртгэл нь чухал эсвэл онцгой үйл ажиллагааг дэмжих үйлчилгээг ялгаж харуулах ёстой бөгөөд байгууллага бүр жилд нэг удаа шинэ зохицуулалтуудыг танилцуулж, чухал эсвэл онцгой үйл ажиллагааны гэрээ байгуулах төлөвлөгөөгөө цаг алдалгүй эрх бүхий байгууллагад мэдэгдэх ёстой.

DORA нь EBA-тэй хамт хэрэгжинэ. Практикт банкууд хоёрыг нь хангасан нэг нөөцийг хадгалдаг.

Цахим аюулгүй байдал

Кибер эрсдэл нь өнөөдрийн хяналт шалгалтын нэг хэсэг болсон. Хяналтын байгууллага банкнаас мэдээллийн нөөцөө мэдэж, аюулгүй байдлыг нь хангах, халдлагыг хурдан илрүүлэх, чухал үйлчилгээг тодорхой зөвшөөрөгдсөн хэмжээнээс хэтрүүлэхгүйгээр сэргээхийг шаарддаг.

Тохиргооны товчууд нь ихэвчлэн:

1. Олон хүчин зүйлийн баталгаажуулалт болон онцгой эрхтэй нэвтрэх хяналттай хүчирхэг өгөгдөл ба нэвтрэх менежмент.
2. Програм хангамжийн аюулгүй хөгжүүлэлт ба өөрчлөлтийн удирдлага, үйлдвэрлэгчдийн хувилбаруудыг багтаасан.
3. Үйлчлүүлэгчийн мэдээллийг хадгалах, дамжуулахдаа нууц үгийг банкны хяналтанд байлгах.
4. Цахим аюулгүй байдлын үйл ажиллагааг тасралтгүй хянах, дотоодын болон гадаадын байгууллагуудтай хамтран ажиллах
5. Хямралын менежмент ба тогтмол нэвтрэх туршилт.
6. Үйлдвэрлэлийн орчноос тусгаарлагдсан ба сэргээхийн тулд туршсан хуулбарууд.
7. Хэрэглэгчтэй харилцах, зохицуулалтын мэдээллийг багтаасан үйл явдлын хариу арга хэмжээ.

Хуурамч мэдээллийн эсрэг хяналт нь кибер болон төлбөр тооцоог холбож өгдөг. Хэрэглэгчийг баталгаажуулах, зан төлөвийн дүн шинжилгээ хийх, үйлчлүүлэгчдийн итгэмжлэлийг сайжруулах зэрэг нь хэрэглэгчдийг аюулгүй болгодог.

Тогтоолын мэдээ

Банкууд хяналтын байгууллагууд болон төв банкуудад их хэмжээний мэдээллийг мэдэгддэг. Европын Холбооны 430 дугаар зүйлийн CRR заалтаар байгууллагууд өөрийн хөрөнгийн шаардлагын тухай, түүнчлэн хүүгийн харьцаа, том эрсдэл, likvidity requirements, asset burdens and ESG exposures зэрэг бусад үзүүлэлтүүдийг мэдэгдэх ёстой бөгөөд зарим байгууллага санхүүгийн мэдээллийг ч мөн мэдэгдэх ёстой. Төв банкнууд статистик мэдээллийг нэмж, санхүүгийн тагнуулын нэгжүүд сэжигтэй гүйлгээний талаарх мэдээллийг хүлээн авдаг.

Тодорхойлолтууд зөвхөн тэдгээрийн цаана байгаа мэдээллийн чанараас хамаарна. Үндсэн системээс зохицуулагч хүртэлх уялдаа нь ихэвчлэн:

1. Үндсэн систем болон бусад үйлдлийн системийн эх үүсвэрийн мэдээллийг хадгална.
2. A data warehouse or reporting layer with reconciliation to the general ledger.
3. Дэлгэцийг хяналтын загвар болон баталгаажуулалтын дүрэмд тохируулах зохицуулалтын тайлангийн хөдөлгүүр. Name
4. Санхүү, эрсдэлийн хяналтын баримт бичгээр баталгаажуулсан дүн шинжилгээ хийх ба гарын үсэг зурах.
5. Портал эсвэл форматаар дамжуулан илгээх.

Тодорхойлолт

Лицензийн өргөдөлд хяналтын ажилтан юуг анхаарах ёстой вэ

1. Нэг тодорхой зорилготой архитектур, систем бүрийн эзэмшигч, ханган нийлүүлэгч болон байршилтай.
2. Хамгийн чухал эсвэл чухал функцүүдийн зураг, ямар функцийг хэнд шилжүүлж байгааг харуулна.
3. Хамгийн чухал үйлчилгээ үзүүлэгч бүрийн гарах төлөвлөгөө, цаг хугацаа болон зардлын хувьд бодитой.
4. Мэдээллийн байршил ба нэвтрэх эрх, хяналтын болон шийдвэрлэх эрх мэдлийг багтаасан.
5. Сүлжээний аюулгүй байдал, бизнес төлөвлөгөөний үйлчилгээний амлалтад тохирсон сэргээх хугацаатай.
6. Хэрэглэгдэх чадварын баталгаа, жишээ нь эцэс төгсгөлгүй туршилт, шилжилтийн бэлтгэл болон үйл ажиллагааны хүлээн зөвшөөрөл.

Энэ ECBФинтек банкны лицензийн гарын авлага Хэрэглэгчдэд хохирол учруулахгүй, зохицуулагчдын оролцоо шаардахгүйгээр үйл ажиллагаагаа тогтвортойгоор зогсоох төлөвлөгөөг боловсруулж өгөхийг хүснэ. Технологийн сонголт нь ийм төлөвлөгөөний найдвартай эсэхийг тодорхойлно: мэдээллийг сэргээх боломжтой байх, дансыг шилжүүлэх боломжтой байх, төлбөрийг цэвэрхэн зогсоох боломжтой байх ёстой.

Дараагийн нийтлэлд үндсэн системтэй холбогдох төлбөрийн замыг тайлбарлана: картын схем, SEPA, шууд төлбөр болон бодит цагийн нийт төлөлт.