perbankan utama, awan, outsourcing dan peraturan teknologi

Sebuah bank adalah satu set janji yang dicatatkan dalam buku besar. Jika buku besar itu salah, tidak tersedia atau terganggu, bank tidak boleh tahu apa yang ia hutang, membayar pelanggannya atau melaporkan kepada pengawal selianya. Untuk alasan ini, pengendali sekarang memeriksa arsitektur teknologi, outsourcing dan ketahanan siber sehaluan dengan rancangan modal.

Apa yang dilakukan oleh sistem perbankan utama

Sistem perbankan utama adalah buku besar rekod. Ia menyimpan data pelanggan dan akaun, memuat naik setiap transaksi, mengira faedah dan yuran, dan menghasilkan baki yang bergantung kepada segala-galanya.

Tugas biasa termasuk:

Fungsi	Apa yang ia meliputi
Pengurusan pelanggan dan akaun	Rekod pelanggan, pembukaan akaun, terma produk, status akaun
Ledger dan posting	Postingan masa nyata atau berkelompok bagi debit dan kredit, suapan buku besar umum
Deposit	Akaun semasa, simpanan dan jangkamasa, akumulasi faedah dan kapitalisasi
Meminjam	Antaramuka asal pinjaman, jadual, bayaran balik, tunggakan, suapan pemberian
Interface Pembayaran	Sambungan ke hub pembayaran, pemproses kad dan akaun koresponden
Konfigurasi produk	Kadar, bayaran, had dan peraturan tanpa perubahan kod
Data dan laporan	Ekstrak untuk kewangan, risiko, laporan peraturan dan pemantauan AML

Di sekeliling inti duduk sistem lain: saluran digital, pusat pembayaran, pengurusan kad, pelanggan onboarding dan pengesahan identiti, penapisan sanksi, pemantauan transaksi, kewangan, kewangan dan enjin melaporkan peraturan.

Pilihan Arkitektur

Bank baru biasanya memilih antara tiga model.

1. Perkakasan berlesen, dihost oleh bank atau penyedia. Bank mengawal konfigurasi dan data, tetapi menanggung beban integrasi.
2. Perkakasan sebagai perkhidmatan pada platform awan. Lebih pantas untuk dilancarkan, tetapi bank bergantung kepada peta jalan dan ketahanan pembekal, dan penyelarasan adalah outsourcing.
3. Banking sebagai perkhidmatan dari institusi berlesen lain. Laluan terpantas, tetapi ia boleh menimbulkan persoalan sama ada bank baru mempunyai cukup substansi sendiri.

Pengawal tidak menetapkan model, mereka menilai sama ada bank memahami dan mengawal yang dipilih.

Peraturan Outsourcing

Outsourcing bermakna penyedia perkhidmatan melaksanakan proses, perkhidmatan atau aktiviti yang bank lain akan melaksanakan sendiri. Di EU, EBA Panduan mengenai persediaan outsourcing (EBA/GL/2019/02) telah dikuatkuasakan pada 30 September 2019. Ia menggantikan panduan terdahulu, termasuklah cadangan terpisah EBA tentang outsourcing kepada penyedia perkhidmatan awan.

Prinsip utama adalah bahawa tanggungjawab tidak boleh dikontrak. Badan pengurusan tetap bertanggungjawab untuk semua fungsi yang dikontrak. Institusi "seharusnya sentiasa mengekalkan bahan yang mencukupi dan tidak menjadi 'kulit kosong' atau 'entiti kotak surat'".

Fungsi kritikal atau penting

Panduan ini memohon keperluan yang lebih ketat di mana fungsi outsourced adalah kritikal atau penting, bermakna kegagalan akan menjejaskan kepatuhan, prestasi kewangan atau kesinambungan. Untuk fungsi seperti itu, bank harus:

1. Lakukan penilaian risiko dan kehati-hatian yang sewajarnya pada pembekal sebelum kontrak.
2. Termasuk hak kontrak akses, maklumat dan audit untuk bank dan pihak berkuasa yang berkelayakan.
3. Kawalan sub-outsourcing, termasuk notis dan hak untuk membantah atau menamatkan.
4. Tetapkan keperluan keselamatan data, lokasi dan kerahsiaan.
5. Mempunyai strategi keluar yang didokumentasikan dan diuji.
6. Memaklumkan pihak berkuasa yang berkelayakan terlebih dahulu mengenai pelaksanaan luaran kritikal atau penting.

Semua perancangan mesti dicatatkan dalam pendaftaran outsourcing yang dikekalkan oleh bank.

Diluar EU

Peraturan serupa terpakai di tempat lain. Di United Kingdom, PRA Supervisory Statement SS2/21 mengenai outsourcing dan pengurusan risiko pihak ketiga, yang diterbitkan pada bulan Mac 2021 dan berkuat kuasa dari 31 Mac 2022, meliputi kewujudan, keselamatan data, awan dan pelancaran keluar. PRA menggambarkannya sebagai bertujuan untuk memudahkan "ketahanan yang lebih besar dan pengambilan awan dan teknologi baru lain".

Di Singapura, MAS Pengurusan Risiko Teknologi, diterbitkan pada 18 Januari 2021, menetapkan prinsip untuk pentadbiran risiko teknologi, IT dan ketahanan siber, dan ditambah dengan notis yang mengikat dan arahan melaporkan insiden.

DORA: ketahanan operasi digital di EU

The Akta Ketahanan Operasi Digital, Peraturan (EU) 2022/2554, telah dilaksanakan sejak 17 Januari 2025. ia membawa pengurusan risiko ICT, laporan insiden, ujian dan risiko pihak ketiga dalam satu peraturan untuk kebanyakan entiti kewangan EU, termasuk bank.

Kawasan DORA	Keperluan utama bagi bank
Pengurusan risiko ICT	Satu kerangka yang didokumentasikan yang diluluskan dan diawasi oleh badan pengurusan, meliputi pengenalan, perlindungan, pengesanan, tindak balas dan pemulihan
Melaporkan kejadian	Kesalahan besar berkaitan ICT mesti dilaporkan kepada pihak berkuasa yang berkelayakan di bawah Perkara 19, menggunakan pengklasifikasian dan templat harmonis
Ujian Ketahanan	Program ujikaji untuk semua entiti; bagi entiti yang dikenal pasti oleh pihak berkuasa, ujian penembusan yang dipimpin ancaman maju sekurang-kurangnya setiap tiga tahun pada sistem pengeluaran hidup di bawah Artikel 26
ICT risiko pihak ketiga	Satu strategi mengenai risiko pihak ketiga ICT, minimum kontrak, dan pendaftaran maklumat mengenai semua kontrak perkhidmatan ICT di bawah Perkara 28
Pemantauan penyedia kritikal	Pihak berkuasa pengawasan Eropah melantik pembekal perkhidmatan pihak ketiga ICT yang penting dan mengawasi mereka secara langsung di bawah Seksyen 31

Perkara 28 menyatakan bahawa entiti kewangan yang menggunakan perkhidmatan ICT “akan, pada setiap masa, bertanggungjawab sepenuhnya untuk mematuhi dan melaksanakan semua tanggungjawab” di bawah DORA dan undang-undang perkhidmatan kewangan. Pendaftaran mesti membezakan perkhidmatan yang menyokong fungsi kritikal atau penting. Entiti harus melaporkan secara tahunan mengenai penyelarasan baru dan memberitahu pihak berkuasa dengan cara yang tepat tentang kontrak yang dirancang untuk fungsi kritikal atau penting.

DORA terpakai bersama dengan panduan outsourcing EBA. Dalam praktik, bank mengekalkan satu inventori yang memuaskan kedua-duanya.

Keselamatan Siber

Risiko siber kini merupakan sebahagian daripada pengawasan berhati-hati. Pengawas mengharapkan bank untuk mengetahui aset maklumatnya, melindungi mereka secara proporsional kepada kekritisannya, mengesan serangan dengan cepat, dan memulihkan perkhidmatan kritikal dalam toleransi yang ditakrifkan.

Kawalan kekunci biasanya termasuk:

1. Pengurusan identiti dan akses yang kuat, dengan pengesahan berbilang faktor dan kawalan akses istimewa.
2. Pembangunan perisian yang selamat dan pengurusan perubahan, termasuk untuk rilis vendor.
3. Penyulitan data dalam laluan dan rehat, dan pengurusan kunci yang bank kawal.
4. Pemantauan berterusan dan keupayaan operasi keselamatan, dalaman atau luaran.
5. Pengurusan kerentanan dan pengujian penembusan biasa.
6. Sandaran yang terisolasi dari persekitaran pengeluaran dan diuji untuk pemulihan.
7. Rancangan tindak balas insiden yang meliputi pemberitahuan peraturan dan komunikasi pelanggan.

Kawalan penipuan menghubungkan siber dan pembayaran. pengesahan penerima, analisis tingkah laku dan pengesahan pelanggan yang kuat melindungi pelanggan sebagai bayaran menjadi segera dan tidak boleh dibatalkan.

Pelaporan Peraturan

Bank melaporkan jumlah data yang besar kepada pengawal selia dan bank pusat. Di EU, Artikel 430 daripada CRR memerlukan institusi untuk melaporkan keperluan dana sendiri termasuk nisbah leverage, pendedahan besar, keperluan likuiditi, beban aset dan pendedahan ESG, di antara item lain, dan institusi tertentu juga mesti melaporkan maklumat kewangan. Bank pusat menambah laporan statistik, dan unit intelijen kewangan menerima laporan transaksi mencurigakan.

Laporan hanya sebaik data di belakangnya. Rantaian dari sistem inti ke regulator biasanya berjalan:

1. Sumber data dalam sistem inti dan sistem operasi lain.
2. Gudang data atau lapisan melaporkan dengan penyelarasan kepada buku besar umum.
3. Enjin laporan peraturan yang memeta data ke templat pengawasan dan peraturan pengesahan.
4. Tinjauan dan tanda tangan oleh kewangan dan risiko, dengan kawalan yang didokumentasikan.
5. Penyerahan melalui portal atau format penggubal.

Ralat dalam melaporkan boleh membawa kepada penemuan pengawasan dan, di mana mereka mengelirukan pengawas, penguatkuasaan. Bank baru sering meremehkan kerja memetakan data produk untuk melaporkan templat sebelum dilancarkan.

Apa yang pengawas cari dalam aplikasi lesen

1. Arkitektur sasaran yang jelas, dengan setiap sistem, pemiliknya, pembekalnya dan lokasinya.
2. Peta fungsi kritikal atau penting, memaparkan fungsi mana yang dikontrak dan kepada siapa.
3. Rencana keluar untuk setiap pembekal kritikal, realistik dalam masa dan kos.
4. Lokasi dan akses data, termasuk untuk pengawas dan otoriti resolusi.
5. Ketahanan diuji, dengan masa pemulihan yang sepadan dengan janji perkhidmatan rancangan perniagaan.
6. Buktikan kesediaan, seperti ujian akhir-ke-akhir, latihan migrasi dan penerimaan operasi.

ECBPanduan untuk meluluskan bank fintech meminta pemohon untuk mempertimbangkan rancangan keluar untuk menghentikan operasi dengan cara yang tersusun dan berkesan, tanpa menjejaskan pengguna atau memerlukan campur tangan peraturan. Pilihan teknologi menentukan sama ada rancangan seperti itu boleh dipercayai: data mesti dapat dipulihkan, akaun boleh dipindahkan dan pembayaran mampu berhenti dengan bersih.

Artikel seterusnya menerangkan rel pembayaran yang sistem inti disambungkan kepada: skema kad, SEPA, bayaran segera dan penyelesaian bruto masa nyata.