Servizzi bankarji ewlenin, cloud, outsourcing u regolamentazzjoni tat-teknoloġija

Bank huwa sett ta’ wegħdiet irreġistrati f’reġistru.Jekk ir-reġistru jkun żbaljat, mhux disponibbli jew kompromess, il-bank ma jistax ikun jaf x’għandu jħallas lill-klijenti tiegħu jew jirrapporta lis-superviżur tiegħu. Għal din ir-raġuni, ir-regolaturi issa qed jeżaminaw l-arkitettura tat-teknoloġija, l-esternalizzazzjoni u r-reżiljenza ċibernetika mill-qrib daqs il-pjanijiet kapitali.

X’tagħmel sistema bankarja ewlenija

Is-sistema bankarja ewlenija hija r-reġistru tar-rekords, li fih tinżamm id-dejta tal-klijenti u l-kontijiet, tiddaħħal kull tranżazzjoni, jiġu kkalkulati l-imgħaxijiet u t-tariffi, u jinħadmu l-bilanċi li fuqhom jiddependi kollox.

Funzjonijiet tipiċi jinkludu:

Funzjoni	X'jkopri
Ġestjoni tal-klijent u l-kont	Rekords tal-klijent, ftuħ ta’ kont, termini tal-prodott, status tal-kont
Ledger u post	Posting f’ħin reali jew batch ta’ debiti u krediti, feeds tal-ktieb ġenerali
Depożiti	Kontijiet kurrenti, ta’ tfaddil u għal terminu fiss, imgħax akkumulat u kapitalizzazzjoni
Self	Interfaċċi tal-oriġini tas-self, skeda, ħlasijiet lura, arretrati, provvista ta’ feeds
Interfaċċji tal-pagamenti	Konnessjonijiet ma’ ċentri ta’ pagament, proċessuri tal-kards u kontijiet korrispondenti
Konfigurazzjoni tal-prodott	Rati, tariffi, limiti u regoli mingħajr tibdil fil-kodiċi
Data u rappurtar	Estratti għall-finanzi, ir-riskju, ir-rappurtar regolatorju u l-monitoraġġ AML

Madwar il-qalba hemm sistemi oħra: kanali diġitali, ċentru ta’ pagament, ġestjoni tal-kards, inkorporazzjoni tal-klijenti u verifika tal-identità, skrinjar tas-sanzjonijiet, monitoraġġ tat-tranżazzjonijiet, teżor, finanzi u l-magna tar-rappurtar regolatorju.

Arkitettura għażliet

Banek ġodda ġeneralment jagħżlu bejn tliet mudelli.

1. Softwer liċenzjat, ospitat mill-bank jew minn fornitur. Il-bank jikkontrolla l-konfigurazzjoni u d-dejta, iżda jġorr il-piż tal-integrazzjoni.
2. Softwer bħala servizz fuq pjattaforma cloud. Aktar malajr biex tniedi, iżda l-bank jiddependi fuq il-pjan direzzjonali u r-reżiljenza tal-bejjiegħ, u l-arranġament huwa outsourcing.
3. Banking bħala servizz minn istituzzjoni liċenzjata oħra. L-aktar rotta mgħaġġla, iżda tista’ tqajjem il-mistoqsija jekk il-bank il-ġdid għandux biżżejjed sustanza tiegħu stess.

Is-superviżuri ma jippreskrivux mudell, iżda jivvalutaw jekk il-bank jifhimx u jikkontrollax dak li jkun għażel.

Regoli tal-Outsourcing

L-esternalizzazzjoni tfisser li fornitur ta' servizz iwettaq proċess, servizz jew attività li l-bank kieku jwettaq huwa stess. EBA Linji gwida dwar arranġamenti ta’ esternalizzazzjoni (EBA/GL/2019/02) daħlu fis-seħħ fit-30 ta' Settembru 2019 u ħadu post gwida preċedenti, inkluża l-gwida EBAIr-rakkomandazzjoni separata tal-Kummissjoni dwar l-esternalizzazzjoni lill-fornituri tas-servizzi cloud.

Il-prinċipju ċentrali huwa li r-responsabbiltà ma tistax tiġi esternalizzata.Il-korp maniġerjali jibqa’ responsabbli għall-funzjonijiet esternalizzati kollha. L-istituzzjonijiet “għandhom iżommu f’kull ħin sustanza biżżejjed u ma jsirux ‘qoxra vojta’ jew ‘entitajiet tal-kaxxa postali’”.

Funzjonijiet kritiċi jew importanti

Il-linji gwida japplikaw rekwiżiti aktar stretti fejn il-funzjoni esternalizzata tkun kritika jew importanti, jiġifieri nuqqas ta’ twettiq tal-funzjoni jkollu impatt materjali negattiv fuq il-konformità, il-prestazzjoni finanzjarja jew il-kontinwità.

1. Iwettaq valutazzjoni tar-riskju u diliġenza dovuta fuq il-fornitur qabel ma tikkuntratta.
2. Jinkludu drittijiet kuntrattwali ta’ aċċess, informazzjoni u awditjar għall-bank u l-awtorità kompetenti.
3. Il-kontroll tas-sottoesternalizzazzjoni, inkluż in-notifika u d-dritt li toġġezzjona jew tittermina.
4. Stabbilixxi r-rekwiżiti tas-sigurtà tad-dejta, il-post u l-kunfidenzjalità.
5. Kellhom iddokumentati u ttestjati strateġiji ta’ ħruġ.
6. Tinforma lill-awtorità kompetenti bil-quddiem dwar esternalizzazzjoni kritika jew importanti ppjanata.

L-arranġamenti kollha jridu jiġu rreġistrati f’reġistru ta’ esternalizzazzjoni miżmum mill-bank.

barra mill-UE

Regoli simili japplikaw f'pajjiżi oħra. Fir-Renju Unit, PRA Dikjarazzjoni Superviżorja SS2/21 dwar l-esternalizzazzjoni u l-ġestjoni tar-riskju ta’ partijiet terzi, ippubblikata f’Marzu 2021 u b’effett mill-31 ta’ Marzu 2022, tkopri l-materjalità, is-sigurtà tad-dejta, il-cloud u l-ippjanar tal-ħruġ. PRA tiddeskrivih bħala maħsub biex jiffaċilita “reżiljenza akbar u l-adozzjoni tal-cloud u teknoloġiji ġodda oħra”.

F'Singapor, il- MAS Linji Gwida għall-Ġestjoni tar-Riskju tat-Teknoloġija, ippubblikati fit-18 ta' Jannar 2021, jistabbilixxu l-prinċipji għall-governanza tar-riskju teknoloġiku, ir-reżiljenza tal-IT u ċ-ċibersigurtà, u huma ssupplimentati minn avviż vinkolanti u struzzjonijiet għar-rappurtar ta' inċidenti.

DORA: ir-reżiljenza operattiva diġitali fl-UE

Il- Att dwar ir-Reżiljenza Operattiva DiġitaliIr-Regolament (UE) 2022/2554, li ilu japplika mis-17 ta' Jannar 2025, jiġbor il-ġestjoni tar-riskju tal-ICT, ir-rappurtar tal-inċidenti, l-ittestjar u r-riskju ta' parti terza f'regolament wieħed għall-biċċa l-kbira tal-entitajiet finanzjarji tal-UE, inklużi l-banek.

Żona DORA	Rekwiżit ewlieni għall-banek
Ġestjoni tar-riskju tal-ICT	Qafas dokumentat approvat u ssorveljat mill-korp ta’ ġestjoni, li jkopri l-identifikazzjoni, il-protezzjoni, id-detezzjoni, ir-rispons u l-irkupru
Rappurtar ta' inċident	Inċidenti kbar relatati mal-ICT għandhom jiġu rrappurtati lill-awtorità kompetenti skont: Artikolu 19, bl-użu ta’ klassifikazzjoni armonizzata u mudelli
Ittestjar tar-Reżiljenza	Programm ta’ ttestjar għall-entitajiet kollha; għall-entitajiet identifikati mill-awtoritajiet, ittestjar avvanzat tal-penetrazzjoni mmexxi mit-theddid mill-inqas kull tliet snin fuq sistemi ta’ produzzjoni attivi taħt Artikolu 26
ICT third party risk	Strateġija dwar ir-riskju tal-ICT minn partijiet terzi, minimi kuntrattwali, u reġistru ta' informazzjoni dwar il-kuntratti kollha tas-servizzi tal-ICT taħt Artikolu 28
Sorveljanza ta’ fornituri kritiċi	L-Awtoritajiet Superviżorji Ewropej jinnominaw fornituri kritiċi ta’ servizzi tal-ICT minn partijiet terzi u jissorveljawhom direttament skont l-Artikolu 31

L-Artikolu 28 jiddikjara li l-entitajiet finanzjarji li jużaw is-servizzi tal-ICT “għandhom, f’kull ħin, jibqgħu responsabbli bis-sħiħ għall-konformità ma’, u t-twettiq ta’, l-obbligi kollha” taħt DORAil-liġi dwar is-servizzi finanzjarji. Ir-reġistru għandu jiddistingwi bejn servizzi li jappoġġjaw funzjonijiet kritiċi jew importanti.L-entitajiet għandhom jirrapportaw kull sena dwar arranġamenti ġodda u jinfurmaw lill-awtorità b’mod f’waqtu dwar kuntratti ppjanati għal funzjonijiet kritiċi jew importanti.

DORA tapplika flimkien mal- EBA fil-prattika, il-banek iżommu inventarju wieħed li jissodisfa t-tnejn.

Ċibersigurtà

Is-superviżuri jistennew li bank ikun jaf x’inhuma l-assi tal-informazzjoni tiegħu, jipproteġihom b’mod proporzjonat mal-kritċità tagħhom, jidentifika l-attakki malajr u jirkupra s-servizzi kritiċi fi ħdan tolleranzi definiti.

Kontrolli ewlenin normalment jinkludu:

1. Ġestjoni b'saħħitha tal-identità u l-aċċess, b'awtentikazzjoni b'ħafna fatturi u kontrolli ta' aċċess privileġġati.
2. Żvilupp sigur tas-software u ġestjoni tal-bidla, inkluż għar-rilaxxi tal-bejjiegħ.
3. Encryption tad-dejta fi tranżitu u fil-mistrieħ, u l-ġestjoni ewlenija li l-bank jikkontrolla.
4. Monitoraġġ kontinwu u kapaċità ta’ operazzjonijiet ta’ sigurtà, internament jew esternalizzati.
5. Ġestjoni tal-vulnerabbiltà u ttestjar regolari tal-penetrazzjoni.
6. Backups li huma iżolati mill-ambjent tal-produzzjoni u ttestjati għar-restawr.
7. Pjanijiet ta’ rispons għal inċidenti li jkopru n-notifika regolatorja u l-komunikazzjoni mal-klijenti.

Il-verifika tal-benefiċjarju, l-analiżi tal-imġiba u l-awtentikazzjoni b'saħħitha tal-klijent jipproteġu lill-klijenti hekk kif il-pagamenti jsiru immedjati u irrevokabbli.

Rappurtar regolatorju

Il-banek jirrapportaw volumi kbar ta’ dejta lis-superviżuri u lill-banek ċentrali. Fl-UE, Artikolu 430 tal- CRR jeħtieġ li l-istituzzjonijiet jirrapportaw dwar ir-rekwiżiti ta’ fondi proprji inkluż il-proporzjon tal-ingranaġġ, skoperturi kbar, rekwiżiti ta’ likwidità, piżijiet fuq l-assi u skoperturi ESG, fost elementi oħra, u ċerti istituzzjonijiet għandhom ukoll jirrappurtaw informazzjoni finanzjarja.Il-banek ċentrali jżidu r-rappurtar statistiku, u l-unitajiet tal-intelligence finanzjarja jirċievu rapporti dwar tranżazzjonijiet suspettużi.

Ir-rapporti huma tajbin biss daqs id-dejta li hemm warahom.Il-katina mis-sistema ewlenija għar-regolatur normalment timxi:

1. Dejta tas-sors fis-sistema ewlenija u sistemi operattivi oħra.
2. Maħżen tad-dejta jew saff ta’ rappurtar b’rikonċiljazzjoni mar-reġistru ġenerali.
3. Magna ta’ rappurtar regolatorju li tqabbel id-dejta ma’ mudelli superviżorji u regoli ta’ validazzjoni.
4. Reviżjoni u l-firma off mill-finanzi u r-riskju, bil-kontrolli dokumentati.
5. Sottomissjoni permezz tal-portal jew format tar-regolatur.

Żbalji fir-rappurtar jistgħu jwasslu għal sejbiet superviżorji u, fejn iqarrqu bis-superviżur, għall-infurzar.Banek ġodda spiss jissottovalutaw ix-xogħol ta’ kif jimmappjaw id-dejta tal-prodott mal-mudelli tar-rappurtar qabel it-tnedija.

X’jfittxu s-superviżuri f’applikazzjoni għal liċenzja

1. Arkitettura mira ċara, b’kull sistema, is-sid tagħha, il-fornitur tagħha u l-post tagħha.
2. Mappa funzjonijiet kritiċi jew importanti, li juru liema funzjonijiet huma esternalizzati u lil min.
3. Pjanijiet ta’ ħruġ għal kull fornitur kritiku, realistiċi fil-ħin u fl-ispiża.
4. Il-post tad-data u l-aċċess, inkluż għall-awtorità superviżorja u ta' riżoluzzjoni.
5. Reżiljenza ttestjata, bi żminijiet ta’ rkupru li jaqblu mal-wegħdiet tas-servizz tal-pjan tan-negozju.
6. Evidenza ta’ prontezza, bħall-ittestjar minn tarf sa tarf, prova tal-migrazzjoni u aċċettazzjoni operattiva.

Il-gwida tal-ECB għall-liċenzjar ta’ banek fintech titlob lill-applikanti biex jikkunsidraw pjan ta’ ħruġ sabiex iwaqqfu l-operazzjonijiet b’mod ordnat u solventi, mingħajr ma jagħmlu ħsara lill-konsumaturi jew jeħtieġu intervent regolatorju.L-għażliet teknoloġiċi jiddeterminaw jekk tali pjan ikunx kredibbli: id-dejta għandha tkun tista’ tinġabar, il-kontijiet ikunu jistgħu jiġu ttrasferiti u l-pagamenti jkunu jistgħu jieqfu b’mod nadif.

L-artiklu li jmiss jispjega l-ferroviji tal-ħlas li s-sistema ewlenija tikkonnettja magħhom: skemi ta’ kards, SEPA, pagamenti immedjati u saldu gross f’ħin reali.