Kjernebank, sky, outsourcing og teknologiregulering

En bank er et sett med løfter som er registrert i en hovedbok.Hvis hovedboken er feil, utilgjengelig eller kompromittert, kan banken ikke vite hva den skylder, betale kundene sine eller rapportere til tilsynsmyndigheten. Av denne grunn undersøker regulatorer nå teknologiarkitektur, outsourcing og cyber resiliens like nøye som kapitalplaner.

Hva et kjernebanksystem gjør

Kjernebanksystemet er hovedboken som inneholder kunde- og kontodata, posterer hver transaksjon, beregner renter og avgifter, og produserer balansen som alt annet er avhengig av.

Typiske funksjoner inkluderer:

Funksjon	Hva det dekker
Kunde- og kontoadministrasjon	Kundeoppføringer, kontoåpning, produktvilkår, kontostatus
Hovedbok og bokføring	Sanntids- eller batchpostering av debiteringer og kreditter, hovedbokfeeds
Innskudd	Løpende kontoer, spare- og terminkontoer, renteopptjening og kapitalisering
Utlån	Grensesnitt for opprinnelse av lån, tidsplaner, tilbakebetalinger, etterskudd, provisjonering
Betalingsgrensesnitt	Tilkoblinger til betalingshuber, kortprosessorer og korrespondentkontoer
Produktkonfigurasjon	Priser, gebyrer, grenser og regler uten kodeendringer
Data og rapportering	Utdrag for økonomi, risiko, regulatorisk rapportering og AML overvåking

Rundt kjernen sitter andre systemer: digitale kanaler, en betalingshub, kortadministrasjon, kundeinnføring og identitetsbekreftelse, sanksjonsscreening, transaksjonsovervåking, treasury, økonomi og regulatorisk rapporteringsmotor.

Arkitekturvalg

Nye banker velger vanligvis mellom tre modeller.

1. Lisensiert programvare, hostet av banken eller en leverandør. Banken kontrollerer konfigurasjon og data, men bærer integrasjonsbyrden.
2. Software as a service på en skyplattform. Raskere å lansere, men banken er avhengig av leverandørens veikart og robusthet, og ordningen er outsourcing.
3. Banking som tjeneste fra en annen lisensiert institusjon. Den raskeste veien, men det kan stille spørsmål ved om den nye banken har nok substans i seg selv.

Tilsynsmyndighetene foreskriver ikke en modell, men vurderer om banken forstår og kontrollerer den modellen de har valgt.

Outsourcing regler

Med outsourcing menes at en tjenesteleverandør utfører en prosess, tjeneste eller aktivitet som banken ellers ville utført selv. I EU trådte EBA Retningslinjer for outsourcingsordninger (EBA/GL/2019/02) i kraft 30. september 2019 og erstattet tidligere veiledning, herunder EBAs egen anbefaling om outsourcing til skytjenester.

Det sentrale prinsippet er at ansvaret ikke kan outsources, men at ledelsesorganet forblir ansvarlig for alle outsourcede funksjoner. Institusjonene «bør til enhver tid ha tilstrekkelig substans og ikke bli tomme skall eller postkasseenheter».

Kritiske eller viktige funksjoner

Retningslinjene stiller strengere krav der den outsourcede funksjonen er kritisk eller viktig, noe som betyr at et svikt i denne funksjonen vil ha en vesentlig negativ innvirkning på compliance, finansielle resultater eller kontinuitet.

1. Utfør en risikovurdering og due diligence på leverandøren før du inngår kontrakt.
2. Inkluder kontraktsmessige rettigheter til tilgang, informasjon og revisjon for banken og den kompetente myndighet.
3. Kontroll over underleverandør, inkludert varsling og rett til å protestere eller avslutte.
4. Sett krav til datasikkerhet, plassering og konfidensialitet.
5. Har dokumentert og testet exitstrategier.
6. Informere kompetent myndighet på forhånd om planlagt kritisk eller viktig outsourcing.

Alle ordninger skal registreres i et outsourcingregister som banken har.

Utenfor EU

Tilsvarende regler gjelder andre steder. I Storbritannia, PRA Supervisory Statement SS2/21 om outsourcing og tredjeparts risikostyring, publisert i mars 2021 og med virkning fra 31. mars 2022, dekker materiellhet, datasikkerhet, sky og exit planlegging. PRA beskriver det som ment å legge til rette for «større motstandsdyktighet og adopsjon av skyen og andre nye teknologier».

I Singapore fastsetter MAS Technology Risk Management Guidelines, publisert 18. januar 2021, prinsipper for styring av teknologirisiko, IT- og cybermotstandsdyktighet, og suppleres med en bindende varsling og instruksjoner om hendelsesrapportering.

DORA: digital driftssikkerhet i EU

The Lov om digital operasjonell robusthet, Forordning (EU) 2022/2554, har vært i kraft siden 17. januar 2025 og samler IKT-risikostyring, hendelsesrapportering, testing og tredjepartsrisiko i én forskrift for de fleste finansinstitusjoner i EU, inkludert banker.

DORA område	Kjernekrav for banker
IKT-risikostyring	Et dokumentert rammeverk godkjent og overvåket av ledelsesorganet, som dekker identifikasjon, beskyttelse, påvisning, respons og gjenoppretting
Hendelsesrapportering	Større IKT-relaterte hendelser skal rapporteres til kompetent myndighet etter artikkel 19, ved bruk av harmonisert klassifisering og maler
Testing av motstandskraft	Et testprogram for alle enheter; for enheter som er identifisert av myndigheter, avansert trusselstyrt penetrasjonstesting minst hvert tredje år på levende produksjonssystemer under Artikkel 26
IKT tredjepartsrisiko	En strategi for IKT-tredjepartsrisiko, kontraktsmessige minimumer og et register over informasjon om alle IKT-tjenestekontrakter under Artikkel 28
Tilsyn med kritiske leverandører	De europeiske tilsynsmyndighetene utpeker kritiske tredjepartsleverandører av IKT-tjenester og fører direkte tilsyn med dem i henhold til artikkel 31

Artikkel 28 sier at finansielle enheter som bruker IKT-tjenester «skal til enhver tid være fullt ansvarlige for overholdelse av og oppfyllelse av alle forpliktelser» under DORA Foretakene skal årlig rapportere om nye ordninger og i god tid informere tilsynsmyndigheten om planlagte kontrakter for kritiske eller viktige funksjoner, samt at det skal være en klar skillelinje mellom tjenester som støtter kritiske eller viktige funksjoner og tjenester som ikke gjør det.

DORA gjelder ved siden av EBA-retningslinjene for outsourcing, og i praksis opprettholder bankene en lagerbeholdning som tilfredsstiller begge.

Nettsikkerhet

Tilsynsmyndighetene forventer at en bank kjenner sine informasjonsressurser, beskytter dem i forhold til hvor kritiske de er, oppdager angrep raskt og gjenoppretter kritiske tjenester innenfor definerte toleranser.

Nøkkelkontroller inkluderer vanligvis:

1. Sterk identitets- og tilgangsadministrasjon, med flerfaktorautentisering og privilegiert tilgangskontroll.
2. Sikker programvareutvikling og endringshåndtering, inkludert for leverandørutgivelser.
3. Kryptering av data i transitt og hvile, og nøkkelhåndtering som banken kontrollerer.
4. Kontinuerlig overvåking og sikkerhetsoperasjoner, internt eller eksternt.
5. Sårbarhetshåndtering og regelmessig penetrasjonstesting.
6. Sikkerhetskopier som er isolert fra produksjonsmiljøet og testet for gjenoppretting.
7. Planer for respons på hendelser som dekker varsling til myndigheter og kundekommunikasjon.

Verifikasjon av betalingsmottakere, atferdsanalyser og sterk kundeautentisering beskytter kundene etter hvert som betalinger blir øyeblikkelige og ugjenkallelige.

Forskriftsmessig rapportering

Bankene rapporterer store mengder data til tilsynsmyndighetene og sentralbankene. I EU Artikkel 430 av CRR Det krever at institusjoner rapporterer om egenkapitalkrav, inkludert giringsprosent, store eksponeringer, likviditetskrav, aktivabelastning og ESG-eksponering, blant andre elementer. Visse institusjoner må også rapportere finansiell informasjon. Sentralbankene legger til statistisk rapportering, og finansetterretningsenheter mottar rapporter om mistenkelige transaksjoner.

Rapporter er bare så gode som dataene bak dem, og kjeden fra kjernesystem til regulator går vanligvis slik:

1. Kildedata i kjernesystemet og andre driftssystemer.
2. Et datalager eller rapporteringslag med avstemming til hovedboken.
3. En regulatorisk rapporteringsmotor som tilordner data til tilsynsmaler og valideringsregler.
4. Gjennomgang og godkjenning av økonomi og risiko, med dokumenterte kontroller.
5. Innlevering gjennom tilsynsmyndighetens portal eller format.

Nye banker undervurderer ofte arbeidet med å kartlegge produktdata til rapporteringsmaler før lansering, og det er derfor viktig at de har en god oversikt over hva som skal rapporteres.

Hva tilsynet ser etter i en tillatelsessøknad

1. En klar målarkitektur, med hvert system, dets eier, leverandør og beliggenhet.
2. En kritisk eller viktig funksjoner kart, som viser hvilke funksjoner som er outsourcet og til hvem.
3. Avslutningsplaner for hver kritiske leverandør, realistisk i tid og kostnad.
4. Dataplassering og tilgang, herunder for tilsyns- og avviklingsmyndigheten.
5. Testet robusthet, med gjenopprettingstider som samsvarer med forretningsplanens serviceløfter.
6. Beredskapsbevis, for eksempel ende-til-ende testing, migrering øvelse og operativ aksept.

ECBs veiledning for fintech bank lisensiering ber søkere om å vurdere en exit plan for å avslutte virksomheten på en ordnet og solvent måte, uten å skade forbrukerne eller kreve regulatorisk inngrep.Teknologi valg avgjør om en slik plan er troverdig: data må være gjenfinnbare, kontoer overførbare og betalinger i stand til å stoppe rent.

Den neste artikkelen forklarer betalingsskinner som kjernesystemet kobler til: kortordninger, SEPA, øyeblikkelig betaling og sanntid brutto oppgjør.