कोर बैंकिङ, क्लाउड, आउटसोर्सिंग र प्रविधि नियमन

एक बैंक एक लेजर मा रेकर्ड गरिएको प्रतिज्ञाहरू को एक सेट छ। लेजर गलत छ भने, अप्राप्य वा सम्झौता, बैंक यो ऋण के थाहा गर्न सक्दैन, आफ्नो ग्राहकहरु भुक्तानी वा यसको प्रबन्धक रिपोर्ट। यस कारणका लागि, नियामक अब टाढा रूपमा प्रविधि वास्तुकला, आउटसोर्सिङ र साइबर resilience capitale योजना रूपमा जाँच.

कोर बैंकिङ प्रणाली के गर्छ

कोर बैंकिङ प्रणाली रेकर्ड को लेजर छ। यो ग्राहक र खाता डाटा पकड, हरेक लेनदेन पोस्ट, ब्याज र शुल्क गणना गर्दछ, र अन्य सबै मा भर पर्दछ जो शेष उत्पादन।

सामान्य प्रकार्यहरू समावेश गर्दछ:

कार्य	यो के कभर गर्दछ
ग्राहक र खाता व्यवस्थापन	ग्राहक रेकर्ड, खाता खोल्ने, उत्पादन शर्तहरू, खाता स्थिति
लेजर र पोस्टिंग	वास्तविक-समय वा ब्याच पोस्टिङ डेबिट र क्रेडिट, सामान्य लेजर फिड
जम्मा	चालू, बचत र अवधि खाताहरू, ब्याज जम्मा र पुँजीकरण
ऋण	ऋण उत्पत्ति इन्टरफेस, तालिकाहरू, भुक्तानी, बक्यौता, प्रविष्टि फिड
भुक्तानी इन्टरफेसहरू	भुक्तानी हब, कार्ड प्रोसेसर र सम्पर्क खाताहरू जडान
उत्पादन कन्फिगरेसन	कोड परिवर्तन बिना दर, शुल्क, सीमा र नियम
डेटा र प्रतिवेदन	वित्त, जोखिम, नियामक प्रतिवेदन र AML निगरानी लागि निकाल्छ

कोर वरिपरि अन्य प्रणाली बस्न: डिजिटल च्यानलहरू, एक भुक्तानी हब, कार्ड व्यवस्थापन, ग्राहक onboarding र पहिचान प्रमाणीकरण, प्रतिबन्ध स्क्रिनिङ, लेनदेन निगरानी, कोष, वित्त र नियामक रिपोर्टिंग इन्जिन.

आर्किटेक्चर विकल्प

नयाँ बैंकहरू सामान्यतया तीन मोडेल बीच चयन।

1. बैंक वा एक प्रदायक द्वारा होस्ट लाइसेन्स सफ्टवेयर। बैंकले कन्फिगरेसन र डाटा नियन्त्रण गर्दछ, तर एकीकरण बोझ लिन्छ।
2. सफ्टवेयर एक क्लाउड प्लेटफर्ममा सेवाको रूपमा। छिटो सुरु गर्न, तर बैंक विक्रेता गरेको रोडम्याप र लचीलापनमा निर्भर गर्दछ, र व्यवस्था आउटसोर्सिंग छ।
3. अन्य लाइसेन्स प्राप्त संस्थाबाट सेवाको रूपमा बैंकिङ। छिटो मार्ग, तर यो प्रश्न उठाउन सक्छ कि नयाँ बैंकसँग यसको आफ्नै पर्याप्त पदार्थ छ।

पर्यवेक्षक एक मोडेल लेख्न छैन। तिनीहरूले बैंक बुझ्छ र यो रोजेको एक नियन्त्रण छ कि मूल्यांकन।

आउटसोर्सिङ नियमहरू

आउटसोर्सिङको अर्थ एक सेवा प्रदायकले प्रक्रिया, सेवा वा गतिविधि गर्दछ कि बैंक अन्यथा आफैँ प्रदर्शन गर्नेछ। युरोपियन युनियनमा, EBA आउटसोर्सिंग व्यवस्थाहरूमा मार्गदर्शक तत्त्वहरू (EBA/GL/2019/02) 30 सेप्टेम्बर 2019 मा लागू भएको थियो। तिनीहरूले क्लाउड सेवा प्रदायकहरूलाई आउटसोर्सिङमा EBA को छुट्टै सिफारिस सहित अघिल्लो निर्देशनलाई प्रतिस्थापन गरे।

केन्द्रीय सिद्धान्त जिम्मेवारी आउटसोर्स गर्न सकिँदैन कि छ। व्यवस्थापन शरीर सबै आउटसोर्स कार्यहरू लागि जिम्मेवार रहन्छ। संस्थाहरूले "सबै समयमा पर्याप्त पदार्थ राख्न र 'खाली shells' वा 'पत्र-बक्स संस्थाहरू' हुन हुँदैन।"

महत्वपूर्ण वा महत्त्वपूर्ण प्रकार्यहरू

निर्देशनहरू जहाँ आउटसोर्सिङ कार्य महत्वपूर्ण वा महत्त्वपूर्ण छ, एक असफलता सामाग्री अनुपालन, वित्तीय प्रदर्शन वा निरन्तरता असर हुनेछ भन्ने अर्थमा सख्त आवश्यकताहरू लागू. यस्तो कार्य लागि, बैंक गर्नुपर्छ:

1. एक जोखिम मूल्यांकन र करार अघि प्रदायक मा due diligence पूरा.
2. बैंक र सम्बन्धित प्राधिकरणको लागि पहुँच, जानकारी र लेखापरीक्षण को अनुबंध अधिकार समावेश गर्नुहोस्।
3. नियन्त्रण उप-आउटसोर्सिङ, सूचना र विरोध वा समाप्त गर्न अधिकार सहित।
4. डाटा सुरक्षा, स्थान र गोपनीयता आवश्यकताहरू सेट गर्नुहोस्।
5. दस्तावेज र परीक्षण बाहिरी रणनीति छ।
6. योजनाबद्ध महत्वपूर्ण वा महत्त्वपूर्ण आउटसोर्सिङ को अग्रिम मा योग्य प्राधिकरण जानकारी।

सबै व्यवस्थाहरू बैंक द्वारा राखिएको एक आउटसोर्सिङ दर्ता मा रेकर्ड गरिएको हुनुपर्छ।

EU बाहिर

यस्तै नियम अन्यत्र लागू. युनाइटेड किंगडम मा, PRA सुपरिवेक्षण विवरण SS2/21 आउटसोर्सिङ र तेस्रो पक्ष जोखिम व्यवस्थापनमा, मार्च 2021 मा प्रकाशित र 31 मार्च 2022 देखि प्रभावकारी, भौतिकता, डाटा सुरक्षा, क्लाउड र बाहिरी योजना कभर गर्दछ। PRA यो "बढी लचीलापन र क्लाउड र अन्य नयाँ प्रविधिहरू को अनुमोदन" सुविधा गर्न इरादा रूपमा वर्णन गर्दछ।

सिंगापुरमा, MAS प्रविधि जोखिम व्यवस्थापन मार्गदर्शक रेखाहरू, जनवरी 18, 2021 मा प्रकाशित, प्रविधि जोखिम शासन, आईटी र साइबर लचीलापनका लागि सिद्धान्तहरू सेट गर्दछन्, र एक बाह्य सूचना र घटना रिपोर्टिङ निर्देशनहरू द्वारा पूरक गरिन्छ।

DORA: युरोपेली युनियनमा डिजिटल अपरेटिंग लचीलापन

डिजिटल अपरेसनल रेजिस्टेन्स एक्ट, नियमन (ईयू) 2022/2554, 17 जनवरी 2025 देखि लागू भएको छ। यसले बैंकहरू सहित अधिकांश युरोपेली संघ वित्तीय संस्थाहरूको लागि एक नियमनमा आईसीटी जोखिम व्यवस्थापन, घटना रिपोर्टिङ, परीक्षण र तेस्रो पक्ष जोखिम ल्याउँछ।

DORA क्षेत्र	बैंकहरूको लागि कोर आवश्यकता
आईसीटी जोखिम व्यवस्थापन	पहिचान कवर, सुरक्षा, पत्ता लगाउने, प्रतिक्रिया र पुन: प्राप्ति, एक दस्तावेजीकरण फ्रेमवर्क स्वीकृत र व्यवस्थापन शरीर द्वारा निगरानी
घटना प्रतिवेदन	अनुच्छेद 19 अन्तर्गत सम्बद्ध निकायलाई प्रमुख आईसीटी सम्बन्धित घटनाहरूको विवरण सुसंगत वर्गीकरण र टेम्प्लेट प्रयोग गरी दिइने छ ।
प्रतिरोध परीक्षण	सबै संस्थाहरूको लागि एक परीक्षण कार्यक्रम; अधिकारियों द्वारा पहिचान संस्थाहरूका लागि, उन्नत खतरा नेतृत्व प्रवेश परीक्षण कम से कम हरेक तीन वर्ष अनुच्छेद 26 अन्तर्गत जीवित उत्पादन प्रणाली मा
आईसीटी तेस्रो पक्ष जोखिम	आईसीटी तेस्रो पक्ष जोखिम, सम्झौता न्यूनतम मा एक रणनीति, र धारा 28 अन्तर्गत सबै आईसीटी सेवा सम्झौताहरूमा जानकारी को एक दर्ता
महत्वपूर्ण प्रदायकहरूको निगरानी	युरोपेली पर्यवेक्षक प्राधिकरणले महत्वपूर्ण आईसीटी तेस्रो-पक्ष सेवा प्रदायकहरू नियुक्त गर्दछ र तिनीहरूलाई लेख अन्तर्गत सीधा निगरानी गर्दछ 31

लेख 28 आईसीटी सेवाहरू प्रयोग वित्तीय संस्थाहरू "सबै समयमा, संग अनुपालन लागि पूर्ण रूपमा जिम्मेवार रहनेछ, र सबै दायित्व को निकासी" अन्तर्गत भन्छ DORA र वित्तीय सेवा कानून. दर्ता महत्वपूर्ण वा महत्त्वपूर्ण कार्य समर्थन सेवाहरू अलग गर्नुपर्छ. संस्थाहरूले नयाँ व्यवस्थामा वार्षिक रिपोर्ट र महत्वपूर्ण वा महत्वपूर्ण कार्य लागि योजनाबद्ध सम्झौताहरू बारेमा समयमै प्राधिकरणलाई जानकारी दिनुपर्छ।

DORA EBA आउटसोर्सिङ दिशानिर्देशहरू साथै लागू हुन्छ। अभ्यासमा, बैंकहरूले दुवै सन्तुष्ट एक सूची कायम राख्न।

साइबर सुरक्षा

साइबर जोखिम अब सावधानीपूर्वक पर्यवेक्षण को एक भाग हो। पर्यवेक्षकहरू आफ्नो सूचना सम्पत्ति थाहा गर्न बैंक अपेक्षा, आफ्नो criticality अनुपातमा तिनीहरूलाई सुरक्षित, आक्रमण चाँडै पत्ता लगाउन, र परिभाषित tolerance भित्र महत्वपूर्ण सेवाहरू पुन: प्राप्ति।

कुञ्जी नियन्त्रणहरू सामान्यतया समावेश गर्दछ:

1. बलियो पहिचान र पहुँच व्यवस्थापन, बहु-कारक प्रमाणीकरण र विशेषाधिकार पहुँच नियन्त्रण संग।
2. सुरक्षित सफ्टवेयर विकास र परिवर्तन व्यवस्थापन, विक्रेता जारी लागि सहित।
3. ट्रान्जिट र आराम मा डाटा को गुप्तीकरण, र बैंक नियन्त्रण कि कुञ्जी व्यवस्थापन।
4. निरन्तर अनुगमन र सुरक्षा सञ्चालन क्षमता, घर वा आउटसोर्स.
5. कमजोरी व्यवस्थापन र नियमित घुसपैठ परीक्षण।
6. उत्पादन वातावरण देखि अलग छन् र पुर्नस्थापना लागि परीक्षण जगेडा ।
7. घटना प्रतिक्रिया योजना नियामक सूचना र ग्राहक संचार कभर कि.

धोखाधडी नियन्त्रण साइबर र भुक्तानी जडान। लाभार्थी प्रमाणीकरण, व्यवहार विश्लेषण र बलियो ग्राहक प्रमाणीकरण भुक्तानी तत्काल र irrevocable हुन रूपमा ग्राहकहरु सुरक्षित।

नियमन रिपोर्टिङ

बैंकहरू पर्यवेक्षक र केन्द्रीय बैंकहरूलाई डाटा को ठूलो मात्रा रिपोर्ट. युरोपेली संघ मा, को लेख 430 CRR अन्य वस्तुहरूको बीच, लिभरेज अनुपात, ठूलो जोखिम, तरलता आवश्यकताहरू, सम्पत्ति encumbrance र ESG जोखिम सहित आफ्नै कोष आवश्यकताहरूमा रिपोर्ट गर्न संस्थाहरू आवश्यक छ, र केही संस्थाहरूले पनि वित्तीय जानकारी रिपोर्ट गर्नुपर्छ। केन्द्रीय बैंकहरूले तथ्याङ्क रिपोर्टिङ थप्छन्, र वित्तीय खुफिया इकाइहरू संदिग्ध लेनदेन रिपोर्ट प्राप्त गर्दछन्।

रिपोर्ट तिनीहरूलाई पछाडि डाटा रूपमा मात्र राम्रो छन्। नियामक गर्न कोर प्रणाली देखि श्रृंखला सामान्यतया चल्छ:

1. कोर प्रणाली र अन्य सञ्चालन प्रणाली मा स्रोत डाटा।
2. एक डेटा भण्डार वा सामान्य मुख्यालय गर्न मेलमिलाप संग रिपोर्टिङ तह।
3. एक नियामक रिपोर्टिङ इन्जिन जो सुपरिवेक्षक टेम्प्लेट र वैधता नियम डेटा मानचित्र गर्दछ।
4. समीक्षा र फाइनान्स र जोखिम द्वारा साइन-आउट, दस्तावेजीकृत नियन्त्रण संग।
5. नियामक गरेको पोर्टल वा ढाँचा मार्फत प्रस्तुति.

रिपोर्टिंग मा त्रुटिहरू पर्यवेक्षक निष्कर्षहरू र, जहाँ तिनीहरूले प्रबन्धक भ्रमित गर्न सक्छन्, कार्यान्वयन नेतृत्व गर्न सक्नुहुन्छ। नयाँ बैंकहरूले प्रायः उत्पादन डाटा नक्साङ्कन को काम सुरु गर्नु अघि टेम्प्लेट रिपोर्टिङ कम मूल्यांकन।

एक लाइसेन्स आवेदन मा के लागि हेर्नुहुन्छ पर्यवेक्षक

1. एक स्पष्ट लक्ष्य वास्तुकला , प्रत्येक प्रणाली, यसको मालिक, यसको प्रदायक र यसको स्थान संग।
2. एक महत्वपूर्ण वा महत्त्वपूर्ण प्रकार्यहरू मानचित्र , कुन प्रकार्यहरू आउटसोर्स छन् र कसलाई देखाउँदै।
3. प्रत्येक महत्वपूर्ण प्रदायक, समय र लागत मा यथार्थवादी लागि निस्कने योजना ।
4. डेटा स्थान र पहुँच , प्रबन्धक र संकल्प अधिकार लागि सहित।
5. परीक्षण resilience, व्यवसाय योजना गरेको सेवा प्रतिज्ञा मिल्ने रिकभरी समय संग।
6. Readiness प्रमाण , जस्तै अन्त-सम्म-अन्त परीक्षण, माइग्रेसन अभ्यास र सञ्चालन स्वीकृति।

यो ECB गरेको fintech बैंक लाइसेन्सिंग को गाइड आवेदकों एक व्यवस्थित र विलायक तरिका मा सञ्चालन बन्द लागि एक बाहिरी योजना विचार गर्न सोध्छ, उपभोक्ताहरूलाई हानि वा नियामक हस्तक्षेप आवश्यक बिना। प्रविधिको विकल्प यस्तो योजना विश्वसनीय छ कि निर्धारण: डाटा पुन प्राप्त गर्न सक्षम हुनुपर्छ, खाताहरू स्थानान्तरणयोग्य र भुक्तानी सफा रोक्न।

अर्को लेखमा मुख्य प्रणाली जडान कि भुक्तानी रेलहरू व्याख्या: कार्ड योजना, SEPA, तत्काल भुक्तानी र वास्तविक-समय कुल निकास।