Core banking, cloud, outsourcing en technologieregulering

Een bank is een reeks beloften die in een grootboek worden vastgelegd. Als het grootboek verkeerd, niet beschikbaar of gecompromitteerd is, kan de bank niet weten wat ze verschuldigd is, haar klanten betalen of verslag uitbrengen aan haar toezichthouder.

Wat een kernbanksysteem doet

Het kernbanksysteem is het grootboek, dat klant- en rekeninggegevens bevat, elke transactie boekt, rente en kosten berekent en de saldi produceert waarop al het andere berust.

Typische functies omvatten:

Functie	Wat het omvat
Klant- en accountbeheer	Klantgegevens, accountopening, productvoorwaarden, accountstatus
Ledger en boeking	Real-time of batch boeking van debiteuren en crediteuren, grootboek feeds
Stortingen	Lopende rekeningen, spaarrekeningen en termijnrekeningen, renteopbouw en kapitalisatie
Uitlenen	Interfaces voor het genereren van leningen, schema's, terugbetalingen, achterstallige betalingen, provisioningfeeds
Betalingsinterfaces	Verbindingen met betalingshubs, kaartverwerkers en correspondentenrekeningen
Productconfiguratie	Tarieven, kosten, limieten en regels zonder codewijzigingen
Gegevens en rapportage	Uittreksels voor financiën, risico's, wettelijke rapportage en AML monitoring

Rondom de kern zitten andere systemen: digitale kanalen, een betaalhub, kaartbeheer, klantonboarding en identiteitsverificatie, sanctiescreening, transactiemonitoring, treasury, finance en de regulatory reporting engine.

Architectuurkeuzes

Nieuwe banken kiezen meestal tussen drie modellen.

1. Software met licentie, gehost door de bank of een provider. De bank beheert de configuratie en gegevens, maar draagt de integratielasten.
2. Software as a service op een cloudplatform. Sneller te lanceren, maar de bank is afhankelijk van de roadmap en veerkracht van de leverancier, en de regeling is outsourcing.
3. Bankieren als dienst van een andere vergunninghoudende instelling. De snelste route, maar het kan de vraag oproepen of de nieuwe bank genoeg eigen inhoud heeft.

Toezichthouders schrijven geen model voor, maar beoordelen of de bank het gekozen model begrijpt en controleert.

Outsourcingregels

Onder outsourcing wordt verstaan dat een dienstverlener een proces, dienst of activiteit uitvoert die de bank anders zelf zou uitvoeren. In de EU zijn op 30 september 2019 de EBA Richtlijnen inzake uitbestedingsregelingen (EBA/GL/2019/02) van kracht geworden, ter vervanging van eerdere richtlijnen, waaronder de afzonderlijke aanbeveling van de EBA over het uitbesteden aan cloudserviceproviders.

Het centrale principe is dat verantwoordelijkheid niet kan worden uitbesteed, het leidinggevend orgaan blijft verantwoordelijk voor alle uitbestede functies. Instellingen “moeten te allen tijde voldoende inhoud behouden en mogen geen ‘lege schalen’ of ‘brievenbusentiteiten’ worden”.

Kritische of belangrijke functies

De richtsnoeren stellen strengere eisen wanneer de uitbestede functie van kritieke of belangrijke aard is, wat betekent dat een tekortkoming de compliance, financiële prestaties of continuïteit aanzienlijk zou schaden.

1. Voer een risicobeoordeling en due diligence uit op de aanbieder voordat u contracteert.
2. Inclusief contractuele rechten van toegang, informatie en audit voor de bank en de bevoegde autoriteit.
3. Controle over sub-outsourcing, inclusief kennisgeving en het recht om bezwaar te maken of op te zeggen.
4. Stel vereisten vast voor gegevensbeveiliging, locatie en vertrouwelijkheid.
5. Hebben gedocumenteerde en geteste exitstrategieën.
6. De bevoegde autoriteit vooraf op de hoogte stellen van geplande kritische of belangrijke uitbesteding.

Alle afspraken moeten worden vastgelegd in een door de bank bijgehouden uitbestedingsregister.

Buiten de EU

Vergelijkbare regels gelden elders. In het Verenigd Koninkrijk, PRA Supervisory Statement SS2/21 over outsourcing en derde partij risicobeheer, gepubliceerd in maart 2021 en van kracht vanaf 31 maart 2022, heeft betrekking op materialiteit, gegevensbeveiliging, cloud en exit planning.De PRA beschrijft het als bedoeld om “grotere veerkracht en acceptatie van de cloud en andere nieuwe technologieën” te vergemakkelijken.

In Singapore leggen de MAS Technology Risk Management Guidelines, gepubliceerd op 18 januari 2021, principes vast voor technologierisico-governance, IT en cyberveiligheid, aangevuld met een bindende kennisgeving en instructies voor het melden van incidenten.

DORA: digitale operationele veerkracht in de EU

De Wet op de digitale operationele veerkracht, Verordening (EU) 2022/2554, is sinds 17 januari 2025 van toepassing en brengt ICT-risicobeheer, incidentrapportage, testen en risico's van derden samen in één verordening voor de meeste financiële entiteiten in de EU, waaronder banken.

DORA-gebied	Kernvereiste voor banken
ICT risicobeheer	Een gedocumenteerd kader dat is goedgekeurd en wordt gecontroleerd door het leidinggevend orgaan, met betrekking tot identificatie, bescherming, detectie, respons en herstel
Incident melden	Grote ICT-gerelateerde incidenten moeten worden gemeld aan de bevoegde autoriteit onder Artikel 19, met gebruikmaking van geharmoniseerde indeling en sjablonen
Resilience testen	Een testprogramma voor alle entiteiten; voor door de autoriteiten geïdentificeerde entiteiten, ten minste om de drie jaar geavanceerde dreigingsgestuurde penetratietests op live productiesystemen overeenkomstig artikel 26
ICT derdenrisico	Een strategie voor ICT-risico's van derden, contractuele minimumen en een register met informatie over alle ICT-dienstcontracten onder Artikel 28
Toezicht op kritische aanbieders	De Europese toezichthoudende autoriteiten wijzen derden die kritieke ICT-diensten verlenen aan en voeren rechtstreeks toezicht op hen uit hoofde van artikel 31.

Artikel 28 bepaalt dat financiële entiteiten die gebruik maken van ICT-diensten “te allen tijde volledig verantwoordelijk blijven voor de naleving en uitvoering van alle verplichtingen” uit hoofde van DORA en de wet op de financiële dienstverlening. Het register moet onderscheid maken tussen diensten die kritieke of belangrijke functies ondersteunen, entiteiten moeten jaarlijks rapporteren over nieuwe regelingen en de autoriteit tijdig informeren over geplande contracten voor kritische of belangrijke functies.

DORA geldt naast de EBA outsourcing richtlijnen, in de praktijk houden banken één inventaris aan die aan beide voldoet.

Cybersecurity

De toezichthouders verwachten van een bank dat zij haar informatie-assets kent, deze beschermt in verhouding tot hun kritieke waarde, aanvallen snel detecteert en kritische diensten herstelt binnen gedefinieerde toleranties.

Belangrijkste besturingselementen zijn meestal:

1. Sterk identiteits- en toegangsbeheer, met meervoudige verificatie en geprivilegieerde toegangscontrole.
2. Beveilig softwareontwikkeling en verandermanagement, ook voor vendor releases.
3. Versleuteling van gegevens in transit en in rust, en sleutelbeheer dat de bank beheert.
4. Continue bewaking en een capaciteit voor veiligheidsoperaties, in-house of uitbesteed.
5. Vulnerability management en regelmatige penetratietests.
6. Back-ups die zijn geïsoleerd van de productieomgeving en getest voor herstel.
7. Incidentresponsplannen die betrekking hebben op meldingen van regelgeving en communicatie met klanten.

Verificatie van de begunstigde, gedragsanalyse en sterke klantauthenticatie beschermen klanten omdat betalingen onmiddellijk en onherroepelijk worden uitgevoerd.

Reglementaire rapportage

Banken rapporteren grote hoeveelheden gegevens aan toezichthouders en centrale banken. In de EU verplicht Artikel 430 van de CRR instellingen om te rapporteren over eigen vermogensvereisten, waaronder de hefboomratio, grote blootstellingen, liquiditeitsvereisten, bezwaren op activa en ESG-blootstellingen, onder andere items, en sommige instellingen moeten ook financiële informatie rapporteren.

Rapporten zijn slechts zo goed als de data erachter, de keten van kernsysteem tot regelaar loopt meestal als volgt:

1. Brongegevens in het kernsysteem en andere operationele systemen.
2. Een datawarehouse of rapportagelaag met reconciliatie naar het grootboek.
3. Een regelgevende rapportage-engine die gegevens toewijst aan toezichthouderssjablonen en validatieregels.
4. Beoordeling en goedkeuring door financiën en risico, met gedocumenteerde controles.
5. Indiening via het portaal of formaat van de toezichthouder.

Nieuwe banken onderschatten vaak de inspanningen die nodig zijn om productgegevens voorafgaand aan de lancering te koppelen aan rapportagesjablonen, maar het is belangrijk dat deze werkzaamheden worden gecoördineerd met de toezichthouder.

Waarop toezichthouders letten bij een vergunningsaanvraag

1. Een duidelijke doelarchitectuur, met elk systeem, zijn eigenaar, zijn provider en zijn locatie.
2. Een kaart van kritische of belangrijke functies, die laat zien welke functies worden uitbesteed en aan wie.
3. Exitplannen voor elke kritische provider, realistisch in tijd en kosten.
4. Locatie en toegang tot gegevens, onder meer voor de toezichthoudende en afwikkelingsautoriteit.
5. Geteste veerkracht, met hersteltijden die overeenkomen met de servicebeloften van het bedrijfsplan.
6. Bewijs van gereedheid, zoals end-to-end testen, migratieoefening en operationele acceptatie.

De ECB’s gids voor fintech bankvergunningen De Commissie vraagt aanvragers om een exitplan te overwegen voor het op een ordelijke en solvabele wijze beëindigen van de activiteiten, zonder schade toe te brengen aan consumenten of tussenkomst van regelgevende instanties.De technologiekeuzes bepalen of een dergelijk plan geloofwaardig is: gegevens moeten kunnen worden opgehaald, rekeningen moeten overdraagbaar zijn en betalingen moeten schoon kunnen stoppen.

Het volgende artikel legt de betaalrails uit waar het kernsysteem op aansluit: kaartschema's, SEPA, instant betalingen en real-time bruto afrekening.