Bankowość podstawowa, chmura, outsourcing i regulacje technologiczne

Bank jest zbiorem obietnic zapisanych w księdze rachunków, a jeśli ta księga jest nieprawidłowa, niedostępna lub zagrożona, bank nie może wiedzieć, ile jest winien swoim klientom, płacić im ani zgłaszać się do organu nadzorczego. Z tego powodu organy regulacyjne badają obecnie architekturę technologiczną, outsourcing i odporność na cyberataki równie uważnie jak plany kapitałowe.

Co robi podstawowy system bankowy

Rdzeń systemu bankowego to księga rejestrów, która przechowuje dane klientów i rachunków, zapisuje każdą transakcję, oblicza odsetki i opłaty oraz generuje salda, na których opiera się wszystko inne.

Typowe funkcje obejmują:

Funkcja	Co to obejmuje
Zarządzanie klientami i kontami	Rejestry klientów, otwarcie konta, warunki produktu, status konta
Księga i księgowanie	Księgowanie w czasie rzeczywistym lub wsadowe debetów i kredytów, przesyłanie danych do księgi głównej
Depozyty	Rachunki bieżące, oszczędnościowe i terminowe, naliczanie odsetek i kapitalizacja
Pożyczanie	Interfejsy inicjowania pożyczek, harmonogramy, spłaty, zaległości, źródła prowizji
Interfejsy płatności	Połączenia z centrami płatności, procesorami kart i kontami korespondentów
Konfiguracja produktu	Stawki, opłaty, limity i reguły bez zmian kodu
Dane i raportowanie	Wyciągi dla finansów, ryzyka, sprawozdawczości regulacyjnej i AML monitoringu

Wokół rdzenia znajdują się inne systemy: kanały cyfrowe, centrum płatności, zarządzanie kartami, wdrażanie klientów i weryfikacja tożsamości, sprawdzanie sankcji, monitorowanie transakcji, skarb, finanse i mechanizm raportowania regulacyjnego.

Wybór architektury

Nowe banki zazwyczaj wybierają pomiędzy trzema modelami.

1. Licencjonowane oprogramowanie, hostowane przez bank lub dostawcę. Bank kontroluje konfigurację i dane, ale ponosi ciężar integracji.
2. Oprogramowanie jako usługa na platformie w chmurze. Szybsze uruchomienie, ale bank zależy od planu działania i odporności dostawcy, a rozwiązanie to outsourcing.
3. Bankowość jako usługa od innej licencjonowanej instytucji. Najszybsza droga, ale może rodzić pytanie, czy nowy bank ma wystarczającą własną substancję.

Organy nadzoru nie narzucają modelu, lecz oceniają, czy bank rozumie i kontroluje wybrany przez siebie model.

Zasady outsourcingu

Outsourcing oznacza, że usługodawca wykonuje proces, usługę lub czynność, którą w innym przypadku bank wykonywałby samodzielnie. W UE z dniem 30 września 2019 r. weszły w życie EBA Wytyczne dotyczące ustaleń w zakresie outsourcingu (EBA/GL/2019/02), które zastąpiły wcześniejsze wytyczne, w tym odrębne zalecenie EBA w sprawie outsourcingu do dostawców usług w chmurze.

Centralną zasadą jest to, że odpowiedzialność nie może być zlecana na zewnątrz. Organ zarządzający pozostaje odpowiedzialny za wszystkie funkcje zlecone na zewnątrz.Instytucje „powinny przez cały czas utrzymywać wystarczającą treść i nie stać się „pustymi powłokami” lub „podmiotami skrzynek pocztowych”.

Funkcje krytyczne lub ważne

Wytyczne stosują bardziej rygorystyczne wymagania w przypadku, gdy funkcja zlecana na zasadzie outsourcingu ma charakter krytyczny lub ważny, co oznacza, że jej niewykonanie miałoby istotny wpływ na zgodność z przepisami, wyniki finansowe lub ciągłość działania.

1. Przeprowadź ocenę ryzyka i należytą staranność w odniesieniu do dostawcy przed zawarciem umowy.
2. Obejmują one umowne prawa dostępu, informacji i audytu dla banku i właściwego organu.
3. Kontrola podwykonawstwa, w tym powiadomienie i prawo do sprzeciwu lub wypowiedzenia.
4. Określ wymagania dotyczące bezpieczeństwa, lokalizacji i poufności danych.
5. Udokumentowane i przetestowane strategie wyjścia.
6. Poinformowanie właściwego organu z wyprzedzeniem o planowanym krytycznym lub ważnym outsourcingu.

Wszystkie ustalenia muszą być wpisane do rejestru outsourcingu prowadzonego przez bank.

Poza UE

Podobne zasady obowiązują w innych krajach. PRA Oświadczenie nadzorcze SS2/21 Opublikowane w marcu 2021 r. i obowiązujące od 31 marca 2022 r. nowe zasady dotyczące outsourcingu i zarządzania ryzykiem stron trzecich obejmują istotność, bezpieczeństwo danych, chmurę i planowanie wyjścia. PRA Opisuje go jako mający na celu ułatwienie „większej odporności i przyjęcia chmury i innych nowych technologii”.

W Singapurze, MAS Wytyczne dotyczące zarządzania ryzykiem technologicznym, opublikowane w dniu 18 stycznia 2021 r., ustanawiają zasady zarządzania ryzykiem technologicznym, IT i odpornością cybernetyczną oraz są uzupełnione wiążącym zawiadomieniem i instrukcją zgłaszania incydentów.

DORA: cyfrowa odporność operacyjna w UE

The Digital Operational Resilience Act, rozporządzenie (UE) 2022/2554, które stosuje się od 17 stycznia 2025 r. i w którym zarządzanie ryzykiem związanym z ICT, raportowanie incydentów, testowanie i ryzyko stron trzecich są ujęte w jednym rozporządzeniu dla większości instytucji finansowych UE, w tym banków.

obszar DORA	Podstawowy wymóg dla banków
Zarządzanie ryzykiem teleinformatycznym	Udokumentowane ramy zatwierdzone i nadzorowane przez organ zarządzający, obejmujące identyfikację, ochronę, wykrywanie, reagowanie i odzyskiwanie
Zgłaszanie incydentu	Poważne incydenty związane z ICT muszą być zgłaszane właściwemu organowi na podstawie Artykuł 19, przy użyciu zharmonizowanej klasyfikacji i szablonów
Testy odporności	Program testowania dla wszystkich podmiotów; w przypadku podmiotów zidentyfikowanych przez organy, zaawansowane testy penetracyjne oparte na zagrożeniach co najmniej raz na trzy lata na żywych systemach produkcyjnych zgodnie z art. 26
ICT third-party risk	Strategia dotycząca ryzyka ICT ze strony osób trzecich, minimalne warunki umowne oraz rejestr informacji na temat wszystkich umów o świadczenie usług ICT zgodnie z art. 28
Nadzór nad krytycznymi dostawcami	Europejskie urzędy nadzoru wyznaczają zewnętrznych dostawców kluczowych usług ICT i sprawują nad nimi bezpośredni nadzór zgodnie z art. 31

Artykuł 28 stanowi, że podmioty finansowe korzystające z usług teleinformatycznych „przez cały czas pozostają w pełni odpowiedzialne za przestrzeganie i wywiązywanie się ze wszystkich zobowiązań” wynikających DORA Rejestr musi wyróżniać usługi wspierające funkcje krytyczne lub ważne. Podmioty muszą corocznie zgłaszać nowe uzgodnienia oraz informować organ w odpowiednim czasie o planowanych umowach dotyczących funkcji krytycznych lub ważnych, a także o zawarciu umów na świadczenie usług wspierających funkcje krytyczne lub ważne.

W praktyce banki utrzymują jedną inwentaryzację, która spełnia oba te kryteria.DORA stosuje się równolegle do wytycznych outsourcingowych EBA.

Cyberbezpieczeństwo

Organy nadzoru oczekują od banku, że będzie znał swoje aktywa informacyjne, chronił je proporcjonalnie do ich krytycznego znaczenia, szybko wykrywał ataki i przywracał usługi krytyczne w ramach zdefiniowanych tolerancji.

Kluczowe elementy sterujące zazwyczaj obejmują:

1. Zaawansowane zarządzanie tożsamościami i dostępem z uwierzytelnianiem wieloskładnikowym i uprzywilejowaną kontrolą dostępu.
2. Bezpieczny rozwój oprogramowania i zarządzanie zmianami, w tym dla wersji dostawców.
3. Szyfrowanie danych w trakcie przesyłania i spoczynku oraz zarządzanie kluczami, które kontroluje bank.
4. Ciągłe monitorowanie i możliwość operacji zabezpieczających, wewnętrznych lub zlecanych na zewnątrz.
5. Zarządzanie podatnościami i regularne testy penetracyjne.
6. Kopie zapasowe, które są izolowane od środowiska produkcyjnego i testowane pod kątem przywracania.
7. Plany reagowania na incydenty obejmujące powiadomienia regulacyjne i komunikację z klientami.

Weryfikacja odbiorcy, analiza zachowań i silne uwierzytelnianie klienta chronią klientów, ponieważ płatności stają się natychmiastowe i nieodwołalne.

Raportowanie regulacyjne

Banki przekazują duże ilości danych organom nadzoru i bankom centralnym. W UE, Artykuł 430 rozporządzenia CRR wymaga od instytucji raportowania wymogów w zakresie funduszy własnych, w tym między innymi wskaźnika dźwigni finansowej, dużych ekspozycji, wymogów dotyczących płynności, obciążeń aktywów i ekspozycji ESG, a niektóre instytucje muszą również zgłaszać informacje finansowe.

Raporty są tylko na tyle dobre, jak dane za nimi stojące.Łańcuch od systemu podstawowego do regulatora przebiega zwykle:

1. Dane źródłowe w systemie podstawowym i innych systemach operacyjnych.
2. Hurtownia danych lub warstwa raportowania z uzgadnianiem z księgą główną.
3. Mechanizm raportowania regulacyjnego, który mapuje dane na szablony nadzorcze i reguły walidacji.
4. Przegląd i zatwierdzanie przez finanse i ryzyko, z udokumentowanymi kontrolami.
5. Zgłoszenie za pośrednictwem portalu lub formatu regulatora.

Błędy w raportowaniu mogą prowadzić do ustaleń organów nadzoru, a jeśli wprowadzają one w błąd organy nadzoru, do egzekwowania przepisów.

Czego nadzorcy szukają we wniosku o licencję

1. Jasna architektura docelowa, z każdym systemem, jego właścicielem, dostawcą i lokalizacją.
2. Mapa krytycznych lub ważnych funkcji, pokazująca które funkcje są outsourcowane i komu.
3. Plany wyjścia dla każdego ważnego dostawcy, realistyczne pod względem czasu i kosztów.
4. Lokalizacja danych i dostęp, w tym dla organu nadzorczego i organu ds. restrukturyzacji i uporządkowanej likwidacji.
5. Przetestowana odporność, z czasami odzyskiwania zgodnymi z obietnicami dotyczącymi usług zawartymi w planie biznesowym.
6. Dowody gotowości, takie jak kompleksowe testy, próba migracji i akceptacja operacyjna.

The ECBPrzewodnik po licencjonowaniu banków fintech Komisja zwraca się do wnioskodawców o rozważenie planu wyjścia z sytuacji kryzysowej w celu zakończenia działalności w sposób uporządkowany i wypłacalny, bez szkody dla konsumentów lub konieczności interwencji organów regulacyjnych.

Następny artykuł wyjaśnia szyny płatnicze, do których łączy się główny system: schemat kart, SEPA, płatności natychmiastowe i rozliczenia brutto w czasie rzeczywistym.