Core banking, nuvem, terceirização e regulamentação de tecnologia

Um banco é um conjunto de promessas registradas em um livro-razão.Se o livro-razão estiver errado, indisponível ou comprometido, o banco não poderá saber o que deve, pagar seus clientes ou informar seu supervisor. Por esse motivo, os reguladores agora examinam a arquitetura de tecnologia, terceirização e resiliência cibernética tão de perto quanto os planos de capital.

O que faz um sistema bancário central

O sistema bancário central é o livro-razão dos registros, ele mantém os dados de clientes e contas, publica todas as transações, calcula juros e taxas e produz os saldos nos quais tudo depende.

Funções típicas incluem:

Função	O que cobre
Gestão de clientes e contas	Registros de clientes, abertura de contas, termos do produto, status da conta
Ledger e postagem	Postagem em tempo real ou em lote de débitos e créditos, feeds do livro-razão geral
Depósitos	Contas correntes, de poupança e a prazo, juros acumulados e capitalização
Empréstimo	Interfaces de originação de empréstimos, cronogramas, reembolsos, atrasos, feeds de provisionamento
Interfaces de pagamento	Conexões a hubs de pagamento, processadores de cartões e contas correspondentes
Configuração do produto	Taxas, taxas, limites e regras sem alterações de código
Dados e relatórios	Extratos para finanças, riscos, relatórios regulatórios e monitoramento AML

Ao redor do núcleo estão outros sistemas: canais digitais, um hub de pagamentos, gerenciamento de cartões, integração de clientes e verificação de identidade, triagem de sanções, monitoramento de transações, tesouraria, finanças e o mecanismo de relatórios regulatórios.

Escolhas de arquitetura

Os novos bancos costumam escolher entre três modelos.

1. Software licenciado, hospedado pelo banco ou um provedor. O banco controla a configuração e os dados, mas suporta o ônus da integração.
2. Software como serviço em uma plataforma de nuvem. Mais rápido para lançar, mas o banco depende do roteiro e da resiliência do fornecedor, e o arranjo é terceirizado.
3. Banco como um serviço de outra instituição licenciada. A rota mais rápida, mas pode levantar a questão se o novo banco tem substância suficiente por conta própria.

As autoridades de supervisão não prescrevem um modelo, mas avaliam se o banco compreende e controla aquele que escolheu.

Regras de terceirização

A terceirização significa que um provedor de serviços executa um processo, serviço ou atividade que o banco faria ele mesmo. Na UE, as EBA Orientações sobre acordos de terceirização (EBA/GL/2019/02) entraram em vigor em 30 de setembro de 2019 e substituíram orientações anteriores, incluindo a recomendação separada do EBA sobre terceirização para provedores de serviços em nuvem.

O princípio central é que a responsabilidade não pode ser subcontratada, permanecendo o órgão de gestão responsável por todas as funções subcontratadas. As instituições “devem manter em todos os momentos uma substância suficiente e não se tornarem ‘conchas vazias’ ou ‘entidades de caixa de correio’”.

Funções críticas ou importantes

As diretrizes aplicam requisitos mais rigorosos quando a função terceirizada é crítica ou importante, o que significa que uma falha prejudicaria materialmente a conformidade, o desempenho financeiro ou a continuidade.

1. Realize uma avaliação de risco e due diligence sobre o provedor antes da contratação.
2. Incluir direitos contratuais de acesso, informação e auditoria para o banco e a autoridade competente.
3. Controlar a subcontratação, incluindo notificação e o direito de se opor ou rescindir.
4. Estabeleça requisitos de segurança, localização e confidencialidade dos dados.
5. Ter estratégias de saída documentadas e testadas.
6. Informar a autoridade competente com antecedência da terceirização crítica ou importante planejada.

Todos os acordos devem ser registados num registo de subcontratação mantido pelo banco.

Fora da UE

Regras semelhantes se aplicam em outros lugares. No Reino Unido, PRA Declaração de Supervisão SS2/21 sobre terceirização e gestão de riscos de terceiros, publicada em março de 2021 e com efeitos a partir de 31 de março de 2022, abrange materialidade, segurança de dados, nuvem e planejamento de saída. PRA descreve-o como destinado a facilitar “uma maior resiliência e adoção da nuvem e outras novas tecnologias”.

Em Cingapura, o MAS Diretrizes de gestão de riscos tecnológicos, publicado em 18 de janeiro de 2021, estabelece princípios para a governança de risco tecnológico, TI e resiliência cibernética, e são complementados por um aviso vinculativo e instruções de relatório de incidentes.

DORA: resiliência operacional digital na UE

O Lei de Resiliência Operacional DigitalO Regulamento (UE) 2022/2554, aplicável desde 17 de janeiro de 2025, reúne a gestão do risco das TIC, o relatório de incidentes, os testes e o risco de terceiros num único regulamento para a maioria das entidades financeiras da UE, incluindo bancos.

Área DORA	Requisito básico para bancos
Gerenciamento de riscos das TIC	Uma estrutura documentada aprovada e supervisionada pelo órgão de gestão, abrangendo identificação, proteção, detecção, resposta e recuperação
Relatório de incidente	Os incidentes graves relacionados com as TIC devem ser comunicados à autoridade competente nos termos do artigo Artigo 19, utilizando uma classificação e modelos harmonizados
Teste de resiliência	Um programa de testes para todas as entidades; para entidades identificadas pelas autoridades, testes avançados de penetração baseados em ameaças pelo menos a cada três anos em sistemas de produção ativos sob Artigo 26.o
Risco de terceiros TIC	Uma estratégia sobre o risco de terceiros no domínio das TIC, mínimos contratuais e um registo de informações sobre todos os contratos de serviços de TIC ao abrigo Artigo 28.o
Supervisão de fornecedores críticos	As Autoridades Europeias de Supervisão designam os prestadores terceiros de serviços críticos das TIC e supervisionam-nos diretamente nos termos do artigo 31.º

O artigo 28 afirma que as entidades financeiras que utilizam serviços de TIC “devem, em todos os momentos, permanecer plenamente responsáveis pelo cumprimento e cumprimento de todas as obrigações” sob DORA O registo deve distinguir os serviços que apoiam funções críticas ou importantes. As entidades devem apresentar anualmente relatórios sobre novos acordos e informar a autoridade, em tempo útil, sobre contratos previstos para funções críticas ou importantes.

DORA aplica-se ao lado do EBA Na prática, os bancos mantêm um inventário que satisfaz ambos.

Segurança cibernética

Os supervisores esperam que um banco conheça seus ativos de informação, os proteja em proporção à sua criticidade, detecte ataques rapidamente e recupere serviços críticos dentro de tolerâncias definidas.

Os principais controles geralmente incluem:

1. Gerenciamento robusto de identidade e acesso, com autenticação multifatorial e controles de acesso privilegiado.
2. Desenvolvimento seguro de software e gerenciamento de mudanças, inclusive para versões de fornecedores.
3. Criptografia de dados em trânsito e em repouso, e gerenciamento de chaves que o banco controla.
4. Monitoramento contínuo e capacidade de operações de segurança, interna ou terceirizada.
5. Gestão de vulnerabilidades e testes regulares de penetração.
6. Backups isolados do ambiente de produção e testados para restauração.
7. Planos de resposta a incidentes que abrangem notificação regulatória e comunicação com o cliente.

A verificação do beneficiário, a análise comportamental e a forte autenticação do cliente protegem os clientes à medida que os pagamentos se tornam instantâneos e irrevogáveis.

Informações regulatórias

Os bancos comunicam grandes volumes de dados às autoridades de supervisão e aos bancos centrais. Artigo 430 do Código CRR exige que as instituições informem sobre os requisitos de fundos próprios, incluindo o rácio de alavancagem, grandes exposições, requisitos de liquidez, carga de ativos e exposições ESG, entre outros itens, e certas instituições também devem comunicar informações financeiras.Os bancos centrais acrescentam relatórios estatísticos e as unidades de inteligência financeira recebem relatórios de transações suspeitas.

Os relatórios são apenas tão bons quanto os dados por trás deles.A cadeia do sistema central para o regulador geralmente funciona:

1. Dados de origem no sistema principal e em outros sistemas operacionais.
2. Um armazém de dados ou camada de relatórios com reconciliação para o livro-razão.
3. Um mecanismo de relatórios regulatórios que mapeia dados para modelos de supervisão e regras de validação.
4. Revisão e aprovação por finanças e risco, com controles documentados.
5. Submissão através do portal ou formato do regulador.

Os novos bancos muitas vezes subestimam o trabalho de mapear os dados do produto para os modelos de relatórios antes do lançamento, o que pode levar a erros na geração de relatórios.

O que os supervisores procuram em um pedido de licença

1. Uma arquitetura de alvo clara, com cada sistema, seu proprietário, seu provedor e sua localização.
2. Um mapa de funções críticas ou importantes, mostrando quais funções são terceirizadas e para quem.
3. Planos de saída para cada provedor crítico, realista em tempo e custo.
4. Localização e acesso de dados, incluindo para a autoridade de supervisão e resolução.
5. Resiliência testadacom tempos de recuperação que correspondem às promessas de serviço do plano de negócios.
6. Evidências de prontidão, como testes de ponta a ponta, ensaio de migração e aceitação operacional.

O guia do ECB para o licenciamento de bancos fintech pede aos candidatos que considerem um plano de saída para cessar as operações de forma ordenada e solvente, sem prejudicar os consumidores ou exigir intervenção regulatória.As escolhas tecnológicas determinam se tal plano é credível: os dados devem ser recuperáveis, as contas transferíveis e os pagamentos capazes de parar limpos.

O próximo artigo explica os trilhos de pagamento aos quais o sistema principal se conecta: esquemas de cartões, SEPA, pagamentos instantâneos e liquidação bruta em tempo real.