Core banking, cloud, outsourcing și reglementări tehnologice

O bancă este un set de promisiuni înregistrate într-un registru.Dacă registrul este greșit, indisponibil sau compromis, banca nu poate ști ce datorează, să își plătească clienții sau să raporteze supraveghetorului său. Din acest motiv, autoritățile de reglementare examinează acum arhitectura tehnologică, externalizarea și reziliența cibernetică la fel de atent ca planurile de capital.

Ce face un sistem bancar central

Sistemul bancar de bază este registrul înregistrărilor, care păstrează datele clienților și ale conturilor, înregistrează fiecare tranzacție, calculează dobânzile și taxele și produce soldurile pe care se bazează toate celelalte.

Funcțiile tipice includ:

Funcție	Ce acoperă
Gestionarea clienților și a conturilor	Înregistrările clienților, deschiderea contului, termenii produsului, starea contului
Registru și postare	Înregistrarea în timp real sau pe loturi a debitelor și creditelor, feed-uri de registru general
Depuneri	Conturi curente, de economii și la termen, dobânzi acumulate și capitalizare
Împrumut	Interfețe de inițiere a creditelor, programe, rambursări, arierate, feed-uri de provizionare
Interfețe de plată	Conexiuni la hub-uri de plată, procesoare de carduri și conturi corespondente
Configurare produs	Tarife, comisioane, limite și reguli fără modificări de cod
Date și raportare	Extrase pentru finanțe, riscuri, raportare de reglementare și monitorizare AML

În jurul nucleului se află alte sisteme: canale digitale, un hub de plăți, gestionarea cardurilor, integrarea clienților și verificarea identității, screeningul sancțiunilor, monitorizarea tranzacțiilor, trezoreria, finanțele și motorul de raportare reglementară.

Opțiuni de arhitectură

Băncile noi aleg de obicei între trei modele.

1. Software licențiat, găzduit de bancă sau de un furnizor. Banca controlează configurarea și datele, dar suportă povara integrării.
2. Software ca serviciu pe o platformă cloud. Mai rapid de lansat, dar banca depinde de foaia de parcurs și reziliența furnizorului, iar aranjamentul este externalizat.
3. Banking ca serviciu de la o altă instituție licențiată. Cea mai rapidă cale, dar poate ridica întrebarea dacă noua bancă are suficientă substanță proprie.

Autoritățile de supraveghere nu prescriu un model, ci evaluează dacă banca îl înțelege și îl controlează pe cel ales.

Reguli de externalizare

Externalizarea înseamnă că un furnizor de servicii efectuează un proces, un serviciu sau o activitate pe care banca ar efectua-o altfel ea însăși. EBA Orientări privind contractele de externalizare (EBA/GL/2019/02) au intrat în vigoare la 30 septembrie 2019 și au înlocuit orientările anterioare, inclusiv EBARecomandarea separată a Comisiei privind externalizarea către furnizorii de servicii cloud.

Principiul central este acela că responsabilitatea nu poate fi externalizată, iar organul de conducere rămâne responsabil pentru toate funcțiile externalizate. Instituțiile „ar trebui să mențină în permanență o substanță suficientă și să nu devină «cochilii goale» sau «entități de tip cutie poștală».

Funcții critice sau importante

Orientările aplică cerinţe mai stricte în cazul în care funcţia externalizată este critică sau importantă, ceea ce înseamnă că nerespectarea acesteia ar afecta în mod semnificativ conformitatea, performanţa financiară sau continuitatea.

1. Efectuați o evaluare a riscurilor și due diligence asupra furnizorului înainte de contractare.
2. Include drepturi contractuale de acces, informare și audit pentru bancă și autoritatea competentă.
3. Controlul sub-externalizării, inclusiv notificarea și dreptul de a obiecta sau de a rezilia.
4. Stabiliți cerințele privind securitatea, locația și confidențialitatea datelor.
5. Au documentat și testat strategii de ieșire.
6. Să informeze în prealabil autoritatea competentă cu privire la externalizarea critică sau importantă planificată.

Toate aranjamentele trebuie înregistrate într-un registru de externalizare ținut de bancă.

În afara UE

În Regatul Unit, PRA Declarația de supraveghere SS2/21 privind externalizarea și gestionarea riscurilor terților, publicată în martie 2021 și va intra în vigoare începând cu 31 martie 2022, acoperă semnificativitatea, securitatea datelor, cloudul și planificarea ieșirii. PRA o descrie ca fiind destinată să faciliteze „o mai mare reziliență și adoptarea cloudului și a altor tehnologii noi”.

În Singapore, MAS Linii directoare privind managementul riscului tehnologic, publicate la data de 18 ianuarie 2021, stabilesc principii pentru guvernanța riscurilor tehnologice, IT și reziliență cibernetică și sunt completate de o notificare obligatorie și instrucțiuni de raportare a incidentelor.

DORA: reziliența operațională digitală în UE

- Nu, nu. Legea privind reziliența operațională digitală, Regulamentul (UE) 2022/2554, se aplică începând cu 17 ianuarie 2025 și reunește gestionarea riscurilor TIC, raportarea incidentelor, testarea și riscurile terților într-un singur regulament pentru majoritatea entităților financiare din UE, inclusiv băncile.

Zona DORA	Cerința de bază pentru bănci
Gestionarea riscurilor TIC	Un cadru documentat aprobat și supravegheat de organismul de conducere, care acoperă identificarea, protecția, detectarea, răspunsul și recuperarea
Raportare incident	Incidentele majore legate de TIC trebuie raportate autorității competente în conformitate cu Articolul 19, utilizând clasificarea armonizată și modelele
Testarea rezistenței	Un program de testare pentru toate entitățile; pentru entitățile identificate de autorități, teste avansate de penetrare bazate pe amenințări cel puțin o dată la trei ani pe sisteme de producție active în conformitate cu articolul 26
Riscul TIC al terților	O strategie privind riscul TIC al terților, minimele contractuale și un registru de informații privind toate contractele de servicii TIC în temeiul Articolul 28
Supravegherea furnizorilor critici	Autoritățile europene de supraveghere desemnează furnizorii terți de servicii TIC critice și îi supraveghează direct în temeiul articolului 31

Articolul 28 prevede că entitățile financiare care utilizează servicii TIC „rămân, în orice moment, pe deplin responsabile pentru respectarea și îndeplinirea tuturor obligațiilor” în temeiul DORA Registrul trebuie să facă distincția între serviciile care susțin funcții critice sau importante. Entitățile trebuie să raporteze anual noile acorduri și să informeze autoritatea în timp util cu privire la contractele planificate pentru funcții critice sau importante.

DORA se aplică alături de liniile directoare pentru externalizare EBA.În practică, băncile mențin un inventar care satisface ambele.

Securitate cibernetică

Riscul cibernetic este acum parte a supravegherii prudențiale, iar autoritățile de supraveghere se așteaptă ca o bancă să-și cunoască activele informatice, să le protejeze proporțional cu gradul lor de criticitate, să detecteze rapid atacurile și să recupereze serviciile critice în limitele toleranțelor definite.

Controalele cheie includ de obicei:

1. Gestionare puternică a identității și accesului, cu autentificare multi-factor și controale de acces privilegiat.
2. Dezvoltare software securizată și gestionarea modificărilor, inclusiv pentru versiunile furnizorilor.
3. Criptarea datelor în tranzit și în repaus, precum și gestionarea cheilor pe care banca le controlează.
4. Monitorizare continuă și capacitate de operare a securității, intern sau externalizat.
5. Gestionarea vulnerabilităților și testarea regulată a penetrației.
6. Copii de rezervă izolate de mediul de producție și testate pentru restaurare.
7. Planuri de răspuns la incidente care acoperă notificarea reglementărilor și comunicarea cu clienții.

Verificarea beneficiarului plății, analiza comportamentală și autentificarea puternică a clientului protejează clienții pe măsură ce plățile devin instantanee și irevocabile.

Raportarea de reglementare

Băncile raportează volume mari de date autorităților de supraveghere și băncilor centrale. În UE, Articolul 430 din CRR prevede obligația instituțiilor de a raporta cu privire la cerințele de fonduri proprii, inclusiv rata de îndatorare, expunerile mari, cerințele de lichiditate, împovărarea activelor și expunerile ESG, printre altele, iar anumite instituții trebuie să raporteze și informații financiare.

Rapoartele sunt doar la fel de bune ca datele din spatele lor.Lanțul de la sistemul de bază la regulator se desfășoară, de obicei:

1. Datele sursă în sistemul de bază și alte sisteme operaționale.
2. Un depozit de date sau strat de raportare cu reconcilierea la registrul general.
3. Un motor de raportare a reglementărilor care asociază datele cu șabloanele de supraveghere și regulile de validare.
4. Revizuirea și aprobarea de către finanțe și risc, cu controale documentate.
5. Depunerea prin portalul sau formatul autorității de reglementare.

Erorile în raportare pot duce la constatări din partea autorităților de supraveghere și, în cazul în care induc în eroare autoritatea de supraveghere, la aplicarea legii.Băncile noi subestimează adesea efortul de a asocia datele despre produse cu șabloanele de raportare înainte de lansare.

Ce caută autoritățile de supraveghere într-o cerere de licență

1. O arhitectură ţintă clară, cu fiecare sistem, proprietarul său, furnizorul şi locaţia sa.
2. O hartă a funcţiilor critice sau importante, arătând care funcţii sunt externalizate şi cui.
3. Planuri de ieșire pentru fiecare furnizor critic, realist în timp și cost.
4. Locația și accesul la date, inclusiv pentru autoritatea de supraveghere și de rezoluție.
5. Reziliență testată, cu timpi de recuperare care se potrivesc promisiunilor de servicii ale planului de afaceri.
6. Dovada pregătirii, cum ar fi testarea end-to-end, repetiția de migrare și acceptarea operațională.

- Nu, nu. ECBGhidul pentru licențierea băncilor fintech Comisia solicită solicitanților să aibă în vedere un plan de ieșire pentru încetarea operațiunilor într-un mod ordonat și solvabil, fără a prejudicia consumatorii sau fără a necesita intervenția autorităților de reglementare.Alegerile tehnologice determină dacă un astfel de plan este credibil: datele trebuie să poată fi recuperate, conturile transferabile și plățile capabile să se oprească în mod curat.

Următorul articol explică șinele de plată la care se conectează sistemul de bază: scheme de carduri, SEPA, plăți instantanee și decontare brută în timp real.