Основные банковские услуги, облачные технологии, аутсорсинг и регулирование технологий

Банк – это набор обещаний, зафиксированных в бухгалтерской книге. Если бухгалтерская книга неверна, недоступна или скомпрометирована, банк не может знать, что он должен своим клиентам, платить им или отчитываться перед своим руководителем. По этой причине регуляторы теперь изучают технологическую архитектуру, аутсорсинг и киберустойчивость так же внимательно, как и планы капитальных затрат.

Функции основной банковской системы

Основная банковская система является главной бухгалтерской книгой. Она хранит данные о клиентах и счетах, публикует каждую транзакцию, рассчитывает проценты и комиссионные и производит балансы, на которых основано все остальное.

Типические функции включают:

Функция	Что это включает
Управление клиентами и счетами	Клиентская документация, открытие счета, условия продукта, статус счета
Большая книга и бухгалтерский учет	Регистрация дебетовых и кредитовых операций в режиме реального времени или по пакетам, ввод данных в общую бухгалтерскую книгу
Депозит	Текущие, сберегательные и срочные счета, начисленные проценты и капитализация
Кредитование	Интерфейсы инициирования займов, графики, погашения, просроченные платежи, провизионные потоки
Платежный интерфейс	Подключение к платежным центрам, обработчикам карт и корреспондентским счетам
Конфигурация продукта	Ставки, сборы, лимиты и правила без изменения кодов
Данные и отчетность	Выдержки для финансов, рисков, регулятивной отчетности и AML мониторинга

Вокруг ядра расположены другие системы: цифровые каналы, платежный узел, управление картами, ввод клиентов и проверка личности, проверка санкций, мониторинг транзакций, казначейство, финансы и регуляторный механизм отчетности.

Выбор архитектуры

Новые банки обычно выбирают одну из трех моделей.

1. Лицензионное программное обеспечение, размещенное банком или поставщиком. Банк контролирует конфигурацию и данные, но несет бремя интеграции.
2. Программное обеспечение как услуга на облачной платформе. Быстрее запустить, но банк зависит от дорожной карты поставщика и устойчивости, а договоренность является аутсорсингом.
3. Банкинская деятельность как услуга от другого лицензированного учреждения. Самый быстрый путь, но это может вызвать вопрос о том, имеет ли новый банк достаточно собственной субстанции.

Надзорные органы не предписывают модель, а оценивают, понимает ли банк и контролирует ли он выбранную им модель.

Правила аутсорсинга

Аутсорсинг означает, что поставщик услуг выполняет процесс, услугу или деятельность, которую банк в противном случае выполнял бы сам. В ЕС 30 сентября 2019 года вступили в силу EBA Руководящие принципы по аутсорсингу (EBA/GL/2019/02). Они заменили предыдущие руководящие принципы, включая отдельную рекомендацию EBA об аутсорсинге поставщикам облачных услуг.

Центральный принцип заключается в том, что ответственность не может быть передана на внешний подряд. Руководящий орган по-прежнему отвечает за все переданные на внешний подряд функции. Учреждения " должны всегда сохранять достаточное содержание и не превращаться в " пустые оболочки " или " почтовые ящики " .

Критические или важные функции

Руководящие принципы предусматривают более строгие требования в тех случаях, когда передача на внешний подряд функции имеет критическое или важное значение, т.е. если невыполнение этой функции существенно подорвет соблюдение установленных требований, финансовые показатели или непрерывность деятельности.

1. Проводить оценку рисков и проявлять должную осмотрительность в отношении поставщика до заключения контракта.
2. Включает договорные права доступа, информации и аудита для банка и компетентного органа.
3. Контроль за субаутсорсингом, включая уведомление и право на возражение или прекращение.
4. Определить требования в отношении безопасности, местонахождения и конфиденциальности данных.
5. Задокументированы и апробированы стратегии выхода.
6. Заблаговременно информировать компетентный орган о планируемом передаче на внешний подряд важнейших или важных функций.

Все соглашения должны регистрироваться в реестре аутсорсинга, который ведется банком.

За пределами ЕС

Аналогичные правила действуют и в других странах. В Великобритании, PRA Надзорное Заявление SS2/21 по аутсорсингу и управлению рисками третьих сторон, опубликованное в марте 2021 года и действующее с 31 марта 2022 года, охватывает существенность, безопасность данных, облако и планирование выхода. PRA описывает его как предназначенное для содействия «большей устойчивости и принятию облака и других новых технологий».

В Сингапуре MAS Руководящие принципы управления технологическими рисками, опубликованный 18 января 2021 года, устанавливает принципы управления технологическими рисками, устойчивостью в области информационных технологий и кибербезопасности и дополняется обязательным уведомлением и инструкциями по сообщению об инцидентах.

DORA: устойчивость цифровых операций в ЕС

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. Он объединяет управление рисками в сфере ИКТ, отчетность об инцидентах, тестирование и риски третьих сторон в одном нормативном акте для большинства финансовых учреждений ЕС, включая банки.

Дора зона	Основные требования к банкам
Управление рисками в сфере ИКТ	Документированная система, утвержденная и контролируемая руководящим органом, охватывающая идентификацию, защиту, обнаружение, реагирование и восстановление
Отчет об инциденте	Сообщения о крупных инцидентах, связанных с ИКТ, должны направляться компетентному органу в соответствии СТАТЬЯ 19, с использованием согласованной классификации и типовых форм
Тестирование устойчивости	Программа тестирования для всех структур; для структур, определенных властями, проведение по крайней мере раз в три года усовершенствованного тестирования на предмет обнаружения угроз на действующих производственных системах в рамках СТАТЬЯ 26
ICT third party risk	Стратегия в отношении рисков, связанных с деятельностью третьих сторон в сфере ИКТ, минимальные требования к контрактам и реестр информации по всем контрактам на обслуживание в области ИКТ Статья 28.
Надзор за важнейшими поставщиками услуг	Европейские надзорные органы определяют поставщиков важнейших услуг в области ИКТ, являющихся третьими сторонами, и осуществляют за ними непосредственный надзор согласно статье 31

В статье 28 говорится, что финансовые учреждения, использующие услуги ИКТ, " всегда несут полную ответственность за соблюдение и выполнение всех обязательств " в соответствии DORA Реестр должен содержать информацию об услугах, оказываемых в поддержку важнейших или важных функций; организации должны ежегодно представлять доклады о новых договоренностях и своевременно информировать компетентные органы о планируемых контрактах на выполнение важнейших или важных функций.

DORA применяется наряду с руководящими принципами аутсорсинга EBA. На практике банки ведут один инвентарный учет, который удовлетворяет обоим критериям.

Кибербезопасность

Кибер-риск в настоящее время является частью пруденциального надзора. Надзорные органы ожидают, что банк будет знать свои информационные активы, защищать их пропорционально их важности, быстро обнаруживать атаки и восстанавливать критические услуги в рамках определенных допусков.

Ключевые элементы управления обычно включают:

1. Надежное управление идентификацией и доступом с многофакторной проверкой подлинности и контролем привилегированного доступа.
2. Безопасная разработка программного обеспечения и управление изменениями, в том числе для версий поставщиков.
3. Шифрование передаваемых и непередаваемых данных, а также управление ключами под контролем банка.
4. Постоянное наблюдение и обеспечение безопасности операций, осуществляемых собственными силами или на основе внешнего подряда.
5. Управление уязвимостью и регулярное тестирование на проникновение.
6. Резервные копии, изолированные от производственной среды и проверенные на восстановление.
7. Планы реагирования на инциденты, охватывающие уведомление регулирующих органов и связь с клиентами.

Проверка получателей платежей, анализ поведения и надежная аутентификация клиентов защищают клиентов, поскольку платежи становятся мгновенными и необратимыми.

Регламентная отчетность

Банки сообщают большие объемы данных контролирующим органам и центральным банкам. В ЕС, Статья 430 CRR требует от учреждений предоставлять отчетность о требованиях к собственному капиталу, включая коэффициент кредитного плеча, крупные экспозиции, требования к ликвидности, обременение активов и ESG-экспозиции, среди прочих пунктов, а некоторые учреждения также должны представлять финансовую информацию. Центральные банки добавляют статистическую отчетность, а подразделения финансовой разведки получают отчеты о подозрительных операциях.

Отчеты настолько хороши, насколько хороши данные за ними. Цепочка от основной системы до регулятора обычно проходит следующим образом:

1. Источник данных в основной системе и других оперативных системах.
2. Хранилище данных или уровень отчетности с выверкой в общей бухгалтерской книге.
3. Механизм регулятивных отчетов, который сопоставляет данные с шаблонами надзора и правилами проверки.
4. Рассмотрение и утверждение по финансовым вопросам и рискам с документально оформленными механизмами контроля.
5. Представление через портал или формат регулятора.

Ошибки в отчетности могут привести к выводам надзорных органов и, если они вводят в заблуждение надзорные органы, к правоприменительным мерам. " Новые банки " часто недооценивают работу по сопоставлению данных о продуктах с шаблонами отчетности до их запуска.

На что обращают внимание контролирующие органы при рассмотрении заявки на получение лицензии

1. Ясная целевая архитектура, с каждой системой, ее владельцем, поставщиком и местоположением.
2. Карта критических или важных функций, показывающая, какие функции переданы на аутсорсинг и кому.
3. Планы свертывания деятельности для каждого критически важного поставщика, реалистичный с точки зрения времени и затрат.
4. Местонахождение данных и доступ к ним, в том числе для органа по надзору и урегулированию.
5. Проверенная устойчивость, со временем восстановления, которое соответствует обещаниям бизнес-плана.
6. Доказательства готовности, такие как полное тестирование, репетиция миграции и приемка в эксплуатацию.

Руководство ECB по лицензированию финтех-банков просит заявителей рассмотреть план выхода для прекращения операций в упорядоченном и платежеспособном порядке, не нанося ущерба потребителям или требуя вмешательства регуляторов. Технологический выбор определяет, насколько такой план заслуживает доверия: данные должны быть доступны для поиска, счета должны быть переносимыми, а платежи должны быть способны прекращаться без каких-либо помех.

В следующей статье объясняются платежные рельсы, к которым подключается основная система: схемы карт, SEPA, мгновенные платежи и валовые расчеты в реальном времени.