Základné bankovníctvo, cloud, outsourcing a regulácia technológií

Banka je súbor sľubov zaznamenaných v hlavnej knihe. Ak je hlavná kniha nesprávna, nedostupná alebo kompromitovaná, banka nemôže vedieť, čo dlhuje, platiť svojim zákazníkom ani podávať správy svojmu dohľadu.Z tohto dôvodu regulátori teraz skúmajú technologickú architektúru, outsourcing a kybernetickú odolnosť rovnako starostlivo ako kapitálové plány.

Čo robí základný bankový systém

Základný bankový systém je hlavná kniha záznamov, ktorá uchováva údaje o zákazníkoch a účtoch, zaznamenáva každú transakciu, vypočítava úroky a poplatky a vytvára zostatky, na ktorých závisí všetko ostatné.

Typické funkcie zahŕňajú:

Funkcia	Čo to zahŕňa
Správa zákazníkov a účtov	Záznamy o zákazníkoch, otvorenie účtu, podmienky produktu, stav účtu
Veľká kniha a zaúčtovanie	Real-time alebo dávkové zaúčtovanie dlhov a úverov, vstupy do hlavnej knihy
Vklady	Bežné, sporiace a termínované účty, narastanie úrokov a kapitalizácia
Požičiavanie	Rozhrania na vytváranie úverov, harmonogramy, splátky, nedoplatky, zdroje provízií
Platobné rozhrania	Pripojenie k platobným centrám, spracovateľom kariet a korešpondenčným účtom
Konfigurácia produktu	Sadzby, poplatky, limity a pravidlá bez zmeny kódu
Údaje a hlásenia	Výpisy pre finančné, rizikové a regulačné výkazníctvo a AML monitorovanie

Okolo jadra sa nachádzajú ďalšie systémy: digitálne kanály, platobné centrum, správa kariet, zavádzanie zákazníkov a overovanie identity, preverovanie sankcií, monitorovanie transakcií, pokladnica, financie a regulačné vykazovanie.

Výber architektúry

Nové banky si zvyčajne vyberajú z troch modelov.

1. Licencovaný softvér, hosťovaný bankou alebo poskytovateľom. Banka kontroluje konfiguráciu a údaje, ale nesie záťaž integrácie.
2. Softvér ako služba na cloudovej platforme. Rýchlejšie spustenie, ale banka závisí od plánu a odolnosti dodávateľa a usporiadanie je outsourcing.
3. Bankovníctvo ako služba od inej licencovanej inštitúcie. Najrýchlejšia cesta, ale môže vyvolať otázku, či má nová banka dostatočnú vlastnú podstatu.

Orgány dohľadu nepredpisujú model, ale posudzujú, či banka rozumie modelu, ktorý si zvolila, a kontroluje ho.

Pravidlá outsourcingu

Outsourcing znamená, že poskytovateľ služieb vykonáva proces, službu alebo činnosť, ktorú by banka inak vykonávala sama. V EÚ nadobudli účinnosť 30. septembra 2019 EBA Usmernenia o outsourcingových dohodách (EBA/GL/2019/02), ktoré nahradili predchádzajúce usmernenia vrátane samostatného odporúčania EBA o outsourcingu poskytovateľov cloudových služieb.

Ústredným princípom je, že zodpovednosť nemožno preniesť na iné subjekty. Riadiaci orgán zostáva zodpovedný za všetky outsourcované funkcie a inštitúcie „by si mali vždy udržiavať dostatočnú podstatu a nemali by sa stať ‚prázdnymi škrupinami‘ alebo ‚subjektmi v poštovej schránke‘“.

Kritické alebo dôležité funkcie

V usmerneniach sa uplatňujú prísnejšie požiadavky v prípade, ak je outsourcovaná funkcia kritická alebo dôležitá, čo znamená, že jej zlyhanie by podstatne narušilo dodržiavanie súladu s predpismi, finančnú výkonnosť alebo kontinuitu.

1. Pred uzavretím zmluvy vykonajte posúdenie rizík a hĺbkovú analýzu poskytovateľa.
2. Zahŕňajú zmluvné práva na prístup, informácie a audit pre banku a príslušný orgán.
3. Kontrola sub-outsourcingu, vrátane oznámenia a práva namietať alebo ukončiť.
4. Stanovte požiadavky na bezpečnosť, umiestnenie a dôvernosť údajov.
5. Mať zdokumentované a otestované stratégie ukončenia.
6. Informovať príslušný orgán vopred o plánovanom kritickom alebo dôležitom outsourcingu.

Všetky dohody musia byť zaznamenané v registri outsourcingu, ktorý vedie banka.

Mimo EÚ

Podobné pravidlá platia aj inde. V Spojenom kráľovstve PRA Vyhlásenie orgánov dohľadu SS2/21 Nový dokument o outsourcingu a riadení rizík tretích strán, ktorý bol zverejnený v marci 2021 s účinnosťou od 31. marca 2022, sa zaoberá významnosťou, bezpečnosťou údajov, cloudom a plánovaním ukončenia. PRA Popisuje ho ako zameraný na uľahčenie „väčšej odolnosti a prijatia cloudu a iných nových technológií“.

V Singapure, MAS Usmernenia pre riadenie technologických rizík, ktoré boli zverejnené 18. januára 2021, stanovujú zásady riadenia technologických rizík, IT a kybernetickej odolnosti a sú doplnené záväzným oznámením a pokynmi na hlásenie incidentov.

DORA: digitálna operačná odolnosť v EÚ

Zákon o digitálnej operačnej odolnosti, nariadenie (EÚ) 2022/2554, sa uplatňuje od 17 januára 2025. Pre väčšinu finančných inštitúcií EÚ vrátane bánk zahŕňa riadenie rizík v oblasti IKT, ohlasovanie incidentov, testovanie a riziká tretích strán do jedného nariadenia.

DORA oblasť	Základná požiadavka pre banky
Riadenie rizík IKT	Zdokumentovaný rámec schválený a kontrolovaný riadiacim orgánom, ktorý zahŕňa identifikáciu, ochranu, zisťovanie, reakciu a obnovenie
Nahlásenie incidentu	Veľké incidenty súvisiace s IKT sa musia oznámiť príslušnému orgánu podľa Článok 19, s použitím harmonizovanej klasifikácie a šablón
Testovanie odolnosti	Testovací program pre všetky subjekty; v prípade subjektov identifikovaných orgánmi pokročilé penetračné testovanie riadené hrozbami aspoň každé tri roky na živých produkčných systémoch podľa Článok 26
ICT riziko tretej strany	Stratégia týkajúca sa rizika IKT tretích strán, zmluvných minimálnych požiadaviek a registra informácií o všetkých zmluvách o poskytovaní služieb v oblasti IKT podľa Článok 28
Dohľad nad kritickými poskytovateľmi	Európske orgány dohľadu určujú poskytovateľov kritických služieb IKT tretích strán a vykonávajú nad nimi priamy dohľad podľa článku 31

Článok 28 uvádza, že finančné subjekty využívajúce služby IKT „zostávajú vždy plne zodpovedné za dodržiavanie a plnenie všetkých povinností“ podľa DORA Subjekty musia každoročne podávať správy o nových opatreniach a včas informovať orgán o plánovaných zmluvách týkajúcich sa kritických alebo dôležitých funkcií, ako aj poskytnúť informácie o činnostiach vykonávaných na základe týchto zmlúv.

DORA Platí spolu s EBA V praxi banky udržiavajú jeden inventár, ktorý spĺňa obidve požiadavky.

Kybernetická bezpečnosť

Dozorné orgány očakávajú, že banka pozná svoje informačné aktíva, chráni ich v pomere k ich kritickosti, rýchlo odhaľuje útoky a obnovuje kritické služby v rámci definovaných tolerancií.

Kľúčové ovládacie prvky zvyčajne zahŕňajú:

1. Silná správa identít a prístupu s viacfaktorovým overovaním a ovládaním privilegovaného prístupu.
2. Bezpečný vývoj softvéru a riadenie zmien, vrátane vydaní dodávateľov.
3. Šifrovanie údajov pri prenose aj v pokoji a správa kľúčov, ktorú banka kontroluje.
4. Nepretržité monitorovanie a schopnosť bezpečnostných operácií, interne alebo externe.
5. Riadenie zraniteľností a pravidelné penetračné testy.
6. Zálohy, ktoré sú izolované od produkčného prostredia a testované na obnovenie.
7. Plány reakcie na incidenty, ktoré zahŕňajú regulačné oznámenia a komunikáciu so zákazníkmi.

Verifikácia príjemcu platby, behaviorálna analýza a silná autentifikácia zákazníka chránia zákazníkov tým, že platby sú okamžité a neodvolateľné.

Regulačné vykazovanie

Banky oznamujú veľké objemy údajov orgánom dohľadu a centrálnym bankám. V EÚ Článok 430 CRR vyžaduje, aby inštitúcie oznamovali požiadavky na vlastné zdroje vrátane pákového efektu, veľkých expozícií, požiadaviek na likviditu, zaťaženia aktív a ESG expozícií, okrem iných položiek, a niektoré inštitúcie musia tiež oznamovať finančné informácie.

Správy sú len také dobré ako dáta, ktoré za nimi stoja.Reťazec od základného systému k regulátoru zvyčajne prebieha:

1. Zdrojové údaje v hlavnom systéme a ďalších operačných systémoch.
2. Dátový sklad alebo vrstva vykazovania so zosúladením s hlavnou knihou.
3. Regulačný nástroj na vykazovanie, ktorý mapuje údaje do šablón dohľadu a overovacích pravidiel.
4. Kontrola a schvaľovanie podľa financií a rizík, s dokumentovanými kontrolami.
5. Podanie prostredníctvom portálu alebo formátu regulátora.

Nové banky často podceňujú prácu spojenú s mapovaním údajov o produktoch na šablóny hlásení ešte pred ich uvedením do prevádzky.

Čo dozorné orgány hľadajú v žiadosti o licenciu

1. Jasná cieľová architektúra, s každým systémom, jeho vlastníkom, poskytovateľom a umiestnením.
2. Mapa kritických alebo dôležitých funkcií, ktorá ukazuje, ktoré funkcie sú outsourcované a komu.
3. Plány na ukončenie pre každého kritického poskytovateľa, realistický v čase a nákladoch.
4. Umiestnenie údajov a prístup k nimvrátane orgánu dohľadu a orgánu pre riešenie krízových situácií.
5. Testovaná odolnosť voči poškodeniu, s časmi obnovenia, ktoré zodpovedajú prísľubom služieb obchodného plánu.
6. Dôkaz o pripravenosti, ako je komplexné testovanie, nácvik migrácie a prevádzkové prijatie.

The ECB’s guide to fintech bank licensing asks applicants to consider an exit plan for ceasing operations in an orderly and solvent manner, without harming consumers or requiring regulatory intervention. Technologické voľby určujú, či je takýto plán dôveryhodný: údaje sa musia dať vyhľadať, účty sa musia dať preniesť a platby sa musia dať bez problémov zastaviť.

Ďalší článok vysvetľuje platobné koľajnice, na ktoré sa jadro systému pripája: kartové schémy, SEPA, okamžité platby a hrubé vyrovnanie v reálnom čase.