Osnovno bančništvo, oblak, zunanje izvajanje in tehnološki predpisi

Banka je zbirka obljub, ki so zabeležene v knjigi. Če je knjiga napačna, nedostopna ali ogrožena, banka ne more vedeti, kaj dolguje, plačati svojim strankam ali poročati svojemu nadzorniku. Iz tega razloga regulatorji zdaj preučujejo tehnološko arhitekturo, zunanje izvajanje in kibernetsko odpornost tako natančno kot kapitalske načrte.

Kaj počne osnovni bančni sistem

Osrednji bančni sistem je glavna knjiga, ki hrani podatke o strankah in računih, evidentira vsako transakcijo, izračunava obresti in provizije ter ustvarja bilance stanja, na katerih temelji vse ostalo.

Tipične funkcije vključujejo:

Funkcija	Kaj zajema
Upravljanje strank in računov	Evidence strank, odpiranje računa, pogoji izdelka, status računa
Knjiga in knjiženje	Knjiženje debetnih in kreditnih transakcij v realnem času ali v serijah, podatki iz glavne knjige
Depoziti	Tekoči, varčevalni in terminski računi, obračunavanje obresti in kapitalizacija
Posojilo	Vmesniki za nastanek posojila, urniki, odplačila, zamude, vire za zagotavljanje sredstev
Plačilni vmesniki	Povezave s plačilnimi vozlišči, procesorji kartic in korespondenčnimi računi
Konfiguracija izdelka	Tarife, provizije, omejitve in pravila brez sprememb kode
Podatki in poročanje	Izvlečki za finance, tveganja, regulativno poročanje in AML spremljanje

Okoli jedra se nahajajo drugi sistemi: digitalni kanali, plačilno vozlišče, upravljanje s karticami, vključevanje strank in preverjanje identitete, pregled sankcij, spremljanje transakcij, zakladnica, finance in regulatorni mehanizem poročanja.

Arhitekturne izbire

Nove banke običajno izbirajo med tremi modeli.

1. Licencirana programska oprema, ki jo gosti banka ali ponudnik. Banka nadzira konfiguracijo in podatke, vendar nosi breme integracije.
2. Programska oprema kot storitev na platformi v oblaku. Hitrejši zagon, vendar je banka odvisna od časovnega načrta in odpornosti prodajalca, dogovor pa je outsourcing.
3. Bančništvo kot storitev druge licencirane institucije. Najhitrejša pot, vendar lahko sproži vprašanje, ali ima nova banka dovolj lastne vsebine.

Nadzorniki ne predpisujejo modela, temveč ocenjujejo, ali banka razume in nadzoruje izbrani model.

Pravila za zunanje izvajanje

Zunanje izvajanje pomeni, da ponudnik storitev opravlja proces, storitev ali dejavnost, ki bi jo banka sicer opravljala sama. V EU so 30. septembra 2019 začele veljati Smernice o zunanjem izvajanju (EBA Guidelines on outsourcing arrangements) (EBA/GL/2019/02), ki so nadomestile prejšnje smernice, vključno z ločenim priporočilom EBA o zunanjemu izvajanju pri ponudnikih storitev v oblaku.

Osrednje načelo je, da odgovornosti ni mogoče prenesti v zunanje izvajanje, upravljalni organ pa ostaja odgovoren za vse funkcije, ki so bile prenesene v zunanje izvajanje. Institucije „bi morale ves čas ohranjati zadostno vsebino in ne postati ‚prazne lupine‘ ali ‚subjekti iz nabiralnika‘“.

Kritične ali pomembne funkcije

Smernice določajo strožje zahteve, kadar je zunanja storitev kritična ali pomembna, kar pomeni, da bi njen neuspeh znatno vplival na skladnost s predpisi, finančno uspešnost ali kontinuiteto poslovanja.

1. Opravite oceno tveganja in skrbni pregled ponudnika pred sklenitvijo pogodbe.
2. Vključuje pogodbene pravice do dostopa, informacij in revizije za banko in pristojni organ.
3. Nadzor nad podizvajalci, vključno z obvestilom in pravico do ugovora ali odpovedi.
4. Določite zahteve glede varnosti, lokacije in zaupnosti podatkov.
5. Imeti dokumentirane in preizkušene izhodne strategije.
6. Vnaprej obvestiti pristojni organ o načrtovanem kritičnem ali pomembnem zunanjem izvajanju.

Vsi dogovori morajo biti zabeleženi v registru zunanjih izvajalcev, ki ga vodi banka.

Izven EU

Podobna pravila veljajo tudi drugje. V Združenem kraljestvu PRA Nadzorniška izjava SS2/21 Novi priročnik o zunanjem izvajanju in upravljanju tveganj tretjih oseb, ki bo objavljen marca 2021 in bo začel veljati 31. marca 2022, zajema bistvenost, varnost podatkov, oblak in načrtovanje izstopa. PRA Opisuje ga kot namen olajšati »večjo odpornost in sprejetje oblaka in drugih novih tehnologij«.

V Singapurju, MAS Smernice za obvladovanje tehnoloških tveganj, objavljeni 18. januarja 2021, določajo načela za upravljanje tehnoloških tveganj ter IT in kibernetsko odpornost, dopolnjujejo pa jih zavezujoče obvestilo in navodila za poročanje o incidentih.

DORA: digitalna operativna odpornost v EU

Zdravilo Zakon o digitalni operativni odpornostiUredba (EU) 2022/2554, ki se uporablja od 17. januarja 2025, združuje obvladovanje tveganj na področju IKT, poročanje o incidentih, testiranje in tveganja tretjih oseb v eno uredbo za večino finančnih subjektov EU, vključno z bankami.

DORA območje	Osnovna zahteva za banke
Upravljanje tveganj IKT	Dokumentiran okvir, ki ga odobri in nadzira vodstveni organ ter zajema identifikacijo, zaščito, odkrivanje, odzivanje in obnovitev
Prijava incidenta	O večjih incidentih, povezanih z IKT, je treba poročati pristojnemu organu v skladu s Člen 19, z uporabo usklajene razvrstitve in predlog
Testiranje odpornosti	Program testiranja za vse subjekte; za subjekte, ki jih določijo organi, napredno preskušanje penetracije na podlagi groženj vsaj vsaka tri leta na živih produkcijskih sistemih pod Člen 26
IKT tveganje tretjih oseb	Strategija o tveganju tretjih oseb na področju IKT, pogodbeni minimumi in register informacij o vseh pogodbah o storitvah IKT v okviru Člen 28
Nadzor kritičnih ponudnikov	Evropski nadzorni organi določijo tretje ponudnike kritičnih storitev IKT in jih neposredno nadzirajo v skladu s členom 31

Člen 28 določa, da finančni subjekti, ki uporabljajo storitve IKT, »v vsakem trenutku ostanejo v celoti odgovorni za izpolnjevanje in izvajanje vseh obveznosti« po DORA V registru morajo biti ločene storitve, ki podpirajo kritične ali pomembne funkcije. Subjekti morajo vsako leto poročati o novih dogovorih in pravočasno obveščati organ o načrtovanih pogodbah za kritične ali pomembne funkcije.

V praksi banke vzdržujejo eno zalogo, ki ustreza obema zahtevama.DORA se uporablja skupaj z EBA usmeritvami za zunanje izvajanje.

Kibernetska varnost

Nadzorniki od banke pričakujejo, da pozna svoje informacijsko premoženje, ga zaščiti sorazmerno z njegovo kritičnostjo, hitro zazna napade in obnovi kritične storitve v okviru določenih toleranc.

Ključni kontrolniki običajno vključujejo:

1. Zmogljivo upravljanje identitet in dostopa z večfaktorskim preverjanjem pristnosti in privilegiranim nadzorom dostopa.
2. Varen razvoj programske opreme in upravljanje sprememb, vključno z izdajami dobaviteljev.
3. Šifriranje podatkov v tranzitu in mirovanju ter upravljanje s ključi, ki ga nadzoruje banka.
4. Neprekinjeno spremljanje in zmogljivost varnostnih operacij, v podjetju ali zunaj njega.
5. Upravljanje ranljivosti in redno penetracijsko testiranje.
6. Varnostne kopije, ki so izolirane od produkcijskega okolja in preizkušene za obnovitev.
7. Načrti odzivanja na incidente, ki zajemajo regulativno obveščanje in komunikacijo s strankami.

Preverjanje prejemnikov plačil, analitika vedenja in močna avtentikacija strank ščitijo stranke, saj so plačila takojšnja in nepreklicna.

Regulativno poročanje

Banke poročajo nadzornikom in centralnim bankam o velikih količinah podatkov. V EU Člen 430 Pogodbe CRR zahteva, da institucije poročajo o kapitalskih zahtevah, vključno s količnikom finančnega vzvoda, velikimi izpostavljenostmi, likvidnostnimi zahtevami, obremenitvami sredstev in ESG izpostavljenostmi, med drugimi postavkami, nekatere institucije pa morajo poročati tudi o finančnih informacijah; centralne banke dodajajo statistično poročanje, enote za finančno obveščanje pa prejemajo poročila o sumljivih transakcijah.

Poročila so le tako dobra kot podatki, ki jih vsebujejo.Veriga od jedrnega sistema do regulatorja običajno poteka:

1. Izvorni podatki v jedrnem sistemu in drugih operacijskih sistemih.
2. Podatkovno skladišče ali sloj poročanja s usklajevanjem z glavno knjigo.
3. Regulativni mehanizem za poročanje, ki preslika podatke v nadzorne predloge in pravila potrjevanja.
4. Pregled in potrditev s strani finančnega oddelka in oddelka za tveganja z dokumentiranimi kontrolami.
5. Predložitev prek regulatornega portala ali formata.

Napake pri poročanju lahko privedejo do ugotovitev nadzornikov in, če zavedejo nadzornika, do izvršilnih ukrepov.Nove banke pogosto podcenjujejo delo pri povezovanju podatkov o produktih s predlogami za poročanje pred začetkom poslovanja.

Kaj nadzorniki iščejo v prošnji za izdajo licence

1. Jasna ciljna arhitektura, z vsakim sistemom, njegovim lastnikom, ponudnikom in lokacijo.
2. Zemljevid kritičnih ali pomembnih funkcij, ki prikazuje, katere funkcije so oddane v zunanje izvajanje in komu.
3. Izhodni načrti Za vsakega kritičnega ponudnika, realno v času in stroških.
4. Lokacija podatkov in dostop, vključno za nadzorni organ in organ za reševanje.
5. Preizkušena odpornost, s časi obnovitve, ki ustrezajo obljubam storitev poslovnega načrta.
6. Dokazilo o pripravljenosti, kot so celovito testiranje, vaje za migracijo in operativni sprejem.

Zdravilo ECBVodnik po licenciranju finančnotehnoloških bank prosilce poziva, naj razmislijo o načrtu za izstop, ki bo omogočal urejeno in solventno prenehanje poslovanja brez škode za potrošnike ali potrebe po regulativnem posredovanju; verodostojnost takšnega načrta je odvisna od izbire tehnologije: podatki morajo biti dostopni, računi prenosljivi, plačila pa se lahko ustavijo brez težav;

Naslednji članek pojasnjuje plačilne tirnice, na katere se jedrni sistem povezuje: kartične sheme, SEPA, takojšnja plačila in bruto poravnava v realnem času.