Bankimi thelbësor, cloud, outsourcing dhe rregullat e teknologjisë

Një bankë është një grup premtimesh të regjistruara në një shënim. Nëse shënimi është i gabuar, jo i disponueshëm ose i komprometuar, banka nuk mund të dijë se sa borxhe ka ndaj klientëve të saj apo t'i raportojë mbikqyrësit të vet. Për këtë arsye, rregullatorët tani shqyrtojnë arkitekturën e teknologjisë, outsourcing dhe qëndrueshmërinë kibernetike aq nga afër sa planet kapitale.

Çfarë bën një sistem bazë bankar

Sistemi bazë bankar është libri i të dhënave, ai mban të dhënat e klientëve dhe llogarive, shkruan çdo transaksion, llogarit interesin dhe pagesat, dhe prodhon bilancin në të cilin mbështetet gjithçka tjetër.

Funksionet tipike përfshijnë:

Funksion	Çfarë mbulon
Menaxhimi i klientëve dhe llogarive	Të dhënat e klientëve, hapja e llogarisë, kushtet e produktit, gjendja e llogarisë
Regjistrim dhe postim	Postimi i debiteve dhe krediteve në kohë reale apo grup, furnizime të librit të përgjithshëm
Depozita	Llogaritë rrjedhëse, të kursimit dhe afat-gjata, akumulimi i interesave dhe kapitalizimi
Kredi	Interfaqet e origjinës së kredisë, planifikimet, ripagimet, prapambetjet, furnizimet
Interfaqja e pagesës	Lidhje me qendrat e pagesës, procesorët e kartave dhe llogaritë korresponduese
Konfigurimi i produktit	Normat, pagesat, kufijtë dhe rregullat pa ndryshime të kodit
Të dhëna dhe raportim	Përmbledhje për financat, rrezikun, raportimin rregullator dhe mbikqyrjen AML

Rreth qendrës qëndrojnë sisteme të tjera: kanalet dixhitale, një qendër pagese, menazhimi i kartave, pranimi i klientëve dhe verifikimi i identitetit, kontrolli i sanksioneve, mbikqyrja e transaksioneve, thesari, financat dhe motori i raportimit rregullator.

Zgjedhjet e arkitekturës

Bankat e reja zakonisht zgjedhin midis tre modeleve.

1. Software i liçensuar, i pritur nga banka ose një ofrues. Banka kontrollon konfigurimin dhe të dhënat, por mban barrën e integrimit.
2. Software si një shërbim në një platformë cloud. Më e shpejtë për të filluar, por banka varet nga udhëzuesi i shitësit dhe elasticiteti, dhe rregullimi është outsourcing.
3. Bankimi si një shërbim nga një institucion tjetër i licensuar. Rruga më e shpejtë, por mund të ngrejë pyetjen nëse banka e re ka mjaft substancë të vetme.

Mbikqyrësit nuk përshkruan një model, ata vlerësojnë në se banka e kupton dhe kontrollon atë që ka zgjedhur.

Rregullat e jashtme

Outsourcing do të thotë se një ofrues shërbimesh kryen një proces, shërbim apo veprimtari që banka përndryshe do ta kryente vetë. EBA Udhëzues mbi rregullimet e jashtme (EBA/GL/2019/02) hyri në fuqi më 30 shtator 2019. Ato zëvendësuan udhëzimet e mëparshme, duke përfshirë EBA’s më vete rekomandim mbi outsourcing të Cloud shërbime ofruesve.

Parimi qendror është se përgjegjësia nuk mund të japet jashtë. Organi menazhues mbetet i përgjegjshëm për të gjitha funksionet e dhëna jashtë. Institucionet "duhet të mbajnë në çdo kohë substancën e mjaftueshme dhe të mos kthehen në 'kokëza bosh' apo 'njësi kutie postare'".

Funksionet kritike ose të rëndësishme

Udhëzuesit zbatojnë kërkesa më të rrepta atje ku funksioni i jashtme është kritik apo i rëndësishëm, që do të thotë se një dështim do të dëmtojë materialisht përputhjen, paraqitjen financiare ose vazhdimësinë. Për këto funksione, banka duhet:

1. Bëni një vlerësim të rrezikut dhe kujdesin e duhur ndaj ofruesit përpara kontratës.
2. Përfshin të drejtat kontraktuale të aksesit, informacionit dhe auditimit për bankën dhe autoritetin kompetent.
3. Kontrolli i nën-outsourcing, duke përfshirë njoftimin dhe të drejtën për t'u kundërshtuar ose për të ndaluar.
4. Përcakto sigurinë e të dhënave, vendndodhjen dhe kërkesat për konfidencialitet.
5. Kanë dokumentuar dhe provuar strategjitë e daljes.
6. Të informojë autoritetin kompetent përpara planifikimit të jashtëm kritik apo të rëndësishëm.

Të gjitha rregullimet duhet të regjistrohen në një rregjistër të jashtme që mbahet nga banka.

Jashtë BE

Rregulla të ngjashme aplikohen gjetkë. Në Mbretërinë e Bashkuar, PRA Deklarata mbikqyrëse SS2/21 mbi menazhimin e jashtëm dhe menaxhimin e rrezikut të palës së tretë, botuar në mars 2021 dhe efektive nga 31 marsi 2022, mbulon materialitetin, sigurinë e të dhënave, retë dhe planifikimin e daljes. PRA e përshkruan atë si të synuar për të lehtësuar "resiliencën më të madhe dhe miratimin e reve dhe teknologjive të tjera të reja".

Në Singapor, MAS Udhëzues për menazhimin e rrezikut të teknologjisë, botuar më 18 janar 2021, vendos parimet për qeverisjen e rrezikut të teknologjisë, IT dhe qëndrueshmërinë kibernetike, dhe plotësohet nga një njoftim detyrues dhe udhëzime për raportimin e incidenteve.

DORA: qëndrueshmëria operacionale dixhitale në BE

Akti i Resiliencës Operacionale Dixhitale, Rregullimi (BE) 2022/2554, është aplikuar që nga 17 janari 2025. Ai sjell menazhimin e rrezikut të ICT, raportimin e incidenteve, testimin dhe rrezikun e palës së tretë në një rregullim për shumicën e entiteteve financiare të BE, duke përfshirë bankat.

Zona DORA	Kërkesa bazë për bankat
Administrimi i rrezikut të ICT	Një kuadër i dokumentuar, i miratuar dhe i mbikqyrur nga organizmi menazhues, që mbulon identifikimin, mbrojtjen, zbulimin, përgjigjen dhe rimëkëmbjen
Raportimi i incidenteve	Incidentet e mëdha lidhur me ICT duhet të raportohen tek autoriteti kompetent sipas Nenit 19, duke përdorur klasifikimin dhe modelet e harmonizuara
Testimi i Resiliencës	Një program testimi për të gjitha njësitë; për njësitë e identifikuara nga autoritetet, provat e përparuara të penetrimit të udhëhequra nga kërcënimi së paku çdo tre vjet në sistemet e prodhimit të gjallë nën Neni 26
Rreziku i palës së tretë ICT	Një strategji mbi rrezikun e ICT të palës së tretë, minimumet kontraktuale dhe një rregjistër informacioni mbi të gjitha kontratat e shërbimeve të ICT nën Neni 28
Mbikqyrja e ofruesve kritikë	Autoritetet Europiane të Mbikqyrjes përcaktojnë ofruesit kritikë të shërbimeve të ICT-së dhe i mbikqyrin ata drejtpërdrejt sipas Nenit 31

Neni 28 thotë se njësitë financiare që përdorin shërbimet e ICT-së "do të mbeten, në çdo kohë, plotësisht përgjegjëse për zbatimin dhe zbatimin e të gjitha detyrimeve" nën DORA Njësitë duhet të raportojnë çdo vit mbi rregullimet e reja dhe ta informojnë autoritetin në kohën e duhur rreth kontratave të planifikuara për funksionet kritike apo të rëndësishme.

DORA aplikohet së bashku me udhëzimet e outsourcing EBA. Në praktikë, bankat mbajnë një inventarë që i kënaq të dyja.

Siguria kibernetike

Rreziku kibernetik është tani pjesë e mbikqyrjes së kujdesshme. Mbikqyrësit presin që një bankë të njohë pasuritë e saj informacionore, t'i mbrojë ato në përpjestim me rëndësinë kritike të tyre, të zbulojë sulmet shpejt dhe të rifitojë shërbimet kritike brenda tolerancave të përcaktuara.

Kontrollet kyçe zakonisht përfshijnë:

1. Identiteti i fortë dhe menazhimi i aksesit, me autentifikim shumë-faktorësh dhe kontrolle të privilegjuara të hyrjes.
2. Zhvillimi i sigurt i softuerit dhe menazhimi i ndryshimeve, duke përfshirë lëshimet e shitësve.
3. Kriptimi i të dhënave në tranzit dhe në qetësi, dhe menazhimi kyç që banka kontrollon.
4. Mbikqyrje e vazhdueshme dhe një aftësi operacionesh sigurie, brenda ose jashtë.
5. Menaxhimi i vulnerabilitetit dhe teste të rregullta penetrimi.
6. Backupet që janë të izoluara nga mjedisi i prodhimit dhe të testuara për restaurim.
7. Planet e përgjigjes ndaj incidenteve që mbulojnë njoftimin rregullator dhe komunikimin me klientët.

Kontrollet e mashtrimeve lidhin kibernetikën dhe pagesat. verifikimi i të paguarve, analizat e sjelljes dhe autentifikimi i fortë i klientëve mbrojnë klientët pasi pagesat bëhen të menjëhershme dhe të pakthyeshme.

Raportimi rregullator

Bankat raportojnë sasi të mëdha të dhënash tek mbikqyrësit dhe bankat qendrore. Në BE, Neni 430 i CRR kërkon që institucionet të raportojnë për kërkesat e fondeve të veta duke përfshirë raportin e nxitjes, ekspozimet e mëdha, kërkesat e likuiditetit, ngarkimin e aseteve dhe ekspozimet ndaj ESG-së, mes gjërave të tjera, dhe disa institucione gjithashtu duhet të raportojnë informacion financiar.

Raportet janë aq të mira sa të dhënat pas tyre. zinxhiri nga sistemi thelbësor tek rregullatori zakonisht shkon:

1. Burimi i të dhënave në sistemin bazë dhe sisteme të tjera operative.
2. Një depo të dhënash ose nivel raportimi me pajtim në librin e përgjithshëm.
3. Një motor i raportimit rregullator që përshkruan të dhënat në modelet mbikqyrëse dhe rregullat e vërtetimit.
4. Shqyrtimi dhe nënshkrimi nga financat dhe rreziku, me kontrolle të dokumentuara.
5. Paraqitja nëpërmjet portalit apo formatit të rregullatorit.

Gabimet në raportim mund të çojnë në gjetje mbikqyrëse dhe, kur ato mashtrojnë mbikqyrësin, zbatimin. Bankat e reja shpesh nënvlerësojnë punën e hartimit të të dhënave të produktit për modelet e raportimit përpara nisjes.

Çfarë kërkojnë mbikqyrësit në një aplikim për licensë

1. Një arkitekturë të qartë objektive, me çdo sistem, pronarin e tij, furnizuesin dhe vendndodhjen e tij.
2. Një hartë e funksioneve kritike ose të rëndësishme, duke treguar se cilat funksione janë të jashtme dhe për kë.
3. Planet e daljes për çdo ofrues kritik, realist në kohë dhe kosto.
4. Pozicioni i të dhënave dhe aksesi, duke përfshirë për mbikqyrësin dhe autoritetin e zgjidhjes.
5. Rezilienca e testuar, me kohë të rimëkëmbjes që përputhen me premtimet e shërbimit të planit të biznesit.
6. Prova e gatishmërisë, si testimi i fundit në fund, provat e migrimit dhe pranimi operacional.

Udhëzuesi i ECB për licensimin e bankave fintech u kërkon aplikantëve të konsiderojnë një plan të daljes për ndërprerjen e veprimtarive në një mënyrë të rregullt dhe solvueshme, pa dëmtuar konsumatorët apo duke kërkuar ndërhyrje rregullatore. Zgjedhjet teknologjike përcaktojnë nëse një plan i tillë është i besueshëm: të dhënat duhet të jenë të kthyeshme, llogaritë të transferueshme dhe pagesat të mundshme për të ndaluar pastër.

Artikulli tjetër shpjegon hekurudhat e pagesës që sistemi bazë lidhet me: skema të kartave, SEPA, pagesa të menjëhershme dhe rregullim të përgjithshëm në kohë reale.