Основно банкарство, облак, аутсорсинг и регулација технологије

Банка је скуп обећања записаних у главној књизи. Ако је главна књига погрешна, недоступна или компромитована, банка не може знати шта дугује, плаћати своје клијенте или извештавати свог супервизора. Из овог разлога, регулатори сада испитују технологију архитектуре, аутсорсинг и сајбер отпорност исто толико пажљиво као и капиталне планове.

Шта језички банкарски систем ради

Он чува податке о клијентима и рачунима, објављује сваку трансакцију, израчунава камате и таксе, и производи балансе на којима се све остало ослања.

Типичне функције укључују:

Функција	Шта покрива
Управљање клијентима	Записи о купцима, отварање рачуна, услови производа, статус рачуна
Главна књига и плаћање	У реалном времену или пакетно књижење дебита и кредита, доводи главне књиге
Депозити	Текуће, штедње и роковани рачуни, каматна стопа и капитализација
Позајмљивање	Сучеља за порекло позајмица, распореди, враћања, задужења, провизије
Плаћања интерфејси	Повезивање са центрима плаћања, процесорима картица и дописним рачунима
Конфигурација производа	Стопе, накнаде, лимити и правила без промена кодова
Подаци и извештавање	Екстракти за финансије, ризик, регулаторно извештавање и AML мониторинг

Око језгра се налазе други системи: дигитални канали, центар плаћања, управљање картицама, упис клијената и верификација идентитета, провера санкција, праћење трансакција, благајна, финансије и регулаторни извештајни мотор.

Архитектурни избор

Нове банке обично бирају између три модела.

1. Лиценцирани софтвер, хостован од стране банке или провајдера. Банка контролише конфигурацију и податке, али носи терет интеграције.
2. Софтвер као услуга на платформи облака. Брже за покретање, али банка зависи од плана и отпорности продаваца, а аранжман је аутсорсинг.
3. Банкарство као услуга из друге лиценциране институције. Најбржи пут, али може да покрене питање да ли нова банка има довољно сопствене супстанце.

Супервизори не прописују модел, већ процењују да ли банка разуме и контролише оној коју је изабрала.

Аутсорсинг правила

Аутсорсинг значи да провајдер услуга врши процес, услугу или активност коју би банка иначе сама извршила. EBA Смернице за аутсорсинг договоре (EBA/GL/2019/02) ступио је на снагу 30. септембра 2019. године и заменио раније упутства, укључујући EBAОдвојене препоруке о аутсорсингу на провајдерима услуга облака.

Централни принцип је да одговорност не може бити аутсорсирана. управљачко тело остаје одговорно за све аутсорсиране функције. институције „треба да одржавају у сваком тренутку довољно супстанце и да не постају 'празна шкољка' или 'ентитети са поштенским сандачићима'“.

Критичне или важне функције

Смернице примењују строгије захтеве када је аутсорсинг функција критична или важна, што значи да би неуспех материјално утицао на поштовање, финансијску перформансу или континуитет.

1. Процена ризика и дугогодишњих утицаја на животну средину предузима се пре доношења одлуке.
2. Укључују уговорна права приступа, информације и ревизије за банку и надлежне власти.
3. Контрола под-аутсајдерства, укључујући обавештења и право на приговор или прекид.
4. Постављање захтева за безбедност података, локацију и поверљивост.
5. Пронађени су и документовани остаци утврђења.
6. Овај део се односи на предвиђене или планиране активности.

Сви аранжмани морају бити регистровани у аутсорсинг регистар који одржава банка.

Изван ЕУ

Слична правила важе и на другим местима. У Уједињеном Краљевству, PRA Supervisory Statement SS2/21 о аутсорсингу и управљању ризиком треће стране, објављен у марту 2021 и на снази од 31 марта 2022, покрива материјалност, безбедност података, облак и планирање изласка. PRA га описује као намењен да омогући „веће отпорности и усвајање облака и других нових технологија“.

У Сингапуру, MAS Технологија управљања ризиком, објављен 18. јануара 2021, поставио је принципе за управљање технолошким ризиком, ИТ и сајбер отпорност, а допуњени су обавезујућом обавештајем и упутствима за извештавање о инциденту.

DORA: дигитална оперативна отпорност у ЕУ

То. Дигитална револуција Револуционарна технологија, Регламент (ЕУ) 2022/2554, примењује се од 17. јануара 2025. године и доноси управљање ризиком ИКТ-а, извештавање о инциденту, тестирање и ризик треће стране у једну регулативу за већину финансијских ентитета ЕУ, укључујући банке.

ДОРИНА област	Основни захтев за банке
Управљање ИКТ ризиком	Документовани оквир одобрен и надгледан од стране управљачког тела, који покрива идентификацију, заштиту, детекцију, одговор и опоравак
Извештавање о инциденту	Инциденти везани за ИКТ морају бити пријављени надлежном органу под Члан 19., користећи хармонизовану класификацију и шаблоне
Тестирање отпорности	Програм тестирања за све ентитете; за ентитете идентификоване од стране власти, напредно претњом вођено тестирање пенетрације најмање сваке три године на живим производним системима под Члан 26.
ИКТ ризик треће стране	Стратегија о ИКТ ризику треће стране, уговорним минимумима и регистар информација о свим уговорима о ИКТ услугама под Члан 28.
Надгледање критичних провајдера	Европске надзорне власти одређују критичне ИКТ провајдере услуга и директно их надгледају према члану 31.

Члан 28 наводи да финансијски субјекти који користе ИКТ услуге „ће, у сваком тренутку, остати потпуно одговорни за поштовање и испуњавање свих обавеза“ под DORA и законом о финансијским услугама. Регистар мора разликовати услуге које подржавају критичне или важне функције. Уговорни партнери морају да се обавезују да ће у сваком тренутку информисати организацију о својим плановима и активностима.

DORA Применљиво EBA У пракси, банке одржавају један инвентар који задовољава оба.

Киберсигурност

Супервизори очекују од банке да зна своје информационе активе, заштити их у складу са њиховом критичношћу, брзо детектује нападе и поврати критичне услуге у оквиру дефинисаних толеранција.

Кључне контроле обично укључују:

1. Јако управљање идентитетом и приступом, са вишеструком аутентикацијом и контролом привилегованог приступа.
2. Безбедни развој софтвера и управљање променама, укључујући издања произвођача.
3. Криптирање података у транзиту и на миру, и управљање кључем које банка контролише.
4. Континуирано праћење и могућност обезбеђења операција, у кући или аутсорсингу.
5. Управљање рањивостима и редовно тестирање продирања.
6. Резервне копије које су изолиране од производне околине и тестиране за рестаурацију.
7. Планови одговора на инцидене који покривају регулаторне обавештења и комуникацију са купцима.

Верификација примаоца плаћања, анализа понашања и јака аутентикација клијента штите клијенте јер плаћања постају тренутна и неповратна.

Регулаторно извештавање

Банке извештавају велике количине података надзорним органима и централним банкама. Члан 430. CRR Закон захтева од институција да извештавају о захтевима сопственог капитала, укључујући однос половања, велике изложености, захтеве за ликвидност, оптерећење имовине и ЕСУ изложености, између осталих ставки, а одређене институције такође морају да извештавају финансијске информације.

Извештаји су само толико добри колико и подаци иза њих. Ланец од језгра система до регулатора обично иде:

1. Изворни подаци у језгру система и другим оперативним системима.
2. Складиште података или слој извештавања са помирењем са главном књигом.
3. Регулаторни извештајни погон који мапира податке на надзорне шаблоне и правила валидације.
4. Преглед и потписивање од стране финансија и ризика, са документованим контролама.
5. Постављање и управљање веб-порталом.

Грешке у извештавању могу да доведу до надзорних налажења и, где обмане надзорника, спровођења.Нове банке често подцењују посао мапирања података о производима у предлоге за извештавање пре лансирања.

Шта надзорници траже у апликацији за лиценцу

1. Јасна циљна архитектура, са сваким системом, његов власник, његов провајдер и његова локација.
2. Критична или важна функција мапа, показујући које су функције аутсорсинг и коме.
3. Излазни планови за сваки критичан провајдер, реалан у времену и цени.
4. Место и приступ подацима, укључујући за надзорнике и органе за решавање.
5. Тестирана отпорност, са временом опоравка које одговарају обећањима пословног плана.
6. Докази о постојању, као што су тестирање од краја до краја, проба миграције и оперативно прихватање.

То. ECBПортал Биографија Званични сајт ФК Финикс Санса захтева од подносилаца да размишљају о излазном плану за прекид операција на уређен и платежно способан начин, без оштећења потрошача или захтевања регулаторне интервенције. Технолошки избори одређују да ли је такав план веродостојан: подаци морају бити доступни, рачуни могу бити пребачени и плаћања могу да се зауставе чисто.

Следећи чланак објашњава шине плаћања које језгра система повезују: шеме картица, SEPA, инстантне исплате и бруто намирнице у реалном времену.