Core banking, moln, outsourcing och teknikreglering

En bank är en uppsättning löften som registreras i en huvudbok. Om huvudboken är felaktig, otillgänglig eller komprometterad kan banken inte veta vad den är skyldig, betala sina kunder eller rapportera till sin tillsynsmyndighet. Av denna anledning granskar tillsynsmyndigheterna nu teknologisk arkitektur, outsourcing och cyberresiliens lika noga som kapitalplaner.

Vad ett kärnbankssystem gör

Det centrala banksystemet är huvudboken, som innehåller kund- och kontodata, bokför varje transaktion, beräknar ränta och avgifter och skapar de saldon som allt annat förlitar sig på.

Typiska funktioner inkluderar:

Funktion	Vad det täcker
Kund- och kontohantering	Kundregister, kontoöppning, produktvillkor, kontostatus
Huvudbok och bokföring	Realtids- eller batchbokföring av debiteringar och krediteringar, huvudboksflöden
Insättningar	Löpande konton, spar- och terminskonton, räntebärande tillgångar och kapitalisering
Utlåning	Gränssnitt för lånegenerering, scheman, återbetalningar, efterskott, provisioneringsflöden
Betalningsgränssnitt	Anslutningar till betalningshubbar, korthanterare och korrespondentkonton
Produktkonfiguration	Priser, avgifter, gränser och regler utan kodförändringar
Data och rapportering	Utdrag för ekonomi, risk, regulatorisk rapportering och AML övervakning

Runt kärnan sitter andra system: digitala kanaler, en betalningshubb, korthantering, kundanpassning och identitetsverifiering, sanktionsscreening, transaktionsövervakning, treasury, ekonomi och regulatorisk rapporteringsmotor.

Arkitekturval

Nya banker väljer vanligtvis mellan tre modeller.

1. Licensierad programvara, som banken eller en leverantör är värd för. Banken kontrollerar konfiguration och data men bär integrationsbördan.
2. Software as a service på en molnplattform. Snabbare att lansera, men banken är beroende av leverantörens roadmap och resiliens, och arrangemanget är outsourcing.
3. Banking som en tjänst från ett annat licensierat institut. Den snabbaste vägen, men det kan väcka frågan om den nya banken har tillräckligt med egen substans.

Tillsynsmyndigheten föreskriver inte en modell, utan bedömer om banken förstår och kontrollerar den som valts.

Outsourcingregler

Med outsourcing menas att en tjänsteleverantör utför en process, tjänst eller aktivitet som banken annars skulle utföra själv. I EU trädde EBA Riktlinjer för outsourcingavtal (EBA/GL/2019/02) i kraft den 30 september 2019 och ersatte tidigare vägledning, däribland EBA:s separata rekommendation om outsourcing till molntjänstleverantörer.

Den centrala principen är att ansvaret inte kan läggas ut på entreprenad, utan att ledningsorganet förblir ansvarigt för alla utlagda funktioner. Institutionerna ”bör alltid behålla tillräckligt med innehåll och inte bli tomma skal eller brevlådeföretag”.

Kritiska eller viktiga funktioner

Riktlinjerna ställer strängare krav när den outsourcade funktionen är kritisk eller viktig, vilket innebär att ett misslyckande väsentligt skulle försämra efterlevnad, ekonomiska resultat eller kontinuitet, och därför ska banken:

1. Utför en riskbedömning och due diligence på leverantören innan du ingår avtal.
2. Inkludera avtalsenliga rättigheter till tillgång, information och granskning för banken och den behöriga myndigheten.
3. Kontroll av underleverantörer, inklusive anmälan och rätt att göra invändningar eller säga upp.
4. Ange krav på datasäkerhet, plats och sekretess.
5. Har dokumenterat och testat exitstrategier.
6. Informera den behöriga myndigheten i förväg om planerad kritisk eller viktig utkontraktering.

Alla arrangemang ska registreras i ett outsourcingregister som förs av banken.

Utanför EU

Liknande regler gäller på andra håll. I Storbritannien omfattar PRA Supervisory Statement SS2/21 om outsourcing och riskhantering av tredje part, som publicerades i mars 2021 och träder i kraft den 31 mars 2022, väsentlighet, datasäkerhet, moln- och exitplanering. PRA beskriver det som avsett att underlätta ”större motståndskraft och användning av molnet och annan ny teknik”.

I Singapore fastställer MAS Technology Risk Management Guidelines, som publicerades den 18 januari 2021, principer för styrning av teknikrisker, IT och cyberresiliens, och kompletteras med ett bindande meddelande och instruktioner om incidentrapportering.

DORA: digital operativ motståndskraft i EU

Den Lag om digital operativ motståndskraft, förordning (EU) 2022/2554, har gällt sedan den 17 januari 2025 och sammanför IKT-riskhantering, incidentrapportering, testning och tredjepartsrisker i en enda förordning för de flesta finansiella enheter inom EU, inklusive banker.

DORA-område	Kärnkrav för banker
IKT-riskhantering	Ett dokumenterat ramverk som godkänts och övervakas av ledningsorganet, som omfattar identifiering, skydd, upptäckt, respons och återställning
Incidentrapportering	Större IKT-relaterade incidenter ska rapporteras till behörig myndighet enligt Artikel 19, med harmoniserad klassificering och mallar
Testning av motståndskraft	Ett testprogram för alla enheter; för enheter som identifierats av myndigheter, avancerade hot-led penetration tester minst vart tredje år på levande produktionssystem under Artikel 26
ICT tredjepartsrisk	En strategi för IKT-relaterade tredjepartsrisker, avtalsenliga minimikrav och ett register över information om alla IKT-tjänsteavtal enligt Artikel 28
Tillsyn av kritiska leverantörer	De europeiska tillsynsmyndigheterna utser utomstående leverantörer av kritiska IKT-tjänster och utövar direkt tillsyn över dem enligt artikel 31.

Enligt artikel 28 ska finansiella enheter som använder IKT-tjänster ”vid alla tidpunkter förbli fullt ansvariga för efterlevnad och fullgörande av alla skyldigheter” enligt DORA och lagen om finansiella tjänster. Registret ska skilja mellan tjänster som stöder kritiska eller viktiga funktioner, enheterna ska årligen rapportera om nya arrangemang och i god tid informera myndigheten om planerade kontrakt för kritiska eller viktiga funktioner.

DORA gäller parallellt med EBA, i praktiken upprätthåller bankerna ett lager som uppfyller båda.

Cybersäkerhet

Tillsynsmyndigheterna förväntar sig att en bank känner till sina informationstillgångar, skyddar dem i proportion till deras kritiska karaktär, upptäcker attacker snabbt och återställer kritiska tjänster inom definierade toleranser.

Viktiga kontroller inkluderar vanligtvis:

1. Stark identitets- och åtkomsthantering med flerfaktorsautentisering och privilegierad åtkomstkontroll.
2. Säker mjukvaruutveckling och ändringshantering, inklusive för leverantörsversioner.
3. Kryptering av data i transit och vilande, samt nyckelhantering som banken kontrollerar.
4. Kontinuerlig övervakning och kapacitet för säkerhetsoperationer, internt eller outsourcat.
5. Sårbarhetshantering och regelbundna penetrationstester.
6. Säkerhetskopior som är isolerade från produktionsmiljön och testade för återställning.
7. Planer för incidenthantering som omfattar anmälan till myndigheter och kundkommunikation.

Verifiering av betalningsmottagare, beteendeanalys och stark kundautentisering skyddar kunderna eftersom betalningar blir omedelbara och oåterkalleliga.

Regulatorisk rapportering

Bankerna rapporterar stora mängder data till tillsynsmyndigheter och centralbanker. I EU Artikel 430 i CRR kräver att institut rapporterar om kapitalbaskrav, inklusive bruttosoliditetsgrad, stora exponeringar, likviditetskrav, tillgångsbörda och ESG-exponeringar, bland andra poster. Vissa institut måste också rapportera finansiell information. Centralbanker lägger till statistisk rapportering och finansunderrättelseenheter får rapporter om misstänkta transaktioner.

Rapporter är bara så bra som data bakom dem, kedjan från kärnsystem till regulator går oftast så här:

1. Källdata i kärnsystemet och andra operativa system.
2. Ett datalager eller rapporteringslager med avstämning mot huvudboken.
3. En regulatorisk rapporteringsmotor som mappar data till övervakningsmallar och valideringsregler.
4. Granskning och godkännande av ekonomi och risk, med dokumenterade kontroller.
5. Inlämning via regulatorns portal eller format.

Nya banker underskattar ofta arbetet med att kartlägga produktdata mot rapporteringsmallar innan lanseringen, och det är därför viktigt att hålla sig uppdaterad om hur de rapporterar.

Vad tillsynsmyndigheten letar efter i en tillståndsansökan

1. En tydlig målarkitektur, med varje system, dess ägare, leverantör och plats.
2. En kritisk eller viktig funktionskarta, som visar vilka funktioner som är outsourcade och till vem.
3. Utgångsplaner för varje kritisk leverantör, realistiskt i tid och kostnad.
4. Dataplats och åtkomst, inbegripet för tillsyns- och resolutionsmyndigheten.
5. Testad resiliens, med återställningstider som matchar affärsplanens servicelöften.
6. Bevis på beredskap, såsom end-to-end testning, migreringsövning och operativ acceptans.

Den ECB’ s guide till fintech bank licensiering Den tekniska lösningen avgör om en sådan plan är trovärdig: uppgifter måste kunna hämtas, konton överföras och betalningar kan stoppas på ett rent sätt.Det är viktigt att bankerna har tillräckliga resurser för att hantera dessa utmaningar.

Nästa artikel förklarar de betalningsskenor som kärnsystemet ansluter till: kortsystem, SEPA, omedelbara betalningar och bruttoavveckling i realtid.