ธนาคารหลัก,คลาวด์,ออร์โธซิสเตอร์ และกฎระเบียบเทคโนโลยี

ธนาคารเป็นชุดของคำสัญญาที่บันทึกไว้ในบัญชี ถ้าบัญชีนั้นผิดพลาด ไม่สามารถใช้ได้ หรือถูกทำลาย ธนาคารจะไม่รู้ว่ามันต้องชำระเงินให้ลูกค้าหรือรายงานต่อผู้ดูแล

ระบบธนาคารหลักทำอะไร

ระบบธนาคารหลักเป็นบันทึกของบันทึก มันเก็บข้อมูลลูกค้าและบัญชี โพสต์ทุกการทำธุรกรรม คำนวณดอกเบี้ยและค่าธรรมเนียม และผลิตสมดุลที่ทุกอย่างอื่นขึ้นอยู่กับ

ฟังก์ชันทั่วไปรวมถึง:

ฟังก์ชัน	สิ่งที่ครอบคลุม
การจัดการลูกค้าและบัญชีName	บันทึกลูกค้า เปิดบัญชี เงื่อนไขของผลิตภัณฑ์ สถานะบัญชี
บัญชีและบันทึก	การโพสต์แบบเรียลไทม์หรือแบตของบัญชีเดบิตและบัญชีเครดิต, ข้อมูลจากบัญชีรายชื่อทั่วไป
ฝากเงิน	บัญชีเงินฝากออมทรัพย์และบัญชีระยะเวลา ดอกเบี้ยสะสมและทุน
ยืม	ระบบอินเทอร์เฟซการกู้ยืม ตารางเวลา การชำระคืน เงินติดล้อ
การชำระเงิน	การเชื่อมต่อกับศูนย์กลางการชำระเงิน, หน่วยประมวลผลบัตรและบัญชีผู้ส่ง
ปรับแต่งผลิตภัณฑ์	อัตราค่าธรรมเนียม ข้อจำกัดและกฎโดยไม่ต้องเปลี่ยนรหัส
ข้อมูลและรายงาน	รายละเอียดเกี่ยวกับการเงิน ความเสี่ยง การรายงานตามกฎระเบียบ และ AML การติดตาม

รอบ ๆ แกนกลางมีระบบอื่นๆ ช่องทางดิจิตอล ศูนย์การชำระเงิน การจัดการบัตร การรับลูกค้าและการยืนยันตัวตน การตรวจสอบการลงโทษ การติดตามธุรกรรม

เลือกสถาปัตยกรรม

New banks usually choose between three models.

1. ซอฟต์แวร์ที่ได้รับอนุญาต จัดหาโดยธนาคารหรือผู้ให้บริการ ธนาคารควบคุมการตั้งค่าและข้อมูล แต่ต้องรับภาระในการรวมเข้าด้วยกัน
2. ซอฟต์แวร์เป็นบริการบนแพลตฟอร์มคลาวด์ เร็วกว่าที่จะเปิดตัว แต่ธนาคารขึ้นอยู่กับแผนการของผู้ขาย และความยืดหยุ่น
3. ธนาคารเป็นบริการ จากสถาบันอื่นที่ได้รับอนุญาต เส้นทางที่เร็วที่สุด แต่มันอาจจะทำให้เกิดคำถามว่า ธนาคารใหม่นั้นมีทรัพย์สินเพียงพอหรือไม่

ผู้ดูแลไม่ได้กำหนดโมเดล พวกเขาประเมินว่าธนาคารเข้าใจและควบคุมได้หรือไม่

กฎออร์โธซิสเตอร์

ออฟซอร์ซิ่งหมายถึง ผู้ให้บริการบริการที่ทำกระบวนการ บริการ หรือกิจกรรม ที่ธนาคารจะทำเองในสหภาพยุโรป EBA แนวทางเกี่ยวกับการจัดหางานต่างประเทศ (EBA/GL/2019/02) ได้มีผลบังคับใช้ในวันที่ 30 กันยายน 2019พวกเขาแทนที่คำแนะนำก่อนหน้านี้ รวมถึงข้อเสนอแนะของ EBA ที่แยกออกจากกันเกี่ยวกับการจัดหาบริการคลาวด์

หลักการสำคัญคือความรับผิดชอบไม่สามารถถูกโอนออกไปได้ องค์กรบริหารยังคงมีความรับผิดชอบต่อหน้าที่ทั้งหมดที่โอนออกไป สถาบัน "ควรรักษาสาระสำคัญให้เพียงพอตลอดเวลาและไม่กลายเป็น 'เปลือกว่าง' หรือ 'หน่วยงานกล่องจดหมาย'"

ฟังก์ชันที่สำคัญหรือจำเป็น

แนวทางนี้ใช้กับข้อกำหนดที่เข้มงวดกว่า ในกรณีที่หน้าที่ของผู้รับเหมาเป็นสิ่งสำคัญหรือสำคัญ หมายความว่าการล้มเหลวจะทำให้เกิดความเสียหายอย่างมีนัยสำคัญต่อการปฏิบัติตามผลการดำเนินงานทางการเงิน หรือความต่อเนื่อง

1. ทำการประเมินความเสี่ยงและตรวจสอบผู้ให้บริการก่อนที่จะทำสัญญา
2. รวมถึงสิทธิตามสัญญาในการเข้าถึง ข้อมูลและตรวจสอบสำหรับธนาคาร และเจ้าหน้าที่ที่มีอำนาจ
3. ควบคุมการออกงานภายใต้สัญญา รวมถึงการแจ้งเตือนและสิทธิในการต่อต้านหรือยกเลิก
4. ระบุความปลอดภัยของข้อมูล ตำแหน่ง และข้อกำหนดความเป็นส่วนตัว
5. ทำเอกสารและทดสอบกลยุทธ์การออก
6. แจ้งให้เจ้าหน้าที่ที่เกี่ยวข้องทราบล่วงหน้า เกี่ยวกับแผนการจัดหางานนอกระบบที่สำคัญหรือจำเป็น

ทุกอย่างต้องถูกบันทึกไว้ ในทะเบียนของผู้รับเหมาที่ธนาคารรักษาไว้

นอกสหภาพยุโรป

กฎคล้ายๆกันนี้ใช้ได้ในที่อื่น ในอังกฤษ PRA คำแถลงของผู้ดูแล SS2/21 เกี่ยวกับการจัดการความเสี่ยงของผู้รับเหมาและบุคคลที่สาม ที่เผยแพร่ในเดือนมีนาคม 2021 และมีผลบังคับใช้ตั้งแต่วันที่ 31 มีนาคม 2022 PRA กล่าวว่ามันมีจุดมุ่งหมายที่จะช่วยให้ "มีความยืดหยุ่นและใช้คลาวด์และเทคโนโลยีใหม่อื่น ๆ"

ในสิงคโปร์ MAS เทคโนโลยีการจัดการความเสี่ยงประกาศเมื่อวันที่ 18 มกราคม 2021 กำหนดหลักการในการควบคุมความเสี่ยงด้านเทคโนโลยี ระบบสารสนเทศและความทนทานทางไซเบอร์

DORA: ความยืดหยุ่นในการปฏิบัติการดิจิทัลในสหภาพยุโรป

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025.มันนำมาซึ่งการจัดการความเสี่ยงด้านไอซีที การรายงานเหตุการณ์ การทดสอบและความเสี่ยงของบุคคลที่สาม ในกฎระเบียบเดียวสำหรับหน่วยงานทางการเงินสหภาพยุโรปส่วนใหญ่ รวมถึงธนาคาร

พื้นที่ดอร่า	ความต้องการหลักของธนาคาร
การจัดการความเสี่ยง	กรอบการจัดทำเอกสารที่ได้รับการอนุมัติและดูแลโดยองค์กรบริหารจัดการ ที่ครอบคลุมการระบุตัวตน การป้องกัน การตรวจจับ การตอบสนองและการฟื้นฟู
รายงานเหตุการณ์	อุบัติเหตุที่เกี่ยวข้องกับ ICT สำคัญต้องรายงานให้เจ้าหน้าที่ที่มีอำนาจตาม บทที่ 19 โดยใช้การจัดประเภทและแบบฟอร์มที่สมดุล
ทดสอบความแข็งแรง	โปรแกรมการทดสอบสำหรับทุกหน่วยงาน สำหรับหน่วยงานที่ถูกระบุโดยเจ้าหน้าที่ การทดสอบการแทรกซึมของภัยคุกคามระดับสูง อย่างน้อยทุกสามปี บทที่ 26
ICT risk third-party	กลยุทธ์เกี่ยวกับความเสี่ยงของบุคคลที่สามด้านไอซีที ข้อตกลงขั้นต่ำ และบันทึกข้อมูลเกี่ยวกับสัญญาบริการไอซีทีทั้งหมดภายใต้ บทที่ 28
การดูแลผู้ให้บริการที่สำคัญ	เจ้าหน้าที่กำกับดูแลของยุโรป ระบุผู้ให้บริการด้านไอซีทีส่วนที่สามที่สำคัญ และควบคุมพวกเขาโดยตรงภายใต้บทบัญญัติที่ 31

บทความที่ 28 ระบุว่าหน่วยงานทางการเงินที่ใช้บริการ ICT "จะต้องรับผิดชอบอย่างเต็มที่ต่อการปฏิบัติตามและปฏิบัติตามข้อตกลงทั้งหมด" DORA และกฎหมายบริการทางการเงิน ทะเบียนต้องแยกบริการที่สนับสนุนการทำงานที่สำคัญหรือสำคัญ หน่วยงานต้องรายงานทุกปีเกี่ยวกับการจัดทำใหม่และแจ้งให้ผู้มีอำนาจทราบในเวลาที่เหมาะสมเกี่ยวกับสัญญาที่วางแผนไว้สำหรับการทำงานที่สำคัญหรือสำคัญ

DORA ใช้ร่วมกับ EBA แนวทางออร์โธซิสเตอร์ ในทางปฏิบัติ ธนาคารรักษารายการหนึ่งที่ตอบสนองทั้งสองอย่าง

ความปลอดภัยทางไซเบอร์

ความเสี่ยงด้านไซเบอร์เป็นส่วนหนึ่งของการดูแลรักษาความปลอดภัย ผู้ดูแลคาดหวังว่าธนาคารจะรู้เกี่ยวกับทรัพย์สินทางเทคโนโลยี ปกป้องพวกเขาในสัดส่วนที่เหมาะสม

ปุ่มควบคุมโดยทั่วไปจะประกอบด้วย:

1. การจัดการความเป็นตัวตนและการเข้าถึงที่แข็งแกร่ง ด้วยการตรวจสอบความถูกต้องหลายปัจจัย และควบคุมการเข้าถึงสิทธิพิเศษ
2. การพัฒนาซอฟต์แวร์ที่ปลอดภัยและจัดการการเปลี่ยนแปลง รวมถึงสำหรับผู้ขายปล่อย
3. การเข้ารหัสข้อมูลระหว่างการขนส่งและที่พัก และกุญแจการจัดการ ที่ธนาคารควบคุม
4. การติดตามอย่างต่อเนื่อง และความสามารถในการปฏิบัติการด้านความปลอดภัย ภายในหรือนอกสถานที่
5. การจัดการความเสี่ยงและการทดสอบการบุกรุกอย่างต่อเนื่อง
6. สำรองข้อมูลที่ถูกแยกออกจากสภาพแวดล้อมการผลิต และทดสอบสำหรับการฟื้นฟู
7. แผนปฏิบัติการตอบสนองเหตุการณ์ ที่ครอบคลุมการแจ้งเตือนตามกฎระเบียบและ การสื่อสารกับลูกค้า

การควบคุมการหลอกลวงเชื่อมโยงระหว่างไซเบอร์และการชำระเงิน การตรวจสอบผู้รับการชำระเงิน การวิเคราะห์พฤติกรรม และการตรวจสอบความถูกต้องของลูกค้าที่แข็งแกร่ง

รายงานตามกฎระเบียบ

ธนาคารรายงานข้อมูลจำนวนมากไปยังผู้กำกับดูแลและธนาคารกลาง ในสหภาพยุโรป บทที่ 430 ของ CRR กำหนดให้สถาบันต้องรายงานเกี่ยวกับความจำเป็นของเงินทุนรวมถึงอัตราส่วนการขยายตัว, การเปิดเผยขนาดใหญ่, ความต้องการเงินสด, ภาระสินทรัพย์และการเปิดเผย ESG, นอกจากนี้สถาบันบางแห่งก็ต้องรายงานข้อมูลทางการเงินด้วย

รายงานดีแค่ไหนก็ขึ้นอยู่กับข้อมูลที่อยู่เบื้องหลัง

1. ข้อมูลต้นฉบับในระบบหลัก และระบบปฏิบัติการอื่นๆ
2. ฐานข้อมูลหรือชั้นรายงานที่เชื่อมโยงกับบัญชีกลาง
3. เครื่องจักรรายงานตามกฎระเบียบ ที่แปลงข้อมูลให้เป็นแบบจำลองการดูแล และกฎการยืนยันความถูกต้อง
4. ตรวจสอบและลงนามโดยฝ่ายการเงินและความเสี่ยง ด้วยเอกสารควบคุม
5. นำเสนอผ่านทางเว็บไซต์หรือรูปแบบของผู้กำกับดูแล

ความผิดพลาดในการรายงานสามารถนำไปสู่การค้นพบของผู้กำกับดูแล และเมื่อพวกเขาทำให้ผู้กำกับดูแลหลงผิด การบังคับใช้กฎหมาย

สิ่งที่ผู้ดูแลมองหาในใบสมัครใบอนุญาต

1. สถาปัตยกรรมเป้าหมายที่ชัดเจนกับทุกระบบ เจ้าของของมัน ผู้ให้บริการและที่ตั้ง
2. แผนที่ฟังก์ชันที่สำคัญหรือจำเป็น แสดงให้เห็นว่าฟังก์ชันใดถูกโอนออกไปและไปยังใคร
3. ออกจากแผน สำหรับผู้ให้บริการที่สำคัญทุกราย ตามความเป็นจริงทั้งในเรื่องเวลาและค่าใช้จ่าย
4. ตำแหน่งข้อมูลและการเข้าถึง รวมทั้งผู้ดูแลและเจ้าหน้าที่รับผิดชอบ
5. ทดสอบความยืดหยุ่นด้วยเวลาในการฟื้นฟูที่ตรงกับแผนธุรกิจ
6. หลักฐานความพร้อมเช่นการทดสอบจากจุดเริ่มต้นไปถึงจุดจบ การซ้อมการย้ายถิ่นฐานและการรับรองการปฏิบัติงาน

มัน ECBคำแนะนำเกี่ยวกับใบอนุญาตธนาคารฟินเทค ขอให้ผู้สมัครพิจารณาแผนการออกเพื่อหยุดการดำเนินงานในลักษณะที่มีระเบียบและมีเงินสด โดยไม่ทำร้ายผู้บริโภค หรือต้องการการแทรกแซงของผู้กำกับดูแล

บทความถัดไปอธิบายการชำระเงินที่ระบบหลักเชื่อมต่อกับ: รูปแบบของบัตร, SEPA การชำระเงินทันทีและการชำระเงินโดยรวมในเวลาจริง