Ana bankacılık, bulut, dış kaynak kullanımı ve teknoloji düzenlemesi

Bir banka, bir defterde kaydedilmiş bir dizi sözdür. Eğer bu defter yanlışsa, ulaşılamaz ya da güvenliği tehlikeye girmişse, banka borçlarının ne olduğunu bilemez, müşterilerine ödeme yapamaz veya denetim organına rapor veremez. Bu nedenle düzenleyici kurumlar artık teknoloji mimarisi, dış kaynak kullanımı ve siber esnekliği sermaye planları kadar yakından incelemektedirler.

Merkezi bankacılık sisteminin ne yaptığı

Merkezi bankacılık sistemi kayıtların defteridir.Müşteri ve hesap verilerini tutar, her işlemi kaydeder, faiz ve ücretleri hesaplar ve diğer her şeyin dayandığı bilançoları üretir.

Tipik fonksiyonlar şunları içerir:

Funksiyon	Neyi kapsar
Müşteri ve hesap yönetimi	Müşteri kayıtları, hesap açma, ürün şartları, hesabın durumu
Defter ve kayıt	Gerçek zamanlı ya da parti posta borç ve krediler, genel defter feeds
Depozitler	Çevrim içi, tasarruf ve vadeli hesaplar, faiz artışı ve sermayelendirme
Borçlandırma	Kredi başlangıç arayüzleri, takvimler, geri ödemeler, gecikmeler, temin kaynakları
Ödeme arayüzleri	Ödeme merkezleri, kart işlemcileri ve muhabir hesaplarına bağlantılar
Ürün ayarları	Kod değişiklikleri olmadan oranlar, ücretler, limitler ve kurallar
Veri ve raporlama	Finans, risk, düzenleyici raporlama ve AML izleme için çıkartmalar

Çekirdeğin etrafında başka sistemler bulunuyor: dijital kanallar, bir ödeme merkezi, kart yönetimi, müşteri girişi ve kimlik doğrulaması, yaptırım taraması, işlem izleme, hazine, finans ve düzenleyici raporlama motoru.

Mimari seçimleri

Yeni bankalar genellikle üç model arasından seçim yaparlar.

1. Lisanslı yazılım, banka veya bir sağlayıcı tarafından işletilen. Banka yapılandırma ve verileri kontrol eder, ancak entegrasyon yükü taşır.
2. Cloud platformu üzerinde hizmet olarak yazılım. Hızlı başlatma, ancak banka satıcının yol haritasına ve esnekliğine bağlıdır, ve düzenleme dış kaynaktır.
3. Diğer lisanslı kurumdan bir hizmet olarak bankacılık. En hızlı yol, fakat yeni bankanın kendi içinde yeterli içeriğe sahip olup olmadığı sorusuna yol açabilir.

Denetçiler bir model önermezler, bankanın seçtiği modeli anlayıp kontrol edip etmediğini değerlendirirler.

Dış kaynak kuralları

Dış kaynak kullanımı, bir hizmet sağlayıcısının bankanın aksi takdirde kendisi yapacağı bir süreç, hizmet veya faaliyeti gerçekleştirmesi anlamına gelir. EBA Dış kaynak kullanımı düzenlemelerine ilişkin yönergeler (EBA/GL/2019/02) 30 Eylül 2019'da yürürlüğe girdi. EBA’in bulut hizmet sağlayıcılarına dış kaynak kullanımı konusunda ayrı bir tavsiyesi.

Merkez ilke, sorumluluğun dışarıya devredilememesi. Yönetim organı tüm dışarıya devredilmiş fonksiyonlardan sorumlu kalıyor. Kurumların "her zaman yeterli içeriğe sahip olmaları ve 'boş kabuklar' veya 'posta kutusu varlıklar' olmayışları" gerekiyor.

Kritik veya önemli fonksiyonlar

Yönergeler, dışa bağımlı fonksiyonun kritik veya önemli olduğu durumlarda daha katı şartları uyguluyor ve bu da başarısızlığın uyum, mali performans veya sürekliliği ciddi şekilde etkileyeceği anlamına geliyor.

1. Sözleşme imzalamadan önce sağlayıcı üzerinde bir risk değerlendirmesi ve gerekli hassasiyeti gerçekleştirin.
2. Banka ve yetkili makamlar için erişim, bilgilendirme ve denetleme gibi sözleşmesel hakları da içerir.
3. İletişim ve itiraz veya sona erdirme hakkı dahil olmak üzere alt-dış kaynak kontrolü.
4. Veri güvenliği, konum ve gizlilik gereksinimlerini belirleyin.
5. Çıkma stratejilerini belgelemiş ve test etmiştir.
6. Planlanan kritik veya önemli dış kaynak kullanımı hakkında yetkili makamları önceden bilgilendirin.

Tüm düzenlemelerin banka tarafından yürütülen bir dış kaynak siciline kaydedilmesi gerekiyor.

AB Dışı

Benzer kurallar başka yerlerde de geçerlidir. Birleşik Krallık'ta, Mart 2021'de yayınlanan ve 31 Mart 2022'den itibaren yürürlüğe giren dış kaynak kullanımı ve üçüncü taraf risk yönetimi hakkındaki PRA Denetleme Bildirgesi SS2/21 önemliliği, veri güvenliğini, bulutu ve çıkış planlamasını kapsar. PRA bunu "daha büyük esneklik ve bulut ve diğer yeni teknolojilerin benimsenmesini" kolaylaştırmak için tasarlandığını belirtiyor.

Singapur'da, 18 Ocak 2021'de yayınlanan MAS Teknoloji Risk Yönetimi Kılavuzları, teknoloji riski yönetimi, bilişim ve siber esneklik için ilkeleri belirler ve bağlayıcı bir bildirim ve olay raporlama talimatlarıyla desteklenir.

DORA: AB'deki dijital operasyonel esneklik

Bu... Dijital Operasyonel Dayanıklılık Yasası, (AB) 2022/2554 sayılı yönetmelik, 17 Ocak 2025'ten beri uygulanıyor. , BTK risk yönetimi, olay raporlama, test ve üçüncü taraf riskini bankalar da dahil olmak üzere AB finans kuruluşlarının çoğu için tek bir düzenlemeye getiriyor.

DORA alanı	Bankalar için temel şart
ICT risk yönetimi	Teşhis, koruma, tespit, tepki ve kurtarma konularını kapsayan yönetim organı tarafından onaylanmış ve denetlenen belgeli bir çerçeve
Olay raporlama	Büyük BİT ile ilgili olaylar, uyumlu sınıflandırma ve şablonlar kullanılarak Madde 19 kapsamında yetkili makamlara bildirilmelidir.
Esneklik testi	Tüm varlıklar için bir test programı; yetkililer tarafından tespit edilen varlıklar için, Madde 26 kapsamında en az üç yılda bir canlı üretim sistemlerinde gelişmiş tehdit odaklı penetrasyon testi
ICT üçüncü taraf riski	ICT üçüncü taraf riski, sözleşmesel minimumlar ve Madde 28 kapsamındaki tüm ICT hizmet sözleşmeleri hakkında bilgi kaydını içeren bir strateji
Kritik sağlayıcıların denetimi	Avrupa Denetleme Yetkilileri kritik üçüncü taraf BİT hizmet sağlayıcılarını belirler ve onları 31. Madde uyarınca doğrudan denetler

Madde 28'de, IKT hizmetlerini kullanan finansal kuruluşların DORA ve finansal hizmetler yasası kapsamındaki "tüm yükümlülüklerin yerine getirilmesinden her zaman tam olarak sorumlu kalacağı" belirtiliyor. Sicil, kritik veya önemli fonksiyonları destekleyen hizmetleri ayırt etmeli. Kurumlar her yıl yeni düzenlemeler hakkında rapor vermeli ve kritik veya önemli fonksiyonlar için planlanan sözleşmeler hakkında yetkilileri zamanında bilgilendirmeli.

DORA EBA dış kaynak yönergeleri ile birlikte uygulanır.Pratikte, bankalar her ikisini de tatmin eden bir stok tutmaktadır.

Siber Güvenlik

Siber risk artık ihtiyatlı denetimlerin bir parçası haline geldi. Denetçiler, bir bankadan bilgi varlıklarını bilmesini, bunları kritikliğe göre korumasını, saldırıları çabuk tespit etmesini ve belirlenmiş toleranslar dahilinde kritik hizmetleri geri almasını bekliyorlar.

Ana kontroller genellikle şunları içerir:

1. Güçlü kimlik ve erişim yönetimi, çok faktörlü kimlik doğrulama ve ayrıcalıklı erişim kontrolleriyle.
2. Güvenli yazılım geliştirme ve değişim yönetimi, satıcıların yayınlamaları da dahil olmak üzere.
3. Geçiş ve bekleme sırasındaki verilerin şifrelenmesi, ve bankanın kontrol ettiği anahtar yönetimi.
4. Sürekli izleme ve güvenlik operasyonları kapasitesi, iç veya dış kaynaklı.
5. Savunmasızlık yönetimi ve düzenli penetrasyon testleri.
6. Üretim ortamından izole edilmiş ve restore için test edilmiş yedeklemeler.
7. Düzenleyici bildirim ve müşteri iletişimini kapsayan olay tepki planları.

Dolandırıcılık kontrolleri siber ve ödemeleri birbirine bağlar. Ödemeler anında ve geri çevrilemez hale geldiğinde, alıcının doğrulanması, davranışsal analizler ve güçlü müşteri kimlik doğrulaması müşterileri korur.

Düzenleyici raporlama

Bankalar denetçilere ve merkez bankalarına büyük miktarlarda veri rapor ederler. AB'de, Madde 430 CRR kurumların borçlanma oranı, büyük maruz kalmalar, likidite gereksinimleri, varlık yükleri ve diğer maddelerin yanı sıra ESG maruz kalmaları da dahil olmak üzere kendi fonlarının gerekliliklerini rapor etmesini zorunlu kılar ve bazı kurumlar finansal bilgileri de rapor etmelidir. Merkez bankaları istatistiksel raporlama ekler ve mali istihbarat birimleri şüpheli işlem raporlarını alır.

Raporlar sadece arkalarındaki veriler kadar iyidir.

1. Çekirdek sistemde ve diğer işletim sistemlerindeki kaynak verileri.
2. Genel defter ile uyumlu bir veri deposu veya raporlama katmanı.
3. Verileri denetleme şablonları ve doğrulama kurallarına göre haritalayan bir düzenleyici raporlama motoru.
4. Finans ve risk tarafından inceleme ve onay, belgeli kontrollerle.
5. Düzenleyicinin portalı veya formatı aracılığıyla sunma.

Raporlamadaki hatalar denetleme bulgularına ve denetleyiciye yanlış bilgi verdikleri takdirde, uygulamaya yol açabilir. Yeni bankalar genellikle başlatmadan önce ürün verilerini raporlama şablonlarına göre haritalandırma çalışmasını hafife alır.

Denetleyicilerin ruhsat başvurusunda neye bakması gerekiyor?

1. Açık bir hedef mimarisiHer sistemin sahibi, sağlayıcısı ve konumuyla birlikte.
2. Bir kritik veya önemli fonksiyonlar haritası, hangi fonksiyonların dışa bağımlı olduğunu ve kime gösteren.
3. Her kritik sağlayıcı için çıkış planları, zaman ve maliyet açısından gerçekçi.
4. Veri konumu ve erişimi, denetleyici ve çözüm otoritesi dahil.
5. Test edilmiş dayanıklılık, iş planının hizmet vaatleriyle uyumlu olan iyileşme zamanlarıyla.
6. Hazırlık kanıtı, örneğin son-son test, göç provası ve operasyonel kabul.

Bu... ECB’s guide to fintech bank licensing (İngilizce) başvuru sahiplerinden, tüketicilere zarar vermeden veya düzenleyici müdahale gerektirmeden işletmelerini düzenli ve ödenebilir bir şekilde durdurmak için bir çıkış planı düşünmelerini ister. teknoloji seçimleri böyle bir planın güvenilir olup olmadığını belirler: veriler geri alınabilir olmalı, hesaplar transfer edilebilir ve ödemeler temiz bir şekilde durdurulabilir.

Bir sonraki makale, çekirdek sistemin bağlandığı ödeme raylarını açıklar: kart planları, SEPA, anlık ödemeler ve gerçek zamanlı brüt düzenleme.