کور بینکنگ، کلاؤڈ، آؤٹ سورسنگ اور ٹیکنالوجی ریگولیشن

ایک بینک ایک لیڈر میں ریکارڈ وعدوں کا مجموعہ ہے۔ اگر لیڈر غلط، غیر دستیاب یا تباہ ہو جائے تو بینک نہیں جان سکتا کہ وہ کیا ادا کرنا چاہتا ہے، اپنے کلائنٹس کو پیسے دینا چاہتا ہے یا اپنے سپروزر کو رپورٹ کرنا چاہتا ہے۔ اس وجہ سے، ریگولیٹری اب ٹیکنالوجی فن تعمیر، آؤٹ سورچیننگ اور سائبر ریلیبلٹی کی نظرثاني کر رہے ہیں۔

ایک کور بینکنگ سسٹم کیا کرتا ہے

کرن بینکنگ سسٹم ریکارڈ کا لیڈر ہے، یہ کلائنٹ اور اکاؤنٹ ڈیٹا رکھتا ہے، ہر معاملات کو پوسٹ کرتا ہے، سود اور فیسوں کا حساب لگاتا ہے، اور باقی سب چیزوں پر انحصار کرنے والے بلنڈز کی پیداوار کرتا ہے۔

معمولی فنکشن شامل ہیں:

فنکشن	کیا یہ ڈھانپتا ہے
کلائنٹ اور اکاؤنٹس کا انتظام	کلائنٹ ریکارڈز، اکاؤنٹ کی کھولنا، مصنوعات کے شرط، اکاؤنٹ کی حیثیت
لیڈر اور پوسٹنگ	ڈیبٹس اور کریڈٹس کی ریئل-ٹائم یا بٹک پوسٹنگ، جنرل لیڈر فوڈ
دیپائزز	جاری ، بچت اور مدتی اکاؤنٹس ، سود کی جمعیت اور سرمایہ کاری
قرض	قرض پیدائش انٹرفیس، شیڈولز، واپسی، پیچھے رہ جانے والے، فراہمی کی فوڈ
پیمنٹس انٹرفیسز	ادائگی کے ہب، کارڈ پروسیسرز اور correspondent اکاؤنٹس سے اتصال
پروڈکٹ تنظیم	کوڈ میں تبدیلی کے بغیر شرح، فیس، حدیں اور قوانین
ڈیٹا اور رپورٹنگ	مالیات، خطرے، ریگولیٹری رپورٹنگ اور AML ماینٹریننگ کے لئے اخذ

کور کے ارد گرد دیگر نظام بھی موجود ہیں: ڈیجیٹل چینل، پیسے ادا کرنے کا ہب، کارڈ مینجمنٹ، کلائنٹس آن بورڈنگ اور شناخت کی تصدیق، سزائیں سکیننگ، ٹرانسیکٹ منیجر، خزانہ، مالیات اور ریگولیٹری رپورٹنگ انجن۔

آرکیٹیکچر اختیارات

نئے بینک عام طور پر تین ماڈلز کے درمیان انتخاب کرتے ہیں۔

1. لائسنس شدہ سوفٹ ویئر، بینک یا ایک فراہم کُنندہ کی طرف سے مہمان. بینک کنفیگوریشن اور ڈیٹا کو کنٹرول کرتا ہے لیکن انٹیگریشن کا بوجھ اٹھاتا ہے۔
2. کلاؤڈ پلیٹ فارم پر سروس کے طور پر سوفٹ ویئر۔ یہ تیزی سے شروع ہو سکتا ہے، لیکن بینک وینڈر کے روڈ میپ اور ہمت پر منحصر ہوتا ہے اور اس کا انتظام باہر سے کیا جاتا ہے۔
3. ایک اور لائسنس دار ادارے سے خدمات کے طور پر بینکنگ سب سے تیز راستہ، لیکن یہ ایک سوال اٹھا سکتا ہے کہ کیا نئے بینک کے پاس کافی سرمایہ موجود ہے۔

نگراں ایک ماڈل نہیں لکھتے، وہ اندازہ لگاتے ہیں کہ کیا بینک اس کو سمجھتا ہے اور اسے کنٹرول کرتا ہے جسے انہوں نے منتخب کیا ہے۔

آؤٹ سورسنگ قوانین

آؤٹ سورسنگ کا مطلب ہے کہ ایک سروس پرورٹر ایک عمل، خدمت یا سرگرمی کو پورا کرتا ہے جسے بینک خود پورا کرے گا۔ EBA آؤٹ سورسنگ ترتیبات پر رہنما خطوط (EBA/جی ایل/2019/02) 30 ستمبر 2019 کو نفاذ میں آیا ہے ۔ EBAکلاؤڈ سروس پرورٹرز کے لئے آؤٹ سورسنگ کی الگ الگ تجویز۔

مرکزی اصول یہ ہے کہ ذمہ داری کو باہر سے حاصل نہیں کیا جاسکتا اور انتظامی ادارے کو تمام بیرونی خدمات کے لئے ذمہ دار رہنا چاہئے۔

اہم يا اہم فنکشن

یہ رہنما خطوط اس صورت میں زیادہ سخت ضرورتوں کو لاگو کرتے ہیں جہاں آؤٹ سورس کیے گئے کام اہم یا اہم ہوتے ہیں۔

1. قرارداد کرنے سے پہلے فراہم کئے جانے والے خدمات کے بارے میں خطرات کا اندازہ اور ضروری تدبیریں لینا۔
2. بینک اور صلاحیت دار ادارے کے لئے رسائی، معلومات اور اونٹری کے معاہدے کے حقوق شامل ہیں۔
3. نوٹیفیکیشن اور اعتراض یا ختم کرنے کے حق سمیت سب-آؤٹ سورسنگ کو کنٹرول کرنا۔
4. ڈیٹا سیکورٹی، لوکیشن اور رازداری کی ضرورتوں کو قائم کرنا۔
5. باہر نکلنے کی حکمت عملیوں کو دستاویزی اور آزمائشی بنایا ہے۔
6. منصوبہ بندی شدہ اہم یا اہم آؤٹ سورسنگ سے پہلے صلاحیت دار ادارے کو مطلع کرنا۔

تمام ترتیبات کو بینک کے ذریعہ قائم ایک آؤٹ سورسنگ رجسٹر میں درج کیا جانا چاہئے۔

EU کے باہر

اسی طرح کے قوانین دیگر جگہوں پر بھی چلتے ہیں۔ PRA سپروائزری سٹیٹمنٹ ایس ایس2/21 مارچ 2021 میں شائع اور 31 مارچ 2022 سے اثر انداز ہونے والی آؤٹ سورسنگ اور تیسری پارٹی کے خطرات کے انتظام پر آئین کی موادیت ، ڈیٹا سیکورٹی ، کلاؤڈ اور خارج ہونے کی منصوبہ بندی کو ڈھانپتی ہے۔ PRA اس کا مقصد ”کلاؤڈ اور دیگر نئے ٹیکنالوجیوں کے استعمال میں بہتری لانا اور ان کو اپنانا“ ہے ۔

سنگاپور میں، MAS ٹیکنالوجی خطرات کے انتظام کی رہنما خطوطجسے 18 جنوری 2021 کو شائع کیا گیا ہے، اس میں ٹیکنالوجی کے خطرات کی حکمرانی ، آئی ٹی اور سائبر ریلیجنس کے اصول مقرر کئے گئے ہیں اور ایک بائنڈنگ نوٹ اور واقعہ رپورٹ کرنے کے اشاروں سے مکمل کیا گیا ہے۔

DORA: یورپی یونین میں ڈیجیٹل آپریشنل ریلیجنسی

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. اس سے آئی سی ٹی خطرات کا انتظام، واقعات کی رپورٹنگ، ٹیسٹ اور تیسری پارٹی کے خطرات کو ایک ہی ضابطے میں شامل کیا جائے گا جس میں بینکوں سمیت زیادہ تر یورپی یونین کے مالی اداروں کو شامل کیا جائے گا۔

DORA ايريا	بینکوں کے لئے بنیادی ضرورتیں
ICT ریسک مینجمنٹ	شناخت، تحفظ، دریافت، ردعمل اور بحالی کو ڈھانپنے والا ایک دستاویزی فریم ورک جس کی منظوری اور نگرانی انتظامی ادارے نے کی ہے۔
حادثے کی رپورٹ	آئی سی ٹی سے متعلق اہم واقعات کی رپورٹ اختیاری ادارے کو اس کے تحت کرنی چاہئے۔ آرٽيڪل 19, منسجم درجہ بندی اور ٹیمپلیٹز کا استعمال کرتے ہوئے
تصمیم آزمائش	تمام اداروں کے لئے ایک ٹیسٹ پروگرام؛ اختیارات کی طرف سے شناخت کئے گئے اداروں کے لئے، کم از کم ہر تین سال میں زندہ پیداوار کے نظاموں پر اعلیٰ خطرے کی رہنمائی میں داخل ہونے کا ٹیسٹ باب 26
ICT تیسرے پارٹی خطرہ	آئی سی ٹی تیسرے فریق کے خطرات، معاہداتی حدیں اور آئی سی ٹی سروس کنٹریکٹوں کے تحت تمام معلومات کا رجسٹر۔ آرٽيڪل 28
اہم فراہم کُنندوں کی نگرانی	یورپی سپروائزر آئوٹیاں اہم آئی سی ٹی تیسری پارٹی سروس پروویڈرز کو منتخب کرتے ہیں اور آرٽيڪل 31 کے تحت ان پر براہ راست نظر رکھتے ہیں۔

آرٹیکل 28 میں کہا گیا ہے کہ آئی سی ٹی سروسز کا استعمال کرنے والے مالی ادارے ہر وقت تمام ذمہ داریوں کی تعمیل اور ان کے پورا ہونے کے لئے مکمل طور پر ذمہ دار رہیں گے۔ DORA اداروں کو سالانہ طور پر نئے ترتیبات کے بارے میں رپورٹ دینا ہوگا اور اہم یا اہم کاموں کے لئے منصوبہ بندی شدہ معاہدوں کے بارے میں وقت سے پہلے اختیار کو اطلاع دینا ہوگا۔

DORA EBA آؤٹ سورچنگ رہنما خطوط کے ساتھ مل کر کام کرتا ہے۔ عمل میں، بینکوں کو ایک انوینٹری قائم رکھنے کی ضرورت ہوتی ہے جو دونوں کو مطمئن کرتی ہے۔

سایبر سیکورٹی

سپروائزرز کی توقع ہے کہ بینک اپنے معلوماتی اثاثوں کو جانے، ان کی اہمیت کے مطابق ان کی حفاظت کریں، حملوں کو جلدی سے پکڑیں اور تعریف کردہ تحمل کے اندر اہم خدمات کو واپس حاصل کریں۔

کی کنٹرول عام طور پر شامل ہیں:

1. متعدد عوامل کی تصدیق اور خصوصی رسائی کنٹرول کے ساتھ مضبوط شناخت اور رسائی انتظامیہ۔
2. محفوظ سوفٹ ویئر کی ترقی اور تبدیلی کا انتظام، وینڈر ریلیز کے لئے شامل.
3. ٹرانسپورٹ اور آرام میں ڈیٹا کی انکریپشن، اور کلیدی انتظامیہ کہ بینک کنٹرول.
4. مسلسل نگرانی اور ایک سیکورٹی آپریشنز کی صلاحیت، گھر میں یا باہر سے.
5. کمزوری کے انتظام اور منظم اندرگیر ٹیسٹ.
6. پروڈیوس ماحول سے الگ اور بحالی کے لئے ٹیسٹ کی گئی بک اپ.
7. ریگولیٹری نوٹیفیکیشن اور کلائنٹ مواصلات کو ڈھانپنے والے واقعات کے ردعمل کے منصوبے۔

فریب کنٹرول سائبر اور ادائگی کو جوڑتا ہے ، حصولی تصدیق ، رویے کی تجزیہ کاری اور زبردست کلائنٹ توثیق کے ذریعے خریداروں کی حفاظت کی جاتی ہے کیونکہ ادائیگی فوری اور غیر واپسی والی ہوتی ہے۔

ریگولیٹری رپورٹنگ

بینکوں کو نگراں اور مرکزی بینکوں کے لئے ڈیٹا کی بڑی مقدار میں رپورٹ. آرٹیکل 430 CRR مرکزی بینکوں کو اعداد و شمار کی رپورٹ فراہم کرنی چاہیے اور مالیاتی ذہانت کے یونٹوں کو مشکوک معاملات کی رپورٹیں بھی حاصل ہونی چاہئے۔

رپورٹیں صرف ان کے پیچھے ڈیٹا کی طرح ہی اچھی ہیں. کوئر سسٹم سے ریگولیٹر تک زنجیر عام طور پر چلتا ہے:

1. کور سسٹم اور دوسرے آپریشنل سسٹم میں ڈیٹا کی وجہ سے.
2. عام لیڈر کے ساتھ موافقت کے ساتھ ایک ڈیٹا ویئر ہاؤس یا رپورٹنگ طبقہ.
3. ایک ریگولیٹری رپورٹنگ انجن جو ڈیٹا کو سپریوری ٹیمپلیٹز اور تصدیق کے اصولوں میں میپ کرتا ہے۔
4. دستاویز کنٹرول کے ساتھ، مالیات اور خطرے کی طرف سے جائزہ لینا اور دستخط کرنا۔
5. ریگولیٹر کے پورٹل یا فارمیٹ کے ذریعے پیش کیا جانا۔

رپورٹنگ میں غلطی کی وجہ سے سپروائزری نتائج اور، جہاں وہ سپروائزر کو گمراہ کرتے ہیں، نفاذ ہو سکتا ہے۔

لائسنس درخواست میں سپروزر کیا دیکھتے ہیں

1. ایک واضح ہدف آرکیٹیکچر، ہر نظام کے ساتھ، اس کا مالک، اس کی فراہم کُنندہ اور اس کی جگہ.
2. ایک اہم یا اہم فنکشنس میپ، دکھاتا ہے کہ کون سے فنکشنز اور کس کو باہر سے ملے ہیں.
3. ہر اہم فراہم کئے جانے والے کے لئے خارج ہونے کا منصوبہ، وقت اور لاگت میں حقیقی۔
4. ڈیٹا لوکیشن اور رسائی، بشمول سپروزر اور حل اختیار کے لئے.
5. آزمائشی ہمتاس کے ساتھ ہی کاروبار کے منصوبے کے سروس وعدوں سے مطابقت رکھنے والے بحالی کے وقت بھی ہیں۔
6. تياري کا ثبوتجیسے آخر تک ٹیسٹنگ، ہجرت کی مشق اور آپریشنل قبولیت۔

The ECB’s guide to fintech bank licensing asks applicants to consider an exit plan for ceasing operations in an orderly and solvent manner, without harming consumers or requiring regulatory intervention. ٹیکنالوجی کے انتخاب یہ طے کرتے ہیں کہ ایسا منصوبہ قابل اعتماد ہے یا نہیں: ڈیٹا کو حاصل کیا جا سکتا ہو، اکاؤنٹس منتقل کیے جا سکتے ہوں اور ادائیگی صاف طور پر روکنے میں قادر ہو۔

آئندہ مضمون میں ان ادائیگی ریلوں کی وضاحت کی جائے گی جن سے کور سسٹم جڑتا ہے: کارڈ اسکیمیں، SEPA، فوری ادائیگی اور ریئل ٹائم گروس سیٹلمنٹ۔