Банк иши, булут, аутсорсинг ва технологияларни тартибга солиш

Банк – бу бухгалтерия ҳисобида қайд этилган ваъдалар мажмуаси. Агар бухгалтерия ҳисоби хато бўлса, қўлга киритилмаса ёки бузилган бўлса, банк қарздорлигини билмайди, мижозларига пул тўлай олмайди ёки раҳбарларига ҳисобот бера олмайди. Шунинг учун ҳам ҳозирги кунда назоратчилар технология архитектураси, аутсорсинг ва кибербардошлиликни капитал режалари каби синчковлик билан текширмоқдалар.

Банк тизими нима қилади?

Банкнинг асосий тизими ҳисоботлар бош китоби ҳисобланади. У мижоз ва ҳисоб маълумотларини сақлайди, ҳар бир операцияни эълон қилади, фоиз ва тўловларни ҳисоблайди ҳамда бошқа барча нарсаларга асос бўладиган балансларни ишлаб чиқаради.

Типик функциялар қуйидагиларни ўз ичига олади:

Функция	У нимани қамраб олади
Мижоз ва ҳисобни бошқариш	Мижоз маълумотлари, ҳисоб очиш, маҳсулот шартлари, ҳисоб ҳолати
Бюджет ва ҳисобот	Дебетлар ва кредитларнинг реал вақтдаги ёки партиявий ёзуви, умумий бош китоб фишлари
Депозитлар	Жорий, захира ва муддатли ҳисоблар, фоиз тўплаш ва капиталлаштириш
Кредит	Кредит олиш интерфейслари, жадваллар, тўловлар, ортиқча тўловлар, таъминот манбалари
Платежи интерфейслари	Тўлов марказлари, карта процессорлари ва алоқа ҳисобларига уланишлар
Продукт конфигурацияси	Код ўзгаришларисиз ставкалар, тўловлар, чегаралар ва қоидалар
Датчалар ва ҳисоботлар	Молия, хавфсизлик, тартибга солиш ҳисоботлари ва AML мониторинги учун ажратмалар

Бунинг атрофида бошқа тизимлар жойлашган: рақамли каналлар, тўлов маркази, карта бошқаруви, мижозларни қабул қилиш ва шахсни тасдиқлаш, санкциялар текшируви, транзакция мониторинги, хазина, молия ва тартибга солиш ҳисоботлари муҳаррири.

Архитектура танлаш

Янги банклар одатда учта моделдан бирини танлайди.

1. Лицензияланган дастурий таъминот, банк ёки провайдер томонидан жойлаштирилган. Банк конфигурация ва маълумотларни назорат қилади, аммо интеграция юкини кўтаради.
2. Software as a service on a cloud platform. Тезроқ ишга тушириш, лекин банк сотувчининг йўл харитаси ва чидамлилигига боғлиқ, ва тузилма аутсорсингдир.
3. Бошқа лицензияланган ташкилотдан хизмат сифатида банк хизмати. Энг тезкор йўл, лекин бу янги банкнинг ўзида етарли миқдордаги маблағ бор-йўқлиги ҳақида савол туғдириши мумкин.

Назоратлар бирор моделни белгилаб бермайди, балки банкнинг ўзи танлаган моделни тушуниб олиши ва назорат қилишини баҳолайди.

Аутсорсинг қоидалари

Аутсорсинг дегани хизмат кўрсатувчи ташкилот банкнинг ўзи бажариши мумкин бўлган жараён, хизмат ёки фаолиятни амалга ошираётганидир. Европа Иттифоқида EBA Аутсорсинг тартиби тўғрисидаги йўриқномалар (EBA/GL/2019/02) 2019 йилнинг 30 сентябрь куни кучга кирди. Улар аввалги йўриқномаларни, шу жумладан EBAнинг булут хизматларини тақдим этувчиларга аутсорсинг бўйича алоҳида тавсиясини алмаштирди.

Бош қоида – масъулиятни бошқаларга юклаш мумкин эмаслигидир. Идора барча юкланган вазифалар учун жавобгар бўлиб қолади. Институтлар “ҳар доим етарлича модда сақлаши ва “босиқ қоплама” ёки “почта қутиси субъектлари”га айланмаслиги керак”.

Критик ёки муҳим функциялар

Бу борада банклар қуйидагиларни амалга оширишлари лозим:

1. Ишни бошлашдан олдин хавфларни баҳолаш ва хизмат кўрсатувчига риоя қилишни бажаринг.
2. Банк ва ваколатли органлар учун шартномавий ҳуқуқларни, маълумотларга кириш ҳуқуқини ва аудит ҳуқуқини ўз ичига олади.
3. Қўллаб-қувватлашни бошқариш, шу жумладан хабар бериш ва рад этиш ёки тугатиш ҳуқуқи.
4. Маълумотлар хавфсизлиги, жойлашуви ва махфийлик талабларини белгиланг.
5. Ҳужжатлаштирилган ва синовдан ўтказилган чиқиш стратегиялари.
6. Асосий ёки муҳим аутсорсинг ҳақида ваколатли органни олдиндан хабардор қилинг.

Банк томонидан юритиладиган аутсорсинг рўйхатида барча келишувлар қайд этилиши лозим.

ЕИ ташқарисида

Бунга ўхшаш қоидалар бошқа жойларда ҳам қўлланилади. Британияда, PRA 2021 йил март ойида эълон қилинган ва 31 март 2022 йилдан кучга кирадиган аутсайдёрлик ва учинчи томон хавфларини бошқариш бўйича SS2/21 назорат баёноти материализм, маълумотлар хавфсизлиги, булут ва чиқиб кетишни режалаштиришни қамраб олади. PRA уни “катта барқарорлик ва булут ва бошқа янги технологияларни қабул қилиш” учун мўлжалланган деб таърифлайди.

Сингапурда 2021 йилнинг 18 январида эълон қилинган MASТехнологик хавфни бошқариш йўл-йўриқлари технология хавфини бошқариш, ахборот технологиялари ва киберхавфсизлик принципларини белгилаб беради ҳамда мажбурий огоҳлантириш ва ҳодиса ҳақида хабар бериш бўйича кўрсатмалар билан тўлдирилади.

DORA: Европа Иттифоқида рақамли фаолиятнинг барқарорлиги

Digital Operational Resilience Act, Regulation (EU) 2022/2554, 2025 йилнинг 17 январидан бошлаб амал қилади. У банклар ва бошқа кўплаб Европа Иттифоқи молиявий ташкилотлари учун ИКТ хавфини бошқариш, ҳодисани хабар қилиш, синовдан ўтказиш ва учинчи томон хавфини бир тартибга келтиради.

DORA ҳудуд	Банклар учун асосий талаб
ИКТ хавфларини бошқариш	Идентификация, ҳимоялаш, аниқлаш, жавоб бериш ва тиклашни қамраб олувчи бошқарув органи томонидан тасдиқланган ва назорат қилинадиган ҳужжатлаштирилган тизим
Ҳодиса ҳақида хабар бериш	ИКТ билан боғлиқ асосий ҳодисалар 19-моддага мувофиқ, мувофиқлаштирилган классификация ва шаблонлардан фойдаланган ҳолда ваколатли органга хабар қилиниши керак
Барқарорлик синовлари	Барча субъектлар учун синов дастури; ваколатли органлар томонидан аниқланган субъектлар учун 26-модда остидаги жонли ишлаб чиқариш тизимлари устидан камида ҳар уч йилда илғор таҳдидларга асосланган кириб бориш синови
ICT учинчи томон хавфи	28-моддага мувофиқ ИКТ учун учинчи томон хавфи, шартномавий минимумлар ва барча ИКТ хизматлари шартномалари тўғрисидаги маълумотлар рўйхати бўйича стратегия
Критик провайдерларни кузатиш	Европа назорат органлари муҳим ИКТ учинчи томон хизматларини кўрсатувчиларни белгилайди ва уларни 31-моддага мувофиқ бевосита назорат қилади

28-моддага кўра, ИКТ хизматларидан фойдаланувчи молиявий ташкилотлар DORA ва молиявий хизматлар тўғрисидаги қонунга мувофиқ “ҳар доим барча мажбуриятларни бажариш учун тўлиқ жавобгар бўлишлари керак”. Реестр муҳим ёки муҳим функцияларни қўллаб-қувватловчи хизматларни ажратиб кўрсатиши лозим. Тадбиркорлик субъектлари ҳар йили янги тартиб-таомиллар ҳақида ҳисобот бериши ва муҳим ёки муҳим функциялар бўйича режалаштирилган шартномалар ҳақида ваколатли органни ўз вақтида хабардор қилиши керак.

DORA EBA аутсорсинг қоидалари билан биргаликда қўлланилади. Практикада, банклар иккаласини ҳам қондирадиган бир инвентарни сақлайди.

Киберхавфсизлик

Киберхавфсизлик бугунги кунда ғамхўрлик назоратининг бир қисмига айланди. Кўрсаткичлар банкдан ўз ахборот активларини билиш, уларни уларнинг муҳимлигига қараб ҳимоя қилиш, ҳужумларни тезда аниқлаш ва муайян толерантликлар доирасида муҳим хизматларни тиклашни талаб қилади.

Клавиша назоратлари одатда қуйидагилардан иборат:

1. Кўп омилли аутентификация ва имтиёзли кириш назорати билан кучли идентификация ва кириш бошқаруви.
2. Хавфсиз дастурий таъминотни яратиш ва ўзгартиришларни бошқариш, шу жумладан сотувчиларнинг янгиланишлари учун ҳам.
3. Транзит ва дам олиш ҳолатидаги маълумотларни шифрлаш, ҳамда банк томонидан назорат қилинадиган калит бошқаруви.
4. Доимий кузатув ва хавфсизлик операциялари қобилияти, ички ёки ташқи.
5. Хавфсизликни бошқариш ва доимий текшириш.
6. Продукция муҳитидан ажратилган ва тиклаш учун синалган заҳира нусхалари.
7. Ҳужжатлаштирилган хабарнома ва мижозлар билан алоқани қамраб олувчи ҳодисаларга жавоб бериш режалари.

Ҳуқуқбузарлик назорати кибер ва тўловларни боғлайди. Тўловлар тезкор ва бекор қилинмайдиган бўлиб қолганда, тўлов олувчининг тасдиқланиши, хатти-ҳаракат таҳлили ва кучли мижоз аутентификацияси мижозларни ҳимоя қилади.

Регламент бўйича ҳисобот

Банклар назоратчилар ва марказлашган банкларга катта миқдордаги маълумотларни тақдим этади. Европа Иттифоқида Қонуннинг 430-моддаси CRR ташкилотлардан ўз маблағлари талаблари, жумладан, ликвидлик талаблари, активларнинг юкланиши ва ESG кўрсаткичлари тўғрисида ҳисобот беришни талаб қилади. Шунингдек, айрим ташкилотлар молиявий ахборотни ҳам тақдим этиши керак. Марказий банклар статистик ҳисоботларни қўшиб беради, молиявий разведка бўлимлари шубҳали транзакциялар ҳақидаги ҳисоботларни олади.

Хабарномалар фақат улар ортидаги маълумотларга қараб яхши бўлади. Асосий тизимдан регуляторгача бўлган занжир одатда қуйидагича кетади:

1. Асосий тизим ва бошқа ишлаш тизимларидаги манба маълумотлари.
2. Маълумотларни сақлаш жойи ёки умумий бош китобга мувофиқлаштирилган ҳисоботлаш қатлами.
3. Маълумотларни назорат шаблонлари ва тасдиқлаш қоидаларига мувофиқлаштирадиган тартибга солиш ҳисоботи мотори.
4. Ҳужжатлаштирилган назорат билан молия ва хавфлар бўйича кўриб чиқиш ва тасдиқлаш.
5. Регулятор портали ёки формати орқали тақдим этиш.

Маълумот беришдаги хатолар назоратчиларнинг хулосаларига олиб келиши мумкин ва улар назоратчини чалғитган тақдирда, уларни амалга оширишга олиб келиши мумкин. Янги банклар кўпинча маҳсулот маълумотларини тақдим этишдан олдин ҳисобот шаблонларига мувофиқлаштириш ишларини кам баҳолайдилар.

Лицензия аризасида назоратчилар нимани излаши керак

1. Ҳар бир тизим, унинг эгаси, провайдери ва жойлашуви билан аниқ мақсад архитектураси.
2. Критик ёки муҳим функциялар харитаси, қайси функциялар ва кимга юкланганини кўрсатади.
3. Ҳар бир муҳим провайдер учун чиқиб кетиш режалари, вақт ва харажатлар бўйича реал.
4. Датчалар жойлашуви ва кириши, шу жумладан назоратчи ва ҳал қилувчи орган учун.
5. Синалган барқарорлик, бизнес режасининг хизмат ваъдаларига мос келадиган тиклаш вақтлари билан.
6. Яроқлилик далили, масалан, охиригача синовдан ўтказиш, кўчиш машқлари ва амалиёт қабул қилиш.

Бу ECBFintech банк лицензиялаш йўлланмаси талабгорлардан истеъмолчиларга зарар етказмасдан ёки тартибга солувчи аралашувни талаб қилмасдан, операцияларни тартибли ва тўлов қобилиятига эга тарзда тўхтатиш учун чиқиш режасини кўриб чиқишни сўрайди. Бундай режа ишончли бўлиши технология танлови билан белгиланади: маълумотларни олиш мумкин бўлиши, ҳисоблар кўчирилиши ва тўловлар тоза тўхтатилиши керак.

Кейинги мақолада асосий тизимга уланган тўлов йўллари тушунтирилади: карта схемалари, SEPA, тезкор тўловлар ва реал вақтдаги умумий ҳисоб-китоб.