Ngân hàng cốt lõi, đám mây, thuê ngoài và quy định công nghệ

Một ngân hàng là một tập hợp những hứa hẹn được ghi lại trong sổ sách. Nếu sổ sách sai, không có hoặc bị ảnh hưởng, ngân hàng không thể biết nó nợ gì, trả cho khách hàng của mình hay báo cáo với người giám sát. Vì lý do này, các cơ quan quản lý bây giờ kiểm tra kiến trúc công nghệ, thuê ngoài và khả năng phục hồi mạng như kế hoạch vốn.

Những gì hệ thống ngân hàng cốt lõi làm

Hệ thống ngân hàng cốt lõi là sổ sách ghi chép, nó giữ dữ liệu khách hàng và tài khoản, đăng tải mọi giao dịch, tính lãi suất và phí, và tạo ra số dư mà tất cả những thứ khác dựa vào.

Các chức năng điển hình bao gồm:

Hàm	Nó bao gồm gì?
Quản lý khách hàng và tài khoản	Hồ sơ khách hàng, mở tài khoản, điều kiện sản phẩm, tình trạng tài khoản
Sổ sách và ghi chép	Thời gian thực hoặc đăng hàng loạt các khoản nợ và tín dụng, nguồn sổ sách chung
Đặt cọc	Tài khoản lưu động, tiết kiệm và ngắn hạn, lãi suất tích lũy và vốn hóa
Cho vay	Giao diện khởi tạo khoản vay, lịch trình, trả nợ, nợ nần, nguồn cung cấp
Giao diện thanh toán	Kết nối với trung tâm thanh toán, bộ xử lý thẻ và tài khoản tương ứng
Cấu hình sản phẩm	Tỷ lệ, phí, giới hạn và quy tắc không thay đổi mã
Dữ liệu và báo cáo	Trích dẫn cho tài chính, rủi ro, báo cáo quy định và AML giám sát

Quanh lõi là các hệ thống khác: kênh kỹ thuật số, trung tâm thanh toán, quản lý thẻ, đăng ký khách hàng và xác minh danh tính, sàng lọc trừng phạt, giám sát giao dịch, kho bạc, tài chính và động cơ báo cáo quy định.

Tùy chọn kiến trúc

Ngân hàng mới thường chọn giữa ba mô hình.

1. Phần mềm được cấp phép, do ngân hàng hoặc một nhà cung cấp lưu trữ. Ngân hàng kiểm soát cấu hình và dữ liệu, nhưng chịu trách nhiệm tích hợp.
2. Phần mềm như một dịch vụ trên nền tảng đám mây. Nhanh hơn để khởi động, nhưng ngân hàng phụ thuộc vào bản đồ và khả năng phục hồi của nhà cung cấp, và việc sắp xếp là thuê ngoài.
3. Ngân hàng như một dịch vụ từ một tổ chức có giấy phép khác. Đây là con đường nhanh nhất, nhưng nó có thể đặt ra câu hỏi liệu ngân hàng mới có đủ vốn.

Các nhà giám sát không chỉ định một mô hình, họ đánh giá liệu ngân hàng có hiểu và kiểm soát được mô hình mà họ chọn.

Quy tắc Outsourcing

Ngoại giao có nghĩa là một nhà cung cấp dịch vụ thực hiện một quy trình, dịch vụ hoặc hoạt động mà ngân hàng sẽ tự thực hiện. In the EU, the EBA Guidelines on outsourcing arrangements (EBA/GL/2019/02) entered into force on 30 September 2019. Họ thay thế các hướng dẫn trước đó, bao gồm cả khuyến nghị riêng biệt của EBA về thuê ngoài cho nhà cung cấp dịch vụ đám mây.

Nguyên tắc trung tâm là trách nhiệm không thể được thuê ngoài. cơ quan quản lý vẫn chịu trách nhiệm cho tất cả các chức năng được thuê ngoài. các tổ chức "phải duy trì mọi lúc đủ chất và không trở thành 'vỏ trống' hoặc 'thực thể hộp thư'".

Hàm quan trọng

Các hướng dẫn áp dụng các yêu cầu nghiêm ngặt hơn khi chức năng được thuê ngoài là quan trọng hoặc quan trọng, có nghĩa là một thất bại sẽ ảnh hưởng đến sự tuân thủ, hiệu suất tài chính hoặc sự liên tục.

1. Thực hiện đánh giá rủi ro và kiểm tra kỹ lưỡng đối với nhà cung cấp trước khi ký hợp đồng.
2. Bao gồm quyền hợp đồng truy cập, thông tin và kiểm toán cho ngân hàng và cơ quan có thẩm quyền.
3. Kiểm soát phân cấp, bao gồm thông báo và quyền phản đối hoặc chấm dứt.
4. Đặt ra các yêu cầu về an ninh dữ liệu, vị trí và bảo mật.
5. Có tài liệu và kiểm tra chiến lược thoát.
6. Thông báo trước cho cơ quan có thẩm quyền về kế hoạch thuê ngoài quan trọng hoặc quan trọng.

Tất cả các sắp xếp phải được ghi lại trong một sổ đăng ký thuê ngoài do ngân hàng duy trì.

Ngoài EU

Các quy tắc tương tự áp dụng ở nơi khác. In the United Kingdom, PRA Supervisory Statement SS2/21 on outsourcing and third party risk management, published in March 2021 and effective from 31 March 2022, covers materiality, data security, cloud and exit planning. PRA miêu tả nó như là có mục đích tạo điều kiện cho "sự phục hồi và chấp nhận đám mây và các công nghệ mới khác".

In Singapore, the MAS Technology Risk Management Guidelines, published on 18 January 2021, set principles for technology risk governance, IT and cyber resilience, and are supplemented by a binding notice and incident reporting instructions.

DORA: khả năng phục hồi hoạt động kỹ thuật số trong EU

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025. Nó mang lại quản lý rủi ro ICT, báo cáo sự cố, thử nghiệm và rủi ro bên thứ ba vào một quy định cho hầu hết các thực thể tài chính EU, bao gồm các ngân hàng.

Vùng DORA	Yêu cầu cơ bản cho các ngân hàng
Quản lý rủi ro ICT	Một khung tài liệu được phê duyệt và giám sát bởi cơ quan quản lý, bao gồm nhận dạng, bảo vệ, phát hiện, đáp ứng và phục hồi
Thông báo sự cố	Các sự cố liên quan đến ICT lớn phải được báo cáo cho cơ quan có thẩm quyền theo Điều 19, sử dụng phân loại và mẫu thống nhất
Thử nghiệm độ bền	Một chương trình kiểm tra cho tất cả các thực thể; đối với các thực thể được xác định bởi chính quyền, thử nghiệm xâm nhập dẫn đầu mối đe dọa tiên tiến ít nhất mỗi ba năm trên hệ thống sản xuất sống dưới Điều 26
ICT third party risk	Một chiến lược về rủi ro bên thứ ba ICT, tối thiểu hợp đồng, và một sổ đăng ký thông tin về tất cả các hợp đồng dịch vụ ICT theo Điều 28
Giám sát các nhà cung cấp quan trọng	Cơ quan giám sát châu Âu chỉ định các nhà cung cấp dịch vụ ICT quan trọng của bên thứ ba và giám sát họ trực tiếp theo Điều 31

Điều 28 quy định rằng các thực thể tài chính sử dụng dịch vụ ICT "phải luôn luôn chịu trách nhiệm về việc tuân thủ và thực hiện tất cả các nghĩa vụ" theo DORA và luật dịch vụ tài chính. Sổ đăng ký phải phân biệt các dịch vụ hỗ trợ các chức năng quan trọng hoặc quan trọng.

DORA áp dụng cùng với EBA Trong thực tế, các ngân hàng duy trì một danh mục để thỏa mãn cả hai.

An ninh mạng

Các nhà giám sát mong đợi một ngân hàng biết các tài sản thông tin của mình, bảo vệ chúng theo tỉ lệ với tính quan trọng của chúng, phát hiện các cuộc tấn công nhanh chóng và phục hồi các dịch vụ quan trọng trong phạm vi được xác định.

Các điều khiển chính thường bao gồm:

1. Quản lý danh tính và truy cập mạnh mẽ, với xác thực đa yếu tố và kiểm soát truy cập đặc quyền.
2. Bảo vệ phát triển phần mềm và quản lý thay đổi, bao gồm cả các bản phát hành của nhà cung cấp.
3. Mật mã hóa dữ liệu trong quá trình vận chuyển và nghỉ ngơi, và quản lý chìa khóa mà ngân hàng kiểm soát.
4. Kiểm soát liên tục và khả năng hoạt động an ninh, trong nhà hoặc bên ngoài.
5. Quản lý điểm yếu và kiểm tra xâm nhập thường xuyên.
6. Các bản sao lưu được cô lập khỏi môi trường sản xuất và kiểm tra để phục hồi.
7. Kế hoạch đáp ứng sự cố bao gồm thông báo quy định và truyền thông khách hàng.

Kiểm tra người nhận, phân tích hành vi và xác thực khách hàng mạnh mẽ bảo vệ khách hàng khi các khoản thanh toán trở nên ngay lập tức và không thể hủy bỏ.

Quản lý báo cáo

Các ngân hàng báo cáo khối lượng dữ liệu lớn cho các cơ quan giám sát và ngân hàng trung ương. Trong EU, Điều 430 của CRR yêu cầu các tổ chức phải báo cáo về yêu cầu nguồn vốn riêng bao gồm tỷ lệ đòn bẩy, phơi nhiễm lớn, yêu cầu lưu thông tiền tệ, gánh nặng tài sản và phơi nhiễm ESG, trong số các mục khác, và một số tổ chức cũng phải báo cáo thông tin tài chính.

Các báo cáo chỉ tốt như dữ liệu đằng sau chúng. chuỗi từ hệ thống cốt lõi đến bộ điều khiển thường chạy:

1. Dữ liệu nguồn trong hệ thống cốt lõi và các hệ thống hoạt động khác.
2. Một kho dữ liệu hoặc lớp báo cáo với sự thống nhất với sổ sách tổng hợp.
3. Một động cơ báo cáo quy định vẽ dữ liệu cho các mẫu giám sát và luật xác minh.
4. Kiểm tra và ký kết bởi tài chính và rủi ro, với các kiểm soát được ghi chép.
5. Đăng ký thông qua cổng hoặc định dạng của nhà điều hành.

Lỗi trong báo cáo có thể dẫn đến kết quả giám sát và, khi họ lừa dối người giám sát, thực thi. Ngân hàng mới thường đánh giá thấp công việc vẽ bản đồ dữ liệu sản phẩm để báo cáo mẫu trước khi ra mắt.

Những gì người giám sát tìm kiếm trong một đơn xin giấy phép

1. Một kiến trúc mục tiêu rõ ràng, với mỗi hệ thống, chủ sở hữu, nhà cung cấp và vị trí của nó.
2. Một bản đồ các chức năng quan trọng hoặc quan trọng, cho thấy những chức năng nào được thuê ngoài và cho ai.
3. Kế hoạch rời khỏi cho mỗi nhà cung cấp quan trọng, thực tế về thời gian và chi phí.
4. Vị trí và truy cập dữ liệu, bao gồm cả cho cơ quan giám sát và giải quyết.
5. Kiểm tra độ bền, với thời gian phục hồi phù hợp với các cam kết dịch vụ của kế hoạch kinh doanh.
6. Bằng chứng sẵn sàng, chẳng hạn như thử nghiệm từ đầu đến cuối, diễn tập di chuyển và chấp nhận hoạt động.

Chỉ dẫn của ECB về cấp giấy phép ngân hàng fintech yêu cầu người nộp đơn xem xét một kế hoạch rời khỏi để ngừng hoạt động theo cách có trật tự và thanh khoản, không gây hại cho người tiêu dùng hoặc yêu cầu can thiệp của cơ quan quản lý.

Bài viết tiếp theo giải thích các đường ray thanh toán mà hệ thống cốt lõi kết nối với: kế hoạch thẻ, SEPA, thanh toán tức thời và thanh toán tổng thể thời gian thực.