核心银行业务、云计算、外包和技术监管

银行是一套记录在分类账中的承诺,如果分类账出现错误、不可用或受到破坏,银行就无法了解其欠债额、支付客户或向监管机构报告。 因此,监管者现在对技术架构、外包和网络恢复力的审查与资本计划一样严格。

核心银行系统的功能

核心银行系统是记录的分类账,它保存客户和帐户数据,记录每笔交易,计算利息和费用,并生成其他一切都依赖的余额。

典型功能包括 :

功能	它涵盖什么
客户和账户管理	客户记录、开立账户、产品条款、账户状态
分类账和入帐	实时或批量记录借方和贷方,总分类账输入
存款	经常账户、储蓄和定期账户、应计利息和资本化
借贷	贷款发放接口、时间表、还款、拖欠、供应信息
支付接口	与支付中心、卡片处理商和代理账户的连接
产品配置	费率、费用、限额和规则无需代码更改
数据和报告	用于财务、风险、监管报告和 AML 监控的摘要

核心周围是其他系统:数字渠道、支付中心、卡管理、客户入门和身份验证、制裁筛选、交易监控、财务、财务和监管报告引擎。

架构选择

新银行通常在三种模式之间做出选择。

1. 许可软件,由银行或供应商托管。 银行控制配置和数据,但承担集成负担。
2. 云平台上的软件即服务。 更快启动,但银行依赖于供应商的路线图和弹性,安排是外包。
3. 银行业务作为另一家持牌机构的服务。 这是最快的路线，但也会引起新银行本身是否有足够实质性的问题。

监管者并不规定一个模式，而是评估银行是否理解和控制它所选择的模式。

外包规则

外包是指由服务提供商执行银行本来会自己执行的流程、服务或活动。In the EU, the EBA Guidelines on outsourcing arrangements (EBA/GL/2019/02) entered into force on 30 September 2019.它们取代了之前的指导,包括EBA关于外包给云服务提供商的单独建议。

核心原则是，责任不能外包，管理机构仍然对所有外包职能负责，各机构 " 应当始终保持足够的实质内容，而不是成为`空壳 ' 或`邮箱式实体 ' " 。

关键或重要职能

对于外包的关键或重要职能，准则适用更严格的要求，这意味着一旦出现故障将会严重影响合规、财务业绩或连续性。

1. 在签订合同之前对供应商进行风险评估和尽职调查。
2. 包括银行和主管当局的合同准入权、信息权和审计权。
3. 控制分包，包括通知和反对或终止的权利。
4. 规定数据安全、位置和保密要求。
5. 已记录和测试退出战略。
6. 提前通知主管当局计划的关键或重要外包。

所有安排都必须记录在银行保存的外包登记册中。

欧盟境外

类似的规则适用于其他地方。In the United Kingdom, PRA Supervisory Statement SS2/21 on outsourcing and third party risk management, published in March 2021 and effective from 31 March 2022, covers materiality, data security, cloud and exit planning.PRA 描述它的目的是为了促进“更大的恢复力和采用云和其他新技术 ” 。

In Singapore, the MAS Technology Risk Management Guidelines, published on 18 January 2021, set principles for technology risk governance, IT and cyber resilience, and are supplemented by a binding notice and incident reporting instructions.

DORA:欧盟的数字化运营复原力

The Digital Operational Resilience Act, Regulation (EU) 2022/2554, has applied since 17 January 2025.它将信通技术风险管理、事件报告、测试和第三方风险纳入一项针对包括银行在内的大多数欧盟金融实体的条例。

DORA区域	对银行的核心要求
ICT风险管理	由管理机构批准和监督的文件框架，涵盖识别、保护、检测、应对和恢复
事件报告	与信通技术有关的重大事件必须报告给主管当局。 第19条：使用统一分类和模板
弹性测试	针对所有实体的测试方案；对于当局确定的实体，至少每隔三年在条26规定的正在运行的生产系统上进行先进的威胁导向渗透测试
ICT第三方风险	关于信通技术第三方风险的战略、合同最低限度要求和根据第条28订立的所有信通技术服务合同信息登记册
对关键供应商的监督	欧洲监管机构指定关键的信通技术第三方服务提供商，并根据第31条直接对其进行监督

第28条规定，使用信通技术服务的金融实体 " 应始终对遵守和履行 " 本法规定的一切义务负全部责任。 DORA 登记册必须区分支持关键或重要职能的服务，各实体必须每年报告新安排，并及时向主管当局通报计划订立的关键或重要职能合同。

DORA与EBA外包准则同时适用。 在实践中,银行保持一个满足两者的库存。

网络安全

如今,网络风险已成为审慎监管的一部分。 监管者期望银行了解其信息资产,根据其关键性对其进行保护,快速检测攻击,并在规定的容许范围内恢复关键服务。

关键控制通常包括:

1. 强大的身份和访问管理,包括多因素身份验证和特权访问控制。
2. 安全的软件开发和变更管理,包括供应商版本。
3. 对传输和静止数据进行加密,以及银行控制的密钥管理。
4. 持续监测和内部或外包的安全运作能力。
5. 漏洞管理和定期渗透测试。
6. 与生产环境隔离并经过恢复测试的备份。
7. 事件响应计划,涵盖监管通知和客户沟通。

欺诈控制将网络和支付联系起来。 受款人验证、行为分析和强大的客户身份验证可保护客户,因为支付变得即时且不可撤销。

监管报告

银行向监管机构和中央银行报告大量数据。 《刑法》第430条 CRR 要求金融机构报告自有资本要求,包括杠杆比率、大额风险承担、流动性要求、资产抵押和ESG风险等项目,某些机构还必须报告财务信息。 中央银行增加了统计报告,金融情报单位接收可疑交易报告。

报告的质量取决于其背后的数据。 从核心系统到调节器的链通常如下:

1. 核心系统和其他操作系统中的源数据。
2. 数据仓库或报告层,与总分类账进行调节。
3. 一个将数据映射到监管模板和验证规则的监管报告引擎。
4. 按照财务和风险进行审查和签字,并有记录的控制措施。
5. 通过监管机构的门户网站或格式提交。

报告中的错误可能导致监管机构的调查结果,如果这些错误误导了监管人员,则会导致执法。 新银行通常低估了在发布前将产品数据映射到报告模板的工作量。

监管人员在许可证申请中寻找什么

1. 明确的目标架构,每个系统、其所有者、其提供商及其位置。
2. 一个关键或重要功能图,显示哪些功能被外包给谁。
3. 每个关键供应商的退出计划,在时间和成本上切合实际。
4. 数据位置和访问包括监督和解决机构。
5. 经过测试的恢复能力,恢复时间与业务计划的服务承诺相匹配。
6. 准备证据,如端到端测试、迁移演练和运营验收。

The ECB’s guide to fintech bank licensing asks applicants to consider an exit plan for ceasing operations in an orderly and solvent manner, without harming consumers or requiring regulatory intervention.技术选择决定了这样的计划是否可信：数据必须可以检索，账户必须可以转移，支付必须能够干净地停止。

下一篇文章将解释核心系统连接的支付轨道:卡片计划、SEPA、即时支付和实时总结算。