DORA на практиці: що операційна стійкість означає для банківських фахівців

Операційна стійкість стала банківською дисципліною

Сучасне банківство залежить від цифрової інфраструктури для платежів, доступу клієнтів, кредитування, фінансування торгівлі, комплаєнсу, казначейства та внутрішніх операцій. Тому серйозний збій у технологіях більше не є незручністю, обмеженою ІТ-відділом; він може спричинити перешкоди для бізнесу, що вплине на клієнтів, ринки та регуляторні зобов’язання. Акт про цифрову операційну стійкість (DORA) відповідає на цю реальність, створюючи єдину європейську основу для управління ІКТ-ризиками, звітування про інциденти, тестування стійкості та ризиків технологій третіх сторін.

Для банківських фахівців важливо, що стійкість є відповідальністю всієї організації. Кожна бізнес-функція залежить від систем, даних та зовнішніх постачальників. Фінансування торгівлі покладається на платформи для роботи з документами та перевіркою на санкції; роздрібне банківство — на цифрові канали та платіжну інфраструктуру; комплаєнс — на інструменти моніторингу та дані; кредитні відділи — на моделі та інформаційні системи. Збій в одній сфері може швидко поширитися.

Підготовка, запобігання та виявлення

Ефективна стійкість починається з розуміння того, що є критичним. Банки повинні знати, які послуги мають продовжувати надаватися під час збоїв, які системи підтримують ці послуги та які треті сторони лежать в їхній основі. Без такої карти планування відновлення стає припускальним. Тому оцінка критичності повинна пов’язувати технологічні залежності з реальними результатами для клієнтів і бізнесу.

Запобігання залишається важливим. Безпечна конфігурація, встановлення патчів, управління доступом, моніторинг і ефективний контроль змін знижують ймовірність збою. Однак DORA також відображає ширший принцип: деякі збої стануться попри запобіжні заходи. Тому стійкість залежить від здатності організації швидко виявляти збої, локалізувати їх і продовжувати надавати критично важливі послуги.

Виявлення потребує як технологій, так і чіткої системи ескалації. Персонал повинен розуміти, що вважається інцидентом, як повідомляється про незвичну активність і коли подія може стати достатньо серйозною, щоб вимагати повідомлення регулятора. Неоднозначність під час інциденту витрачає дорогоцінний час.

Реагування, відновлення та навчання

Коли стається збій, відповідальність має бути чітко визначена. Хто очолює реагування? Хто спілкується з клієнтами? Хто вирішує, чи слід призупинити послугу? Хто взаємодіє з наглядачами? Ці рішення не слід вигадувати під час кризи. Сценарні тренування та задокументовані повноваження роблять реагування швидшим і послідовнішим.

Відновлення передбачає більше, ніж відновлення системи. Можливо, доведеться перевірити цілісність даних, звірити операції та переглянути наступні процеси. Послуга, яка технічно онлайн, але працює з пошкодженою або неповними даними, не відновлена по-справжньому. Тому банки повинні визначити критерії відновлення, які включають правильність бізнес-процесів, а не лише доступність системи.

Кожен значний інцидент також повинен давати уроки. Аналіз першопричин, відстеження усунення недоліків і перегляд комунікації та ескалації є центральними для стійкості. Майже невеликі інциденти заслуговують на увагу, оскільки вони виявляють слабкі місця до того, як станеться велика втрата.

Ризики технологій третіх сторін за DORA

Банки все більше залежать від хмарних послуг, постачальників програмного забезпечення, платіжних процесорів і спеціалізованих вендорів. Аутсорсинг може підвищити ефективність, але він не передає відповідальності. Установам потрібно розуміти стійкість критично важливих постачальників, договірні права, домовленості про повідомлення про інциденти, можливості відновлення та варіанти виходу.

Концентраційний ризик є особливо важливим. Якщо багато критично важливих функцій залежать від одного постачальника, збій цього постачальника може одночасно вплинути на кілька установ. Увага DORA до критично важливих постачальників третіх сторін відображає системний характер цього ризику.

Штучний інтелект додає ще один рівень. Банки все частіше використовують зовнішні моделі та послуги ШІ в аналітиці, виявленні шахрайства, обслуговуванні клієнтів і інструментах підвищення продуктивності. Застосовуються ті самі питання стійкості: де обробляються дані, як оновлюються моделі, як швидко банк може змінити постачальника і що станеться, коли зовнішня послуга буде недоступна?

Тестування стійкості та організаційна культура

Тестування має бути розроблене для виявлення слабких місць, а не для демонстрації відповідності. Сценарні тренування можуть перевірити втрату клієнтського порталу, хмарний збій, атаки програм-вимагачів, пошкодження даних або збій третій сторони. Більш розвинені установи також можуть розглядати сценарії, пов’язані зі ШІ, наприклад, широко поширений неправильний результат або втрату моделі як послуги, вбудованої в критично важливий процес.

Люди залишаються центральними. Технічно добре розроблений план відновлення буде неефективним, якщо персонал не зможе дотримуватися його під тиском. Тому важливі навчання, комунікація та реалістичні тренування. Залучення вищого керівництва є не менш важливим, оскільки стійкість впливає на репутацію, довіру клієнтів і фінансові результати.

DORA сприяє корисній культурній зміні. Традиційний операційний ризик часто зосереджувався на запобіганні збоїв; сучасна стійкість визнає, що деякі перешкоди неминучі, і зосереджується на здатності банку продовжувати надавати основні послуги. Це вимагає резервування, запасних варіантів, чіткості та обґрунтованого прийняття рішень.

Висновок

Для банківських фахівців цифрова компетентність тепер є частиною професійної компетентності. Менеджерам не потрібно налаштовувати брандмауери, але вони повинні розуміти, яка технологія підтримує їхню функцію, які існують запасні варіанти та як залежність від постачальників впливає на ризик. Тому eBSI Banking Academy розглядає операційну стійкість як основний компонент сучасних банківських знань.

DORA найкорисніша, коли вона змінює поведінку між інцидентами, а не просто створює регуляторні звіти. Установи, які розуміють свої залежності, чесно їх тестують і вчаться на помилках, стають стійкішими не лише до кібератак, а й до технологічних змін загалом. Операційна стійкість зрештою стосується довіри: клієнти очікують доступу до своїх грошей, бізнес очікує, що платежі будуть виконуватися, а ринки очікують, що фінансові установи працюватимуть у важких умовах.

Стійкість має бути видимою у звичайній управлінській інформації

DORA принесе найбільшу користь там, де стійкість стане частиною звичайного управління, а не щорічної процедури відповідності. Вище керівництво повинно отримувати інформацію про значні інциденти, повторювані вразливості, залежності від постачальників, результати тестування та прострочені заходи з усунення недоліків. Ці показники дають змогу побачити, чи накопичується операційна слабкість до того, як станеться серйозна подія.

Бізнес-функції також повинні розуміти власні припущення щодо стійкості. Менеджер повинен знати, які застосунки є критично важливими для функції, як довго вони можуть бути недоступними та які існують ручні альтернативи. Ці знання особливо важливі, коли цифрова трансформація усуває старі запасні процеси. Ефективність може ненавмисно знизити стійкість, якщо організація стане залежною від однієї високооптимізованої системи без практичної альтернативи. DORA заохочує банки чітко розглядати цей компроміс і гарантувати, що критично важливі послуги залишаються відновлюваними в реалістичних умовах.

Документація повинна сприяти діям, а не просто демонструвати відповідність. Критичні процедури, контактні дані та повноваження на прийняття рішень повинні бути доступними, коли звичайні системи недоступні. Установам слід перевіряти, чи справді персонал може використовувати план у реалістичних умовах. Структура стійкості, яка працює лише тоді, коли всі звичайні інструменти залишаються доступними, навряд чи буде корисною під час збою, для якого вона була розроблена.