To instytucje finansowe i dostawcy RegTech muszą “popracować nad sobą”, czyli raport EBA w sprawie rozwiązań RegTech. Są i rekomendacje
Europejski Urząd Nadzoru Bankowego opublikował bardzo ważny dokument „EBA Analysis of RegTech in the EU Financial Sector”, który bardzo kompleksowo obrazuje ekosystem dla dostawców i odbiorców rozwiązań technologicznych dla obszaru regulacji i raportowania. Znajdziemy tam nie tylko analizę stanu obecnego, ale także studia przypadku czy konkretne rekomendacje. Ciekawym obszarem jest też wskazanie jakie wyzwania pojawiają się zarówno po stronie dostawców RegTech, jak i instytucji finansowych, które z nich korzystają lub zamierzają. Warto przy tym pamiętać, że również po stronie nadzorców pojawiają się określone obowiązki oraz wyzwania, o czym pisałem już na blogu. Przejdźmy szybko przez najważniejsze obszary raportu. Dzisiaj jedynie ich część.
Zacznijmy od tego gdzie RegTech jest najbardziej „widoczny”. Zdaniem EBA to obszary:
1. Przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu (AML/CFT) – w tym w zakresie onboardingu klientów i screeningu pod kątem sankcji gospodarczych;
2. Przeciwdziałanie oszustwom – w tym z wykorzystaniem biometrii behawioralnej;
3. Raportowanie ostrożnościowe – pisałem o tym ostatnio w kontekście raportu unijnego nadzorcy;
4. Bezpieczeństwo obszaru ICT – np. wykrywanie naruszeń bezpieczeństwa;
5. Zdolność kredytowa – np. z użyciem sztucznej inteligencji (pamiętajmy, że może to być rozwiązanie uznane za system wysokiego ryzyka – więcej tutaj).
Pamiętajmy jednak, że możliwości wykorzystania RegTech jest znacznie więcej, a postępująca automatyzacja i ekstrakcja danych może tylko przyczynić się do dalszego rozwoju.
Dlaczego RegTech jest tak istotny?
Nie będzie zaskoczeniem to, że chodzi przede wszystkim o szybkość, efektywność i większą automatyzację. Prawidłowe zarządzanie ryzykami w działalności instytucji finansowej w czasach postępującej cyfryzacji nie może opierać się już na manualnych procesach, bo jest to po prostu nie do ogarnięcia, a ryzyko błędu ludzkiego jest znacznie większe niż 30 lat temu. De facto więc rozwiązania RegTech pozwalają na zwiększenie efektywności, dostosowanie się do nowych wymagań regulacyjnych (a tych jest coraz więcej) czy poprawę jakości danych, w tym raportowych.
Wiele danych wskazuje na to, że automatyzacja procesów w ramach instytucji może przyczynić się do obniżenia nie tylko kosztów bezpośrednich w zakresie compliance, ale także pośrednich – poprzez lepsze zarządzanie ryzykiem braku zgodności czy operacyjnym. A jest to tym bardziej istotne, że organy nadzoru coraz baczniej przyglądają się obszarowi cyfrowej odporności operacyjnej (klik).
To jednocześnie wyzwanie
I to na wielu polach i dla wielu „aktorów”. Niewłaściwe zaimplementowanie rozwiązania RegTech może przyczynić się tylko do powiększania skali problemów, szczególnie jeżeli nie zapewnimy odpowiedniego poziomu bezpieczeństwa. EBA wskazuje tutaj na takie ryzyka jak compliance, ryzyko koncentracji, ciągłość biznesowa, ryzyka ICT i bezpieczeństwa, reputacja, wewnętrzne zarządzanie czy ochrona konsumentów. W praktyce możemy jednak wskazać ich znacznie więcej. Jeżeli dołożymy do tego wyzwania po stronie organów nadzoru, które będą miały charakter nie tylko regulacyjny, ale także technologiczny czy kompetencyjny, to okaże się, że RegTech może być wyzwaniem systemowym.
EBA opracowała także zestawienie wyzwań po stronie dostawców i odbiorców rozwiązań RegTech. Ci pierwsi muszą mierzyć się m.in. z brakiem kompetencji technologicznych po stronie odbiorców, bezpieczeństwem i ochroną danych, kosztem pozyskania klientów, brakiem zrozumienia czym jest RegTech w instytucjach finansowych czy brakiem zharmonizowanych ram prawnych i regulacyjnych. Z kolei po stronie odbiorców mamy m.in. wyzwania w zakresie cyberbezpieczeństwa, problem braku interoperacyjności oraz integracji nowych rozwiązań z tzw. legacy systems, koszty postępowań o zamówienie, brak wystarczających umiejętności czy postrzeganie dostawców RegTech jako „niedojrzałych” biznesowo. Od razu widać, że dostawców i odbiorców łączą dwa zasadnicze punkty:
1. Brak zrozumienia (siebie);
2. Wyzwania po stronie bezpieczeństwa.
Sama EBA wskazuje zresztą, że największe problemy są problemami wewnętrznymi organizacji. I tutaj pełna zgoda – przewlekły proces decyzyjny, brak zrozumienia własnych potrzeb i możliwości to jeden z obszarów, który hamuje rozwój nowych rozwiązań.
EBA rekomenduje
Unijny nadzorca podkreśla, że ramy prawne i regulacyjne nie stanowią obecnie największego wyzwania dla RegTech, ale jednocześnie brak standardów w zakresie wymogów technicznych czy „danowych” oraz brak harmonizacji przepisów powoduje, że RegTech nie rozwija się tak dynamicznie – szczególnie w obszarze międzynarodowym. Brakuje też jasnych wytycznych ze strony organów nadzoru co do potencjału i możliwości wykorzystania RegTech w instytucjach finansowych (na drugim biegunie jest organ z Hong Kongu, który wydaje takie rekomendacje – pisałem o tym wczoraj). Przypomnijmy, że zgodnie z założeniami Digital Finance Strategy – legislacja dla sektora finansowego ma – do 2024 r. – być przekazywana w formacie „machine-readable”.
EBA proponuje podjęcie konkretnych działań, choć mam wrażenie, że „gdzieś to już słyszałem”. Mamy więc:
1. Zwiększanie wiedzy i uzupełnianie kompetencji w zakresie RegTech wśród nadzorców i regulatorów oraz uspójnianie praktyk nadzorczych w UE w kontekście dostawców i odbiorców;
2. Dalsza harmonizacja wymagań prawnych i regulacyjnych;
3. Wykorzystanie European Forum for Innovation Facilitators do stworzenia konkretnej roadmapy.
Jednocześnie EBA podkreśla coś o czym pisałem niedawno – rozwój RegTech zależy od wypracowania wspólnych rozwiązań i eliminowania barier wewnętrznych. Chodzi tutaj m.in. o jakość danych, gotowość technologiczną, wprowadzenie odpowiednich rozwiązań organizacyjnych czy rozwój kompetencji i wiedzy. Bez tego trudno będzie o dynamiczny rozwój RegTech. Potrzeba wspólnych ram do współpracy i woli jej zacieśniania.
W dłuższej perspektywie możemy myśleć o centralnej baize rozwiązań RegTech oraz certyfikacji dostawców, choć to jeszcze nie jest przesądzone i będą prowadzone dalsze badania w tym zakresie.
I to w zasadzie tyle, choć wrócimy jeszcze do opracowania, żeby przyjrzeć się konkretnym przykładom. Jednocześnie trochę szkoda, że tak mało miejsca poświęcono projektowaniu aktów i regulacji w języku maszynowym. Ale to może jeszcze nie ten czas…