PSD2 pähkinänkuoressa

Transkriptio

1 Pankkien ja kolmansien osapuolten välinen tekninen kommunikointi Mikä on teknologian vaikutus? PSD2 pähkinänkuoressa

2 Tiivistelmä Pankkijärjestelmä on käännekohdassa ja markkinoiden sekä uusien vahvaa teknologista muutosta ajavien toimijoiden paineessa. Tässä tilanteessa pankkien on tehtävä päätöksiä: kilpaillaanko suoraan asiakassuhteen säilyttämisestä vai rajoitetaanko oma rooli pankkipalveluiden tekniseksi tuottajaksi? Uusi maksupalveludirektiivi(psd2) antaa verkkopankkipalveluiden loppukäyttäjille mahdollisuuden suorittaa maksuja tai päästä käsiksi tilitietoihinsa kolmannen osapuolen (TPP) tarjoaman ohjelmiston avulla. Kolmansia osapuolia kutsutaan maksutoimeksiantopalvelun tarjoajiksi (PISP) tai tilitietopalvelun tarjoajiksi (AISP). Uudet toimijat operoivat valtuutettuina loppuasiakkaan pankin tilien käyttäjinä. Tämä vähentää pankkien ja pankkien asiakkaiden keskinäistä kommunikaatiota. Käyttäjä Käyttäjä Markkinoiden avautuminen mahdollistaa uusien palvelujen kehittämisen yhteistyössä pankkimaailman ulkopuolisten osapuolten kanssa. Yhteistyö ja kommunikointi tapahtuvat hyödyntäen ohjelmointirajapintaa (API), joka pankkien on direktiivin mukaan tarjottava asiakkaille, jotta he saavat pääsyn tilitietoihin. PSD2-direktiivin perusteella maksuprosessin lisääntyvä monimutkaisuus ja samanaikaisesti maksuprosessilta vaadittava asiakkaiden turvallisuuden takaaminen edellyttävät jatkossa seuraavia: 1. Turvallisia standardeja pankkien ja kolmansien osapuolten (Third Party Providers, TPP) väliselle kommunikaatiolle Loppukäyttäjän hyväksymille maksupalveluiden tuottajille on mahdollistettava pääsy tileille helposti integroitavien rajapintojen kautta. Uusi sääntely-ympäristö merkitsee sekä uusia mahdollisuuksia että potentiaalisia riskejä perinteisille pankeille, joita uhkaa etääntyminen asiakassuhteista. Pankkisovellus Nykyisin Pankki Pankkisovellus PSD2:n aikana Pankki 2. Tunnistamisprosessien harmonisointia ja vahvistamista Tiukkojen turvallisuusstandardien käyttö yhdessä EKP:n säännöksien kanssa tulee pakolliseksi. Tämä vaatii identiteetin varmennuksen kahdella tai useammalla varmennustyökalulla. Varmennusta vahvistaa niin kutsuttujen dynaamisten linkkien käyttö, jotka varmentavat transaktion yksilöllisyyden. 2

3 Kolmansien osapuolten ja pankkien välisen kommunikaation standardit Merkittävin direktiivin teknisen tason vaikutus syntyy vaatimuksesta, jonka mukaan pankkien on mahdollistettava ulkoisten palveluntarjoajien pääsy tilitietoihin informaation keräämiseksi tai maksujen prosessoimiseksi. On ilmeistä, että kolmansien osapuolten ja pankkien välisen yhteisen kielen kehittäminen tuo eri toimijoille erilaisia haasteita ja mahdollisuuksia. Riskinä ovat liian jäykät standardit, joiden muodostaminen voi rajoittaa tulevaisuuden innovointia. Jotta eri osapuolten välinen kommunikaatio olisi yhdenmukaista ja toimisi hyväksyttyjen kriteerien mukaan, Euroopan pankkiviranomainen EBA on saanut tehtäväkseen määritellä vaatimukset standardisoidulle ja innovaation mahdollistavalle kommunikaatiolle. EBA määrittelee vaatimukset teknisissä standardeissa (Regulatory Technical Standards, RTS). Lopullinen versio asiakkaan vahvasta tunnistamisesta ja turvallisesta kommunikoinnista ohjaava tekninen standardi ("Strong Customer Authentication and Secure Communication") julkaistaan tammikuussa Kommunikaation mahdollistavasta lopullisesta teknologiaratkaisusta riippumatta jokaisen pankin tulee tehdä valinta omasta lähestymistavasta. Pankin on päätettävä, odottaako se markkinoiden reaktiota ja muokkaa toimintansa sitä mukaa, kun sääntelyn muutokset ja vaikutukset ilmenevät (reaktiivinen lähestymistapa), vai tulkitseeko se direktiiviä itse ja pyrkii hyödyntämään sen mahdollisuudet liiketoiminnan kehittämisessä (proaktiivinen lähestymistapa). Reaktiivinen toimintatapa Säädösten noudattamisen tähtäävä reaktiivinen lähestymistapa saattaa johtaa siihen, että jäädään odottamaan lopullisia teknisiä standardeja ja mukautetaan omaa toimintaa nopeasti vasta sen jälkeen, kun nähdään mitkä kilpailijoiden tai fintechien ratkaisuista ovat toimineet parhaiten. Pankit, jotka päätyvät tähän lähestymistapaan, hyväksyvät riskin siitä, että kilpailijat voivat päästä etulyöntiasemaan. On myös olemassa riski siitä, että etäännytään omista asiakkaista. Mitä tapahtuu, jos (tai kun) joku suurista sosiaalisten verkostojen aktiivisista toimijoista integroi maksupalvelut osaksi palveluitaan? Jos jokainen asiakas lisäisi IBANtilitiedon osaksi sosiaalisen median tilitietojaan, suurin osa verkkomaksupalveluita käyttävistä asiakkaista tulisi välittömästi aktiivisiksi. Tämä loisi mahdollisesti yhden suurimmista maksupalveluverkoista loppukäyttäjien keskuudessa. Proaktiivinen toimintatapa Direktiivin edellyttämä pankkijärjestelmän teknologinen avoimuus edistää uusien palvelujen ja tuotteiden luomista. Teknologiavalintoja on jatkossa koordinoitava ja ohjattava kasvavassa määrin liiketoiminnan strategisten tavoitteiden perusteella. Edelläkävijänä toimiminen edellyttää järjestelmäympäristöjen arkkitehtuurin tarkistamista, jotta voidaan varmistaa, että järjestelmät ovat palveluorientoituneita (service oriented) ja pystyvät tukemaan ja vastaamaan kasvaviin liiketoimintatarpeisiin ja yksinkertaistamaan sisäisiä prosesseja. Olemassa olevien sovellusarkkitehtuurien tulee hallita internetin kautta käytettäviä monikanavaisia sovelluksia (esim. APP) uuden direktiivin edellyttämän avoimen käytön näkökulmasta. 3

4 API:t ja niiden implementointi o Direktiivi ei määritä mitään tiettyä teknologiaa, jolla kommunikointia koskevat vaatimukset tulisi täyttää. Määrittelyn tehtäväkseen saanut EBA pyrkii nyt toimimaan käytännönläheisesti niin, että markkinoilla säilyy edelleen innovaatio ja yhteistyö ja että samanaikaisesti pystytään välttämään tarpeeton jäykkyys. Toisaalta jonkinlainen yhteinen standardi kommunikaation mahdollistavalle rajapinnalle on määriteltävä, jotta toimiala ei joudu käyttämään ylimääräistä energiaa täysin erilaisten rajapintojen yhteensovittamiseen. Näistä epävarmuustekijöistä riippumatta sekä perinteiset finanssitoimijat että fintech-toimijat ovat enimmäkseen yksimielisiä siitä, että ohjelmistorajapinnat tai toisin sanoen API:t (Application Programming Interface) ovat varteenotettava teknologiaratkaisu käyttöönotettavaksi. API edustaa ratkaisuna arkkitehtonista lähestymistapaa, joka varmistaa skaalautuvuuden, turvallisuuden ja mahdollisuuden koodin uudelleenkäyttämiseen. Sen avulla pankit pystyisivät vähentämään integrointikustannuksia, lisäämään nopeutta ja avaaman innovaatioalustan käytön myös kehittäjille ja fintech-toimijoille. Suurin osa digitaaliseen kehitykseen liittyvistä aloitteista perustuu juuri API-ratkaisuihin, joiden avulla ekosysteemi avataan kaikille osapuolille ja näin loppuasiakkaan kokema arvo kasvaa. Esimerkiksi monet suuret sosiaalisen median toimijat ovat avanneet API:t käyttöön mahdollistaakseen lisääntyneen toiminnallisuuden sekä mahdollisuuden kehittää modulaarisia ratkaisuja yhdessä kolmansien osapuolien kanssa. Samalla ne ovat lisänneet oman järjestelmänsä arvoa ja kolmansien osapuolten riippuvuutta omasta järjestelmästään. Rahoitusanalyysi Saldo & siirrot AISP Luottokortin analysointi Nykyinen tili Ehdot Pankkisuhteet Nykyisten investointien analysointi Perheen saldo Raportoin ti Lisäveloitus Säännönmukaiset ja jatkuvat tilisiirrot Postisiirrot Kolmansien osapuolten pääsy tileille on jo käytäntöä Vaikka PSD2:n edellyttämä markkinoiden avaaminen vaikuttaa suurelta muutokselta, on huomattava, että jo nyt on olemassa kolmansien osapuolten sovelluksia, jotka mahdollistavat käyttäjien pääsyn pankkitileilleen. Nämä sovellukset toimivat muun muassa niin kutsutulla screen scraping - tekniikalla, jossa asiakkaan käytöstä simuloimalla voidaan tehdä operaatioita tai tietopyyntöjä käytetyssä verkkopankissa. Tämä sisältää useita riskejä, joista merkittävimmät liittyvät asiakkaan tunnistetietojen turvallisuuteen. Näiden riskien hallintaan sääntelyssä esitetään tilille pääsyyn turvallisten menetelmien implementointia, joka onkin yksi direktiivin tärkeimpiä tavoitteita. Tällä hetkellä pankit eivät välttämättä tiedä, jos niiden loppuasiakkaat ovat jo valtuuttaneet kolmansien osapuolten pääsyn tileilleen. SDD Maksut Investoinnit Lahjoitukset PISP Kaupankäynti m 4

5 Tunnistamisprosessin harmonisointi ja vahvistaminen Direktiivin toista pääinnovaatiota edustaa kaikkien pankkien tarve harmonisoida turvallisuuteen ja vahvaan asiakkaan tunnistamiseen liittyvien kriteerien implementointi. Käyttäjäidentiteetti täytyy olla tunnistettavissa ja varmennettavissa vähintään kahdella tunnistustyökalulla, joihin kuuluvat Tieto (Knowledge; jokin informaatio, jonka vain käyttäjä tietää, esimerkiksi PIN-koodi) Omistus (Possession; jokin esine tai asia, joka vain käyttäjällä on, esimerkiksi käyttäjälle annettu tunniste) Perimä (Inherence; jokin, jota vain käyttäjä itsessään on, esimerkiksi digitaalinen sormenjälki) Perimä Tieto The 16 th update to Circular no. 285 of May 17 th, 2016 Supervisory Provisions for Banks introduces the new Section VII Organisational principles for Banks related to specific activities or risk profiles that makes it mandatory for Banks to implement the requirements set out in the "Guidelines on the final of the Internet payment security" issued by EBA December 19 th, The Banks are required to document the adoption of strong authentication measures to strengthen the verification of the identity of the customers with regard to the security of transactions via remote channels. The alignment to the legislation should take place by September 30 th, 2016 and by October 30 th, 2016 Banks will be asked to share with the ECB or the national central bank a report on the work carried out on the organizational structures and information systems. Pankkeja vaaditaan dokumentoimaan vahvan tunnistamisen keinojen käyttöönotto vahvistaakseen asiakkaiden henkilöllisyyden varmentaminen etäkanavissa. EBA työstää edelleen näiden tunnistuselementtien välistä riippuvuutta rajoittaakseen tunnisteiden vaarantumisen riskiä ja estääkseen sen, ettei yhden tunnisteen väärinkäytös vaikuta muihin tunnistuselementteihin. Direktiivin myötä on odotettavissa, että maksutoimenpiteiden turvallisuus lisääntyy dynaamisen yhdistämisen mekanismien myötä. Niiden avulla maksun tiedoista välitetään vähintään tiedot maksun summasta ja vastaanottajasta. Tavoitteena onkin, ettei tehtyä tunnistusta voida käyttää muuhun kuin ainoastaan siihen transaktioon, jota varten maksaja on sen alun perin tehnyt. Omistajuus 5

6 Parhaillaan pyritään löytämään synergioita edellä mainittujen tunnistuskäytäntöjen ja eri jäsenmaiden hallitusten käyttöön ottamien digitaalisten identiteettistandardien välillä. Identiteettistandardeja ohjaavat kansainväliset (e-idas) ja kansalliset (SPID) standardit, joiden vaatimukset ovat samankaltaisia. Mahdollinen SPID-standardin noudattaminen voisi hyödyttää pankkeja tuodessaan mahdollisuuksia asiakaskunnan laajentamiseksi ja loppuasiakkaille tarjottavien palvelujen kirjon kasvattamiseksi. On selvää, että vaatimukset tunnistamisen ja turvallisuuden tiukoista ja yhdenmukaisista käytännöistä on yhdistettävä markkinan tarpeeseen tehdä digitaalisista maksuista helppoja ja virheettömiä. Tämä näkökulma on huomioitava myös sääntelyn mahdollistamien poikkeuksien osalta. Lohkoketjuteknologia (Blockchain) ja vahva asiakkaan tunnistaminen DLT tarkoittaa teknologiaa, jota kuvataan kirjanpidon termeillä hajautetuksi kirjanpidoksi (Distributed Ledger Technology). Siinä useampi rinnakkainen toimija hallitsee varoja mahdollistaen toimijoiden väliset siirrot ilman, että varojen siirtoihin tarvitaan välittäjää. Lohkoketjuteknologia on DLT:n muunnelma, joka liittää toisiinsa lohkossa tapahtuvat siirrot ja antaa hajautetulle kirjanpidolle muuttumattoman luonteen, joka takaa lisääntyvän läpinäkyvyyden ja teknologian turvallisuuden. Monet lohkoketjuteknologiat hallitsevat siirtojen valtuuttamisen infrastruktuurin avulla, jossa jokainen julkinen avain tunnistetaan omaisuuseränä ja siihen liittyvä yksilöllinen avain mahdollistaa siirron vahvistamisen. Prosessi on saman tyyppinen kuin digitaalisessa allekirjoituksessa, ilman että on tarvetta käyttää sertifioitua viranomaista, ja mahdollistaa avainparien itsegeneroimisen mobiililaitteissa. Tässä mielessä se tarjoaa mahdollisuuden harkita mobiililaitetta omistamisen elementtinä, johon ainoastaan käyttäjällä on pääsy, aivan kuten tällä hetkellä on OTP (One Time Password) -laitteissa. Lohkoketjuteknologialla on esimerkiksi mahdollista implementoida vahva asiakkaan tunnistaminen - jotakin, joka ainoastaan käyttäjällä on - tiedettyyn loppukäyttäjän mobiililaitteeseen. Kryptovaluutta Blockchain Hajautettu kirjanpito Kirjanpitäjä 6

7 Sanasto AISP (Account Information Service Provider) Tilitietopalvelujen tarjoaja: toimija joka voi asiakkaan (tilitietopalvelun käyttäjän) valtuuttamana koota tietoa yhdestä tai useammasta asiakkaan maksupalvelun tarjoajan hallussa olevasta maksutilistä. API (Application Programming Interface) Ohjelmointirajapinta. ASPSP (Account Servicing Payment Service Provider) Maksutiliä hallitseva maksupalveluntarjoaja (maksulaitos tai pankki). Blockchain Lohkoketju on teknologia, jolla toisilleen vieraat toimijat voivat yhdessä tuottaa ja ylläpitää tietokantoja hajautetusti. DLT (Distributed Ledger Technology) tarkoittaa hajautetun kirjanpidon teknologiaa, jossa useampi rinnakkainen toimija hallitsee varoja mahdollistaen toimijoiden väliset siirrot ilman, että varojen siirtoihin tarvitaan välittäjää. EBA (European Banking Authority) Euroopan pankkiviranomainen. E-IDAS (The Regulation (EU) N 910/2014 on electronic identification and trust services for electronic transactions in the internal market) Sähköisestä tunnistamisesta ja luottamuspalveluista annettu EU:n asetus. MIF (Multilateral Interchange fee) OTP (One Time Password) Salasana joka on voimassa vain yhteen toimintoon ohjelmistossa tai laitteessa. PI (Payment Institute) Maksulaitos, jolla on toimilupa maksupalveluiden tarjoamiseen. PKI (Public Key Infrastructure) Julkisen avaimen järjestelmässä varmentaja tuottaa käyttäjille salausavaimet, varmentaa ne sähköisellä allekirjoituksellaan ja jakaa ne käyttäjille sekä ylläpitää varmennehakemistoa ja varmenteiden sulkulistaa ja mahdollisesti tarjoaa muita varmenteiden käyttöön liittyviä palveluja. PSP (Payment Service Provider) Maksupalvelun tarjoaja, joka voi tarjota myös PISP- ja AISP-toimintoja. PIP (Payment Initiation PSP) Maksutapahtuman käynnistävä maksupalvelun tarjoaja. PISP (Payment Initiation Services Provider) Maksutoimeksiantopalvelun tarjoaja, joka käynnistää maksutapahtuman maksupalvelun asiakkaan valtuuttamana toisen maksupalveluntarjoajan ylläpitämältä tililtä. RTS (Regulatory Technical Standards) Euroopan pankkiviranomaisen laatimat tekniset sääntelystandardit. SCA (Strong Customer Authentication) Vahva asiakkaan tunnistaminen.pa (Singe European Payments Area) Yhtenäinen euromaksualue on maksuliikenteen sisämarkkina-alue, johon kuuluu yhteensä 32 maata. SHA on tariffiperiaate, jossa maksaja ja maksunsaaja kumpikin osallistuvat maksutarjoajan laskuttamiin kustannuksiin ("SHARE"). TPP (Third Party Payment Service Provider) Kolmas osapuoli, joka voi tarjota asiakkaalle maksupalveluita perinteisten pankkien tai maksulaitosten lisäksi. XS2A (Access to Account) Termi jota käytetään tilitietoihin pääsemisestä 7

8 Jan Bäckström Partner Business Operations Regulatory Marko Lehto Partner Regulatory Sami Toivoniemi Senior Manager Technology sami PricewaterhouseCoopers. All rights reserved. refers to PricewaterhouseCoopers Finland and may sometimes refer to the network. Each member firm is a separate legal entity. Please see for further details. This content is for general information purposes only, and should not be used as a substitute for consultation with professional advisors.