.png)
.png)
.png)
Szeretné megtudni, hogyan optimalizálhatja folyamatait?
Fedezze fel megoldásainkat bankoknak és pénzintézeteknek
Röviden: Az Európai Unió digitális működési rezilienciáról szóló rendelete (DORA) 2025. január 17. óta alkalmazandó, és a bank vezető testületét teszi végső soron felelőssé az IKT-kockázatokért, a beszállítóktól eredő kockázatokat is beleértve. Egy beszállítói leállást vagy adatszivárgást az intézmény saját mulasztásaként kezelnek, a nemzeti szankciórendszerek pedig az egyes vezetőket is elérhetik. Sok bank mégsem lát egységesen és megbízhatóan rá a beszállítóira: a felügyeletek 2024-es próbaadatszolgáltatásában a beküldött beszállítói nyilvántartásoknak csak 6,5%-a felelt meg minden adatminőségi ellenőrzésnek. A cikk bemutatja, miért váltak a beszállítói szerződések megfelelési bizonyítékká, hogyan emészti fel az értéket és termel kockázatot a széttöredezett beszerzés, és hogyan fordítható ez a teher előnnyé egy egységes beszerzési megközelítéssel.
Az erős negyedéves eredmények mellett is ott lehet egy kérdés, amelyet egyetlen igazgatóság sem szeretne megválaszolatlanul hagyni: ha holnap leállna a fő felhőszolgáltatójuk, mekkora lenne a szabályozói kitettségük, és mennyi idő alatt állnának helyre? Sok banknál erre nincs azonnali válasz, és éppen ez a lényeg.
A jó jövedelmezőség szerkezeti gyengeségeket takarhat el. A banki vezetők számára ma a legkomolyabb fenyegetések egy része nem a hagyományos versenytársaktól érkezik, hanem azokból a széttöredezett beszerzési folyamatokból, amelyeket igazgatósági szinten kevesen figyelnek aktívan.
A DORA megváltoztatta a pénzügyi intézményekre vonatkozó szabályokat. Az intézmény IKT-kockázatkezeléséért a vezető testületet teszi felelőssé, és ez kifejezetten kiterjed az IKT-szolgáltatóktól eredő kockázatokra is. Ha egy központi rendszert feltörnek, vagy leáll egy fizetési szolgáltató, a felügyelet nem „beszállítói problémaként” kezeli, hanem az intézmény mulasztásaként. A szankciókat a nemzeti jog határozza meg, és az 50. cikk alapján a tagállamok nemcsak az intézményre, hanem a vezető testület tagjaira is alkalmazhatják őket.
A függőség mértékét könnyű alábecsülni. Egy nagybank több száz vagy több ezer beszállítóra támaszkodhat, gyakran anélkül, hogy egységesen látná az ebből fakadó kockázatot. A 2024. júliusi CrowdStrike-leállás, amikor egyetlen biztonsági szállító hibás frissítése világszerte Windows-rendszereket bénított meg, egyszerre okozott komoly fennakadást több banknál, biztosítónál és fizetési szolgáltatónál. 2025 novemberében az európai felügyeleti hatóságok 19 kritikus IKT-szolgáltatót jelöltek ki közvetlen uniós felügyeletre, köztük az AWS-t, a Google Cloudot, a Microsoftot, az Oracle-t, az SAP-t és a Deutsche Telekomot. Az, hogy a bankok néhány szolgáltatóra koncentrálódnak, ma már kifejezett felügyeleti szempont.
Minden beszállítói szerződés tisztán kereskedelmi megállapodásból a DORA-megfelelés, illetve a meg nem felelés lehetséges bizonyítékává vált. A 30. cikk felsorolja, mit kell tartalmazniuk az IKT-szerződéseknek, többek között a hozzáférési, vizsgálati és auditjogokat, a szolgáltatási szinteket, a felmondási jogokat és a kilépési stratégiát. Ha ezek hiányoznak, az nem csupán gyenge tárgyalási eredmény, hanem önmagában is szabályozási hiányosság lehet.
A DORA azt is előírja, hogy minden intézmény vezessen információs nyilvántartást az összes IKT-szolgáltatói megállapodásáról. A széttöredezett beszerzési adatok itt bukkannak fel először: a felügyeletek 2024-es, nagyjából 1000 pénzügyi szervezet részvételével zajlott próbaadatszolgáltatásában a nyilvántartásoknak csak 6,5%-a felelt meg mind a 116 adatminőségi ellenőrzésnek. Rendszerszintű beszállítókezelés nélkül egy intézmény sok olyan egyedi megfelelési hiányosságot hordozhat, amely hétköznapi kereskedelmi kapcsolatnak látszik.
Az európai bankok 2023-as és 2024-es rekordnyereségének jelentős része a magasabb kamatkörnyezetből származott, nem a működési kiválóságból. Ez félrevezető képet adhat: egy intézmény hatékonynak tűnhet, miközben az ellenőrizetlen beszállítói költések és kockázatok miatt értéket veszít.
Mióta az Európai Központi Bank 2024-ben megkezdte a kamatcsökkentést, azok a beszerzési hatékonysági problémák, amelyeket korábban az erős marzsok elfedtek, egyre jobban látszanak a részvényesek, a felügyeletek és az igazgatóságok számára is.
A veszteség ritkán jelenik meg egyetlen tételként. A World Commerce & Contracting kutatása szerint az aláírás után átlagosan az éves szerződéses érték közel tizede vész el elmulasztott kötelezettségek, szerződésen kívüli vásárlások és rosszul kezelt megújítások miatt. Minden szerződésen kívüli vásárlás egyszerre több dolgot jelenthet: megkerült kedvezményes árakat, kihagyott megfelelési ellenőrzéseket és át nem világított beszállítói kockázatot.
Az összeadódó hatás teszi ezt drágává: az elszalasztott mennyiségi kedvezmények, a be nem érvényesített visszatérítések és az automatikusan megújuló kedvezőtlen feltételek folyamatos veszteséget okoznak, amelyet nehéz látni, mérni és kontrollálni.
A kritikus beszállítói információk gyakran egymással nem kommunikáló ERP-rendszerekben, osztályszintű táblázatokban és régi rendszerekben vannak. Amikor az igazgatóság alapvető beszerzési adatokat kér, például a teljes beszállítói költést, a harmadik felekhez kötődő kockázati kitettséget vagy a szerződéses kötelezettségeket, a csapatoknak gyakran az egész szervezetre kiterjedő adatgyűjtésbe kell kezdeniük ahelyett, hogy azonnal válaszolnának.
Ez nemcsak hatékonysági kérdés, hanem a stratégiai döntéseket is korlátozza. A partnerségekről, a kockázatcsökkentésről és a versenypozícióról szóló döntések megbízható beszállítói információkon alapulnak. Ha nem tudja gyorsan felmérni a beszállítói kapcsolatait, megalapozott döntést sem tud hozni róluk.
A kézi beszállító-ellenőrzés egyre nehezebben veszi fel a versenyt az ellátási láncot és a fizetési folyamatokat célzó, egyre kifinomultabb, gyakran AI-jal támogatott csalásokkal. Az üzleti e-mail-csalások (BEC), amelyekben a támadók beszállítónak vagy vezetőnek adják ki magukat, hogy átirányítsák a kifizetéseket, az FBI internetes bűnözési panaszközpontja (IC3) szerint csak 2024-ben közel 2,8 milliárd dollár bejelentett kárt okoztak. Ezek a csalások a gyenge beszállítói beléptetést és fizetésellenőrzést használják ki.
Más szóval egy beszerzési gyengeség kiberbiztonsági gyengeséggé válhat. Minden ellenőrizetlen beszállítói kapcsolat lehetséges belépési pont olyan támadások számára, amelyek nem a technikai rendszereket, hanem a működési réseket célozzák.
Egyre több banki vezető tekint a beszerzés átalakítására a versenyben való megkülönböztetés forrásaként, nem háttérirodai szükségszerűségként. Az üzleti indoklás három pilléren áll: kisebb értékvesztés, gyorsabb és jobban bizonyítható megfelelés, és kevesebb meglepetés a beszállítók részéről.
Egy egységes, intelligens beszerzési platform jellemzően a következőket nyújtja:
Jól végrehajtva a beszerzés átalakítása lehetővé teszi, hogy a vezető a versenytársak előtt zárja be az intézmény egyik legkevésbé figyelt kockázati területét, biztos lehessen benne, hogy a harmadik felekhez kötődő kockázatkezelés valódi védelmet nyújt a DORA szerint, és olyan jövedelmezőséget mutasson, amely nem csak a kamatciklustól függ. Rosszul végrehajtva, vagy ha el sem kezdődik, ugyanezek a kockázatok csendben tovább halmozódnak.
Fedezze fel megoldásainkat bankoknak és pénzintézeteknek
A beszerzés átalakítása akkor működik a legjobban, ha stratégiai architektúra-döntésként kezelik, nem egy részleg finomhangolásaként. A széttöredezettség, az adatsilók és az ellenőrizetlen ellátásilánc-kockázat rendszerszintű problémák, és a taktikai javítások jellemzően érintetlenül hagyják a valódi okot.
A DORA és a folyamatos piaci konszolidáció beszűkítette a lassú, fokozatos fejlődés terét. Nem feltétlenül a legnagyobb mérlegfőösszegű intézmények kerülnek ki erősebben ebből az időszakból, hanem azok, amelyeknek a legellenállóbb és legjobban informált a beszerzési alapja.
Egy bank beszerzési funkciója vagy versenyelőnyt épít, vagy csendben halmozza a vezetői felelősséget. A DORA, a versenynyomás és a működési valóság igazgatósági szintű prioritássá tette ezt a kérdést, nem háttérirodai ügy többé.
Minden banki vezető előtt az a kérdés áll, hogy élére áll-e ennek a változásnak és learatja-e az előnyeit, vagy megvárja, amíg a felügyeleti nyomás kényszeríti ki a reakciót, amikor a stratégiai előny már elveszett.
Ellenőrzőlista beszerzési szoftverek értékeléséhez: részletes lista a szoftveres lehetőségek felméréséhez. A következőket tartalmazza:
A beszerzési szoftverek értékelésére szolgáló ellenőrzőlistát itt töltheti le.
Mi a DORA, és miért fontos a beszerzés szempontjából?
A DORA (Digital Operational Resilience Act) a pénzügyi szervezetek digitális működési rezilienciájáról szóló uniós rendelet, amely 2025. január 17. óta alkalmazandó. A beszerzés szempontjából azért fontos, mert az intézményt és a vezető testületét teszi felelőssé az IKT-szolgáltatóktól eredő kockázatokért, kötelező szerződéses rendelkezéseket ír elő, és nyilvántartást követel meg az összes IKT-szolgáltatói megállapodásról.
Személyesen felelnek a vezetők a beszállítói hibákért?
A DORA a vezető testületet teszi végső soron felelőssé az IKT-kockázatkezelésért, a harmadik felektől eredő kockázatokat is beleértve. A szankciókat a nemzeti jog határozza meg, és a DORA lehetővé teszi, hogy a tagállamok ne csak az intézményre, hanem a vezető testület tagjaira is alkalmazzák őket. A pontos feltételek ezért országonként eltérhetnek.
Mit kell tartalmaznia egy IKT-beszállítói szerződésnek a DORA szerint?
A 30. cikk sorolja fel a fő rendelkezéseket, többek között a szolgáltatások egyértelmű leírását, a szolgáltatási szinteket, az adatok helyét és védelmét, a hozzáférési, vizsgálati és auditjogokat, a felmondási jogokat és a kilépési stratégiát. A kritikus vagy fontos funkciókat támogató szerződésekre további követelmények vonatkoznak.
Miért megfelelési és biztonsági kockázat a széttöredezett beszerzés, nem csak költségkérdés?
Ha a beszállítói adatok egymástól független rendszerekben vannak, senki sem lát megbízhatóan rá a kitettségre. Így nehéz egy auditon bizonyítani a kontrollt vagy pontos DORA-nyilvántartást készíteni, könnyű észrevétlenül hagyni a kedvezőtlen szerződési feltételeket, és a csalók is könnyebben kihasználják a gyenge beléptetési és fizetési ellenőrzéseket.
Mivel kezdjen egy bank?
Először érdemes egyetlen forrásba gyűjteni a beszállítói és szerződéses adatokat, majd ellenőrizni, hogy a szerződések tartalmazzák-e a DORA által előírt rendelkezéseket. Ezután az automatikus kockázatpontozás és a megújításkövetés segít elsőként a legnagyobb kitettségű hiányosságokat kezelni.
