Die nächste grosse Regulierungswelle im Zahlungsverkehr rollt auf Europa zu

Die Europäische Kommission macht sich aktuell Gedanken mit welchen Massnahmen sie die Verfügbarkeit und die Nutzung von Instant Payments (IP) fördern kann. Wie üblich soll dies mit der Verabschiedung einer EU-Verordnung (COM2022 - 546) passieren, welche die groben Anforderungen formuliert und die Details werden in der Folge vom European Payments Council (EPC) in der Form von Rulebooks und Implementation Guidelines beschrieben. Neben der auch im Schweizer IP bekannten Verpflichtung der Banken den IP-Empfang anbieten zu müssen und der Vorgabe, dass IP-Zahlungen gleich teurer sein sollen, wie «normale» Zahlungsaufträge sticht in der aktuellen Diskussion nebst dem Wechsel der Compliance-Prüfung auf Basis täglicher Stammdaten-Scans anstelle einer Transaktionsprüfung die sog. «Confirmation of Payee» (PoC), hierzulande auch als Namensabgleich bezeichnet, heraus.

Die meisten hiesigen Banken führen aktuell den Namensabgleich beim Zahlungseingang durch (oder planen dies in naher Zukunft zu tun). Die EU-Regulation fokussiert den Namensabgleich des Begünstigten beim Zahlungsausgang, also beim Sender-Finanzinstitut. Dieses muss in Zukunft überprüfen, ob die IBAN des Zahlungsempfängers, grösstenteils nicht mit einem Konto im eigenen Haus, mit dem Namen des Zahlungsempfängers übereinstimmt und über jede Diskrepanz den Zahler informieren, bevor dieser den IP-Zahlungsauftrag abschliesst. Ein Entwurf, wie dies umgesetzt werden soll, ist vom EPC per Juli 2023 angekündigt, inklusive dreimonatiger öffentlichen Konsultation nach erfolgter Publikation. Der Vorschlag sieht interessanterweise vor, dass auch bei einer benachrichtigten Unstimmigkeit der Zahler den IP-Auftrag trotzdem ausführen lassen kann.

Selbstverständlich machen sich die relevanten Akteure, u.a. auch PPI, bereits jetzt Gedanken, wie die Regulation in der Praxis umgesetzt werden könnte. Wie so oft hilft da ein Blick auf bereits produktive Lösungen oder Projekte in der Umsetzung. Exemplarisch könnten nachfolgende Beispiele für eine hiesige Umsetzung dienen:

• pay.uk (GB): sog. «Overlay Service”, welcher als Input der zu überprüfenden Transaktionsdaten die Stati «match», «close match», «no match» oder «unavailable» retourniert
• SurePay (NL): ähnliches Konzept wie pay.uk mit API und selbstentwickelten Algorithmus zur Bestimmung, ob «close match» oder «no match»
• Nordic Payments Council (NPC): zentraler Standardisierungs-Ansatz für die Länder Norwegen, Schweden, Finnland, Dänemark und Island
• SEPAMail (FR): dezentraler Service, welche sowohl Überweisungen als auch Lastschriften prüft und als Resultat «cmatch» oder «no match» retourniert

Inwiefern ist der Finanzplatz Schweiz wiederum gezwungen die EU-Verordnung im sog. «autonomen Nachvollzug» ebenfalls umzusetzen? Für EU-Länder gilt für Verordnungen, dass diese sofort und unmittelbar für alle Mitgliedstaaten gelten (i.d.R. mit einer Übergangsfrist von 12 Monaten). Nach Rückfrage bei unseren Partnern soll für Länder ausserhalb der EU eine Frist von 36 Monaten angesetzt werden, falls ein Institut via SEPA Adherence Agreement am SCTInst-Verfahren teilnimmt. Die vereinfachte Möglichkeit am SCTInst-Verfahren teilzunehmen, wird aktuell auch unter dem Vorhaben «One-Leg-Out Arrangements» vorangetrieben. Mit Blick auf die Erreichbarkeit von IP-Teilnehmern in ganz Europa können Schweizer Banken und Zahlungsdienste-Anbieter diese Entwicklungen nicht ignorieren. Es ist auch denkbar, dass eine zukünftige Schweizer Regulierung einen PoC für den nationalen IP-Zahlungsverkehr vorsieht. Wir bleiben seitens PPI Schweiz am Thema dran und werden es ganz nach Schweizer Manier weiter «aktiv Beobachten».

Dieser Beitrag wurde von Carsten Miehling gepostet.

Weiterlesen

Risikomanagement und IT-Regulatorik: Unsere Teilnahme an der Fachtagung im bayerischen Freising

Seit nunmehr 5 Jahren trifft sich eine Gruppe vorwiegend eigenständiger, mittelständischer deutscher Banken im oberbayerischen Freising für einen mehrtägigen Austausch rund um die Themen Gesamtbanksteuerung und Risikocontrolling, Revision und Compliance. Wissenschaftlich begleitet wird die halbjährlich stattfindende Tagung von Professor Stefan Zeranski, der ein enzyklopädisches Wissen über aktuelle regulatorische Anforderungen mit dem Sinn für’s Wesentliche kombiniert.

Für die Präsentation unserer Studienergebnisse unter Anwendung der Software cysmo aus dem Hause PPI (wir berichteten) durften wir als einzige Nicht-Bank am vertrauten Seminar teilnehmen.

Welche Anforderungen, aber auch Chancen werden von den Teilnehmern in diesen Bereichen gesehen? Unter den zahlreichen Regularien und Vorschriften, die über Bafin, EBA, EZB und andere Aufsichten gestellt werden – es handelt sich um viele hundert Seiten pro Jahr – sticht das Thema IT-Regulatorik heraus. Im Speziellen erschienen als Konkretisierung der deutschen MaRisk bzw. als Reaktion auf die EBA ICT Guidelines im vergangenen Jahr die BAIT (Bankaufsichtliche Anforderungen an die IT). Dieser kurze Text, von der Bafin als blosse Konkretisierung betrachtet und daher ohne Übergangsfrist umzusetzen, führte zu intensiven Gesprächen unter den Teilnehmenden. Einige Institute konnten schon über Erfahrungen bei der IT-Tiefenprüfung berichten, die in teils signifikanten Risiko-Aufschlägen resultierten.

Aber worum geht es in den BAIT? Der Text befasst sich detailliert mit Berechtigungsmanagement und IT-Betrieb, Informationsrisikomanagement und Auslagerungen. Eine Dokumentenflut trifft die Institute, da gezielte IT-Sicherheitsstrategien und Governance-Regeln im Einklang mit der Geschäftsstrategie zu formulieren sind. Das klingt alles reichlich formal, jedoch verdeutlicht die Intensität und Rigorosität der aufsichtlichen Prüfungen, wie ernst das Thema IT-Sicherheit genommen wird. Dabei gilt, wie eine Teilnehmerin anmerkte: „Man kann sich vorbereiten wie man will, man wird trotzdem kalt erwischt”. Oder überwacht und updated Ihr Haus regelmässig die ausgelagerten IT-Dienstleistungen und berücksichtigt diese Auslagerungsfälle im Risiko-Management? Haben Sie alle IDVs sauber dokumentiert, versioniert und Verantwortliche benannt?

Ähnliche Anforderungen gelten über die Corporate Governance- und OpRisk-Neufassungen auch immer mehr in der Schweiz. In der diesjährigen Jahresmedienkonferenz stellte Finma-Direktor Branson fest, dass Cyber-Risiken das grösste OpRisk für Banken sind. Seine deutschen Kollegen pflichten bei, dass „IT-Governance und Informationssicherheit für die Aufsicht inzwischen den gleichen Stellenwert haben wie die Ausstattung der Institute mit Kapital und Liquidität (Bafin: BAIT: BaFin veröffentlicht Anforderungen an die IT von Banken). Man ergänze gedanklich: «... und wird daher ebenso streng kontrolliert wie diese.» Gleichzeitig gelten in einer real-time economy auch immer strengere Vorschriften für Datenaggregation, -Qualität und Reporting. Es ist also anzunehmen, dass IT-Themen im Fokus der Aufsicht bleiben, selbst wenn der Zenit der regulatorischen Kreativität langsam erreicht scheint.

Das zumindest war der Konsens der anwesenden KMU-Banken. Einerseits sind deren IT-Systeme weniger fragmentiert als bei vielen grossen, andererseits fällt es besonders ihnen schwer, entsprechendes Know-How zu gewinnen. Insofern könnte die IT-Regulatorik auch als Katalysator für die Konsolidierung im Finanzsektor wirken oder zumindest als Anreiz, Kooperationen konkreter ins Auge zu fassen. Dies zeigte auch unsere Analyse mit cysmo®: Kleine Genossenschaftsbanken und Sparkassen sind bedeutend besser gegen Cyber-Angriffe geschützt als gleich grosse, aber eigenständige Banken. Immer zentraler wird es auch bei den ohnehin anstehenden Modernisierungen der IT-Landschaften, Mehrwerte zu generieren. Schliesslich teilen sich die deutschen Banken bei der Eigenkapitalrendite mit Griechenland, Portugal und Zypern die letzten Plätze in der Währungsunion!

Es bleibt also spannend für die vielen mittelgrossen Banken in Deutschland, aber auch für die Konkurrenz in der Schweiz. Sehr hilfreich ist es vor diesem Hintergrund, in geschütztem Umfeld Klartext reden zu können. Wie spannend das ist konnten wir in Freising bestaunen.

Dieser Beitrag wurde von Sebastian Strub verfasst.

#Regulation #PPIonTour #cysmo

Weiterlesen

FINIG / FIDLEG

Neue Regulation kommt auf die Banken zu.

Die Banken auf dem Schweizer Markt sind einer Vielfalt von Gesetzen und regulatorischen Anforderungen ausgesetzt. Steigende Prozesskomplexität sowie die neue Regulatorik, sowohl auf dem Schweizer als auch auf dem internationalen Markt, erfordern eine enge Zusammenarbeit zwischen dem Compliance-, Risk- und Legal-Bereich. Es werden neue Standards und Empfehlungen definiert, welche jedoch nicht in allen Ländern gleich gehandhabt werden. 

Die Auswirkungen neuer Gesetze werden oft unterschätzt. Auch wenn der Inhalt bei der Legal-Abteilung klar zu sein scheint, sind relevante interne Prozesse nicht sofort erkennbar. Das Thema Datensicherheit ist im Finanzsektor sehr wichtig und ist speziell bei Banken ein äusserst sensibler Bereich. Das ist aber nicht alles. Insider Geschäfte, Korruption und Gesetzeskonformität gehören auch dazu. Diverse Umfragen haben ergeben, dass ausgerechnet Regulatorik das grösste Risiko bei Banken darstellt.

Es ist eine Herausforderung, bei Inkrafttreten neuer Gesetze den Überblick über alle relevanten Themen bzw. Gebiete zu behalten. Da die Vorlaufzeiten für die Umsetzung der geforderten Anforderungen meistens kurzfristig sind, sind oft Unsicherheiten und Hektik für eine unvollständige bzw. mangelhafte Realisierung verantwortlich. 


Die Revisions-Vorgaben wurden aber immer erfüllt. Reicht das?

Es ist nicht ganz so einfach. Alle regulatorischen Anforderungen zu meistern bedeutet einen breiten Spagat zwischen den Prozessen, Dezentralisierung, Digitalisierung und Regulatorik zu machen. Dabei sind neben Compliance auch andere Bereiche, wie z.B. Risk Management und Legal involviert. Produktmanagement und Vertrieb werden gefordert, die Prozesse zu überdenken und der neuen Regulatorik anzupassen bzw. Massnahmen zu definieren.


Wie sieht die Finanzmarkt-Architektur der Schweiz aus?

Das Schweizer Finanzmarktrecht befindet sich im Umbau. Die Erweiterung der Finanzmarkt-Architektur um FIDLEG und FINIG schafft neue Regeln bezüglich der Organisation und des Verhaltens der Banken bzw. der Finanzdienstleister. Das Ziel der neuen Gesetze ist die Stärkung des Kundenschutzes sowie Schaffung gleicher Wettbewerbsvoraussetzungen zwischen verschiedenen Anbietern von Finanzprodukten und -dienstleistungen. Zudem soll die Vermögensverwaltung als wichtiger Pfeiler der Schweizer Finanzindustrie gestärkt werden. Beide Gesetze wurden vom Parlament am 15. Juni 2018 verabschiedet und treten zusammen mit den jeweiligen Vollzugsverordnungen auf den 1. Januar 2020 in Kraft. 
 
FIDLEG

Bei FIDLEG geht es um eine Regelung für das Angebot von Finanzdienstleistungen und den Vertrieb von Finanzinstrumenten. Diese orientiert sich an der EU-Regelung (MiFID II, Prospektrichtlinie, PRIIPs) und verlangt eine einheitliche Regelung der Prospektpflicht bei einer Beratung bzw. Aufklärung der Kunden durch Finanzdienstleister.

FINIG

Bei FINIG wird eine differenzierte Aufsichtsregelung für Wertpapierhäuser, Verwalter von Kollektivvermögen, Vermögensverwalter und Fondsleitungen angestrebt, jedoch stark an bisherige Vorschriften angelehnt. Eine wichtige Neuerung ist die prudenzielle Erfassung der Vermögensverwalter von individuellen Kundenvermögen, Verwaltern von Vermögenswerten von Vorsorgeeinrichtungen, der Trustees und Handelsprüfer nach Edelmetallkontrollgesetz (EMKG).

Bei FIDLEG und FINIG wird man jedoch den Gedanken nicht los, dass die Schweiz als Nichtmitglied der EU und EWR nach einer Äquivalenz zum EU-Recht gesucht hat. Durch die starke Globalisierung macht es jedoch durchaus Sinn, Gesetze aufeinander abzustimmen und somit den bestmöglichen Kundenschutz zu gewährleisten. Denn im Eintretensfall eines Schadens stellt sich immer die Frage nach der Haftung. Um die Haftung der Unternehmen zu minimieren ist es erforderlich, dass hierfür interne Prozesse, Zuständigkeiten und Kontrollmechanismen definiert sind.

Seit der Finanzkrise haben die regulatorischen Anforderungen in der Schweiz stark zugenommen und speziell kleinere Institute haben darunter sehr gelitten bzw. leiden noch immer. Für die Zukunft erwartet die Finanzbranche jedoch keine zunehmende Regulierung, sondern eher eine Normalisierung und bessere Rahmenbedingungen.



Dieser Blog wurde von Alen Kasumovic gepostet

#FINIG #FIDLEG #Compliance #Regulation

Weiterlesen

Was sind Cryptocurrencies? – Ein Erklärungsversuch

Dieser Beitrag befasst sich einmal etwas eingehender mit digitalen Währungen oder eben Cryptocurrencies. Wenn diese sich nachhaltig etablieren, haben sie durchaus das Potenzial den bisherigen Zahlungsverkehr aufzumischen. 

Aber was genau ist eine Cryptocurrency? Oder anders gefragt: Entsteht bei jedem ICO (Initial Coin Offering) eine neue Währung?

Unter einem ICO versteht man die Generierung von neuen “Token“, die am Sekundärmarkt gehandelt werden können. Diese Generierung von Token ist am ehesten vergleichbar mit der Emission einer Aktie oder einer Anleihe. Und aufgrund genau dieser Ähnlichkeit zu bekannten, etablierten Wertschriften publizierte der Schweizer Finanzmarktregulator FINMA am 16. Februar 2018 seine Wegleitung zu ICOs. Darin unterschieden werden 3 Arten von Token:

Als Zahlungs-Token wird ein Coin, also die eigentliche Kryptowährung bezeichnet. Diese Zahlungs-Token sind nicht weiter mit Projekten oder Funktionalitäten verbunden (z.B. Bitcoin, Ether, Litecoin, Namecoin) und kommen deshalb einer herkömmlichen Währung am nächsten.

Da diese Zahlungs-Token als "Digitale Währungen" eingeschätzt werden, unterstehen sie auch dem Geldwäscherei-Gesetz.

Anders einzustufen sind Nutzungs-Token. Der Besitzer eines Solchen hat Anspruch auf den Zugang zu einer digitalen Nutzung oder Dienstleistung, die auf oder unter Benutzung der Blockchain-Technologie erbracht werden und zum Zeitpunkt der Ausgabe bereits dafür einsetzbar sind.

In allen anderen Fällen, in welchen zumindest teilweise die Funktion einer Geldanlage besteht, spricht die FINMA von Anlage-Token. Diese werden als Effekten behandelt, sofern sie ein Wertrecht repräsentieren und in der Masse gehandelt werden können.

Somit wird also nicht bei jedem ICO auch eine neue digitale Währung generiert.

Bis dato wurde eine Währung jeweils von einer Zentralbank herausgegeben, die die Macht über die Schöpfung oder die Reduzierung der Menge dieser Währung (der Geldmenge) hat. Hochgeschulte Volkswirte entscheiden nach bestem Wissen und Gewissen über Massnahmen, die aus ihrer Sicht geeignet sind, die Ziele dieser unabhängigen Institution Nationalbank zu erreichen. 

Diese Ziele sind von Land zu Land respektive von Währung zu Währung zwar unterschiedlich, im Grundsatz aber doch sehr ähnlich. So soll Währung als Wertaufbewahrungsmittel dienen und die Wertentwicklung entsprechend sicher sein. Eine geringe Volatilität der Wechselkurse macht vor allem deshalb Sinn, da damit Planungssicherheit für eine ganze Volkswirtschaft besteht. Bei Weitem aber nicht nur für die Wirtschaft jenes Landes, die die Währung herausgibt. 

In der globalisierten Welt ist vieles derart eng und komplex miteinander verbunden, dass eine beispielsweise politische Entwicklung in einem gut vernetzten Land Einfluss auf viele Wechselkurse hat.

Der Zentralbanker hat also ein grosses Interesse daran, die Ziele seines Arbeitgebers zu erreichen. Sowohl zum eigenen, als auch zum Wohle der Gesellschaft.

Betrachtet man hingegen die Motivation eines Miners, der Person, die durch die Bereitstellung von Rechnerkapazität eine Cryptocurrency schürft (eine digitale Währung prägt), so ist diese mit Bestimmtheit weniger holistisch und vermutlich ausschliesslich gewinnorientiert. 

Die volkswirtschaftliche Entwicklung eines Landes interessiert wenig, dafür aber die Durchsetzungsfähigkeit der Technologie auf die man setzt und insbesondere das Sammeln möglichst vieler Coins und damit verbunden die Erhöhung des eigenen Vermögens. Diesbezüglich haben digitale Währungen also eher wenig mit klassischen Währungen gemeinsam.

Man könnte dem Autor dieser Zeilen nun fehlende Weitsicht vorwerfen. Schliesslich denkt dieser noch im veralteten System von Ländergrenzen und Nationen, was in der heutigen globalisierten Welt mit einem erdballumspannenden Internet möglicherweise effektiv veraltet sein kann. 

Spinnt man diese Gedanken dann weiter, erreicht man philosophische Sphären, die den Umfang dieses Blogbeitrages deutlich sprengen würden. 

Betrachtet man nun aber aktuelle Anwendungsmöglichkeiten, so können Cryptocurrencies speziell in Ländern mit hohen Inflationsraten und politischer Instabilität eine echte Alternative zur Lokalwährung sein. Auch weil damit ein weltweites Bezahlen möglich ist und gewissermassen die Beschränkungen der Ländergrenzen fallen. Allerdings haben auch die Kryptowährungen hohe Schwankungen zu verzeichnen. (Startete BTC/USD Anfang 2017 bei USD 800.-, erreichte der Kurs Ende Dezember 2017 ein Hoch bei 19’871.-, um dann ein weiteres halbes Jahr später bei ca. 6’300.- zu notieren)

Eine Echtzeittransaktion abzuschliessen ist also ohne Probleme möglich. Hält man danach aber die digitale Währung, geht man gleichwohl das Risiko von hohen Kursschwankungen ein. Geht man Risiken ein, hat man bekannterweise aber auch Chancen: Diese Schwankungen können selbstverständlich auch zu Gunsten des Käufers ausfallen. 

Wie sich der Wert der Cryptocurrencies nun langfristig entwickeln wird und ob sie auch eine echte Alternative als Wertaufbewahrungsmittel sind oder ob sie den internationalen Zahlungsverkehr revolutionieren vermögen, wird die Zukunft zeigen. 

Ein erster grosser Test des Vertrauens in die digitalen Währungen wird bereits der nächste wirtschaftliche Abschwung bringen. In einem solchen Abschwung steigen ja traditionell die Notierungen von als “sicher” eingestuften Werten wie Gold oder eben auch “Safe Haven Currencies”. Wir blicken also gespannt auf die Entwicklung der nächsten Monate und Jahre.

Dieser Blog wurde von Matthias Schöpp gepostet


#CryptoCurrency #FINMA #Bitcoing #Regulation

Weiterlesen

Highlights vom European Payment Summit 2018 – Tag 2

Mit dem Vortrag über den aktuellen Stand der Entwicklung von Quanten-Computern wurde die Messlatte schon am ersten Tag ziemlich hoch gelegt. Und so geht es denn heute im ähnlichen Stil weiter. Vivek Bajaj, IBM Watson Financial Services Solutions stellt aktuelle Projekte vor, in welchen AI eine zentrale Komponente darstellt. AI, üblicherweise als Abkürzung für ’Artificial Intelligence’ im Gebrauch, wird hier zur ’Augmented Intelligence’. 

Der clevere Watson aus dem Hause IBM, welche schon vor 20 Jahren den amtierenden Schach-Weltmeister Garry Kasparov besiegte, erkennt heute verdächtige Zahlungen, E-Mails von betrügerischen Mitarbeitern und weiteres. Beispiel gefällig? Eine Mail eines Mitarbeiters einer Bank an einen Kunden zum Thema Wetter ”It’s going to rain tomorrow, you better take an umbrella” wurde korrekt als Weitergabe von Insider-Informationen erkannt. Das Motto lautet diesbezüglich: Context meets Content. Genauso wichtig wie der Inhalt einer Meldung ist auch der Kontext, in welchem eine Meldung eingesetzt wird.

Weitere Anwendungen von Watson finden sich in Call-Center-Lösungen, in welche Experten das System so trainieren, dass Anfragen korrekter und schneller beantwortet werden.

Und, ja, dass B-Wort durfte natürlich auch nicht fehlen. Während viele immer noch nicht genau wissen, wie eine Block-Chain wirklich funktioniert, hat IBM schon über 400 Blockchain-Projekte realisiert. Eine konkrete Anwendung finden Sie hier: https://www.we-trade.com/

Über die Aktivitäten der holländischen Zentralbank berichtet Petra Hielkema. Hauptthema ist auch hier PSD2 sowie deren Auswirkungen auf den Zahlungsverkehr. Wettbewerb unter den Markteilnehmern ist normalerweise wünschenswert. Der rapide Anstieg an Payment Service Providern (PSP) in den letzten drei Jahren stimmt jedoch etwas nachdenklich. Eine grobe Schätzung geht von über 300 verschiedenen Services und Dienstleistung alleine in Holland aus. Gut möglich, dass sich hier wieder eine Konsolidierung einstellen wird.
Nicht ganz überraschend gibt es auch bei der Umsetzung der PSD2-Richtlinien Verzögerungen. Erst 11 Mitglied-Länder haben die entsprechenden Richtlinien in nationale Gesetze adaptiert. Auch die technischen Richtlinien, die sogenannten ’Regulatory Technical Standard (RTS) werden mit einer Verspätung von etwa 20 Monaten verfügbar sein.

Das führt uns zur nächsten Panel-Diskussion, in welcher nun Akteure auftreten, welche wir bisher noch nicht auf dem Radar hatten - Juristen. Gijs Boudewijn (European Banking Federation), James Whittle (Director International Standards and Services), Scott McInnes (Jurist) und Ralf Jacob (EU-Kommission) diskutieren aktuelle Probleme bei der Umsetzung der PSD2-Regulatorien und beantworten Fragen aus dem Publikum. 

Es versteht sich von selbst, dass die Antworten der Juristen keine einfachen sind. Antwort auf die Frage unseres PPI-Kollegen Hubertus von Poser, ob denn auch Kreditkartenkonten der PSD2 unterstellt sind: ”yes and no”… Die Erklärung dazu lautet: Was ich als Kunde mit einem Konto machen kann, soll auch ein Dritter machen können, vorausgesetzt, ich habe meine Einwilligung erteilt. Kann ich mein Kreditkartenkonto einsehen, Transaktionen abfragen? Antwort: Ja. Kann ich eine Zahlung ab meinem Kreditkartenkonto initiieren? Normalerweise nein. Heisst also, Banken müssen Account Service Providern (ASP) den Zugang zu einem Kreditkarten gewähren, nicht aber Payment Initiation Service Providern (PISP). 

Selbst Ralf Jacob, von der Europäischen Kommission, welche die sehr komplexen Gesetzestexte verfassen, bestätigte, dass sie diese Regelungen doch sehr ”pragmatisch” ausgelegt und umgesetzt werden sollen. Das war nun von einem Mitglied einer Regulierungsbehörde nicht wirklich zu erwarten…

In der letzten Panel-Diskussion steht das Thema ’Strong Customer Authentication’ im Fokus.

Alain Martin (Gemalto), Rolf Lindemann (Nok Nok Labs, Hamburg), Michael Sass (Mastercard) diskutieren die aktuellen Methoden und Möglichkeiten starker Benutzerauthentifikationen. Auch hier sind bereits viele Lösungen im Markt, welche den regulatorischen Ansprüchen mal mehr, aber auch mal weniger genügen.

Generell ist man sich aber einig, dass das Benutzererlebnis entscheidend sein wird, welche Systeme sich im Markt durchsetzen werden. Details dazu verraten wir Ihnen gerne in einem persönlichen Gespräch an anderer Stelle.

Das war’s vom 17. European Payment Summit aus dem Loumann Museum in Den Haag, welches übrigens ein sehr interessantes OldTimer-Museum beherbergt. Sehr empfehlenswert!

Wir verabschieden uns mit einer neuen Überlegung zum Thema Faster Payment

Besten Dank für Ihre Aufmerksamkeit.

Dieser Beitrag wurde von Rolf Zumsteg gepostet


#EuropeanPaymentSummit #FürSieUnterwegs #PAYMENTS #europe #EPS18 #PSD2 #gdpr #FastPayments #Blockchain #AI

Weiterlesen

Das Banken-IT-Investitions-Dilemma

Neues Jahr, neues Glück und wie jedes Jahr auch ein neues IT-Budget, welches nun sukzessive über die nächsten Monate für spannende Projekte eingesetzt werden kann. Der Verteilkampf, wie viele Mittel für welche Investitionen und den Unterhalt von IT-Systemen und -Personal eingesetzt werden, hat bereits Ende des letzten Jahres stattgefunden und beginnt ab der zweiten Jahreshälfte wiederum von neuem. Für die Projektleute ist dies weniger erfreulich, denn es stehen regelmässig weniger Mittel für „Change the Bank“-Projekte zur Verfügung.

Betrachtet man die Benchmark-Studien renommierter Beratungsunternehmungen, dann kommen diese zum Schluss, dass aktuell bis zu 75% des IT-Budgets für „Run the Bank“-Kosten eingesetzt werden. Von den verbleibenden Mitteln ist dann wiederum etwa ein Drittel fest reserviert für sog. „Mandatory“-Projekte, in der Regel aus dem Bereich Regulation und Compliance. Mit den verbleibenden ca. 20% des IT-Budgets (dies ist wohl noch grosszügig gerechnet) sollen vor dem Hintergrund der Digitalisierung die so notwendigen Investitionen umgesetzt werden.

Abbildung 1: Quelle BCG's European IT Benchmarking in Banking Study & E&Y IT in Swiss Banking Survey

Wie bei jedem grösseren Investitions-Entscheid, handelt es sich auch in diesem Fall um eine äusserst komplexe Angelegenheit. Dies aufgrund der grossen Anzahl von Entscheidungsparametern (und ihren Abhängigkeiten) und aufgrund unterschiedlichster Zielvorstellungen und Kriterien der am Budgetprozess involvierten Stakeholder. PPI beobachtet und berät als Zahlungsverkehrs-Experte die Feinverteilung für den Bereich der unbaren Zahlungsmittel, inklusive Konto-Reporting. Die knappen Mittel müssen auch hier, in Anbetracht der grossen Anzahl, von möglichen Projekten priorisiert werden.

Aktuell wäre da sicher der Abschluss der Harmonisierung im Schweizer Zahlungsverkehr zu erwähnen, welcher auch im Jahr 2018 noch einen grossen Anteil an IT-Mitteln binden wird. Parallel dazu sind bereits erste Folgeprojekte aufgesetzt, wie z.B. LEON und QR-Rechnung. Ebenfalls bereits diskutiert werden Investitionen rund um die Themen Multi Banking, Open Banking und Instant Payments. Nicht zu vergessen sind die Vorhaben rund um das Thema Personal Finance Management im Online Banking und neue Apps fürs Mobile Banking (z.B. die Integration und der Ausbau von TWINT).

Viele Institute lösen dieses Investitions-Dilemma nach der sog. BOGSAT-Methode: „a bunch of old guys are sitting around the table“. Was auf den ersten Blick amüsant klingen mag, ist leider doch gängige Praxis und diejenigen Entscheider, welche am höchsten in der Hierarchie stehen und am vehementesten ihre Anliegen propagieren, setzen sich am Schluss durch. Seitens PPI möchten wir einen alternativen Ansatz auf Basis der Vorgehensweise gemäss „Analytical Hierarchy Process“ (AHP) populär machen.

Unsere Kunden setzen AHP für das strukturierte Bewerten und Entscheiden von komplexen Problemstellungen, wozu auch die Verteilung eines IT-Budgets zählt, ein. AHP ist eine moderne Methode aus der Entscheidungstheorie zur Entscheidungshilfe ähnlich der Nutzwertanalyse, um komplexe Entscheidungen zu vereinfachen und rationaler und bewusster zu treffen. Ziel von AHP ist es bei schwierigen Entscheidungen eine gemeinsame, optimale Lösung zu finden, mit möglichst geringem Zeitaufwand, bei nachvollziehbarer Qualität und weitreichender Akzeptanz seitens der Team-Mitglieder bei der späteren Umsetzung einer Team-Entscheidung.

Das Vorgehen, welches mittels einer AHP-Modellierungssoftware unterstützt wird, teilt sich in drei Teilschritte auf. Zuerst werden die relevanten Entscheidungsgrundlagen definiert. Im Fall einer IT-Budgetentscheidung als hierarchischer Anforderungsbaum. Danach werden die einzelnen Alternativen zur Befriedigung der Anforderungen im Team bewertet. Im Gegensatz zur Nutzwertanalyse erfolgt bei AHP die Bewertung im Paarvergleich, was zu widerspruchsfreieren Resultaten führt. Zum Schluss erfolgt dann der Team-Entscheid mit Hilfe von Sensitivitäts-Analysen, um die Robustheit der Entscheidung sicherzustellen.

Abbildung 2: AHP in drei Teilprozessen

Interessenten, welche ebenfalls mit dem IT-Investitions-Dilemma konfrontiert sind oder anderweite komplexe Gruppenentscheidungen zu treffen haben, stellen wir die Methode AHP und die entsprechenden Werkzeuge gerne in einem persönlichen Gespräch vor.

Für Sie gebloggt hat Carsten Miehling.

#Investitionen #HarmZVCH #AHP

Weiterlesen

GDPR – Eine weitere unterschätzte EU-Regulation?

Im Schatten der PSD2 (Payment Services Directive), welche auch in der Schweiz, vor allem wegen der geforderten Öffnung der Bankkonten für Drittanbieter, eine gewisse Aufmerksamkeit auf sich ziehen konnte, ging eine ebenso bedeutende EU-Verordnung fast in Vergessenheit. Die Rede ist von der Datenschutzgrundverordnung (DSGVO), auch bekannt in Englisch als General Data Protection Regulation (GDPR). Diese Verordnung wird im Mai 2018 für alle EU-Mitgliedsländer in Kraft treten.

Alle Organisationen, die in Europa aktiv sind, müssen der GDPR entsprechen. Dies umfasst auch jene Organisationen ohne Niederlassung in der EU, die Güter und Dienstleistungen an Personen in der EU anbieten. Die GDPR enthält eine Reihe neuer Regeln, die von Unternehmen fordern, ihre Systeme und Prozesse für den Datenschutz erneut zu überprüfen und zu aktualisieren. Dazu gehören insbesondere personenbezogene Daten, die sich auf identifizierte oder identifizierbare natürliche Personen, sog. Datensubjekte, beziehen.

Es stellt sich wie bei der PSD2 die Frage, inwieweit hiesige Firmen (in unserem Blog in erster Linie Finanzinstitute) von der Regulation betroffen sind. Die Verordnung verlangt u.a. folgendes:

• Analysiert der Betreiber einer Website das Nutzerverhalten seiner Besucher, ist er verpflichtet, die Einwilligung für die Verwendung der Nutzerdaten einzuholen
• Die Einwilligung zur Erhebung von Nutzerdaten muss unmissverständlich und klar sein (ein Hinweis in den AGBs reicht nicht aus)
• Ein europäischer Kunde kann künftig von einem Schweizer Anbieter verlangen, dass dieser seine Kundendaten löscht ("Recht auf Vergessen")
• Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet sich der Verantwortliche unverzüglich und möglichst binnen 72 Stunden bei der Aufsichtsbehörde

Obige Punkte treffen mit Sicherheit bei allen Onlinebanking-Lösungen zu. Ist es doch schon seit langem Usus von einem identifizierten, eingeloggten Bankkunden sein Verhalten während seiner Session zu loggen und in der Folge auszuwerten. Generell steigert sich aktuell bei den Finanzinstituten der Appetit auf Sammlungen nach noch persönlicheren Kundendaten. Natürlich immer im Sinne des Kunden für die Unterbreitung von noch besser zugeschnittenen Angeboten. Bei all diesen Aufzeichnungen und Auswertungen sollten die GDPR-Anforderungen in Zukunft miteinbezogen werden, um im Schadensfall nicht auf dem falschen Fuss erwischt zu werden.

Sollte ein Schadensfall eintreten, kann es für den Verursacher teuer werden. Gemäss der Verordnung kann bei einem eingetretenen Ereignis die betroffene Firma mit bis zu vier Prozent vom Jahresumsatz oder bis zu zwanzig Millionen EUR gebüsst werden. Das sind natürlich konkrete finanzielle Risiken, welche in das Risiko-Management jeder Bank einfliessen sollten. Daneben sollten alle IT-Systeme inventarisiert und analysiert werden, welche personenbezogene Daten aufzeichnen.

Eine anschliessende Einfluss-Analyse in Bezug auf die GDPR-Anforderungen verschafft Klarheit über den jeweiligen Handlungsbedarf. Idealerweise erfolgt die Identifizierung von Lösch-, Sperr- bzw. Pseudonymisierungs-Kandidaten regelmässig und automatisiert, inklusive Bereitstellung eines angepassten Berichtwesens über gelöschte und zur Löschung anstehende Daten. Hier setzt das Lösungspaket von ACTICO und PPI an – eine kürzlich erfolgreich ins Leben gerufene Kooperation für den Bereich Datenclearing.

Auf dem Finanzplatz Schweiz hört man aktuell wenig zur EU-Verordnung. Namhafte lokale Wirtschaftskanzleien weisen auch darauf hin, dass die hiesigen Gesetze vergleichbar mit den GDPR-Anforderungen seien und im Prinzip kein grosser Handlungsbedarf bestehe. Nichtsdestotrotz stellt sich die Frage, ob im Fall einer Klage (z.B. eines Kunden aus einem EU-Land) die bestehenden IT-Systeme alle Anforderungen zu erfüllen in der Lage sind und alle Prozesse adäquat funktionieren.

Mehr Infos zum Thema und zur Kooperation von ACTICO und PPI finden Sie hier.

Dieser Blog wurde von Carsten Miehling gepostet.

#Regulierung, #GDPR, #PSD2, #DSGVO, #PPI, #ACTICO

Weiterlesen

Aktuelles aus dem europäischen Umfeld

Mitte September trafen sich die Mitglieder der EPCA (European Payments Consulting Association), in welcher PPI Schweiz ebenfalls Mitglied ist, ein weiteres Mal zum informellen Austausch. Ziele dieser Treffen sind die gegenseitige Information über die aktuelle Entwicklung in den einzelnen Ländern sowie Diskussionen über spezifische Themen. Als Standort für das Treffen wurde, anlässlich der neuen PPI-Geschäftsstelle, Genf gewählt. Für weitere Informationen zu ECPA besuchen Sie deren neue Web-Seite unter www.epca.de.

PSD2

Das Dauerthema PSD2 stand auch diesmal wieder auf der Agenda. Sämtliche Teilnehmer bestätigen, dass dieses Thema auch in ihren Ländern kontrovers diskutiert wird. Einerseits sind die Banken nicht gewillt, ihre Daten für weitere Dienstleister zu öffnen, andererseits aber soll verhindert werden, dass europäische Gesetze verletzt werden und dadurch möglicherweise Sanktionen ergriffen werden könnten.

Der Wunsch vieler Betroffenen, also Banken sowie Software-Hersteller (Fin-Techs), nach einem einheitlichen, europäischen Standard-API wird sich wohl kaum erfüllen. Die Berlin Group, dessen Teilnehmerliste inzwischen  37 europäische Institute umfasst (Stand September 2017), hat noch immer keine konkrete Spezifikation veröffentlicht. Inzwischen aber hat STET (France), ebenfalls Mitglied der Berlin Group, eine solche bekannt gegeben. Es wird interessant sein zu beobachten, welche Akzeptanz diese im Markt finden wird.

AML

Interessantes gibt es seitens der AML (Anti Money Laundering) -Direktiven zu berichten. Während die Version 4 verabschiedet wurde und nun umgesetzt wird, ist bereits die Version 5 im Vernehmlassungsprozess. Im Markt wird nun etwas frustriert festgestellt, dass die Behörden neue Versionen schneller beschliessen, als diese technisch umgesetzt werden können. Laufend werden weitere Zahlinstrumente von diesen Regulatorien erfasst, sodass die Akteure laufend nachrüsten müssen. Zudem ist eine Diskussion entstanden, was genau als e-Money zu gelten hat und welche Vorschriften diesbezüglich zu gelten haben. Im Grundsatz aber ist erkennbar, dass sich die Behörden eine Cashless-Society als Zielbild vorstellen. Wenn auch noble Gründe dafür sprechen (Verhinderung von Geldwäsche und Terror-Finanzierung), ist einem nicht wirklich wohl bei dem Gedanken, dass in Zukunft sämtliche Geldströme von den Regierungen überwacht werden sollen.

Cashless Society

Andererseits sind wir in gewissen Ländern schon sehr nah an der Cashless-Society. Die Pflicht zur Bargeldannahme schwindet mehr und mehr. Inzwischen gibt es schon einige Situationen, in welchen nicht mehr mit Bargeld bezahlt werden kann. Beispiele sind Tankstellen, welche rund um die Uhr geöffnet haben und zwischen 22:00 und 6:00 Uhr nur Kartenzahlungen akzeptieren, damit keine Bargeldbestände gehortet werden müssen. Der Grund hierfür ist im Wesentlichen der Schutz der Angestellten. Ähnliches hat der Schreibende kürzlich in Kanada erlebt, als er im Hotel bar bezahlen wollte; auch hier nur mit Karte bitte.

Aktuelle Statistiken aus den nordischen Ländern belegen, dass tatsächlich die Cashless-Society schon sehr nahe ist, insbesondere Schweden ist diesbezüglich eindeutig an erster Stelle. In die gleiche Richtung geht auch die Abschaffung der EUR-500-Note. Von dieser sind knapp 600 Millionen (Wert EUR 300 Milliarden) im Umlauf, welche ab 2018 nicht mehr neu ausgegeben und stetig reduziert werden soll. Die Schweiz bildet in diesem Bereich eine grosse Ausnahme. Die Abschaffung der CHF-1000-Note ist kein Thema, mehr als 45 Millionen (im Wert über 45 Milliarden) bleiben im Umlauf. Interessant ist der Vergleich dieser grössten Noten bezüglich Wertanteil. Während im EUR-Raum die EUR-500-Note knapp 28% der gesamten Bargeldmenge ausmacht, beträgt der Anteil CHF-1000-er Note über 62%. Da diese Noten nur selten im normalen Bargeldverkehr zum Einsatz kommen, wird offenbar eine sehr grosse Menge an Vermögen in Form von Bargeld gehortet.

Bitcoin

Das Thema musste ja kommen, kein Blog ohne das Thema Bitcoin. Was also gibts es Neues zu diesem Thema?

Am 1. August 2017 wurde eine neue Kryptowährung ins Leben gerufen, Bitcoin Cash.

Die Entstehung ist tatsächlich interessant, sie wurde nämlich durch eine Abspaltung des originalen Bitcoin errichtet, was bedeutet, dass Besitzer von Bitcoin nun auch die gleiche Anzahl in Bitcoin Cash erhalten haben (sofern sie ein Wallet haben, welches dies unterstützt). Welche Auswirkung das nun auf dem Markt hervorbringt, ist nicht klar ersichtlich. Es gibt nun also Bitcoin (Währungskürzel BTC) und Bitcoin Cash (Währungskürzel BCC oder BCH). Details siehe auch auf Wikipedia.

Übrigens, gerade in dieser Woche ist der BTC um fast 30% gefallen auf USD 3192. Der Bitcoin-Experte der EPCA, nicht identisch mit dem Schreibenden, prognostiziert einen Stand von USD 5000 zum Ende des Jahres.

Steigen Sie ein?

Diese und weitere Themen wurden auch während dem kulinarischen Rahmenprogramm ausführlich diskutiert (und die meisten Probleme auch gleich gelöst…). Abgerundet wurde das Programm mit einer interessanten

Führung durch die Calvin-Stadt.

Dieser Beitrag wurde von Rolf Zumsteg gepostet.

#PSD2, #Cashless, #Bitcoin, #EPCA

Weiterlesen