Oprogramowanie dla banków, ubezpieczycieli i brokerów

Oprogramowanie dla finansów i ubezpieczeń działa pod nadzorem: od 17 stycznia 2025 r. podmioty finansowe stosują DORA, która obejmuje zarządzanie ryzykiem ICT, incydenty, testy odporności i relacje z dostawcami usług ICT. Dostawca oprogramowania jest częścią tych wymagań - musi je rozumieć i umieć wykazać bezpieczeństwo.

Do tego dochodzą realia, które znamy z projektów: systemy zastane, z których nie da się zrezygnować z dnia na dzień, dokumenty w dziesiątkach formatów i oczekiwanie klientów, że wszystko zadziała w aplikacji.

Najczęstsze wyzwania, z którymi przychodzą firmy z sektora:

• dokumenty - polisy, wnioski, umowy - przepisywane ręcznie między systemami,
• systemy zastane - stabilne, ale trudne do rozwijania i integrowania,
• wymagania wobec dostawców - DORA, kwestionariusze, audyty i prawa kontroli,
• bezpieczeństwo i testy - program testowania odporności i coraz szybsze zarządzanie podatnościami,
• AI z danymi klientów - bez wysyłania ich poza UE i z uwzględnieniem AI Act.

Podmiot finansowy przez cały czas ponosi pełną odpowiedzialność za zgodność z DORA, także gdy korzysta z dostawców ICT (art. 28 ust. 1 lit. a). Dlatego umowy z dostawcami usług ICT muszą zawierać postanowienia z art. 30 ust. 2 DORA, m.in.:

• jasny opis usług i warunków podwykonawstwa
• lokalizacje świadczenia usług i przetwarzania danych
• ochrona danych, dostęp do nich i ich zwrot po zakończeniu umowy
• opisy poziomów usług
• pomoc przy incydentach ICT bez dodatkowych opłat lub za opłatą ustaloną z góry
• pełna współpraca z organami nadzoru
• prawa wypowiedzenia i minimalne okresy wypowiedzenia
• udział dostawcy w programach świadomości i szkoleniach podmiotu

Dla usług wspierających funkcje krytyczne lub istotne (art. 30 ust. 3) dochodzą m.in.:

• pełne SLA z mierzalnymi celami
• testowanie planów awaryjnych i środki bezpieczeństwa ICT po stronie dostawcy
• udział dostawcy w TLPT podmiotu
• nieograniczone prawa dostępu, kontroli i audytu
• strategie wyjścia z okresem przejściowym

O planowanej umowie na usługi ICT wspierające krytyczne lub istotne funkcje podmiot informuje KNF najpóźniej 14 dni przed związaniem się umową (art. 18zi ust. 1 pkt 2 ustawy o nadzorze nad rynkiem finansowym).

Z naszej strony zapewniamy NDA, SLA i przetwarzanie danych w UE; pozostałe postanowienia omawiamy indywidualnie przy umowie. Szerzej o DORA - na stronie DORA i odporność cyfrowa.

AI Act

• Systemy AI do oceny zdolności kredytowej lub scoringu kredytowego osób fizycznych są systemami wysokiego ryzyka (z wyjątkiem wykrywania oszustw finansowych) (załącznik III pkt 5 lit. b AI Act).
• Systemy AI do oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych osób fizycznych są systemami wysokiego ryzyka (załącznik III pkt 5 lit. c AI Act).
• Wymogi dla systemów AI wysokiego ryzyka z załącznika III (np. rekrutacja, scoring kredytowy, ubezpieczenia na życie i zdrowotne) stosuje się od 2 grudnia 2027 r. (art. 113 akapit trzeci lit. c AI Act w brzmieniu rozporządzenia (UE) 2026/1744).
• Banki i ubezpieczyciele stosujący systemy AI do scoringu kredytowego lub wyceny ryzyka w ubezpieczeniach na życie i zdrowotnych przeprowadzają przed wdrożeniem ocenę skutków dla praw podstawowych (art. 27 ust. 1 w zw. z załącznikiem III pkt 5 lit. b i c AI Act).

Systemy AI dla sektora finansowego projektujemy z nadzorem człowieka i rejestrowaniem zdarzeń, a modele uruchamiamy w UE - zobacz wdrożenie AI w firmie.

Dostępność usług bankowości detalicznej

• Ustawa o zapewnianiu spełniania wymagań dostępności niektórych produktów i usług weszła w życie 28 czerwca 2025 r. (art. 88 ustawy z 26.04.2024).
• W bankowości detalicznej dostępne muszą być także metody identyfikacji klienta, podpisu elektronicznego, bezpieczeństwa i płatności (art. 16 pkt 1 ustawy z 26.04.2024).
• Nadzór koordynuje Prezes Zarządu PFRON; organem nadzoru dla bankowości detalicznej jest Rzecznik Finansowy, a dla handlu elektronicznego minister właściwy do spraw informatyzacji (art. 38 ust. 2-3 ustawy z 26.04.2024).

Interfejsy projektujemy według WCAG 2.2 na poziomie AA - opisujemy to na stronie aplikacji webowych.