System compliance dla banków – bezpieczeństwo informacji i DORA

Sektor bankowy podlega nadzorowi na kilku poziomach jednocześnie. Nad przetwarzaniem danych osobowych czuwa UODO, nad bezpieczeństwem teleinformatycznym – KNF, a od 17 stycznia 2025 roku obowiązuje dodatkowo unijne rozporządzenie DORA. Każdy z tych obszarów nadzoru wymaga własnych rejestrów, dokumentacji i terminów przeglądów. Dopóki prowadzisz je oddzielnie, w arkuszach i folderach sieciowych, dopóty rośnie ryzyko, że zapisy w poszczególnych rejestrach stracą spójność. Z tego powodu coraz więcej instytucji finansowych porządkuje dokumentację i procesy w jednym środowisku informatycznym.

Czym jest system compliance i co powinien obejmować?

System compliance to zestaw powiązanych ze sobą mechanizmów, które pozwalają wykazać, że bank działa zgodnie z przepisami. W praktyce obejmuje on:

• aktualną strukturę organizacyjną wraz z przypisaniem odpowiedzialności,
• mapę procesów i wynikające z niej rejestry,
• ocenę ryzyka powiązaną z konkretnymi czynnościami,
• nadzór nad dokumentacją i jej wersjami,
• obieg zgłoszeń, wniosków oraz incydentów,
• ewidencję szkoleń pracowników.

Gdy te obszary są rozdzielone, każda kontrola oznacza żmudne kompletowanie dowodów zgodności. Gdy są ze sobą powiązane, dowody powstają na bieżąco.

RODO w banku – rejestry, upoważnienia i terminy

Bank przetwarza dane osobowe na dużą skalę, a do tego obowiązuje go tajemnica bankowa. Wymagania RODO nakładają się tutaj na przepisy Prawa bankowego, co komplikuje choćby kwestie retencji danych.

Do stałych obowiązków banków należą przede wszystkim:

• prowadzenie i aktualizowanie rejestru czynności przetwarzania,
• nadawanie oraz odbieranie upoważnień do przetwarzania danych,
• obsługiwanie żądań osób, których dane dotyczą,
• przeprowadzanie oceny skutków dla ochrony danych tam, gdzie występuje wysokie ryzyko,
• zgłaszanie naruszenia do UODO w ciągu 72 godzin od jego stwierdzenia.

Ostatni punkt jest szczególnie wymagający organizacyjnie. Bez zdefiniowanej ścieżki zgłoszenia i jednego miejsca rejestracji zdarzeń łatwo przekroczyć termin.

DORA – odporność cyfrowa i nadzór nad dostawcami ICT

Rozporządzenie DORA porządkuje wymagania dotyczące operacyjnej odporności cyfrowej podmiotów finansowych. Opiera się na kilku filarach: zarządzaniu ryzykiem ICT, zgłaszaniu poważnych incydentów teleinformatycznych, testowaniu odporności, nadzorze nad zewnętrznymi dostawcami usług ICT oraz wymianie informacji o zagrożeniach.

Dla instytucji finansowej oznacza to konieczność prowadzenia rejestru informacji o umowach z dostawcami ICT, opisania procedur reagowania na incydenty i regularnej weryfikacji, czy przyjęte założenia nadal odpowiadają rzeczywistości.

Bezpieczeństwo informacji jako wspólny mianownik

RODO chroni dane osobowe, DORA – ciągłość działania i systemy teleinformatyczne. Oba akty prawne opierają się jednak na tej samej podstawie: uporządkowanym systemie zarządzania bezpieczeństwem informacji, zbudowanym w oparciu o analizę ryzyka i nadzorowaną dokumentację.

Jeśli masz jedną mapę procesów, jeden rejestr aktywów i jedną metodykę oceny ryzyka, każdy nowy obowiązek regulacyjny stanowi rozszerzenie istniejącego porządku, a nie kolejny projekt wdrażany od zera.

Jak wspieramy banki w utrzymaniu zgodności?

Wśród organizacji, które nam zaufały, znajdują się banki spółdzielcze. Od ponad 25 lat wspieramy instytucje w budowaniu systemów zarządzania jakością, ochrony danych i bezpieczeństwa informacji, łącząc doradztwo z własnym oprogramowaniem.

Nasz system e-QSM działa jako system do zarządzania RODO i jednocześnie środowisko pracy dla całej dokumentacji wewnętrznej. Jakie funkcje oferuje?

• Mapa procesów i rejestr czynności – graficzny edytor pozwala zaprojektować procesy i przypisać do nich stanowiska, a system automatycznie tworzy na tej podstawie rejestr czynności.
• Ocena ryzyka – ryzyko wiążesz z konkretnymi czynnościami i procesami, co ułatwia uzasadnienie zastosowanych zabezpieczeń.
• e-Formularze – samodzielnie projektujesz obiegi, od raportowania incydentów, przez ewidencję umów, po rejestr kategorii danych. Zebrane informacje trafiają do bazy, którą można wyeksportować.
• Nadzór nad dokumentami – uprawnienia do edycji, weryfikacja przed publikacją i przechowywanie wersji historycznych działają zgodnie z zasadami wynikającymi z norm ISO.
• Audyty i szkolenia – prowadzisz audyty oraz udostępniasz pracownikom materiały szkoleniowe w jednym miejscu.

Modułowa budowa systemu pozwala rozbudować go o dedykowane rozszerzenia, dostosowane do indywidualnych potrzeb. Dzięki temu e-QSM dopasowuje się do Twojej organizacji.

Zgodność, którą utrzymasz na co dzień

Nadzór regulacyjny nie sprawdza deklaracji, lecz dowody. Im wcześniej połączysz procesy, dokumenty i rejestry w spójną całość, tym mniej pracy pochłonie przygotowanie do kolejnej kontroli.

Chcesz zobaczyć, jak e-QSM sprawdza się w instytucji finansowej? Skontaktuj się z nami – pokażemy Ci system w działaniu i podpowiemy, jak dopasować go do struktury Twojego banku.

Najczęściej zadawane pytania (FAQ)

Czym jest system compliance w banku?

To zestaw powiązanych mechanizmów pozwalających wykazać, że bank działa zgodnie z przepisami: struktura odpowiedzialności, mapa procesów, rejestry, ocena ryzyka, nadzór nad dokumentacją, obieg zgłoszeń i ewidencja szkoleń.

Jakie obowiązki RODO ciążą na banku?

Przede wszystkim prowadzenie rejestru czynności przetwarzania, nadawanie i odbieranie upoważnień, obsługa żądań osób, ocena skutków dla ochrony danych przy wysokim ryzyku oraz zgłaszanie naruszeń do UODO w ciągu 72 godzin.

Czym jest DORA i od kiedy obowiązuje?

DORA to unijne rozporządzenie o operacyjnej odporności cyfrowej sektora finansowego, obowiązujące od 17 stycznia 2025 roku. Wymaga m.in. zarządzania ryzykiem ICT, zgłaszania incydentów, testów odporności i nadzoru nad dostawcami ICT.

Jak system e-QSM wspiera zgodność w banku?

Łączy w jednym środowisku mapę procesów i rejestr czynności, ocenę ryzyka, e-formularze, nadzór nad dokumentami oraz audyty i szkolenia, dzięki czemu dowody zgodności powstają na bieżąco.