1. Miről szól a beszámoló röviden?
A FinTechZone november 3-i, „A DÁP csak a kezdet volt” című webinárján Malinkó Péter Zsolt, a Contum ügyvezetője azt mutatta be, hogyan alakítja át a banki ügyfélutakat az EUDI-adattárca és az új uniós pénzmosás elleni rendelet, az AMLR. A magyar bankok a DÁP-tárca miatt előnnyel indulnak, de ez a feladatnak csak egy részére elég, mert 27 tagállam várhatóan 30-40 tárcájával kell együttműködniük.
2. Mi az a három dolog, amit érdemes megjegyezni?
- A sikeres azonosítás még nem zárja le a folyamatot. A céges számlanyitásnál a bank a tárcából érkező képviseleti igazolást is értelmezi, és ha az eljáró személy csak együttes aláírási joggal képviselheti a céget, a számlanyitás egy másik képviselő bekapcsolódásáig nem zárható le.
- A bizonyíték maga az adatcsomag lesz. A PDF-ek helyett strukturált adat érkezik, amelyből a bank csak a szükséges adatokat őrizheti meg, és úgy kell tárolnia, hogy egy felügyeleti ellenőrzésnél visszakereshető és kriptográfiailag ellenőrizhető legyen.
- A tesztelés és az üzemeltetés állandó feladat. A szabványok több megvalósítási változatot engednek, ezért egy egyedi banki integráció is több százas nagyságrendű tesztet igényel, a tagállami tárcák hibáit pedig az élesítés után is folyamatosan figyelni kell.
3. Miért fontos ez a pénzügyi szektornak?
Malinkó Péter Zsolt szerint a felkészülés a követelménytérképpel és a GAP-elemzéssel kezdődik, ezután választhat a bank saját fejlesztés és kész platform között. A Contum a Namirial platformpartnereként a felméréstől a bevezetést követő támogatásig kíséri az ügyfeleket, az üzleti és adatkezelési döntések a banknál maradnak. A kötelező fejlesztés üzleti lehetőség is, mert a bank a nála lévő adatot igazolásként adhatja át az ügyfélnek.
Malinkó Péter Zsolt, a Contum ügyvezetője szerint a magyar bankok előnnyel indulnak az EUDI-adattárca (EUDI Wallet), vagyis az uniós szabvány szerinti digitális személyazonosító tárca bevezetésénél, mert a DÁP-tárcát már ismerik. Ez az előny azonban a feladatnak csak egy részére elég. A bankoknak a 27 tagállam várhatóan 30–40 tárcájával kell együttműködniük, az ügyféladatok pedig a megszokott PDF-ek helyett strukturált adatcsomagként érkeznek majd. Egy egyedi banki integráció több száz tesztet igényel, és a munka az élesítés után is folytatódik.
Az előadás a FinTechZone november 3-i, „A DÁP csak a kezdet volt” című webinárján hangzott el. Azt mutatta be, hogyan alakítja át a banki ügyfélutakat az EUDI-adattárca és az új uniós pénzmosás elleni rendelet, az AMLR.
Több új banki feladat, 27 tagállam tárcáival
Az EUDI-adattárcát tagállamonként egy vagy több tárcaszolgáltató biztosíthatja; Magyarországon a DÁP-tárcát az Idomsoft szolgáltatja.
A tárcába egy erre jogosult szervezet helyezi el a felhasználó személyazonosító adatait, miután azonosította őt. Ettől kezdve a bankok és más szolgáltatók a tárcán keresztül azonosíthatják az ügyfelet, adatokat kérhetnek tőle, jóváhagyathatnak vele egy fizetést, és aláírathatnak vele egy dokumentumot.
Malinkó Péter Zsolt szerint Magyarország szerencsés helyzetben van, mert a DÁP-tárcával, a magyar állam digitális tárcájával ez a működés már nem lesz teljes újdonság. Az eIDAS 2.0, az uniós digitális személyazonosságról szóló rendelet azonban a DÁP-tárca mai, azonosításra és aláírásra szolgáló funkcióinál jóval többet ír elő.
Az EUDI-adattárcát kötelező lesz elfogadni az online ügyfélbefogadásban az érintett szervezeteknek.
A bankoknak attribútumtanúsítványokat – azaz a tárcában tárolt hitelesített igazolásokat – is be kell fogadniuk, például az adószámról, amennyiben az ügyfél a kért információt az adattárcája segítségével kívánja bemutatni.
Ahol erős ügyfél-hitelesítés kell, az ügyfél kérésére a tárcás bejelentkezést is biztosítani kell.
A fizetés jóváhagyásánál – az uniós minta szerint – a banknak saját igazolást is ki kell előzetesen bocsátania az ügyfelének attribútumtanúsítvány formájában. Összességében
„többet kell majd implementálni szolgáltatói oldalon”.
Mindezt nem elég a DÁP-tárcával megoldani, mert a bankoknak a 27 tagállam várhatóan 30–40 tárcájával kell tudniuk együttműködni.
Malinkó Péter Zsolt egy résztvevői kérdésre válaszolva jelezte, hogy az Idomsoft nem továbbítja majd a banki kéréseket a többi tagállam tárcájához, ezekkel a banknak kell kapcsolatot teremtenie.
A szükséges fejlesztést hiányelemzéssel (GAP-mátrixszal) lehet felmérni, amely ügyfélfolyamatonként összeveti, mit ad a meglévő DÁP-alap, és mit vár el a két új szabályozás.
A személy azonosítása sikeres, a céges számlanyitás mégis megállhat
Malinkó Péter Zsolt a céges számlanyitás példáján mutatta be, hány ponton alakul át egy banki folyamat az EUDI-adattárcák megjelenésével.
A cég nevében eljáró személy ma a DÁP-tárcával is azonosítható, a későbbiekben pedig bármely európai digitális adattárcával. Ez önmagában nem helyettesíti a teljes ügyfél-átvilágítást.
Az EUDI-adattárca alapesetben a személyazonosító adatokat adja át, az ügyfél-átvilágítás típusától függően azonban ennél bővebb adatkörre is szükség lehet.
Ha a bank nem rendelkezik hozzáféréssel a kormányzati adatlekérdező szolgáltatásokhoz, Malinkó Péter Zsolt szerint a hiányzó adatok egyik legmegbízhatóbb forrása maga az EUDI-adattárca lesz, amelyből a bank a rendelkezésre álló attribútumtanúsítványokat kérheti be.
A személyazonosítást követően a banknak azt is meg kell állapítania, hogy az eljáró személy valóban jogosult-e a cég képviseletére. Malinkó Péter Zsolt szerint az eIDAS 2.0 előírja a hiteles közszférabeli forrásokban szereplő képviseleti adatok elektronikus ellenőrizhetőségének biztosítását az attribútumtanúsítványokat kibocsátó minősített bizalmi szolgáltatók számára, a felhasználó kérésére, így ezek a jövőben cégképviseleti igazolást is kiállíthatnak.
A bemutatott példában az igazolás azt rögzíti, hogy a tárca tulajdonosa kizárólag együttes aláírási joggal képviselheti a társaságot. A bank ezt az információt strukturált adatként kapja meg, vagyis előre meghatározott mezőkből álló adathalmazként.
Első lépésben technikailag ellenőrzi az igazolás hitelességét, majd belső szabálykönyvei alapján értelmezi, mit jelent az adat az adott ügyben.
Az eredmény a példában az, hogy az eljáró személy azonosítása sikeres, a számlanyitás mégsem zárható le, amíg egy másik, aláírásra jogosult képviselő is be nem kapcsolódik a folyamatba.
A strukturált adat a banki dokumentálás gyakorlatát is átalakítja.
Egy felügyeleti ellenőrzés során a banknak igazolnia kell, hogyan azonosította az ügyfelet. Ezt a célt korábban papíralapú dokumentumok, később PDF-fájlok szolgálták, az attribútumtanúsítványok esetében viszont a bizonyíték maga az adatcsomag lesz.
A tárca válaszából a bank a GDPR előírásai szerint csak a célhoz és a jogszabályi kötelezettségei teljesítéséhez szükséges adatokat őrizheti meg, a szükséges ideig.
Már az adatkérésnél a célhoz kötötten szűkítenie kell az adatkört, és a szükséges adatokat és bizonyítékokat kell úgy tárolnia, hogy egy későbbi ellenőrzés során visszakereshetők és megfelelő mértékben kriptográfiailag ellenőrizhetők legyenek.
Több száz teszt, és az élesítéssel nem áll meg a munka
Az EUDI-adattárcák elvben egységes szabványok szerint készülnek, a szabványok azonban több megvalósítási változatot is megengednek.
Malinkó Péter Zsolt szerint ezért az integrációt nem elegendő egyetlen tárcával ellenőrizni: a tesztelést minden előforduló változatra ki kell terjeszteni.
Külön figyelmet igényelnek a rendhagyó esetek is. Ilyen például az eltérő névformátum, a lejárt vagy visszavont attribútumtanúsítvány, valamint a megszakadt folyamat újraindítása. A feladat nagyságrendjét az uniós interoperabilitási tesztprogram, a Launchpad adataival érzékeltette: a programban idén 85 tesztbejegyzést rögzítettek, és 3575 tesztfuttatás történt.
Egy bank egyedi integrációja ennél lényegesen kisebb volumenű, de Malinkó Péter Zsolt szerint így is „több százas nagyságrendű” tesztet kell végrehajtani.
A sikeres integráció nem lezárja, hanem új szakaszba lépteti a munkát. A banknak folyamatosan figyelnie kell, milyen hibák és megszakadások jelentkeznek az egyes tagállamok tárcáinál. Minden hibánál külön döntést igényel, hogy a saját rendszerében szükséges-e módosítást végrehajtania, vagy a problémát a másik fél felé kell jeleznie.
A javítást újabb tesztelés és megfigyelés követi, így az üzemeltetés állandó ciklussá válik.
Ehhez járul a szabályozási környezet változása: a készülő vállalati adattárca (Business Wallet) például újabb követelményeket hozhat az intézmények számára.
Saját fejlesztés vagy kész platform: ebben segít a bankoknak a Contum és a Namirial
Malinkó Péter Zsolt szerint a felkészülés első lépése annak megállapítása, hogy a kötelezettség kiterjed-e az adott szervezetre, és ha igen, milyen mélységben. Erre a kérdésre a követelménytérkép és a GAP-elemzés adja meg a választ, és ezek eredményére épül a szolgáltatási terv.
A megvalósításhoz a pénzügyi szolgáltató saját fejlesztésű megoldást vagy kész platformot választhat.
Saját fejlesztés esetén az integráció és a későbbi üzemeltetés feladatai egyaránt az intézményre hárulnak.
Kész platform alkalmazásakor a platformszolgáltató a vállalt támogatási körben gondoskodik a technikai kompatibilitásról, emellett az integráció terhének jelentős részét leveszi a bank válláról.
A Contum a teljes folyamaton végigkíséri ügyfeleit: a követelménytérkép és a GAP-elemzés elkészítésétől a bevezetésen át a bevezetést követő támogatásig.
A Namirial platformpartnereként a Namirial Wallet Platform megoldásait szállítja, és elvégzi azok integrációját, tesztelését és támogatását. A bank hatáskörében maradnak az üzleti döntések: az üzleti prioritások meghatározása, az adatkezelési döntések meghozatala és a követelmények beépítése a belső szabályozásba.
A jogszabályi kötelezettség címzettje természetesen továbbra is a bank.
Malinkó Péter Zsolt arra is felhívta a figyelmet, hogy a kötelező fejlesztések nem kizárólag megfelelési célt szolgálnak. A bank olyan képességeket épít ki velük, amelyeket más folyamataiban is hasznosíthat, mivel az EUDI-adattárcából hitelesített, megbízható adat érkezik, és a kézi feldolgozás igénye jelentősen csökken.
A legnagyobb üzleti lehetőséget abban látja, hogy a szolgáltató a nála rendelkezésre álló adatot igazolás formájában átadhatja az ügyfélnek, aki azt saját döntése alapján adhatja tovább más szolgáltatóknak.
Megítélése szerint ez az adatigazolási szerep jól monetizálható.
A webinár záró kérdésére, amely arra irányult, mit a legkönnyebb alábecsülni az EUDI-felkészülésben, Malinkó Péter Zsolt a komplexitást nevezte meg, vagyis azt, hogy a változás a szervezet hány területét és folyamatát érinti egyszerre.
Hasonlóan könnyű alábecsülni a hosszú távú üzemeltetés terhét, mivel
„a szabványok és a követelmények az indulás után is folyamatosan változni fognak”.
Az eIDAS 2.0, az EUDI Wallet vagy az AMLR kapcsán keres szakmai tájékoztatást vagy megoldást? Kattintson a linkre, vagy fotózza le a QR-kódot, és válassza ki az érdeklődési témákat, és jelezze, hogy szakmai anyagot, kapcsolatfelvételt vagy mindkettőt kér a Contumtól.
