CSSF an Entreprisearchitektur: IT, Sous-traitance a Resilienz dokumentéieren
Banken, PSF, Investmentfirmen an Acteure vun de Fongen dokumentéieren hir IT, hir Sous-traitance an hir operationell Resilienz. Dës Dossieren hunn déi selwecht Basis: d’Fäegkeeten, d’Applikatiounen, d’Datefloss an déi Drëtt, déi derhannert stinn. De Referentiel vun der Architektur hält dës Basis um neiste Stand.
Aktualiséiert den
D’Erwaardunge vun der Dokumentatioun fir eng beaufsiichtegt Entitéit
Eng Bank, e PSF, eng Investmentfirma oder en Acteur vun de Fongen, dee sech zu Lëtzebuerg néiergelooss huet an ënner der Opsiicht vun der CSSF steet, muss weise kënnen, wéi seng Informatiounssystemer funktionéieren. D’Erwaardunge betreffen d’Gestioun vum IT-Risiko, d’Accorde vu Sous-traitance an IKT-Servicer an d’operationell Resilienz.
Dësen Text hëlleft, d’Dokumentatioun virzebereeden; e Rechtsrot ass en net. En zitéiert keng Nummere vu Circulairen: Den uwendbaren Text a seng Tragwäit fir Ären Typ vun Entitéit sinn d’Saach vun Ärer Compliance-Funktioun an engem qualifizéierte Rechtsberoder.
Eng gemeinsam Basis: Fäegkeeten, Applikatiounen, Datefloss an Drëtt
IT-Risiko, Sous-traitance a Resilienz gesi wéi getrennten Dossieren aus, déi vu getrennten Ekippe gefleegt ginn. Si setzen dat selwecht Wëssen viraus. Wien en Accord iwwerwaacht, muss wëssen, wéi eng Funktioun en ënnerstëtzt. D’Resilienz vun enger kritescher Funktioun léisst sech beleeën, soubal hir Ofhängegkeete bekannt sinn.
Dëst Wëssen ass dacks op e puer Plazen: an enger CMDB, a Pläng an engem Wiki, an engem Register vun der Sous-traitance bei der Compliance, a Kontrakter beim Juridique, an Niveaue vun der Kritikalitéit an enger Presentatioun. De Referentiel vun der Architektur verbënnt se an engem Modell, Objet fir Objet, mat engem Responsabel fir all eenzelen.
Fäegkeeten, Applikatiounen an Datefloss
De Modell verbënnt de Business mat deem, wat en ubedreift. Fäegkeete wéi d’Bezuelungen, d’Entrée en relation, d’Fongenadministratioun oder de reglementaresche Reporting ginn duerch Applikatioune gedroen. All Applikatioun baut op Technologien op an tauscht iwwer hir Schnëttstellen Daten aus.
An ArchiLU nennt all Schnëttstell, agoend oder ausgoend, hire Protokoll an d’Daten, déi se transportéiert. D’Fiche vun enger Applikatioun weist se Schicht fir Schicht, vum Business bis bei d’Technologie, mat hirem Historique. Dës Linken äntweren op d’Froe vun enger Revue: wéi eng Applikatiounen eng kritesch Funktioun ënnerstëtzen, wou hir Daten hifléissen a wat betraff wier, wann e Glidd ausfale géif.
- D’Fäegkeetekaart mat den Applikatiounen, déi all Fäegkeet droen.
- D’Lëscht vun den Applikatiounen mat Responsabel, Kritikalitéit, Liewenszyklus a Fournisseur.
- D’Schnëttstellen, hire Protokoll an d’Daten, déi se transportéieren.
- D’Technologie vun all Applikatioun an hir Supportfällegkeeten.
Sous-traitance an IKT-Déngschtleeschter
Eng Entitéit muss wëssen, wiem se Servicer uvertraut huet, wéi eng Accorde kritesch oder wichteg Funktiounen ënnerstëtzen a wéi eng Sous-traitanten hannert engem Déngschtleeschter schaffen. Dës Informatioune veralen séier, wa se an engem Register stinn, deen vun der Architektur getrennt ass.
An ArchiLU fänkt d’Kette bei der kritescher oder wichteger Funktioun un a verfollegt d’Prozesser, d’Applikatiounen an d’IKT-Servicer bis bei de Sous-traitant an de Kontrakt. Eng dedizéiert Usiicht ënnerscheet de Fournisseur vun enger Applikatioun vum Déngschtleeschter vun engem IKT-Service. E Lien, deen feelt, bleift siichtbar, an d’Expositiounsanalyse weist op eng Konzentratioun bei engem Déngschtleeschter hin.
D’Beurteelung vun engem Accord, eventuell Notifikatiounen an d’Positioun am Kontrakt bleiwen d’Saach vun der Entitéit an hire Beroder.
Operationell Resilienz: bei der kritescher Funktioun ufänken
Operationell Resilienz heescht, kritesch oder wichteg Funktiounen och während enger Stéierung weider ze liwweren an ze weisen, datt dës Kontinuitéit virbereet gouf. Déi éischt Aarbecht ass et, dës Funktiounen ze bestëmmen an dat, wat se ënnerstëtzt.
An ArchiLU dréit all Funktioun hir Kritikalitéit am Sënn vun DORA, hire Responsabel an d’Applikatiounen, déi se bedéngen. D’Fiche vun enger Funktioun weist hir Prozesser, hir Applikatiounen, déi bereetgestallt Instanz mat hirer Erëmhierstellung an hirem akzeptabele Verloscht an den Ausstiegsplang vun der Applikatioun. D’Kontinuitéitspläng, d’Tester an d’Reaktioun op Virfäll bleiwen an de Prozesser vun der Entitéit; de Referentiel liwwert hinnen d’Ofhängegkeeten.
- D’Lëscht vun de Funktiounen mat hirer Kritikalitéit an hirem Responsabel.
- D’Ofhängegkeete vun all kritescher Funktioun bis bei d’Déngschtleeschter.
- D’reglementaresch Rapporten, fixéiert mat hirem Fangerofdrock.
- Eng Auditmissioun am Liesmodus, op hire Perimeter an hir Period begrenzt.
Eng Lëtzebuerger Entitéit an hir Ekippen
ArchiLU gëtt zu Hengescht, zu Lëtzebuerg, vu MIP-IT SARL erausginn. All Organisatioun huet hir eegen Instanz, an der Europäescher Unioun gehost; eng Installatioun beim Client ass eng Optioun op Devis. Ecranen, Aufgaben an Hëllef ginn et op Franséisch, Englesch an Däitsch.
An enger klenger Entitéit kann eng Persoun e puer Profiller kumuléieren. Am fräie Modus kann en Architekt d’Fondatioun eleng opbauen, an eng Entscheedungsinstanz kann aus engem eenzege Member bestoen. D’Offere enthalen onlimitéiert Benotzer, Lieser abegraff: Risiko, Compliance, IT a Geschäftsleedung liesen déi selwecht Kaart.
An ArchiLU
Bei der Funktioun ufänken. De Fournisseur fannen.
An ArchiLU: Bezuelungen → Bezuelungsmotor → Maelis Paiements. Véier Ecrane vun der selwechter Applikatioun, verbonne mat de selwechten Objeten.
Erkennt, wat weider funktionéiere muss.
De Funktiounskatalog weist d'Kritikalitéit, d'Verantwortlech an déi dokumentéiert Verbindungen. Kritesch oder wichteg Funktioune si vun ënnerstëtzende Funktiounen z'ënnerscheeden.
Verstitt d'Kritikalitéit an d'Ofhängegkeeten.
D'Fiche Bezuelungen erkläert d'Konsequenze vun enger Ënnerbriechung, nennt de Verantwortlechen a verlinkt d'Applikatioun Bezuelungsmotor. Feelend Verbindunge bleiwen siichtbar.
Identifizéiert de Prestataire: Maelis Paiements.
Den Acteursregister weist d'Fiche vum Fournisseur Maelis Paiements mat senger Identitéit, sengem Status a senger Roll. D'Ofhängegkeetskette verbënnt dee selwechte Fournisseur mat der Applikatioun Bezuelungsmotor an dem IKT-Maintenanceservice.
Ofhängegkeete gesinn. Lücken erkennen.
Déi dedizéiert Vue verbënnt Bezuelungen mat senger Applikatioun, den IKT-Servicer an den dokumentéierte Fournisseuren. Kontrakter erschéngen, wa si dës Servicer ofdecken; feelend Verbindunge gi pro Objet gewisen.
Heefeg Froen
- Mécht e Referentiel vun der Architektur eng Entitéit konform mat den Erwaardunge vun der CSSF?
- Nee. D’Autoritéit an d’Kontrollfunktioune vun der Entitéit beurteelen d’Konformitéit no hiren organisatoreschen, kontraktuellen, techneschen a prozeduralen Moossnamen. De Referentiel dokumentéiert d’Fäegkeeten, d’Applikatiounen, d’Datefloss an d’Drëtt. Dat mécht d’Opstelle vun den Dossieren an hir Aktualiséierung méi einfach.
- Wéi hëlleft d’Kartéierung, d’Sous-traitance ze dokumentéieren?
- All Applikatioun ass mat hiren IKT-Servicer, hiren Déngschtleeschter an hire Kontrakter verbonnen. D’Entitéit verfollegt eng kritesch oder wichteg Funktioun bis bei déi Drëtt an d’Sous-traitanten, déi derhannert stinn, a fënnt d’Déngschtleeschter, vun deenen e puer Funktiounen ofhänken. D’Beurteelung vun all Accord bleift bei der Entitéit an hire Beroder.
- Wéi hänkt dës Aarbecht mat DORA zesummen?
- DORA leet harmoniséiert Ufuerderunge fir d’Gestioun vum IKT-Risiko, de Risiko vun den IKT-Drëttdéngschtleeschter an d’operationell Resilienz fest. Fir d’Entitéiten, déi se beaufsiichtegt, ass d’CSSF déi zoustänneg Autoritéit. D’Dossiere fir d’CSSF an fir DORA baséieren op deem selwechten Inventar vu Funktiounen, Applikatiounen, Datefloss an Drëtten; d’juristesch Detailer klärt e qualifizéierte Rechtsberoder.
- Mir sinn e PSF: Gëllt dat och fir eis?
- De Prinzip gëllt fir all beaufsiichtegten Acteur, dee sech op IT an op Drëtt stäipt, mat Ufuerderungen, déi no Typ vun Entitéit, Gréisst a Risiko variéieren. Eng kleng Ekipp fleegt méi einfach een eenzege Referentiel wéi e puer Registeren. De genauen Ëmfang bestätegt e qualifizéierte Rechtsberoder.