Finanse i ubezpieczenia
Systemy, integracje i AI dla banków, ubezpieczycieli i fintechów. Wymagania DORA i nadzoru uwzględniamy od analizy.
Kontekst
W bankach, u ubezpieczycieli i w firmach leasingowych duża część pracy nadal opiera się na dokumentach i systemach core rozwijanych od dekad. Wniosek kredytowy, zgłoszenie szkody czy alert AML przechodzą przez kilka aplikacji i kilka par rąk, zanim zapadnie decyzja. Każda zmiana w takim systemie wymaga testów i akceptacji działu bezpieczeństwa, więc nowe funkcje powstają wolniej, niż oczekuje biznes.
Budujemy aplikacje i integracje działające obok systemów core, a tam, gdzie to ma sens, rozwiązania AI do pracy z dokumentami i alertami. Pracujemy z IT klienta i z osobami odpowiedzialnymi za compliance i bezpieczeństwo. Dane mogą pozostać w infrastrukturze instytucji, a lokalizację przetwarzania i łańcuch podwykonawców opisujemy w umowie.
Wyzwania w branży
Systemy core i wymiana wsadowa
Płatności natychmiastowe, PSD2 i kanały cyfrowe potrzebują danych w czasie zbliżonym do rzeczywistego. Część systemów transakcyjnych i polisowych nadal wymienia dane nocnymi wsadami, a każda zmiana w nich przechodzi długi cykl testów.
Dokumenty objęte tajemnicą
Wnioski, zaświadczenia i dokumentacja szkodowa przychodzą jako skany i PDF-y w różnych formatach. Pracownicy przepisują dane ręcznie, a tajemnica bankowa lub ubezpieczeniowa i RODO ograniczają, gdzie i przez kogo te dokumenty mogą być przetwarzane.
Alerty AML i fałszywe trafienia
Reguły monitoringu transakcji generują dużo alertów, a analitycy spędzają większość czasu na sprawach rutynowych. Każde usprawnienie musi być zwalidowane i udokumentowane, bo decyzja o zgłoszeniu do GIIF zostaje po stronie instytucji.
Sprawozdawczość z wielu źródeł
FINREP i COREP w bankach, QRT w zakładach ubezpieczeń, raporty dla zarządu i ryzyka powstają z danych rozproszonych między systemami core, hurtownią i arkuszami. Przed każdym terminem działy uzgadniają liczby ręcznie. Od 2025 roku dochodzi rejestr informacji o umowach z dostawcami ICT wymagany przez DORA.
Gdzie wdrażamy oprogramowanie i AI
Odczyt danych z wniosków i dokumentów
Model odczytuje dane z wniosków, zaświadczeń i dokumentów tożsamości, porównuje je z danymi w systemie i wskazuje braki oraz niezgodności. Działa w uzgodnionej lokalizacji, bez wysyłania dokumentów do zewnętrznych usług. Pracownik weryfikuje wynik i zatwierdza sprawę.
Wsparcie likwidacji szkód
Zgłoszenie jest klasyfikowane według rodzaju i złożoności, a dokumenty trafiają do akt z wypełnionymi polami. System zestawia dane ze zgłoszenia z historią polisy i danymi branżowymi, m.in. z UFG. Proste szkody idą ścieżką uproszczoną, nietypowe trafiają do zespołu przeciwdziałania nadużyciom.
Priorytetyzacja alertów AML
Model porządkuje alerty z monitoringu transakcji według ryzyka, korzystając z historii klienta, powiązań i wcześniejszych decyzji analityków. Nie zamyka alertów samodzielnie. Analityk widzi uzasadnienie oceny, a każda decyzja zostaje zapisana w ścieżce audytu.
Asystent wiedzy dla pracowników
Asystent AI odpowiada doradcom i konsultantom na pytania o produkty, regulaminy i procedury na podstawie dokumentów wewnętrznych. Każda odpowiedź ma odnośnik do źródła, a zakres dostępu odpowiada uprawnieniom pracownika. Narzędzie jest wewnętrzne i nie rozmawia z klientami.
Warstwa API nad systemami core
Dane i operacje systemu core udostępniamy przez kontrolowane API: aplikacji mobilnej, bankowości internetowej, pośrednikom, partnerom i dostawcom usług płatniczych w standardzie PolishAPI. System core pozostaje bez zmian, a nowe kanały korzystają z jednego punktu integracji.
Raportowanie regulacyjne i rejestr DORA
Wspólny model danych pokazuje pochodzenie każdej liczby: z jakiego systemu, kiedy i po jakiej transformacji. Z tych samych danych powstają raporty dla nadzoru i zarządu oraz rejestr umów z dostawcami ICT, z podwykonawcami i lokalizacjami przetwarzania.
Wymagania regulacyjne uwzględniamy od etapu analizy
DORA i dostawcy ICT
DORA obowiązuje od 17 stycznia 2025 roku i obejmuje zarządzanie ryzykiem ICT, zgłaszanie incydentów, testy odporności oraz nadzór nad dostawcami. Jako dostawca przekazujemy dane do rejestru informacji, wspieramy obsługę incydentów i przyjmujemy w umowie prawa audytu oraz plan wyjścia w zakresie wymaganym dla funkcji krytycznych lub ważnych.
Po Rekomendacji D: chmura i outsourcing
Wraz z DORA KNF uchylił Rekomendację D, wytyczne IT dla zakładów ubezpieczeń i komunikat chmurowy. Dla banków nadal obowiązują przepisy o powierzaniu czynności z art. 6a-6d Prawa bankowego. Rozwiązania mogą działać w chmurze publicznej, prywatnej lub w infrastrukturze instytucji, a lokalizację danych i podwykonawców określa umowa.
AI Act a scoring i ubezpieczenia na życie
Systemy AI oceniające zdolność kredytową osób fizycznych oraz ryzyko i ceny w ubezpieczeniach na życie i zdrowotnych należą do kategorii wysokiego ryzyka. Wyjątkiem są systemy wykrywające oszustwa finansowe. Po zmianach z 2026 roku obowiązki dla tej kategorii stosuje się od 2 grudnia 2027 roku. Dokumentację, rejestrowanie zdarzeń i nadzór człowieka projektujemy od początku.
Tajemnica bankowa, ubezpieczeniowa i RODO
Dane klientów chroni tajemnica bankowa (art. 104 Prawa bankowego) lub ubezpieczeniowa (art. 35 ustawy o działalności ubezpieczeniowej i reasekuracyjnej) oraz RODO. Przetwarzamy je w środowisku instytucji lub w wydzielonym regionie chmury, z pseudonimizacją tam, gdzie to możliwe, na podstawie umowy określającej lokalizację i podwykonawców.
Jak zaczynamy
Warsztat z biznesem, IT i compliance
Ustalamy proces, wskaźnik i właściciela rozwiązania po stronie instytucji. Bezpieczeństwo, compliance i ryzyko są przy stole od początku, bo ich uwagi zmieniają architekturę.
Ocena ryzyka i architektura
Pomagamy ocenić, czy rozwiązanie wspiera funkcję krytyczną lub ważną w rozumieniu DORA, czy system AI należy do kategorii wysokiego ryzyka i które dane objęte są tajemnicą. Na tej podstawie ustalamy miejsce przetwarzania, dobór modeli i ścieżkę audytu.
Pilotaż w trybie cienia
Rozwiązanie działa najpierw równolegle z obecnym procesem i nie wpływa na decyzje. Jego wyniki porównujemy z decyzjami pracowników, a zakres rozszerzamy dopiero po akceptacji właściciela procesu.
Wdrożenie, dokumentacja i utrzymanie
Przekazujemy dokumentację dla audytu wewnętrznego i nadzoru, wdrażamy monitoring jakości modeli i utrzymujemy system w ramach umowy serwisowej z określonym SLA. Umowa obejmuje plan wyjścia z przekazaniem kodu i danych.
Częste pytania
Domyślnie nie. Modele, w tym językowe, uruchamiamy w infrastrukturze instytucji albo w wydzielonym środowisku chmurowym w wybranym regionie. Jeśli instytucja zdecyduje się na zewnętrzne API, umowa określa lokalizację, podwykonawców i prawo audytu.