Primjenjuje se
DORA: Primjenjuju se pravila o digitalnoj operativnoj otpornosti
IKT rizici, registar trećih strana, izvješćivanje o incidentima i testiranje; u Hrvatskoj uz provedbeni zakon NN 136/2024.
Financijske usluge
AI i platforme spremni za nadzorni pregled.
Što razvijamo za banke, osiguravajuća društva, društva za upravljanje fondovima i platne institucije: umjetnu inteligenciju (AI) koja se može objasniti nadzornom tijelu, integracije koje poštuju jezgru i rad projektiran oko DORA-e od prve odluke o arhitekturi.
Za financijske institucije pod nacionalnim i europskim nadzorom, od nacionalnih nadležnih tijela do ESB-a, EBA-e, EIOPA-e, ESMA-e i AMLA-e.
17. siječnja 2025.
Primjenjuje se DORA
Upravljanje IKT rizikom, registri ugovora s trećim stranama, izvješćivanje o incidentima i testiranje otpornosti za financijske subjekte.
10. srpnja 2027.
Primjenjuje se Uredba EU-a o sprečavanju pranja novca
Jedinstveni pravilnik za dubinsku analizu stranaka u cijelom EU-u, uz novo tijelo AMLA.
2. prosinca 2027.
Visokorizične AI obveze za kredite i osiguranje
Procjena kreditne sposobnosti i određivanje cijena životnog i zdravstvenog osiguranja navedeni su kao visokorizične primjene; datum primjene prema izmjenama iz 2026.
Što se mijenja u financijskim uslugama
Otpornost je sada zakonska obveza
DORA operativnu otpornost pretvara u konkretne obveze: upravljanje IKT rizikom, registar svih ugovornih aranžmana s trećim stranama pružateljima IKT usluga, klasificirano izvješćivanje o incidentima i redovito testiranje. Pružatelji cloud i AI usluga sada su dio nadzorne slike.
AI odluke trebaju revizijski trag
Kreditno bodovanje i određivanje cijena osiguranja postaju visokorizične primjene prema Aktu o umjetnoj inteligenciji. Upravljanje rizikom modela mora obuhvatiti modele strojnog učenja i generativne modele, uz dokumentaciju, praćenje i ljudski nadzor razmjerne učinku.
Klijenti vas uspoređuju sa svojom najboljom aplikacijom
Trenutna plaćanja, provjera primatelja plaćanja i otvoreno bankarstvo podigli su očekivanja u pogledu brzine i transparentnosti. Sljedeća pravila o platnim uslugama dodatno će pooštriti sprečavanje prijevara i kvalitetu API-ja.
Jezgreni sustavi čuvaju desetljeća logike
Glavna računala i jezgrene platforme i dalje vode knjige. Promjene se moraju događati oko njih, putem API-ja i događaja, bez ugrožavanja stabilnosti ili regulatornog izvješćivanja.
Izazovi i što razvijamo
- Izazov
Uključivanje klijenata i periodične provjere ovise o analitičarima koji ručno čitaju dokumente.
Naš odgovorInteligentna obrada dokumenata izdvaja i provjerava dokaze o identitetu, vlasništvu i izvoru sredstava. Analitičari pregledavaju označene slučajeve, a svaka se provjera bilježi za reviziju i nadolazeći jedinstveni pravilnik o sprečavanju pranja novca.
- Izazov
Savjetnici i timovi korisničke podrške pretražuju pet sustava da bi odgovorili na jedno pitanje.
Naš odgovorAsistent koji pretražuje proizvode, politike i postupke uz poštovanje prava pristupa, navodi izvore i bilježi što je prikazao, tako da evidencija savjetovanja ostaje potpuna.
- Izazov
Svaka promjena jezgre je spora, skupa i rizična.
Naš odgovorFunkcije jezgre otvaramo putem API-ja i tokova događaja, izdvajamo ih korak po korak i održavamo usklađivanje sve dok se stari put ne može ugasiti.
- Izazov
Registar informacija prema DORA-i i tijek rada za incidente vode se u tablicama.
Naš odgovorRegistar informacija, klasifikaciju incidenata i tijekove izvješćivanja ugrađujemo u vaše alate za upravljanje uslugama i cloud, povezano s ključnim ili važnim funkcijama koje podupiru.
- Izazov
Modeli koji se ne mogu objasniti ne prolaze validaciju.
Naš odgovorOkvir za evaluaciju dogovoren s timovima za rizike i validaciju: testni skupovi, objašnjivost gdje je odluka traži, praćenje odstupanja i dokumentirana mogućnost da čovjek promijeni ishod.
- Izazov
Regulatorna izvješća svako se tromjesečje ručno usklađuju.
Naš odgovorPodatkovni tokovi s dokumentiranim podrijetlom podataka i automatiziranim provjerama kvalitete, prema načelima BCBS 239, tako da se brojke mogu pratiti do izvora.
Referentna arhitektura s kontrolama na prvom mjestu
Gdje se AI nalazi između kanala i jezgrenih sustava, s točkom odobrenja za korake s posljedicama i kontrolama iz DORA-e uz svaki sloj.
Ilustrativni primjer
AI usluge povezuju se s jezgrenim sustavima samo putem integracijskog sloja. Kontrole iz DORA-e primjenjuju se na svaku komponentu.
Pročitajte dijagram kao tekst
Klijenti, savjetnici i timovi korisničke podrške koriste kanale aplikacije, weba, poslovnice i kontaktnog centra.
Iza kanala nalaze se tri AI usluge: zaprimanje dokumenata za uključivanje klijenata i KYC, asistent za savjetnike i korisničku podršku te korak odobrenja analitičara kroz koji prolazi svaka odluka s posljedicama.
AI usluge dolaze do jezgrenih sustava samo putem integracijskog sloja API-ja i tokova događaja. Jezgreni sustavi su jezgreni bankovni sustav ili sustav za upravljanje policama, CRM i platforma za korisničku podršku te podatkovna platforma s dokumentiranim podrijetlom podataka.
Uz sve slojeve djeluju kontrole iz DORA-e: upravljanje IKT rizikom, registar trećih strana pružatelja IKT usluga, klasifikacija incidenata i izvješćivanje o njima te testiranje otpornosti. Svaki model registriran je, validiran i praćen u okviru upravljanja rizikom modela.
Odobrenje prije posljedica
AI priprema nacrte, izdvaja podatke i predlaže. Odluke o kreditima, odštetnim zahtjevima ili ograničenjima računa ostaju na imenovanoj osobi.
Objašnjivo od početka
Razina objašnjenja određuje se za svaku vrstu odluke tijekom projektiranja, a ne dodaje se neposredno prije validacije.
Izlaz i rizik koncentracije
Pružatelji cloud usluga i modela biraju se uz izlazne planove i putove zamjene dokumentirane za registar.
Zapisi kao dokaz
Ulazi, izlazi, verzije modela i odobrenja čuvaju se kako bi nadzorna tijela i revizori mogli rekonstruirati svaki slučaj.
Regulatorni rokovi za financijske institucije
Datumi koji mijenjaju ono što partner za isporuku mora pokazati. Nacionalna nadzorna tijela i europska nadzorna tijela dodaju smjernice i tehničke standarde.
Primjenjuje se
Akt o umjetnoj inteligenciji: Zabranjene prakse i obveza AI pismenosti
Primjenjuje se
AMLA: Počinje raditi AMLA, tijelo EU-a za sprečavanje pranja novca
Priprema jedinstvenog pravilnika i izravnog nadzora odabranih institucija.
Primjenjuje se
Uredba o instant kreditnim transferima: Obvezna provjera primatelja plaćanja za kreditne transfere u eurima
Pružatelji platnih usluga u europodručju provjeravaju ime primatelja prije izvršenja prijenosa.
Primjenjuje se
Akt o umjetnoj inteligenciji: Obveze transparentnosti
Klijenti moraju biti obaviješteni kada komuniciraju s AI sustavom.
Stanje na dan 2. listopada 2026.
Predstoji
Uredba o sprečavanju pranja novca: Primjenjuje se jedinstveni pravilnik EU-a
Usklađeni su dubinska analiza stranaka, stvarno vlasništvo i čuvanje evidencije.
Predstoji
Akt o umjetnoj inteligenciji: Obveze za visokorizične sustave
Uključujući procjenu kreditne sposobnosti i određivanje cijena životnog i zdravstvenog osiguranja, prema izmjenama iz 2026.
Predstoji
AMLA: Počinje izravni nadzor odabranih institucija
Pregled propisa i normi
Propisi koji najčešće oblikuju rad na umjetnoj inteligenciji i platformama u financijskim institucijama te što svaki od njih znači za projekt.
Ovaj pregled služi za razgovore o planiranju. Nije pravni ni regulatorni savjet. Datumi EU-a provjereni su 2. listopada 2026., hrvatski podaci 5. studenoga 2026.
- DORAPodručje primjeneNa razini EU-a
Uredba o digitalnoj operativnoj otpornosti (DORA) primjenjuje se od 17. siječnja 2025. na banke, osiguravatelje, investicijska društva, platne institucije i druge financijske subjekte. Obuhvaća upravljanje IKT rizikom, izvješćivanje o incidentima, testiranje otpornosti i upravljanje rizikom trećih strana pružatelja IKT usluga, uključujući ključne ugovorne odredbe (članak 30.). U Hrvatskoj je provodi Zakon o provedbi Uredbe (EU) 2022/2554 (NN 136/2024), a nadležna tijela su Hrvatska narodna banka (HNB) i Hrvatska agencija za nadzor financijskih usluga (HANFA), svako za svoje subjekte.
Što to znači za vaš projektKao pružatelj IKT usluga podupiremo vaše obveze: ugovorne odredbe, obavješćivanje o incidentima, izlazne planove, sudjelovanje u testiranju i informacije koje su potrebne vašem registru.
IzvorUredba (EU) 2022/2554, EUR-Lex (otvara vanjsku stranicu)
- Akt o umjetnoj inteligencijiPodručje primjeneNa razini EU-a
Umjetna inteligencija koja se koristi za procjenu kreditne sposobnosti fizičkih osoba ili za određivanje cijena životnog i zdravstvenog osiguranja na temelju rizika visokorizična je. Dobavljači i subjekti koji uvode sustave trebaju upravljanje rizicima, upravljanje podacima, bilježenje, ljudski nadzor i dokumentaciju. Prema Aktu kako je izmijenjen 2026., te se obveze primjenjuju od 2. prosinca 2027.
Što to znači za vaš projektSvaki slučaj primjene rano klasificiramo, ljudski nadzor ugrađujemo u proces i izrađujemo dokumentaciju koja se uklapa u vaš okvir za upravljanje rizikom modela.
IzvorUredba (EU) 2024/1689, EUR-Lex (otvara vanjsku stranicu)
- Paket EU-a za sprečavanje pranja novca (AMLR i AMLA)Područje primjeneNa razini EU-a
Uredba o sprečavanju pranja novca od 10. srpnja 2027. zamjenjuje nacionalna pravila o dubinskoj analizi stranaka jedinstvenim pravilnikom EU-a. Novo tijelo AMLA koordinira nacionalna nadzorna tijela i izravno će nadzirati odabrane visokorizične institucije.
Što to znači za vaš projektProcesi uključivanja i provjere klijenata trebaju dosljedno postupanje s dokazima i revizijske tragove. Zaprimanje dokumenata i tijekove predmeta projektiramo prema tom standardu.
IzvorUredba (EU) 2024/1624, EUR-Lex (otvara vanjsku stranicu)
- Opća uredba o zaštiti podataka i automatizirane odlukePodručje primjeneNa razini EU-a
Članak 22. Opće uredbe o zaštiti podataka (GDPR) daje ljudima pravo da ne podliježu odlukama koje se temelje isključivo na automatiziranoj obradi i koje na njih znatno utječu, uz iznimke koje traže zaštitne mjere kao što su pravo na ljudsku intervenciju i pravo na osporavanje odluke.
Što to znači za vaš projektProjektiramo procese u kojima osoba može pregledati, objasniti i promijeniti automatizirani ishod te bilježimo da je to učinila.
IzvorUredba (EU) 2016/679, EUR-Lex (otvara vanjsku stranicu)
- MiFID II i IDD: evidencija savjetovanjaPodručje primjeneNa razini EU-a
Pravila o ulaganjima i distribuciji osiguranja traže procjenu primjerenosti ili zahtjeva i potreba te evidenciju danog savjeta. Umjetna inteligencija koja pomaže savjetnicima postaje dio te evidencije.
Što to znači za vaš projektAsistenti bilježe što su prikazali i koje su izvore koristili, tako da spis savjetovanja ostaje potpun i provjerljiv.
IzvorDirektiva 2014/65/EU, EUR-Lex (otvara vanjsku stranicu)
- PSD2 i sljedeća pravila o platnim uslugamaPodručje primjeneNa razini EU-a
PSD2 danas uređuje platne usluge i pristup otvorenom bankarstvu. Njezini nasljednici, PSD3 i Uredba o platnim uslugama, privremeno su dogovoreni 2025. i nakon prijelaznog razdoblja pooštrit će zahtjeve za sprečavanje prijevara i rad API-ja.
Što to znači za vaš projektAPI platforme koje se danas razvijaju trebale bi predvidjeti strože obveze u pogledu performansi, praćenja i dijeljenja podataka o prijevarama.
IzvorDirektiva (EU) 2015/2366, EUR-Lex (otvara vanjsku stranicu)
Ilustrativni primjeri primjene
Ilustrativni primjerProvjera dokumenata pri uključivanju klijenata
Dokumenti o identitetu i vlasništvu izdvajaju se i međusobno provjeravaju; o svakom označenom slučaju odlučuju analitičari.
Asistent za znanje savjetnika
Odgovori o proizvodima, politikama i postupcima s izvorima, u okviru prava pristupa savjetnika.
Zaprimanje i usmjeravanje pritužbi
Pritužbe se razvrstavaju po temi i hitnosti, usmjeravaju s nacrtom sažetka, a rokovi se prate prema pravilima o rješavanju pritužbi.
Zaprimanje odštetnih zahtjeva
Obrasci zahtjeva, računi i izvješća čitaju se i povezuju s policom; isplatu odobravaju likvidatori šteta.
Funkcije jezgre iza API-ja
Transakcije glavnog računala dostupne su kao dokumentirani API-ji i događaji, tako da novi kanali više ne ovise o datotekama za skupnu obradu.
Platforme u financijskim uslugama
Salesforce
Summit PartnerRadna okruženja savjetnika, procesi uključivanja klijenata i korisnička podrška, povezani s jezgrenim sustavima i zaprimanjem dokumenata.
SAP
Gold PartnerFinancije i grupno izvještavanje, uz podatke iz SAP-a dostupne za izvještavanje o rizicima i regulatorno izvještavanje s dokumentiranim podrijetlom.
Razine partnerstva su one koje ima tvrtka FromNine. Nazivi proizvoda žigovi su njihovih vlasnika.
Hrvatska
Projektirano za nadzor u Hrvatskoj i EU-u
U Hrvatskoj DORA-u od 17. siječnja 2025. provodi Zakon o provedbi Uredbe (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (NN 136/2024). Nadležna tijela za provedbu Uredbe DORA u Hrvatskoj su Hrvatska narodna banka (HNB) i Hrvatska agencija za nadzor financijskih usluga (HANFA): HNB za kreditne institucije koje ne nadzire izravno ESB, platne institucije i institucije za elektronički novac, HANFA za investicijska društva, osiguravatelje, mirovinska društva, društva za upravljanje fondovima i pružatelje usluga povezanih s kriptoimovinom.
DORA, Akt o umjetnoj inteligenciji i paket za sprečavanje pranja novca vrijede u cijelom EU-u, a od 2028. neke će institucije izravno nadzirati AMLA. Isporuku projektiramo tako da se dokazi izrade jednom i mogu pokazati svakom nadzornom tijelu: dokumentacija arhitekture i modela, zapisi, rezultati testova i izlazni planovi koji ostaju ažurni dok se sustav mijenja.
- DORAUredba (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (DORA) (otvara vanjsku stranicu)
- Akt o umjetnoj inteligencijiAkt o umjetnoj inteligenciji, Uredba (EU) 2024/1689 (otvara vanjsku stranicu)
- Uredba o sprečavanju pranja novca (AMLR)Uredba (EU) 2024/1624 o sprečavanju korištenja financijskog sustava za pranje novca ili financiranje terorizma (jedinstveni pravilnik), uz tijelo AMLA (otvara vanjsku stranicu)
- Opća uredba o zaštiti podatakaOpća uredba o zaštiti podataka, Uredba (EU) 2016/679 (GDPR) (otvara vanjsku stranicu)
Česta pitanja
Kako kao dobavljač podupirete naše obveze iz DORA-e?
Dogovaramo ugovorne odredbe koje DORA traži, prijavljujemo incidente dogovorenim kanalom, dokumentiramo izlazne planove, sudjelujemo u testiranju otpornosti i dostavljamo informacije potrebne vašem registru trećih strana pružatelja IKT usluga.
Može li se AI koristiti u odlukama o kreditima ili preuzimanju rizika?
Može, kao visokorizična primjena prema Aktu o umjetnoj inteligenciji, uz upravljanje rizicima, upravljanje podacima, bilježenje, ljudski nadzor i dokumentaciju. Projektiramo tako da odluku donosi osoba koja je može objasniti te da se poštuju zaštitne mjere Opće uredbe o zaštiti podataka za automatizirane odluke.
Gdje rade modeli i gdje su podaci?
U okruženju koje dopušta vaša sklonost preuzimanju rizika: u vašem vlastitom cloud okruženju, u regiji javnog clouda unutar EU-a ili u vlastitom podatkovnom centru za osjetljiva opterećenja. Izbor modela i smještaja dokumentira se uz izlazne mogućnosti za vaš registar trećih strana.
Moramo li zamijeniti jezgrenu platformu?
Ne. U pravilu integriramo i moderniziramo u koracima: najprije API-ji i događaji oko jezgre, a funkcije izdvajamo samo ondje gdje se to isplati, uz usklađivanje dok se stari put ne ugasi.
Kako vrednujete generativni AI u reguliranim procesima?
Testnim skupovima i kriterijima kvalitete dogovorenima s vašim timovima za rizike i validaciju prije izdanja, praćenjem nakon izdanja i koracima provjere za nesigurne rezultate. Proces polazi od toga da će dio rezultata biti pogrešan i usmjerava ga ljudima.
Razgovarajmo o vašem projektu u financijskim uslugama
Planirate AI u uključivanju klijenata, savjetovanju ili obradi šteta, ili pripremate sustave za testiranje prema DORA-i? Razgovarajte s inženjerima koji projektiraju za nadzorna tijela jednako kao i za korisnike.