Sudah terpakai
DORA: Peraturan daya tahan operasi digital terpakai
Risiko ICT, daftar pihak ketiga, pelaporan insiden dan ujian.
Perkhidmatan kewangan
AI dan platform yang dibina untuk semakan penyelia.
Apa yang kami bina untuk bank, syarikat insurans, pengendali takaful, pengurus aset dan institusi pembayaran: AI yang boleh diterangkan kepada penyelia, integrasi yang menghormati sistem teras, dan operasi yang direka bentuk mengikut RMiT Bank Negara Malaysia dan, bagi urusan dengan EU, DORA sejak keputusan seni bina yang pertama.
Untuk bank, syarikat insurans, pengendali takaful, firma pembayaran dan perantara pasaran modal di Malaysia, serta institusi kewangan di bawah penyeliaan Eropah.
17 Januari 2025
DORA terpakai
Pengurusan risiko ICT, daftar pihak ketiga, pelaporan insiden dan ujian daya tahan bagi entiti kewangan di EU.
10 Julai 2027
Peraturan AML EU terpakai
Satu buku peraturan bagi usaha wajar pelanggan di seluruh EU, dengan pihak berkuasa baharu AMLA.
2 Disember 2027
Akta AI: kredit dan insurans berisiko tinggi
Penilaian kelayakan kredit dan penetapan harga insurans hayat dan kesihatan disenaraikan sebagai kegunaan berisiko tinggi; tarikh terpakai sebagaimana dipinda pada 2026.
Apa yang sedang berubah dalam perkhidmatan kewangan
Daya tahan kini kewajipan undang-undang
Di Kesatuan Eropah, DORA menjadikan daya tahan operasi sebagai kewajipan khusus: pengurusan risiko ICT, daftar setiap perjanjian pihak ketiga ICT, pelaporan insiden yang dikelaskan dan ujian berkala. Penyedia awan dan AI kini sebahagian daripada gambaran penyeliaan.
SumberPeraturan (EU) 2022/2554
Keputusan AI memerlukan jejak audit
Di bawah Akta AI Kesatuan Eropah, pemarkahan kredit dan penetapan harga insurans menjadi kegunaan berisiko tinggi. Pengurusan risiko model perlu meliputi model pembelajaran mesin dan model generatif, dengan dokumentasi, pemantauan dan pengawasan manusia yang setimpal dengan impaknya.
SumberPeraturan (EU) 2024/1689
Pelanggan membandingkan anda dengan aplikasi terbaik mereka
Pembayaran segera, pengesahan penerima dan perbankan terbuka telah meningkatkan jangkaan terhadap kelajuan dan ketelusan. Di Eropah, peraturan perkhidmatan pembayaran yang seterusnya akan memperketat lagi pencegahan penipuan dan kualiti API.
Sistem teras menyimpan logik berdekad-dekad
Komputer kerangka utama dan platform teras masih mengendalikan lejar. Perubahan perlu berlaku di sekelilingnya, melalui API dan peristiwa, tanpa menjejaskan kestabilan atau pelaporan kawal selia.
Cabaran dan apa yang kami bina
- Cabaran
Penerimaan pelanggan dan semakan berkala bergantung pada penganalisis yang membaca dokumen secara manual.
Respons kamiPemprosesan dokumen mengekstrak dan menyemak bukti identiti, pemilikan dan sumber dana. Penganalisis menyemak kes yang ditanda, dan setiap semakan direkodkan untuk audit dan untuk keperluan pencegahan pengubahan wang haram.
- Cabaran
Penasihat dan pasukan perkhidmatan mencari dalam lima sistem untuk menjawab satu soalan.
Respons kamiPembantu yang mematuhi hak capaian merangkumi produk, dasar dan prosedur, memetik sumbernya dan merekodkan apa yang ditunjukkan, supaya rekod nasihat kekal lengkap.
- Cabaran
Setiap perubahan pada sistem teras lambat, mahal dan berisiko.
Respons kamiKami mendedahkan keupayaan teras melalui API dan aliran peristiwa, memindahkan fungsi keluar secara berperingkat dan mengekalkan rekonsiliasi sehingga laluan lama boleh ditamatkan.
- Cabaran
Daftar pembekal ICT dan aliran kerja insiden masih disimpan dalam hamparan elektronik.
Respons kamiKami membina daftar maklumat, pengelasan insiden dan aliran kerja pelaporan ke dalam alat pengurusan perkhidmatan dan awan anda, dipautkan kepada fungsi kritikal yang disokongnya. Aliran kerja yang sama boleh menyokong pemberitahuan pelanggaran data di bawah PDPA.
- Cabaran
Model yang tidak dapat diterangkan tidak lulus pengesahan.
Respons kamiRangka kerja penilaian yang dipersetujui bersama pasukan risiko dan pengesahan: set ujian, kebolehjelasan apabila keputusan memerlukannya, pemantauan hanyutan model dan prosedur yang didokumentasikan bagi manusia untuk mengatasi keputusan sistem.
- Cabaran
Laporan kawal selia disemak padan secara manual setiap suku tahun.
Respons kamiSaluran data dengan salasilah yang didokumentasikan dan semakan kualiti automatik, mengikut prinsip BCBS 239, supaya angka boleh dikesan kembali ke sumbernya.
Landskap rujukan yang mengutamakan kawalan
Kedudukan AI antara saluran dan sistem teras, dengan pintu kelulusan pada langkah yang membawa akibat dan kawalan DORA berjalan seiring setiap lapisan. Bagi institusi di Malaysia, lapisan kawalan ini boleh dipetakan kepada keperluan RMiT.
Contoh ilustrasi
Perkhidmatan AI disambungkan kepada sistem teras hanya melalui lapisan integrasi. Kawalan DORA terpakai pada setiap komponen.
Baca rajah dalam bentuk teks
Pelanggan, penasihat dan pasukan perkhidmatan menggunakan saluran aplikasi, web, cawangan dan pusat panggilan.
Di belakang saluran terdapat tiga perkhidmatan AI: penerimaan dokumen untuk penerimaan pelanggan dan KYC, pembantu untuk penasihat dan pasukan perkhidmatan, dan langkah kelulusan penganalisis yang dilalui oleh setiap keputusan yang membawa akibat.
Perkhidmatan AI mencapai sistem teras hanya melalui lapisan integrasi API dan aliran peristiwa. Sistem teras ialah perbankan teras atau pentadbiran polisi, platform CRM dan perkhidmatan, serta platform data dengan salasilah yang didokumentasikan.
Di sepanjang semua lapisan berjalan kawalan DORA: pengurusan risiko ICT, daftar pihak ketiga ICT, pengelasan dan pelaporan insiden, serta ujian daya tahan. Setiap model didaftarkan, disahkan dan dipantau di bawah pengurusan risiko model.
Kelulusan sebelum akibat
AI merangka, mengekstrak dan mencadangkan. Keputusan tentang kredit, tuntutan atau sekatan akaun kekal dengan orang yang dinamakan.
Boleh diterangkan sejak reka bentuk
Tahap penjelasan diputuskan bagi setiap jenis keputusan semasa reka bentuk, bukan ditambah sejurus sebelum pengesahan.
Risiko keluar dan penumpuan
Penyedia awan dan model dipilih dengan pelan keluar dan laluan penggantian yang didokumentasikan untuk daftar.
Log sebagai bukti
Input, output, versi model dan kelulusan disimpan supaya penyelia dan juruaudit boleh membina semula mana-mana kes.
Garis masa peraturan EU bagi institusi kewangan
Tarikh yang mengubah apa yang perlu ditunjukkan oleh rakan penyampaian kepada institusi di Kesatuan Eropah. Penyelia nasional dan pihak berkuasa penyeliaan Eropah menambah garis panduan dan standard teknikal di atasnya.
Sudah terpakai
Akta AI: Larangan amalan AI terpakai, literasi AI diwajibkan
Sudah terpakai
AMLA (EU): Pihak berkuasa AML EU mula beroperasi
Menyediakan buku peraturan tunggal dan penyeliaan langsung institusi terpilih.
Sudah terpakai
Peraturan Pembayaran Segera: Pengesahan penerima diwajibkan bagi pindahan euro
Penyedia perkhidmatan pembayaran di kawasan euro menyemak nama penerima sebelum pindahan dilaksanakan.
Sudah terpakai
Akta AI: Kewajipan ketelusan terpakai
Pelanggan mesti dimaklumkan apabila berurusan dengan sistem AI.
Status pada 2 Oktober 2026
Akan datang
Peraturan AML: Buku peraturan tunggal EU terpakai
Usaha wajar pelanggan, pemilikan benefisial dan penyimpanan rekod diharmonikan.
Akan datang
Akta AI: Kewajipan sistem berisiko tinggi terpakai
Termasuk penilaian kelayakan kredit dan penetapan harga insurans hayat dan kesihatan, sebagaimana dipinda pada 2026.
Akan datang
AMLA (EU): Penyeliaan langsung institusi terpilih bermula
Rujukan peraturan dan standard
Instrumen Kesatuan Eropah yang paling kerap membentuk kerja AI dan platform di institusi kewangan di Eropah, dan maksud setiap satu bagi program penyampaian. Bagi institusi di Malaysia, rangka kerja tempatan ialah RMiT Bank Negara Malaysia, Garis Panduan Pengurusan Risiko Teknologi Suruhanjaya Sekuriti dan PDPA.
Gambaran keseluruhan ini menyokong perbincangan perancangan. Ia bukan nasihat undang-undang atau kawal selia. Tarikh disemak pada 2 Oktober 2026.
- DORASkopSeluruh EU
Akta Daya Tahan Operasi Digital terpakai sejak 17 Januari 2025 kepada bank, syarikat insurans, firma pelaburan, institusi pembayaran dan entiti kewangan lain di EU. Ia meliputi pengurusan risiko ICT, pelaporan insiden, ujian daya tahan dan pengurusan risiko pihak ketiga ICT, termasuk klausa kontrak utama (Perkara 30).
Maksudnya bagi program andaSebagai pembekal ICT, kami menyokong kewajipan anda: terma kontrak, pemberitahuan insiden, pelan keluar, penyertaan dalam ujian dan maklumat yang diperlukan oleh daftar anda. Penyedia ICT di Malaysia yang berkhidmat kepada institusi kewangan di EU menerima keperluan ini melalui kontrak.
SumberPeraturan (EU) 2022/2554, EUR-Lex (membuka laman web luar)
- Akta AI Kesatuan EropahSkopSeluruh EU
AI yang digunakan untuk menilai kelayakan kredit individu atau menetapkan harga berasaskan risiko bagi insurans hayat dan kesihatan adalah berisiko tinggi. Penyedia dan pengguna sistem memerlukan pengurusan risiko, tadbir urus data, pengelogan, pengawasan manusia dan dokumentasi. Di bawah Akta yang dipinda pada 2026, kewajipan ini terpakai mulai 2 Disember 2027.
Maksudnya bagi program andaKami mengelaskan setiap kes penggunaan lebih awal, mereka bentuk pengawasan manusia ke dalam proses dan menghasilkan dokumentasi yang sesuai dengan rangka kerja risiko model anda.
SumberPeraturan (EU) 2024/1689, EUR-Lex (membuka laman web luar)
- Pakej AML EU (AMLR dan AMLA)SkopSeluruh EU
Peraturan Pencegahan Pengubahan Wang Haram menggantikan peraturan nasional tentang usaha wajar pelanggan dengan satu buku peraturan EU mulai 10 Julai 2027. Pihak berkuasa baharu AMLA menyelaraskan penyelia nasional dan akan menyelia secara langsung institusi berisiko tinggi yang terpilih.
Maksudnya bagi program andaProses penerimaan dan semakan pelanggan memerlukan pengendalian bukti dan jejak audit yang konsisten. Kami mereka bentuk penerimaan dokumen dan aliran kerja kes mengikut standard itu.
SumberPeraturan (EU) 2024/1624, EUR-Lex (membuka laman web luar)
- GDPR dan keputusan automatikSkopSeluruh EU
Perkara 22 memberi individu hak untuk tidak tertakluk kepada keputusan yang semata-mata berasaskan pemprosesan automatik yang memberi kesan ketara kepada mereka, dengan pengecualian yang memerlukan perlindungan seperti campur tangan manusia dan hak untuk mempertikaikan keputusan.
Maksudnya bagi program andaKami mereka bentuk proses yang membolehkan seseorang menyemak, menerangkan dan mengubah hasil automatik, dan merekodkan bahawa dia telah berbuat demikian.
SumberPeraturan (EU) 2016/679, EUR-Lex (membuka laman web luar)
- Rekod nasihat MiFID II dan IDDSkopSeluruh EU
Peraturan pengedaran pelaburan dan insurans di EU memerlukan penilaian kesesuaian atau penilaian keperluan pelanggan serta rekod nasihat yang diberikan. AI yang membantu penasihat menjadi sebahagian daripada rekod itu.
Maksudnya bagi program andaPembantu merekodkan apa yang ditunjukkan dan sumber yang digunakan, supaya fail nasihat kekal lengkap dan boleh disemak.
- PSD2 dan peraturan perkhidmatan pembayaran seterusnyaSkopSeluruh EU
PSD2 mengawal perkhidmatan pembayaran dan akses perbankan terbuka di EU hari ini. Penggantinya, PSD3 dan Peraturan Perkhidmatan Pembayaran, dipersetujui secara sementara pada 2025 dan akan mengukuhkan pencegahan penipuan dan keperluan prestasi API selepas tempoh peralihan.
Maksudnya bagi program andaPlatform API yang dibina sekarang perlu menjangkakan kewajipan prestasi, pemantauan dan perkongsian data penipuan yang lebih ketat.
SumberArahan (EU) 2015/2366, EUR-Lex (membuka laman web luar)
Kes penggunaan ilustrasi
Contoh ilustrasiSemakan dokumen penerimaan pelanggan
Dokumen identiti dan pemilikan diekstrak dan disemak silang; penganalisis memutuskan setiap kes yang ditanda.
Pembantu pengetahuan untuk penasihat
Jawapan tentang produk, dasar dan prosedur berserta sumber, dalam had hak capaian penasihat.
Penerimaan dan penghalaan aduan
Aduan dikelaskan mengikut topik dan tahap segera, dihalakan bersama ringkasan draf, dan tarikh akhir dijejaki mengikut peraturan pengendalian aduan.
Penerimaan tuntutan insurans dan takaful
Borang tuntutan, invois dan laporan dibaca dan dipadankan dengan polisi atau sijil; pengendali tuntutan meluluskan pembayaran.
Fungsi teras di sebalik API
Transaksi kerangka utama didedahkan sebagai API dan peristiwa yang didokumentasikan, supaya saluran baharu tidak lagi bergantung pada fail kelompok.
Platform dalam perkhidmatan kewangan
Salesforce
Summit PartnerRuang kerja penasihat, perjalanan penerimaan pelanggan dan operasi perkhidmatan, disambungkan kepada sistem teras dan penerimaan dokumen.
SAP
Gold PartnerKewangan dan pelaporan kumpulan, dengan data SAP disediakan untuk pelaporan risiko dan kawal selia dengan salasilah yang didokumentasikan.
Tahap rakan kongsi ialah tahap yang dipegang oleh FromNine. Nama produk ialah tanda dagangan pemilik masing-masing.
Malaysia
RMiT di Malaysia, DORA di Eropah
Di Malaysia, institusi kewangan bekerja dengan dokumen polisi Risk Management in Technology (RMiT) Bank Negara Malaysia, yang versi semakannya berkuat kuasa sejak 28 November 2025, dan entiti pasaran modal dengan Garis Panduan Pengurusan Risiko Teknologi Suruhanjaya Sekuriti Malaysia, yang berkuat kuasa sejak 19 Ogos 2024.
PDPA terpakai kepada data peribadi pelanggan. Sejak 1 Jun 2025, pelanggaran data peribadi perlu dimaklumkan kepada Pesuruhjaya Perlindungan Data Peribadi dalam tempoh 72 jam mengikut pekeliling Pesuruhjaya, dan pegawai perlindungan data (DPO) perlu dilantik apabila pemprosesan melibatkan data peribadi sensitif, termasuk maklumat kewangan, bagi lebih daripada 10,000 subjek data.
DORA terpakai kepada institusi kewangan di Kesatuan Eropah, yang memindahkan keperluannya kepada penyedia ICT mereka melalui kontrak, termasuk penyedia di Malaysia. Kami mereka bentuk penyampaian supaya bukti dihasilkan sekali dan boleh ditunjukkan kepada mana-mana penyelia: dokumentasi seni bina dan model, log, keputusan ujian dan pelan keluar yang dikemas kini apabila sistem berubah.
- Dokumen polisi RMiT Bank Negara MalaysiaRisk Management in Technology (RMiT), dokumen polisi Bank Negara Malaysia bagi institusi kewangan (membuka laman web luar)
- Akta Perlindungan Data Peribadi 2010 (PDPA)Akta Perlindungan Data Peribadi 2010 (Akta 709), sebagaimana dipinda oleh Akta Perlindungan Data Peribadi (Pindaan) 2024 (Akta A1727): pegawai perlindungan data, pemberitahuan pelanggaran data dan kemudahalihan data (membuka laman web luar)
- DORAPeraturan (EU) 2022/2554 mengenai daya tahan operasi digital bagi sektor kewangan (Digital Operational Resilience Act, DORA) (membuka laman web luar)
- Akta AI Kesatuan Eropah (EU AI Act)Peraturan (EU) 2024/1689 yang menetapkan kaedah yang diharmonikan mengenai kecerdasan buatan (Akta Kecerdasan Buatan) (membuka laman web luar)
- GDPRPeraturan Perlindungan Data Umum (GDPR), Peraturan (EU) 2016/679 (membuka laman web luar)
Soalan lazim
Bagaimanakah anda menyokong kewajipan DORA kami sebagai pembekal?
Kami bersetuju tentang peruntukan kontrak yang dikehendaki oleh DORA, memberitahu insiden melalui saluran yang dipersetujui, mendokumentasikan pelan keluar, mengambil bahagian dalam ujian daya tahan dan membekalkan maklumat yang diperlukan oleh daftar pihak ketiga ICT anda. Bagi institusi di Malaysia, kami menyediakan dokumentasi dan bukti yang anda perlukan di bawah RMiT, seperti yang dipersetujui dalam kontrak.
Bolehkah AI digunakan dalam keputusan kredit atau pengunderaitan?
Boleh, sebagai kegunaan berisiko tinggi di bawah Akta AI Kesatuan Eropah, dengan pengurusan risiko, tadbir urus data, pengelogan, pengawasan manusia dan dokumentasi. Kami mereka bentuk supaya seseorang membuat keputusan dan boleh menerangkannya, dan perlindungan GDPR terhadap keputusan automatik dihormati. Reka bentuk yang sama sesuai untuk institusi di Malaysia; di sana, PDPA terpakai kepada data peribadi pelanggan.
Di manakah model dan data dijalankan?
Dalam persekitaran yang dibenarkan oleh selera risiko anda: penyewaan awan anda sendiri, rantau awan awam yang dipersetujui atau di premis untuk beban kerja yang sensitif. Pilihan model dan pengehosan didokumentasikan bersama pilihan keluar untuk daftar pihak ketiga anda.
Adakah kami perlu menggantikan platform teras kami?
Tidak. Kami menyepadukan secara lalai dan memodenkan secara berperingkat: API dan peristiwa di sekeliling sistem teras dahulu, memindahkan fungsi keluar hanya apabila berbaloi, dengan rekonsiliasi sehingga laluan lama ditamatkan.
Bagaimanakah anda menilai AI generatif dalam proses yang dikawal selia?
Dengan set ujian dan kriteria kualiti yang dipersetujui bersama pasukan risiko dan pengesahan anda sebelum keluaran, pemantauan selepas keluaran dan langkah semakan bagi output yang tidak pasti. Proses ini menganggap sebahagian output akan salah dan menghalakannya kepada manusia.
Bincangkan program perkhidmatan kewangan anda
Merancang AI dalam penerimaan pelanggan, nasihat atau tuntutan, atau menyediakan sistem anda untuk RMiT atau ujian DORA? Berbincang dengan jurutera yang mereka bentuk untuk penyelia dan juga pengguna.