În aplicare
DORA: Se aplică regulile de reziliență operațională digitală
Riscuri TIC, registrul furnizorilor terți, raportarea incidentelor și testare.
Servicii financiare
IA și platforme pregătite pentru verificarea autorității de supraveghere.
Ce construim pentru bănci, asigurători, administratori de active și instituții de plată: IA care poate fi explicată autorității de supraveghere, integrare care respectă sistemele de bază și operațiuni proiectate în jurul DORA de la prima decizie de arhitectură.
Pentru instituții financiare supravegheate de BNR sau ASF și care lucrează sub regulile europene ale EBA, EIOPA, ESMA și AMLA.
17 ianuarie 2025
Se aplică DORA
Gestionarea riscurilor TIC, registrele furnizorilor terți, raportarea incidentelor și testarea rezilienței pentru entitățile financiare; în România, puse în aplicare prin OUG nr. 14/2026.
SursăRegulamentul (UE) 2022/2554 (se deschide un site extern)
10 iulie 2027
Se aplică Regulamentul UE privind combaterea spălării banilor
Un singur set de reguli pentru măsurile de precauție privind clientela în toată UE, cu noua autoritate AMLA.
SursăRegulamentul (UE) 2024/1624 (se deschide un site extern)
2 decembrie 2027
Obligațiile pentru IA cu risc ridicat în credite și asigurări
Evaluarea bonității și stabilirea prețurilor în asigurările de viață și de sănătate sunt utilizări cu risc ridicat; data de aplicare conform modificărilor din 2026.
SursăRegulamentul (UE) 2024/1689 (se deschide un site extern)
Ce se schimbă în serviciile financiare
Reziliența este acum o obligație legală
DORA transformă reziliența operațională în obligații concrete: gestionarea riscurilor TIC, un registru al tuturor acordurilor cu furnizori terți de servicii TIC, raportarea clasificată a incidentelor și testare periodică. Furnizorii de cloud și de IA fac acum parte din imaginea pe care o vede autoritatea de supraveghere.
Deciziile luate cu IA au nevoie de un istoric de audit
Scoringul de credit și stabilirea prețurilor în asigurări devin utilizări cu risc ridicat conform Regulamentului IA. Gestionarea riscului de model trebuie să acopere modelele de învățare automată și pe cele generative, cu documentație, monitorizare și supraveghere umană proporționale cu impactul.
Clienții vă compară cu cea mai bună aplicație a lor
Plățile instant, verificarea beneficiarului și open banking au ridicat așteptările privind viteza și transparența. Următoarele reguli privind serviciile de plată vor înăspri și mai mult prevenirea fraudei și cerințele de calitate pentru API-uri.
Sistemele de bază conțin zeci de ani de logică
Mainframe-urile și platformele de bază încă țin evidența contabilă. Schimbarea trebuie să se facă în jurul lor, prin API-uri și evenimente, fără a pune în pericol stabilitatea sau raportările către autorități.
Provocări și ce construim
- Provocarea
Integrarea clienților noi și revizuirile periodice depind de analiști care citesc documentele manual.
Răspunsul nostruProcesarea documentelor extrage și verifică dovezile privind identitatea, beneficiarul real și sursa fondurilor. Analiștii examinează cazurile semnalate, iar fiecare verificare este înregistrată pentru audit și pentru noile reguli europene privind combaterea spălării banilor.
- Provocarea
Consultanții și echipele de servicii caută în cinci sisteme pentru a răspunde la o singură întrebare.
Răspunsul nostruUn asistent care respectă permisiunile, construit peste produse, politici și proceduri, care își citează sursele și înregistrează ce a afișat, astfel încât evidența consultanței să rămână completă.
- Provocarea
Fiecare modificare a sistemului de bază este lentă, scumpă și riscantă.
Răspunsul nostruExpunem funcțiile sistemului de bază prin API-uri și fluxuri de evenimente, mutăm funcțiile pas cu pas și menținem reconcilierea până când vechiul traseu poate fi retras.
- Provocarea
Registrul DORA și fluxul pentru incidente există doar în foi de calcul.
Răspunsul nostruIntegrăm registrul de informații, clasificarea incidentelor și fluxurile de raportare în instrumentele de service management și de cloud, legate de funcțiile critice pe care le susțin.
- Provocarea
Modelele care nu pot fi explicate nu trec de validare.
Răspunsul nostruUn cadru de evaluare stabilit împreună cu echipele de risc și de validare: seturi de test, explicabilitate acolo unde decizia o cere, monitorizarea derivei și o intervenție umană documentată.
- Provocarea
Raportările către autorități sunt reconciliate manual în fiecare trimestru.
Răspunsul nostruFluxuri de date cu proveniență documentată și verificări automate de calitate, conform principiilor BCBS 239, astfel încât cifrele pot fi urmărite până la sursă.
Un peisaj de referință cu controlul pe primul loc
Unde se află IA între canale și sistemele de bază, cu o poartă de aprobare pentru pașii cu consecințe și controalele DORA aplicate la fiecare nivel.
Exemplu ilustrativ
Serviciile IA se conectează la sistemele de bază doar prin stratul de integrare. Controalele DORA se aplică fiecărei componente.
Citiți diagrama ca text
Clienții, consultanții și echipele de servicii folosesc canalele aplicație, web, sucursală și centru de contact.
În spatele canalelor se află trei servicii IA: preluarea documentelor pentru integrarea clienților noi și KYC, un asistent pentru consultanți și servicii și un pas de aprobare de către analist prin care trece fiecare decizie cu consecințe.
Serviciile IA ajung la sistemele de bază doar printr-un strat de integrare format din API-uri și fluxuri de evenimente. Sistemele de bază sunt core banking sau administrarea polițelor, CRM-ul și platforma de servicii și o platformă de date cu proveniență documentată.
Alături de toate nivelurile funcționează controalele DORA: gestionarea riscurilor TIC, registrul furnizorilor terți TIC, clasificarea și raportarea incidentelor și testarea rezilienței. Fiecare model este înregistrat, validat și monitorizat în cadrul gestionării riscului de model.
Aprobare înainte de consecințe
IA redactează, extrage și sugerează. Deciziile privind creditele, daunele sau restricționarea conturilor rămân la o persoană anume.
Explicabil prin proiectare
Nivelul de explicație este stabilit pentru fiecare tip de decizie încă din proiectare, nu adăugat înainte de validare.
Ieșire și risc de concentrare
Furnizorii de cloud și de modele sunt aleși cu planuri de ieșire și variante de înlocuire documentate pentru registru.
Jurnalele ca dovezi
Datele de intrare, rezultatele, versiunile modelelor și aprobările sunt păstrate, astfel încât autoritățile de supraveghere și auditorii să poată reconstitui orice caz.
Calendarul de reglementare pentru instituțiile financiare
Datele care schimbă ce trebuie să arate un partener de livrare. BNR, ASF și autoritățile europene de supraveghere adaugă ghiduri și standarde tehnice.
În aplicare
Regulamentul IA: Practici interzise, alfabetizare IA obligatorie
În aplicare
AMLA: Autoritatea UE pentru combaterea spălării banilor își începe activitatea
Pregătește setul unic de reguli și supravegherea directă a anumitor instituții.
În aplicare
Regulamentul privind plățile instant: Verificarea beneficiarului pentru transferurile în euro
Prestatorii de servicii de plată din zona euro verifică numele beneficiarului înainte de executarea unui transfer.
În aplicare
Regulamentul IA: Se aplică obligațiile de transparență
Clienții trebuie informați când interacționează cu un sistem IA.
Situația la 2 octombrie 2026
Urmează
Regulamentul AML: Se aplică setul unic de reguli al UE
Măsuri de precauție privind clientela, beneficiarul real și păstrarea evidențelor, armonizate.
Urmează
Regulamentul IA: Se aplică obligațiile pentru risc ridicat
Inclusiv evaluarea bonității și stabilirea prețurilor în asigurările de viață și de sănătate, conform modificărilor din 2026.
Urmează
AMLA: Începe supravegherea directă a anumitor instituții
Reglementări și standarde de referință
Instrumentele care modelează cel mai des proiectele de IA și de platformă în instituțiile financiare și ce înseamnă fiecare pentru un program de livrare.
Această prezentare sprijină discuțiile de planificare. Nu este consultanță juridică sau de reglementare. Termenele UE au fost verificate la 2 octombrie 2026, iar informațiile privind România la 5 noiembrie 2026.
- DORADomeniu de aplicareLa nivelul UE
Regulamentul privind reziliența operațională digitală se aplică din 17 ianuarie 2025 băncilor, asigurătorilor, firmelor de investiții, instituțiilor de plată și altor entități financiare. Acoperă gestionarea riscurilor TIC, raportarea incidentelor, testarea rezilienței și gestionarea riscurilor TIC generate de părți terțe, inclusiv clauzele contractuale esențiale (articolul 30). În România, DORA este pus în aplicare prin OUG nr. 14/2026: Banca Națională a României (BNR) este autoritate competentă pentru instituțiile de credit, instituțiile de plată și instituțiile emitente de monedă electronică, iar Autoritatea de Supraveghere Financiară (ASF) pentru societățile de servicii de investiții financiare, societățile de asigurare și reasigurare, intermediarii de asigurări și administratorii de fonduri de pensii ocupaționale. BNR coordonează testele de penetrare bazate pe amenințări (TLPT) pentru sectorul financiar.
Ce înseamnă pentru programul dumneavoastrăCa furnizor TIC, vă sprijinim obligațiile: clauze contractuale, notificarea incidentelor, planuri de ieșire, participarea la testare și informațiile de care are nevoie registrul dumneavoastră.
SursăRegulamentul (UE) 2022/2554, EUR-Lex (se deschide un site extern)
- Regulamentul UE privind inteligența artificialăDomeniu de aplicareLa nivelul UE
IA folosită pentru evaluarea bonității persoanelor fizice sau pentru stabilirea prețurilor în funcție de risc în asigurările de viață și de sănătate are risc ridicat. Furnizorii și implementatorii au nevoie de gestionarea riscurilor, guvernanța datelor, jurnalizare, supraveghere umană și documentație. Conform regulamentului modificat în 2026, aceste obligații se aplică de la 2 decembrie 2027. În România, un memorandum al Guvernului a propus ASF și BNR pentru sistemele IA cu risc ridicat din sectorul financiar; desemnarea națională nu este încă adoptată definitiv (stadiul în toamna anului 2026).
Ce înseamnă pentru programul dumneavoastrăClasificăm devreme fiecare caz de utilizare, integrăm supravegherea umană în proces și producem documentație care se potrivește cadrului dumneavoastră de gestionare a riscului de model.
SursăRegulamentul (UE) 2024/1689, EUR-Lex (se deschide un site extern)
- Pachetul UE privind combaterea spălării banilor (AMLR și AMLA)Domeniu de aplicareLa nivelul UE
Regulamentul privind combaterea spălării banilor înlocuiește regulile naționale privind măsurile de precauție privind clientela cu un singur set de reguli la nivelul UE, de la 10 iulie 2027. Noua autoritate AMLA coordonează autoritățile naționale de supraveghere și va supraveghea direct anumite instituții cu risc ridicat.
Ce înseamnă pentru programul dumneavoastrăProcesele de integrare și de revizuire a clienților au nevoie de o tratare consecventă a dovezilor și de istoric de audit. Proiectăm preluarea documentelor și fluxurile de dosare pentru acest standard.
SursăRegulamentul (UE) 2024/1624, EUR-Lex (se deschide un site extern)
- RGPD și deciziile automatizateDomeniu de aplicareLa nivelul UE
Articolul 22 dă persoanelor dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată care le afectează în mod semnificativ, cu excepții care cer garanții precum intervenția umană și dreptul de contestare. În România, autoritatea de supraveghere este ANSPDCP.
Ce înseamnă pentru programul dumneavoastrăProiectăm procese în care o persoană poate verifica, explica și modifica un rezultat automat, iar intervenția ei rămâne înregistrată.
SursăRegulamentul (UE) 2016/679, EUR-Lex (se deschide un site extern)
- MiFID II, IDD și evidența consultanțeiDomeniu de aplicareLa nivelul UE
Regulile privind distribuția produselor de investiții și de asigurare cer evaluarea adecvării sau a cerințelor și nevoilor clientului, precum și evidența consultanței oferite. IA care îi ajută pe consultanți devine parte din această evidență.
Ce înseamnă pentru programul dumneavoastrăAsistenții înregistrează ce au afișat și ce surse au folosit, astfel încât dosarul de consultanță să rămână complet și verificabil.
SursăDirectiva 2014/65/UE, EUR-Lex (se deschide un site extern)
- PSD2 și următoarele reguli privind serviciile de platăDomeniu de aplicareLa nivelul UE
PSD2 reglementează astăzi serviciile de plată și accesul open banking. Succesorii săi, PSD3 și Regulamentul privind serviciile de plată, au primit un acord provizoriu în 2025 și vor întări cerințele de prevenire a fraudei și de performanță a API-urilor după o perioadă de tranziție.
Ce înseamnă pentru programul dumneavoastrăPlatformele API construite acum ar trebui să anticipeze obligații mai stricte de performanță, monitorizare și partajare a datelor despre fraude.
SursăDirectiva (UE) 2015/2366, EUR-Lex (se deschide un site extern)
Cazuri de utilizare ilustrative
Exemplu ilustrativVerificarea documentelor la integrarea clienților noi
Documentele de identitate și cele privind structura de proprietate sunt extrase și verificate încrucișat; analiștii decid pentru fiecare caz semnalat.
Asistent de cunoștințe pentru consultanți
Răspunsuri despre produse, politici și proceduri, cu surse, în limitele drepturilor de acces ale consultantului.
Preluarea și direcționarea reclamațiilor
Reclamațiile sunt clasificate după subiect și urgență, direcționate cu un rezumat propus, iar termenele din regulile de soluționare sunt urmărite.
Preluarea daunelor în asigurări
Formularele de daună, facturile și rapoartele sunt citite și corelate cu polița; specialiștii în daune aprobă plata.
Funcțiile de bază în spatele API-urilor
Tranzacțiile de pe mainframe sunt expuse ca API-uri și evenimente documentate, astfel încât canalele noi să nu mai depindă de fișiere batch.
Platforme în serviciile financiare
Salesforce
Summit PartnerSpații de lucru pentru consultanți, fluxuri de integrare a clienților noi și operațiuni de servicii, conectate la sistemele de bază și la preluarea documentelor.
SAP
Gold PartnerRaportare financiară și de grup, cu datele SAP disponibile pentru raportarea de risc și de reglementare, cu proveniență documentată.
Nivelurile de parteneriat sunt cele deținute de FromNine. Numele produselor sunt mărci ale proprietarilor lor.
România
Construit pentru supravegherea din România și din UE
În România, Regulamentul (UE) 2022/2554 (DORA) este pus în aplicare prin Ordonanța de urgență nr. 14/2026. Banca Națională a României (BNR) este autoritate competentă pentru instituțiile de credit, instituțiile de plată și instituțiile emitente de monedă electronică, iar Autoritatea de Supraveghere Financiară (ASF) pentru societățile de servicii de investiții financiare, societățile de asigurare și reasigurare, intermediarii de asigurări și administratorii de fonduri de pensii ocupaționale.
Pentru Regulamentul IA, un memorandum al Guvernului a propus ASF și BNR pentru sistemele cu risc ridicat din sectorul financiar; desemnarea națională nu este încă adoptată definitiv. DORA, Regulamentul IA și pachetul AML sunt europene, iar din 2028 AMLA va supraveghea direct anumite instituții, dar așteptările autorităților și practica externalizării diferă de la o țară la alta.
Organizăm livrarea astfel încât dovezile să fie produse o singură dată și să poată fi arătate oricărei autorități: documentația de arhitectură și de model, jurnalele, rezultatele testelor și planurile de ieșire, actualizate pe măsură ce sistemul se schimbă.
- DORARegulamentul (UE) 2022/2554 privind reziliența operațională digitală a sectorului financiar (DORA) (se deschide un site extern)
- Regulamentul privind inteligența artificialăRegulamentul (UE) 2024/1689 de stabilire a unor norme armonizate privind inteligența artificială (se deschide un site extern)
- Regulamentul privind combaterea spălării banilor (AMLR)Regulamentul (UE) 2024/1624 privind prevenirea utilizării sistemului financiar în scopul spălării banilor sau finanțării terorismului (corpus unic de norme), cu AMLA (se deschide un site extern)
- RGPDRegulamentul general privind protecția datelor (RGPD), Regulamentul (UE) 2016/679 (se deschide un site extern)
Întrebări frecvente
Cum ne sprijiniți, ca furnizor, obligațiile din DORA?
Convenim clauzele contractuale pe care le cere DORA, notificăm incidentele pe canalul convenit, documentăm planurile de ieșire, participăm la testarea rezilienței și furnizăm informațiile de care are nevoie registrul furnizorilor terți TIC. Ce raportați către BNR sau ASF rămâne responsabilitatea dumneavoastră; noi vă dăm datele.
Poate fi folosită IA în deciziile de creditare sau de subscriere?
Da, ca utilizare cu risc ridicat conform Regulamentului IA, cu gestionarea riscurilor, guvernanța datelor, jurnalizare, supraveghere umană și documentație. Proiectăm astfel încât o persoană să ia decizia și să o poată explica, cu respectarea garanțiilor RGPD privind deciziile automatizate.
Unde rulează modelele și datele?
În mediul pe care îl permite apetitul dumneavoastră la risc: propriul tenant de cloud, o regiune UE a unui cloud public sau on premises pentru sarcinile sensibile. Alegerile de model și de găzduire sunt documentate, cu opțiuni de ieșire, pentru registrul furnizorilor terți.
Trebuie să înlocuim platforma de bază?
Nu. Integrăm implicit și modernizăm în etape: mai întâi API-uri și evenimente în jurul sistemului de bază, apoi mutăm funcții doar acolo unde merită, cu reconciliere până la retragerea vechiului traseu.
Cum evaluați IA generativă în procesele reglementate?
Cu seturi de test și criterii de calitate stabilite împreună cu echipele de risc și de validare înainte de lansare, monitorizare după lansare și pași de verificare pentru rezultatele incerte. Procesul pornește de la ideea că unele rezultate vor fi greșite și le trimite la oameni.
Discutați programul dumneavoastră pentru servicii financiare
Planificați IA pentru integrarea clienților noi, consultanță sau daune ori pregătiți sistemele pentru testarea DORA? Discutați cu ingineri care proiectează atât pentru autoritățile de supraveghere, cât și pentru utilizatori.