Gäller redan
DORA: Reglerna om digital operativ motståndskraft gäller
IKT-risk, tredjepartsregister, incidentrapportering och tester.
Finansiella tjänster
AI och plattformar som tål tillsynens granskning.
Vi bygger för banker, försäkringsbolag, arbetspensionsbolag och betalningsinstitut i Finland. Våra AI-lösningar kan förklaras för tillsynen, integrationerna lämnar kärnsystemen orörda och driften planeras enligt DORA från det första arkitekturbeslutet.
För banker, försäkringsbolag och betalningsinstitut i Finland som står under Finansinspektionens tillsyn och under de europeiska myndigheternas regler, från ECB och EBA till Eiopa, Esma och AMLA.
17 januari 2025
DORA gäller
Krav på hantering av IKT-risker, ett register över IKT-leverantörer, rapportering av incidenter och tester av motståndskraft. Finansinspektionen övervakar efterlevnaden i Finland.
10 juli 2027
EU:s penningtvättsförordning gäller
Samma regler för kundkännedom i alla medlemsstater, och en ny EU-myndighet, AMLA.
2 december 2027
Högriskkrav för AI i kredit och försäkring
Kreditprövning och riskbaserad prissättning av liv- och sjukförsäkringar räknas som användningar med hög risk; tillämpningsdatum enligt ändringen 2026.
Vad som förändras för banker och försäkringsbolag
Motståndskraft är nu ett lagkrav
Med DORA blir operativ motståndskraft en rad konkreta krav: IKT-risker ska hanteras, alla avtal med IKT-leverantörer föras in i ett register, incidenter klassificeras och rapporteras och tester göras regelbundet. Även moln- och AI-leverantörer hamnar därmed inom tillsynens synfält.
AI-beslut kräver spårbarhet
Enligt AI-förordningen blir kreditprövning och prissättning av försäkringar högriskanvändningar. Bankens modellriskhantering måste därför också täcka maskininlärning och generativ AI, med dokumentation, uppföljning och en mänsklig kontroll som står i proportion till vad som står på spel.
Kunderna jämför med sin bästa app
Snabba betalningar, kontrollen av mottagarens namn och öppna bank-API:er har gjort kunderna vana vid snabbhet och insyn. De kommande reglerna för betaltjänster ställer ännu högre krav på skydd mot bedrägerier och på API:ernas kvalitet, och kunden vill få samma service på finska som på svenska.
Kärnsystemen bär decennier av logik
Bokföringen sköts fortfarande av stordatorer och kärnsystem. Förnyelsen sker därför runt dem, med API:er och händelser, och stabiliteten och myndighetsrapporteringen får inte äventyras på vägen.
Utmaningar och vad vi bygger
- Utmaningen
Kundkännedom och återkommande kontroller bygger på att analytiker läser handlingar för hand.
Vår lösningDokumenttolkning tar ut och kontrollerar uppgifter om identitet, ägarförhållanden och medlens ursprung. Analytikerna går igenom de flaggade fallen, och varje kontroll loggas för revisionen och för EU:s kommande regelbok mot penningtvätt.
- Utmaningen
En enda kundfråga kräver att rådgivaren letar i fem olika system.
Vår lösningEn assistent som följer behörigheterna, svarar utifrån produkter, villkor och rutiner på finska eller svenska, hänvisar till källan och registrerar vad som visades, så att rådgivningsdokumentationen blir fullständig.
- Utmaningen
Varje ändring i kärnsystemet är långsam, dyr och riskfylld.
Vår lösningKärnans funktioner görs åtkomliga via API:er och händelseströmmar. Sedan bryts de ut en i taget, och avstämningen fortsätter tills den gamla vägen kan stängas.
- Utmaningen
DORA-registret och incidentflödet sköts i kalkylblad.
Vår lösningVi bygger informationsregistret, klassificeringen av incidenter och rapporteringsflödet in i verktygen för tjänstehantering och molndrift, kopplade till de kritiska funktioner de stöder.
- Utmaningen
Modeller som inte går att förklara klarar inte valideringen.
Vår lösningEtt ramverk för utvärdering som risk- och valideringsfunktionerna har godkänt: testmaterial, förklarbarhet där beslutet kräver det, bevakning av modellavdrift och en dokumenterad möjlighet för en människa att ändra utfallet.
- Utmaningen
Tillsynsrapporterna stäms av för hand varje kvartal.
Vår lösningDataflöden där varje siffras ursprung är dokumenterat och kvaliteten kontrolleras automatiskt enligt BCBS 239, så att rapporterna kan spåras ända till källan.
En referensmiljö där kontrollen kommer först
Här ligger AI mellan kanalerna och kärnsystemen, med en godkännandepunkt före varje steg som får följder och med DORA-kontrollerna parallellt i varje lager.
Illustrativt exempel
AI-tjänsterna når kärnsystemen bara via integrationslagret. DORA-kontrollerna gäller varje komponent.
Läs diagrammet som text
Kanalerna är app, webb, kontor och kontaktcenter, och de används av kunder, rådgivare och kundtjänst på finska, svenska eller engelska.
Under kanalerna ligger tre AI-tjänster. Den första tar emot handlingar för kundkännedom, den andra är en assistent för rådgivare och kundtjänst, och den tredje är ett steg där en analytiker godkänner alla beslut som får följder.
Mellan AI-tjänsterna och kärnsystemen finns ett integrationslager med API:er och händelseströmmar, och AI når kärnan bara den vägen. Kärnan består av banksystemet eller försäkringssystemet, CRM- och serviceplattformen och en dataplattform där härkomsten är dokumenterad.
Vid sidan av alla lager löper DORA-kontrollerna: hantering av IKT-risker, registret över IKT-leverantörer, klassificering och rapportering av incidenter och tester av motståndskraften. Alla modeller registreras, valideras och följs upp inom modellriskhanteringen.
Godkännande före följder
AI får skriva utkast, tolka och föreslå. Den som beslutar om kredit, skadeersättning eller spärr av ett konto är alltid en namngiven person.
Förklarbart från början
Hur mycket förklaring varje beslutstyp kräver bestäms i designfasen, inte i sista stund före valideringen.
Exit- och koncentrationsrisk
Moln- och modelleverantörer väljs med exitplaner och ersättningsvägar som dokumenteras för registret.
Loggar som bevis
Vi sparar indata, utdata, modellversion och godkännanden, så att tillsynsmyndigheten och revisorn kan gå tillbaka till vilket ärende som helst.
Tidslinjen för finansiella institut
De här datumen påverkar vad en leverantör ska kunna visa upp. Nationella och europeiska tillsynsmyndigheter kompletterar med riktlinjer och tekniska standarder.
Gäller redan
AI-förordningen: Förbjudna tillämpningar stoppas, krav på AI-kunnighet
Gäller redan
AMLA: EU:s myndighet mot penningtvätt inleder sin verksamhet
Förbereder den gemensamma regelboken och den direkta tillsynen över vissa institut.
Gäller redan
Förordningen om omedelbara betalningar: Mottagarens namn kontrolleras vid överföringar i euro
Betaltjänstleverantörerna i euroområdet kontrollerar mottagarens namn innan överföringen genomförs.
Gäller redan
AI-förordningen: Transparensskyldigheterna gäller
Kunderna ska få veta när de har att göra med ett AI-system. I Finland övervakar Traficom skyldigheterna.
Läget 2 oktober 2026
På kommande
Penningtvättsförordningen: Den gemensamma EU-regelboken gäller
Kundkännedom, verkligt huvudmannaskap och arkivering harmoniseras.
På kommande
AI-förordningen: Kraven för AI-system med hög risk gäller
Bland annat kreditprövning och prissättning av liv- och sjukförsäkringar, enligt ändringen 2026.
På kommande
AMLA: Direkt tillsyn över utvalda institut inleds
Regelverk och standarder
De regelverk som oftast styr AI- och plattformsarbetet i finländska banker, försäkringsbolag och betalningsinstitut, och vad de betyder i ett leveransprojekt.
Översikten är ett underlag för planeringen, inte juridisk rådgivning eller tillsynsrådgivning. EU-datumen kontrollerades 2 oktober 2026 och de finländska uppgifterna 5 november 2026.
- DORAOmfattningHela EU
Sedan 17 januari 2025 gäller förordningen om digital operativ motståndskraft för banker, försäkringsbolag, värdepappersföretag, betalningsinstitut och övriga finansiella entiteter. Den reglerar hantering av IKT-risker, incidentrapportering, tester och risker hos IKT-leverantörer, bland annat vilka villkor avtalen ska innehålla (artikel 30). Finansinspektionen övervakar i Finland att de enheter den har tillsyn över följer reglerna.
Vad det betyder för projektetSom IKT-leverantör hjälper vi dig att uppfylla kraven: avtalsklausuler, anmälan av incidenter, exitplaner, deltagande i tester och uppgifterna till registret.
KällaFörordning (EU) 2022/2554, EUR-Lex (öppnar en extern webbplats)
- AI-förordningenOmfattningHela EU
Bedömning av fysiska personers kreditvärdighet och riskbaserad prissättning av liv- och sjukförsäkringar är högriskanvändningar av AI. Både den som utvecklar och den som använder systemet behöver riskhantering, styrning av data, loggar, mänsklig kontroll och dokumentation. Enligt 2026 års ändring gäller kraven från 2 december 2027, och i Finland har sektorsmyndigheterna tillsynen över högrisksystemen enligt lagen 1377/2025.
Vad det betyder för projektetVarje användningsfall klassas tidigt, den mänskliga kontrollen byggs in i flödet och dokumentationen anpassas till hur banken redan hanterar modellrisk.
KällaFörordning (EU) 2024/1689, EUR-Lex (öppnar en extern webbplats)
- EU:s paket mot penningtvätt (AMLR och AMLA)OmfattningHela EU
Från 10 juli 2027 ersätts de nationella reglerna om kundkännedom av en enda regelbok, penningtvättsförordningen. AMLA, EU:s nya myndighet på området, samordnar medlemsstaternas tillsyn och tar själv över tillsynen av vissa institut med hög risk.
Vad det betyder för projektetUnderlagen i kundkännedomen måste hanteras på samma sätt varje gång och gå att spåra i efterhand. Vi bygger dokument- och ärendeflödena för det.
KällaFörordning (EU) 2024/1624, EUR-Lex (öppnar en extern webbplats)
- Dataskyddsförordningen och automatiserade beslutOmfattningHela EU
Enligt artikel 22 får ingen utsättas för ett beslut som bara bygger på automatisk behandling om beslutet har betydande följder för personen. Undantagen kräver skyddsåtgärder, bland annat att en människa kan ingripa och att beslutet kan bestridas. Dataombudsmannen är tillsynsmyndighet i Finland.
Vad det betyder för projektetProcessen gör det möjligt för en handläggare att se över, motivera och ändra ett automatiskt utfall, och det sparas att det har gjorts.
KällaFörordning (EU) 2016/679, EUR-Lex (öppnar en extern webbplats)
- MiFID II och IDD: dokumentation av rådgivningenOmfattningHela EU
Den som säljer investeringstjänster eller försäkringar ska bedöma om produkten passar kunden, eller kartlägga kundens krav och behov, och dokumentera rådgivningen. Ett AI-verktyg som stöder rådgivaren ingår i det underlaget.
Vad det betyder för projektetAssistenten sparar vad den har visat och vilka källor den har använt, och rådgivningsakten blir därmed fullständig och granskningsbar.
KällaDirektiv 2014/65/EU, EUR-Lex (öppnar en extern webbplats)
- PSD2 och nästa regler för betaltjänsterOmfattningHela EU
I dag styr PSD2 betaltjänsterna och tredje parters tillgång till konton. Om PSD3 och den nya betaltjänstförordningen nåddes en preliminär överenskommelse 2025, och efter en övergångstid blir kraven på bedrägeriskydd och API:ernas prestanda strängare.
Vad det betyder för projektetDen som bygger en API-plattform i dag bör räkna med skärpta krav på svarstider, övervakning och utbyte av uppgifter om bedrägerier.
KällaDirektiv (EU) 2015/2366, EUR-Lex (öppnar en extern webbplats)
Illustrativa exempel
Illustrativt exempelKontroll av handlingar vid kundkännedom
Identitets- och ägarhandlingar tolkas och stäms av mot varandra; analytikern avgör varje flaggat fall.
Kunskapsstöd vid ett arbetspensionsbolag
Kundtjänsten får svar om pensionsskydd, villkor och rutiner på finska eller svenska, med källa och inom den egna behörigheten.
Mottagning och styrning av klagomål
Klagomålen sorteras efter ämne och hur bråttom de är, går vidare med en kort sammanfattning och bevakas mot tidsfristerna.
Skadeanmälningar till ett försäkringsbolag
Skadeanmälningar, kvitton och utlåtanden tolkas och kopplas till rätt försäkring; handläggaren godkänner utbetalningen.
Kärnfunktioner bakom API:er
Stordatorns transaktioner görs tillgängliga som dokumenterade API:er och händelser, och nya kanaler slipper vänta på nattliga batchfiler.
Plattformar inom finanssektorn
Salesforce
Summit PartnerArbetsytor för rådgivare, kundresor för kundkännedom och kundservice på finska, svenska och engelska, kopplade till kärnsystemen och dokumentflödet.
SAP
Gold PartnerEkonomi och koncernrapportering i SAP, där uppgifterna med dokumenterat ursprung går vidare till risk- och tillsynsrapporteringen.
Partnernivåerna avser FromNine. Alla produktnamn är sina ägares varumärken.
Finland
Finansinspektionen, DORA och två språk
Finansinspektionen övervakar den finländska finans- och försäkringssektorn och därmed också att DORA följs. De europeiska tillsynsmyndigheterna kommer till, och från 2028 får AMLA direkt tillsyn över vissa institut. Själva reglerna i DORA, AI-förordningen och penningtvättspaketet är gemensamma för EU, men tillsynspraxis, rapporteringsformat och synen på utkontraktering varierar från land till land.
Många finländska banker och försäkringsbolag har kunder på både finska och svenska, och flera är verksamma i de andra nordiska länderna och i Baltikum. Vi bygger tjänster som fungerar lika bra på båda språken, och vi håller det underlag som tillsynen kan begära aktuellt i takt med att systemet ändras: dokumentation av arkitektur och modeller, loggar, testresultat och exitplaner.
- DORAFörordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn (DORA) (öppnar en extern webbplats)
- AI-förordningenFörordning (EU) 2024/1689 om harmoniserade regler för artificiell intelligens (förordning om artificiell intelligens) (öppnar en extern webbplats)
- lagen om tillsyn över vissa system för artificiell intelligensLag om tillsyn över vissa system för artificiell intelligens (1377/2025): Traficom är gemensam kontaktpunkt och tillsynsmyndighet för transparensskyldigheterna, dataombudsmannen övervakar förbjudna användningsområden och sektorsmyndigheterna system med hög risk (öppnar en extern webbplats)
- penningtvättsförordningen (AMLR)Förordning (EU) 2024/1624 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism (gemensamt regelverk), med AMLA (öppnar en extern webbplats)
- dataskyddsförordningenDataskyddsförordningen (GDPR), förordning (EU) 2016/679 (öppnar en extern webbplats)
Vanliga frågor
Hur stöder ni våra DORA-skyldigheter som leverantör?
Avtalet får de klausuler som DORA kräver. Vi anmäler incidenter via den kanal vi kommit överens om, dokumenterar exitplanen, deltar i testerna och levererar det som behövs i ditt register över IKT-leverantörer.
Får AI användas vid kreditbeslut eller vid riskbedömning av försäkringar?
Ja, men det är en högriskanvändning enligt AI-förordningen och kräver riskhantering, styrning av data, loggar, mänsklig kontroll och dokumentation. Vi bygger så att en människa fattar och kan motivera beslutet, i linje med dataskyddsförordningens regler om automatiserade beslut.
Var körs modellerna och var finns data?
Där din riskaptit tillåter: i en egen molnmiljö, i en EU-region hos en publik molnleverantör eller på egna servrar när arbetslasten är känslig. Vi dokumenterar valet av modell och driftmiljö, med exitalternativ, för registret över IKT-leverantörer.
Måste vi byta ut kärnsystemet?
Nej. Vi börjar med att integrera och förnyar sedan i etapper: först API:er och händelser kring kärnan, därefter flyttas funktioner ut där det är lönsamt, och avstämningen pågår ända tills det gamla flödet kan stängas.
Hur utvärderar ni generativ AI i reglerade processer?
Risk- och valideringsfunktionen godkänner testmaterial och kvalitetskrav innan något tas i drift, och efteråt följer vi upp resultatet. Osäkra svar går till granskning, för vi räknar med att modellen ibland har fel och låter då en människa ta över.
Nästa steg för banken eller försäkringsbolaget
Planerar du AI för kundkännedom, rådgivning eller skadehantering, eller förbereder du systemmiljön för DORA-tester? Prata med ingenjörer som bygger för både tillsynen och användarna.