Open Banking 風潮近年大舉興起，相對於自行建置新平台或研發新產品，與現有外部企業合作，或是將金融服務 API 化、變成可供第三方業者呼叫的 App，能讓金融創新的速度更快、形式更多元，也逐漸成為全球金融業在創新時的主要選擇，包括歐盟、英國、新加坡、香港及澳洲等國，皆已逐步推動開放銀行的服務模式。
其中，歐盟最早跨出第一步，自 2015 年就開始推動開放銀行，並自 2018 年 1 月起正式施行最新的 PSD2（支付服務指令第二版），強制銀行提供 Open API，讓授權的第三方業者可以存取銀行內部資料起。而台灣，金管會主委顧立雄在年初時便表示，未來將以銀行自律的方式推動開放銀行，亦即金融業可以自行決定要不要開放、開放內容、與科技公司的合作模式。
一旦銀行決定加入 Open Banking 的行列，那就意味著必須對外開放一直以來被當作最高機密的客戶資料，甚至部分金流也得經手第三方平台，這對銀行來說，不只是營運思維的重大挑戰，更潛藏著難以預見的風險，如果沒有做好準備，銀行將無法品嚐創新所帶來的甜美果實，未來等著銀行的不是業績成長，而是客戶信任度與商譽的衝擊。
伴隨 Open Banking 而來的三大風險，銀行不可忽視的事
資誠智能風險管理諮詢有限公司執行董事張晉瑞表示，伴隨開放銀行而來的風險，可以分成以下三種：隱私保護、法令遵循及資訊安全。
首先來談隱私保護風險。銀行必須思考 Open Banking 要開放的是哪些資料，客戶的個人資料？還是分析過後的統計資料？金融業與第三方業者資料交換的深度，將決定這項創新服務的應用範圍，以及銀行的隱私保護風險有多高。
接著是法令遵循的風險。金融是個高度監管的產業，需要遵循很多部法律，但第三方業者並不瞭解，在開發金融創新業務時，很容易有法令遵循的問題，此時該如何劃分責任？
舉例來說，銀行開放客戶資料外，如果第三方業者有不當利用或是特地目的外利用的行為，就可能違反了個資法，而違法風險該由何人承擔？再以洗錢防制法為例，銀行被強烈要求落實 KYC（Know your customer，客戶背景調查） 機制，如果第三方業者拿到客戶資料，還需要進行 KYC 嗎？亦或可以完全信任銀行，如果是後者，一旦未來出了問題，又該由誰來負責？
第三、資安風險。金融業投注很多資源強化資安防禦，但是第三方業者卻未必如此，資安落實度可能有高有低，如果 APP 設計的不好，或是資料管理流程有疏漏，不僅容易造成資料外洩，更有可能讓駭客藉此機會入侵到銀行內部，造成龐大損失。
曾任職金管會，目前從事顧問業及銘傳金融科技學院兼任講師的陳奕甫補充指出，在開放銀行模式下，銀行服務與第三方資訊服務高度疊合，客戶可能無法辨識出真正的責任方，因此銀行有可能要承受來自主管機關的處份，還有與客戶相關客訴與糾紛解決的成本，包括：客戶資料外洩、未經授權的支付行為、系統故障、服務有所瑕疵等。
別等到系統開發完才想風險！資安防禦機制如何設計才是關鍵
想要有效管理伴隨開放銀行而來的風險，張晉瑞認為，銀行必須先翻轉自身的觀念，在需求討論階段，就要去思考可能的風險及控管方式，甚至在接續的系統開發、測試、與上線階段，都要不停地做調整，千萬不能等到系統開發完成或是服務上線之後，再來思考要如何控管風險。
陳奕甫則針對資安防禦機制提出五點建議，第一、訂定明確的 API安全管理機制，確保只讓對的人，在對的時間看到對的資料；第二、強化身分驗證的授權與信任機制，避免客戶身分遭到盜用；第三、建立並持續確保第三方的資安標準；第四、限制 API資料查詢傳輸的次數或方式；第五、確保資料可信度，避免資料遭到惡意竄改。
面對開放銀行浪潮，台灣金融業應該如何在創新與風險中找到平衡，在勇敢與外部合作的同時精算風險，並設計出完整的風險規避計畫，這將是未來五年金融經理人必須思考的關鍵問題。
為了幫助金融經理人找到問題的解答，台北金融研究發展基金會（簡稱台北金融）推出以 Open Banking及數位轉型為核心的工作坊，廣邀學界業界專業人才擔任講師，透過每週 2 天、連續 5 週的連續教學，讓學員能夠一次掌握 AI大數據與數位轉型、區塊鏈導入與應用、 Open Banking 與 API 管理、監理科技與法制創新、金融科技與資安管理五大領域的專業知識。
台北金融希望透過「協力共創工作坊」形式，幫助金融界學員了解現行業務與市場狀況，並由專業團隊精心企劃的工作坊執行流程，促成多元參與及相互學習型態，呈現「價值共創」的成果，進一步推動台灣金融產業在國際 Open Banking與數位轉型趨勢中脫穎而出。
台灣金融轉型關鍵
法規窠臼下的創新，台灣金融業如何善用監理科技與現有規範創造互利共生
台灣金融業數位轉型關鍵：如何找到屬於自己的「在地化解決方案」
（本文提供合作夥伴轉載。）