ما هي الخدمات المصرفية المفتوحة؟ كيف تعمل في تركيا وماذا تقدم للشركات

في أبسط تعريف لها، الخدمات المصرفية المفتوحة هي قيام البنوك بفتح بيانات عملائها وبعض وظائفها المصرفية أمام تطبيقات خارجية عبر واجهات موحّدة، شرط موافقة العميل. يقوم النموذج على خدمتين أساسيتين: خدمة معلومات الحساب (قراءة الأرصدة وحركات الحساب)، وخدمة إصدار أوامر الدفع (إعطاء تعليمات دفع نيابة عن العميل).

انتشر المفهوم عالميًا مع لائحة PSD2 (التوجيه الثاني لخدمات الدفع) في الاتحاد الأوروبي التي دخلت حيز التطبيق عام 2018، والتي ألزمت البنوك بفتح الوصول إلى الحسابات أمام مزودي الخدمات من الأطراف الثالثة الحاصلين على موافقة العميل. وظهرت مقاربات مماثلة في المملكة المتحدة عبر معيار Open Banking، وفي كثير من دول العالم عبر تشريعات محلية. وكانت تركيا من الدول التي كيّفت هذه الموجة مع تشريعاتها الخاصة.

يقوم الأساس القانوني للخدمات المصرفية المفتوحة في تركيا على ركيزتين رئيسيتين. الأولى هي تعديل عام 2019 على القانون رقم 6493، الذي عرّف «إصدار أوامر الدفع» و«معلومات الحساب» كخدمتي دفع خاضعتين للتنظيم، ووضع هذا المجال تحت إشراف البنك المركزي لجمهورية تركيا (TCMB). والثانية هي اللائحة الخاصة بأنظمة المعلومات لدى البنوك وخدمات الصيرفة الإلكترونية التي أصدرتها هيئة تنظيم ومراقبة البنوك التركية (BDDK) عام 2020، والتي عرّفت «خدمات الصيرفة المفتوحة» كقناة من قنوات الخدمات المصرفية الإلكترونية.

وضمن هذا الإطار، حدد البنك المركزي المعايير التقنية لواجهات API الخاصة بخدمتي معلومات الحساب وإصدار أوامر الدفع؛ وتعمل البنية التحتية الموحدة عبر بوابة GEÇİT التي يديرها مركز البطاقات بين البنوك (BKM).

وإلى جانب ذلك، هناك مسار تعتمد عليه الشركات التركية منذ زمن طويل: خدمات الويب التي تفتحها البنوك لعملائها من الشركات بموجب عقود. توقّع الشركة نموذج تعريف الخدمة مع بنكها، فيمنحها البنك وصولًا خاصًا بها إلى عمليات مثل الاستعلام عن حركات الحساب والأرصدة. وتقدم هذا النوع من الخدمات بنوك كبرى مثل زراعت بنك وإيش بنك وغارانتي BBVA وأكبنك، إضافة إلى بنوك المشاركة. وفي الممارسة العملية، يعني تكامل واجهات API البنكية غالبًا استخدام هاتين القناتين معًا: واجهات الخدمات المصرفية المفتوحة المنظّمة وخدمات الويب الخاصة بكل بنك.

بالنسبة للشركات، فإن أوضح مردود للخدمات المصرفية المفتوحة هو الوقت والرؤية الشاملة. فبدل أن يسجّل فريق المالية الذي يتعامل مع عدة بنوك دخوله كل صباح إلى بوابات الخدمات المصرفية واحدة تلو الأخرى للتحقق من الأرصدة، يمكنه متابعة جميع الحسابات على شاشة واحدة وبشكل مباشر. وفي الهياكل متعددة الشركات والعملات، يعني ذلك مركزًا نقديًا موحّدًا ومحدّثًا في كل لحظة.

الفائدة الكبرى الثانية هي المطابقة البنكية. فعندما تتدفق حركات الحسابات تلقائيًا، لم تعد مقارنة سجلات البنك بسجلات المحاسبة رهينة دورة يدوية من تنزيل الكشوف ورفعها؛ ويستطيع أعضاء الفريق إضافة ملاحظات على الحركات وإجراء المطابقة معًا.

والثالثة هي التكامل مع المحاسبة وأنظمة ERP. فلأن بيانات البنك تصل عبر واجهات API، يصبح نقلها إلى أنظمة ERP مثل Odoo أو مقارنتها بسجلات برنامج المحاسبة أمرًا تلقائيًا. وتستند تقارير التدفق النقدي إلى بيانات حديثة من البنك لا إلى إدخال يدوي للبيانات.

في الخدمات المصرفية المفتوحة، يقع الأمان في صميم التصميم ويتكون من عدة طبقات. المبدأ الأول هو صلاحية القراءة فقط: فخدمة معلومات الحساب تقرأ الأرصدة والحركات فحسب، ولا تتضمن أي صلاحية لتحويل الأموال. وفي معظم سيناريوهات الخدمات المصرفية المفتوحة للشركات تكفي صلاحية القراءة هذه، مما يضيّق مساحة المخاطر من البداية.

الطبقة الثانية هي تفويض عناوين IP: إذ لا تسمح البنوك بالوصول إلى خدمات الويب الخاصة بها إلا من عناوين IP الثابتة التي سجّلتها الشركة؛ وتُرفض الطلبات القادمة من أي مكان آخر لدى البنك مباشرة.

الطبقة الثالثة هي حماية بيانات الاعتماد. فيجب تخزين أسماء المستخدمين وكلمات المرور الخاصة بالخدمات بشكل مشفّر، وعدم الاحتفاظ بها كنص صريح في أي مكان. وفوق ذلك تأتي الطبقة المؤسسية: التحكم في الوصول القائم على الأدوار (RBAC) بحيث لا يرى كل موظف إلا الحسابات المصرّح له بها، والمصادقة الثنائية (2FA)، وتسجيل كل عملية في سجل التدقيق. كما تفرض لوائح BDDK والبنك المركزي التركي في الممارسة العملية معايير دنيا للمصادقة وأمن البيانات.