Aansluitnotitie Bancaire Infrastructurele Voorziening

Transcriptie

1 Aansluitnotitie Bancaire Infrastructurele Voorziening Machine-2-Machine voor Softwareleverancier en Dienstverlener Versie 3.2 Definitief Maart 2017 Financiële Rapportages Coöperatief B.A. Bijlmerdreef 24 - ACT A CT Amsterdam-Zuidoost I KvK

2 Inleiding Dit is de Aansluitnotitie Bancaire Infrastructurele Voorziening, Machine-2-Machine voor Softwareleverancier en Dienstverlener van SBR Banken 1 / 2. SBR Banken geeft hiermee softwareleveranciers en dienstverleners de informatie voor het ontwikkelen van software voor het aanmaken en verzenden van kredietrapportages aan banken. Voor dienstverleners wordt ingegaan op het beschikbaar stellen van software als online portal op hun eigen infrastructuur, gekoppeld aan de BIV. SBR Banken biedt ondernemers en intermediairs de mogelijkheid om kredietrapportages te leveren aan ABN AMRO, ING en Rabobank. De BIV (Bancaire Infrastructurele Voorziening) is daarvoor het centrale platform. Kredietrapportages kunnen op drie manieren worden aangeboden aan de BIV: 1. Intermediairs kunnen met de M2M-koppeling (Machine-2-Machine) software verbinden met de BIV; 2. Ondernemers en intermediairs kunnen een online portal gebruiken, als dat is gekoppeld aan de BIV; vaak kan hier alleen een kant-en-klare kredietrapportage (xbrl instance, soms ander export format) worden opgeladen voor verzending naar de BIV. 3. Ondernemers kunnen SBR Direct van SBR Banken gebruiken naar de BIV. Deze aansluitnotitie beschrijft de eerste twee mogelijkheden: de M2M-koppeling en het online portal. Het aanleverproces van kredietrapportages en de betrokken partijen in de keten ziet er schematisch als volgt uit: pagina 2 van 10

3 Definities, begrippen en contactinformatie Vooraf gaan we in op de autorisatie om een ICT-platform te mogen koppelen aan de BIV en op de autorisatie om kredietrapportages te mogen aanleveren. Daarbij is ook het verschil relevant tussen het gebruik van een M2M-koppeling en het gebruik van een online portal. Autorisatie - Voor het mogen koppelen van een ICT-platform aan de BIV-omgevingen, is een autorisatie nodig. Deze wordt geregeld door een PKI-O-certificaat te laten plaatsen op de whitelist van het betreffende platform. Dit gebeurt voor de acceptatie-omgeving en voor de productieomgeving apart en niet per se beiden. - Voor het mogen aanleveren van kredietrapportages moet een intermediair en in de acceptatie- omgeving kan dit ook voor de softwareleverancier of dienstverlener zijn geautoriseerd. Dit gebeurt door het PKI-O-certificaat te laten plaatsen op de whitelist. Verschil tussen M2M-koppeling en online portal in de productie-omgeving - Bij een M2M-koppeling beschikt de intermediair over ICT-infrastructuur waarop uw software gaat draaien, gekoppeld aan de BIV. Om kredietrapportages te mogen aanleveren moet het PKI-O-certificaat van de intermediair zijn geplaatst op de whitelist. - Bij een online portal moet het PKI-O-certificaat van de dienstverlener zijn geplaatst op de whitelist: het ICT-platform van de dienstverlener is dan geautoriseerd om te koppelen aan de BIV. Om kredietrapportages te mogen aanleveren moet ook hier het PKI-O-certificaat van de intermediair zijn geplaatst op de whitelist. Nu gaan we in op de definities, begrippen en contactinformatie. Acceptatie-omgeving is de infrastructuur voor de BIV die SBR Banken beschikbaar stelt aan intermediairs, softwareleveranciers en dienstverleners, om de kwaliteit van software te testen. De omgeving is niet gekoppeld aan de omgevingen van de banken. SBR Banken controleert de ingezonden testkredietrapportages en geeft feedback aan de inzender. Het is de bedoeling om test-kredietrapportages met testgegevens in te sturen en geen productiegegevens te gebruiken. De inzender is daarvoor verantwoordelijk. AuSP (Autorisatie Service Provider) is de organisatie die een register beheert, waarin de machtigingsrelatie van een intermediair met haar klanten digitaal wordt vastgelegd. Door toepassing van dit machtigingenregister kan de BIV geautomatiseerd controleren of bij elke aanlevering voor de intermediair ook daadwerkelijk een machtiging aanwezig is. Gebruik van een AuSP bij aanlevering van een kredietrapportage is optioneel. U kunt dit implementeren indien een intermediair hiervoor kiest. Anders gebruikt u het AuSP-endpoint zoals voor de productie-omgeving beschreven in URL s naar Productie- respectievelijk Acceptatie-omgeving. pagina 3 van 10

4 Bancair Kwaliteitsraamwerk geeft de kwaliteitsnormen en -standaarden voor kredietrapportages. Dit is gepubliceerd op De aangeleverde kredietrapportages vormen de basis voor het proces van risicobeoordeling door de banken van nieuwe of bij revisies bestaande kredieten. Deze risicobeoordeling betreft de kredietwaardigheid van een bedrijf. De inhoudelijke kwaliteit van de kredietrapportage is voorwaardelijk voor een goede verwerking van de (financiële) gegevens. Kredietrapportages die niet voldoen aan de kwaliteitsnormen en standaarden worden door de BIV afgekeurd en worden niet afgeleverd bij de betreffende bank. BIV (Bancaire Infrastructurele Voorziening) is het systeem voor SBR Banken, dat: - de authenticiteit controleert van de intermediair, - de kredietrapportage controleert op format: de kredietrapportage is technisch verwerkbaar en voldoet aan de bankentaxonomie en de hiervoor geldende validatieregels, - de kredietrapportages aanbiedt aan de bank waaraan de kredietrapportage is verzonden. N.B. De ontvangende bank controleert en verwerkt de inhoud van de kredietrapportage en neemt langs de voor die bank geëigende kanalen waar nodig contact op met de ondernemer of de intermediair. BT (Bankentaxonomie) is de extensie op de Nederlandse Taxonomie (NT) ontwikkeld door de banken. Op basis van deze bankentaxonomie dienen de kredietrapportages te worden opgesteld. Uw software dient dusdanig ingericht te zijn, dat deze de bankentaxonomie kan hanteren. Deze kunt u vinden op De intermediair kan deze kredietrapportages opstellen met de meest recente BT. Een definitieve BT wordt 3 jaar ondersteund. CSP (Certificate Service Provider) verstrekt certificaten en controleert tevens of een certificaat dat gebruikt wordt voor de communicatie (nog) geldig is. De BIV en de AuSP maken gebruik van deze controle om vast te stellen of het certificaat geldig is. Dienstverlener biedt software als een dienst aan. Dit gebeurt meestal op basis van interactieve en op internet gebaseerde diensten: online portals. Intermediairs en / of ondernemers kunnen zo kredietrapportages opstellen en verzenden. FRC (Financiële Rapportages Coöperatief) is de organisatie waarin banken samenwerken om SBR Banken beschikbaar te stellen als platform voor de aanlevering van kredietrapportages. Intermediair is de accountant, de boekhouder, het administratiekantoor of de belastingadviseur, die namens ondernemers kredietrapportages aanlevert bij één of meerdere banken via de BIV. Kredietrapportage is de ingezonden set van gegevens betreffende bijvoorbeeld jaarcijfers of een jaarprognose, ter ondersteuning van een (aanvraag voor een) financiering. Machtigingenregister is het register waarin is geregistreerd of een intermediair mag handelen voor een specifieke ondernemer. Dit wordt beschikbaar gesteld door een AuSP. Online portal is faciliteit op internet, waarmee een dienstverlener software online beschikbaar stelt voor het aanmaken en verzenden van kredietrapportages. pagina 4 van 10

5 PKI-O-certificaat is het certificaat, beschikbaar gesteld door een CSP, waarmee de authenticiteit van een afzender kan worden vastgesteld. Het is een X.509 certificaat dat voldoet aan het kwaliteitskader zoals dat geldt voor PKI-Overheid. Meer informatie is te vinden op Productie-omgeving is de infrastructuur voor de BIV die SBR Banken beschikbaar stelt aan intermediairs, softwareleveranciers en dienstverleners, om kredietrapportages in te sturen voor banken. Deze omgeving is gekoppeld aan banken. De kredietrapportages worden op vorm gecontroleerd door SBR Banken en als deze correct is, wordt de kredietrapportage doorgestuurd aan de opgegeven bank. De bank controleert inhoudelijk, verwerkt de resultaten en neemt langs de geëigende kanalen van die bank contact op met de afzender. SBR Banken is een handelsmerk van het FRC (Financiële Rapportages Coöperatief) en staat voor het platform en de ondersteuning die het FRC biedt aan ondernemers en intermediairs om kredietrapportages aan te leveren bij de banken die zijn aangesloten bij het FRC. Het staat ook voor de ondersteuning aan softwareleveranciers en dienstverleners om de software te ontwikkelen om kredietrapportages op te stellen en aan te leveren aan de banken. SBR Direct is het online portal dat SBR Banken beschikbaar stelt voor ondernemers, die daarin kunnen samenwerken met intermediairs. Servicedesk SBR Banken is het algemene contactpunt voor informatie en specifieke vragen over de aanlevering via SBR Banken en de BIV aan banken en is op werkdagen bereikbaar van 09:00 tot 18:00 uur. Het telefoonnummer is Contact is mogelijk via de contactpagina van SBR Banken: Test-kredietrapportages zijn kredietrapportages voor testdoeleinden, met hetzelfde format als kredietrapportages, maar met testgegevens. Het is niet de bedoeling om hier productiegegevens te gebruiken. De inzender van de test-kredietrapportage is daarvoor verantwoordelijk. Whitelist is de lijst op de infrastructuur acceptatie-omgeving of productie-omgeving waarin wordt vastgelegd welke organisatie met welke certificaten is geautoriseerd om (test-)kredietrapportages in te sturen via de betreffende infrastructuur. Hier gaat het dus om de autorisatie van de ondernemer of intermediair, niet om de autorisatie van de techniek. pagina 5 van 10

6 URL s naar Productie- respectievelijk Acceptatie-omgeving Productie-omgeving De URL s in de ketentestomgeving hebben btp als kenmerk. Verschil ten opzichte van de productieomgeving is de laatste letter hierin: p(roductie) in plaats van a(cceptatie). Het PI-kenmerk dat door de ketentestomgeving wordt toegekend aan een aanlevering heeft eveneens als kenmerk btp. Ketentest-omgeving De URL s in de ketentestomgeving hebben bta als kenmerk. Verschil ten opzichte van de productieomgeving is de laatste letter hierin: a(cceptatie) in plaats van p(roductie). Het PI-kenmerk dat door de ketentestomgeving wordt toegekend aan een aanlevering heeft eveneens als kenmerk bta. Service Endpoint WSDL Aanleverservice Statusinformatieservice Ophaalservice Aanleverportaal Service Endpoint WSDL Aanleverservice Statusinformatieservice Ophaalservice Aanleverportaal Test AuSP endpoints pagina 6 van 10

7 Waar gaan we van uit? In deze Aansluitnotitie Bancaire Infrastructurele Voorziening, Machine-2-Machine voor de Softwareleverancier houden we met het volgende rekening: - De software is geïmplementeerd in de volgende ICT-omgevingen: Voor testen door de softwareleverancier en door de dienstverlener: in de testomgeving van de softwareleverancier dan wel van de dienstverlener; Voor testen door de intermediair: van software geleverd door een softwareleverancier: in de testomgeving van de intermediair; van software bij een dienstverlener: in de testomgeving van de dienstverlener. - Indien gewenst kan de software statusinformatie en mededelingen over ingestuurde kredietrapportages opvragen. Dit is niet per se nodig: - Het verzenden van de kredietrapportage gebeurt in één sessie. Deze sessie wordt afgesloten met statusinformatie over het resultaat. Dat resultaat is uitsluitend goed als de kredietrapportage met succes bij de geselecteerde bank is afgeleverd. In alle overige gevallen is het resultaat fout. - Voor de afhandeling van de kredietrapportage door de betreffende bank, worden de bij die bank ingerichte kanalen gebruikt, zoals bijvoorbeeld internetbankieren of persoonlijk contact. - In het aansluitproces wordt gesproken over een acceptatie-omgeving en een productie-omgeving. Bij SBR Banken is dit gescheiden. Hoewel de intermediair wordt aangeraden dit ook te scheiden, controleert SBR Banken daar niet op. - De volgende organisaties moeten beschikken over een geldig PKI-O-certificaat. De softwareleverancier als deze wil testen vanuit zijn testomgeving; De dienstverlener; De intermediair. - Voor het verkrijgen van goedkeuring op de software en het online portal is het noodzakelijk om samen te werken met een intermediair. In de laatste stappen moeten namelijk testkredietrapportages door een intermediair worden ingestuurd. - Als de intermediair gebruik wil maken van een AuSP, bijvoorbeeld voor het opvragen van mededelingen, moet de intermediair in het machtigingenregister geregistreerd staan als gemachtigd om kredietrapportages aan te leveren voor de betreffende ondernemer. Dat is verplicht voor het opvragen van statusinformatie en mededelingen, optioneel voor het aanleveren van kredietrapportages. Het proces om aan te sluiten op de BIV vereist samenwerking tussen de softwareleverancier, dan wel de dienstverlener, en de intermediair en SBR Banken. Die samenwerking staat beschreven in een van de volgende paragrafen Testen van het verzenden van kredietrapportages. Hiervoor en voor functionele en technische vragen, kunt u terecht bij de Servicedesk SBR Banken. pagina 7 van 10

8 Waaraan moet uw software voldoen? Uw software moet het volgende kunnen om aan te sluiten op de M2M-koppeling naar de BIV: 1. XBRL ondersteunen. De specificaties zijn internationaal en niet specifiek voor SBR Banken, en zijn gepubliceerd op 2. De BT ondersteunen. De actuele versie van de BT en de bijbehorende documentatie zijn gepubliceerd op onder het kopje Bankentaxonomie. 3. Kredietrapportages kunnen aanmaken. In het Bancair Kwaliteitsraamwerk voor kredietrapportages zijn de kwaliteitsnormen en standaarden vastgelegd. Dit is gepubliceerd op 4. Kredietrapportages kunnen verzenden via de BIV. Dit wordt in de volgende paragraaf in detail uitgewerkt. Inrichten van de verzendfunctie voor kredietrapportages U kunt de intermediair in staat stellen een export te maken van de kredietrapportages. Deze kunnen bijvoorbeeld met SBR Direct worden opgeladen naar de BIV. In deze aansluitnotitie gaan we ervan uit dat de software geschikt wordt gemaakt voor een M2M koppeling met de BIV, om kredietrapportages aan te leveren. De koppelvlakspecificaties volgens de WUS (Web Services met WSDL, UDDI en SOAP), is hier beschikbaar: WUS 2.0 voor bedrijven v1.2 (ZIP 10.4 MB). Hiervoor is ook een FAQ beschikbaar: Technische FAQ (PDF 91,5 kb). Specificaties en koppelvlakbeschrijvingen vindt u in het hierboven opgenomen zip bestand. Zoals in de koppelvlakspecificaties staat aangegeven, zijn er om moverende redenen enige verschillen in de koppelvlakken met de Digipoort en de BIV. In deze notitie staat een toelichting op deze verschillen. AuSP Er wordt geen gebruik gemaakt van de in de koppelvlak specificatie genoemde Indien u zelf geen AuSP service heeft, gebruikt u de volgende: Om te testen kunt u de volgende services gebruiken: Meer informatie kunt u vinden op: pagina 8 van 10

9 Testen van het verzenden van kredietrapportages Het testen van de aansluiting op de BIV. We gaan uit van software die is getest in uw eigen omgeving en onderscheiden de volgende stappen om te komen tot gecertificeerde software voor de M2M-koppeling op de BIV: 1. Als softwareleverancier testen op de acceptatie omgeving voor de BIV bij SBR Banken. 2. Met een intermediair testen vanuit haar omgeving op de acceptatie-omgeving voor de BIV bij SBR Banken. Deze test heeft als doel, vast te stellen of de kredietrapportages in technisch en inhoudelijk opzicht van voldoende kwaliteit zijn. 3. De intermediair sluit aan op de productie-omgeving van de BIV en kan kredietrapportages insturen. U kunt dus niet zelfstandig tot gecertificeerde software komen, maar heeft daarbij een intermediair nodig om samen een testtraject te doorlopen. Als softwareleverancier testen op de acceptatie-omgeving voor de BIV Deze stap wordt aangeraden, maar is niet verplicht. 1. U heeft een PKI-O-certificaat nodig. 2. Dan kunt u contact opnemen met de Servicedesk SBR Banken. Hier wordt u gevraagd het publieke deel van uw PKI-O-certificaat op te sturen. U moet in deze stap duidelijk aangeven, dat u hier zelf als softwareleverancier wilt testen. 3. De Servicedesk SBR Banken informeert u als het publieke deel van uw PKI-O-certificaat is toegevoegd aan de whitelist. 4. U kunt testen terwijl u nog geen registratie heeft bij een AuSP. U gebruikt dan het AuSP-endpoint zoals voor de acceptatie omgeving beschreven in URL s naar Productie- respectievelijk Acceptatie- omgeving : Voor aanleveren betreft dit CSP-Alternate, die ook in productie is toegestaan Voor opvragen van status en meldingen betreft dit CSP-OK en CSP-NotOK, die niet in productie zijn toegestaan. 5. U stuurt een test-kredietrapportage in en constateert of dit succesvol verloopt. 6. De Servicedesk SBR Banken informeert u over de beoordeling van de test-kredietrapportage. Bij positief resultaat wordt het publieke deel van uw PKI-O-certificaat verwijderd van de whitelist. Met een intermediair testen op de acceptatie-omgeving voor de BIV Deze stap is verplicht. 1. Als u een dienstverlener bent, die een online portal beschikbaar stelt, dan heeft u een PKI- O-certificaat nodig. Als dienstverlener neemt u contact op met de Servicedesk SBR Banken. In deze stap moet duidelijk worden aangegeven dat de intermediair hier gaat testen. De Servicedesk SBR Banken vraagt de dienstverlener het publieke deel van zijn PKI-O-certificaat op te sturen om aan de whitelist van de acceptatie omgeving te laten toevoegen. De Servicedesk SBR Banken meldt het aan de dienstverlener als dit is gebeurd. 2. De intermediair heeft een PKI-O-certificaat nodig. De intermediair neemt contact op met de Servicedesk SBR Banken. In deze stap moet duidelijk worden aangegeven dat de intermediair hier gaat testen. De Servicedesk SBR Banken vraagt de intermediair het publieke deel van zijn PKI-O-certificaat op te pagina 9 van 10

10 sturen om toe te laten voegen aan de whitelist en als de software aan de intermediair beschikbaar wordt gesteld aan de whitelist van de acceptatie-omgeving. De Servicedesk SBR Banken meldt het aan de intermediair als dit is gebeurd. 3. De intermediair stuurt een test-kredietrapportage in en constateert of dit succesvol verloopt. 4. De Servicedesk SBR Banken informeert de intermediair over de beoordeling van de testkredietrapportage. Bij afkeuring zijn correcties nodig van de instellingen en / of de software. Daarna wordt stap 4 herhaald, tot de test met succes verloopt. 5. De intermediair stuurt een tweede test-kredietrapportage in -van een andere berichtsoort! -, en constateert of dit succesvol verloopt. 6. De Servicedesk SBR Banken informeert wederom de intermediair over de beoordeling van de testkredietrapportage. Bij afkeuring zijn correcties nodig van de instellingen en / of de software. Daarna wordt stap 6 herhaald, tot de test met succes verloopt. Uw software is nu gecertificeerd. U kunt de Servicedesk SBR Banken vragen uw logo te laten toevoegen bij de andere softwareleveranciers en dienstverleners op de website SBR Banken behoudt zich het recht voor deze publicatie op ieder gewenst moment te stoppen. Aansluiten op de productie-omgeving van de BIV Als u dienstverlener bent, moet uw online portal worden aangesloten op de productie-omgeving van de BIV. U kunt daarvoor nu aan de Servicedesk SBR Banken vragen om het publieke deel van uw PKI Ocertificaat toe te voegen aan de whitelist van de productie-omgeving van de BIV. Het is aan de intermediair om aan te sluiten op de productie-omgeving van de BIV: - Met gecertificeerde software, geleverd door een softwareleverancier. Het proces zoals dat tot nu toe met testen is doorlopen, staat ook beschreven in de Aansluitnotitie M2M-koppeling voor Intermediairs. De laatste stap is nu, dat de intermediair aan de Servicedesk SBR Banken vraagt om het publieke deel van zijn PKI-O-certificaat toe te voegen aan de whitelist van de productie-omgeving van de BIV. - Als de intermediair gebruik maakt van een online portal, dan is de laatste stap, dat de intermediair aan de Servicedesk SBR Banken vraagt om het publieke deel van zijn PKI-O-certificaat uitsluitend toe te voegen aan de whitelist van de productie-omgeving van de BIV. Nu is de intermediair in staat kredietrapportages voor ondernemers aan te leveren aan de drie banken. pagina 10 van 10