”Man får inte negligera riskerna med open banking”

Bankvärlden håller på att förändras. Allt fler finansiella institut väljer att lansera open banking, senast i raden Klarna. Open banking innebär i korthet att finansiella aktörer delar med sig av information till andra aktörer så att de, i sin tur, kan utveckla nya produkter och tjänster.

Nordea var först ut med open banking i Sverige. Redan i december 2017 sjösattes open banking i Nordea. I september 2018 lanserades open-banking-plattformen i Sverige.

Gunnar Berger, som lett Nordeas open banking-satsning, berättar för Realtid att det krävs en hel del arbete med cypersäkerhet innan man kan lansera en open banking-plattform.

– Ur bankens synvinkel, om man har börjat använda öppna API:er och inte haft det förut utan interna API:er, att ha dem på utsidan av brandväggen innebär det att man exponerar code till omvärlden dygnet runt och det utsätter oss naturligtvis för en ny form av risker för intrång och så vidare. Det har vi tittat väldigt mycket på. Det krävdes en hel del arbete med cybersäkerhet för att kunna hantera detta.

– Eftersom vi gick i produktion redan i oktober 2017 så har vi haft lång tid på oss att finjustera och finna hål och liknande. Vi är väldigt komfortabla med den lösning vi har i dag. Hade vi inte gjort det jobbet så hade det sett annorlunda ut naturligtvis. Man får inte negligera dessa risker, säger han till Realtid.

Gunnar Berger uppger även att open banking har olika betydelser beroende vem man frågar. Nordea som var tidiga med open banking startade innan regelverket PSD2. Man gjorde det som ett strategisk initiativ redan 2015. Projektet startades redan 2016. Nordea skulle skapa en ny teknikplattform för att publicera öppna API:er. Banken såg att det fanns en förutsättning för att leverera bra bankprodukter i framtiden. Nordea såg det som en möjlighet snarare än som ett tvång, menar Gunnar Berger. För andra aktörer har open banking en annan betydelse.

– Många säger att det är samma betydelse som PSD2. Lagstiftarna vill skapa bättre förutsättningar och lösningar för konsumenterna, säkrare lösningar för konsumenterna. Det vill man göra genom att öka konkurrensen på marknaden mellan bankerna och icke-bankerna. Det är grunden för PSD2. 

Han berättar att PSD2 bildades när lagstiftaren inte tyckte att PSD1 nådde hela vägen fram att ge en starkare konkurrenskraft för icke-bankerna. Man ville stärka konkurrenskraften hos icke-banker.

– Jag tror inte att de kommer att nå hela vägen fram med PSD2 heller. Grunden för PSD2 är att icke-bankerna ska börja konkurrera med bankerna men det vi har sett de senaste åren är snarare att de flesta av icke-bankerna söker samarbete med banker. Det finns naturligtvis såna som fortfarande utmanar, men de flesta icke-banker når ut till kunderna genom samarbete med bankerna, vilket delvis går emot vad lagstiftarna vill uppnå. 

Har Open banking förändrat bankvärlden?
– Det håller på att göra det, men det har inte hänt ännu. Open banking har ännu inte på allvar trätt i kraft och kommer inte göra det förrän i september i år. Det är först då du kan börja prata om att open banking verkligen finns i den mening av PSD2 finns.

Gunnar Berger berättar att det finns tre compliance-deadlines i år. En passerades den 14 mars. Då skulle bankerna ha levererat all funktionalitet i en testmiljö åtkomlig för tredje parter. Nästa deadline är i mitten av juni och sedan är sista deadline den 14 september. Då ska alla banker kunna öppna upp för att tredje parter ska kunna komma åt bankkonton å kundernas vägnar för att visa transaktionsinformation och initiera betalningar.

Gunnar Berger tror inte att det kommer att ske så mycket förändringar i Sverige, då det redan finns aktiva icke-banker. Han jämför Sverige och Finland. 

– Det finns en teknologi som heter screenscraping och som används av många aktörer i Sverige sedan flertalet år tillbaka. Via screenscraping kan tredje parter komma åt data från kundernas konton, under förutsättning att kunderna lånar ut de påloggningsuppgifter man använder i bankernas mobilappar. I Finland, å andra sidan, är screenscraping förbjudet i lag och det finns inte speciellt många icke-banker eller tredjepartsbolag som erbjuder banktjänster till kunderna. När PSD2 införs i september så blir det många bolag som kommer att kunna göra det på den finska marknaden.

I Sverige tycker flera av icke-bankerna att det finns en risk att det blir sämre med PSD2, eftersom möjligheterna att använda screenscraping inskränks från och med september. Dessutom måste man börja använda säkrare metoder vid utförande av betalningar, så kallad strong customer authentication, vilket hotar att försämra vissa av de lösningar som finns på marknaden idag.

Klarna lanserade sin open banking-plattform i torsdags och poängterade att Klarnas satsning skiljer sig från konkurrenternas på grund av den stora marknadsnärvaron där plattformen ska ge tillgång till 4 300 banker i 14 europeiska länder.

– Men man kan fråga sig om de egentligen lanserar något nytt eller om de sätter ett nytt namn på sin gamla screenscraping-teknologi. När vi säger open banking, så menar vi öppna API:er, säger Gunnar Berger.

Swedbank, som hade haft en plattform i betaversion sedan hösten 2017, lanserade sin open banking-plattform i slutet av januari 2019.

– Vi ser tre delar med open banking. Den första är att API:er är framtiden utifrån att följa de nya regler som kommer med PSD2 på ett enkelt och bekvämt sätt, att vi följer reglerna är grundplattan. Vi ser också att detta är ett enkelt sätt för oss att samarbeta med andra till exempel fintech för att växa och snabbt få ut värdeadderande tjänster till våra kunder. Det tredje är att vi ser att open banking är möjligheten för att på ett enkelt sätt distribuera våra produkter och tjänster hos andra tredjepartsaktörer, som exempelvis våra fonder som till stor del säljs via Avanza, säger Lotta Lovén, chef för den digitala utvecklingen på Swedbank

Det finns inga krav utifrån, menar Lotta Lovén, men detta är en viktig komponent för att vara framgångsrik över tid.

Har open banking förändrat bankvärlden?
– Teknikutveckligen förändrar hela världen – och där ingår bankerna. API:erna, plug and play, gör att det är enkelt att koppla i hop underliggande infrastrukturer med fronten, det som kunden ser, vilket gör att det ändrar hur vi jobbar med affärsutveckling. Den stora drivkraften är dock hur kunden konsumerar finansiella tjänster. Det finns ett ökat driv på snabb time to market och bekväma och enkla lösningar. Man behöver då hinna med i hela kedjan.

Kommer det förändras ännu mer?
– Vi befinner oss just nu i ett paradigmskifte där vi ser att det är ett väldigt starkt driv från konsumenter. Vi är mitt inne i en stor beteendeförändring där nordiska marknader generellt sett ligger väldigt långt fram. Mycket av det som händer i resten av världen har hållit på ett antal år på våra hemmamarknader. Generellt i den finansiella sektorn kommer det komma stora förändringar de kommande åren där jag tro att de nordiska bankerna är väl positionerade.

Hon menar att Sverige står sig väl, mycket tack vare den tradition som funnits att bygga bankgemensam-infrastruktur såsom mobilt bankid. Hon menar att dessa samarbeten inte finns i alla länder.

– Vi har gjort samma sak med att möjliggöra realtidsbetalningar och informationsinhämtning från upplysningscentraler. Alla småkomponenterna gör att det är enklare att bygga bekväma och moderna banktjänster. Svenska marknaden ligger väldigt långt fram i digitala tjänster. Det kommer väldigt mycket nytt också från Kina där det är en helt ny typ av konsumentbyggda tjänster som också ska titta på och se hur vi möter detta på ett bra sätt på våra marknader.

Finns det några risker med open banking?
– Det finns risker med allt så man måste alltid vara noga med att beakta.  Men open banking och att man har strukturerade API:er är en säker modell för att koppla ihop saker, vilket för konsumenten är  ett mycket mer strukturerat och säkert sätt att lämna konsent för en viss typ av data eller viss typ av tjänst på ett sätt där man också vet exakt hur det fungerar hur man lagrar datan än den tidiga världen. Dessa funktioner har funnits i många år där man tidigare kanske förlitade sig på en tredje parts skrapade data och det är ur ett konsument-perspektiv inte alls lika säkert. Jag skulle säga att göra den här typen av funktioner strukturerat via standardiserade och också i nuläget compliance och regelverksstandardiserade API:er är en väldigt bra och säker grundnivå.

– Men det gäller att vi liksom alla andra aktörer i branschen är tydliga mot kund med att det är just kunden och ingen annan som äger datan. Som kund har du större makt än någonsin över din data och det är en väldigt positiv utveckling, säger Lotta Lovén.