מי מפקח על בנקאות פתוחה בישראל, אילו נתונים הוראה 368 מחייבת בנק לחשוף, ולמה עסק מתחבר דרך בעל רישיון ולא ישירות אל הממשק של הבנק שלו. תיאור טכני.
עיקרי הדברים
- הרגולציה מפוצלת בין שני גופים: המפקח על הבנקים בבנק ישראל מחייב את מקורות המידע לחשוף ממשק, ורשות ניירות ערך מרשה ומפקחת על נותני שירות מידע פיננסי שצורכים אותו.
- הכניסה לממשק טכנית ונאכפת: סרטיפיקט חתום דיגיטלית עם תפקיד מוגדר, ערוץ mTLS, ומבנה בקשה ותשובה שהסטנדרט קובע.
- הוראה 368 מונה את השירותים שמקור מידע חייב לספק - יתרות ותנועות בעו"ש, כרטיסי חיוב, הלוואות, פיקדונות וניירות ערך.
- ההוראה קובעת גם מדדי שירות מספריים: זמינות חודשית שעולה משנה לשנה, פיגור עדכניות של עד 30 שניות, ולפחות 12 חודשי היסטוריה.
- ייזום תשלומים לפי ההוראה מוגבל לחשבון תשלום של יחיד. זה הפער המרכזי בין המקרה הפרטי למקרה העסקי.
בנקאות פתוחה בישראל היא תשתית מוסדרת: הוראת ניהול בנקאי תקין 368 של המפקח על הבנקים מחייבת בנקים, תאגידי עזר וסולקים לחשוף ממשק גישה לחשבונות, וחוק שירות מידע פיננסי מגדיר מי מורשה לצרוך אותו. עסק ניגש למידע שלו דרך בעל רישיון, ולא ישירות מול הבנק.
שני רגולטורים, שני תפקידים שונים
בנקאות פתוחה בישראל אינה מנוהלת בידי גוף אחד, ובלבול בין השניים הוא הטעות הראשונה בכל שיחת אפיון:
- המפקח על הבנקים בבנק ישראל מפרסם את הוראת ניהול בנקאי תקין 368, "יישום תקן של בנקאות פתוחה בישראל". ההוראה חלה על בנק, תאגיד עזר וסולק בתפקידם כמקור מידע או כמנהל חשבון תשלום, ומחייבת אותם לפתוח ממשק גישה לחשבונות.
- רשות ניירות ערך מרשה ומפקחת על הצד השני של הקו - נותני שירות מידע פיננסי, כהגדרתם בחוק שירות מידע פיננסי, התשפ"ב-2021.
התקן הטכנולוגי של ההוראה מבוסס על מסגרת העבודה האירופית NextGenPSD2, בהתאמות למערכת הפיננסית בישראל. המשמעות המעשית למפתח: מי שראה יישום PSD2 באירופה יזהה מבנים מוכרים, אבל לא יוכל לקחת ספרייה קיימת ולצפות שתעבוד כמות שהיא.
האם עסק יכול להתחבר ישירות אל הממשק של הבנק שלו?
לא בתצורה שעסק רגיל מדמיין. ההוראה מתנה גישה לממשק בשלושה תנאים מצטברים: הצד הפונה הזדהה בשכבת התעבורה עם סרטיפיקט מתאים, לסרטיפיקט יש התפקיד המתאים לשירות המבוקש, והסרטיפיקט בתוקף. הסרטיפיקט הוא תעודה חתומה דיגיטלית שמנפיק המאסדר הרלוונטי באמצעות ממשל זמין - לא מפתח API שנרשמים אליו בטופס.
התפקידים מופיעים בסרטיפיקט כקודים: PSP_AI לצריכת מידע, PSP_PI לייזום תשלומים, PSP_IC לגוף נותן אשראי, ו-PSP_AS כתפקיד משולב. ההעברה עצמה היא https מעל mTLS, ומנהל חשבון תשלום מקבל רק פניות שנחתמו בסרטיפיקט לחותם אלקטרוני.
לכן המסלול המעשי לעסק הוא התקשרות עם בעל רישיון שכבר עבר את התהליך הזה, ולא פרויקט פיתוח מול הבנק. את הנתונים שמגיעים מהמסלול הזה מטפלים כמו בכל הזנה חיצונית אחרת, ותהליך העבודה סביבם מתואר בעבודה מול ביזיבוקס, רואה החשבון והבנק.
אילו נתונים ההוראה מחייבת מקור מידע לספק
| קבוצת השירות | מה כלול לפי ההוראה | סעיפים |
|---|---|---|
| הרשאת גישה | הקמת הרשאה, סטטוס ההרשאה, פרטי ההרשאה, ביטול | 36.1-36.2 |
| חשבון עו"ש | מאפייני החשבון, יתרה, תנועות | 36.3-36.5 |
| כרטיסי חיוב | מאפייני הכרטיס, סך החיובים, עסקאות | 36.6-36.8 |
| הלוואות | מאפייני החשבון, יתרות, תנועות | 36.9-36.11 |
| פיקדונות וחסכונות | מאפיינים, יתרות, תנועות | 36.12-36.14 |
| ניירות ערך | מאפייני החשבון, רשימת הניירות, כמות מוחזקת, שינויים, הוראות | 36.15-36.18 |
| ייזום תשלום | הוראת תשלום חד-פעמית בשקלים וסטטוס ההוראה | 38.1-38.2 |
השורה האחרונה היא הפער החשוב. גישת מידע היא קריאה בלבד; כתיבת הוראת תשלום היא שירות נפרד, עם תפקיד סרטיפיקט נפרד, והיא מוגבלת להוראה חד-פעמית בשקלים.
שימו לב גם למה שאין בטבלה. אין בה חשבוניות, אין בה שמות ספקים ואין בה סיווג חשבונאי. הממשק מחזיר תנועה בנקאית עם התיאור שהבנק עצמו רשם, וכל מה שהופך תיאור כזה לשורה בהנהלת חשבונות נבנה אצלכם. ההוראה גם מחייבת כל מקור מידע לפרסם פורטל מפתחים לציבור, ולהעמיד לבעלי סרטיפיקט מתאים סביבת ניסוי - כלומר התיעוד קיים, אבל הוא מכוון למי שכבר החזיק בסרטיפיקט, לא לצוות הפיתוח של העסק.
מה ההוראה מבטיחה מבחינת רמת שירות?
ההוראה נוקבת במספרים, וזה נדיר מספיק כדי לתכנן לפיהם. זמינות חודשית מינימלית עולה לפי ותק מקור המידע: 97 אחוזים בשנת הפעילות הראשונה, 98 בשנייה, 99 בשלישית, ו-99.5 אחוזים מהשנה הרביעית. השבתות מתוכננות ותקלות ידועות נספרות כאי-זמינות, ואינן מנוכות מהחישוב.
לצד הזמינות יש שני מספרים שמשפיעים ישירות על התכנון:
- עדכניות. מידע פיננסי או סטטוס הרשאה יסופקו ברמת עדכניות זהה לערוצים האינטרנטיים, ובפיגור של עד 30 שניות לכל היותר.
- עומק היסטוריה. לתנועות בעו"ש ולתנועות ויתרות של כרטיסי חיוב, המידע יהיה לפחות ל-12 החודשים שקדמו לבקשה.
שנים-עשר החודשים הם המספר שמפיל תכנונים. חיבור שנפתח היום אינו מייצר היסטוריה של 2022, ולכן טעינת ארכיון ראשונית היא תמיד משימה נפרדת מהזנה שוטפת.
איפה המקרה העסקי חלש מהמקרה הפרטי
- ייזום תשלומים. לפי סעיף 3.3.2 להוראה, גישה ליוזם תשלומים חלה על חשבון תשלום של יחיד; בחשבון תשלום משותף - חשבון שכל בעליו יחידים. זו לא הערת שוליים, אלא ההסבר לכך ששירותי תשלום יזום בישראל מדברים אל הצרכן.
- ערוץ פעילות. ההוראה מגדירה "ערוץ פעילות" כערוץ אינטרנטי של מקור מידע המופרד מערוץ דומה משיקולים עסקיים, ומביאה כדוגמה ערוץ עסקי מול ערוץ פרטי. ההפרדה הזו קיימת בצד הבנק ומשפיעה על מה שמגיע לצד השני.
- מבנה חתימה. בחשבון עסקי יש מורשי חתימה, ייפויי כוח ולעיתים דרישת שני חותמים. הרשאת גישה במודל של בנקאות פתוחה נבנתה סביב לקוח, ולא סביב היררכיית הרשאות ארגונית.
- מקורות שאינם בנקים. חלק ניכר מהתמונה הפיננסית של עסק יושב אצל סולק, ספק סליקה או ספק אשראי חוץ-בנקאי, וכל אחד מהם הוא מסלול נפרד.
מה כדאי שיהיה מוכן לפני אפיון
- רשימת החשבונות והכרטיסים שבאמת נדרשים, לפי מספר חשבון, ולא "כל מה שיש".
- החלטה מי בארגון נותן את הרשאת הגישה ומי מבטל אותה, כולל מה קורה כשאותו אדם עוזב.
- מקום לאחסן תנועה עם מזהה יציב, כדי שמשיכה חוזרת לא תיצור כפילות. הנושא מפורק באפשרויות למשיכת תנועות בנק ואשראי.
- תוכנית לטעינה היסטורית שאינה מסתמכת על הממשק, כי הוא מחויב ל-12 חודשים בלבד.
- הגדרה מה קורה כשהממשק אינו זמין ביום סגירת חודש, בהתחשב בכך שגם 99.5 אחוזי זמינות הם כמה שעות בשנה.
מקורות
שאלות נפוצות
האם בנקאות פתוחה מאפשרת לבצע תשלומים מחשבון העסק?
שירות יזום תשלומים לפי ההוראה כולל הוראת תשלום חד-פעמית בשקלים וסטטוס שלה, והתחולה שלו היא חשבון תשלום של יחיד. חשבון תשלום משותף נכלל רק כשכל בעליו יחידים. תשלומי ספקים בהיקף עסקי עוברים במסלולים אחרים לגמרי.
כמה היסטוריה אפשר למשוך בפעם הראשונה?
ההוראה מחייבת מקור מידע לספק, לתנועות בעו"ש ולתנועות ויתרות בכרטיסי חיוב, מידע של 12 החודשים שקדמו לבקשה לפחות. ספק מסוים עשוי לשמור אצלו יותר, אבל זו החלטה שלו ולא חובה מכוח ההוראה, ולכן אין להסתמך עליה בתכנון.
מה זה סרטיפיקט בהקשר הזה?
תעודה חתומה דיגיטלית שמנפיק המאסדר הרלוונטי באמצעות ממשל זמין, ובה מוגדר תפקיד הצד השלישי - למשל PSP_AI לצריכת מידע או PSP_PI לייזום תשלומים. מקור המידע בודק שהסרטיפיקט תקף, מתאים לשירות המבוקש, והוצג בשכבת התעבורה.
האם המידע שמגיע דרך הממשק מעודכן כמו באתר הבנק?
ההוראה דורשת רמת עדכניות זהה לערוצים האינטרנטיים של מקור המידע, עם פיגור של עד 30 שניות לכל היותר ביחס אליהם. בפועל הפער מול מה שרואים באתר הבנק אמור להיות זניח, אבל תזמון סגירת יום עסקים עדיין קובע אילו תנועות בכלל קיימות.
להמשך קריאה
שירות רלוונטי
אינטגרציות
לגרום למערכות שאתם כבר משלמים עליהן לדבר זו עם זו.
על הכותב
יהונתן סעדיה
מפתח פרילנסר לאוטומציה, אתרים ו-MVP
אני יהונתן סעדיה, מפתח בכיר שבונה אוטומציה עסקית, אתרים מותאמים ומוצרי MVP לעסקים קטנים ובינוניים בארה"ב, אירופה וישראל. המדריכים האלה נכתבים מתוך עבודה אמיתית עם לקוחות, לא מתיאוריה.
בוא נעבוד יחדיש לך פרויקט דומה?
ספר לי מה אתה רוצה לבנות או איזה תהליך להפוך לאוטומטי. אני חוזר תוך 24 שעות עסקים עם כמה שאלות ממוקדות, ואז עוברים על זה יחד בשיחת היכרות חינמית של 30 דקות, בלי התחייבות. בסוף יש לך היקף עבודה, לוח זמנים ומחיר קבוע - או תשובה כנה שלא שווה לבנות את זה.