Великобритания ввела надзор финрегуляторов за облачными гигантами: что изменится с 2025 года

С 1 января 2025 года Amazon Web Services, Google Cloud, Microsoft Azure и Oracle Cloud переходят под прямой надзор Управления по финансовому регулированию и надзору (FCA) и Банка Англии. Соответствующее постановление опубликовано на сайте правительства 14 декабря 2024 года. Теперь облачные гиганты обязаны соблюдать те же стандарты операционной устойчивости, что и банки, страховые компании и другие финансовые организации. Это первый в мире случай, когда регуляторы получают полномочия напрямую контролировать ключевых поставщиков облачных услуг для финансового сектора.

Новые правила для облачных провайдеров

Согласно новому закону, FCA и Банк Англии получают полномочия требовать от AWS, Google Cloud, Microsoft Azure и Oracle Cloud отчёты о сбоях, проводить стресс-тесты и налагать штрафы за нарушение требований. Речь идёт о так называемых «критически важных сторонних поставщиках» (critical third parties, CTP). Регуляторы смогут оценивать риски концентрации, так как более 70% британских финансовых организаций используют облачные сервисы хотя бы одного из этих провайдеров. Банк Англии уже заявил, что намерен провести первые стресс-тесты в первой половине 2025 года.

Ранее AWS, Google Cloud, Microsoft и Oracle взаимодействовали с регуляторами на добровольной основе — через отраслевые стандарты и контракты. Теперь же они обязаны раскрывать архитектуру сетей, планы восстановления после сбоев и результаты внешних аудитов. За неисполнение предписаний грозят штрафы до 10% глобальной выручки или даже приостановка деятельности в Великобритании. Для Oracle, чья доля на британском рынке меньше, чем у тройки лидеров, это особенно чувствительно, так как компания активно продвигает свои серверы для финансовой инфраструктуры.

Предыстория и контекст

Инициатива стала результатом многолетнего обсуждения уязвимости финансового сектора из-за зависимости от горстки облачных компаний. Ещё в 2020 году Банк Англии предупреждал, что сбой у одного из крупных провайдеров может парализовать платежные системы и рынки капитала. В 2022 году отказ AWS в Лондоне затронул несколько банков и финтех-компаний, хотя критических последствий удалось избежать. Аналогичные опасения высказывали регуляторы ЕС, США и Австралии, но Великобритания стала первой юрисдикцией, введшей прямой надзор за облачными гигантами в финансовом секторе.

Какие риски для финансового сектора несет зависимость от облачных гигантов?

Зависимость от небольшого числа облачных провайдеров создаёт системные риски. Если один из них выйдет из строя, это может парализовать работу множества банков, страховых компаний и платёжных систем. Например, в 2021 году сбой в работе Akamai затронул несколько крупных банков, а в 2023 году отказ Microsoft Azure привёл к задержкам в обработке транзакций. Концентрация рисков особенно опасна в условиях, когда облачные сервисы используются для критически важных операций, таких как клиринг и расчёты. Новое регулирование направлено на снижение этих рисков путём прямого надзора и стресс-тестирования.

Технические и финансовые детали

Под надзор попадают именно «критически важные» услуги, а не все облачные сервисы. Регуляторы будут определять, какие конкретно продукты каждого провайдера считать CTP. Ожидается, что в список войдут базовые вычисления, хранение данных, сети и базы данных, используемые для обработки транзакций, клиринга и расчетов. Облачные провайдеры уже начали адаптироваться: Microsoft объявила о создании отдельного подразделения для финансового сектора в Великобритании, а AWS запустила программу сертификации для банковских приложений. По оценкам консалтинговой компании McKinsey, расходы британских банков на соблюдение новых правил могут вырасти на 15–20% в 2025 году.

Как новые правила повлияют на стоимость облачных услуг для банков?

Вероятно, облачные провайдеры переложат часть издержек на клиентов, что приведёт к росту цен на облачные услуги для финансовых организаций. Однако это может быть компенсировано повышением стабильности и снижением рисков сбоев. Банки и финтех-компании выиграют от повышения стабильности, но могут столкнуться с ростом цен на облачные услуги, так как провайдеры переложат часть издержек. Для стартапов, использующих облачные сервисы, возможно ужесточение условий SLA. В России и СНГ влияние будет косвенным — через глобальные контракты международных компаний, но прямого регулирования не ожидается.

Кого затронет и как

В первую очередь изменения коснутся самих облачных гигантов — им придется вкладывать средства в соответствие требованиям и менять контракты. Банки и финтех-компании выиграют от повышения стабильности, но могут столкнуться с ростом цен на облачные услуги, так как провайдеры переложат часть издержек. Для стартапов, использующих облачные сервисы, возможно ужесточение условий SLA. В России и СНГ влияние будет косвенным — через глобальные контракты международных компаний, но прямого регулирования не ожидается.

Что будет дальше

В 2025 году FCA и Банк Англии начнут публиковать первые рейтинги устойчивости облачных провайдеров. Европейский союз также готовит аналогичное регулирование в рамках Digital Operational Resilience Act (DORA), которое вступит в силу в январе 2025 года. Великобритания может стать моделью для других стран, включая США, где сейчас обсуждается закон Cloud Act. Вероятно, что под надзор постепенно попадут и другие облачные провайдеры, такие как IBM Cloud или Alibaba Cloud, если их доля на рынке финансовых услуг вырастет.

Итог

Решение Великобритании поставить облачных гигантов под надзор финрегуляторов — исторический прецедент, который изменит правила игры на глобальном рынке облачных услуг. Финансовая система становится устойчивее, но бизнесу придётся адаптироваться к новым требованиям. Следить за развитием событий стоит всем, кто работает с облачной инфраструктурой в финансовом секторе.