Великобритания вводит прямой надзор за облачными гигантами: что изменится для AWS, Google Cloud, Azure и Oracle

Правительство Великобритании объявило о введении прямого надзора за четырьмя крупнейшими облачными провайдерами — Amazon Web Services (AWS), Google Cloud, Microsoft Azure и Oracle Cloud — со стороны финансовых регуляторов. Соответствующее решение вступит в силу в ближайшие месяцы и станет частью более широкой стратегии по обеспечению устойчивости финансового сектора в условиях растущей зависимости от облачных технологий. Теперь Управление по финансовому регулированию и надзору (FCA) и Банк Англии (включая Пруденциальный регуляторный орган, PRA) получат полномочия контролировать этих провайдеров как критически важных поставщиков услуг для финансового сектора. Это означает, что компании, такие как Amazon, Google, Microsoft и Oracle, должны будут соответствовать строгим требованиям к операционной устойчивости, управлению рисками и отчётности. Ранее регуляторы могли воздействовать только на финансовые организации, которые пользуются облачными услугами, но не на самих провайдеров. Решение было принято после консультаций с участниками рынка и анализа рисков, связанных с концентрацией облачных услуг в руках нескольких игроков. По данным Банка Англии, более 70% британских банков используют облачные сервисы хотя бы одного из четырёх указанных провайдеров для критически важных операций. Перебои в работе облачной инфраструктуры могут привести к серьёзным сбоям в финансовой системе.

Почему Великобритания решила регулировать облачных провайдеров

Вопрос регулирования облачных гигантов обсуждался в Великобритании с 2019 года, когда стало ясно, что финансовая индустрия всё активнее переносит свои системы в облако. Пандемия COVID-19 ускорила этот процесс, и к 2023 году объём данных, обрабатываемых в облаке финансовыми организациями, вырос на 40% по сравнению с допандемийным уровнем. При этом инциденты, такие как сбой в работе AWS в 2021 году, который затронул множество банков и платёжных систем, показали уязвимость отрасли. В 2022 году Управление по финансовому регулированию и надзору опубликовало доклад, в котором рекомендовало расширить свои полномочия на облачных провайдеров. Параллельно аналогичные шаги предпринимаются в Европейском союзе: в рамках Закона о цифровой операционной устойчивости (DORA) облачные провайдеры, обслуживающие финансовый сектор, будут подлежать надзору со стороны европейских регуляторов с 2025 года. Таким образом, Великобритания идёт в ногу с глобальным трендом на усиление контроля за критической инфраструктурой.

Какие требования предъявят к облачным гигантам

Для Amazon, Google, Microsoft и Oracle новые правила означают необходимость адаптировать свои процессы к требованиям финансовых регуляторов. В частности, они должны будут предоставлять регуляторам подробную информацию об архитектуре своих сервисов, планах непрерывности бизнеса и мерах кибербезопасности. Также провайдеры обязаны уведомлять FCA и Банк Англии о любых инцидентах, которые могут повлиять на финансовые организации, в течение нескольких часов. Кроме того, облачные гиганты должны будут проходить регулярные проверки и аудиты со стороны регуляторов. В случае несоответствия требованиям они могут столкнуться с санкциями, вплоть до ограничения или запрета на предоставление услуг финансовому сектору. Однако пока неясно, насколько жёсткими будут меры: правительство заявило, что будет применять «пропорциональный» подход, учитывая размер провайдера и его роль в экосистеме.

Как новые правила отразятся на финансовом секторе

Новые полномочия регуляторов распространяются на все облачные услуги, включая инфраструктуру как услугу (IaaS), платформу как услугу (PaaS) и программное обеспечение как услугу (SaaS), если они используются для критически важных функций финансовых организаций. Под критически важными функциями понимаются, например, обработка платежей, хранение клиентских данных, управление рисками и отчётность. По оценкам аналитиков, совокупная доля четырёх провайдеров на британском рынке облачных услуг для финансового сектора превышает 90%. Это создаёт значительные риски концентрации: сбой у одного провайдера может затронуть десятки банков и других финансовых учреждений. Введение надзора направлено на снижение этих рисков, но также может привести к росту затрат для провайдеров, которые будут вынуждены инвестировать в дополнительную отчётность и комплаенс.

Кого затронет новое регулирование и как

Решение Великобритании в первую очередь затронет финансовые организации, которые используют облачные сервисы. Для них это означает дополнительную уверенность в надёжности поставщиков, но также возможное увеличение стоимости услуг, поскольку провайдеры переложат часть затрат на выполнение требований регуляторов на клиентов. Малые и средние банки, которые особенно зависят от облака, могут столкнуться с ростом цен. Для самих облачных гигантов это вызов: им придётся адаптировать свои глобальные стандарты к британским требованиям, что может привести к фрагментации подходов в разных юрисдикциях. Особенно это касается компаний, которые уже работают в рамках DORA в ЕС, — им придётся учитывать различия в регулировании. Российский и постсоветский контекст: хотя решение Великобритании напрямую не затрагивает компании из СНГ, оно может стать прецедентом для других стран, включая Россию. На данный момент в России нет аналогичного регулирования облачных провайдеров для финансового сектора, но Центробанк РФ ранее выражал обеспокоенность по поводу зависимости от зарубежных облачных платформ. Возможно, в будущем и в России будет введён надзор за облачными гигантами.

Перспективы развития регулирования облачных услуг

Новые правила вступят в силу после завершения законодательной процедуры, которая ожидается в течение 2024 года. FCA и Банк Англии уже начали разработку детальных требований к облачным провайдерам, а также механизмов мониторинга и санкций. Ожидается, что в ближайшие месяцы будут опубликованы проекты нормативных актов для общественного обсуждения. В более широком контексте это решение может ускорить принятие аналогичных мер в других странах. Например, США и Австралия также рассматривают возможность усиления контроля за облачными провайдерами в финансовом секторе. Эксперты прогнозируют, что к 2027 году большинство развитых стран введут тот или иной тип надзора за облачной инфраструктурой, критически важной для финансовой стабильности.

Итог

Великобритания сделала важный шаг к обеспечению устойчивости финансовой системы, поставив облачных гигантов под прямой надзор регуляторов. Это признание того, что облачные технологии стали неотъемлемой частью финансовой инфраструктуры и требуют адекватного контроля. Для участников рынка это означает новые правила игры, которые изменят отношения между банками и облачными провайдерами. Следить за развитием ситуации стоит всем, кто работает в финтехе или связан с облачными технологиями.