Финансы в облаках - как закон об аутсорсинге информационных технологий на финансовом рынке изменит индустрию

В 2023 году в Государственную Думу был внесен законопроект, снимающий ограничения на аутсорсинг облачных услуг финансовыми организациями, в первую очередь банками. Цель законопроекта – обеспечить стабильность финансового сектора и непрерывность деятельности финансовых организаций (кредитных организаций, некредитных финансовых организаций, организаций, оказывающих профессиональные услуги на финансовом рынке) в условиях усложнения цепочек поставок IT-оборудования, оптимизации затрат и повышения эффективности.

В дальнейшем профильные комитеты Госдумы предложили изменения к законопроекту: в частности, было рекомендовано усилить нормы по работе с персональными данными и обязать финорганизации запрашивать у клиентов разрешение на передачу этих данных сторонним компаниям. Будет ли работать законодательство в текущем виде, к чему приведет сотрудничество финансовых организаций и сервис-провайдеров и как это повлияет на IT-рынок России?

Почему законопроект вызывает столько вопросов?

Для понимания необходимо взглянуть на текущую ситуацию. Условия рынка IT-инфраструктуры для финансовых организаций характеризуются ограниченным доступом к ресурсам. С уходом западных поставщиков привычные цепочки поставок были нарушены, а множество финансовых компаний находятся под санкциями, в связи с чем обновление и расширение IT-инфраструктуры стало для них еще более сложным процессом. Кроме того, у компаний есть потребность в квалифицированных кадрах и специалистах, способных проводить модернизацию существующих систем. Как следствие, расходы на операционную деятельность растут, и предприятиям приходится непрерывно искать пути повышения эффективности, однако традиционные подходы не всегда позволяют достичь желаемого результата. При этом объем рынка поражает – по оценке ГК «Солар» в 2023 году общий бюджет на IТ российских банков вырос на 12%, что на 4% выше среднего общемирового прогноза. В связи с этим, внедрение законодательства, которое предусматривает возможность передачи части функций на аутсорс является логичным вариантом развития ситуации.

Участники рынка в целом положительно отнеслись к законопроекту и признают, что это реальная возможность для оптимизации затрат и создания условий для гармоничного развития. При этом, не обошлось без споров и противоречий. Краеугольным камнем стала проблема защиты банковской тайны и необходимости прохождения дополнительных сертификаций для работы с ней, что представляется ресурсозатратным процессом, ведь требования законопроекта могут привести к росту издержек сервис-провайдеров – они будут перестраивать внутренние и внешние процессы, выделять необходимые ресурсы (не только финансовые, но и кадровые), проходить новые аттестации. При этом, при попытке переложить ответственность на провайдеров за счет введения жесткой ответственности (по аналогии с требованиями ЦБ к финансовым организациям), штрафов и даже уголовной ответственности, количество участников рынка может существенно сократиться.

Тем не менее, нельзя сказать, что на текущий момент банкам запрещено взаимодействовать с облачными провайдерами при работе с персональными данными. Существует дифференциация – так, например, на текущем уровне банки и финорганизации не передают на аутсорс критичные составляющие (к примеру – платформы расчетно-кассового обслуживания, депозитарного хранения и пр.). Эта дифференциация вполне может сохраниться и в дальнейшем – в зависимости от того, как будет распределена ответственность между банками и сервис-провайдерами и будет ли поставщикам облачных услуг выгодно работать в условиях, которые предусматривает законодательство.

В качестве одной из мер, способных помочь отрасли, выделяется развитие сопутствующих продуктов страхования – например, чтобы в случае каких-либо утечек издержки были покрыты за счет страховых организаций. При этом застраховать киберриски должен сам банк, как обладатель всей полноты информации, способный оценить масштаб и степень ущерба в случае инцидента.

Вдохновляться зарубежным опытом или прокладывать свой путь?

В контексте проблемы аутсорсинга IT-инфраструктуры и оперирования персональными данными интересно посмотреть на опыт западных стран. Так, рассматривая законодательство Европы и США, можно сделать вывод о неоднородности темы – какого-либо универсального подхода не существует.

Европа, к примеру, пошла по пути комплексного регулирования через GDPR – закон широко охватывает различные сферы использования персональных данных и задает некий «фреймворк» для национального законодательства стран Евросоюза. Еще один важный момент – в Европе право на приватность персональных данных является основополагающим, наравне с базовыми правами граждан.

США, напротив, развивается по пути «точечного регулирования». К примеру, существуют отдельные законы в области здравоохранения (HIPAA) и финансов (GLBA). Эти законы дополняются различными документами на уровне штатов, однако до сих пор не существует какого-либо аналога GDPR.

Важно отметить, что российское законодательство стремится двигаться по европейскому пути развития. Так, Россия ратифицировала Конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.

Почему банкам важна возможность аутсорса IT?

Среди основных плюсов аутсорсинга IT-инфраструктуры можно выделить:

• Масштабируемость и гибкость;
• Отказоустойчивость и катастрофоустойчивость;
• Снижение капитальных затрат и расходов на сотрудников;
• Снижение Time-to-market для новых банковских продуктов и сервисов.

В случае с финансовыми организациями эти факторы становятся еще более важны, ведь современные банки в плане цифровой нагрузки во много раз превосходят такие отрасли как ТЭК, промышленность и государственное управление. К примеру, банки чаще компаний из других сфер переживают пиковые нагрузки (простой пример – различные акции и распродажи, а также резкий рост нагрузки на приложения брокеров, когда множество пользователей одномоментно стремятся продать или купить активы в связи с резким ростом или падением их стоимости). Кроме того, работа банковских сервисов тесно сопряжена с тестированием различных гипотез и разработкой новых платформ для взаимодействия с клиентом. Сотрудничество с провайдерами облачных услуг позволит закрыть эту потребность более эффективно.

В чем сложность?

При этом не стоит забывать о такой специфике банковского бизнеса, как историческое наследие – наличие legacy-кода, так называемых «самописных систем», – внутренних разработок различных элементов обслуживания и взаимодействия с клиентом или регулятором, каждая из которых уникальна. В случае принятия законопроекта и желания вынести такие системы в облака банкам возможно придется дорабатывать свое ПО под перенос в облако — чтобы все работало так же, как и до этого на собственном оборудовании. И речь идет не об адаптации кода, а, так как зачастую внутренние разработки не отвечают современному состоянию рынка, о полноценной модернизации, с доработкой и выстраиванием системы под облачную инсталляцию, или же даже о совместной разработке новых решений с нуля, что потребует достаточно больших временных затрат. Из положительных перспектив можно выделить то, что подобный процесс может привести к стандартизации таких решений и стремительному развитию рынка отечественного банковского ПО.

Что день грядущий нам готовит?

Формирование правового фреймворка для работы сервис-провайдеров облачных услуг способно качественно повлиять на развитие финансовых организаций, снизить издержки бизнеса и способствовать более качественному предоставлению услуг клиентам. Исходя из текущей ситуации, представляется два возможных пути развития: формирование неоднозначного и крайне зарегулированного рынка (по аналогии с рынком критической инфраструктуры), участники которого не развивают бизнес на фоне строгих «штрафных санкций» или адаптация регуляторных требований к участникам (как со стороны финансовых компаний, так и со стороны сервис-провайдеров) в рамках риск-ориентированного подхода (страхование рисков, разделение ответственности и пр.).

В случае положительного исхода обсуждения законопроекта, финансовые организации высвободят значительное количество ресурсов для развития профильного бизнеса, а провайдеры облачных услуг получат новый рынок для расширения, что, в свою очередь, приведет к эволюции всего IT-сектора в России.

Ну а пока банковский сектор – основной потребитель сервисов по модели частное облако, в том числе на своих площадках – это позволяет финансовым организациям улучшить гибкость и масштабируемость инфраструктуры, при этом сохраняя высокий уровень контроля за ней. В текущих нормативных условиях это дает возможность выжать максимум пользы из сервисной модели без деградации уровня безопасности.