Czy banki spółdzielcze są gotowe na transformację chmurową?

Jednym z nielicznych obszarów, w którym rodzime instytucje finansowe nie nadążają za globalnymi trendami, jest wykorzystanie technologii w zakresie chmury obliczeniowej.

Chmura obliczeniowa bez potrzebnych regulacji?

Przyczyną tego stanu rzeczy była w dużej mierze niepewność regulacyjna, skutkująca nadmiernym ryzykiem prawnym dla instytucji finansowych.

W jakim stopniu nowe podejście Komisji Nadzoru Finansowego może zmienić ten niekorzystny trend? Co należy zrobić, by przenoszenie danych lokalnych instytucji bankowych do zewnętrznych dostawców pozwalało na optymalne wykorzystanie zasobów tych podmiotów, bez szkody dla bezpieczeństwa danych? Jaką ofertę mogą zaprezentować spółdzielcom dostawcy usług IT, posiadający w swym portfolio usługi chmurowe?

Kwestie te były omawiane podczas drugiego już webinarium, zorganizowanego w ramach tegorocznego Forum Technologii Bankowości Spółdzielczej.

– Chcielibyśmy dziś skoncentrować się na tych kwestiach, które dotyczą stosowania tej bez wątpienia najnowocześniejszej technologii. Liczę, że dzięki dzisiejszemu webinarium jesteśmy w stanie zgromadzić wszystkich uczestników rynku zainteresowanych tą technologią – zapewnił wiceprezes Związku Banków Polskich, Włodzimierz Kiciński.

Chmura to oszczędność i bezpieczeństwo, ale trzeba dobrze wybrać dostawcę

Konferencję rozpoczęło wystąpienie prezesa ZBP, Krzysztofa Pietraszkiewicza. Wspomniał on, iż obecnie obserwowane zmiany technologiczne są w pewnej mierze rezultatem epidemii, niemniej nie należy zapominać także i o latach intensywnych prac, podejmowanych zarówno na poziomie ZBP jak i poszczególnych instytucji w kierunku digitalizacji polskiej branży bankowej.

– Chmura obliczeniowa stanowi wielką szansę dla polskiej bankowości, także tej spółdzielczej – dodał prezes ZBP, przypominając, iż właściwie dobrany cloud computing oznacza nie tylko niższe koszty działalności, ale także znaczącą poprawę bezpieczeństwa.

– Ważne jest, by dokonać dobrego wyboru, tak, by korzystanie z chmury obliczeniowej w polskiej bankowości lokalnej nie budziło niczyich wątpliwości – zadeklarował Krzysztof Pietraszkiewicz.

Digitalizacja pomaga lokalnym bankom

To właśnie dzięki transformacji cyfrowej, w tym w szczególności za sprawą już funkcjonujących od pewnego czasu podmiotom infrastrukturalnym sektora bankowego, niewielkie instytucje bankowe o zasięgu lokalnym są w stanie świadczyć usługi na odległość, zdobywając w ten sposób całkiem nowych nabywców.

– Najnowsze badania wykazały, że coraz większa grupa klientów, nie wykluczając seniorów, korzysta z usług bankowych za pośrednictwem Internetu. Dzięki tym rozwiązaniom, które zostały wdrożone na przestrzeni ostatnich miesięcy, można nie tylko świadczyć usługi płatniczo-rozliczeniowe, ale także dostarczać całą gamę nowych produktów finansowych – nadmienił prezes ZBP Krzysztof Pietraszkiewicz.

Przypomniał również, że początek tego roku przyniósł pewną istotną zmianę, jeśli chodzi o podejście regulatora do kwestii cloud computingu w polskiej bankowości. Chodzi rzecz jasna o komunikat KNF z 23 stycznia 2020 r., który traktowany jest w sektorze jako stworzenie ram regulacyjnych dla wykorzystywania chmury w polskiej bankowości.

Stanowisko KNF, czyli kamień milowy w transformacji chmurowej

Jak obecnie polski nadzór podchodzi do wyzwań związanych z przenoszeniem danych bankowych do zasobów zewnętrznych podmiotów?

Stanowisko regulatora przedstawił Maciej Kurzajewski, doradca przewodniczącego KNF. Wskazał on, iż na kształtowanie się relacji z podmiotami nadzorowanymi w tym obszarze istotny wpływ mają konsultacje z sektorem finansowym, które były podstawą dla przyjęcia nowego stanowiska, a i obecnie pozwalają na doprecyzowywanie stanowiska zgodnie z oczekiwaniami rynku.

Kluczowe znaczenie dla KNF ma również prezentacja aktualnych regulacji i ich interpretacji poszczególnym interesariuszom.

– Uruchomiliśmy nawet specjalną skrzynkę mailową chmura@knf.gov.pl, na którą podmioty nadzorowane mogą przekazywać swoje pytania i wątpliwości. Na bieżąco przekazujemy te wyjaśnienia, by proces wdrażania chmury przebiegał sprawnie – wskazał Maciej Kurzajewski.

Jakie kwestie mają pierwszorzędne znaczenie dla KNF? Należy do nich kompleksowe szacowanie ryzyka. Chodzi o to, w jaki sposób powinna być dokonywana identyfikacja, analiza i ocena pojawiających się ryzyk, obejmująca z jednej strony prawdopodobieństwo ich wystąpienia, z drugiej zaś możliwe ujemne efekty zaistniałych incydentów.

W tym kontekście znaczenie ma na przykład ocena dostawcy usług chmurowych, z którym będzie wiązać się bank. Analizie należy poddać między innymi poziom bezpieczeństwa dostarczanych usług, a także to, czy outsourcer umożliwia wykonywanie czynności nadzorczych, zarówno przez reprezentantów banku jak i KNF.

Dla oceny ryzyka regulacyjnego znaczenie ma samo wdrażanie warunków umowy w praktyce, ze szczególnym uwzględnieniem obszarów nakreślonych w komunikacie KNF, czy też położenie samego dostawcy.

– Chodzi tu o lokalizację centrum przetwarzania danych. Ważne, by znajdowało się ono na terenie Europejskiego Obszaru Gospodarczego – dodał przedstawiciel KNF.

Przestrzegł również przed traktowaniem różnego rodzaju certyfikatów, dostarczanych przez firmy IT, jako potwierdzenia wymogów nakładanych przez nadzór, wspominając, iż komunikat z 23 stycznia 2020 r. przewiduje dokonywanie analizy ryzyka samodzielnie przez poszczególne banki.

– Dodatkowe materiały mogą mieć jedynie charakter pomocniczy – zauważył Maciej Kurzajewski. Odnosząc się do aktualnej sytuacji pandemicznej doradca przewodniczącego KNF podkreślił, że termin obowiązywania stanowiska KNF przesunięty został z sierpnia na listopad 2020 r.

Polish Cloud, czyli mapa drogowa

‒ Komunikat KNF to bardzo ważny i pozytywny krok – powiedział kolejny prelegent, Maciej Leśniewski, dyrektor Centrum IT w PKO Banku Polskim.

Zaznaczył jednak, iż stanowisko nadzorcze nie powinno być traktowane jako gotowy szablon do zastosowania w każdej instytucji, bowiem regulator wspomina tylko o tym, co należy zapewnić, nie wskazując szczegółowych form spełnienia tych celów.

– To zależy od specyfiki banku – dodał reprezentant PKO. Dlatego poważną pomocą dla instytucji nadzorowanych jest standard Polish Cloud, wypracowany przez ZBP w porozumieniu z bankami i dostawcami usług teleinformatycznych.

– Staramy się zaadresować wymagania regulacyjne, ale też kwestie z zakresu technologii i bezpieczeństwa – poinformował Maciej Leśniewski.

Jeśli chodzi o pierwszy obszar, to znaczenie ma tu głównie compliance z przepisami rangi zewnętrznej, a więc zarówno rekomendacjami KNF i Europejskiego Nadzoru Bankowego, ale również przepisów prawa bankowego i innych ustaw, takich jak choćby tych regulujących ochronę danych osobowych.

Niemałe znaczenie ma też dostosowanie wdrażania chmury do wewnętrznych polityk i strategii stosowanych przez poszczególne banki. Reprezentant PKO dodał, że problematyki chmury nie należy oceniać tylko z punktu widzenie technologii, choć na ten obszar z reguły zwracają uwagę dostawcy IT.

– Warto się skupić na budowaniu kompetencji nie tylko w obszarze technologicznym, ale też bezpieczeństwa, zakupów czy prawnym – dodał Maciej Leśniewski.

Do tematyki Polish Cloud odniósł się też ostatni prelegent w tej części webinarium, którym był Karol Mazurek, dyrektor zarządzający Accenture w Polsce. Przedstawił on wyniki obszernego badania, przeprowadzonego przez ZBP i Accenture, dotyczącego absorpcji technologii cloud w Polsce i na świecie. Rezultaty badania zamieszczono w raporcie, którego treść szczegółowo przedstawiliśmy na naszym portalu aleBank.pl.

– Opracowanie jest zarazem podsumowaniem prac grupy, których wynikiem jest Polish Cloud – dodał Karol Mazurek.