Forum Technologii Bankowych | Wydanie Specjalne | Z głową w chmurze i stopami na ziemi

74% przedsiębiorstw uważa, że rozwiązania chmurowe umożliwiają osiągnięcie przewagi konkurencyjnej – twierdza eksperci z Harvard Business Review Analytic Services. 60% menedżerów odpowiedzialnych za IT twierdzi, że cloud computing ma potencjał technologii przełomowej (disruptive). Z kolei analitycy International Data Corporation (IDC) oceniają, że około 2022 r. tradycyjny biznes software’owy będzie rósł w umiarkowanie szybkim, 11-procentowym tempie, tymczasem dynamika rozwoju infrastruktury chmurowej osiągnie imponujący poziom 150%.

Badania, przeprowadzone przez Oracle pod hasłem Cloud: opening up to road to Industry 4.0 wykazały, że 60% z przebadanych 1,2 tys. średnich i dużych firm w regionie EMEA pozytywnie postrzega integrację z chmurą. Respondenci uważają, że w ten sposób otworzą sobie drogę do przełomowych technologii, jak roboty czy sztuczna inteligencja.

Chmurowa gorączka ogarnęła również sektor bankowy. Według danych Accenture, zaledwie 3% banków nie ma strategii chmurowej, i nie rozpoczęło jeszcze prac nad takim dokumentem.

Financial Insights ocenia, że globalne banki oszczędzają 15 mld USD dzięki chmurze, która umożliwia im obcięcie kosztów infrastruktury o 25%.

Wszystko to wygląda nader obiecująco, żeby nie powiedzieć imponująco, jednak na razie z chmury obliczeniowej spadł niewielki deszcz. Dosadnie ujął to Steve Randich, Chief Information Officer amerykańskiego regulatora Finra podczas debaty, jaka odbyła się pod koniec 2019 r. w Nowym Jorku: „Banki wciąż są na etapie aspiracyjnym, jeśli chodzi o rozwiązania chmurowe, nawet te, które głośno mówią o tym w mediach„.

Dość brutalna ocena dotyczy nawet banków funkcjonujących za oceanem. W Polsce jesteśmy raczej na jeszcze wcześniejszym etapie, niemniej rysują się szanse na przyspieszenie.

Kto jest hamulcowym?

Magazyn „Euromoney” przytacza znamienną anegdotę. Jeden z banków przedstawia nadzorowi strategię integracji z chmurą. Po 90. slajdzie, prezentujący opowiada o petabajtach danych, wtedy przedstawiciel nadzoru przerywa mu pytaniem, co to jest petabajt.

Podejście regulatorów na całym świecie do nowoczesnych technologii, poza nielicznymi wyjątkami, nie jest zbyt liberalne. W Polsce stosunek Komisji Nadzoru Finansowego do adopcji cloud computingu w bankowości przez długi czas był mocno wstrzemięźliwy, żeby nie powiedzieć: negatywny. Pierwsze istotne stanowisko nadzór przedstawił dopiero w 2017 r., i było ono mocno niejasne i nieprecyzyjne, z kolei Rekomendacja D miejscami trąciła myszką. Dopiero w styczniu br. regulator zaprezentował najnowszy pogląd w tej sprawie, jednak jest on na tyle enigmatyczny, że do dzisiaj trwają dyskusje w ramach sektora, na forum ZBP i w kontaktach z KNF celem ustalenia, co nadzorca miał na myśli.

Kluczowe znaczenie ma interpretacja zapisów odnośnie lokalizacji centrum przetwarzania danych. KNF rekomenduje, by było ono umiejscowione w Polsce, lecz formalnie nie upiera się przy tym, dopuszczając możliwość posadowienia chmury w ramach Europejskiego Obszaru Gospodarczego.

– Uważam, że w praktyce będzie bardzo trudno uzyskać zgodę na przetwarzanie danych produkcyjnych i prawnie chronionych w chmurze publicznej poza granicami RP – mówi jeden z naszych rozmówców.

Sprawa faktycznie staje się dość kłopotliwa, a to ze względu na rozwiązania dostępne na rynku polskim. Trzeba jednak dodać, że lęk związany z transferem twardych danych poza własne podwórko cechuje nie tylko rodzimy KNF, ale również nadzór europejski. I są to jak najbardziej zasadne obawy. Bloomberg przeprowadził niedawno ankietę wśród 22 europejskich banków z pytaniem, w jakim kraju ma siedzibę dostawca usług cloudowych, z których korzystają, w jakiej chmurze trzymają dane. Wszyscy jednogłośnie wskazali na USA.

Problem Europy i generalnie całego świata, z wyjątkiem Chin, polega na tym, że rynek rozwiązań chmurowych zdominowały amerykańskie mega korporacje. Europejski nadzór oficjalnie obawia się ryzyka koncentracji, że przy tak niewielkiej liczbie dostawców, pochodzących z jednego kraju, bezpieczeństwo zachowania ciągłości działalności bankowego biznesu jest wystawione na duże ryzyko. Nieoficjalnie cieniem na chmurowym biznesie kładzie się Cloud Act, przeforsowany przez prezydenta Donalda Trumpa, przyznający administracji USA prawo żądania wglądu w informacje, przechowywane na serwerach amerykańskich firm. Dostawcy chmurowych rozwiązań przekonują, że będą bronić dostępu serwerów położonych poza USA uzbrojeni w umowy międzynarodowe, ale od kiedy Biały Dom wprowadził cła na szynkę parmeńską, francuskie wina i niemieckie samochody, zaufanie do partnera po drugiej stronie Atlantyku stało się dość rzadką monetą. Rządy Francji i Niemiec prowadzą rozmowy z telekomami o utworzeniu europejskiej platformy chmurowej. Rozwiązanie w fazie proof of concept ma być ponoć gotowe do końca tego roku. Czy coś z tego wyjdzie? Trudno powiedzieć, gdyż nie jest to pierwsza próba podejmowana w tym zakresie.

Europejski nadzór ma jeszcze jedną obawę, związaną z przenoszeniem danych bankowych do chmury, mianowicie boi się powtórki scenariusza z ubiegłego roku, kiedy brytyjski bank TSB migrował do siebie systemy ze spółki matki – Lloyd’s Banku. Przenosiny zakończyły się katastrofalną porażką: miliony klientów straciło dostęp do rachunków, a TSB stracił głowę i pomieszał salda na różnych rachunkach klientowskich.

Problem ten raczej nie dotyczy polskiej branży bankowej, gdzie migracje milionów danych klientów były wiele razy ćwiczone w ramach fuzji i przejęć, do jakich dochodziło w ostatniej dekadzie.

Zalety i wady chmury

Opcja z przenoszeniem twardych danych o klientach na chwilę obecną nie wchodzi w grę, i jeszcze długo nie będzie mogła być zastosowana. Do chmury trafiają dane niezwiązane z klientami – na ogół, bo np. singapurski DBS, największy bank w kraju, przeniósł tam całe swoje zasoby. Generalnie jednak banki tylko niewielką część aktywności przenoszą do chmury. Według badań McKinseya, przeprowadzonych wspólnie z IBM, 80% pracy w bankach nadal wykonywana jest w klasycznym modelu on premise.

Przyczyny są różne, i niekoniecznie wynikają one z obaw przed regulatorem. Z rozmów z polskimi bankowcami wynika, że cloud computing jest obiecującym obszarem, jednak do właściwej oceny trzeba twardo chodzić po ziemi, a nie z głową w chmurach.

– W chmurze podoba mi się skalowalność, jaką daje potężna moc obliczeniowa. Do analizy milionów transakcji potrzebuję bardzo mocnej maszyny. W klasycznym modelu musiałbym przekonać ludzi w banku do kupna odpowiedniego serwera, który w pełni byłby wykorzystywany przez dwa miesiące. To oczywiście zadanie niewykonalne. Mając dostęp do chmury, wystarczy kliknięcie i faktura za usługę – mówi nam kolejny z rozmówców.

Problem w tym, że nie wszystkie dane można wrzucić w chmurę. W każdym razie w Europie chyba nikt się na to jeszcze nie zdecydował.

– Bezpieczeństwo twardych danych jest oczywiste. Informacje dotyczące klientów można szyfrować i to jest jakieś rozwiązanie w przypadku projektów typu proof of concept, jednorazowo można to zrobić, ale jeśli mam z niego korzystać w środowisku produkcyjnym banku, to sprawa już nie jest taka prosta – dodaje.

Problem polega chociażby na tym, że np. w przypadku transakcji można zaszyfrować dane nadawcy i odbiorcy, ale nie wiadomo, co jest między nimi, czyli jakie dane zawarte są w opisie transakcji. Nie sposób ocenić chociażby, czy nie zawierają one informacji wrażliwych.

– Odzywają się wszystkie demony RODO – mówi spec od IT.

Chmura ma wiele zalet w przypadku testowania rozwiązań opartych na informacjach niewymagających szyfrowania, choć, jak zauważają bankowcy, na razie nie należy przeceniać walorów cloud computingu w kontekście dostępu do innowacyjnych, przełomowych rozwiązań, np. asystentów głosowych czy AI, których funkcjonalności nie są jeszcze rozbudowane albo nie nadają się do pełnej implementacji w polskich warunkach. Krajowe banki wciąż korzystają też z renty przewagi technologicznej nad zagranicznymi odpowiednikami i wiele rozwiązań budują we własnym zakresie. Potencjał innowacyjności, z którego polski sektor słynął, jest już jednak na wyczerpaniu, gdyż ścisły reżim nadzorczy, koszty regulacyjne i obciążenia podatkowe hamują inwestycje w technologie i rozwój biznesu.

Fintechy ściągnęły chmurę

W kontekście dostępu do technologii chmurowych bankowców niepokoi zjawisko arbitrażu regulacyjnego w odniesieniu do uczestników rynku. Klient nie zna, nie wie i w ogóle nie jest zainteresowany niuansami prawnymi i nadzorczymi dotyczącymi zaplecza technologicznego dostawcy usług finansowych, z których korzysta. Dla niego liczy się front end, co skrzętnie wykorzystują instytucje finansowe niepodlegające tak ostremu reżimowi nadzorczemu jak banki, śmiało wchodząc w chmurę.

Od niedawna na Wyspach Brytyjskich działa Markus, mobilna emanacja banku Goldman Sachs. Utworzenie podmiotu całkowicie ulokowanego w chmurze zajęło jego budowniczym 11 miesięcy. W niespełna rok powstała w pełni funkcjonalna instytucja finansowa. W ciągu godziny od startu Markus pozyskał 600 razy więcej klientów, niż prognozował wcześniej, a założyciele banku wskazują, że obsłużenie tak dużego ruchu nie byłoby możliwe bez chmurowego zaplecza.

Inny brytyjski startup z branży ubezpieczeniowej, o wdzięcznej nazwie Darwin, chwali się, że stosuje strategię zarządzania „2 pizze„: zatrudnia tyle osób, do wykarmienia których wystarczą dwie duże margheritty. Może sobie pozwolić na niewielki zespół, bo całość biznesu ma w chmurze.

Można oczywiście powiedzieć, że są to przechwałki typowe dla fintechów, ale hitem wiosny 2019 r. w USA była informacja, że w I kwartale Venmo zaraportował 40 mln aktywnych klientów. Dla porównania Bank of America miał ich 37 mln, Wells Fargo 29,8 mln i tylko JPMorgan Chase okazał się lepszy – z 51 mln klientów.

Bankom coraz trudniej konkurować z fintechami, korzystającymi z nowoczesnych technologii, do jakich dostęp daje chmura, tymczasem mamy jeszcze bigtechy, których możliwości w zakresie tworzenia nowych rozwiązań technologicznych są daleko większe.

Wszystkie duże banki na świecie są na różnych etapach wdrożeń technologii chmurowych, i coraz częściej korzystają ze wsparcia regulatorów. Wydaje się, że polski sektor, który kiedyś był w awangardzie technologicznych zmian, przesunął się do  ariergardy. A przecież warto przypomnieć, że już kilka lat temu w ramach ZBP z powodzeniem został przeprowadzony projekt „Tezeusz„, w ramach którego do chmury trafiły dane jednego z banków.