Big Tech под надзором: как облака стали риском для банков
Британия признала облака Microsoft, Google, Amazon и Oracle критически важными для банков. Что такое critical third parties и почему Big Tech теперь попадает под финансовый надзор.
Великобритания впервые поставила крупнейших облачных провайдеров под прямой надзор финансовых регуляторов. Microsoft, Google, Amazon и Oracle признаны critical third parties — критически важными третьими сторонами для финансового сектора. Это означает, что власти теперь рассматривают облачные сервисы Big Tech не просто как IT-подрядчиков банков, а как часть инфраструктуры, от которой зависит устойчивость финансовой системы.
С 13 июля 2026 года Банк Англии, Prudential Regulation Authority и Financial Conduct Authority начнут совместно надзирать за четырьмя облачными и технологическими провайдерами: Microsoft Ireland Operations Limited, Google Cloud EMEA Limited, Amazon Web Services EMEA SARL и Oracle Corporation UK Limited. Решение о присвоении им статуса critical third parties приняло британское Минфинансов.
Главный вопрос теперь не в том, могут ли банки пользоваться облаками. Могут и уже пользуются. Вопрос в другом: что произойдет, если сбой, кибератака или отказ инфраструктуры у одного из крупных провайдеров одновременно затронет сразу много банков, страховщиков, биржевых площадок и платежных сервисов.
Что произошло в Британии
Британское правительство признало четыре компании critical third parties — критически важными третьими сторонами для финансового сектора. Под это определение попадают технологические и другие поставщики услуг, чьи сервисы поддерживают работу британской финансовой системы.
В список вошли не сами банки и не финансовые компании, а поставщики инфраструктуры: Amazon Web Services, Google Cloud, Microsoft и Oracle. Их облачные сервисы используют многие участники финансового рынка, поэтому сбой у одного поставщика может затронуть сразу несколько компаний или рынков. Банк Англии прямо указывает, что такая ситуация может повлиять на финансовую стабильность и услуги, которыми пользуются миллионы людей и бизнесов.
Новый режим не означает, что британские регуляторы теперь контролируют весь бизнес Microsoft, Google, Amazon или Oracle. Надзор касается только критических сервисов, которые эти компании предоставляют финансовому сектору Великобритании. Минфинансов отдельно подчеркивает: регулирование не распространяется на всю деятельность компаний в целом.
Почему банки вообще зависят от облаков
Для обычного пользователя «облако» часто звучит как место для хранения файлов. Для финансового сектора это гораздо больше: инфраструктура для обработки данных, поддержки клиентских приложений, внутренних систем, аналитики, кибербезопасности и цифровых сервисов.
Банки, страховщики и финансовые инфраструктуры переходят на облачные сервисы, потому что это быстрее, гибче и часто дешевле, чем строить все собственными силами. Облако позволяет масштабировать системы, запускать новые продукты, хранить и обрабатывать большие массивы данных.
Но у этой эффективности есть обратная сторона. Если один и тот же облачный провайдер обслуживает тысячи финансовых компаний, его устойчивость становится вопросом не только частного контракта, но и системной безопасности.
«Когда одни и те же поставщики обслуживают тысячи компаний, один сбой может отозваться по всей финансовой системе», — заявил глава FCA Нихил Ратхи.
Что такое critical third party
Critical third party — это не банк, не биржа и не платежная система, но поставщик, без которого важные финансовые услуги могут перестать работать. В случае с Big Tech речь идет прежде всего об облачной инфраструктуре.
Британская рамка для critical third parties была создана через Financial Services and Markets Act 2023. Она дала Минфину право назначать таких поставщиков, а финансовым регуляторам — полномочия устанавливать правила, собирать информацию и применять меры надзора в отношении услуг, которые эти поставщики оказывают регулируемым финансовым компаниям и финансовым инфраструктурам.
Идея режима проста: если сбой у подрядчика может одновременно ударить по множеству банков и рынков, такого подрядчика нельзя оставлять только в зоне частных договоров. Его устойчивость становится вопросом финансовой стабильности.
«По мере того как критически важные третьи стороны все глубже встраиваются в работу финансовых институтов, они могут создавать новые формы системного риска», — заявила Сара Бриден.
Почему это системный риск
Главный страх регуляторов — эффект единой точки отказа. Если один банк зависит от одного IT-подрядчика, это операционный риск конкретного банка. Но если десятки или сотни финансовых компаний зависят от одного и того же облачного провайдера, сбой может стать общей проблемой рынка.
Банк Англии прямо пишет, что отказ или нарушение работы таких третьих сторон может действовать как single point of failure — единая точка отказа, одновременно затрагивающая несколько компаний и финансовых инфраструктур. В некоторых случаях это может угрожать финансовой стабильности Великобритании.
Речь не обязательно о полном «падении интернета». Для финансового сектора критичны и более узкие сбои: недоступность отдельных сервисов, проблемы с обработкой данных, кибератаки, ошибки обновлений, перебои в дата-центрах или задержки восстановления после инцидента. Даже временный сбой может быть чувствительным, если он затрагивает платежи, онлайн-банкинг, страховые операции или рыночную инфраструктуру.
Что меняется для Microsoft, Google, Amazon и Oracle
После designation компании попадают под прямой надзор трех британских регуляторов: Банка Англии, PRA и FCA. Они должны будут показывать, как управляют рисками своих критических сервисов, как готовятся к сбоям и как будут взаимодействовать с регуляторами и финансовыми компаниями во время крупных инцидентов.
Минфинансов указывает, что новый режим позволит регуляторам собирать информацию, оценивать устойчивость, работать с поставщиками над снижением рисков и, если потребуется, применять специальные правила для critical third parties.
Это не превращает Big Tech в банки. Но переводит их в новую категорию: они остаются технологическими компаниями, однако их инфраструктура становится настолько важной для финансового сектора, что государство начинает надзирать за ней напрямую.
«Мы обеспечиваем, чтобы инфраструктура, лежащая в основе финансовых услуг Великобритании, была достаточно устойчивой», — заявила глава PRA Кэтрин Брэддик.
Что это значит для самих банков
Банки не освобождаются от ответственности за свои IT-риски. Банк Англии отдельно подчеркивает: новый режим дополняет, но не заменяет существующие правила по аутсорсингу и операционной устойчивости. Финансовые компании по-прежнему сами отвечают за due diligence, управление рисками, планы на случай сбоев и контроль своих подрядчиков.
Иными словами, банк не может сказать регулятору: «это не наша проблема, это сбой у облачного провайдера». Ответственность перед клиентами и рынком остается у финансовой компании.
Но теперь регуляторы получают дополнительный уровень контроля. Они смогут смотреть не только на то, как банк управляет подрядчиком, но и на то, насколько сам критический поставщик готов к сбоям, кибератакам и другим нарушениям.
Почему это важно не только для Британии
Британское решение вписывается в более широкий тренд. Финансовые регуляторы в разных странах начинают признавать, что цифровая инфраструктура становится частью финансовой стабильности.
В ЕС похожая логика заложена в Digital Operational Resilience Act, DORA. Банк Англии также указывает, что critical third parties могут подпадать под похожие режимы в других юрисдикциях, включая европейский DORA, а британские и европейские регуляторы уже подписали меморандум о сотрудничестве по надзору за такими поставщиками.
Это важный сдвиг. Раньше финансовый надзор в первую очередь смотрел на банки, страховщиков, биржи и платежные системы. Теперь в поле зрения попадают технологические компании, без которых эти институты не могут нормально работать.
Почему Big Tech становится новой инфраструктурой
Исторически инфраструктурой финансового рынка считались платежные системы, клиринговые центры, биржи, депозитарии и расчетные механизмы. Они напрямую связаны с движением денег и ценных бумаг.
Но цифровизация изменила эту картину. Если онлайн-банк, платежное приложение, система управления рисками или часть внутренней аналитики работают на внешней облачной платформе, то стабильность этой платформы становится частью финансовой устойчивости.
Именно поэтому облака Big Tech уже нельзя воспринимать как обычную «аренду серверов». Для банков это среда, в которой живут критические процессы. Для регуляторов — концентрация риска у нескольких частных глобальных компаний.
Что это значит для клиентов банков
Для клиентов банков это не означает немедленных изменений: счета, карты и приложения не должны измениться из-за самого факта нового статуса Microsoft, Google, Amazon и Oracle.
Но смысл решения именно в защите клиентов. Регуляторы хотят снизить риск ситуации, при которой сбой у одного поставщика одновременно нарушит работу многих финансовых сервисов. Минфинансов прямо объясняет новый режим защитой онлайн-сервисов, которыми ежедневно пользуются миллионы людей и компаний.
Проще говоря, государство пытается заранее закрыть уязвимость, которая стала очевидной после перехода банков в облака: если цифровая инфраструктура стала общей для многих игроков, ее устойчивость должна проверяться не только самими компаниями, но и финансовыми регуляторами.
Big Tech становится не только поставщиком облачных сервисов для банков, но и частью финансовой инфраструктуры, за которой начинают следить регуляторы.
Британия не запрещает банкам пользоваться облаками и не объявляет Big Tech угрозой. Она признает другое: облачные сервисы стали настолько важными для финансового сектора, что сбой у одного крупного провайдера может иметь последствия для всей системы.
Поэтому Microsoft, Google, Amazon и Oracle теперь рассматриваются не просто как подрядчики, а как часть критической финансовой инфраструктуры. Это новый этап в отношениях государства и Big Tech: технологические компании все чаще становятся не только источником инноваций, но и объектом системного надзора.