管理云风险——金融领域关键云服务提供商监管的一些考虑因素

金融公司对云服务的使用正在增加，预计将继续增加。由于疫情后公司推进长期数字化转型和现代化计划，向云迁移的速度在近年来尤其加快。在金融公司中，已转移到云的“关键工作负载”似乎有显著增加，尽管这些工作负载仍然处于相对较低的水平。

金融公司使用云服务带来了好处和风险。云服务允许更容易地获取原本昂贵或需要很长时间才能建立和维护的基础设施和服务，从而降低金融服务的成本。大型云服务提供商（CSP）可以提供相对稳健的IT环境，这至少与单个金融公司在其场所创建的环境一样好。然而，云的采用也引入了新的风险，这些风险有可能影响金融公司的业务运营。这些风险包括对数据安全和隐私的威胁、系统可用性、业务连续性、互操作性、可审计性和遵守法律要求。

少数CSP的主导地位加剧了这些风险。三家公司在全球云市场占据主导地位，并且经常被不同司法管辖区的金融公司使用。此外，也可能存在区域或国内的重要CSP被金融公司使用。因此，许多金融公司的业务连续性可能受到任何CSP的网络安全攻击和中断的影响。这近年来已成为一个重大问题，正如最近全球CSP中断所证明的那样。如果金融公司的关键职能位于同一个CSP中，那么这种风险对监管机构来说就更加突出和令人担忧。

需要监管干预来解决云采用带来的风险。通常，控制责任在CSP和获取其服务的实体之间进行分配。使用云服务的金融公司有责任确保其向客户提供到云中的服务的可用性、弹性和安全性，而CSP则需要采取措施使整体环境具有弹性和安全性。然而，金融公司可能无法完全了解CSP采用的风险管理和控制措施。此外，虽然金融公司拥有确保其云工作负载的可用性和弹性的措施，例如采用多区域和多云方法，但这些措施可能导致成本增加、复杂性和资源需求增加，以设计和运营不同的云环境。因此，金融公司单独无法完全减轻云采用带来的风险。

在一些司法管辖区，CSP受到横向或跨部门监管。这可能包括要求注册或申请许可证以及满足信息通信技术（ICT）当局施加的其他要求。它们还包括网络安全当局发布的网络安全法规，这些法规涵盖广泛的行业。其他司法管辖区也有法律或法规在地方，对关键基础设施施加要求，包括数据存储和处理。

在金融部门，普遍的做法是对CSP进行间接监管，从系统角度来看，这种做法可能不够充分。这种方法主要依赖于金融公司来管理从获取第三方服务而产生的风险，并评估此类服务对其自身运营弹性的潜在影响。这种方法并没有真正解决金融公司在评估和解决上述CSP风险方面的局限性。此外，虽然这种方法可能潜在地解决单个公司面临的风险，但它可能不足以解决CSP的运营中断对金融体系潜在的系统性影响。因此，一些司法管辖区已经或计划对对金融体系运行至关重要的CSP采取更直接的监管方法。许多司法管辖区也对探索这种可能性表示兴趣。

本文为金融当局在为关键CSP引入直接监管框架时提供了一些考虑因素。首先，金融当局可以利用ICT和网络安全当局发布的现有横向法规。在已经实施国家关键基础设施法规或法律的地方，金融当局的直接监管干预应与此方法保持一致。其次，与相关的非金融当局进行密切协调非常重要，因为他们带来了相关的专业知识。在制定和执行针对CSP的相关要求方面，各当局之间的密切协调有助于确保监管要求和期望的一致性，以及在参与CSP时减少效率低下。更重要的是，这种密切协调应导致信息以及响应和恢复措施的有效和高效流动，以防关键CSP出现系统性运营中断。

金融当局的策略可能因其法律授权而有所不同。如果他们有直接监管CSP的法律授权，他们可以考虑在横向法规的基础上，针对关键CSP引入额外的要求，同时考虑到金融部门特有的问题。这些要求可能包括更高的风险管理或弹性标准，或更频繁和更密集的弹性测试和事件响应及恢复演习。为了避免道德风险（即金融公司将管理第三方风险的责任和问责制转移给金融当局），引入这些直接要求不应消除金融公司在间接监管方法下的义务。如果金融当局没有监管CSP的法律授权，并且在其司法管辖区内没有相关的横向当局，金融当局需要加强现有的间接监管方法。他们可以例如加强对使用关键CSP的金融公司的要求，并期望这些要求会反映在该公司与CSP的安排中。

对关键CSP的监管需要进行跨境安排。这尤其适用于CSP在多个司法管辖区被视为关键，并且没有对CSP在司法管辖区之外使用数据中心施加限制的情况。在这种情况下，CSP的运营中断可能会产生跨境影响。建立跨境监管安排也将确保关键CSP在各个司法管辖区内受到一致和标准的监管，并将避免不必要的监管工作重复。但第一步是确定可能在多个司法管辖区内被视为关键的CSP。在此，全球标准制定机构可以发挥作用。

跨境监管安排可以是非正式的或正式的。非正式安排是自愿组成的团体，它们共享信息或最佳实践。它们也可以用作进行临时联合弹性测试或演习的平台。正式安排可以采取针对特定CSP的集体跨境监管机构的形式。该机构的组织可以借鉴为具有跨境重要性的设施或监管学院而设立的制度。正式安排可以促进与非正式安排相同的活动，但前者能够制定具有预防性和纠正性的约束性措施。在任何情况下，与国家层面一样，这些安排的一个目标应该是确保在涉及CSP或CSP的跨境和系统性事件发生时，能够有效和高效地做出反应。

跨境监管安排可以从区域层面开始，允许采取更具体和更易于管理的方法，根据需要可以扩展。例如，可以针对每个CSP区域或服务多个司法管辖区的CSP区域组建立安排。然而，多个跨境安排不应导致对关键CSP提出不同的要求。因此，需要在全球范围内协调建立此类要求。此外，针对关键CSP的监管活动应在不同的跨境安排之间进行协调。