Chmura obliczeniowa – wyjaśnienia w formie Q&A od UKNF wypracowane na bazie współpracy m.in. z KZBS
Urząd Komisji Nadzoru Finansowego opublikował "Pytania i odpowiedzi" (Q&A) ws. wątpliwości związanych ze stosowaniem Komunikatu Urzędu Komisji Nadzoru Finansowego z 23 stycznia 2020 r. dotyczącego przetwarzania przez podmioty nadzorowane informacji w chmurze obliczeniowej publicznej lub hybrydowej. Dokument powstał w ramach prac Zespołu roboczego ds. rozwoju innowacji finansowych FinTech, w którym aktywnie uczestniczy przedstawiciel KZBS.
Podczas prac Zespołu ds. rozwoju innowacji finansowych FinTech, przedstawiciele rynku zgłosili szereg pytań dotyczących stosowania konkretnych wymogów Komunikatu. Po ich przedyskutowaniu przez Zespół UKNF opracował szczegółowe pytania i odpowiedzi wyjaśniające najważniejsze wątpliwości.
Poniżej publikujemy odpowiedź na jedno z pytań dotyczących przetwarzania informacji w chmurze obliczeniowej przez banki spółdzielcze.
Zakres i sposób stosowania Komunikatu w przypadku banków spółdzielczych.
Na każdym podmiocie nadzorowanym, zgodnie z definicją wskazaną w art. 1 ust. 2 pkt 1 -8 Ustawy o nadzorze, w tym na banku spółdzielczym, spoczywa obowiązek zapewnienia zgodności funkcjonowania z obowiązującym przepisami prawa w zakresie prowadzonej przez podmiot nadzorowany działalności. Każdy bank spółdzielczy jest odrębną osobą prawną, więc obowiązki administracyjno-prawne, co do zasady, powinien realizować samodzielnie.
Zatem każdy bank spółdzielczy ma obowiązek przygotowania wymaganego Załącznikiem Nr 1 Komunikatu zgłoszenia. Ponadto każdy bank spółdzielczy ma obwiązek zapewnienia zgodności korzystania z chmury obliczeniowej publicznej lub hybrydowej z Komunikatem w oparciu o model referencyjny, o którym mowa w III Komunikatu. Jak wskazano w VI.4.2 Komunikatu, podmiot nadzorowany, na podstawie wyników szacowania ryzyka, zarządza tym ryzykiem, uwzględniając w szczególności stopień złożoności organizacyjnej, podział uprawnień i odpowiedzialności podmiotu nadzorowanego, zawarte porozumienia, oraz analogiczne czynniki występujące w grupie kapitałowej lub organizacji grupowej, lub o charakterze stowarzyszenia, do których podmiot nadzorowany należy. Zatem każdy bank spółdzielczy ma obowiązek samodzielnego przeprowadzenia czynności wskazanych powyżej.
Dopuszczalna jest sytuacja, w której bank zrzeszający przygotowuje model służący do oceny ryzyka przez banki zrzeszone. Jednak to na konkretnym banku spółdzielczym spoczywa obowiązek oceny przygotowanego modelu oraz dostosowanie do specyfiki tego banku, a następnie samodzielnej oceny ryzyka przygotowanej przy pomocy modelu.
Serdecznie również zachęcamy do obejrzenia webinaru Supervision FinTech Talks, który był poświęcony problematyce stosowania chmury obliczeniowej w sektorze finansowym https://www.youtube.com/watch?v=Bl7wWoXvFjI&t=331s. Dyskusja odbyła się w gronie przedstawicieli rynku przy udziale ekspertów UKNF.