Branża ubezpieczeń obawia się nowych regulacji w sprawie chmury

Rynek rozwiązań chmurowych rośnie szybciej niż inne segmenty IT. Branżowe raporty pokazują, że wydatki firm i instytucji na ten cel będą rosły również w kolejnych latach, bo wiele z nich zapowiada, że będzie to jeden z priorytetów inwestycyjnych w obszarze technologicznym. W przypadku sektora finansowego, w tym również ubezpieczycieli, wdrażanie chmury nie jest tak proste jak w przypadku innych branż. Europejski nadzór proponuje kolejne, jeszcze bardziej restrykcyjne regulacje w tym zakresie. Ubezpieczyciele obawiają się, że będzie to oznaczać utratę ich konkurencyjności wobec innych podmiotów.

Ubezpieczenia przenoszą się do chmury

Raport IDC wskazuje, że wydatki na chmurę publiczną i prywatną w Polsce wyniosły w ubiegłym roku ponad 325 mln dolarów, o 26,6 proc. więcej niż w 207 roku. Był to jeden z najszybciej rosnących segmentów rynku IT. W tym roku również wydatki firm wzrosną. IDC szacuje, że dynamika wyniesie 16,8 proc., a średnioroczne tempo wzrostu do 2023 roku będzie tylko nieco niższe – 15,7 proc.

Jak wynika z ubiegłorocznego raportu „Cyfryzacja sektora ubezpieczeń w Polsce” Polskiej Izby Ubezpieczeń i Accenture, wykorzystanie mocy chmury jest jednym z filarów transformacji cyfrowej w branży. Temat ten wzbudza wiele dyskusji, a opinie wśród samych zainteresowanych wciąż są podzielone, głównie przez zróżnicowane podejście do regulacji Komisji Nadzoru Finansowego. Wytyczne nadzorcy powodują też, że wdrażanie chmury stanowi duże wyzwanie ze względu na określone wymogi prawne dotyczące przetwarzania danych osobowych oraz informacji stanowiących tajemnice chronione prawnie.

Niektórzy ubezpieczyciele uwzględniają chmurę w swoich strategiach na kolejne lata. Część z nich wykorzystuje technologię cloud computing m.in. w  procesach wspierających pocztę elektroniczną, systemy HR czy narzędzia CRM, ale też do wdrażania zupełnie nowych systemów i rozwiązań z obszaru IT.

– Chmura zmienia sektor finansowy na dwa sposoby. Po pierwsze, znacząco obniża koszty infrastruktury, które mają coraz większy udział w wydatkach instytucji finansowych. To bardzo istotna zmiana, ponieważ duże instytucje finansowe w środowisku niskich stóp procentowych mają ogromny problem z utrzymaniem zyskowności i poszukują wszelkich sposobów na obniżenie kosztów (…) Po drugie, chmura obniża bariery wejścia na rynek i dzięki temu wspomaga konkurencję oraz bodźcuje rozwój nowych modeli biznesowych. Można powiedzieć, że dziś chmura jest kluczową technologią, która pozwala na otwarcie rynku – podkreślono w raporcie „Przyszłość sektora finansowego. Ewolucje i rewolucje” firmy Spotdata i CFA Society Poland.

90 proc. badanych przez PIU i Accenture ubezpieczycieli wskazało, że chmura oznacza dla nich możliwość korzystania z różnych rodzajów cyfrowych usług typu „plug-and-play”, przy jednoczesnym spełnieniu wszystkich wymogów dotyczących bezpieczeństwa danych. Jako korzyść wymieniali także skalowalność wykorzystywanych zasobów w zależności od potrzeb oraz możliwość przechowywania dużych zasobów danych z różnych źródeł.

Co jest główną barierą inwestycji w chmurę? Ubezpieczyciele wskazują właśnie konieczność spełnienia wymogów regulatora odnośnie przechowywania i przetwarzania danych ubezpieczeniowych, szczególnie osobowych. Trudności wynikają z konieczności prawidłowego skonstruowania zapisów umowy z dostawcą chmury. Ze względu na te restrykcyjne wymagania nadzoru wielu ubezpieczycieli bierze pod uwagę rozwiązania chmury prywatnej zamiast publicznej (z założenia ogólnodostępnej dla innych użytkowników) czy hybrydowej (łączącej cechy chmury prywatnej i publicznej). Jednak dziś to chmura publiczna – ze względu na niskie koszty i dużą elastyczność – stanowi znaczącą większość rynku (92 proc.).

Jak na rynek wpłyną wytyczne EIOPA?

Projekt wytycznych EIOPA, czyli Europejskiego Urzędu Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych, znacząco rozszerza wymogi regulacyjne w zakresie korzystania z chmury, zaostrzając je do poziomu zbliżonego do tego w sektorze bankowym. Mają one obowiązywać na poziomie europejskim, a to oznacza, że prawdopodobnie zmianie ulegną wytyczne Komisji Nadzoru Finansowego z października 2017 roku.

Projekt, w ocenie ekspertów Polskiej Izby Ubezpieczeń, jest restrykcyjny dla sektora, co może zniechęcić do inwestycji w rozwiązania chmurowe. Proponowane wytyczne nakładają m.in. nowe obowiązki raportowe, w szczególności do wymogów Solvency II. Jak wyjaśniają eksperci Kancelarii Traple Konarski Podrecki i Wspólnicy, zgodnie z projektem, przed zawarciem umowy z dostawcą usługi przetwarzania danych w chmurze obliczeniowej zakład ubezpieczeń lub zakład reasekuracji zobowiązany będzie do oceny, czy w ramach umowy ma miejsce outsourcing istotny (…); zidentyfikowania i oceny wszystkich istotnych ryzyk związanych z zawarciem umowy oraz przeprowadzenia analizy kosztów i korzyści wynikających z zawarcia umowy, a także przeprowadzenia badaniadue diligencedostawcy usługi. Projekt wytycznych zawiera także szczegółowe wymogi wobec umów outsourcingu zawieranych z dostawcami.

Branża obawia się, że nowe regulacje przyczynią się do wzrostu kosztów usług chmurowych. Ze względu na wysokie wymagania co do chmury prawdopodobnie tylko duzi dostawcy będą w stanie im sprostać i oferować ją ubezpieczycielom. Wiąże się z tym ryzyko, że będą także mogli narzucać wyższe ceny.

Eksperci PIU proponują kilka sposobów, by pogodzić wymogi regulacyjne ciążące na ubezpieczycielach z dostępem do usług chmurowych. Tego typu rozwiązania stosowane są już w niektórych krajach europejskich.

– Przede wszystkim należy wyeliminować narzucony zakładom obowiązek zbierania i raportowania tych samych informacji od dostawców. Taki powtarzalny katalog informacji dla relacji „dostawca – klient” powinien być publicznie dostępny dla klientów i nadzoru, np. na stronie internetowej dostawcy. Ich każdorazowe zbieranie będzie wówczas niepotrzebne – podkreśla Mariusz Kuna, ekspert PIU. – Kolejną propozycją jest odejście od modelu, w którym klient, czyli zakład, odpowiada za analizę i pełną ocenę dostawcy. To tak jakby kupujący samochód miał skontrolować fabrykę i dokonać homologacji pojazdu.

Branża proponuje, by taką oceną zajmował się autoryzowany podmiot – na poziomie krajowym lub europejskim – który odpowiadałby za nadzór i certyfikowanie dostawców chmury. Posiadany certyfikat świadczyłby o poziomie bezpieczeństwa i jakości usług oferowanych przez danego dostawcę.