Результатом реформы требований к идентификации личности в Индии стал грандиозный рост числа клиентов финансовых учреждений. Среди домохозяйств с низкими доходами и женщин – групп с наименьшими шансами получить доступ к банковским услугам при прежнем порядке – число пользователей финансовых услуг удваивалось каждый год с момента запуска карты Aadhaar. В 2015 году банковскими счетами пользовались более 358 миллионов индийских женщин (61 %), тогда как в 2014 году – 281 миллион (48 %). Это самый высокий показатель роста охвата женщин банковскими услугами среди восьми стран Южной Азии и Африки[66]. Чтобы расширить доступ к финансовым услугам, нужно или снизить требования к процедуре идентификации клиента, или создать новую систему удостоверения личности. Если население не водит автомобили и не путешествует, не стоит ждать, что требование предъявить водительские права или паспорт позволит сети отделений успешно привлекать новых клиентов. Такая модель гарантирует исключение части граждан из финансовой системы, что на собственном опыте ощущают 25 % домохозяйств США, не имеющие банковских счетов.

Однако в плане регулирования вопрос нужно поставить иначе: у кого сегодня наиболее развитые сервисы идентификации физических лиц? У кого есть всё необходимое для обеспечения роста финансовой доступности на протяжении следующих нескольких десятилетий? Скажем честно: не у банков.

Сегодня самый большой объем данных о личности пользователей – у Facebook, Apple, Tencent, Amazon, Alibaba/Alipay Uber, Snapchat и других платформ со значительной аудиторией. У них есть не только основная идентификационная информация, но часто и обширные сведения о поведении человека, его биометрические данные (например, из системы распознавания лиц) и прочее. Пожалуй, сегодня Facebook[67] знает о своих пользователях столько, сколько не знает большинство розничных банков во всем мире. И еще все эти платформы хранят данные в облачных системах.

Поскольку возможность оказывать услуги в реальном времени становится залогом конкурентоспособности, требование явиться в банк и предъявить удостоверение личности (которым значительная часть населения больше не пользуется) превращается в структурное препятствие для повышения доступности банковских услуг. Если регулятор предписывает лично пройти идентификацию в банке, предъявив водительские права или паспорт и поставив собственноручную подпись на документе, то это не решение, повышающее безопасность банкинга для клиентов, а часть проблемы, которая продолжает усугубляться. Идентификация посредством личного посещения банковского отделения и проставления подписи на бумажном документе – гарантированный проигрыш по сравнению с беспрепятственным подключением к услугам финтех-компаний, предлагающих альтернативные способы хранения средств на повсеместно доступных платформах из числа упомянутых выше.

Единственный способ для регулятора сохранить конкурентоспособность существующих участников рынка – отменить как требования к очной идентификации, так и ограничения на использование облачных сервисов. Вполне возможно, что к 2025 году большинство банков передадут задачу по установлению личности клиента специализированным посредникам, таким как Facebook или система карт Aadhaar. В будущем банкам будет просто незачем собирать и хранить идентификационные данные. Намного вероятнее, что банки станут сотрудничать с сервисами идентификации и запрашивать только тот объем информации, который позволит убедиться в правильном установлении личности нового клиента. Кстати, не стоит забывать, что технология распознавания лиц способна идентифицировать клиента в 15–20 раз точнее, чем сотрудник банка при личной встрече[68]. Отсюда следует, что личный визит в отделение для открытия счета в современных условиях – не только не самое безопасное, но и, пожалуй, самое рискованное из того, что в принципе может требовать банк.

Далее в главе про блокчейн я покажу, что регуляторам и банкам вскоре не придется беспокоиться ни о сборе данных о клиенте, ни о соблюдении требований процедуры «знай своего клиента».

Голова в облаках?

Еще один вызов для регуляторов – необходимость присоединиться к глобальному переходу на облачные вычисления. До недавних пор контролеры в США в штатном порядке требовали от банков выпускать физические объекты: например, обязательным элементом систем управления рисками в области информационных технологий были карточки-ключи для доступа в серверные помещения и оформленные в письменном виде планы противопожарной безопасности для защиты серверов. В отличие от банков, у финтех-компаний нет помещений для серверов. Все данные хранятся в облаке. Когда наша компания Moven впервые переносила технологии в Канаду, канадский регулятор потребовал, чтобы облачный сервис Amazon Web Services (AWS) сообщил, где находятся физические серверы, на которых хранятся обезличенные и токенизированные данные клиентов. Нечего и говорить, что в AWS не ответили на запрос.

Недовольство регуляторов по поводу облачных систем обычно обусловлено соображениями безопасности. Однако при грамотной реализации облачные системы типа AWS не менее, а гораздо более надежны – в основном потому, что их значительно проще защитить. IT-системы традиционных банков имеют множество слабых мест, потому что каждая точка доступа является потенциальной уязвимостью, а точек доступа – хоть отбавляй: многочисленные серверные; разношерстное программное обеспечение (часто в устаревших версиях); незащищенные каналы связи между системами с дефектами безопасности, из-за чего данные могут быть утеряны или украдены. Похитить данные могут как хакеры, так и многочисленные банковские сотрудники, которым нельзя закрыть доступ просто потому, что кто-то должен обслуживать все эти системы.

Еще важнее, что облачные провайдеры, такие как AWS или Microsoft Azure, развивались в суровой среде, в постоянной борьбе с хакерством, и их работу обеспечивают лучшие в мире специалисты по информационной безопасности. Со временем крупные облачные платформы обзавелись своего рода иммунной системой, благодаря которой они защищены не менее надежно, чем военные объекты[69], и далеко превосходят IT-системы банков по критериям безопасности и производительности.

В облачной системе данные хранятся онлайн, то есть им не грозит физическое уничтожение (например, в результате пожара) и их можно эффективно защитить. Регуляторам нужно сосредоточиться не на формате мер по обеспечению безопасности, а на их результативности. Если банк и регуляторы исправно тестируют средства защиты от несанкционированного доступа и проверяют безопасность среды, то не имеет значения, как именно обеспечивается безопасность, – главное, что клиентским данным ничто не угрожает.