लन्डन । बेलायतको वित्तीय प्रणालीलाई थप सुरक्षित, भरपर्दो र स्थिर बनाउने उद्देश्यका साथ Bank of England, Prudential Regulation Authority (PRA) र Financial Conduct Authority (FCA) ले आगामी जुलाई १३, २०२६ देखि वित्तीय क्षेत्रलाई अत्यावश्यक प्रविधि सेवा उपलब्ध गराउने चार प्रमुख क्लाउड तथा प्रविधि कम्पनीमाथि संयुक्त नियामकीय निगरानी सुरु गर्ने भएका छन्।

बेलायती अर्थ मन्त्रालय ले Amazon Web Services (AWS) EMEA SARL, Google Cloud EMEA Limited, Microsoft Ireland Operations Ltd र Oracle Corporation UK Limited लाई पहिलो चरणमा Critical Third Parties (CTPs) अर्थात् ‘वित्तीय प्रणालीका लागि अत्यावश्यक तेस्रो-पक्ष सेवा प्रदायक’ का रूपमा औपचारिक रूपमा तोकेको हो।

यी कम्पनीहरूले बेलायतका बैंक, बीमा कम्पनी, भुक्तानी सेवा प्रदायक तथा अन्य वित्तीय संस्थालाई क्लाउड कम्प्युटिङ, डेटा भण्डारण, डिजिटल पूर्वाधार र प्रविधि सेवा उपलब्ध गराउँदै आएका छन्। यस्ता सेवा प्रदायकमा समस्या आएमा एउटै समयमा धेरै बैंक तथा वित्तीय संस्था प्रभावित हुन सक्ने भएकाले त्यसले वित्तीय स्थायित्वमा समेत असर पार्न सक्ने जोखिम नियामकहरूले औंल्याएका छन्।

प्रणालीगत जोखिम घटाउने उद्देश्य

नयाँ व्यवस्थाअनुसार पहिलो पटक तीनवटै वित्तीय नियामकले संयुक्त रूपमा यी कम्पनीहरूको निगरानी गर्नेछन्। निगरानीको मुख्य उद्देश्य बैंकिङ क्षेत्रमा उनीहरूले उपलब्ध गराइरहेका अत्यावश्यक सेवाको Operational Resilience (सञ्चालनगत लचकता) सुनिश्चित गर्नु हो। नियामकहरूले क्लाउड सेवा प्रदायकसँग मिलेर प्रणालीगत जोखिम (Systemic Risk) पहिचान गर्ने, सेवा अवरुद्ध हुने सम्भावना कम गर्ने, आकस्मिक घटनाको व्यवस्थापन सुधार गर्ने तथा वित्तीय प्रणालीभरि असर फैलिन नदिने उपायहरू कार्यान्वयन गर्नेछन्। यसले वित्तीय क्षेत्रमा सूचना आदान–प्रदान, समन्वय र संकट व्यवस्थापनलाई अझ प्रभावकारी बनाउने विश्वास गरिएको छ।

क्लाउड कम्पनीको जिम्मेवारी बढ्यो

नयाँ व्यवस्थाअनुसार CTP घोषणा गरिएका कम्पनीहरूले आफ्ना अत्यावश्यक सेवासँग सम्बन्धित जोखिम समयमै पहिचान गरी प्रभावकारी रूपमा व्यवस्थापन गर्नुपर्नेछ। साथै, कुनै ठूलो प्राविधिक समस्या, साइबर आक्रमण वा सेवा अवरोध भएमा नियामक तथा आफ्ना ग्राहक वित्तीय संस्थासँग तुरुन्त र पारदर्शी रूपमा जानकारी साझा गर्नुपर्नेछ। यसबाट बैंकहरूलाई सेवा निरन्तरता (Business Continuity) कायम राख्न सहयोग पुग्ने अपेक्षा गरिएको छ।

बैंकको जिम्मेवारी भने यथावत

यद्यपि, नयाँ निगरानी व्यवस्थाले बैंक तथा वित्तीय संस्थाको जिम्मेवारी भने हटाएको छैन। बैंकहरूले आफ्ना तेस्रो-पक्ष सेवा प्रदायकको छनोट, जोखिम मूल्यांकन (Due Diligence), आकस्मिक योजना (Contingency Planning) र जोखिम व्यवस्थापन आफैंले निरन्तर गर्नुपर्नेछ। अर्थात्, क्लाउड कम्पनीमाथिको नियामकीय निगरानी बैंकहरूको विद्यमान Outsourcing तथा Operational Resilience सम्बन्धी नियमको पूरक हुनेछ, विकल्प होइन।

Bank of England की वित्तीय स्थायित्वसम्बन्धी उप-गभर्नर Sarah Breeden ले बैंकहरूको सञ्चालनमा क्लाउड सेवा प्रदायकको भूमिका दिनप्रतिदिन बढ्दै गएकाले त्यसबाट नयाँ प्रकारका प्रणालीगत जोखिम उत्पन्न हुन सक्ने बताइन्। उनका अनुसार सन्तुलित नियामकीय निगरानीले ती जोखिमलाई व्यवस्थापन गर्दै वित्तीय स्थायित्व संरक्षण गर्न सहयोग पुर्‍याउनेछ।

त्यस्तै, PRA की प्रमुख कार्यकारी तथा उप-गभर्नर Katharine Braddick ले वित्तीय सेवाको आधारभूत प्रविधि पूर्वाधारलाई बलियो बनाउनु सुरक्षित र सुदृढ बैंकिङ प्रणालीका लागि आवश्यक रहेको बताइन्। उनका अनुसार नयाँ व्यवस्था PRA को सुरक्षित र सुदृढ वित्तीय संस्था प्रवर्द्धन गर्ने उद्देश्यसँग प्रत्यक्ष रूपमा सम्बन्धित छ।

FCA का प्रमुख कार्यकारी Nikhil Rathi ले क्लाउड सेवा प्रदायकहरूले नवप्रवर्तन (Innovation) र आर्थिक वृद्धिलाई सहयोग गरे पनि एउटै कम्पनीमा हजारौं वित्तीय संस्था निर्भर हुँदा एउटा ठूलो प्राविधिक समस्या सम्पूर्ण वित्तीय प्रणालीमा फैलिन सक्ने जोखिम रहने बताए। उनका अनुसार नयाँ निगरानी व्यवस्थाले त्यस्ता जोखिम न्यूनीकरण गर्दै बेलायतलाई सुरक्षित तथा आकर्षक वित्तीय केन्द्रका रूपमा कायम राख्न मद्दत गर्नेछ।

भविष्यमा थप कम्पनी पनि समेटिने

बेलायती अर्थ मन्त्रालय ले भविष्यमा आवश्यकताअनुसार अन्य प्रविधि सेवा प्रदायकलाई पनि Critical Third Parties का रूपमा घोषणा गर्न सक्ने जनाएको छ। साथै, हाल तोकिएका कम्पनीहरूले आवश्यक मापदण्ड पूरा गरिरहेका छन् वा छैनन् भन्ने विषयमा नियामकहरूले नियमित समीक्षा गरी सरकारलाई सिफारिस गर्नेछन्।

यो व्यवस्था बेलायतको Financial Services and Markets Act अन्तर्गत लागू गरिएको हो। यसले क्लाउड सेवा प्रदायकलाई बैंक वा वित्तीय संस्थाजस्तै इजाजतपत्र दिने व्यवस्था भने होइन। नियामकको अधिकार उनीहरूले वित्तीय संस्थालाई उपलब्ध गराउने अत्यावश्यक सेवाको सञ्चालनगत लचकता (Operational Resilience) सम्म मात्र सीमित रहनेछ।

विशेषज्ञहरूका अनुसार डिजिटल बैंकिङ, कृत्रिम बुद्धिमत्ता (AI) र क्लाउड कम्प्युटिङमाथिको निर्भरता तीव्र रूपमा बढिरहेका बेला बेलायतको यो कदम विश्वव्यापी वित्तीय नियमनको नयाँ दिशाका रूपमा हेरिएको छ। युरोपेली संघले पनि Digital Operational Resilience Act (DORA) मार्फत यस्तै ढाँचामा महत्वपूर्ण प्रविधि सेवा प्रदायकको निगरानी गरिरहेको छ।

नेपालको अवस्था

१. Cyber Resilience Guidelines, 2023

नेपाल राष्ट्र बैंकले २०२३ मा Cyber Resilience Guidelines जारी गरी बैंक तथा वित्तीय संस्था, भुक्तानी सेवा प्रदायक (PSP) र भुक्तानी प्रणाली सञ्चालक (PSO) लाई साइबर जोखिम व्यवस्थापन, घटना प्रतिकार (Incident Response), Business Continuity Plan (BCP) र Disaster Recovery (DR) सम्बन्धी मापदण्ड लागू गरेको छ।

नेपालले के सिक्न सक्छ?

• बैंकको मात्र होइन, बैंकलाई सेवा दिने महत्वपूर्ण प्रविधि कम्पनीको जोखिम पनि वित्तीय स्थायित्वसँग जोडिएको हुन्छ।
• एउटै प्रविधि सेवा प्रदायकमा धेरै बैंक निर्भर हुँदा Concentration Risk बढ्न सक्छ।
• बैंकहरूले Third-Party Risk Assessment, Business Continuity Plan (BCP) र Disaster Recovery (DR) परीक्षण नियमित रूपमा गर्न आवश्यक हुन्छ।
• नेपाल राष्ट्र बैंकले भविष्यमा Critical Third Party Risk सम्बन्धी छुट्टै नियामकीय मापदण्ड विकास गर्ने विषयमा अध्ययन गर्न सक्ने आधार देखाएको छ।

सम्बन्धित समाचार

युरोपेली वित्तीय प्रणालीमा 'प्राइभेट क्रेडिट' नयाँ जोखिम बन्दै

युरोपेली केन्द्रीय बैंकको AI जोखिम चेतावनी : साइबर सुरक्षामा थप लगानी बढाउन निर्देशन