البنية10 دقائق قراءة

السيادة المالية تتطلب بنية تحتية ذات سيادة: لماذا يحتاج التكنولوجيا المالية الأوروبية إلى بنوك مركزية مبنية في أوروبا

السيادة المالية تتطلب الاستقلال على مستوى البنية التحتية. دفتر حسابات مستضاف على بنية تحتية سحابية أمريكية، يوجه المدفوعات عبر شبكات تسيطر عليها الولايات المتحدة، يحكمه رأس مال تقوده الولايات المتحدة، ليس ذا سيادة بغض النظر عن مكان تسجيل البنك.

الاعتماد قابل للقياس. 63% من البنية التحتية السحابية الأوروبية تعمل على مزودين تسيطر عليهم الولايات المتحدة. أكثر من 90% من معاملات البطاقات الأوروبية تُوجه عبر فيزا وماستركارد. كل جولة تمويل بقيمة مليار يورو أو أكثر في التكنولوجيا المالية الأوروبية في 2025 قادها مستثمرون أمريكيون. سيتلاشى 9 مليارات يورو من التمويل السنوي إذا انسحب رأس المال الأمريكي من التكنولوجيا المالية الأوروبية. إن تبعية البنية التحتية وتبعية رأس المال ليست مشكلتين منفصلتين. إنهما يتفاقمان. الموردون الممولون برأس مال أمريكي خاضعون للضغط التنظيمي الأمريكي، وضوابط التصدير الأمريكية، وولاية المحاكم الأمريكية، بغض النظر عن مكان وجود خوادمهم.

يحول قانون التشغيل الرقمي (DORA) هذا من تفضيل جيوسياسي إلى متطلب تنظيمي.

الطبقات الثلاث للاعتماد

تواجه المؤسسات المالية الأوروبية تبعيات بنيوية على ثلاث مستويات منفصلة. كل مستوى له آثار قانونية مختلفة، وتعرضات مختلفة لقانون DORA، وجداول زمنية مختلفة للإصلاح.

المستوى الأول: البنية التحتية السحابية. توفر خدمات أمازون ويب (AWS) وآزور وجوجل كلاود معظم البنية التحتية الحاسوبية والتخزين والشبكات للمؤسسات المالية الأوروبية. يدير هؤلاء المزودون مراكز بيانات في أوروبا، لكن الشركات الأم هي شركات أمريكية تخضع للولاية القضائية الأمريكية. يسمح قانون السحابة (CLOUD Act) لعام 2018 لأجهزة إنفاذ القانون الأمريكية بإجبار مزودي الخدمات السحابية الأمريكيين على الكشف عن البيانات المخزنة في أي مكان في العالم، بما في ذلك مراكز البيانات الأوروبية، دون الحاجة إلى إجراءات قانونية أوروبية. إن إقامة البيانات في فرانكفورت لا تخلق سيادة للبيانات إذا كان بإمكان الشركة الأمريكية للمزود أن تُجبر على تسليمها.

المادة 28 من قانون DORA تتطلب من الكيانات المالية تقييم ورصد مخاطر مزودي تكنولوجيا المعلومات والاتصالات التابعين لأطراف ثالثة، بما في ذلك مخاطر التركيز. تتطلب المادة 30 اتفاقيات تعاقدية مكتوبة مع مزودي تكنولوجيا المعلومات والاتصالات تشمل حقوق التدقيق، ومتطلبات موقع البيانات، وأحكام استراتيجية الخروج، وحق إجراء اختبارات الاختراق. بالنسبة لمزودي الخدمات السحابية الأمريكيين، فإن حق التدقيق حقيقي، لكن ما تجده المؤسسة الأوروبية عند التدقيق قد يكون نظامًا لا يمكنها تعديله، أو الهجرة بعيدًا عنه بسرعة، أو تقييمه بالكامل لأن البنية الداخلية للمزود ملكية خاصة.

المستوى الثاني: شبكات الدفع. تُعالج فيزا وماستركارد أكثر من 90% من معاملات البطاقات في أوروبا. كلاهما شركتان أمريكيتان. سويفت، التي توجه الرسائل بين البنوك، مقرها بلجيكا ولكنها تحكمها هيئة إدارة يشارك فيها أعضاء أمريكيون بشكل كبير، وقد كانت عرضة تاريخيًا للضغط الحكومي الأمريكي. في عام 2012، أجبرت وزارة الخزانة الأمريكية سويفت على قطع إيران من شبكتها، مما أثر على قدرة البنوك الأوروبية على معالجة المعاملات المشروعة مع نظائرها الإيرانيين.

توفر منطقة المدفوعات باليورو (SEPA) بنية تحتية يديرها الأوروبيون لتحويلات الائتمان والخصومات المباشرة. يدير البنك المركزي الأوروبي نظام TARGET2 (وخليفته T2) للمدفوعات الأوروبية عالية القيمة باليورو. لكن المدفوعات بالبطاقة، التي تمثل معظم حجم معاملات المستهلكين، ليس لها بديل يديره الأوروبيون بأحجام مماثلة. تبني مبادرة المدفوعات الأوروبية (EPI) نظام ويرو كبديل للدفع بالبطاقة، لكنه يغطي جزءًا فقط من حجم فيزا/ماستركارد الحالي في منتصف عام 2026.

المستوى الثالث: رأس المال والحوكمة. الموردون خاضعون لأولويات حوكمة مزودي رؤوس أموالهم. ستتعرض شركة ناشئة في مجال التكنولوجيا المالية الأوروبية ممولة بشكل أساسي من رأس مال المخاطر الأمريكي للضغط لتوسيع نطاقها في الأسواق الأمريكية، واعتماد إعدادات البنية التحتية الأمريكية الافتراضية، وقبول شروط العقود القياسية الأمريكية، بما في ذلك شروط البيانات التي قد تتعارض مع اللائحة العامة لحماية البيانات (GDPR) وقانون DORA.

يوثّق تقرير فينتش كابيتال "حالة التكنولوجيا المالية الأوروبية 2026" فجوة رأس المال: يمكن إطلاق 37.5 مليار يورو سنويًا إذا قامت صناديق التقاعد الأوروبية بمطابقة معدلات تخصيص التكنولوجيا المالية لنظرائها الأمريكيين. هذه الفجوة غير مغطاة. والنتيجة هي استمرار هيمنة رأس المال بقيادة أمريكية في مرحلة النمو، مما يترجم إلى حوكمة موجهة نحو الولايات المتحدة في الشركات التي تبني البنية التحتية المالية الأوروبية.

ما تعنيه البنية التحتية ذات السيادة من الناحية التقنية

السيادة ليست شهادة أو علمًا على مركز بيانات. على مستوى البنية التحتية، فإنها تتطلب أربع خصائص محددة.

إقامة البيانات مع السيطرة الولائية. يجب تخزين البيانات داخل الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية تحت كيان قانوني يخضع حصريًا للولاية القضائية للاتحاد الأوروبي. هذا يعني أن الشركة الأم للمزود السحابي، وليس الفرع التشغيلي فقط، يجب أن تكون ملزمة بمتطلبات حماية البيانات في الاتحاد الأوروبي. تحاول السحابة السيادية الألمانية (التي تديرها شركة تي سيستمز وSAP على بنية Azure) تحقيق ذلك من خلال نموذج لا يتمكن فيه مايكروسوفت من الوصول إلى البيانات دون موافقة الوصي الألماني. عروض السحابة السيادية للاتحاد الأوروبي من AWS وجوجل مماثلة من الناحية المعمارية. يوفر كل نموذج سيادة جزئية: تقنية من أصل أمريكي مع طبقة حوكمة أوروبية.

الوصول إلى التدقيق دون رقابة المورد. تتطلب المادة 30(2)(د) من قانون DORA أن تتمكن الكيانات المالية من تدقيق مزود تكنولوجيا المعلومات والاتصالات الخاص بها، إما مباشرة أو من خلال طرف ثالث. بالنسبة للبنية التحتية الصندوقية الأسود حيث تكون الشفرة المصدرية وسلسلة التبعيات والسلوك أثناء التشغيل ملكية خاصة، فإن هذا الحق في التدقيق رمزي. يمكن للمدقق التحقق من أن النظام ينتج المخرجات المتوقعة؛ ولا يمكنه التحقق من كيفية حدوث ذلك. يمكن تدقيق النظام ذي الشفرة المصدرية المنشورة وسلسلة التبعيات الموثقة والسلوك الحتمي بالكامل. الحق في التدقيق جوهري، لا رمزي.

شفافية سلسلة التوريد. تتطلب المادة 9 من قانون DORA تقييم مخاطر سلسلة التوريد. بالنسبة لنظام البنوك المركزية، تشمل سلسلة التوريد كل مكتبة يعتمد عليها النظام، وكل خدمة خارجية يستدعيها، وكل معالج للبيانات يوجه البيانات عبره. لا يمكن تدقيق النظام ذي التبعيات المتعدية البالغة 5000 في أي معنى مفيد: مخطط التبعية كبير جدًا للتفكير فيه. يمكن تدقيق النظام ذي التبعيات المتعدية البالغة 30 في جوهره المالي.

استراتيجية خروج بتكلفة هجرة محدودة. تتطلب المادة 28(7) من قانون DORA إدارة مخاطر التركيز، بما في ذلك القدرة على الانسحاب من مزود ICT حاسم دون اضطراب تشغيلي لا يمكن قبوله. بالنسبة لنظام البنوك المركزية المبني على مجموعة مورد مملوكة (واجهات برمجة تطبيقات مخصصة، وتنسيقات بيانات مملوكة، وأدوات خاصة بالمورد)، يتم قياس تكلفة الخروج بالسنوات وعشرات الملايين من اليورو. بالنسبة لنظام يحتوي على واجهات قياسية (ISO 20022، واجهات برمجة تطبيقات مفتوحة)، وتنسيقات بيانات مفتوحة، ونماذج نشر محمولة، فإن تكلفة الخروج محدودة.

أحكام مخاطر التركيز في قانون DORA

تتناول المادة 28(5) من قانون DORA على وجه التحديد مخاطر التركيز في تبعيات مزودي تكنولوجيا المعلومات والاتصالات التابعين لأطراف ثالثة. لدى السلطات الإشرافية الأوروبية سلطة تعيين مزودي خدمات ICT التابعين لأطراف ثالثة حاسمين (CTPPs) وفرض متطلبات إشرافية إضافية، بما في ذلك اختبارات المرونة، وتخطيط الخروج، والإبلاغ التشغيلي.

بالنسبة للمؤسسات المالية الأوروبية، يحتوي تحليل مخاطر التركيز على بُعدين. أولاً، ما إذا كان أي مزود ICT فردي يمثل تبعية منهجية: إذا فشل هذا المزود أو أصبح غير متاح، هل تفشل المؤسسة أيضًا؟ ثانيًا، ما إذا كان القطاع المالي في الاتحاد الأوروبي ككل يعاني من تركيز مفرط في أي مزود فردي أو فئة مزود.

نشرت السلطات الأوروبية الإشرافية تحليلها الأول لـ CTPP في عام 2025 ووجدت تركيزًا كبيرًا في السحابة وتكنولوجيا البنوك المركزية. الرد التنظيمي ليس إلزام تبديل المورد، بل يتطلب أن تكون المؤسسات قادرة على إثبات أنها قيّمت المخاطر ولديها استراتيجيات خروج معقولة. المؤسسة التي لا تستطيع صياغة مسار هجرة إلى مزود بنوك مركزية آخر لأن بنية المورد الحالي غير متوافقة مع أي بديل لديها مخاطر تركيز يتطلب قانون DORA توثيقه ومعالجته.

حجة البنية المعمارية الشفافة

لا يدور حج السيادة بشكل أساسي حول مكان وجود البنية التحتية. بل يدور حول ما إذا كانت البنية التحتية قابلة للتدقيق بالكامل، وتعمل بشكل مستقل، ويمكن ترحيلها بعيدًا عنها في إطار زمني محدد.

النظام المصرفي المركزي المبني في أوروبا، والذي يعمل على مزودي خدمات سحابية أوروبيين، مع شفرة مصدرية مملوكة ومعتمة، يوفر ضمانات سيادية أضعف من نظام مبني في أي مكان ببنية معمارية منشورة، وواجهات موثقة، وتبعيات خارجية قليلة، وتنسيقات بيانات قياسية. الولاية القضائية للتأسيس هي خاصية قانونية. قابلية تدقيق البنية المعمارية هي خاصية تشغيلية. المنظمون بموجب قانون DORA يهتمون بالخاصية التشغيلية.

السؤال العملي لرئيس تقنية المعلومات يقوم بتقييم البنية التحتية للبنوك المركزية: هل يمكنك تلبية متطلبات وصول التدقيق وشفافية سلسلة التوريد واستراتيجية الخروج في قانون DORA مع موردك الحالي؟ إذا كانت الإجابة تتطلب الثقة في ادعاءات المورد بدلاً من التحقق من تدقيقك الخاص، فإن البنية لا تلبي المتطلب. المتطلب هو دليل، وليس ادعاء.

المفاضلات

تكلفة سيادة البنية التحتية حقيقية ولا يجب التقليل منها.

مجموعة موردين أضيق. يتمتع مزودو الخدمات السحابية في الولاية القضائية الأوروبية بسعة أقل ومناطق جغرافية أقل من hyperscalers الأمريكيين. قد تعني استراتيجية سحابية أوروبية نقية قبول تكاليف بنية تحتية أساسية أعلى، ومواقع edge أقل، وخدمات مُدارة أقل نضجًا.

تعقيد الهجرة. الانتقال من مزود خدمات سحابية أمريكي راسخ إلى بديل أوروبي هو مشروع متعدد الأرباع يشمل تقييم خدمة بخدمة، وإعادة التفاوض على عقود المورد، والتحقق التشغيلي. بالنسبة للمؤسسات ذات الاستثمار لسنوات في أدوات السحابة الأمريكية، فإن تكلفة التبديل مرتفعة.

بدائل شبكات الدفع غير مكتملة. يعالج نظام ويرو ومبادرات الدفع الأوروبية الأخرى جزءًا من تبعية فيزا/ماستركارد، لكن التغطية جزئية في منتصف عام 2026. لا يمكن للمؤسسة بعد بناء مكدس بنية تحتية للدفع بالكامل أوروبي يطابق القبول وحجم الشبكات المهيمنة من الولايات المتحدة.

الشك التنظيمي. لا يزال إطار CTPP الخاص بالسلطات الأوروبية الإشرافية قيد التشغيل. ما يشكل توثيقًا كافيًا لاستراتيجية الخروج، ومخاطر تركيز مقبولة، ووصول تدقيق كافي لم يتم تحديده بشكل موحد عبر الولايات القضائية. بناء بنية تحتية لتلبية متطلب تنظيمي لا يزال قيد الكتابة يتطلب تصميمًا مرنًا، وليس مواصفات ثابتة.

Fernel Context

يتم بناء النواة المالية لفرنل باستخدام لغة Zig بعدد من التبعيات المتعدية يبلغ حوالي 30. يتم نشر البنية المعمارية: ثلاث طبقات معزولة بشكل صارم بواجهات موثقة، ونماذج بيانات أصلية لـ ISO 20022، وعقود واجهة برمجة تطبيقات قياسية ليست ملكية خاصة. الشفرة المصدرية وجرد التبعيات متاحان للتدقيق دون رقابة المورد. النشر محمول عبر مزودي الخدمات السحابية. لا يلزم وجود بيئة تشغيل للمورد: لا خدمة مدارة مملوكة، ولا بيئة تنفيذ صندوقية أسود لا يمكن للمؤسسة فحصها أو استبدالها.

المصادر:

فينتش كابيتال، حالة التكنولوجيا المالية الأوروبية 2026: بيانات تركيز السحابة، وتحليل فجوة رأس المال، وتبعية التمويل البالغة 9 مليارات يورو
DORA، اللائحة (EU) 2022/2554، المادة 28 (إدارة مخاطر تكنولوجيا المعلومات والاتصالات التابعة لأطراف ثالثة)، المادة 28(5) (مخاطر التركيز)، المادة 28(7) (استراتيجيات الخروج)، المادة 30 (الترتيبات التعاقدية)، المادة 9 (مخاطر سلسلة التوريد)
قانون السحابة الأمريكي، Pub. L. 115-141 (2018)، أحكام الوصول إلى البيانات عبر الحدود
سويفت والعقوبات على إيران: إجراء مكتب مراقبة الأصول الأجنبية في وزارة الخزانة الأمريكية، 2012، سابقة للسيطرة خارج الإقليم على شبكات الدفع
مبادرة المدفوعات الأوروبية (EPI)، وثائق منتج ويرو (2025-2026)
السلطات الأوروبية الإشرافية، إطار الإشراف على مزودي تكنولوجيا المعلومات والاتصالات التابعين لأطراف ثالثة حاسمين (CTPP)، التحليل الأولي للتعيين عام 2025
نظام TARGET2 للبنك المركزي الأوروبي وتجميع T2: الوثائق التشغيلية