Początkowo z opracowaniem standardu chcieliśmy zdążyć przed wyznaczonym przez KNF na 1 listopada terminem na dostosowanie się do wytycznych związanych z korzystaniem z usług w chmurze obliczeniowej. W toku prac uznaliśmy jednak, że stawiamy na jakość dokumentu, który ma być opracowaniem możliwie jak najbardziej kompleksowym i wyczerpującym wszystkie zagadnienia, co do których ubezpieczyciele mieli wątpliwości. Tym bardziej że poszczególne zakłady w różnym stopniu sięgają po chmurę – jedne korzystają tylko z narzędzi typu poczta czy programy do wideokonferencji, inne przeniosły do niej swoją infrastrukturę np. w zakresie obsługi klienta. Ryzyka są inne, inne informacje, inne dokumenty zakłady muszą przygotować. Staraliśmy się więc uwzględnić potrzeby różnych interesariuszy. A wydłużenie czasu prac pozwoliło zderzyć poszczególne wytyczne z praktyką zakładów, które mierzyły się z wątpliwościami podczas przygotowywania pierwszych zgłoszeń do KNF-u i o tych wątpliwościach opowiadały na spotkaniach zespołu pracującego nad standardem.

Dzięki uprzejmości ZBP sięgnęliśmy do wzorca standardu wypracowanego dla bankowości, czyli Polish Cloud, tak aby łatwo było zestawić podejścia różnych branż sektora finansowego. W naszym standardzie znalazły się więc komentarze do poszczególnych części komunikatu KNF-u, a jego zapisy zostały skonsultowane z nadzorcą. 

Głównym celem standardu było rozwianie niepewności i sprawienie, aby cały rynek patrzył na wymagania KNF-u w jednakowy sposób, m.in. w zakresie analizy ryzyk związanych z przetwarzaniem danych w chmurze, analizy informacji podlegającym obostrzeniom, analizy dostawców czy zgłoszeń kierowanych do nadzoru. Sytuacja, w której podobne zakłady stosują różne podejście do tych kwestii, jest bowiem bardzo niekorzystna i z punktu widzenia rynku, i z perspektywy samego nadzorcy.

Jako przykład może posłużyć rozstrzygnięcie, jak zakład ubezpieczeń powinien postępować w sytuacji, gdy współpracuje z innym podmiotem, który sam korzysta z chmury, np. fintechem. Uznaliśmy, że na etapie analizy i szacowania ryzyk ubezpieczyciel musi sięgnąć do faktycznego dostawcy usług chmurowych, nawet jeśli nie ma z nim relacji umownej. 

Inny przykładem wytycznej, która wzbudzała wiele pytań, jest obowiązek cyklicznego wykonywania testów usług chmurowych, w tym m.in. testów wyjścia z określonej usługi. Mając na uwadze wielość i różnorodność rozwiązań chmurowych, to, że dotyczą różnych informacji i są wdrażane w różnych obszarach, trudno traktować je wszystkie w ten sam sposób. Tym bardziej że przeprowadzanie testów wiąże się z wyzwaniami organizacyjnymi i kosztowymi. Wydaje się, że w standardzie udało nam się wypracować rozwiązanie kompromisowe, które pomoże ubezpieczycielom w adekwatnym stosowaniu wytycznych nadzoru.