Сбой TARGET2 в 2020 году превратил восстановление платёжной инфраструктуры в тест на ответственность

Кратко

• Расчётные услуги TARGET2 стали недоступны примерно в 14:40 по центральноевропейскому времени 23 октября 2020 года. Восстановление в том же регионе не сработало, контингентный модуль был недоступен, и Еврсистема перевела сервис в резервный регион. Полная обработка сообщений FIN возобновилась примерно в 01:20 следующего утра после серии частичных восстановлений и ручного перезапуска серверов, работающих со SWIFT.
• Непосредственным триггером стал программный дефект в сетевом оборудовании стороннего производителя, активированный конфигурационным параметром при подготовке к выходным работам в сети. Этот факт не перекладывал операционную ответственность на вендора. Оператор контролировал классификацию изменений, сроки, тестирование, готовность к откату, архитектуру сервиса, эскалацию переключения и коммуникацию с участниками.
• Публичный след инцидента подтверждает факты задержанных и отклонённых платёжных поручений, нарушения переводов ликвидности, влияние на вспомогательные системы, сверки и необычное поведение ликвидности. Он не позволяет получить достоверную агрегированную оценку финансовых потерь. Около 12 млрд евро из более чем 900 отклонённых операций — это платёжная стоимость, а не доказанный убыток, а сокращение депозитов овернайт примерно на 400 млрд евро — сравнение потоков ликвидности, а не ущерб.
• Независимый обзор выявил 40 проблем в пяти инцидентах TARGET Services в 2020 году, включая 17 выводов с высоким приоритетом. Его главный вывод был системным: управление изменениями, планирование непрерывности, тестирование переключения, документация, коммуникации, управление и контроль не образовывали достаточно интегрированную операционную систему.
• Еврсистема согласилась с общими выводами обзора и сформировала 155 корректирующих действий. К июлю 2025 года она сообщила, что осталось реализовать одно действие. Последующие данные о работе сервиса показывают значимые изменения, включая независимый комитет по рискам и работающее контингентное проведение расчётов во время отдельного сбоя в 2025 году, но также показывают, что устойчивость оптовых платежей остаётся постоянным обязательством, а не разовым сертификатом о закрытии.

Платёжная система, восстановление которой имеет публичные последствия

TARGET2 был системой валовых расчётов в режиме реального времени Еврсистемы для платежей в евро на момент инцидента. Коммерческие банки, центральные банки и рыночные инфраструктуры использовали её для расчётов по крупным и срочным обязательствам в деньгах центрального банка. Поэтому система не была ни обычным корпоративным приложением, ни удобным каналом, от которого пользователи могли просто отказаться на несколько часов. Её доступность влияла на позиции ликвидности банков, вспомогательные системы, финансирование расчётов по ценным бумагам и исполнение платежей, которые банки передавали клиентам.

Масштаб объясняет, почему это различие важно. Вгодовом отчёте TARGET за 2020 годуказано, что TARGET2 обработала 88,7 млн операций на сумму 465,8 трлн евро, в среднем 345 006 платежей и 1,8 трлн евро за каждый рабочий день. На неё приходилось около 90 % стоимости расчётов в крупных платёжных системах в евро. Большая часть объёма — не переводы центральных банков собственных средств: 83 % составляли клиентские и межбанковские платежи, относимые к переводам третьих лиц, а ещё одну существенную долю — трафик вспомогательных систем.

Эта публичная роль меняет стандарт ответственности. Технически корректное объяснение дефектного коммутатора необходимо, но недостаточно. Оператор должен иметь возможность показать, что рискованное изменение было классифицировано и протестировано надлежащим образом, что резервные площадки действительно восстанавливаемы, что решение о переключении могло быть принято до истечения целевого времени восстановления, что участники знали, что делать, и что обязательства на конец дня были под контролем. Материалы должны также позволять надзорным органам и пострадавшим участникам отличать неизбежный остаточный риск от предотвратимого сбоя контроля.

На бумаге TARGET2 имела продуманную архитектуру устойчивости. Она работала на четырёх площадках в двух регионах, по две площадки в каждом. Структура предусматривала и резервную площадку в активном регионе, и резервный регион. Отдельный контингентный модуль, обычно называемый ECONS, должен был поддерживать критические платежи, когда обычные расчёты недоступны. Инцидент проверил все три уровня: резервирование компонентов, восстановление в том же регионе и межрегиональное восстановление.

Два уровня не дали своевременного операционного результата, а третий восстановил сервис только после того, как обычный рабочий день был продлён далеко за полночь.

Главный урок не в том, что сложная инфраструктура никогда не должна отказывать. А в том, что резервирование — это утверждение, за которое надо отвечать. Его следует считать доказанным, только когда испытания, близкие к производственным, ясные права на принятие решений, обученные операторы, доступные участники и фактические свидетельства восстановления делают его истинным в условиях стресса.

Хронология инцидента: границы восстановления — явно

Первое публичное операционное сообщение —коммюнике ЕЦБ об инциденте от 23 октября. В нём зафиксировано, что все расчётные услуги стали недоступны приблизительно в 14:40. Платёжные поручения, поручения вспомогательных систем и переводы ликвидности в TARGET2-Securities и TARGET Instant Payment Settlement и обратно обработать было нельзя. Информационно-контрольный модуль, основной интерфейс, через который многие участники отслеживали и контролировали операции, также был недоступен.

Более подробнаяпрезентация об инциденте для AMI-Pay и AMI-SeCoдаёт последовательность, пригодную для аудита, хотя часть поминутных технических деталей остаётся неопубликованной. Первый звонок кризисных менеджеров TARGET2 состоялся в 15:15, через 35 минут после потери сервиса. Первое сообщение участникам — в 15:30. К 16:30 было сообщено о недоступности ECONS. Операторы продолжали попытки восстановления в активном регионе.

Около 20:30, почти через шесть часов после начала сбоя, Еврсистема пришла к выводу, что восстановление в том же регионе невозможно, и решила перевести TARGET2 в итальянский регион. Техническое межрегиональное переключение было завершено около 22:30. Это не означало, что весь платёжный трафик восстановлен. Трафик вспомогательных систем и межприложений возобновился около 23:10. Трафик FIN возобновился и снова остановился, потому что серверы, подключённые к SWIFT, требовали ручного перезапуска. Полная обработка сообщений FIN возобновилась примерно в 01:20 в субботу, 24 октября.

Еврсистема продлила операционный график. Крайний срок приёма клиентских платежей был установлен на 03:00, межбанковских — на 03:30. По её сообщению, все поставленные в очередь поручения, включая переводы ликвидности из T2S, были обработаны до закрытия даты валютирования в 03:30. Около 04:15 была выявлена блокировка в модуле постоянных инструментов. Следующая дата валютирования была открыта в 05:10, а ночные расчёты за понедельник, 26 октября, начались в 05:55. Операторы провели 17 кризисных звонков и направили 15 сообщений участникам через каналы распространения рыночной информации и RSS.

С продолжительностью нужно обращаться осторожно, потому что публичные документы используют разные конечные точки. Вобъявлении ЕЦБ о независимом обзореперерыв описан как длившийся «почти 10 часов». В более позднем внешнем обзоре — примерно 11 часов. Если считать от 14:40 до полной обработки FIN в 01:20, получается около 10 часов 40 минут; завершение технического межрегионального переключения в 22:30 даёт более короткий интервал, а окончательное закрытие дня — более длинный. Эти описания согласуются, если указать измеряемую границу сервиса. Их не следует сводить к одному ложно точному числу.

Хронология предохраняет и от противоположной ошибки. Было бы неверно сказать, что TARGET2 просто потеряла рабочий день и не обработала свои очереди. Согласно официальным данным, дата валютирования оставалась открытой, а ожидавшие поручения были обработаны. Столь же неверно называть это завершение дня успешным результатом непрерывности. Критические сервисы были недоступны много часов, крайние сроки сдвигались, часть участников не могла отправить трафик заново, а файлы конечных клиентов задерживались. Восстановление бухгалтерской книги не устраняет операционный сбой, через который пришлось пройти, чтобы его достичь.

Дефектное устройство стало триггером, но не полной причиной

Вобновлении ЕЦБ после инцидентакорневой технической причиной назван программный дефект в сетевом устройстве стороннего производителя во внутренней сети центрального банка. Еврсистема заявила, что инцидент не был кибератакой, что приняты корректирующие меры и что 26 и 27 октября TARGET2 и T2S работали штатно. Небольшое число платёжных расследований оставалось на стадии сверки.

Более поздний независимый анализ даёт контекст контроля. При подготовке к активации новых коммутаторов в предстоящие выходные инженеры ввели конфигурационный параметр в сеть 4CBnet-NG. Параметр сработал на шести из восьми устройств. На затронутых устройствах он вызвал поведение ПО, которое дестабилизировало связность и каскадно затронуло обе площадки активного региона. Служба технической поддержки вендора знала о дефекте с мая 2020 года, но в соответствующих руководствах и примечаниях к релизу, доступных оператору, проблема не отображалась.

Эта последовательность создаёт два разных тезиса об ответственности. Первый подтверждён: скрытый дефект вендора был активирован изменением производственной сети. Второй — обоснованный институциональный вывод: продолжительность и масштаб перерыва зависели от контролируемых оператором защитных мер вокруг этого дефекта. Вендор может контролировать исходный код, раскрытие дефектов и техническую поддержку.

Он не контролирует, классифицирует ли владелец системы сетевое изменение как способное повлиять на бизнес, планирует ли его на рабочие часы, тестирует ли в репрезентативной среде, проверяет ли откат, защищает ли обе площадки от отказа общего характера и переключается ли на резервный регион в пределах целевого времени восстановления.

Внешний обзорDeloitte, заказанный Еврсистемой и опубликованный в сокращённом виде, выявил слабости в каждой из этих точек защиты. Изменения, классифицированные как не влияющие на бизнес, не всегда имели задокументированное обоснование. Тестовые материалы были неполными. Некоторые изменения в сетевой, аппаратной, энергетической и охлаждающей инфраструктуре могли считаться стандартными и низкорискованными, хотя были способны остановить сервисы. Обзор не нашёл функциональной тестовой среды для сетевых изменений, поэтому значимые изменения могли попадать в производственную среду напрямую. Он также выявил недостатки в проверке информации о релизах поставщиков.

Поэтому правильная причинная модель многослойна. Дефект вендора объясняет, почему коммутатор повёл себя неожиданно. Управление изменениями объясняет, почему это поведение попало в производственную среду без надлежащей изоляции. Архитектура и готовность к переключению объясняют, почему сбой в одной области изменения мог затронуть обе площадки активного региона и сопротивляться восстановлению в том же регионе. Кризисное управление объясняет время, потребовавшееся для выбора резервного региона. Коммуникации и готовность участников объясняют, почему техническое восстановление не сразу вернуло все платёжные потоки.

Ни один из этих слоёв не требует догадок о личных мотивах.

Это области контроля, задокументированные в публичном обзоре.

Формальное резервирование столкнулось с отказом общего характера

Сбой вскрыл повторяющуюся слабость заявлений об устойчивости: два компонента или две площадки могут выглядеть резервными, разделяя при этом путь отказа. Обе площадки активного региона зависели от затронутой сетевой среды. Поэтому попытка восстановления столкнулась с тем же дестабилизирующим условием, а не ушла от него. ECONS также был недоступен, когда кризисные менеджеры впервые обратились к контингентному варианту. К моменту, когда операторы решились на резервный регион, двухчасовой ориентир восстановления, используемый для системно значимых платёжных систем, уже был превышен.

Проблема была не только в том, что переключение заняло время. Обзор выявил, что сценарии переключения определены непоследовательно и часто касаются отдельных компонентов или статичны, а не целостны. Основная и резервная площадки не всегда были функционально идентичны. Не было достаточно ясного периода-триггера, который вынуждал бы принять решение до истечения целевого времени восстановления. Тесты переключения TARGET2 были привязаны к ротациям площадок, и, по данным обзора, такие тесты не проводились между ротациями 2019 и 2020 годов. Отчётность о тестах не всегда агрегировала уроки в постоянное улучшение.

Более ранний инцидент даёт полезный, но ограниченный контрфакт. 11 августа 2020 года TARGET2 перенёс другой перерыв, и операторы начали переключение в том же регионе в 15:45. Новая площадка стала технически доступна примерно в 16:43, хотя восстановление остаточных сервисов заняло больше времени. Сравнение в годовом отчёте показывает, что восстановление в том же регионе могло работать при некоторых условиях отказа. Оно также показывает, почему успешный тест или предыдущее переключение не могут доказать устойчивость к сетевому отказу общего характера.

Для достоверного набора мер контроля нужны были сценарии, которые выводили из строя обе площадки активного региона, нарушали работу интерфейса управления, делали недоступным контингентный канал и вынуждали принимать межрегиональное решение в жёсткий срок.

Контрфакт следует формулировать как проверку системы контроля, а не как утверждение, что одно ненаблюдаемое решение наверняка предотвратило бы все задержки. Если бы конфигурация была проверена в функционально репрезентативной сетевой среде, дефект вендора мог быть выявлен до производственной эксплуатации. Если бы площадки были изолированы от одного и того же эффекта изменения, резервная площадка могла остаться работоспособной. Если бы кризисные правила требовали межрегионального решения достаточно рано, чтобы защитить двухчасовую цель, обработка платежей могла возобновиться раньше.

Если бы готовность ECONS и участие участников были сильнее, критический трафик мог продолжаться, пока восстанавливался обычный сервис. Каждое из этих положений технически поддержано рекомендациями обзора, но публичный материал не позволяет установить точные минуты или объём операций, которые сэкономила бы каждая мера.

Это и есть надлежащий стандарт для контрфактуальной ответственности. Он определяет, кто контролировал отсутствующую защиту и какой наблюдаемый результат эта защита должна была обеспечить. Он не превращает правдоподобную альтернативу в вымышленную реконструкцию.

Ущерб для платежей шире, чем оценка потерь

Публичные сбои платёжных систем создают несколько видов ущерба, которые не следует сводить к одному числу в валюте. Первый — временной: принятый или ожидаемый платёж поступает позже, чем планировали отправитель, получатель или связанная система. Второй — связанный с ликвидностью: банк не может переместить средства между счетами, профинансировать операции с ценными бумагами, урегулировать позицию во вспомогательной системе или разместить резервы так, как планировалось. Третий — операционный: персонал должен следить за каналами, продлевать рабочие часы, повторно отправлять поручения, сверять выписки и разбирать исключения.

Четвёртый — связанный с доверием: участники обнаруживают, что контингентные и коммуникационные пути слабее, чем ожидалось.

В презентации об инциденте сообщается, что к моменту перерыва уже было урегулировано около 65 % дневного трафика и 85 % оборота. По сравнению с двумя предыдущими пятницами дневной оборот был ниже на 10–15 %, трафик — на 3–5 %. Более 900 операций совокупной платёжной стоимостью около 12 млрд евро были отклонены. Наиболее крупные последствия отмечены в нескольких крупных национальных компонентах, а также во вспомогательных системах и межбанковском трафике. Это существенные индикаторы нарушения потоков. Это не доказательство того, что 12 млрд евро исчезли или превратились в экономический убыток.

Данные участников добавляют последствия, которые агрегированный объём не раскрывает. Некоторые банки и вспомогательные системы не могли повторно отправить сообщения, потому что их собственные системы были на это неспособны или уже закрылись. Критические обязательства вспомогательных систем были урегулированы, но отсутствующие файлы автоматической клиринговой палаты для трафика SEPA задержали переводы конечным получателям. У некоторых прямых участников T2S возникли проблемы с перераспределением обеспечения. Десятки платёжных исключений потребовали сверки.

Это достоверные формы операционного ущерба, даже если основные суммы в итоге урегулированы.

Поведение ликвидности также изменилось. Одиннадцать банков воспользовались механизмом маржинального кредитования на общую сумму 19 млн евро. Банки разместили примерно на 400 млрд евро меньше депозитов овернайт, чем предполагала бы обычная модель, поскольку возможность переместить избыточные резервы была ограничена. Эти 400 млрд евро особенно легко истолковать неверно. Это изменение размещения ликвидности центрального банка, а не публичная оценка ущерба, потерь или замороженных средств клиентов. Источник не оценивает упущенные проценты, расходы на персонал участников, компенсации клиентам или сопутствующие коммерческие издержки.

Влияние на инфраструктуру ценных бумаг было избирательным, а не тотальным. Согласногодовому отчёту T2S за 2020 год, расчёты по ценным бумагам в T2S оставались доступны, но переводы ликвидности между T2S и TARGET2 обработать было нельзя. T2S продлила собственный график, закрывшись в 03:30 и начав следующие ночные расчёты в 06:05. Это различие важно: инцидент не сделал все записи о ценных бумагах недоступными, но нарушил мобильность денежных средств, от которой зависит бесперебойная работа расчётов по принципу «поставка против платежа» и операций с обеспечением.

Ни один доступный публичный документ, рассмотренный для этого анализа, не даёт подтверждённую агрегированную оценку экономических потерь, полное число задержанных конечных получателей или поучастниковый график компенсаций. Ответственное информирование должно сохранять это как неизвестное. Система может вызвать серьёзное нарушение, не давая публичной суммы потерь, и отсутствие такой суммы не следует принимать за доказательство отсутствия ущерба.

Кто чем управлял

Ответственность проясняется, если распределять контроль по функциям, а не только по названиям институтов.

Управленческая структура оператора сама была частью обзора. Функции уровня 1 находились у Совета управляющих, уровня 2 — у Совета по рыночной инфраструктуре, уровня 3 — у центральных банков — поставщиков сервисов. Deloitte описал принятие решений как сконцентрированное на высоких уровнях, а ландшафт комитетов — как сложный. Документация не всегда устанавливала полную ответственность. Центральная контрольная функция второй линии с достаточными полномочиями и всеобъемлющая система внутреннего контроля действовали не в полной мере. Некоторые ранее выявленные надзорные проблемы закрывались слишком долго.

Это не значит, что каждый участник был пассивен или что каждая задержка на нисходящем участке контролировалась централизованно. Банк, у которого не было возможности повторной отправки, контролировал эту локальную слабость. Вспомогательная система, которая уже закрылась, контролировала часть собственной доступности. Участники также должны были следить за определёнными информационными каналами. Но эти обязанности не отменяют обязанностей оператора инфраструктуры. Оператор выбирал архитектуру коммуникаций, предоставлял контингентные правила, устанавливал календарь сервиса и отвечал за устойчивость общей платформы.

Ответственность — параллельна, это не соревнование, в котором слабость одной стороны освобождает другую.

Отношения с вендором следуют той же логике. Известный, но нераскрытый программный дефект — серьёзный факт несостоятельности контроля поставщика. Публичный материал не называет вендора, не раскрывает контракт, не показывает, был ли нарушен долг уведомления, и не сообщает, вернула ли Еврсистема деньги. Эти неизвестные не позволяют вынести правовой вердикт об ответственности вендора. Они не мешают операционному выводу, что владельцу системы нужны независимые механизмы контроля, способные сдержать дефект поставщика.

Регуляторный ориентир и границы публичного правового материала

На момент сбоя TARGET2 регулировалась как системно значимая платёжная система в соответствии сРегламентом ЕЦБ о надзорных требованиях к системно значимым платёжным системам. Статья 15 требовала надёжной системы операционного риска, механизмов непрерывности бизнеса и резервной площадки. Эти механизмы должны быть устроены так, чтобы критические информационные системы могли возобновить работу в течение двух часов после нарушающих событий, а расчёты — завершиться к концу рабочего дня. Планы должны были тестироваться и пересматриваться не реже одного раза в год.

Регламент также требовал управления рисками, исходящими от критически значимых участников, других инфраструктур и поставщиков услуг.

Международный ориентир был согласован. Принцип 17Принципов для инфраструктур финансовых рынков CPMI-IOSCOтребует выявления внутренних и внешних операционных рисков, соответствующих систем и механизмов контроля, резервной площадки, возобновления критических операций в течение двух часов и завершения расчётов к концу дня нарушения. Он также касается рисков, создаваемых критическими поставщиками услуг и связанными инфраструктурами. Эти положения делали время восстановления целью управления, а не просто техническим показателем.

По публичной хронологии полная обработка платежей не возобновилась в течение двух часов. Площадка того же региона и контингентный модуль были недоступны, а решение о межрегиональном переключении было принято много часов спустя после начала перерыва. Это веское основание для сопоставления работы системы с регуляторным ориентиром. Само по себе это не является доказательством формально установленного нарушения. Рассмотренные здесь материалы не содержат публичного решения надзорного органа о наложении санкции за октябрьский инцидент, судебного решения о назначении ответственности или вывода регулятора, закрывающего каждый элемент соответствия.

Институциональный контекст делает доказательства особенно важными. Вописании надзорной политики ЕЦБобъясняется, что Еврсистема собирает информацию, оценивает системы на соответствие стандартам и при необходимости добивается изменений. TARGET Services также эксплуатируются внутри Еврсистемы. Операционные и надзорные функции различны, но существуют в одном более широком публичном институте. Было бы спекулятивно утверждать, что независимость надзора в этом случае была скомпрометирована.

Тем не менее разумно требовать видимого разделения ролей, документированного вызова и доказательств закрытия, чтобы публике не приходилось полагаться только на институциональные заверения.

Компенсация за платежи — ещё одна область, где важна точность. Действовавшая тогдаДиректива TARGET2включала схему компенсации за принятые платёжные поручения, которые не могли быть урегулированы в тот же рабочий день из-за технического сбоя. Она касалась административных сборов, процентной компенсации, исключений и соотношения между принятой компенсацией и другими требованиями. Поскольку Еврсистема сообщает, что все поставленные в очередь поручения были обработаны до закрытия продлённой даты валютирования, публичный материал об инциденте не устанавливает, сколько поручений, если таковые были, подпадали под схему, подавались ли требования и что было выплачено.

Отклонённые сообщения и нисходящие файлы могут также порождать иные правовые вопросы, чем принятые поручения в центральной системе.

Таким образом, правовая ответственность имеет задокументированный минимум и незадокументированный исход. Минимум — это двухчасовая проектная цель восстановления, расчёты к концу дня, ежегодное тестирование и управление рисками поставщиков услуг. Исход, который остаётся неизвестным, включает режим правоприменения, частные требования, суммы компенсаций и договорные возможности против вендора. Достоверная оценка должна называть и то и другое.

Независимый обзор превратил инцидент в диагноз системы

Еврсистема заказала у Deloitte обзор пяти крупных инцидентов в информационных технологиях TARGET Services, произошедших в 2020 году. Работа велась с конца декабря 2020 года по март 2021 года с использованием документов, интервью и тестов по определённой методологии подтверждения. Опубликованный отчёт был сокращён и отредактирован по соображениям безопасности и конфиденциальности клиентов. Это не был общий аудит каждого механизма контроля. Эти ограничения важны, но они не ослабляют значимости проблем, которые обзор действительно подтвердил.

Обзор сообщил о 40 выводах: 17 с высоким приоритетом, 17 со средним и шесть с низким; выводов с очень высоким приоритетом не было. Он сгруппировал их в шесть широких проблемных областей: управление изменениями и релизами; управление непрерывностью бизнеса; тесты переключения и восстановления; протоколы коммуникации; управление; эксплуатация дата-центров и информационных технологий. Октябрьский инцидент затронул все шесть.

Документация по непрерывности бизнеса была фрагментированной и местами устаревшей. Подробные роли были определены непоследовательно, а доказательств обучения было недостаточно. Обзор не получил действующего, актуального анализа влияния на бизнес, охватывающего и TARGET2, и T2S. Доступный анализ T2S датировался временем до запуска сервиса в 2015 году и не поддерживался в актуальном состоянии. Без актуализированного анализа влияния невозможно надёжно привязать приоритеты восстановления, зависимости и допустимые допущения о перерывах к текущей бизнес-реальности.

Управлению изменениями не хватало общего, насыщенного доказательствами жизненного цикла. Обзор выявил слабости в оценке риска, классификации, документации тестов, утверждении и планировании внедрения. Изменения в рабочие часы не всегда получали обработку, соразмерную их возможному влиянию. Готовность к откату и зависимости инфраструктуры требовали более сильного контроля. Информация о релизах поставщиков и отсутствие репрезентативной тестовой среды для сети усиливали зависимость от поведения в производственной среде как от итогового теста.

Внутри кризисного управления коммуникация работала лучше, чем на внешнем периметре участников. Обзор выявил, что внутренние кризисные звонки и координация в целом были эффективными. Внешне часть участников не знала о сайте TARGET2 или не была подписана на его RSS-канал. Сообщения национальных центральных банков могли расходиться, и коммуникации не всегда говорили участникам, какие действия предпринять. Извлечённые уроки не всегда получали формальных ответственных и сроков завершения.

Документация и управление конфигурацией проходят через все эти области. Обзор выявил фрагментированные или устаревшие эксплуатационные материалы и отсутствие всеобъемлющей базы управления конфигурацией, которая связывала бы активы, владельцев, зависимости и изменения. Контрольные доказательства иногда отсутствовали. Этот недостаток важен, потому что ответственность после сложного отказа зависит от реконструкции того, какой компонент изменился, кто им владел, какие сервисы от него зависели, какой тест его покрывал и какое утверждение приняло остаточный риск.

Поэтому самым важным результатом обзора был не список из 40 изолированных дефектов, а доказательство того, что защитные механизмы вокруг критической платёжной инфраструктуры не управлялись как одна связная система. Дефект устройства превратился в производственный сбой; общие зависимости сделали локальное резервирование бесполезным; неясные триггеры отняли время восстановления; коммуникационные слабости снизили возможности участников; а фрагментированные доказательства затруднили подтверждение. Этот диагноз оправдывал исправления в управлении, а не только замену или установку заплаток на сетевом оборудовании.

Программа исправлений: что доказывают её показатели и чего они не доказывают

Вофициальном ответе Еврсистемы на независимый обзорприняты общие выводы и рекомендации отчёта. Принятие было важным шагом ответственности, поскольку означало, что инцидент не стали рассматривать как неповторимую аномалию вендора. Более трудный шаг — превращение рекомендаций в механизмы контроля, которые можно наблюдать и тестировать.

Опубликованныйплан действий TARGET Servicesсделал это через шесть потоков работ, соответствующих обзору. Меры по управлению изменениями включали стандартизированный жизненный цикл, более сильную оценку рисков и безопасности, общую документацию, явные проверки отката, более высокий уровень утверждения изменений вне окон техобслуживания и анализ выделенной тестовой среды для сети. Меры по непрерывности включали пересмотренные кризисные процедуры, руководство для кризисных менеджеров, обучение персонала, целостные механизмы непрерывности и ежегодный пересмотр анализов влияния на бизнес и планов непрерывности.

Меры по переключению были особенно актуальны для октябрьских событий. Они предусматривали уточнение ролей, определённую частоту тестов, триггер решения, защищающий двухчасовую цель, более репрезентативные сценарии, общие отчёты о тестах, периодическое тестирование транзакций и участие участников. Меры по коммуникации были направлены на более быстрые фактические уведомления, улучшенные каналы статуса и подписки, прямой контакт с критическими группами участников, согласование сообщений между центральными банками и депозитариями, а также формальное извлечение уроков после инцидентов.

Меры по управлению и технологиям охватывали более простую операционную модель, правовую инвентаризацию, наделённую полномочиями функцию риска и контроля, лучший мониторинг, мониторинг доступа в резервном регионе, правила для третьих сторон, контролируемые операции и базу конфигурации с определёнными владельцами.

План действий также сообщал об операционных изменениях, а не только об обещаниях. Процедуры активации ECONS были внедрены, персонал обучен. Кризисные инструкции были пересмотрены, чтобы заставить лиц, принимающих решения, рассматривать раннюю активацию контингентного режима и ограничивать время простоя относительно двухчасовой цели восстановления. Были введены регулярные проверки подключения центральных банков к контингентной сети, а также периодическое тестирование транзакций и более широкие учения. Это механизмы контроля, которые напрямую устраняют сбойный путь.

Затем отчётность о прогрессе дала промежуточные доказательства.Обновление о реализации от декабря 2022 годасвело воедино 155 действий, вытекающих из внешнего обзора, надзорных выводов и внутреннего аудита. Совет по рыночной инфраструктуре контролировал работу ежемесячно; внутренний аудит и ведущие надзорные органы оценивали подтверждающие материалы; Совет управляющих получал отчёты раз в полгода. К 31 марта 2022 года оценщики рассмотрели 79 действий: 58 закрыты, 21 требовал дополнительных доказательств или улучшения. К 30 сентября совет сообщил, что 121 из 155 завершено, 16 идут по графику и 18 задержаны, многие из-за зависимости от программы консолидации TARGET2-T2S.

Различие между «завершено руководством» и «закрыто после оценки» принципиально. Проектная команда может завершить действие, не доказав, что механизм контроля работает. Поэтому использование в отчёте 2022 года проверки доказательств внутренним аудитом и надзором было сильнее простого процента завершения. Он также раскрывал проскальзывания, а не молча менял исходный уровень.

К концу 2023 года вгодовом отчёте T2S за 2023 годсообщалось, что реализовано более 90 % запланированных мер, остальное ожидается в 2024 году. В июле 2025 года вопубликованных решениях Совета управляющихуказано, что только одно из 155 действий ещё нуждается в реализации и что Комитет внутренних аудиторов продолжит наблюдение за ним. Совет завершил ежегодный цикл отчётности. Это веское доказательство устойчивого выполнения программы. Это не доказательство того, что все 155 действий были закрыты к июлю 2025 года, поскольку Совет явно сохранил один открытый пункт.

Управление также продолжало развиваться. В сентябре 2025 годаСовет управляющих сообщил, что организационный обзор управления TARGET Services, первоначально запрошенный в 2021 году, завершён и что о дальнейших мерах будет сообщено до 2027 года. Эту более позднюю работу не следует автоматически отождествлять с единственным оставшимся действием, предмет которого в публичном уведомлении не указан. Она показывает, почему «отчётность по программе завершена» — не то же самое, что «улучшение управления завершено».

Последующая эксплуатация — настоящий тест на устойчивость

Политические документы могут показать, что механизмы контроля спроектированы и назначены. Только последующая эксплуатация может показать, остаются ли они пригодными. Вгодовом отчёте TARGET за 2023 годзафиксировано, что консолидированный сервис T2 в 2023 году не имел полной приостановки, хотя происходили менее крупные инциденты. В нём также сообщается о создании в конце 2023 года независимого комитета по рискам TARGET Services, подкреплённого пересмотренными системами рисков и контроля. Это важное доказательство того, что слабость контроля второй линии, выявленная после 2020 года, получила институциональный ответ.

Гораздо более трудным тестом стало 27 февраля 2025 года.Годовой отчёт TARGET Services за 2025 год, опубликованный в 2026 году, описывает отдельный отказ аппаратного обеспечения и хранения данных, который на много часов нарушил работу и T2, и T2S. T2 был недоступен около 10 часов, T2S — около восьми. Критическое оборудование и его резервирование отказали. Первоначальная диагностика сосредоточилась на проблеме с базой данных, что задержало решение о переключении региона. Сервисы вернулись после 18:00, а рабочий день закрылся около полуночи.

Событие 2025 года нельзя представить как повторение того же сетевого дефекта, и оно не доказывает, что план действий 2020 года провалился в целом. Его ценность — в роли живого стресс-теста. ECONS поддерживал критические платежи T2 во время более позднего сбоя — доказательство того, что контингентная возможность, недоступная в октябре 2020 года, стала операционно полезной. В то же время одновременная потеря T2 и T2S затруднила мобилизацию обеспечения и задержала связанные процессы.

Последующий обзор дал 20 действий; в отчёте сказано, что большинство завершено к четвёртому кварталу 2025 года, а несколько некритичных по времени пунктов оставались в работе.

Этот смешанный результат информативнее, чем либо заявление о победе, либо о провале. Контингентный канал обработал критические платежи, но диагностика и восстановление в резервном регионе снова заняли значительное время. Система продемонстрировала улучшенные возможности и выявила остаточные зависимости. Устойчивая ответственность требует, чтобы оба факта оставались видимыми.

Работа всё ещё велась в 2026 году.Итоги встречи AMI-Pay в мае 2026 годафиксируют консультации о продлении операционного дня и использовании ECONS после инцидента 2025 года. Еврсистема и национальные центральные банки всё ещё определяли, сколько часов потребуется для обработки большинства критических платежей в ECONS и когда следует начинать подготовку к закрытию дня в этом режиме. Участники также подчеркнули необходимость избегать дублирующих поручений и негативного влияния на их внутренние системы. Это не доказательство нерешённого действия 2020 года.

Это доказательство того, что контингентные расчёты — это операционная экосистема, включающая поведение оператора и участников, и что её процедуры должны продолжать уточняться после реальных событий.

Подтверждённые факты, обоснованные выводы и неизвестное

Подтверждённые факты.Расчётные услуги TARGET2 стали недоступны примерно в 14:40 23 октября 2020 года. Пострадали Информационно-контрольный модуль, переводы ликвидности с участием T2S и TIPS, обычные расчёты платежей и поручения вспомогательных систем. Восстановление в том же регионе не вернуло сервис, ECONS был недоступен в начальной фазе реагирования, и Еврсистема выбрала межрегиональное переключение около 20:30. Полная обработка FIN возобновилась примерно в 01:20. Дата валютирования была продлена, и, по словам оператора, все оставшиеся очереди были обработаны до закрытия в 03:30.

Также подтверждено, что конфигурационный параметр активировал программный дефект в сетевом оборудовании третьей стороны, что вендор знал о дефекте и что в соответствующих материалах релиза для оператора дефект не был задокументирован. Инцидент не был приписан кибератаке. Публичные отчёты фиксируют отклонённый трафик, задержанные нисходящие файлы, ограниченные переводы ликвидности, сверки и изменённое поведение депозитов овернайт. Независимый обзор задокументировал 40 выводов по инцидентам 2020 года, и Еврсистема создала 155 корректирующих действий, одно из которых в июле 2025 года ещё ждало реализации.

Обоснованный вывод.Масштаб и продолжительность сбоя определялись не только дефектом устройства. Слабости в оценке изменений, репрезентативном тестировании, изоляции от общего отказа, триггерах переключения, готовности контингентной возможности и коммуникации с участниками устранили или задержали защитные меры, находившиеся под контролем оператора. Этот вывод подтверждается внешним обзором и прямым соответствием его выводов плану действий.

Разумно также заключить, что сохранение даты валютирования и обработка всех очередей снизили последствия для окончательности расчётов и основного риска по сравнению с днём без восстановления. Источники не позволяют количественно оценить это снижение. Аналогично успешное использование ECONS в 2025 году подкрепляет вывод об улучшении контингентной возможности после 2020 года, но не изолирует, какое именно действие дало улучшение, и не доказывает, что теперь покрыт любой сценарий.

Неизвестное.Публичный материал не называет вендора оборудования, не раскрывает его контракт и не показывает, предъявлялись ли договорные требования. В нём нет полных журналов конфигурации, всех внутренних записей о решениях, очередей на уровне участников или точной причины, по которой каждый банк не мог повторно отправить трафик. Сокращённый обзор скрывает чувствительную техническую и клиентскую информацию. Эти ограничения не позволяют полностью реконструировать индивидуальные действия и правовую ответственность.

Общая экономическая стоимость неизвестна. Нет подтверждённой агрегированной оценки потерь клиентов, стоимости ликвидности, сверхурочной работы персонала, упущенных возможностей, компенсаций, требований или взысканий с вендора. Публичные источники не устанавливают, привёл ли октябрьский сбой к формальному решению о нарушении, санкции или судебному делу. Они также не называют последний пункт из 155 действий в уведомлении июля 2025 года и не дают публичных тестовых доказательств по каждому закрытому действию. Эти пробелы должны оставаться видимыми, а не заполняться оценками.

Устойчивый тест на ответственность для оптовой платёжной инфраструктуры

Инцидент поддерживает практический тест, применимый к TARGET Services и другим системно значимым платёжным платформам. Ответственность устойчива, только если на следующие положения можно ответить доказательствами, а не заверениями.

Во-первых, может ли оператор сопоставить каждый критический сервис с принадлежащей ему инфраструктурой и зависимостями?Актуальная база конфигурации должна связывать устройства, программное обеспечение, площадки, сети, вендоров, бизнес-сервисы, ответственных владельцев и процедуры восстановления. Изменение сетевого параметра должно раскрывать все сервисы и области резервирования, на которые оно может повлиять.

Во-вторых, соразмерны ли решения об изменениях возможному влиянию на сервис?Классификация не должна делать фундаментальные сетевые, энергетические, складские или охлаждающие работы низкорисковыми только потому, что они выглядят рутинными. Доказательства должны включать обоснование влияния на бизнес, репрезентативные тесты, коллегиальную проверку, утверждённые окна внедрения, мониторинг, условия остановки и отработанный откат.

В-третьих, независимо ли резервирование в значимых сценариях?Две площадки не дают двух защит, если одно изменение или одна плоскость управления может отключить обе. Тесты должны включать потерю активного региона, потерю интерфейсов управления, деградацию связанных сервисов и отказ номинального контингентного пути. Производственная и резервная конфигурации должны быть функционально эквивалентны там, где восстановление зависит от эквивалентности.

В-четвёртых, заставляет ли кризисное управление принять решение до истечения целевого времени восстановления?Правила эскалации должны определять, кто может задействовать обработку в том же регионе, в резервном регионе и контингентный режим, какие доказательства им нужны и крайнее время решения. Двухчасовую цель восстановления не может выполнить комитет, которому позволено диагностировать более двух часов, не выбирая альтернативный путь.

В-пятых, могут ли участники действовать на основе сообщения?Сообщение о статусе должно быть своевременным, доступным и операционно конкретным. Оно должно указывать, какие сервисы затронуты, что участникам следует остановить или продолжить, нужно ли повторно отправлять сообщения, какой крайний срок действует и когда придёт следующее обновление. Критическим группам нужны протестированные контактные пути, а не только веб-страница, о существовании которой некоторые пользователи не знают.

В-шестых, может ли контингентная обработка выдержать реалистичный критический трафик?ECONS или любой его преемник должен тестироваться с центральными банками, коммерческими банками и вспомогательными системами с использованием реальных форматов и реалистичных объёмов сообщений. Тестирование должно охватывать исключение дублей, ликвидность, ограничения по обеспечению, закрытие дня и возврат к обычному сервису. Одной связности недостаточно.

В-седьмых, измеряются ли ущерб и исключения по всей платёжной цепочке?Показатели оператора должны различать поставленные в очередь, отклонённые, повторно отправленные, дублированные, задержанные и окончательно урегулированные поручения. Они должны учитывать файлы вспомогательных систем, переводы ликвидности, случаи сверки и задержки конечных получателей, не называя платёжный основной долг финансовыми потерями.

В-восьмых, оспаривает ли закрытие независимая функция контроля?Завершение руководством, проверка второй линии, оценка внутреннего аудита и закрытие надзором — разные этапы. Действия с высоким приоритетом должны сохранять ответственных, сроки и доказательства до тех пор, пока независимый рецензент не подтвердит функционирование, а не только проект.

В-девятых, видны ли правовые и участнические механизмы возмещения?Публичная инфраструктура не обязана раскрывать чувствительные требования, но должна объяснять применимую схему компенсации, совокупную обработку требований там, где это законно, и то, предъявлялись ли требования к вендору или участникам. Молчание не следует превращать в предположение, что возмещение было недоступно или не нужно.

В-десятых, учится ли институт снова после следующего инцидента?Более поздний отказ следует сравнивать с прежними обязательствами по контролю. Доказательства улучшенного использования контингентных механизмов заслуживают признания; повторная задержка диагностики или переключения — проверки. Завершённая программа должна стать поддерживаемым эксплуатационным базовым уровнем, а не архивом.

Эти тесты избегают двух непродуктивных крайностей. Одна рассматривает каждый сбой как доказательство провала инвестиций в устойчивость — невозможный стандарт для сложных систем. Другая принимает архитектурные схемы, количество действий и высокую годовую доступность как доказательство работающей непрерывности. Защитимая середина — требовательная, но измеримая: сбои будут происходить, и ответственный институт должен показать, что предотвращение было соразмерным, восстановление — своевременным, ущерб — контролируемым, решения — реконструируемыми, а те же слабости не сохраняются без вызова.

Заключение

Октябрьский сбой TARGET2 2020 года начался с программного дефекта стороннего производителя, но стал событием об ответственности, потому что одновременно отказали несколько защитных механизмов оператора. Производственное сетевое изменение активировало дефект. Обе площадки активного региона оказались подвержены риску. Восстановление в том же регионе и контингентные расчёты были недоступны. Межрегиональное переключение произошло после часов попыток восстановления. Коммуникации не позволили каждому участнику действовать, и рабочий день пришлось продлить до утра субботы.

Еврсистема в конечном счёте обработала свои очереди и сохранила дату валютирования, заказала независимый обзор, приняла системный диагноз и реализовала масштабную программу исправлений с внешней отчётностью о прогрессе. Это содержательные действия в сфере ответственности. Последующее создание независимого комитета по рискам и операционное использование ECONS во время отдельного сбоя 2025 года добавляют доказательства того, что некоторые важные механизмы контроля изменились.

Материалы не дают оснований объявлять устойчивость завершённой. Одно из 155 действий оставалось открытым в июле 2025 года, меры по управлению продолжались по более позднему графику, а инцидент 2025 года выявил новые сложности в диагностике, резервировании и одновременных зависимостях сервисов. Материалы также не дают оснований выдумывать потери, нарушения закона или чью-то персональную вину, которых официальные доказательства не устанавливают.

TARGET2 сделала само восстановление тестом. Для общей платёжной инфраструктуры ответственность не удовлетворяется выявлением дефектного компонента или отчётностью о годовой доступности. Она удовлетворяется, когда институты, обладающие практическим контролем, могут доказать, что изменения сдерживаются, решения о переключении защищают обещанное время восстановления, контингентные каналы работают с реальными участниками, задержанные платежи и эффекты ликвидности честно измеряются, надзор может оспаривать оператора, а исправления переживают следующий операционный шок.