Sovereignty by design

Alexander Zwart, CITO | Rabobank

Alexander Zwart is Chief Innovation and Technology Officer en lid van de Raad van Bestuur van Rabobank. Hij is sinds 2008 werkzaam bij de bank en heeft diverse senior functies bekleed op het gebied van digitale transformatie, technologie en klantervaring, waaronder Head of Digital Transformation en CTO voor Retail Nederland. Voordat hij bij Rabobank in dienst trad, vervulde hij functies bij Nuon en Coca-Cola. Hij behaalde een masterdiploma in bedrijfseconomie aan de Erasmus Universiteit Rotterdam/Michigan State University.

Digitale soevereiniteit begrijpen

Wat betekent digitale soevereiniteit voor u?

Het probleem met soevereiniteit is dat veel mensen er veel verschillende dingen onder verstaan. Wij benaderen het door ons af te vragen welke scenario’s zich plausibel in de wereld zouden kunnen voordoen en welke technologische inrichting het beste bij elk van die scenario’s past. De ongemakkelijke waarheid is dat er geen enkele oplossing bestaat die alle vakjes aanvinkt.

Een concreet voorbeeld: toen Iran raketten afvuurde op Dubai, waren veel mensen die daar woonden blij dat veel banken een hyperscaler zoals AWS gebruikten, omdat zij in een oorlogssituatie workloads naar een andere locatie konden verplaatsen. Als die banken uitsluitend datacenters in Dubai hadden gehad, zouden zij in een zeer moeilijke positie hebben verkeerd. Tegelijkertijd hebben we ook het tegenovergestelde scenario gezien, recentelijk nog toen de Amerikaanse overheid besloot geen toegang te verlenen tot bepaalde AI-modellen, en hoe groot de impact daarvan kan zijn. Twee zeer verschillende scenario’s: het ene een oorlogssituatie, het andere een buitenlandse overheid die simpelweg besluit de toegang af te sluiten. Dezelfde architectuurkeuze kan zowel een kracht als een kwetsbaarheid zijn, afhankelijk van het scenario.

Als bank moet u met beide situaties kunnen omgaan. Cashflow is essentieel. Een bedrijf overleeft of verdwijnt afhankelijk van de werking van de cashflow. Zodra een bank geen betalingen meer kan verwerken, heeft de samenleving een groot probleem. Zodra een bank haar treasury niet meer kan beheren, komt de bank zelf in de problemen. Daarom moeten betalingen en treasury, ongeacht welk scenario zich voordoet, onafhankelijk kunnen functioneren. Dat betekent dat het antwoord niet ligt in óf soevereine infrastructuur óf een hyperscaler. Waarschijnlijk moet u met beide werken. Het gaat om portabiliteit, de mogelijkheid om tussen verschillende oplossingen te schakelen, keuzevrijheid te behouden en opnieuw inzetbaar te zijn, zodat u uw technologiestack zeer snel kunt herbouwen wanneer een specifieke landing zone uitvalt.

Dezelfde architectuurkeuze kan zowel een kracht als een kwetsbaarheid zijn, afhankelijk van het scenario.

Deze discussies zijn vaak sterk gepolariseerd en negatief ingestoken. Daarmee wordt de kern gemist. Over tien jaar zullen wij nog steeds zeer intensief samenwerken met Azure en AWS. De echte vraag is of wij, ongeacht wat er in de wereld gebeurt, onze klanten kunnen blijven bedienen. Dat is uiteindelijk het belangrijkst.

Dat betekent dat het antwoord niet ligt in óf soevereine infrastructuur óf een hyperscaler. Waarschijnlijk moet u met beide werken.

Hoe kijkt u naar het voortdurende debat over digitale soevereiniteit in Europa?

Als overwegend Europees bedrijf is dit debat zeer relevant. De vraag rond operationele veerkracht en soevereiniteit gaat over het waarborgen dat onze kritieke functies beschikbaar blijven, ongeacht wat een externe partij doet. De strategische vraag draait om het feit dat Europa als continent simpelweg onvoldoende in technologie heeft geïnvesteerd. Wanneer u naar India of China kijkt, ziet u grote delen van de wereld die wel hebben geïnvesteerd en aanzienlijke industrieën hebben opgebouwd. De Verenigde Staten hebben hetzelfde gedaan. Europa niet.

Wat mij zorgen baart, is dat sommige technologiebedrijven zijn uitgegroeid tot wat ik technische naties zou noemen. Het is niet echt een discussie tussen de Verenigde Staten en Europa. Het gaat erom of Europa enkele zeer grote technologiebedrijven wil hebben die Europees eigendom zijn en waarvan de belangrijkste belangen in Europa liggen. We hebben namelijk gezien dat bepaalde bedrijven zo groot zijn geworden dat de enige overheid die daadwerkelijk in staat is hen te controleren, de Amerikaanse overheid is.

Europa heeft als continent simpelweg onvoldoende in technologie geïnvesteerd.

Van principe naar praktijk

Rabobank is een coöperatieve bank. Verandert dat de manier waarop u deze vraagstukken in de praktijk benadert?

Het belangrijkste verschil is dat onze leden onze aandeelhouders zijn. De Algemene Ledenraad, die onze Raad van Commissarissen benoemt, bestaat uit daadwerkelijke klanten. Klanten zijn doorgaans veel meer geïnteresseerd in de langetermijnwinstgevendheid en duurzaamheid van de bank dan een gemiddelde belegger op de aandelenmarkt. Daardoor zijn zij ook bereid bepaalde investeringen te accepteren die een beursgenoteerde onderneming mogelijk heel anders zou beoordelen.

Concreet betekent dit dat wij niet alleen bereid zijn klant te worden van bepaalde technologieleveranciers, maar in sommige gevallen ook investeerder. Wanneer wij een technologieleverancier zien, mogelijk een Europese partij die functionaliteiten biedt die nog niet beschikbaar zijn op de markt, en wanneer wij zien dat andere organisaties eveneens bereid zijn klant te worden, dan zijn wij bereid gedurende een bepaalde periode te investeren om die onderneming te helpen opschalen. Niet omdat wij zelf een technologiebedrijf willen worden, maar om de markt te stimuleren.

Wij zijn bereid niet alleen klant te worden van bepaalde technologieleveranciers, maar in sommige gevallen ook investeerder.

Dat is precies wat wij hebben gedaan. Wij werden klant van een dergelijke onderneming en gaven aan bereid te zijn te investeren om dit mogelijk te maken. Alleen was dit niet haalbaar geweest. Onze beslissing werd mede gedreven door het feit dat de Bank of New York eveneens investeerde en dat andere marktpartijen bereid waren de groei van die onderneming te ondersteunen. Een coöperatieve bank kan een dergelijke langetermijnvisie, gericht op de samenleving, eenvoudiger internaliseren dan een beursgenoteerde onderneming.

Welke concrete stappen neemt Rabobank naast investeringen op operationeel vlak?

Wij analyseren ons volledige technologielandschap vanuit wat wij businessfuncties noemen. Elke capaciteit die wij nodig hebben om klanten te bedienen valt binnen een businessfunctie, of het nu gaat om de frontoffice voor hypotheken, onze bankapp of iets anders. Deze functies draaien op landing zones. In het verleden maakten wij keuzes over welke landing zones wij met welke leveranciers gebruikten, maar wij waren niet altijd voldoende bewust bezig met welke landing zones wij wilden ondersteunen voor welke kritieke functies, of hoe geconcentreerd onze afhankelijkheden begonnen te worden.

Wij zijn ons nu veel bewuster van concentratierisico’s. Waar wij vroeger vooral keken naar hoeveel geld wij aan een leverancier uitgaven, kijken wij nu ook naar hoe geconcentreerd onze processen bij die leverancier zijn en in welke waardeketens dat speelt. Wij beoordelen of wij sterk geconcentreerd zijn binnen een kritieke waardeketen en of wij voldoende portabel zijn om te kunnen overstappen wanneer dat nodig is. Dit zijn bewuste keuzes in plaats van uitkomsten die vanzelf ontstaan.

Het draait om balans en het is belangrijk daar eerlijk over te zijn. Een bank moet ook voldoen aan strenge beveiligingseisen. Met de huidige mogelijkheden van AI-modellen kan, zodra een kwetsbaarheid wordt ontdekt, binnen enkele minuten worden vastgesteld wat de onderliggende oorzaak is en kunnen alle organisaties die nog geen patch hebben geïnstalleerd worden aangevallen. Zelfs kwetsbaarheden van een lager niveau kunnen een opstap vormen naar uw systemen. De risico’s in de wereld nemen sterk toe. Daarom kunnen wij niet naïef zijn op het gebied van beveiliging terwijl wij tegelijkertijd meer keuzevrijheid nastreven vanuit het perspectief van soevereiniteit. Beide aspecten moeten in samenhang worden benaderd.

In het verleden keken wij vooral naar hoeveel geld wij aan een leverancier uitgaven. Nu kijken wij ook naar hoe geconcentreerd onze processen bij die leverancier zijn en binnen welke waardeketens.

Welke rol spelen betalingen bij soevereiniteit?

Betalingen zijn zo diep verweven met het dagelijks leven van mensen dat de samenleving een probleem heeft wanneer zij niet meer werken. Het is vergelijkbaar met elektriciteit. Als wij een week lang geen hypotheken zouden kunnen verkopen, zou dat voor ons zeer vervelend zijn, maar de Nederlandse samenleving zou daar niet bijzonder veel van merken. Klanten zouden voor een lening naar een andere bank gaan. Maar wanneer betalingen niet werken, kunnen klanten niet eenvoudig overstappen. Grote bedrijven werken wereldwijd met meerdere banken en kunnen een storing opvangen. Het overgrote deel van onze klanten bestaat echter uit kleinere ondernemingen die sterk afhankelijk zijn van de bank waarmee zij samenwerken, vooral voor cashflow en betalingen.

Het is essentieel dat een betekenisvol aantal partijen betalingsdiensten kan aanbieden. Op dit moment domineren Mastercard en Visa wereldwijd, en daarom ben ik zeer positief over het European Payments Initiative. Europa heeft een geloofwaardig alternatief nodig naast deze partijen. Dat betekent niet dat andere betaalmethoden verdwijnen, maar een Europees betalingsalternatief is van vitaal belang.

Wat India op dit gebied heeft gerealiseerd, is werkelijk indrukwekkend. Een lokale betalingsinfrastructuur heeft daar enorm opgeschaald. Betalingen en identiteit zijn zo fundamenteel voor het functioneren van de samenleving dat concurrentie en alternatieven noodzakelijk zijn. Het is niet gezond voor de wereldeconomie wanneer een zeer beperkt aantal mondiale spelers deze functies controleert.

Een Europees betalingsalternatief is van vitaal belang.

Hoe ziet u de relatie tussen banken en hyperscalers zich verder ontwikkelen?

Wij zullen zeer nauw blijven samenwerken met hyperscalers. Afhankelijk van uw omvang is het aantal partijen waarmee u in de praktijk kunt werken beperkt. Wij willen er meer dan één, maar ook geen tien. De relatie is over het algemeen goed. Ik denk echter dat er iets belangrijks moet veranderen in de manier waarop hyperscalers naar zichzelf kijken.

Banken hebben met een vergelijkbare spanning te maken gehad. De meeste banken verdienen hun geld met hypotheken en kredietverlening. Betalingen zijn vaak niet de grootste inkomstenbron, maar waarschijnlijk wel het onderdeel dat de samenleving het meest waardeert. Hetzelfde geldt voor hyperscalers. Met cloud zijn zij uitgegroeid tot vitale infrastructuur voor de wereld. Vitale infrastructuur is echter een ander type onderneming en moet ook anders worden behandeld.

Wanneer de zoekmachine van Google uitvalt, raken mensen gefrustreerd. Wanneer Google Cloud uitvalt, heeft de wereld een groot probleem. Zodra u dat erkent, moet ook de aard van de relatie veranderen. De mate waarin wij kennis delen, begrijpen welke uitdagingen zij hebben op infrastructuurniveau en maatregelen nemen zodat onze kritieke activiteiten kunnen doorgaan wanneer die infrastructuur uitvalt, wordt veel belangrijker. De energiesector laat zien hoe dit werkt. Netbeheerders moeten de levering garanderen ongeacht wat er in de commerciële laag daarboven gebeurt. Wij passen dezelfde logica toe. Onze datacenters beschikken over noodgeneratoren omdat wij niet wachten tot iemand ons redt wanneer de levering uitvalt. Hyperscalers zijn feitelijk meerdere bedrijven binnen één entiteit geworden. Dat is prima, maar het betekent dat wij op bepaalde onderdelen anders naar hen moeten kijken en anders met hen moeten samenwerken.

Wij zullen zeer nauw blijven samenwerken met hyperscalers.

Open source en soevereine AI

Is open source een weg naar meer soevereiniteit?

Wij zijn een organisatie die nog steeds zeer aantrekkelijk is voor goede engineers, en dat betekent dat wij de capaciteit hebben om zelf belangrijke zaken te bouwen. Voor organisaties zoals de onze helpt werken met open source daadwerkelijk, omdat u kunt profiteren van alle kennis die wereldwijd in open-sourcegemeenschappen is opgebouwd en omdat wij mensen hebben die ermee kunnen werken.

Er is ook een praktisch aspect van veerkracht. Wanneer een SaaS-oplossing die wij aanschaffen sterk gebaseerd is op open source en de leverancier deze om welke reden dan ook niet langer kan ondersteunen, zouden wij die oplossing in principe zelf kunnen overnemen. In de praktijk hebben wij dat ook gedaan. Wij werkten met Pivotal Cloud Foundry en konden, toen dat nodig was, de software zelf beheren omdat Cloud Foundry open source is. Onze engineers sloten zich aan bij de Cloud Foundry-gemeenschap en exploiteerden het platform zelfstandig. Die ervaring beïnvloedt onze architectuurkeuzes. Open source is inmiddels een van onze architectuurprincipes. Wanneer alle overige factoren gelijk zijn, geven wij de voorkeur aan open-sourceoplossingen boven volledig propriëtaire code.

Waar ligt bij AI het echte soevereine bezit van een bank?

U moet uiterst specifiek zijn over waarin een bank werkelijk uniek is. Iedereen denkt overal goed in te zijn, maar wanneer u daar kritisch naar kijkt, blijkt het aantal werkelijk unieke kwaliteiten beperkt. Het grootste bezit is het vermogen om risico’s te beoordelen. Het tweede is het vermogen om aan regelgeving te voldoen. Daarnaast zijn wij goed in veel zaken, maar niet op een unieke manier.

De werkelijk propriëtaire data bestaat niet alleen uit gestructureerde data in databases. Het gaat ook om ongestructureerde data in documenten en om kennis die in de hoofden van mensen aanwezig is, wordt besproken maar nooit wordt vastgelegd. Dat is data waarmee een bank zeer zorgvuldig moet omgaan als het gaat om extern delen. Modellen trainen op die data is logisch. Maar u moet wel specifiek zijn over waarin u werkelijk uniek bent, want anders bouwt u geen duurzaam concurrentievoordeel op.

Een goed voorbeeld is ons vermogen om het risico van een klant uit het midden- en kleinbedrijf te beoordelen. Wij beschikken over gedetailleerde kennis van die klant die nergens publiek beschikbaar is. Bij grote beursgenoteerde ondernemingen is zoveel informatie openbaar dat de informatieasymmetrie grotendeels verdwijnt. Juist waar die asymmetrie bestaat, hebben banken een unieke positie, en die data vormt daadwerkelijk het bedrijfsmodel.

Beperken soevereiniteitseisen innovatie?

Ik denk dat de geschiedenis juist het tegenovergestelde laat zien. Innovatie ontstaat consequent wanneer mensen met beperkingen worden geconfronteerd. Het meest voorkomende argument dat ik binnen de bank hoor, is dat iemand meer budget nodig heeft om te innoveren. De realiteit heeft echter herhaaldelijk bewezen dat wanneer u briljante mensen een beperkte hoeveelheid middelen en een duidelijke opdracht geeft, zij oplossingen vinden die met onbeperkte middelen nooit zouden zijn ontstaan. DeepSeek is daar een recent en duidelijk voorbeeld van.

Middelen zijn niet de beperkende factor. Wat het verschil maakt, is een inspirerende stip op de horizon, het vermogen om intelligente en gemotiveerde mensen samen te brengen en een mentaliteit die gericht is op hoe iets wél kan in plaats van waarom het niet kan. Beperkingen verhinderen innovatie niet. In veel gevallen brengen zij innovatie juist voort.