Hvorfor regimet eksisterer: koncentrationsrisiko i cloud-tjenester

Den politiske begrundelse stammer fra en konklusion fra Financial Policy Committee (FPC) i 2021, som advarede om, at øget afhængighed af et lille antal cloud-leverandører til vitale tjenester kunne øge risiciene for den finansielle stabilitet i mangel af større direkte reguleringsmæssigt tilsyn . CTP-regimet er specifikt designet til at imødegå dette, hvor regulatorerne bruger kriterierne koncentration og materialitet til at identificere og anbefale CTP'er til finansministeriet .

Hvilke nye beføjelser har Bank of England, PRA og FCA nu?

Financial Services and Markets Act 2023 indsatte et nyt kapitel 3C i del XVIII af FSMA 2000, som giver Bank of England, Prudential Regulation Authority (PRA) og Financial Conduct Authority (FCA) – tilsammen kaldet "regulatorerne" – en række nye direkte tilsynsbeføjelser over udpegede CTP'er . Disse omfatter:

• Regelfastsættelse – Hver regulator kan pålægge CTP'er forpligtelser i forbindelse med de tjenester, de leverer til finansielle virksomheder, for at fremme dens lovbestemte mål .
• Instruktionsbeføjelse – En regulator kan pålægge en CTP at gøre eller undlade at gøre noget nærmere bestemt. Hvis instruktionen adresserer en trussel mod stabiliteten eller integriteten af det britiske finansielle system, opnår CTP'en og dens ledelse og ansatte immunitet mod erstatningsansvar for handlinger udført i overensstemmelse hermed .
• Informationsindsamling og sagkyndige gennemgange – Regulatorerne kan kræve, at CTP'er fremlægger oplysninger og bestiller rapporter fra sagkyndige personer .
• Håndhævelse og disciplinære foranstaltninger – Regulatorerne kan pålægge bøder og iværksætte disciplinære foranstaltninger for overtrædelser af CTP-regler, herunder gennem en dedikeret håndhævelsespolitik for CTP'er .

Kan regulatorer forbyde en cloud-leverandør at levere en tjeneste?

FSMA 2023 indeholder ikke en eksplicit selvstændig beføjelse til at "forbyde tjenesteudbud" ved navn. Dog er instruktionsbeføjelsen i henhold til § 312N i FSMA bred nok til at dække et sådant udfald: en regulator kan pålægge en CTP at afstå fra at gøre noget, hvis det skønnes nødvendigt eller hensigtsmæssigt for at fremme regulatorens mål, hvilket i praksis kan omfatte et forbud mod levering af en specifik tjeneste, der udgør en systemisk risiko .

Resilienskrav og testkrav der gælder fra dag ét

De detaljerede krav er fastsat i regulatorernes fælles politikerklæring PS16/24 og tilsynserklæring SS6/24, begge offentliggjort i november 2024 . Væsentlige krav, der gælder fra udpegelsesdatoen, omfatter:

• CTP-grundlæggende regler – Seks overordnede, resultatorienterede regler, der dækker ledelse, risikostyring, operationel resiliens og samarbejde med regulatorer, og som gælder for alle tjenester, CTP'en leverer til finansielle virksomheder .
• Operationelle risiko- og resilienskrav – CTP'er skal identificere, styre og genoprette efter forstyrrelser af deres "systemiske tredjepartstjenester." De skal fastsætte et maksimalt acceptabelt forstyrrelsesniveau for hver sådan tjeneste .
• Scenarietest – CTP'er skal gennemføre scenarietest for at vurdere deres evne til at holde sig inden for deres maksimalt acceptable forstyrrelsesniveauer under alvorlige, men plausible scenarier .
• Hændelsesindberetning – CTP'er skal underrette regulatorerne om væsentlige operationelle hændelser, der påvirker systemiske tredjepartstjenester .
• Årlige selvevalueringer – CTP'er skal afgive årlige selvevalueringer mod regulatorernes forventninger og er underlagt dybdegående og tematiske gennemgange, herunder rapporter fra sagkyndige personer .

Overgangsperiode og hvad der kommer derefter

Det første år efter udpegelsen er en "mobiliseringsfase" fokuseret på, at regulatorerne opbygger en forståelse af hver CTP's drift og risikoprofil. Fuld overholdelse af alle krav vil blive indfaset over tid . En vigtig forbehold: de specifikke resilienskrav og testkrav blev endeliggjort, før nogen CTP'er blev udpeget . De nøjagtige målinger, tærskler og maksimalt acceptable forstyrrelsesniveauer vil blive fastlagt gennem individuel tilsynsdialog med hver af de fire leverandører i løbet af det første år .

Hvorfor regimet eksisterer: koncentrationsrisiko i cloud-tjenester

Den politiske begrundelse stammer fra en konklusion fra Financial Policy Committee (FPC) i 2021, som advarede om, at øget afhængighed af et lille antal cloud-leverandører til vitale tjenester kunne øge risiciene for den finansielle stabilitet i mangel af større direkte reguleringsmæssigt tilsyn . CTP-regimet er specifikt designet til at imødegå dette, hvor regulatorerne bruger kriterierne koncentration og materialitet til at identificere og anbefale CTP'er til finansministeriet .

Hvilke nye beføjelser har Bank of England, PRA og FCA nu?

Financial Services and Markets Act 2023 indsatte et nyt kapitel 3C i del XVIII af FSMA 2000, som giver Bank of England, Prudential Regulation Authority (PRA) og Financial Conduct Authority (FCA) – tilsammen kaldet "regulatorerne" – en række nye direkte tilsynsbeføjelser over udpegede CTP'er . Disse omfatter:

• Regelfastsættelse – Hver regulator kan pålægge CTP'er forpligtelser i forbindelse med de tjenester, de leverer til finansielle virksomheder, for at fremme dens lovbestemte mål .
• Instruktionsbeføjelse – En regulator kan pålægge en CTP at gøre eller undlade at gøre noget nærmere bestemt. Hvis instruktionen adresserer en trussel mod stabiliteten eller integriteten af det britiske finansielle system, opnår CTP'en og dens ledelse og ansatte immunitet mod erstatningsansvar for handlinger udført i overensstemmelse hermed .
• Informationsindsamling og sagkyndige gennemgange – Regulatorerne kan kræve, at CTP'er fremlægger oplysninger og bestiller rapporter fra sagkyndige personer .
• Håndhævelse og disciplinære foranstaltninger – Regulatorerne kan pålægge bøder og iværksætte disciplinære foranstaltninger for overtrædelser af CTP-regler, herunder gennem en dedikeret håndhævelsespolitik for CTP'er .

Kan regulatorer forbyde en cloud-leverandør at levere en tjeneste?

FSMA 2023 indeholder ikke en eksplicit selvstændig beføjelse til at "forbyde tjenesteudbud" ved navn. Dog er instruktionsbeføjelsen i henhold til § 312N i FSMA bred nok til at dække et sådant udfald: en regulator kan pålægge en CTP at afstå fra at gøre noget, hvis det skønnes nødvendigt eller hensigtsmæssigt for at fremme regulatorens mål, hvilket i praksis kan omfatte et forbud mod levering af en specifik tjeneste, der udgør en systemisk risiko .

Resilienskrav og testkrav der gælder fra dag ét

De detaljerede krav er fastsat i regulatorernes fælles politikerklæring PS16/24 og tilsynserklæring SS6/24, begge offentliggjort i november 2024 . Væsentlige krav, der gælder fra udpegelsesdatoen, omfatter:

• CTP-grundlæggende regler – Seks overordnede, resultatorienterede regler, der dækker ledelse, risikostyring, operationel resiliens og samarbejde med regulatorer, og som gælder for alle tjenester, CTP'en leverer til finansielle virksomheder .
• Operationelle risiko- og resilienskrav – CTP'er skal identificere, styre og genoprette efter forstyrrelser af deres "systemiske tredjepartstjenester." De skal fastsætte et maksimalt acceptabelt forstyrrelsesniveau for hver sådan tjeneste .
• Scenarietest – CTP'er skal gennemføre scenarietest for at vurdere deres evne til at holde sig inden for deres maksimalt acceptable forstyrrelsesniveauer under alvorlige, men plausible scenarier .
• Hændelsesindberetning – CTP'er skal underrette regulatorerne om væsentlige operationelle hændelser, der påvirker systemiske tredjepartstjenester .
• Årlige selvevalueringer – CTP'er skal afgive årlige selvevalueringer mod regulatorernes forventninger og er underlagt dybdegående og tematiske gennemgange, herunder rapporter fra sagkyndige personer .

Overgangsperiode og hvad der kommer derefter

Det første år efter udpegelsen er en "mobiliseringsfase" fokuseret på, at regulatorerne opbygger en forståelse af hver CTP's drift og risikoprofil. Fuld overholdelse af alle krav vil blive indfaset over tid . En vigtig forbehold: de specifikke resilienskrav og testkrav blev endeliggjort, før nogen CTP'er blev udpeget . De nøjagtige målinger, tærskler og maksimalt acceptable forstyrrelsesniveauer vil blive fastlagt gennem individuel tilsynsdialog med hver af de fire leverandører i løbet af det første år .