Reino Unido designa a Microsoft, Google, Amazon y Oracle como terceros críticos: qué implica el nuevo régimen de supervisión en la nube para la estabilidad financiera

El 10 de julio de 2026, el Tesoro de Su Majestad (HM Treasury) designó formalmente a cuatro proveedores de servicios en la nube como Terceros Críticos (CTP, por sus siglas en inglés) para el sistema financiero del Reino Unido, en el marco del régimen creado por la Financial Services and Markets Act 2023. La designación surte efecto a partir del 13 de julio de 2026 . Las cuatro entidades son:

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

Es la primera vez que el Reino Unido utiliza sus nuevas competencias legales para someter a proveedores tecnológicos externos a la supervisión directa de los reguladores financieros. El Gobierno declaró que las designaciones "ayudarán a reducir el riesgo de perturbaciones generalizadas" y que, con el tiempo, podrían designarse más proveedores como parte de un régimen continuo .

Por qué existe este régimen: el riesgo de concentración en los servicios en la nube

El fundamento de la política se remonta a una conclusión del Comité de Política Financiera (FPC) en 2021, que advirtió de que una mayor dependencia de un reducido número de proveedores de la nube para servicios vitales podría aumentar los riesgos para la estabilidad financiera en ausencia de una supervisión regulatoria directa más estricta . El régimen CTP está diseñado específicamente para abordar este problema, y los reguladores utilizan los criterios de concentración y materialidad para identificar y recomendar CTP a HM Treasury .

¿Qué nuevos poderes tienen ahora el Banco de Inglaterra, la PRA y la FCA?

La Financial Services and Markets Act 2023 incorporó un nuevo Capítulo 3C en la Parte XVIII de la FSMA de 2000, otorgando al Banco de Inglaterra, a la Autoridad de Regulación Prudencial (PRA) y a la Autoridad de Conducta Financiera (FCA)—denominados colectivamente "los reguladores"—un conjunto de nuevas facultades de supervisión directa sobre los CTP designados . Entre ellas se incluyen:

• Facultad normativa – Cada regulador puede imponer obligaciones a los CTP en relación con los servicios que prestan a las entidades financieras, según sea necesario para promover sus objetivos estatutarios .
• Facultad de dirección – Un regulador puede ordenar a un CTP que haga o se abstenga de hacer cualquier cosa especificada. Cuando la orden aborde una amenaza para la estabilidad o la integridad del sistema financiero del Reino Unido, el CTP, sus directivos y su personal gozarán de inmunidad frente a reclamaciones por daños y perjuicios por las acciones realizadas en cumplimiento de dicha orden .
• Recopilación de información y revisiones por expertos – Los reguladores pueden exigir a los CTP que proporcionen información y encarguen informes realizados por personas cualificadas .
• Medidas de ejecución y disciplinarias – Los reguladores pueden imponer sanciones y adoptar medidas disciplinarias por incumplimiento de las normas CTP, inclusive a través de una declaración de política de ejecución específica para CTP .

¿Pueden los reguladores prohibir a un proveedor de la nube que preste un servicio?

La FSMA de 2023 no incluye un poder explícito e independiente para "prohibir la prestación de servicios" como tal. Sin embargo, la facultad de dirección prevista en el artículo 312N de la FSMA es lo suficientemente amplia como para abarcar ese resultado: un regulador puede ordenar a un CTP que se abstenga de hacer cualquier cosa si parece necesario o conveniente para promover los objetivos de dicho regulador, lo que en la práctica podría incluir la prohibición de prestar un servicio específico que plantee un riesgo sistémico .

Normas de resiliencia y requisitos de prueba que se aplican desde el primer momento

Los requisitos detallados se establecen en la Declaración de Política Conjunta PS16/24 y en la Declaración de Supervisión SS6/24, ambas publicadas en noviembre de 2024 . Los requisitos clave que se aplican desde la fecha de designación incluyen:

• Reglas Fundamentales para CTP – Seis reglas de alto nivel y centradas en resultados que abarcan el gobierno corporativo, la gestión de riesgos, la resiliencia operativa y la cooperación con los reguladores, y que se aplican a todos los servicios que el CTP presta a las entidades financieras .
• Requisitos de riesgo operativo y resiliencia – Los CTP deben identificar, gestionar y recuperarse de las interrupciones de sus "servicios sistémicos de terceros". Deben fijar un nivel máximo tolerable de interrupción para cada uno de dichos servicios .
• Pruebas de escenarios – Los CTP deben realizar pruebas de escenarios para evaluar su capacidad de mantenerse dentro de sus niveles máximos tolerables de interrupción en situaciones graves pero verosímiles .
• Notificación de incidentes – Los CTP deben notificar a los reguladores los incidentes operativos graves que afecten a los servicios sistémicos de terceros .
• Autoevaluaciones anuales – Los CTP deben presentar autoevaluaciones anuales con arreglo a las expectativas de los reguladores, y están sujetos a revisiones exhaustivas y temáticas, incluidos informes de expertos cualificados .

Período transitorio y próximos pasos

El primer año posterior a la designación es una fase de "movilización" centrada en que los reguladores adquieran un conocimiento profundo de las operaciones y el perfil de riesgo de cada CTP. El cumplimiento pleno de todos los requisitos se irá introduciendo gradualmente . Un matiz importante: las normas específicas de resiliencia y los requisitos de prueba se ultimaron antes de que se designara a ningún CTP . Las métricas exactas, los umbrales y los niveles máximos tolerables de interrupción se determinarán mediante un diálogo de supervisión individualizado con cada uno de los cuatro proveedores durante el primer año .