Iso-Britannia nimesi Microsoftin, Googlen, Amazonin ja Oraclen kriittisiksi kolmansiksi osapuoliksi – mitä uusi pilvipalveluiden valvontajärjestelmä tarkoittaa rahoitusvakaudelle

10. heinäkuuta 2026 HM Treasury nimesi neljä pilvipalveluntarjoajaa kriittisiksi kolmansiksi osapuoliksi (CTP) Financial Services and Markets Act 2023 -lain luoman järjestelmän mukaisesti. Nimeäminen astuu voimaan 13. heinäkuuta 2026 . Neljä nimettyä tahoa ovat:

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

Tämä on ensimmäinen kerta, kun Iso-Britannia käyttää uusia lakisääteisiä valtuuksiaan tuodakseen ulkopuoliset teknologiapalveluntarjoajat rahoitusvalvojien suoran valvonnan piiriin. Hallitus totesi nimeämisten "auttavan vähentämään laajamittaisen häiriön riskiä" ja että lisää palveluntarjoajia voidaan nimetä ajan myötä osana jatkuvaa järjestelmää .

Miksi järjestelmä on olemassa: keskittymäriski pilvipalveluissa

Poliittinen peruste juontaa juurensa Financial Policy Committeen (FPC) vuoden 2021 päätelmään, jonka mukaan liiallinen riippuvuus pienestä määrästä pilvipalveluntarjoajia elintärkeissä palveluissa voi lisätä rahoitusvakausriskejä, ellei ole suurempaa suoraa sääntelyvalvontaa . CTP-järjestelmä on suunniteltu nimenomaan tähän, ja sääntelyviranomaiset käyttävät keskittymän ja olennaisuuden kriteerejä tunnistaakseen ja suositellakseen CTP:tä HM Treasurylle .

Mitä uusia valtuuksia Englannin keskuspankilla, PRA:lla ja FCA:lla nyt on?

Financial Services and Markets Act 2023 lisäsi uuden luvun 3C FSMA 2000 -lain osaan XVIII, antaen Englannin keskuspankille, Prudential Regulation Authoritylle (PRA) ja Financial Conduct Authoritylle (FCA) – yhteisesti "sääntelyviranomaiset" – joukon uusia suoria valvontavaltuuksia nimettyjen CTP:iden suhteen . Näitä ovat:

• Sääntelyvalta – Kukin sääntelyviranomainen voi asettaa CTP:lle velvollisuuksia liittyen niiden tarjoamiin palveluihin rahoitusyrityksille, mikäli se on tarpeen sen lakisääteisten tavoitteiden edistämiseksi .
• Määräysvalta – Sääntelyviranomainen voi määrätä CTP:n tekemään tai pidättäytymään tekemästä mitä tahansa määriteltyä. Jos määräys koskee uhkaa Ison-Britannian rahoitusjärjestelmän vakaudelle tai eheydelle, CTP ja sen johto ja henkilökunta saavat korvaussuojan noudattamistaan toimista .
• Tiedonkeruu ja asiantuntijatarkastukset – Sääntelyviranomaiset voivat vaatia CTP:ltä tietoja ja tilata asiantuntijaraportteja .
• Täytäntöönpano ja kurinpitotoimet – Sääntelyviranomaiset voivat määrätä seuraamuksia ja ryhtyä kurinpitotoimiin CTP-sääntöjen rikkomisesta, mukaan lukien oma CTP:n täytäntöönpanopolitiikan lausunto .

Voiko sääntelyviranomainen kieltää pilvipalveluntarjoajaa tarjoamasta palvelua?

FSMA 2023 ei sisällä erillistä nimenomaista valtaa "kieltää palvelujen tarjoaminen". Kuitenkin määräysvalta FSMA:n pykälän 312N nojalla on riittävän laaja kattamaan tällaisen lopputuloksen: sääntelyviranomainen voi määrätä CTP:n pidättäytymään tekemästä mitä tahansa, jos se vaikuttaa tarpeelliselta tai tarkoituksenmukaiselta kyseisen sääntelyviranomaisen tavoitteiden edistämiseksi, mikä käytännössä voi tarkoittaa tietyn systeemiriskiä aiheuttavan palvelun tarjoamisen kieltämistä .

Kestävyysstandardit ja testausvaatimukset, jotka ovat voimassa heti

Yksityiskohtaiset vaatimukset on määritelty sääntelyviranomaisten yhteisessä Policy Statement PS16/24 -asiakirjassa ja Supervisory Statement SS6/24 -asiakirjassa, jotka molemmat julkaistiin marraskuussa 2024 . Keskeiset vaatimukset, jotka ovat voimassa nimeämispäivästä lähtien:

• CTP:n perussäännöt – Kuusi korkean tason, tulossuuntautunutta sääntöä, jotka kattavat hallinnon, riskienhallinnan, toiminnan kestävyyden ja yhteistyön sääntelyviranomaisten kanssa ja jotka koskevat kaikkia CTP:n rahoitusyrityksille tarjoamia palveluita .
• Toiminnallisen riskin ja kestävyyden vaatimukset – CTP:iden on tunnistettava, hallittava ja toivuttava häiriöistä "systeemisissä kolmannen osapuolen palveluissaan". Niiden on asetettava enimmäishäiriötaso kullekin tällaiselle palvelulle .
• Skenaariotestaus – CTP:iden on tehtävä skenaariotestaus arvioidakseen kykyään pysyä enimmäishäiriötasoillaan vakavissa mutta uskottavissa skenaarioissa .
• Häiriöilmoitukset – CTP:iden on ilmoitettava sääntelyviranomaisille aineellisista toiminnallisista häiriöistä, jotka vaikuttavat systeemisiin kolmannen osapuolen palveluihin .
• Vuosittaiset itsearvioinnit – CTP:iden on toimitettava vuosittain itsearviointeja sääntelyviranomaisten odotuksista, ja ne ovat syvällisten ja temaattisten tarkastusten kohteena, mukaan lukien asiantuntijaraportit .

Siirtymäaika ja mitä seuraavaksi

Ensimmäinen vuosi nimeämisen jälkeen on "mobilisaatio"-vaihe, jossa sääntelyviranomaiset keskittyvät ymmärtämään kunkin CTP:n toimintaa ja riskiprofiilia. Täysi vaatimustenmukaisuus kaikkien vaatimusten suhteen otetaan käyttöön vaiheittain . Tärkeä huomautus: erityiset kestävyysstandardit ja testausvaatimukset viimeisteltiin ennen kuin CTP:tä nimettiin . Tarkat mittarit, kynnysarvot ja enimmäishäiriötasot määritetään yksilöllisen valvontayhteistyön kautta kunkin neljän palveluntarjoajan kanssa ensimmäisen vuoden aikana .