Pourquoi ce régime ? Le risque de concentration dans les services cloud

La raison d'être de cette politique repose sur une conclusion de 2021 du Comité de politique financière (FPC), qui avait mis en garde contre le fait qu'une dépendance accrue à un petit nombre de fournisseurs de cloud pour des services vitaux pouvait accroître les risques pour la stabilité financière en l'absence d'une surveillance réglementaire directe renforcée . Le régime CTP est conçu spécifiquement pour répondre à ce problème, les régulateurs utilisant les critères de concentration et de matérialité pour identifier et recommander des CTP au Trésor .

Quels nouveaux pouvoirs la Banque d'Angleterre, la PRA et la FCA détiennent-elles désormais ?

Le Financial Services and Markets Act 2023 a inséré un nouveau chapitre 3C dans la partie XVIII du FSMA 2000, accordant à la Banque d'Angleterre, à l'Autorité de régulation prudentielle (PRA) et à l'Autorité de conduite financière (FCA)—collectivement appelées « les régulateurs »—une série de nouveaux pouvoirs de supervision directe sur les CTP désignés . Ceux-ci incluent :

• Pouvoir réglementaire – Chaque régulateur peut imposer des obligations aux CTP en lien avec les services qu'ils fournissent aux entreprises financières, si nécessaire pour atteindre ses objectifs statutaires .
• Pouvoir de direction – Un régulateur peut ordonner à un CTP de faire ou de s'abstenir de faire toute action spécifiée. Lorsque la directive répond à une menace pour la stabilité ou l'intégrité du système financier britannique, le CTP, ses dirigeants et son personnel bénéficient d'une immunité contre les dommages pour les actions entreprises en conformité .
• Collecte d'informations et audits par des experts – Les régulateurs peuvent exiger des CTP qu'ils fournissent des informations et commandent des rapports à des experts .
• Mesures disciplinaires et de sanction – Les régulateurs peuvent imposer des pénalités et prendre des mesures disciplinaires en cas de violation des règles CTP, notamment via une déclaration de politique de sanction dédiée .

Les régulateurs peuvent-ils interdire à un fournisseur cloud de proposer un service ?

Le FSMA 2023 ne comporte pas de pouvoir explicite autonome pour « interdire la fourniture de services ». Cependant, le pouvoir de direction prévu à l'article 312N du FSMA est suffisamment large pour couvrir une telle issue : un régulateur peut ordonner à un CTP de s'abstenir de faire quoi que ce soit si cela lui paraît nécessaire ou opportun pour atteindre ses objectifs, ce qui pourrait en pratique inclure l'interdiction de la fourniture d'un service spécifique présentant un risque systémique .

Normes de résilience et exigences de test applicables dès le premier jour

Les exigences détaillées sont énoncées dans la déclaration de politique conjointe des régulateurs PS16/24 et la déclaration de surveillance SS6/24, toutes deux publiées en novembre 2024 . Les principales exigences qui s'appliquent à compter de la date de désignation sont les suivantes :

• Règles fondamentales pour les CTP – Six règles de haut niveau, axées sur les résultats, couvrant la gouvernance, la gestion des risques, la résilience opérationnelle et la coopération avec les régulateurs, et s'appliquant à tous les services que le CTP fournit aux entreprises financières .
• Exigences en matière de risque opérationnel et de résilience – Les CTP doivent identifier, gérer et se remettre des perturbations affectant leurs « services tiers systémiques ». Ils doivent fixer un niveau maximal tolérable de perturbation pour chacun de ces services .
• Tests de scénarios – Les CTP doivent effectuer des tests de scénarios pour évaluer leur capacité à rester dans les limites de leurs niveaux maximaux tolérables de perturbation face à des scénarios graves mais plausibles .
• Notification des incidents – Les CTP doivent informer les régulateurs de tout incident opérationnel important affectant les services tiers systémiques .
• Auto-évaluations annuelles – Les CTP doivent fournir des auto-évaluations annuelles par rapport aux attentes des régulateurs et sont soumis à des examens approfondis et thématiques, y compris des rapports d'experts .

Période transitoire et prochaines étapes

La première année suivant la désignation est une phase de « mobilisation » axée sur la compréhension par les régulateurs des opérations et du profil de risque de chaque CTP. La conformité totale à toutes les exigences sera mise en œuvre progressivement . Une mise en garde importante : les normes de résilience spécifiques et les exigences de test ont été finalisées avant que les CTP ne soient désignés . Les mesures, seuils et niveaux maximaux tolérables de perturbation exacts seront déterminés par un engagement de surveillance individuel avec chacun des quatre fournisseurs au cours de la première année .

Pourquoi ce régime ? Le risque de concentration dans les services cloud

La raison d'être de cette politique repose sur une conclusion de 2021 du Comité de politique financière (FPC), qui avait mis en garde contre le fait qu'une dépendance accrue à un petit nombre de fournisseurs de cloud pour des services vitaux pouvait accroître les risques pour la stabilité financière en l'absence d'une surveillance réglementaire directe renforcée . Le régime CTP est conçu spécifiquement pour répondre à ce problème, les régulateurs utilisant les critères de concentration et de matérialité pour identifier et recommander des CTP au Trésor .

Quels nouveaux pouvoirs la Banque d'Angleterre, la PRA et la FCA détiennent-elles désormais ?

Le Financial Services and Markets Act 2023 a inséré un nouveau chapitre 3C dans la partie XVIII du FSMA 2000, accordant à la Banque d'Angleterre, à l'Autorité de régulation prudentielle (PRA) et à l'Autorité de conduite financière (FCA)—collectivement appelées « les régulateurs »—une série de nouveaux pouvoirs de supervision directe sur les CTP désignés . Ceux-ci incluent :

• Pouvoir réglementaire – Chaque régulateur peut imposer des obligations aux CTP en lien avec les services qu'ils fournissent aux entreprises financières, si nécessaire pour atteindre ses objectifs statutaires .
• Pouvoir de direction – Un régulateur peut ordonner à un CTP de faire ou de s'abstenir de faire toute action spécifiée. Lorsque la directive répond à une menace pour la stabilité ou l'intégrité du système financier britannique, le CTP, ses dirigeants et son personnel bénéficient d'une immunité contre les dommages pour les actions entreprises en conformité .
• Collecte d'informations et audits par des experts – Les régulateurs peuvent exiger des CTP qu'ils fournissent des informations et commandent des rapports à des experts .
• Mesures disciplinaires et de sanction – Les régulateurs peuvent imposer des pénalités et prendre des mesures disciplinaires en cas de violation des règles CTP, notamment via une déclaration de politique de sanction dédiée .

Les régulateurs peuvent-ils interdire à un fournisseur cloud de proposer un service ?

Le FSMA 2023 ne comporte pas de pouvoir explicite autonome pour « interdire la fourniture de services ». Cependant, le pouvoir de direction prévu à l'article 312N du FSMA est suffisamment large pour couvrir une telle issue : un régulateur peut ordonner à un CTP de s'abstenir de faire quoi que ce soit si cela lui paraît nécessaire ou opportun pour atteindre ses objectifs, ce qui pourrait en pratique inclure l'interdiction de la fourniture d'un service spécifique présentant un risque systémique .

Normes de résilience et exigences de test applicables dès le premier jour

Les exigences détaillées sont énoncées dans la déclaration de politique conjointe des régulateurs PS16/24 et la déclaration de surveillance SS6/24, toutes deux publiées en novembre 2024 . Les principales exigences qui s'appliquent à compter de la date de désignation sont les suivantes :

• Règles fondamentales pour les CTP – Six règles de haut niveau, axées sur les résultats, couvrant la gouvernance, la gestion des risques, la résilience opérationnelle et la coopération avec les régulateurs, et s'appliquant à tous les services que le CTP fournit aux entreprises financières .
• Exigences en matière de risque opérationnel et de résilience – Les CTP doivent identifier, gérer et se remettre des perturbations affectant leurs « services tiers systémiques ». Ils doivent fixer un niveau maximal tolérable de perturbation pour chacun de ces services .
• Tests de scénarios – Les CTP doivent effectuer des tests de scénarios pour évaluer leur capacité à rester dans les limites de leurs niveaux maximaux tolérables de perturbation face à des scénarios graves mais plausibles .
• Notification des incidents – Les CTP doivent informer les régulateurs de tout incident opérationnel important affectant les services tiers systémiques .
• Auto-évaluations annuelles – Les CTP doivent fournir des auto-évaluations annuelles par rapport aux attentes des régulateurs et sont soumis à des examens approfondis et thématiques, y compris des rapports d'experts .

Période transitoire et prochaines étapes

La première année suivant la désignation est une phase de « mobilisation » axée sur la compréhension par les régulateurs des opérations et du profil de risque de chaque CTP. La conformité totale à toutes les exigences sera mise en œuvre progressivement . Une mise en garde importante : les normes de résilience spécifiques et les exigences de test ont été finalisées avant que les CTP ne soient désignés . Les mesures, seuils et niveaux maximaux tolérables de perturbation exacts seront déterminés par un engagement de surveillance individuel avec chacun des quatre fournisseurs au cours de la première année .