מדוע המשטר קיים: סיכון הריכוזיות בשירותי הענן

הרציונל המדיניותי נעוץ במסקנה משנת 2021 של הוועדה למדיניות פיננסית (Financial Policy Committee – FPC), אשר הזהירה כי הסתמכות גוברת על מספר מצומצם של ספקי ענן לשירותים חיוניים עלולה להגביר סיכונים ליציבות הפיננסית בהיעדר פיקוח רגולטורי ישיר . משטר ה-CTP תוכנן במיוחד כדי להתמודד עם זאת, כאשר הרגולטורים משתמשים בקריטריונים של ריכוזיות (concentration) ו-מהותיות (materiality) כדי לזהות ולהמליץ על CTPs בפני משרד האוצר .

אילו סמכויות חדשות יש לבנק אוף אינגלנד, PRA ו-FCA?

חוק השירותים והשווקים הפיננסיים 2023 הוסיף פרק 3C חדש לחלק XVIII של חוק השירותים והשווקים הפיננסיים 2000 (FSMA 2000), המעניק לבנק אוף אינגלנד, הרשות לפיקוח זהירות (PRA) והרשות להתנהלות פיננסית (FCA) – המכונים יחד "הרגולטורים" – מגוון סמכויות פיקוח ישירות חדשות על CTPs מוגדרים . סמכויות אלו כוללות:

• סמכות חקיקה (Rule-making power) – כל רגולטור רשאי להטיל חובות על CTPs בקשר לשירותים שהם מספקים לגופים פיננסיים, ככל שהדבר נחוץ לקידום מטרותיו הסטטוטוריות .
• סמכות הוראה (Power of direction) – רגולטור רשאי להורות ל-CTP לעשות, או להימנע מלעשות, כל דבר המפורש בהוראה. במקרים שבהם ההוראה נועדה לטפל באיום על היציבות או השלמות של המערכת הפיננסית הבריטית, ה-CTP, נושאי המשרה והעובדים שלו זכאים לחסינות מתביעות נזיקין בגין פעולות שנעשו בהתאם להוראה .
• גביית מידע ובדיקות על ידי מומחים חיצוניים (Skilled-person reviews) – הרגולטורים יכולים לדרוש מ-CTPs לספק מידע ולהזמין דוחות על ידי מומחים .
• אכיפה ואמצעים משמעתיים – הרגולטורים רשאים להטיל קנסות ולנקוט בצעדים משמעתיים בגין הפרות של כללי CTP, כולל באמצעות הצהרת מדיניות אכיפה ייעודית .

האם רגולטורים יכולים לאסור על ספק ענן להציע שירות?

חוק FSMA 2023 אינו כולל סמכות עצמאית מפורשת בשם "איסור מתן שירות". עם זאת, סמכות ההוראה לפי סעיף 312N לחוק FSMA רחבה דיה כדי לכסות תוצאה כזו: רגולטור יכול להורות ל-CTP להימנע מלעשות כל דבר שנראה בעיניו הכרחי או מועיל לקידום מטרותיו, מה שבפועל יכול לכלול איסור על אספקת שירות ספציפי המהווה סיכון מערכתי .

תקני עמידות ודרישות בדיקה החלים מהיום הראשון

הדרישות המפורטות קבועות במסמך המדיניות המשותף של הרגולטורים, PS16/24, ובמסמך הפיקוח SS6/24, שניהם פורסמו בנובמבר 2024 . דרישות מרכזיות החלות ממועד ההגדרה כוללות:

• כללי היסוד ל-CTP (CTP Fundamental Rules) – שישה כללים עתירי תוצאות ברמה גבוהה המכסים ממשל תאגידי, ניהול סיכונים, עמידות תפעולית ושיתוף פעולה עם הרגולטורים, החלים על כל השירותים שה-CTP מספק לגופים פיננסיים .
• דרישות סיכון תפעולי ועמידות – CTPs חייבים לזהות, לנהל ולהתאושש משיבושים ב"שירותי הצד השלישי המערכתיים" שלהם. הם נדרשים לקבוע רמה מקסימלית נסבלת של שיבוש (maximum tolerable level of disruption) עבור כל שירות כזה .
• בדיקות תרחישים (Scenario testing) – CTPs נדרשים לערוך בדיקות תרחישים כדי להעריך את יכולתם להישאר בגבולות רמות השיבוש המקסימליות הנסבלות תחת תרחישים חמורים אך סבירים .
• דיווח על אירועים (Incident notification) – CTPs חייבים להודיע לרגולטורים על אירועים תפעוליים מהותיים המשפיעים על שירותי צד שלישי מערכתיים .
• הערכות עצמיות שנתיות – CTPs חייבים לספק הערכות עצמיות שנתיות מול ציפיות הרגולטורים, והם כפופים לסקירות עומק וסקירות נושאיות, כולל דוחות מומחים חיצוניים .

תקופת מעבר ומה הלאה?

השנה הראשונה לאחר ההגדרה היא שלב "גיוס" (mobilisation) המתמקד בבניית הבנה של הרגולטורים על פעולותיו ופרופיל הסיכון של כל CTP. ציות מלא לכל הדרישות יוטל בהדרגה לאורך זמן . הערה חשובה: תקני העמידות ודרישות הבדיקה הספציפיות גובשו לפני שהוגדרו CTPs כלשהם . המדדים, הספים ורמות השיבוש המקסימליות הנסבלות המדויקות ייקבעו באמצעות מעורבות פיקוח פרטנית עם כל אחד מארבעת הספקים במהלך השנה הראשונה .

מדוע המשטר קיים: סיכון הריכוזיות בשירותי הענן

הרציונל המדיניותי נעוץ במסקנה משנת 2021 של הוועדה למדיניות פיננסית (Financial Policy Committee – FPC), אשר הזהירה כי הסתמכות גוברת על מספר מצומצם של ספקי ענן לשירותים חיוניים עלולה להגביר סיכונים ליציבות הפיננסית בהיעדר פיקוח רגולטורי ישיר . משטר ה-CTP תוכנן במיוחד כדי להתמודד עם זאת, כאשר הרגולטורים משתמשים בקריטריונים של ריכוזיות (concentration) ו-מהותיות (materiality) כדי לזהות ולהמליץ על CTPs בפני משרד האוצר .

אילו סמכויות חדשות יש לבנק אוף אינגלנד, PRA ו-FCA?

חוק השירותים והשווקים הפיננסיים 2023 הוסיף פרק 3C חדש לחלק XVIII של חוק השירותים והשווקים הפיננסיים 2000 (FSMA 2000), המעניק לבנק אוף אינגלנד, הרשות לפיקוח זהירות (PRA) והרשות להתנהלות פיננסית (FCA) – המכונים יחד "הרגולטורים" – מגוון סמכויות פיקוח ישירות חדשות על CTPs מוגדרים . סמכויות אלו כוללות:

• סמכות חקיקה (Rule-making power) – כל רגולטור רשאי להטיל חובות על CTPs בקשר לשירותים שהם מספקים לגופים פיננסיים, ככל שהדבר נחוץ לקידום מטרותיו הסטטוטוריות .
• סמכות הוראה (Power of direction) – רגולטור רשאי להורות ל-CTP לעשות, או להימנע מלעשות, כל דבר המפורש בהוראה. במקרים שבהם ההוראה נועדה לטפל באיום על היציבות או השלמות של המערכת הפיננסית הבריטית, ה-CTP, נושאי המשרה והעובדים שלו זכאים לחסינות מתביעות נזיקין בגין פעולות שנעשו בהתאם להוראה .
• גביית מידע ובדיקות על ידי מומחים חיצוניים (Skilled-person reviews) – הרגולטורים יכולים לדרוש מ-CTPs לספק מידע ולהזמין דוחות על ידי מומחים .
• אכיפה ואמצעים משמעתיים – הרגולטורים רשאים להטיל קנסות ולנקוט בצעדים משמעתיים בגין הפרות של כללי CTP, כולל באמצעות הצהרת מדיניות אכיפה ייעודית .

האם רגולטורים יכולים לאסור על ספק ענן להציע שירות?

חוק FSMA 2023 אינו כולל סמכות עצמאית מפורשת בשם "איסור מתן שירות". עם זאת, סמכות ההוראה לפי סעיף 312N לחוק FSMA רחבה דיה כדי לכסות תוצאה כזו: רגולטור יכול להורות ל-CTP להימנע מלעשות כל דבר שנראה בעיניו הכרחי או מועיל לקידום מטרותיו, מה שבפועל יכול לכלול איסור על אספקת שירות ספציפי המהווה סיכון מערכתי .

תקני עמידות ודרישות בדיקה החלים מהיום הראשון

הדרישות המפורטות קבועות במסמך המדיניות המשותף של הרגולטורים, PS16/24, ובמסמך הפיקוח SS6/24, שניהם פורסמו בנובמבר 2024 . דרישות מרכזיות החלות ממועד ההגדרה כוללות:

• כללי היסוד ל-CTP (CTP Fundamental Rules) – שישה כללים עתירי תוצאות ברמה גבוהה המכסים ממשל תאגידי, ניהול סיכונים, עמידות תפעולית ושיתוף פעולה עם הרגולטורים, החלים על כל השירותים שה-CTP מספק לגופים פיננסיים .
• דרישות סיכון תפעולי ועמידות – CTPs חייבים לזהות, לנהל ולהתאושש משיבושים ב"שירותי הצד השלישי המערכתיים" שלהם. הם נדרשים לקבוע רמה מקסימלית נסבלת של שיבוש (maximum tolerable level of disruption) עבור כל שירות כזה .
• בדיקות תרחישים (Scenario testing) – CTPs נדרשים לערוך בדיקות תרחישים כדי להעריך את יכולתם להישאר בגבולות רמות השיבוש המקסימליות הנסבלות תחת תרחישים חמורים אך סבירים .
• דיווח על אירועים (Incident notification) – CTPs חייבים להודיע לרגולטורים על אירועים תפעוליים מהותיים המשפיעים על שירותי צד שלישי מערכתיים .
• הערכות עצמיות שנתיות – CTPs חייבים לספק הערכות עצמיות שנתיות מול ציפיות הרגולטורים, והם כפופים לסקירות עומק וסקירות נושאיות, כולל דוחות מומחים חיצוניים .

תקופת מעבר ומה הלאה?

השנה הראשונה לאחר ההגדרה היא שלב "גיוס" (mobilisation) המתמקד בבניית הבנה של הרגולטורים על פעולותיו ופרופיל הסיכון של כל CTP. ציות מלא לכל הדרישות יוטל בהדרגה לאורך זמן . הערה חשובה: תקני העמידות ודרישות הבדיקה הספציפיות גובשו לפני שהוגדרו CTPs כלשהם . המדדים, הספים ורמות השיבוש המקסימליות הנסבלות המדויקות ייקבעו באמצעות מעורבות פיקוח פרטנית עם כל אחד מארבעת הספקים במהלך השנה הראשונה .