Ini adalah pertama kalinya Inggris menggunakan kewenangan statutori barunya untuk membawa penyedia teknologi eksternal ke dalam pengawasan langsung regulator keuangan. Pemerintah menyatakan bahwa penetapan ini akan "membantu mengurangi risiko gangguan yang meluas" dan bahwa lebih banyak penyedia dapat ditetapkan seiring waktu sebagai bagian dari rezim yang berkelanjutan .

Mengapa rezim ini ada: risiko konsentrasi di layanan cloud

Alasan kebijakan ini berakar pada kesimpulan Komite Kebijakan Keuangan (FPC) pada tahun 2021. FPC memperingatkan bahwa meningkatnya ketergantungan pada sejumlah kecil penyedia cloud untuk layanan vital dapat meningkatkan risiko stabilitas keuangan jika tidak ada pengawasan regulasi langsung yang lebih besar . Rezim CTP dirancang khusus untuk mengatasi hal ini, dengan regulator menggunakan kriteria konsentrasi dan materialitas untuk mengidentifikasi dan merekomendasikan CTP kepada HM Treasury .

Kewenangan baru apa yang dimiliki Bank of England, PRA, dan FCA?

Financial Services and Markets Act 2023 menambahkan Bab 3C baru ke dalam Bagian XVIII dari FSMA 2000, memberikan Bank of England, Prudential Regulation Authority (PRA), dan Financial Conduct Authority (FCA)—yang secara kolektif disebut "para regulator"—serangkaian kewenangan pengawasan langsung baru atas CTP yang ditetapkan . Kewenangan ini meliputi:

• Kewenangan membuat aturan (rule-making power) – Setiap regulator dapat memberlakukan kewajiban pada CTP sehubungan dengan layanan yang mereka berikan kepada perusahaan keuangan, sepanjang diperlukan untuk memajukan tujuan statutorinya .
• Kewenangan memberi perintah (power of direction) – Regulator dapat memerintahkan CTP untuk melakukan, atau tidak melakukan, apa pun yang ditentukan. Jika perintah tersebut ditujukan untuk mengatasi ancaman terhadap stabilitas atau integritas sistem keuangan Inggris, CTP beserta pejabat dan stafnya mendapat kekebalan dari tuntutan ganti rugi atas tindakan yang sesuai dengan perintah tersebut .
• Pengumpulan informasi dan peninjauan oleh tenaga ahli – Regulator dapat mewajibkan CTP untuk memberikan informasi dan menugaskan laporan dari tenaga ahli .
• Tindakan penegakan dan disipliner – Regulator dapat menjatuhkan sanksi dan mengambil tindakan disipliner atas pelanggaran aturan CTP, termasuk melalui pernyataan kebijakan penegakan CTP khusus .

Bisakah regulator melarang penyedia cloud menawarkan layanan tertentu?

FSMA 2023 tidak secara eksplisit menyebutkan kewenangan mandiri untuk "melarang penyediaan layanan". Namun, kewenangan memberi perintah berdasarkan Pasal 312N FSMA cukup luas untuk mencakup hasil tersebut: regulator dapat memerintahkan CTP untuk tidak melakukan sesuatu jika hal itu dianggap perlu atau tepat untuk memajukan tujuan regulator tersebut. Ini secara praktis dapat mencakup larangan penyediaan layanan tertentu yang menimbulkan risiko sistemik .

Standar ketahanan dan persyaratan pengujian yang berlaku

Persyaratan rinci diatur dalam Pernyataan Kebijakan bersama regulator PS16/24 dan Pernyataan Supervisi SS6/24, yang keduanya diterbitkan pada November 2024 . Persyaratan utama yang berlaku sejak tanggal penetapan meliputi:

• Aturan Fundamental CTP – Enam aturan tingkat tinggi yang berfokus pada hasil, mencakup tata kelola, manajemen risiko, ketahanan operasional, dan kerja sama dengan regulator. Aturan ini berlaku untuk semua layanan yang diberikan CTP kepada perusahaan keuangan .
• Persyaratan risiko operasional dan ketahanan – CTP harus mengidentifikasi, mengelola, dan memulihkan diri dari gangguan pada "layanan pihak ketiga yang sistemik". Mereka harus menetapkan tingkat gangguan maksimal yang dapat ditoleransi untuk setiap layanan tersebut .
• Pengujian skenario – CTP wajib melakukan pengujian skenario untuk menilai kemampuan mereka tetap berada dalam tingkat gangguan maksimal yang dapat ditoleransi dalam skenario yang parah namun masuk akal .
• Pemberitahuan insiden – CTP harus memberitahukan kepada regulator tentang insiden operasional material yang memengaruhi layanan pihak ketiga yang sistemik .
• Asesmen mandiri tahunan – CTP harus memberikan asesmen mandiri tahunan terhadap ekspektasi regulator, dan mereka dapat menjalani peninjauan mendalam dan tematik, termasuk laporan dari tenaga ahli .

Masa transisi dan langkah selanjutnya

Tahun pertama setelah penetapan merupakan fase "mobilisasi" yang berfokus pada pemahaman regulator terhadap operasi dan profil risiko masing-masing CTP. Kepatuhan penuh terhadap semua persyaratan akan dilakukan secara bertahap . Catatan penting: standar ketahanan dan persyaratan pengujian spesifik telah ditetapkan sebelum CTP mana pun ditetapkan . Metrik, ambang batas, dan tingkat gangguan maksimal yang dapat ditoleransi akan ditentukan melalui keterlibatan pengawasan individu dengan masing-masing dari keempat penyedia selama tahun pertama .

Ini adalah pertama kalinya Inggris menggunakan kewenangan statutori barunya untuk membawa penyedia teknologi eksternal ke dalam pengawasan langsung regulator keuangan. Pemerintah menyatakan bahwa penetapan ini akan "membantu mengurangi risiko gangguan yang meluas" dan bahwa lebih banyak penyedia dapat ditetapkan seiring waktu sebagai bagian dari rezim yang berkelanjutan .

Mengapa rezim ini ada: risiko konsentrasi di layanan cloud

Alasan kebijakan ini berakar pada kesimpulan Komite Kebijakan Keuangan (FPC) pada tahun 2021. FPC memperingatkan bahwa meningkatnya ketergantungan pada sejumlah kecil penyedia cloud untuk layanan vital dapat meningkatkan risiko stabilitas keuangan jika tidak ada pengawasan regulasi langsung yang lebih besar . Rezim CTP dirancang khusus untuk mengatasi hal ini, dengan regulator menggunakan kriteria konsentrasi dan materialitas untuk mengidentifikasi dan merekomendasikan CTP kepada HM Treasury .

Kewenangan baru apa yang dimiliki Bank of England, PRA, dan FCA?

Financial Services and Markets Act 2023 menambahkan Bab 3C baru ke dalam Bagian XVIII dari FSMA 2000, memberikan Bank of England, Prudential Regulation Authority (PRA), dan Financial Conduct Authority (FCA)—yang secara kolektif disebut "para regulator"—serangkaian kewenangan pengawasan langsung baru atas CTP yang ditetapkan . Kewenangan ini meliputi:

• Kewenangan membuat aturan (rule-making power) – Setiap regulator dapat memberlakukan kewajiban pada CTP sehubungan dengan layanan yang mereka berikan kepada perusahaan keuangan, sepanjang diperlukan untuk memajukan tujuan statutorinya .
• Kewenangan memberi perintah (power of direction) – Regulator dapat memerintahkan CTP untuk melakukan, atau tidak melakukan, apa pun yang ditentukan. Jika perintah tersebut ditujukan untuk mengatasi ancaman terhadap stabilitas atau integritas sistem keuangan Inggris, CTP beserta pejabat dan stafnya mendapat kekebalan dari tuntutan ganti rugi atas tindakan yang sesuai dengan perintah tersebut .
• Pengumpulan informasi dan peninjauan oleh tenaga ahli – Regulator dapat mewajibkan CTP untuk memberikan informasi dan menugaskan laporan dari tenaga ahli .
• Tindakan penegakan dan disipliner – Regulator dapat menjatuhkan sanksi dan mengambil tindakan disipliner atas pelanggaran aturan CTP, termasuk melalui pernyataan kebijakan penegakan CTP khusus .

Bisakah regulator melarang penyedia cloud menawarkan layanan tertentu?

FSMA 2023 tidak secara eksplisit menyebutkan kewenangan mandiri untuk "melarang penyediaan layanan". Namun, kewenangan memberi perintah berdasarkan Pasal 312N FSMA cukup luas untuk mencakup hasil tersebut: regulator dapat memerintahkan CTP untuk tidak melakukan sesuatu jika hal itu dianggap perlu atau tepat untuk memajukan tujuan regulator tersebut. Ini secara praktis dapat mencakup larangan penyediaan layanan tertentu yang menimbulkan risiko sistemik .

Standar ketahanan dan persyaratan pengujian yang berlaku

Persyaratan rinci diatur dalam Pernyataan Kebijakan bersama regulator PS16/24 dan Pernyataan Supervisi SS6/24, yang keduanya diterbitkan pada November 2024 . Persyaratan utama yang berlaku sejak tanggal penetapan meliputi:

• Aturan Fundamental CTP – Enam aturan tingkat tinggi yang berfokus pada hasil, mencakup tata kelola, manajemen risiko, ketahanan operasional, dan kerja sama dengan regulator. Aturan ini berlaku untuk semua layanan yang diberikan CTP kepada perusahaan keuangan .
• Persyaratan risiko operasional dan ketahanan – CTP harus mengidentifikasi, mengelola, dan memulihkan diri dari gangguan pada "layanan pihak ketiga yang sistemik". Mereka harus menetapkan tingkat gangguan maksimal yang dapat ditoleransi untuk setiap layanan tersebut .
• Pengujian skenario – CTP wajib melakukan pengujian skenario untuk menilai kemampuan mereka tetap berada dalam tingkat gangguan maksimal yang dapat ditoleransi dalam skenario yang parah namun masuk akal .
• Pemberitahuan insiden – CTP harus memberitahukan kepada regulator tentang insiden operasional material yang memengaruhi layanan pihak ketiga yang sistemik .
• Asesmen mandiri tahunan – CTP harus memberikan asesmen mandiri tahunan terhadap ekspektasi regulator, dan mereka dapat menjalani peninjauan mendalam dan tematik, termasuk laporan dari tenaga ahli .

Masa transisi dan langkah selanjutnya

Tahun pertama setelah penetapan merupakan fase "mobilisasi" yang berfokus pada pemahaman regulator terhadap operasi dan profil risiko masing-masing CTP. Kepatuhan penuh terhadap semua persyaratan akan dilakukan secara bertahap . Catatan penting: standar ketahanan dan persyaratan pengujian spesifik telah ditetapkan sebelum CTP mana pun ditetapkan . Metrik, ambang batas, dan tingkat gangguan maksimal yang dapat ditoleransi akan ditentukan melalui keterlibatan pengawasan individu dengan masing-masing dari keempat penyedia selama tahun pertama .