英国、金融システムの安定化へ4つのクラウドプロバイダーを「重要サードパーティ」に指定 ─ イングランド銀行、PRA、FCAに新たな規制監督権限

英国、金融システムの安定化へ4つのクラウドプロバイダーを「重要サードパーティ」に指定

2026年7月10日、英国財務省（HM Treasury）は、2023年金融サービス市場法（Financial Services and Markets Act 2023, FSMA 2023）に基づく重要サードパーティ（Critical Third Parties, CTP）制度のもと、4つのクラウドサービスプロバイダーを指定しました。本指定は2026年7月13日付で発効します。

指定された4社

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

金融当局に付与された新たな監督権限

FSMA 2023は、2000年金融サービス市場法（FSMA 2000）の第18部に新たな第3C章を挿入し、イングランド銀行（BoE）、健全性規制機構（PRA）、金融行動監視機構（FCA）の3機関（以下「規制当局」）に対し、指定されたCTPに対する一連の直接監督権限を付与しました。主な権限は以下の通りです。

• ルール策定権限：各規制当局は、CTPが金融機関に提供するサービスに関連して、自らの法定目標を推進するために必要な義務をCTPに課すルールを制定できます。
• 差止命令権限：規制当局はCTPに対して、特定の行為を行うこと、または差し控えることを書面で命じることができます。特に、英国の金融システムの安定性や完全性への脅威を解決・低減するための命令の場合、CTPおよびその役員・従業員は、命令に従った行動に対する損害賠償責任から免除されます。
• 情報収集・スキルドパーソン報告権限：規制当局はCTPに対して情報提供を要求したり、専門家による報告書の作成を命じたりすることができます。
• 執行・懲戒処分権限：規制当局はCTPルール違反に対して罰金や懲戒処分を科すことができ、専用のCTP執行方針声明に基づいて行動します。

なお、本制度には「サービスの提供禁止」という明示的な独立した権限は含まれていませんが、FSMA第312N条に基づく差止命令権限は、規制当局の目的を推進するために必要かつ適切と判断される場合、CTPに特定の行為を差し控えるよう命じることができ、実務上はシステムリスクを伴う特定サービスの提供禁止につながる可能性があります。

レジリエンス基準とテスト要件

規制当局は、2024年11月に共同で政策声明PS16/24 および監督声明SS6/24 を公表し、CTPに適用される具体的なレジリエンス要件を定めています。指定発効日から適用される主な要件は以下の通りです。

• CTP基本ルール：ガバナンス、リスク管理、業務レジリエンス、規制当局との協力などに関する6つのハイレベルで成果志向のルール。CTPが金融機関に提供する全サービスに適用されます。
• オペレーショナルリスク・レジリエンス要件：CTPは、「システム上重要なサードパーティサービス」の中断を特定・管理・回復する義務を負います。各サービスについて最大許容障害レベル（Maximum Tolerable Level of Disruption） を設定しなければなりません。
• シナリオテスト：CTPは、深刻でありながらも現実的なシナリオにおいて、最大許容障害レベルを維持できるかを評価するためのシナリオテストの実施が義務付けられます。
• インシデント通知：CTPは、システム上重要なサードパーティサービスに影響を及ぼす重大な業務インシデントが発生した場合、規制当局に通知しなければなりません。
• 年次自己評価：CTPは、規制当局の期待に対する年次自己評価を提出する必要があり、ディープダイブレビューやスキルドパーソン報告を含むテーマ別レビューの対象となります。
• 移行期間：指定後1年間は「動員」期間と位置づけられ、規制当局が各CTPの理解を深めることに焦点が当てられ、すべての要件への完全な準拠は段階的に求められます。

集中リスクへの対応

本制度の根拠として、集中リスクへの対応が明確に示されています。金融政策委員会（FPC）は2021年、少数のクラウドプロバイダーへの依存度が高まることで、より強力な直接規制監督がなければ金融安定リスクが高まる可能性があると結論づけました。CTP制度はまさにこの問題に対処するために設計されており、規制当局は集中度と重要性の基準を用いてCTP候補を特定し、財務省に推薦します。英国政府は、これらの指定により「広範な障害リスクの低減に貢献する」と述べ、さらに「今後も提供事業者が随時指定される可能性がある」としています。

重要な注意点：上記の具体的なレジリエンス基準やテスト要件は、CTP指定前に策定された2024年の規制当局の政策声明やルールブックに基づいています。実際の具体的な指標、基準値、最大許容障害レベルは、指定後1年間に各4社との個別の監督対話を通じて決定されることになります。