英国、金融システムの安定化へ4つのクラウドプロバイダーを「重要サードパーティ」に指定 ─ イングランド銀行、PRA、FCAに新たな規制監督権限

なお、本制度には「サービスの提供禁止」という明示的な独立した権限は含まれていませんが、FSMA第312N条に基づく差止命令権限は、規制当局の目的を推進するために必要かつ適切と判断される場合、CTPに特定の行為を差し控えるよう命じることができ、実務上はシステムリスクを伴う特定サービスの提供禁止につながる可能性があります。

レジリエンス基準とテスト要件

規制当局は、2024年11月に共同で政策声明PS16/24 および監督声明SS6/24 を公表し、CTPに適用される具体的なレジリエンス要件を定めています。指定発効日から適用される主な要件は以下の通りです。

• CTP基本ルール：ガバナンス、リスク管理、業務レジリエンス、規制当局との協力などに関する6つのハイレベルで成果志向のルール。CTPが金融機関に提供する全サービスに適用されます。
• オペレーショナルリスク・レジリエンス要件：CTPは、「システム上重要なサードパーティサービス」の中断を特定・管理・回復する義務を負います。各サービスについて最大許容障害レベル（Maximum Tolerable Level of Disruption） を設定しなければなりません。
• シナリオテスト：CTPは、深刻でありながらも現実的なシナリオにおいて、最大許容障害レベルを維持できるかを評価するためのシナリオテストの実施が義務付けられます。
• インシデント通知：CTPは、システム上重要なサードパーティサービスに影響を及ぼす重大な業務インシデントが発生した場合、規制当局に通知しなければなりません。
• 年次自己評価：CTPは、規制当局の期待に対する年次自己評価を提出する必要があり、ディープダイブレビューやスキルドパーソン報告を含むテーマ別レビューの対象となります。
• 移行期間：指定後1年間は「動員」期間と位置づけられ、規制当局が各CTPの理解を深めることに焦点が当てられ、すべての要件への完全な準拠は段階的に求められます。

集中リスクへの対応

本制度の根拠として、集中リスクへの対応が明確に示されています。金融政策委員会（FPC）は2021年、少数のクラウドプロバイダーへの依存度が高まることで、より強力な直接規制監督がなければ金融安定リスクが高まる可能性があると結論づけました。CTP制度はまさにこの問題に対処するために設計されており、規制当局は集中度と重要性の基準を用いてCTP候補を特定し、財務省に推薦します。英国政府は、これらの指定により「広範な障害リスクの低減に貢献する」と述べ、さらに「今後も提供事業者が随時指定される可能性がある」としています。

重要な注意点：上記の具体的なレジリエンス基準やテスト要件は、CTP指定前に策定された2024年の規制当局の政策声明やルールブックに基づいています。実際の具体的な指標、基準値、最大許容障害レベルは、指定後1年間に各4社との個別の監督対話を通じて決定されることになります。