영국, 마이크로소프트·구글·아마존·오라클을 '핵심 제3자'로 지정…클라우드 집중 리스크 해소 나서

2026년 7월 10일, 영국 재무부(HM Treasury)는 2023년 금융서비스시장법(FSMA 2023) 에 따라 창설된 '핵심 제3자(CTP)' 제도 아래 4개 클라우드 서비스 제공업체를 공식 지정했습니다. 지정은 2026년 7월 13일부터 효력을 발휘합니다 . 지정된 업체는 다음과 같습니다.

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

이는 영국이 새로운 법적 권한을 처음으로 행사해 외부 기술 제공업체를 금융 감독 기관의 직접 감독 아래에 둔 사례입니다. 영국 정부는 이번 지정이 "광범위한 혼란 위험을 줄이는 데 도움이 될 것"이라며, 앞으로 더 많은 업체가 단계적으로 추가될 수 있다고 밝혔습니다 .

규제 도입 배경: 클라우드 서비스 집중 리스크(Concentration Risk)

이 제도의 정책적 근거는 2021년 영국 금융정책위원회(FPC)의 결론으로 거슬러 올라갑니다. FPC는 소수의 클라우드 제공업체에 대한 금융권 의존도가 심화되면서, 이들에 대한 직접적인 규제 감독이 없으면 금융 안정성 리스크가 커질 수 있다고 경고했습니다 . CTP 제도는 바로 이러한 문제를 해결하기 위해 설계되었으며, 규제 기관은 **집중도(Concentration)**와 **중요도(Materiality)**라는 두 가지 기준을 사용해 CTP를 식별하고 재무부에 지정을 권고합니다 .

영란은행·PRA·FCA가 새롭게 갖게 된 권한

2023년 금융서비스시장법은 2000년 금융서비스시장법(FSMA 2000)에 새로운 3C장(Chapter 3C)을 삽입하여, 영란은행(BoE), 건전성규제청(PRA), 금융행위청(FCA) — 통칭 '규제 기관' — 에게 지정된 CTP에 대한 새로운 직접 감독 권한을 부여했습니다 . 주요 권한은 다음과 같습니다.

• 규칙 제정권(Rule-making power) – 각 규제 기관은 자신의 법정 목적을 달성하기 위해 필요하다면, CTP가 금융 회사에 서비스를 제공하는 것과 관련하여 의무를 부과하는 규칙을 만들 수 있습니다 .
• 지시권(Power of direction) – 규제 기관은 CTP에게 특정 행위를 하거나 금지하도록 지시할 수 있습니다. 만약 이 지시가 영국 금융 시스템의 안정성이나 건전성에 대한 위협을 해결하기 위한 것이라면, 지시에 따라 행동한 CTP와 그 임직원은 손해 배상 책임으로부터 면제됩니다 .
• 정보 수집 및 전문가 조사(Information gathering and skilled-person reviews) – 규제 기관은 CTP에 정보를 요구하고, 전문가(스킬드 퍼슨) 보고서를 발주할 수 있습니다 .
• 집행 및 징계 조치(Enforcement and disciplinary measures) – 규제 기관은 CTP 규칙 위반에 대해 벌금을 부과하고 징계 조치를 취할 수 있으며, 이를 위한 전담 CTP 집행 정책 성명서도 마련되어 있습니다 .

규제 기관이 클라우드 제공업체의 서비스를 금지할 수 있을까?

FSMA 2023에는 명시적으로 "서비스 제공 금지"라는 독립된 권한이 명시되어 있지 않습니다. 하지만 FSMA의 지시권(제312N조) 은 그러한 결과를 포함할 수 있을 만큼 광범위합니다. 규제 기관은 자체 목적을 위해 필요하거나 적절하다고 판단되면 CTP에게 특정 행위를 하지 않도록 지시할 수 있으며, 이는 실제로 체계적 위험을 초래하는 특정 서비스의 제공을 금지하는 결과를 초래할 수 있습니다 .

지정 첫날부터 적용되는 복원력 기준 및 테스트 요구사항

세부 요구 사항은 2024년 11월에 발표된 규제 기관 공동 정책 성명서 PS16/24 및 감독 성명서 SS6/24에 명시되어 있습니다 . 지정일부터 적용되는 주요 요구사항은 다음과 같습니다.

• CTP 기본 규칙(Fundamental Rules) – 거버넌스, 리스크 관리, 운영 복원력, 규제 기관과의 협력 등에 관한 6가지 높은 수준의 결과 중심 규칙으로, CTP가 금융 회사에 제공하는 모든 서비스에 적용됩니다 .
• 운영 리스크 및 복원력 요구사항 – CTP는 '체계적 제3자 서비스(systemic third party services)'의 중단을 식별, 관리, 복구해야 합니다. 각 서비스별로 최대 허용 가능한 장애 수준(maximum tolerable level of disruption) 을 설정해야 합니다 .
• 시나리오 테스트 – CTP는 심각하지만 발생 가능한 시나리오에서 최대 허용 장애 수준을 유지할 수 있는지 평가하기 위한 시나리오 테스트를 수행해야 합니다 .
• 사고 통보(Incident notification) – CTP는 체계적 제3자 서비스에 영향을 미치는 중대한 운영 사고를 규제 기관에 통보해야 합니다 .
• 연간 자체 평가 – CTP는 규제 기관의 기대치에 대한 연간 자체 평가를 제출해야 하며, 심층 조사 및 주제별 검토(전문가 보고서 포함)를 받을 수 있습니다 .

전환 기간 및 향후 일정

지정 후 첫 1년은 '준비 기간(mobilisation phase)'으로, 규제 기관이 각 CTP의 운영 및 위험 프로필에 대한 이해를 구축하는 데 초점을 맞춥니다. 모든 요구 사항에 대한 완전한 준수는 시간이 지남에 따라 단계적으로 도입될 예정입니다 . 중요한 점은, 구체적인 복원력 기준과 테스트 요구 사항은 CTP가 지정되기 전에 마련되었다는 것입니다 . 정확한 지표, 임계값, 최대 허용 장애 수준은 첫 1년 동안 4개 제공업체 각각에 대한 개별 감독 협의를 통해 결정될 것입니다 .