Waarom het regime bestaat: concentratierisico in clouddiensten

De beleidsrechtvaardiging is geworteld in een conclusie uit 2021 van het Financial Policy Committee (FPC), dat waarschuwde dat een grotere afhankelijkheid van een klein aantal cloudaanbieders voor vitale diensten de risico's voor de financiële stabiliteit zou kunnen vergroten als er niet meer direct toezicht zou komen . Het CTP-regime is specifiek ontworpen om dit aan te pakken, waarbij toezichthouders de criteria van concentratie en materialiteit gebruiken om CTP's te identificeren en aan te bevelen aan HM Treasury .

Welke nieuwe bevoegdheden hebben de Bank of England, PRA en FCA nu?

De Financial Services and Markets Act 2023 voegde een nieuw Chapter 3C in Part XVIII van FSMA 2000 in, waarmee de Bank of England, de Prudential Regulation Authority (PRA) en de Financial Conduct Authority (FCA) – gezamenlijk "de toezichthouders" genoemd – een reeks nieuwe directe toezichtsbevoegdheden krijgen over aangewezen CTP's . Deze omvatten:

• Regelgevende bevoegdheid – Elke toezichthouder kan verplichtingen opleggen aan CTP's in verband met de diensten die zij aan financiële ondernemingen leveren, voor zover nodig om zijn wettelijke doelstellingen te bevorderen .
• Richtingsbevoegdheid – Een toezichthouder kan een CTP opdragen iets te doen of na te laten. Als de richting een bedreiging voor de stabiliteit of integriteit van het Britse financiële stelsel aanpakt, krijgen de CTP en zijn functionarissen en personeel immuniteit tegen schadeclaims voor handelingen die aan de richting voldoen .
• Informatie-inwinning en deskundigenonderzoek (skilled-person reviews) – De toezichthouders kunnen CTP's verplichten informatie te verstrekken en rapporten door gekwalificeerde personen te laten opstellen .
• Handhaving en disciplinaire maatregelen – De toezichthouders kunnen boetes opleggen en disciplinaire maatregelen nemen bij overtredingen van de CTP-regels, inclusief via een speciaal CTP-handhavingsbeleid .

Kunnen toezichthouders een cloudaanbieder verbieden een dienst te leveren?

De FSMA 2023 bevat geen expliciete, op zichzelf staande bevoegdheid om "dienstverlening te verbieden". De richtingsbevoegdheid onder sectie 312N van de FSMA is echter breed genoeg om een dergelijke uitkomst te dekken: een toezichthouder kan een CTP opdragen iets na te laten als dit nodig of wenselijk wordt geacht voor het bevorderen van de doelstellingen van die toezichthouder, wat in de praktijk zou kunnen inhouden dat het verlenen van een specifieke dienst die een systeemrisico vormt, wordt verboden .

Weerbaarheidsnormen en testvereisten die vanaf dag één van toepassing zijn

De gedetailleerde vereisten zijn uiteengezet in de gezamenlijke beleidsverklaring PS16/24 en het toezichtdocument SS6/24 van de toezichthouders, beide gepubliceerd in november 2024 . Belangrijke vereisten die vanaf de aanwijzingsdatum van toepassing zijn, zijn onder meer:

• CTP Fundamentele Regels – Zes algemene, op resultaten gerichte regels die bestuur, risicobeheer, operationele weerbaarheid en samenwerking met toezichthouders omvatten, van toepassing op alle diensten die de CTP aan financiële ondernemingen levert .
• Operationele risico- en weerbaarheidsvereisten – CTP's moeten verstoringen van hun "systemische diensten aan derden" identificeren, beheren en ervan herstellen. Zij moeten voor elke dergelijke dienst een maximaal aanvaardbaar verstoringsniveau vaststellen .
• Scenario tests – CTP's moeten scenariotests uitvoeren om hun vermogen te beoordelen om binnen hun maximaal aanvaardbare verstoringsniveaus te blijven onder ernstige maar plausibele scenario's .
• Incidentmelding – CTP's moeten de toezichthouders op de hoogte stellen van materiële operationele incidenten die van invloed zijn op systemische diensten aan derden .
• Jaarlijkse zelfevaluaties – CTP's moeten jaarlijkse zelfevaluaties indienen tegen de verwachtingen van de toezichthouders en zijn onderworpen aan diepgaande en thematische beoordelingen, inclusief rapporten van gekwalificeerde personen .

Overgangsperiode en wat komt er nu?

Het eerste jaar na aanwijzing is een "mobilisatiefase" die gericht is op het opbouwen van inzicht door de toezichthouders in de activiteiten en het risicoprofiel van elke CTP. Volledige naleving van alle vereisten wordt in de loop van de tijd gefaseerd ingevoerd . Een belangrijke kanttekening: de specifieke weerbaarheidsnormen en testvereisten zijn definitief gemaakt voordat CTP's werden aangewezen . De exacte meetgegevens, drempelwaarden en maximaal aanvaardbare verstoringsniveaus worden bepaald via individueel toezichtoverleg met elk van de vier aanbieders tijdens het eerste jaar .

Waarom het regime bestaat: concentratierisico in clouddiensten

De beleidsrechtvaardiging is geworteld in een conclusie uit 2021 van het Financial Policy Committee (FPC), dat waarschuwde dat een grotere afhankelijkheid van een klein aantal cloudaanbieders voor vitale diensten de risico's voor de financiële stabiliteit zou kunnen vergroten als er niet meer direct toezicht zou komen . Het CTP-regime is specifiek ontworpen om dit aan te pakken, waarbij toezichthouders de criteria van concentratie en materialiteit gebruiken om CTP's te identificeren en aan te bevelen aan HM Treasury .

Welke nieuwe bevoegdheden hebben de Bank of England, PRA en FCA nu?

De Financial Services and Markets Act 2023 voegde een nieuw Chapter 3C in Part XVIII van FSMA 2000 in, waarmee de Bank of England, de Prudential Regulation Authority (PRA) en de Financial Conduct Authority (FCA) – gezamenlijk "de toezichthouders" genoemd – een reeks nieuwe directe toezichtsbevoegdheden krijgen over aangewezen CTP's . Deze omvatten:

• Regelgevende bevoegdheid – Elke toezichthouder kan verplichtingen opleggen aan CTP's in verband met de diensten die zij aan financiële ondernemingen leveren, voor zover nodig om zijn wettelijke doelstellingen te bevorderen .
• Richtingsbevoegdheid – Een toezichthouder kan een CTP opdragen iets te doen of na te laten. Als de richting een bedreiging voor de stabiliteit of integriteit van het Britse financiële stelsel aanpakt, krijgen de CTP en zijn functionarissen en personeel immuniteit tegen schadeclaims voor handelingen die aan de richting voldoen .
• Informatie-inwinning en deskundigenonderzoek (skilled-person reviews) – De toezichthouders kunnen CTP's verplichten informatie te verstrekken en rapporten door gekwalificeerde personen te laten opstellen .
• Handhaving en disciplinaire maatregelen – De toezichthouders kunnen boetes opleggen en disciplinaire maatregelen nemen bij overtredingen van de CTP-regels, inclusief via een speciaal CTP-handhavingsbeleid .

Kunnen toezichthouders een cloudaanbieder verbieden een dienst te leveren?

De FSMA 2023 bevat geen expliciete, op zichzelf staande bevoegdheid om "dienstverlening te verbieden". De richtingsbevoegdheid onder sectie 312N van de FSMA is echter breed genoeg om een dergelijke uitkomst te dekken: een toezichthouder kan een CTP opdragen iets na te laten als dit nodig of wenselijk wordt geacht voor het bevorderen van de doelstellingen van die toezichthouder, wat in de praktijk zou kunnen inhouden dat het verlenen van een specifieke dienst die een systeemrisico vormt, wordt verboden .

Weerbaarheidsnormen en testvereisten die vanaf dag één van toepassing zijn

De gedetailleerde vereisten zijn uiteengezet in de gezamenlijke beleidsverklaring PS16/24 en het toezichtdocument SS6/24 van de toezichthouders, beide gepubliceerd in november 2024 . Belangrijke vereisten die vanaf de aanwijzingsdatum van toepassing zijn, zijn onder meer:

• CTP Fundamentele Regels – Zes algemene, op resultaten gerichte regels die bestuur, risicobeheer, operationele weerbaarheid en samenwerking met toezichthouders omvatten, van toepassing op alle diensten die de CTP aan financiële ondernemingen levert .
• Operationele risico- en weerbaarheidsvereisten – CTP's moeten verstoringen van hun "systemische diensten aan derden" identificeren, beheren en ervan herstellen. Zij moeten voor elke dergelijke dienst een maximaal aanvaardbaar verstoringsniveau vaststellen .
• Scenario tests – CTP's moeten scenariotests uitvoeren om hun vermogen te beoordelen om binnen hun maximaal aanvaardbare verstoringsniveaus te blijven onder ernstige maar plausibele scenario's .
• Incidentmelding – CTP's moeten de toezichthouders op de hoogte stellen van materiële operationele incidenten die van invloed zijn op systemische diensten aan derden .
• Jaarlijkse zelfevaluaties – CTP's moeten jaarlijkse zelfevaluaties indienen tegen de verwachtingen van de toezichthouders en zijn onderworpen aan diepgaande en thematische beoordelingen, inclusief rapporten van gekwalificeerde personen .

Overgangsperiode en wat komt er nu?

Het eerste jaar na aanwijzing is een "mobilisatiefase" die gericht is op het opbouwen van inzicht door de toezichthouders in de activiteiten en het risicoprofiel van elke CTP. Volledige naleving van alle vereisten wordt in de loop van de tijd gefaseerd ingevoerd . Een belangrijke kanttekening: de specifieke weerbaarheidsnormen en testvereisten zijn definitief gemaakt voordat CTP's werden aangewezen . De exacte meetgegevens, drempelwaarden en maximaal aanvaardbare verstoringsniveaus worden bepaald via individueel toezichtoverleg met elk van de vier aanbieders tijdens het eerste jaar .