Microsoft, Google, Amazon i Oracle oficjalnie „krytycznymi stronami trzecimi” brytyjskiego systemu finansowego

10 lipca 2026 roku brytyjskie Ministerstwo Skarbu (HM Treasury) oficjalnie nadało czterem dostawcom usług chmurowych status Krytycznych Stron Trzecich (Critical Third Parties, CTP) w ramach reżimu ustanowionego na mocy ustawy Financial Services and Markets Act 2023. Oznaczenie wchodzi w życie 13 lipca 2026 . Cztery podmioty to:

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

To pierwszy przypadek, gdy Wielka Brytania wykorzystuje swoje nowe ustawowe uprawnienia, by objąć zewnętrznych dostawców technologii bezpośrednim nadzorem regulatorów finansowych. Rząd oświadczył, że oznaczenia te "pomogą zmniejszyć ryzyko powszechnych zakłóceń" oraz że w ramach systemu ciągłego kolejni dostawcy mogą być wyznaczani w przyszłości .

Skąd ten reżim? Koncentracja ryzyka w usługach chmurowych

Podstawą polityki jest konkluzja Komitetu Polityki Finansowej (FPC) z 2021 roku, który ostrzegł, że zwiększone uzależnienie od wąskiej grupy dostawców chmurowych dla kluczowych usług może podnieść ryzyko dla stabilności finansowej w przypadku braku bezpośredniego nadzoru regulacyjnego . Reżim CTP został zaprojektowany właśnie w celu rozwiązania tego problemu, a regulatorzy używają kryteriów koncentracji i istotności do identyfikacji i rekomendacji CTP dla HM Treasury .

Jakie nowe uprawnienia zyskują Bank Anglii, PRA i FCA?

Financial Services and Markets Act 2023 dodała nowy Rozdział 3C do Części XVIII ustawy FSMA 2000, przyznając Bankowi Anglii, Urzędowi Nadzoru Ostrożnościowego (PRA) i Urzędowi Nadzoru Finansowego (FCA) – zbiorczo nazywanym „regulatorami” – zestaw nowych bezpośrednich uprawnień nadzorczych wobec wyznaczonych CTP . Obejmują one:

• Prawo stanowienia reguł – Każdy regulator może nakładać obowiązki na CTP w związku z usługami świadczonymi na rzecz firm finansowych, o ile jest to konieczne do realizacji jego ustawowych celów .
• Prawo wydawania poleceń – Regulator może nakazać CTP zrobienie czegoś lub zaniechanie czegoś. W przypadku, gdy polecenie dotyczy zagrożenia dla stabilności lub integralności brytyjskiego systemu finansowego, CTP oraz jej kadra kierownicza i pracownicy otrzymują immunitet od odpowiedzialności za odszkodowania za działania zgodne z poleceniem .
• Gromadzenie informacji i przeglądy przez wykwalifikowane osoby – Regulatorzy mogą żądać od CTP dostarczenia informacji oraz zlecać raporty sporządzane przez wykwalifikowane osoby .
• Środki egzekucyjne i dyscyplinarne – Regulatorzy mogą nakładać kary i podejmować działania dyscyplinarne za naruszenia zasad CTP, w tym poprzez dedykowaną politykę egzekucyjną CTP .

Czy regulatorzy mogą zakazać dostawcy chmurowemu świadczenia usługi?

FSMA 2023 nie zawiera wyraźnej, samodzielnej podstawy do „zakazu świadczenia usług” jako takiej. Jednak prawo wydawania poleceń na podstawie sekcji 312N FSMA jest na tyle szerokie, by objąć taką sytuację: regulator może nakazać CTP zaniechania czegokolwiek, jeśli uzna to za konieczne lub celowe dla realizacji swoich celów – w praktyce może to oznaczać zakaz świadczenia konkretnej usługi stwarzającej ryzyko systemowe .

Standardy odporności i wymogi testowe obowiązujące od pierwszego dnia

Szczegółowe wymogi określone są we wspólnym dokumencie regulatorów – Oświadczeniu Polityki PS16/24 i Nadzorczym Oświadczeniu SS6/24, opublikowanych w listopadzie 2024 roku . Kluczowe wymogi obowiązujące od daty wyznaczenia obejmują:

• Podstawowe Zasady CTP – Sześć ogólnych, skoncentrowanych na wynikach zasad obejmujących zarządzanie, zarządzanie ryzykiem, odporność operacyjną i współpracę z regulatorami, stosujących się do wszystkich usług świadczonych przez CTP firmom finansowym .
• Wymogi dotyczące ryzyka operacyjnego i odporności – CTP muszą identyfikować, zarządzać i odzyskiwać sprawność po zakłóceniach w swoich „systemowych usługach stron trzecich”. Muszą wyznaczyć maksymalny tolerowany poziom zakłócenia dla każdej takiej usługi .
• Testy scenariuszowe – CTP są zobowiązane do przeprowadzania testów scenariuszowych w celu oceny ich zdolności do utrzymania się w granicach maksymalnego tolerowanego poziomu zakłóceń w przypadku poważnych, ale prawdopodobnych scenariuszy .
• Zgłaszanie incydentów – CTP muszą powiadamiać regulatorów o istotnych incydentach operacyjnych dotyczących systemowych usług stron trzecich .
• Coroczne samooceny – CTP muszą corocznie przedstawiać samooceny zgodności z oczekiwaniami regulatorów, a także podlegają szczegółowym i tematycznym przeglądom, w tym raportom wykwalifikowanych osób .

Okres przejściowy i co dalej

Pierwszy rok po wyznaczeniu stanowi fazę „mobilizacji”, skoncentrowaną na budowaniu przez regulatorów zrozumienia operacji i profilu ryzyka każdego z CTP. Pełna zgodność ze wszystkimi wymogami będzie wdrażana stopniowo w czasie . Ważne zastrzeżenie: konkretne standardy odporności i wymogi testowe zostały sfinalizowane, zanim jakiekolwiek CTP zostały wyznaczone . Dokładne wskaźniki, progi i maksymalne tolerowane poziomy zakłóceń zostaną określone w ramach indywidualnego nadzoru nad każdym z czterech dostawców w ciągu pierwszego roku .