Por que o regime existe: o risco de concentração em serviços de nuvem

A lógica da política pública tem origem em uma conclusão de 2021 do Comitê de Política Financeira (FPC), que alertou que a dependência crescente de um pequeno número de provedores de nuvem para serviços vitais poderia aumentar os riscos à estabilidade financeira na ausência de uma supervisão regulatória direta mais rigorosa . O regime de CTP foi criado especificamente para lidar com isso, com os reguladores usando os critérios de concentração e materialidade para identificar e recomendar CTPs ao Tesouro .

Quais novos poderes o Banco da Inglaterra, o PRA e o FCA agora detêm?

O Financial Services and Markets Act 2023 inseriu um novo Capítulo 3C na Parte XVIII do FSMA 2000, concedendo ao Banco da Inglaterra (BoE), à Autoridade de Regulação Prudencial (PRA) e à Autoridade de Conduta Financeira (FCA) — coletivamente chamados de "os reguladores" — um conjunto de novos poderes de supervisão direta sobre os CTPs designados . Estes incluem:

• Poder de criar regras – Cada regulador pode impor deveres aos CTPs em conexão com os serviços que prestam às instituições financeiras, conforme necessário para promover seus objetivos estatutários .
• Poder de direção – Um regulador pode determinar que um CTP faça ou se abstenha de fazer qualquer coisa especificada. Quando a determinação aborda uma ameaça à estabilidade ou integridade do sistema financeiro do Reino Unido, o CTP e seus diretores e funcionários recebem imunidade contra danos por ações realizadas em conformidade .
• Coleta de informações e revisões por peritos – Os reguladores podem exigir que os CTPs forneçam informações e encomendem relatórios de peritos .
• Medidas disciplinares e de fiscalização – Os reguladores podem impor penalidades e tomar medidas disciplinares por violações das regras de CTP, inclusive por meio de uma declaração de política de fiscalização específica para CTPs .

Os reguladores podem proibir um provedor de nuvem de oferecer um serviço?

O FSMA 2023 não inclui um poder explícito e independente chamado "proibir a prestação de serviços". No entanto, o poder de direção previsto na seção 312N do FSMA é amplo o suficiente para cobrir tal resultado: um regulador pode determinar que um CTP se abstenha de fazer qualquer coisa se isso parecer necessário ou conveniente para promover os objetivos desse regulador, o que, na prática, pode incluir a proibição da prestação de um serviço específico que represente um risco sistêmico .

Padrões de resiliência e requisitos de teste que entram em vigor a partir do primeiro dia

Os requisitos detalhados estão estabelecidos na Declaração de Política conjunta dos reguladores PS16/24 e na Declaração de Supervisão SS6/24, ambas publicadas em novembro de 2024 . Os principais requisitos que se aplicam a partir da data de designação incluem:

• Regras Fundamentais do CTP – Seis regras de alto nível e focadas em resultados, abrangendo governança, gestão de riscos, resiliência operacional e cooperação com os reguladores, aplicáveis a todos os serviços que o CTP presta às instituições financeiras .
• Requisitos de risco operacional e resiliência – Os CTPs devem identificar, gerenciar e se recuperar de interrupções em seus "serviços sistêmicos de terceiros". Eles devem definir um nível máximo tolerável de interrupção para cada um desses serviços .
• Testes de cenário – Os CTPs devem realizar testes de cenário para avaliar sua capacidade de permanecer dentro dos níveis máximos toleráveis de interrupção sob cenários severos, porém plausíveis .
• Notificação de incidentes – Os CTPs devem notificar os reguladores sobre incidentes operacionais materiais que afetem os serviços sistêmicos de terceiros .
• Autoavaliações anuais – Os CTPs devem fornecer autoavaliações anuais em relação às expectativas dos reguladores e estão sujeitos a revisões aprofundadas e temáticas, incluindo relatórios de peritos .

Período de transição e o que vem a seguir

O primeiro ano após a designação é uma fase de "mobilização" focada na construção, pelos reguladores, de uma compreensão das operações e do perfil de risco de cada CTP. A conformidade total com todos os requisitos será implementada gradualmente ao longo do tempo . Uma ressalva importante: os padrões de resiliência e os requisitos de teste específicos foram finalizados antes da designação de qualquer CTP . As métricas exatas, os limites e os níveis máximos toleráveis de interrupção serão determinados por meio de um engajamento de supervisão individual com cada um dos quatro provedores durante o primeiro ano .

Por que o regime existe: o risco de concentração em serviços de nuvem

A lógica da política pública tem origem em uma conclusão de 2021 do Comitê de Política Financeira (FPC), que alertou que a dependência crescente de um pequeno número de provedores de nuvem para serviços vitais poderia aumentar os riscos à estabilidade financeira na ausência de uma supervisão regulatória direta mais rigorosa . O regime de CTP foi criado especificamente para lidar com isso, com os reguladores usando os critérios de concentração e materialidade para identificar e recomendar CTPs ao Tesouro .

Quais novos poderes o Banco da Inglaterra, o PRA e o FCA agora detêm?

O Financial Services and Markets Act 2023 inseriu um novo Capítulo 3C na Parte XVIII do FSMA 2000, concedendo ao Banco da Inglaterra (BoE), à Autoridade de Regulação Prudencial (PRA) e à Autoridade de Conduta Financeira (FCA) — coletivamente chamados de "os reguladores" — um conjunto de novos poderes de supervisão direta sobre os CTPs designados . Estes incluem:

• Poder de criar regras – Cada regulador pode impor deveres aos CTPs em conexão com os serviços que prestam às instituições financeiras, conforme necessário para promover seus objetivos estatutários .
• Poder de direção – Um regulador pode determinar que um CTP faça ou se abstenha de fazer qualquer coisa especificada. Quando a determinação aborda uma ameaça à estabilidade ou integridade do sistema financeiro do Reino Unido, o CTP e seus diretores e funcionários recebem imunidade contra danos por ações realizadas em conformidade .
• Coleta de informações e revisões por peritos – Os reguladores podem exigir que os CTPs forneçam informações e encomendem relatórios de peritos .
• Medidas disciplinares e de fiscalização – Os reguladores podem impor penalidades e tomar medidas disciplinares por violações das regras de CTP, inclusive por meio de uma declaração de política de fiscalização específica para CTPs .

Os reguladores podem proibir um provedor de nuvem de oferecer um serviço?

O FSMA 2023 não inclui um poder explícito e independente chamado "proibir a prestação de serviços". No entanto, o poder de direção previsto na seção 312N do FSMA é amplo o suficiente para cobrir tal resultado: um regulador pode determinar que um CTP se abstenha de fazer qualquer coisa se isso parecer necessário ou conveniente para promover os objetivos desse regulador, o que, na prática, pode incluir a proibição da prestação de um serviço específico que represente um risco sistêmico .

Padrões de resiliência e requisitos de teste que entram em vigor a partir do primeiro dia

Os requisitos detalhados estão estabelecidos na Declaração de Política conjunta dos reguladores PS16/24 e na Declaração de Supervisão SS6/24, ambas publicadas em novembro de 2024 . Os principais requisitos que se aplicam a partir da data de designação incluem:

• Regras Fundamentais do CTP – Seis regras de alto nível e focadas em resultados, abrangendo governança, gestão de riscos, resiliência operacional e cooperação com os reguladores, aplicáveis a todos os serviços que o CTP presta às instituições financeiras .
• Requisitos de risco operacional e resiliência – Os CTPs devem identificar, gerenciar e se recuperar de interrupções em seus "serviços sistêmicos de terceiros". Eles devem definir um nível máximo tolerável de interrupção para cada um desses serviços .
• Testes de cenário – Os CTPs devem realizar testes de cenário para avaliar sua capacidade de permanecer dentro dos níveis máximos toleráveis de interrupção sob cenários severos, porém plausíveis .
• Notificação de incidentes – Os CTPs devem notificar os reguladores sobre incidentes operacionais materiais que afetem os serviços sistêmicos de terceiros .
• Autoavaliações anuais – Os CTPs devem fornecer autoavaliações anuais em relação às expectativas dos reguladores e estão sujeitos a revisões aprofundadas e temáticas, incluindo relatórios de peritos .

Período de transição e o que vem a seguir

O primeiro ano após a designação é uma fase de "mobilização" focada na construção, pelos reguladores, de uma compreensão das operações e do perfil de risco de cada CTP. A conformidade total com todos os requisitos será implementada gradualmente ao longo do tempo . Uma ressalva importante: os padrões de resiliência e os requisitos de teste específicos foram finalizados antes da designação de qualquer CTP . As métricas exatas, os limites e os níveis máximos toleráveis de interrupção serão determinados por meio de um engajamento de supervisão individual com cada um dos quatro provedores durante o primeiro ano .