Microsoft, Google, Amazon и Oracle признаны «критически важными третьими сторонами» для финансовой системы Великобритании

Новые полномочия: что теперь могут Банк Англии, PRA и FCA?

Закон FSMA 2023 внёс в законодательство новую главу 3C, которая кардинально меняет правила игры. Три регулятора — Банк Англии, Управление пруденциального регулирования (PRA) и Управление по финансовому поведению (FCA) — получили беспрецедентные полномочия напрямую, а не через посредников, влиять на работу внешних технологических компаний .

Вот ключевые инструменты нового режима:

• Право издавать правила. Регуляторы могут устанавливать для CTP обязательные требования к предоставлению услуг финансовым организациям .
• Право давать указания. Регулятор может приказать CTP совершить определённые действия или, наоборот, воздержаться от них. Если указание направлено на устранение угрозы стабильности финансовой системы, компания и её сотрудники освобождаются от ответственности за ущерб, причинённый в ходе исполнения такого указания .
• Право собирать информацию и назначать независимые проверки. Регуляторы могут требовать предоставления любых данных и поручать проведение экспертизы независимым «квалифицированным лицам» .
• Право применять санкции. Вплоть до наложения штрафов и дисциплинарных взысканий за нарушение установленных правил .

Могут ли регуляторы просто запретить облачному провайдеру работать?

Прямого пункта «запретить предоставление услуг» в законе нет. Однако, как поясняют аналитики, право давать указания (power of direction), закреплённое в разделе 312N FSMA, достаточно широко, чтобы охватить такие меры. На практике это означает, что регулятор может приказать компании прекратить предоставлять конкретную услугу, если сочтёт, что она представляет системный риск .

Стандарты устойчивости: что должны делать CTP с первого дня

Конкретные требования к провайдерам прописаны в совместном документе регуляторов — Политическом заявлении PS16/24 и Надзорном заявлении SS6/24, опубликованных в ноябре 2024 года . С момента вступления в силу статуса CTP компании обязаны:

• Соблюдать шесть фундаментальных правил CTP (CTP Fundamental Rules). Это высокоуровневые, ориентированные на результат правила, касающиеся корпоративного управления, управления рисками, операционной устойчивости и сотрудничества с регуляторами. Они применяются ко всем услугам, которые CTP предоставляет финансовым фирмам .
• Определить «максимально допустимый уровень сбоя». Для каждой услуги, признанной «системной», провайдер должен установить, какой уровень нарушения работы он может допустить без катастрофических последствий для клиентов .
• Проводить сценарное тестирование. Необходимо моделировать «суровые, но вероятные» сценарии сбоев, чтобы проверить, способна ли компания удержаться в рамках установленного максимально допустимого уровня сбоя .
• Уведомлять об инцидентах. Регуляторы должны немедленно получать информацию о любых серьёзных операционных сбоях, затрагивающих системные услуги .
• Предоставлять ежегодные отчёты. Каждый CTP обязан ежегодно проводить самооценку на соответствие требованиям регуляторов. Кроме того, регуляторы могут проводить собственные углублённые и тематические проверки .

Переходный период и что дальше

Первый год после присвоения статуса CTP объявлен «мобилизационным». В течение этого времени регуляторы будут изучать операционную деятельность каждого из четырёх провайдеров и налаживать с ними взаимодействие. Полное соблюдение всех требований будет вводиться поэтапно .

Важное уточнение: точные показатели, пороговые значения и максимально допустимые уровни сбоев пока не установлены. Они будут определены в ходе индивидуального надзорного диалога с каждой из компаний в течение первого года .