Microsoft, Google, Amazon och Oracle utsedda till kritiska tredjepartsleverantörer – ny brittisk tillsyn från 13 juli

Vilka nya befogenheter får Bank of England, PRA och FCA?

Financial Services and Markets Act 2023 förde in ett nytt kapitel 3C i del XVIII av FSMA 2000, vilket ger Bank of England, Prudential Regulation Authority (PRA) och Financial Conduct Authority (FCA) – tillsammans kallade ”regulatorerna” – en rad nya direkta tillsynsbefogenheter över utsedda CTP:er . Dessa inkluderar:

• Regelrätt makt – Varje regulator kan införa skyldigheter för CTP:er i anslutning till de tjänster de tillhandahåller finansiella företag, i den utsträckning som behövs för att främja dess lagstadgade mål .
• Direktivrätt – En regulator kan ge en CTP order om att göra eller avstå från att göra något som specificeras. Om direktivet syftar till att hantera ett hot mot stabiliteten eller integriteten i det brittiska finansiella systemet, åtnjuter CTP:n samt dess ledning och personal immunitet mot skadeståndsanspråk för åtgärder som vidtas i enlighet med direktivet .
• Informationsinhämtning och oberoende granskningar – Regulatorerna kan kräva att CTP:er lämnar information och beställa rapporter från oberoende sakkunniga .
• Sanktioner och disciplinära åtgärder – Regulatorerna kan utfärda böter och vidta disciplinära åtgärder vid brott mot CTP-reglerna, bland annat genom en särskild policy för efterlevnadskontroll av CTP:er .

Kan regulatorerna förbjuda en molnleverantör att tillhandahålla en tjänst?

FSMA 2023 innehåller inte en uttrycklig, separat befogenhet att ”förbjuda tillhandahållande av tjänst”. Direktivrätten enligt paragraf 312N FSMA är dock tillräckligt bred för att omfatta ett sådant beslut: en regulator kan beordra en CTP att avstå från att göra något om det framstår som nödvändigt eller ändamålsenligt för att främja regulatorns mål, vilket i praktiken kan innebära ett förbud mot en specifik tjänst som utgör en systemrisk .

Motståndskraftskrav och testning som gäller från dag ett

De detaljerade kraven finns i regulatorernas gemensamma Policy Statement PS16/24 och Supervisory Statement SS6/24, som båda publicerades i november 2024 . De viktigaste kraven som gäller från utnämningsdagen är:

• CTP grundläggande regler – Sex övergripande, målstyrda regler som täcker styrning, riskhantering, operativ motståndskraft och samarbete med regulatorer. De gäller för alla tjänster som CTP:n tillhandahåller finansiella företag .
• Krav på operativ risk och motståndskraft – CTP:er måste identifiera, hantera och återhämta sig från störningar i sina ”systemviktiga tredjepartstjänster”. De måste fastställa en maximal tolerabel störningsnivå för varje sådan tjänst .
• Scenariotestning – CTP:er måste genomföra scenariotestning för att bedöma sin förmåga att hålla sig inom den maximalt tolerabla störningsnivån vid allvarliga men rimliga scenarier .
• Incidentrapportering – CTP:er måste anmäla materiella operativa incidenter som påverkar systemviktiga tredjepartstjänster till regulatorerna .
• Årliga självutvärderingar – CTP:er måste lämna årliga självutvärderingar mot regulatorernas förväntningar och är föremål för djupgående och tematiska granskningar, inklusive rapporter från oberoende sakkunniga .

Övergångsperiod och vad som kommer härnäst

Det första året efter utnämningen är en ”mobiliseringsfas” som fokuserar på att regulatorerna ska bygga upp en förståelse för varje CTP:s verksamhet och riskprofil. Full efterlevnad av alla krav kommer att fasas in över tid . En viktig nyans: de specifika motståndskraftskraven och testningskraven färdigställdes innan några CTP:er utsågs . De exakta mätvärdena, tröskelvärdena och maximalt tolerabla störningsnivåerna kommer att fastställas genom individuella tillsynsdiskussioner med var och en av de fyra leverantörerna under det första året .