ทำไมต้องมีระบบนี้: ความเสี่ยงจากการกระจุกตัวของบริการคลาวด์

เหตุผลเชิงนโยบายมาจากข้อสรุปของคณะกรรมการนโยบายการเงิน (Financial Policy Committee หรือ FPC) ในปี 2021 ที่เตือนว่าการพึ่งพาผู้ให้บริการคลาวด์ไม่กี่รายสำหรับบริการสำคัญอาจเพิ่มความเสี่ยงต่อเสถียรภาพทางการเงิน หากไม่มีการกำกับดูแลโดยตรงที่เข้มงวดมากขึ้น ระบบ CTP ได้รับการออกแบบมาเพื่อแก้ไขปัญหานี้โดยเฉพาะ โดยหน่วยงานกำกับดูแลจะใช้เกณฑ์ด้าน การกระจุกตัว (concentration) และ นัยสำคัญเชิงระบบ (materiality) เพื่อระบุและแนะนำ CTPs ให้กับ HM Treasury

ธนาคารแห่งประเทศอังกฤษ, PRA และ FCA ได้อำนาจใหม่อะไรบ้าง?

พระราชบัญญัติ Financial Services and Markets Act 2023 ได้เพิ่มบทที่ 3C ใหม่เข้าไปในส่วนที่ XVIII ของ FSMA 2000 ซึ่งมอบอำนาจกำกับดูแลโดยตรงชุดใหม่ให้กับธนาคารแห่งประเทศอังกฤษ (Bank of England), หน่วยงานกำกับดูแลด้านการปฏิบัติการ (Prudential Regulation Authority หรือ PRA) และหน่วยงานกำกับดูแลด้านการเงิน (Financial Conduct Authority หรือ FCA) ซึ่งเรียกรวมกันว่า ‘the regulators’ หรือ ‘หน่วยงานกำกับดูแล’ เหนือ CTPs ที่ถูกขึ้นทะเบียน อำนาจเหล่านี้รวมถึง:

• อำนาจในการออกกฎ (Rule-making power) – แต่ละหน่วยงานสามารถกำหนดหน้าที่ให้แก่ CTPs ที่เกี่ยวข้องกับการให้บริการต่อสถาบันการเงิน ตามความจำเป็นเพื่อบรรลุวัตถุประสงค์ทางกฎหมายของตน
• อำนาจในการออกคำสั่ง (Power of direction) – หน่วยงานกำกับดูแลสามารถสั่งให้ CTP ดำเนินการหรืองดเว้นการดำเนินการใด ๆ ก็ตาม หากคำสั่งนั้นเกี่ยวข้องกับการจัดการภัยคุกคามต่อเสถียรภาพหรือความสมบูรณ์ของระบบการเงินของสหราชอาณาจักร CTP รวมถึงเจ้าหน้าที่และพนักงานจะได้รับความคุ้มกันจากการเรียกร้องค่าเสียหายจากการปฏิบัติตามคำสั่งนั้น
• การเรียกข้อมูลและการทบทวนโดยผู้เชี่ยวชาญ (Information gathering and skilled-person reviews) – หน่วยงานสามารถเรียกให้ CTP ส่งข้อมูลและจัดทำรายงานโดยผู้เชี่ยวชาญที่มีทักษะเฉพาะทาง
• มาตรการบังคับใช้และทางวินัย (Enforcement and disciplinary measures) – หน่วยงานสามารถลงโทษปรับและดำเนินการทางวินัยสำหรับการละเมิดกฎ CTP รวมถึงผ่านนโยบายการบังคับใช้เฉพาะของ CTP

หน่วยงานกำกับดูแลสามารถห้ามผู้ให้บริการคลาวด์ให้บริการได้หรือไม่?

FSMA 2023 ไม่ได้มีอำนาจโดยตรงที่ระบุชื่อว่า ‘ห้ามการให้บริการ’ อย่างชัดเจน อย่างไรก็ตาม อำนาจในการออกคำสั่ง (power of direction) ภายใต้มาตรา 312N ของ FSMA นั้นกว้างพอที่จะครอบคลุมถึงผลลัพธ์ดังกล่าว: หน่วยงานกำกับดูแลสามารถสั่งให้ CTP งดเว้นการดำเนินการใดๆ ก็ได้ หากเห็นว่าจำเป็นหรือเหมาะสมต่อการบรรลุวัตถุประสงค์ของตน ซึ่งในทางปฏิบัติอาจรวมถึงการห้ามให้บริการเฉพาะที่ก่อให้เกิดความเสี่ยงเชิงระบบ

มาตรฐานความยืดหยุ่นและการทดสอบที่ต้องปฏิบัติตั้งแต่วันแรก

ข้อกำหนดโดยละเอียดระบุไว้ในเอกสารนโยบายร่วม PS16/24 และเอกสารกำกับดูแล SS6/24 ซึ่งเผยแพร่ในเดือนพฤศจิกายน 2024 โดยข้อกำหนดหลักที่จะมีผลบังคับใช้นับตั้งแต่วันขึ้นทะเบียน ได้แก่:

• กฎพื้นฐานสำหรับ CTP (CTP Fundamental Rules) – กฎ 6 ข้อระดับสูงที่เน้นผลลัพธ์ ครอบคลุมด้านธรรมาภิบาล การบริหารความเสี่ยง ความยืดหยุ่นในการดำเนินงาน และความร่วมมือกับหน่วยงานกำกับดูแล ซึ่งใช้กับบริการทั้งหมดที่ CTP ให้กับสถาบันการเงิน
• ข้อกำหนดด้านความเสี่ยงในการดำเนินงานและความยืดหยุ่น (Operational risk and resilience requirements) – CTP ต้องระบุ จัดการ และฟื้นตัวจากการขาดตอนของ ‘บริการที่เป็นระบบสำคัญของบุคคลภายนอก’ (systemic third party services) โดยต้องกำหนด ระดับการขาดตอนสูงสุดที่ยอมรับได้ (maximum tolerable level of disruption) สำหรับบริการแต่ละประเภท
• การทดสอบตามสถานการณ์ (Scenario testing) – CTP ต้องดำเนินการทดสอบตามสถานการณ์เพื่อประเมินความสามารถในการคงอยู่ภายในระดับการขาดตอนสูงสุดที่ยอมรับได้ ภายใต้สถานการณ์ที่รุนแรงแต่เป็นไปได้
• การแจ้งเหตุการณ์ (Incident notification) – CTP ต้องแจ้งให้หน่วยงานกำกับดูแลทราบถึงเหตุการณ์ขาดตอนในการดำเนินงานที่มีนัยสำคัญ ซึ่งส่งผลกระทบต่อบริการที่เป็นระบบสำคัญของบุคคลภายนอก
• การประเมินตนเองประจำปี (Annual self-assessments) – CTP ต้องส่งรายงานการประเมินตนเองประจำปีตามความคาดหวังของหน่วยงานกำกับดูแล และอาจถูกตรวจสอบเชิงลึกและเฉพาะเรื่อง รวมถึงรายงานจากผู้เชี่ยวชาญที่มีทักษะเฉพาะทาง

ช่วงเปลี่ยนผ่านและแนวโน้มในอนาคต

ปีแรกหลังการขึ้นทะเบียนจะเป็นช่วง ‘การระดมกำลัง (mobilisation)’ โดยเน้นให้หน่วยงานกำกับดูแลทำความเข้าใจการดำเนินงานและความเสี่ยงของ CTP แต่ละราย โดยจะทยอยบังคับใช้ข้อกำหนดทั้งหมดอย่างเต็มรูปแบบในภายหลัง ข้อสำคัญคือ มาตรฐานความยืดหยุ่นและข้อกำหนดการทดสอบเฉพาะดังกล่าวได้รับการสรุปเรียบร้อยแล้วก่อนที่จะมีการขึ้นทะเบียน CTPs โดยค่าเมตริก เกณฑ์ และระดับการขาดตอนสูงสุดที่ยอมรับได้ที่แน่นอนจะถูกกำหนดผ่านการหารือเชิงกำกับดูแลร่วมกับผู้ให้บริการทั้ง 4 รายในช่วงปีแรกนับจากนี้

ทำไมต้องมีระบบนี้: ความเสี่ยงจากการกระจุกตัวของบริการคลาวด์

เหตุผลเชิงนโยบายมาจากข้อสรุปของคณะกรรมการนโยบายการเงิน (Financial Policy Committee หรือ FPC) ในปี 2021 ที่เตือนว่าการพึ่งพาผู้ให้บริการคลาวด์ไม่กี่รายสำหรับบริการสำคัญอาจเพิ่มความเสี่ยงต่อเสถียรภาพทางการเงิน หากไม่มีการกำกับดูแลโดยตรงที่เข้มงวดมากขึ้น ระบบ CTP ได้รับการออกแบบมาเพื่อแก้ไขปัญหานี้โดยเฉพาะ โดยหน่วยงานกำกับดูแลจะใช้เกณฑ์ด้าน การกระจุกตัว (concentration) และ นัยสำคัญเชิงระบบ (materiality) เพื่อระบุและแนะนำ CTPs ให้กับ HM Treasury

ธนาคารแห่งประเทศอังกฤษ, PRA และ FCA ได้อำนาจใหม่อะไรบ้าง?

พระราชบัญญัติ Financial Services and Markets Act 2023 ได้เพิ่มบทที่ 3C ใหม่เข้าไปในส่วนที่ XVIII ของ FSMA 2000 ซึ่งมอบอำนาจกำกับดูแลโดยตรงชุดใหม่ให้กับธนาคารแห่งประเทศอังกฤษ (Bank of England), หน่วยงานกำกับดูแลด้านการปฏิบัติการ (Prudential Regulation Authority หรือ PRA) และหน่วยงานกำกับดูแลด้านการเงิน (Financial Conduct Authority หรือ FCA) ซึ่งเรียกรวมกันว่า ‘the regulators’ หรือ ‘หน่วยงานกำกับดูแล’ เหนือ CTPs ที่ถูกขึ้นทะเบียน อำนาจเหล่านี้รวมถึง:

• อำนาจในการออกกฎ (Rule-making power) – แต่ละหน่วยงานสามารถกำหนดหน้าที่ให้แก่ CTPs ที่เกี่ยวข้องกับการให้บริการต่อสถาบันการเงิน ตามความจำเป็นเพื่อบรรลุวัตถุประสงค์ทางกฎหมายของตน
• อำนาจในการออกคำสั่ง (Power of direction) – หน่วยงานกำกับดูแลสามารถสั่งให้ CTP ดำเนินการหรืองดเว้นการดำเนินการใด ๆ ก็ตาม หากคำสั่งนั้นเกี่ยวข้องกับการจัดการภัยคุกคามต่อเสถียรภาพหรือความสมบูรณ์ของระบบการเงินของสหราชอาณาจักร CTP รวมถึงเจ้าหน้าที่และพนักงานจะได้รับความคุ้มกันจากการเรียกร้องค่าเสียหายจากการปฏิบัติตามคำสั่งนั้น
• การเรียกข้อมูลและการทบทวนโดยผู้เชี่ยวชาญ (Information gathering and skilled-person reviews) – หน่วยงานสามารถเรียกให้ CTP ส่งข้อมูลและจัดทำรายงานโดยผู้เชี่ยวชาญที่มีทักษะเฉพาะทาง
• มาตรการบังคับใช้และทางวินัย (Enforcement and disciplinary measures) – หน่วยงานสามารถลงโทษปรับและดำเนินการทางวินัยสำหรับการละเมิดกฎ CTP รวมถึงผ่านนโยบายการบังคับใช้เฉพาะของ CTP

หน่วยงานกำกับดูแลสามารถห้ามผู้ให้บริการคลาวด์ให้บริการได้หรือไม่?

FSMA 2023 ไม่ได้มีอำนาจโดยตรงที่ระบุชื่อว่า ‘ห้ามการให้บริการ’ อย่างชัดเจน อย่างไรก็ตาม อำนาจในการออกคำสั่ง (power of direction) ภายใต้มาตรา 312N ของ FSMA นั้นกว้างพอที่จะครอบคลุมถึงผลลัพธ์ดังกล่าว: หน่วยงานกำกับดูแลสามารถสั่งให้ CTP งดเว้นการดำเนินการใดๆ ก็ได้ หากเห็นว่าจำเป็นหรือเหมาะสมต่อการบรรลุวัตถุประสงค์ของตน ซึ่งในทางปฏิบัติอาจรวมถึงการห้ามให้บริการเฉพาะที่ก่อให้เกิดความเสี่ยงเชิงระบบ

มาตรฐานความยืดหยุ่นและการทดสอบที่ต้องปฏิบัติตั้งแต่วันแรก

ข้อกำหนดโดยละเอียดระบุไว้ในเอกสารนโยบายร่วม PS16/24 และเอกสารกำกับดูแล SS6/24 ซึ่งเผยแพร่ในเดือนพฤศจิกายน 2024 โดยข้อกำหนดหลักที่จะมีผลบังคับใช้นับตั้งแต่วันขึ้นทะเบียน ได้แก่:

• กฎพื้นฐานสำหรับ CTP (CTP Fundamental Rules) – กฎ 6 ข้อระดับสูงที่เน้นผลลัพธ์ ครอบคลุมด้านธรรมาภิบาล การบริหารความเสี่ยง ความยืดหยุ่นในการดำเนินงาน และความร่วมมือกับหน่วยงานกำกับดูแล ซึ่งใช้กับบริการทั้งหมดที่ CTP ให้กับสถาบันการเงิน
• ข้อกำหนดด้านความเสี่ยงในการดำเนินงานและความยืดหยุ่น (Operational risk and resilience requirements) – CTP ต้องระบุ จัดการ และฟื้นตัวจากการขาดตอนของ ‘บริการที่เป็นระบบสำคัญของบุคคลภายนอก’ (systemic third party services) โดยต้องกำหนด ระดับการขาดตอนสูงสุดที่ยอมรับได้ (maximum tolerable level of disruption) สำหรับบริการแต่ละประเภท
• การทดสอบตามสถานการณ์ (Scenario testing) – CTP ต้องดำเนินการทดสอบตามสถานการณ์เพื่อประเมินความสามารถในการคงอยู่ภายในระดับการขาดตอนสูงสุดที่ยอมรับได้ ภายใต้สถานการณ์ที่รุนแรงแต่เป็นไปได้
• การแจ้งเหตุการณ์ (Incident notification) – CTP ต้องแจ้งให้หน่วยงานกำกับดูแลทราบถึงเหตุการณ์ขาดตอนในการดำเนินงานที่มีนัยสำคัญ ซึ่งส่งผลกระทบต่อบริการที่เป็นระบบสำคัญของบุคคลภายนอก
• การประเมินตนเองประจำปี (Annual self-assessments) – CTP ต้องส่งรายงานการประเมินตนเองประจำปีตามความคาดหวังของหน่วยงานกำกับดูแล และอาจถูกตรวจสอบเชิงลึกและเฉพาะเรื่อง รวมถึงรายงานจากผู้เชี่ยวชาญที่มีทักษะเฉพาะทาง

ช่วงเปลี่ยนผ่านและแนวโน้มในอนาคต

ปีแรกหลังการขึ้นทะเบียนจะเป็นช่วง ‘การระดมกำลัง (mobilisation)’ โดยเน้นให้หน่วยงานกำกับดูแลทำความเข้าใจการดำเนินงานและความเสี่ยงของ CTP แต่ละราย โดยจะทยอยบังคับใช้ข้อกำหนดทั้งหมดอย่างเต็มรูปแบบในภายหลัง ข้อสำคัญคือ มาตรฐานความยืดหยุ่นและข้อกำหนดการทดสอบเฉพาะดังกล่าวได้รับการสรุปเรียบร้อยแล้วก่อนที่จะมีการขึ้นทะเบียน CTPs โดยค่าเมตริก เกณฑ์ และระดับการขาดตอนสูงสุดที่ยอมรับได้ที่แน่นอนจะถูกกำหนดผ่านการหารือเชิงกำกับดูแลร่วมกับผู้ให้บริการทั้ง 4 รายในช่วงปีแรกนับจากนี้