แบงก์ชาติอังกฤษได้อำนาจใหม่ คุม Microsoft, Google, Amazon และ Oracle หลังถูกขึ้นทะเบียนเป็น ‘บุคคลภายนอกที่วิกฤต’

ธนาคารแห่งประเทศอังกฤษ, PRA และ FCA ได้อำนาจใหม่อะไรบ้าง?

พระราชบัญญัติ Financial Services and Markets Act 2023 ได้เพิ่มบทที่ 3C ใหม่เข้าไปในส่วนที่ XVIII ของ FSMA 2000 ซึ่งมอบอำนาจกำกับดูแลโดยตรงชุดใหม่ให้กับธนาคารแห่งประเทศอังกฤษ (Bank of England), หน่วยงานกำกับดูแลด้านการปฏิบัติการ (Prudential Regulation Authority หรือ PRA) และหน่วยงานกำกับดูแลด้านการเงิน (Financial Conduct Authority หรือ FCA) ซึ่งเรียกรวมกันว่า ‘the regulators’ หรือ ‘หน่วยงานกำกับดูแล’ เหนือ CTPs ที่ถูกขึ้นทะเบียน อำนาจเหล่านี้รวมถึง:

• อำนาจในการออกกฎ (Rule-making power) – แต่ละหน่วยงานสามารถกำหนดหน้าที่ให้แก่ CTPs ที่เกี่ยวข้องกับการให้บริการต่อสถาบันการเงิน ตามความจำเป็นเพื่อบรรลุวัตถุประสงค์ทางกฎหมายของตน
• อำนาจในการออกคำสั่ง (Power of direction) – หน่วยงานกำกับดูแลสามารถสั่งให้ CTP ดำเนินการหรืองดเว้นการดำเนินการใด ๆ ก็ตาม หากคำสั่งนั้นเกี่ยวข้องกับการจัดการภัยคุกคามต่อเสถียรภาพหรือความสมบูรณ์ของระบบการเงินของสหราชอาณาจักร CTP รวมถึงเจ้าหน้าที่และพนักงานจะได้รับความคุ้มกันจากการเรียกร้องค่าเสียหายจากการปฏิบัติตามคำสั่งนั้น
• การเรียกข้อมูลและการทบทวนโดยผู้เชี่ยวชาญ (Information gathering and skilled-person reviews) – หน่วยงานสามารถเรียกให้ CTP ส่งข้อมูลและจัดทำรายงานโดยผู้เชี่ยวชาญที่มีทักษะเฉพาะทาง
• มาตรการบังคับใช้และทางวินัย (Enforcement and disciplinary measures) – หน่วยงานสามารถลงโทษปรับและดำเนินการทางวินัยสำหรับการละเมิดกฎ CTP รวมถึงผ่านนโยบายการบังคับใช้เฉพาะของ CTP

หน่วยงานกำกับดูแลสามารถห้ามผู้ให้บริการคลาวด์ให้บริการได้หรือไม่?

FSMA 2023 ไม่ได้มีอำนาจโดยตรงที่ระบุชื่อว่า ‘ห้ามการให้บริการ’ อย่างชัดเจน อย่างไรก็ตาม อำนาจในการออกคำสั่ง (power of direction) ภายใต้มาตรา 312N ของ FSMA นั้นกว้างพอที่จะครอบคลุมถึงผลลัพธ์ดังกล่าว: หน่วยงานกำกับดูแลสามารถสั่งให้ CTP งดเว้นการดำเนินการใดๆ ก็ได้ หากเห็นว่าจำเป็นหรือเหมาะสมต่อการบรรลุวัตถุประสงค์ของตน ซึ่งในทางปฏิบัติอาจรวมถึงการห้ามให้บริการเฉพาะที่ก่อให้เกิดความเสี่ยงเชิงระบบ

มาตรฐานความยืดหยุ่นและการทดสอบที่ต้องปฏิบัติตั้งแต่วันแรก

ข้อกำหนดโดยละเอียดระบุไว้ในเอกสารนโยบายร่วม PS16/24 และเอกสารกำกับดูแล SS6/24 ซึ่งเผยแพร่ในเดือนพฤศจิกายน 2024 โดยข้อกำหนดหลักที่จะมีผลบังคับใช้นับตั้งแต่วันขึ้นทะเบียน ได้แก่:

• กฎพื้นฐานสำหรับ CTP (CTP Fundamental Rules) – กฎ 6 ข้อระดับสูงที่เน้นผลลัพธ์ ครอบคลุมด้านธรรมาภิบาล การบริหารความเสี่ยง ความยืดหยุ่นในการดำเนินงาน และความร่วมมือกับหน่วยงานกำกับดูแล ซึ่งใช้กับบริการทั้งหมดที่ CTP ให้กับสถาบันการเงิน
• ข้อกำหนดด้านความเสี่ยงในการดำเนินงานและความยืดหยุ่น (Operational risk and resilience requirements) – CTP ต้องระบุ จัดการ และฟื้นตัวจากการขาดตอนของ ‘บริการที่เป็นระบบสำคัญของบุคคลภายนอก’ (systemic third party services) โดยต้องกำหนด ระดับการขาดตอนสูงสุดที่ยอมรับได้ (maximum tolerable level of disruption) สำหรับบริการแต่ละประเภท
• การทดสอบตามสถานการณ์ (Scenario testing) – CTP ต้องดำเนินการทดสอบตามสถานการณ์เพื่อประเมินความสามารถในการคงอยู่ภายในระดับการขาดตอนสูงสุดที่ยอมรับได้ ภายใต้สถานการณ์ที่รุนแรงแต่เป็นไปได้
• การแจ้งเหตุการณ์ (Incident notification) – CTP ต้องแจ้งให้หน่วยงานกำกับดูแลทราบถึงเหตุการณ์ขาดตอนในการดำเนินงานที่มีนัยสำคัญ ซึ่งส่งผลกระทบต่อบริการที่เป็นระบบสำคัญของบุคคลภายนอก
• การประเมินตนเองประจำปี (Annual self-assessments) – CTP ต้องส่งรายงานการประเมินตนเองประจำปีตามความคาดหวังของหน่วยงานกำกับดูแล และอาจถูกตรวจสอบเชิงลึกและเฉพาะเรื่อง รวมถึงรายงานจากผู้เชี่ยวชาญที่มีทักษะเฉพาะทาง

ช่วงเปลี่ยนผ่านและแนวโน้มในอนาคต

ปีแรกหลังการขึ้นทะเบียนจะเป็นช่วง ‘การระดมกำลัง (mobilisation)’ โดยเน้นให้หน่วยงานกำกับดูแลทำความเข้าใจการดำเนินงานและความเสี่ยงของ CTP แต่ละราย โดยจะทยอยบังคับใช้ข้อกำหนดทั้งหมดอย่างเต็มรูปแบบในภายหลัง ข้อสำคัญคือ มาตรฐานความยืดหยุ่นและข้อกำหนดการทดสอบเฉพาะดังกล่าวได้รับการสรุปเรียบร้อยแล้วก่อนที่จะมีการขึ้นทะเบียน CTPs โดยค่าเมตริก เกณฑ์ และระดับการขาดตอนสูงสุดที่ยอมรับได้ที่แน่นอนจะถูกกำหนดผ่านการหารือเชิงกำกับดูแลร่วมกับผู้ให้บริการทั้ง 4 รายในช่วงปีแรกนับจากนี้