İngiltere, Microsoft, Google, Amazon ve Oracle'ı 'Kritik Üçüncü Taraflar' Olarak Belirledi: Yeni Bulut Denetim Rejimi Finansal İstikrar İçin Ne Anlama Geliyor?

10 Temmuz 2026'da HM Treasury, Financial Services and Markets Act 2023 kapsamında oluşturulan rejim çerçevesinde dört bulut hizmet sağlayıcısını resmen Kritik Üçüncü Taraf (CTP) olarak belirledi. Bu belirleme 13 Temmuz 2026'da yürürlüğe giriyor . Belirlenen dört kuruluş şunlar:

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

Bu, İngiltere'nin yeni yasal yetkilerini kullanarak dış teknoloji sağlayıcılarını ilk kez doğrudan finansal düzenleyicilerin denetimine tabi tutması anlamına geliyor. Hükümet, bu belirlemelerin "yaygın bir aksama riskini azaltmaya yardımcı olacağını" ve zamanla daha fazla sağlayıcının belirlenebileceğini açıkladı .

Rejimin Gerekçesi: Bulut Hizmetlerinde Yoğunlaşma Riski

Politikanın dayandığı temel gerekçe, Mali Politika Komitesi'nin (FPC) 2021'de vardığı bir sonuca dayanıyor. FPC, hayati hizmetler için az sayıda bulut sağlayıcısına artan bağımlılığın, daha güçlü bir doğrudan düzenleyici denetim olmaması halinde finansal istikrar risklerini artırabileceği uyarısında bulunmuştu . CTP rejimi, tam da bu sorunu çözmek için tasarlandı. Düzenleyiciler, HM Treasury'ye CTP önermek için yoğunlaşma ve önemlilik kriterlerini kullanıyor .

Bank of England, PRA ve FCA Hangi Yeni Yetkilere Sahip Oldu?

Financial Services and Markets Act 2023, FSMA 2000'in XVIII. Kısmına yeni bir 3C Bölümü ekleyerek Bank of England, İhtiyati Düzenleme Kurumu (PRA) ve Finansal Davranış Otoritesi'ne (FCA) - kısaca "düzenleyiciler" - belirlenen CTP'ler üzerinde bir dizi yeni doğrudan denetim yetkisi verdi . Bunlar şunları içeriyor:

• Kural Koyma Yetkisi – Her düzenleyici, kendi yasal hedeflerini ilerletmek için gerekli olduğu ölçüde, CTP'lerin finansal firmalara sağladıkları hizmetlerle bağlantılı olarak onlara yükümlülükler getirebilir .
• Yönlendirme Yetkisi – Bir düzenleyici, bir CTP'ye belirtilen herhangi bir şeyi yapmasını veya yapmaktan kaçınmasını emredebilir. Bu yönlendirme, Birleşik Krallık finansal sisteminin istikrarına veya bütünlüğüne yönelik bir tehdidi ele alıyorsa, CTP ile onun yönetici ve personeli, uyumlu eylemleri nedeniyle tazminat taleplerine karşı dokunulmazlık kazanır .
• Bilgi Toplama ve Uzman İncelemeleri – Düzenleyiciler, CTP'lerden bilgi talep edebilir ve bağımsız uzmanlar tarafından rapor hazırlanmasını isteyebilir .
• Yaptırım ve Disiplin Önlemleri – Düzenleyiciler, CTP kurallarının ihlali durumunda para cezaları verebilir ve disiplin işlemleri başlatabilir. Bu amaçla özel bir CTP yaptırım politikası izlenir .

Düzenleyiciler Bir Bulut Sağlayıcısının Hizmet Sunmasını Yasaklayabilir mi?

FSMA 2023, açıkça "hizmet sunumunu yasaklama" adı altında bağımsız bir yetki içermiyor. Ancak, FSMA'nın 312N. bölümü kapsamındaki yönlendirme yetkisi, bu tür bir sonucu kapsayacak kadar geniştir: Bir düzenleyici, kendi hedeflerini ilerletmek için gerekli veya uygun görünüyorsa, bir CTP'ye herhangi bir şeyi yapmaktan kaçınmasını emredebilir. Bu, pratikte sistemik risk oluşturan belirli bir hizmetin sunumunu yasaklamayı da içerebilir .

İlk Günden İtibaren Geçerli Olan Dayanıklılık Standartları ve Test Gereklilikleri

Ayrıntılı gereklilikler, düzenleyicilerin Kasım 2024'te yayınladığı ortak Politika Bildirisi PS16/24 ve Denetim Bildirisi SS6/24'te belirlenmiştir . Belirleme tarihinden itibaren geçerli olan temel gereklilikler şunlardır:

• CTP Temel Kuralları – Yönetişim, risk yönetimi, operasyonel dayanıklılık ve düzenleyicilerle iş birliğini kapsayan, CTP'nin finansal firmalara sağladığı tüm hizmetler için geçerli olan altı üst düzey, sonuç odaklı kural .
• Operasyonel Risk ve Dayanıklılık Gereklilikleri – CTP'ler, "sistemik üçüncü taraf hizmetlerindeki" aksaklıkları tanımlamalı, yönetmeli ve bu aksaklıklardan kurtulmalıdır. Her bir hizmet için tolere edilebilir maksimum kesinti seviyesi belirlemeleri gerekir .
• Senaryo Testi – CTP'ler, ciddi ancak olası senaryolar altında tolere edilebilir maksimum kesinti seviyeleri dahilinde kalma yeteneklerini değerlendirmek için senaryo testleri yapmak zorundadır .
• Olay Bildirimi – CTP'ler, sistemik üçüncü taraf hizmetlerini etkileyen maddi operasyonel olayları düzenleyicilere bildirmelidir .
• Yıllık Öz Değerlendirmeler – CTP'ler, düzenleyicilerin beklentilerine karşı yıllık öz değerlendirmeler sunmak ve derinlemesine incelemelere (uzman raporları dahil) tabi olmak zorundadır .

Geçiş Dönemi ve Sonrası

Belirlemeden sonraki ilk yıl, düzenleyicilerin her bir CTP'nin operasyonlarını ve risk profilini anlamaya odaklandığı bir "harekete geçme" (mobilizasyon) aşamasıdır. Tüm gerekliliklere tam uyum zamanla aşamalı olarak uygulanacaktır . Önemli bir uyarı: belirli dayanıklılık standartları ve test gereklilikleri, herhangi bir CTP belirlenmeden önce kesinleştirilmişti . Kesin metrikler, eşikler ve tolere edilebilir maksimum kesinti seviyeleri, ilk yıl boyunca dört sağlayıcının her biriyle yapılacak bireysel denetim görüşmeleri yoluyla belirlenecektir .