Чому виникла потреба в режимі: ризик концентрації хмарних послуг

Логіка політики ґрунтується на висновку Комітету з фінансової політики (FPC) від 2021 року. Тоді комітет попередив, що дедалі більша залежність фінансового сектору від невеликої кількості хмарних провайдерів може підвищити ризики для фінансової стабільності за відсутності прямого регуляторного нагляду . Режим CTP створено саме для вирішення цієї проблеми: регулятори використовують критерії концентрації та суттєвості (materiality), щоб ідентифікувати та рекомендувати кандидатів до Мінфіну .

Які нові повноваження отримали Банк Англії, PRA та FCA?

Закон про фінансові послуги та ринки 2023 року (Financial Services and Markets Act 2023) вніс нову главу 3C до Частини XVIII закону FSMA 2000, наділивши Банк Англії, Управління пруденційного нагляду (PRA) та Управління з фінансової поведінки (FCA) — спільно "регулятори" — новими прямими наглядовими повноваженнями щодо визначених CTP . До них належать:

• Право встановлювати правила – Кожен регулятор може накладати обов'язки на CTP у зв'язку з послугами, які вони надають фінансовим установам, якщо це необхідно для досягнення його статутних цілей .
• Право давати вказівки – Регулятор може приписати CTP вчинити певну дію або утриматися від неї. Якщо вказівка спрямована на усунення загрози стабільності або цілісності фінансової системи, CTP, її посадові особи та персонал отримують імунітет від позовів про відшкодування збитків за дії, вчинені на виконання такої вказівки .
• Збір інформації та залучення експертів – Регулятори можуть вимагати від CTP надання інформації та замовляти звіти від кваліфікованих осіб (skilled persons) .
• Примусові заходи та дисциплінарні стягнення – Регулятори можуть накладати штрафи та вживати дисциплінарних заходів за порушення правил CTP, зокрема через спеціальну політику застосування санкцій .

Чи можуть регулятори заборонити хмарному провайдеру надавати послуги?

У FSMA 2023 немає окремого прямо названого повноваження "заборонити надання послуг". Однак право давати вказівки згідно зі статтею 312N FSMA є достатньо широким, щоб охопити такий результат: регулятор може приписати CTP утриматися від будь-яких дій, якщо це видається необхідним або доцільним для досягнення цілей регулятора, що на практиці може означати заборону надання конкретної послуги, яка становить системний ризик .

Стандарти стійкості та вимоги до тестування, що діють з першого дня

Детальні вимоги викладено в спільній Заяві про політику PS16/24 та Наглядовій заяві SS6/24, опублікованих у листопаді 2024 року . Ключові вимоги, що застосовуються з дати призначення:

• Фундаментальні правила CTP – Шість правил високого рівня, орієнтованих на результат, що охоплюють управління, ризик-менеджмент, операційну стійкість та співпрацю з регуляторами. Застосовуються до всіх послуг, які CTP надає фінансовим установам .
• Вимоги до операційного ризику та стійкості – CTP повинні виявляти, управляти та відновлюватися після збоїв у своїх "системних сторонніх послугах". Для кожної такої послуги вони мають встановити максимально допустимий рівень збою (maximum tolerable level of disruption) .
• Сценарне тестування – CTP зобов'язані проводити тестування за сценаріями, щоб оцінити спроможність залишатися в межах максимально допустимого рівня збою в разі серйозних, але ймовірних подій .
• Повідомлення про інциденти – CTP повинні повідомляти регуляторів про суттєві операційні інциденти, що впливають на системні сторонні послуги .
• Щорічні самооцінки – CTP мають щороку подавати самооцінку відповідності очікуванням регуляторів, а також підлягають поглибленим та тематичним перевіркам, зокрема із залученням звітів кваліфікованих осіб .

Перехідний період і що далі

Перший рік після призначення — це фаза "мобілізації", зосереджена на тому, щоб регулятори краще зрозуміли операції та профіль ризику кожного CTP. Повне дотримання всіх вимог запроваджуватиметься поступово . Важливе застереження: конкретні стандарти стійкості та вимоги до тестування були остаточно визначені ще до призначення CTP . Точні показники, порогові значення та максимально допустимі рівні збоїв визначатимуться в рамках індивідуальної наглядової роботи з кожним із чотирьох провайдерів протягом першого року .

Чому виникла потреба в режимі: ризик концентрації хмарних послуг

Логіка політики ґрунтується на висновку Комітету з фінансової політики (FPC) від 2021 року. Тоді комітет попередив, що дедалі більша залежність фінансового сектору від невеликої кількості хмарних провайдерів може підвищити ризики для фінансової стабільності за відсутності прямого регуляторного нагляду . Режим CTP створено саме для вирішення цієї проблеми: регулятори використовують критерії концентрації та суттєвості (materiality), щоб ідентифікувати та рекомендувати кандидатів до Мінфіну .

Які нові повноваження отримали Банк Англії, PRA та FCA?

Закон про фінансові послуги та ринки 2023 року (Financial Services and Markets Act 2023) вніс нову главу 3C до Частини XVIII закону FSMA 2000, наділивши Банк Англії, Управління пруденційного нагляду (PRA) та Управління з фінансової поведінки (FCA) — спільно "регулятори" — новими прямими наглядовими повноваженнями щодо визначених CTP . До них належать:

• Право встановлювати правила – Кожен регулятор може накладати обов'язки на CTP у зв'язку з послугами, які вони надають фінансовим установам, якщо це необхідно для досягнення його статутних цілей .
• Право давати вказівки – Регулятор може приписати CTP вчинити певну дію або утриматися від неї. Якщо вказівка спрямована на усунення загрози стабільності або цілісності фінансової системи, CTP, її посадові особи та персонал отримують імунітет від позовів про відшкодування збитків за дії, вчинені на виконання такої вказівки .
• Збір інформації та залучення експертів – Регулятори можуть вимагати від CTP надання інформації та замовляти звіти від кваліфікованих осіб (skilled persons) .
• Примусові заходи та дисциплінарні стягнення – Регулятори можуть накладати штрафи та вживати дисциплінарних заходів за порушення правил CTP, зокрема через спеціальну політику застосування санкцій .

Чи можуть регулятори заборонити хмарному провайдеру надавати послуги?

У FSMA 2023 немає окремого прямо названого повноваження "заборонити надання послуг". Однак право давати вказівки згідно зі статтею 312N FSMA є достатньо широким, щоб охопити такий результат: регулятор може приписати CTP утриматися від будь-яких дій, якщо це видається необхідним або доцільним для досягнення цілей регулятора, що на практиці може означати заборону надання конкретної послуги, яка становить системний ризик .

Стандарти стійкості та вимоги до тестування, що діють з першого дня

Детальні вимоги викладено в спільній Заяві про політику PS16/24 та Наглядовій заяві SS6/24, опублікованих у листопаді 2024 року . Ключові вимоги, що застосовуються з дати призначення:

• Фундаментальні правила CTP – Шість правил високого рівня, орієнтованих на результат, що охоплюють управління, ризик-менеджмент, операційну стійкість та співпрацю з регуляторами. Застосовуються до всіх послуг, які CTP надає фінансовим установам .
• Вимоги до операційного ризику та стійкості – CTP повинні виявляти, управляти та відновлюватися після збоїв у своїх "системних сторонніх послугах". Для кожної такої послуги вони мають встановити максимально допустимий рівень збою (maximum tolerable level of disruption) .
• Сценарне тестування – CTP зобов'язані проводити тестування за сценаріями, щоб оцінити спроможність залишатися в межах максимально допустимого рівня збою в разі серйозних, але ймовірних подій .
• Повідомлення про інциденти – CTP повинні повідомляти регуляторів про суттєві операційні інциденти, що впливають на системні сторонні послуги .
• Щорічні самооцінки – CTP мають щороку подавати самооцінку відповідності очікуванням регуляторів, а також підлягають поглибленим та тематичним перевіркам, зокрема із залученням звітів кваліфікованих осіб .

Перехідний період і що далі

Перший рік після призначення — це фаза "мобілізації", зосереджена на тому, щоб регулятори краще зрозуміли операції та профіль ризику кожного CTP. Повне дотримання всіх вимог запроваджуватиметься поступово . Важливе застереження: конкретні стандарти стійкості та вимоги до тестування були остаточно визначені ще до призначення CTP . Точні показники, порогові значення та максимально допустимі рівні збоїв визначатимуться в рамках індивідуальної наглядової роботи з кожним із чотирьох провайдерів протягом першого року .