Tại sao lại có chế độ này? Rủi ro tập trung trong dịch vụ đám mây

Cơ sở chính sách bắt nguồn từ kết luận năm 2021 của Ủy ban Chính sách Tài chính (FPC), trong đó cảnh báo rằng việc phụ thuộc ngày càng tăng vào một số ít nhà cung cấp đám mây cho các dịch vụ quan trọng có thể làm gia tăng rủi ro ổn định tài chính nếu thiếu sự giám sát trực tiếp chặt chẽ hơn từ cơ quan quản lý . Chế độ CTP được thiết kế đặc biệt để giải quyết vấn đề này, với các cơ quan quản lý sử dụng tiêu chí tập trung (concentration) và trọng yếu (materiality) để xác định và đề xuất các CTP lên Bộ Tài chính .

Ngân hàng Trung ương Anh, PRA và FCA có những quyền hạn mới nào?

Đạo luật FSMA 2023 đã đưa Chương 3C mới vào Phần XVIII của FSMA 2000, trao cho Ngân hàng Trung ương Anh (BoE), Cơ quan Quản lý Thận trọng (PRA) và Cơ quan Quản lý Tài chính (FCA)—gọi chung là 'các cơ quan quản lý'—một loạt quyền hạn giám sát trực tiếp mới đối với các CTP đã được chỉ định . Các quyền này bao gồm:

• Quyền ban hành quy tắc – Mỗi cơ quan quản lý có thể áp đặt các nghĩa vụ đối với CTP liên quan đến dịch vụ họ cung cấp cho các công ty tài chính nếu cần thiết để thúc đẩy các mục tiêu luật định của mình .
• Quyền chỉ đạo – Một cơ quan quản lý có thể yêu cầu CTP thực hiện hoặc không thực hiện bất kỳ hành động cụ thể nào. Trong trường hợp chỉ đạo nhằm giải quyết mối đe dọa đến sự ổn định hoặc toàn vẹn của hệ thống tài chính Anh, CTP cùng các nhân viên và lãnh đạo của họ sẽ được miễn trừ trách nhiệm bồi thường thiệt hại nếu tuân thủ chỉ đạo .
• Quyền thu thập thông tin và yêu cầu báo cáo chuyên gia – Các cơ quan quản lý có thể yêu cầu CTP cung cấp thông tin và thực hiện các báo cáo bởi các chuyên gia có kỹ năng .
• Biện pháp cưỡng chế và kỷ luật – Các cơ quan quản lý có thể áp dụng các hình phạt và biện pháp kỷ luật đối với các vi phạm quy tắc CTP, thông qua một tuyên bố chính sách cưỡng chế dành riêng cho CTP .

Các cơ quan quản lý có thể cấm một nhà cung cấp đám mây cung cấp dịch vụ không?

FSMA 2023 không có quy định độc lập rõ ràng nào mang tên "cấm cung cấp dịch vụ". Tuy nhiên, quyền chỉ đạo theo mục 312N của FSMA đủ rộng để bao hàm kết quả đó: một cơ quan quản lý có thể yêu cầu CTP không được thực hiện bất kỳ hành động nào nếu điều đó là cần thiết hoặc phù hợp để thúc đẩy các mục tiêu của cơ quan đó, và trên thực tế, điều này có thể bao gồm việc cấm cung cấp một dịch vụ cụ thể gây rủi ro hệ thống .

Các tiêu chuẩn khả năng phục hồi và yêu cầu kiểm tra áp dụng ngay từ ngày đầu

Các yêu cầu chi tiết được nêu trong Tuyên bố Chính sách chung PS16/24 và Tuyên bố Giám sát SS6/24 của các cơ quan quản lý, cả hai đều được công bố vào tháng 11 năm 2024 . Các yêu cầu chính áp dụng kể từ ngày chỉ định bao gồm:

• Sáu Quy tắc Cơ bản của CTP (CTP Fundamental Rules) – Sáu quy tắc cấp cao, tập trung vào kết quả, bao gồm quản trị, quản lý rủi ro, khả năng phục hồi hoạt động và hợp tác với các cơ quan quản lý, áp dụng cho tất cả các dịch vụ mà CTP cung cấp cho các công ty tài chính .
• Yêu cầu về rủi ro hoạt động và khả năng phục hồi – CTP phải xác định, quản lý và phục hồi sau gián đoạn đối với "các dịch vụ bên thứ ba mang tính hệ thống" của mình. Họ phải đặt ra mức độ gián đoạn tối đa có thể chấp nhận được cho mỗi dịch vụ như vậy .
• Kiểm tra kịch bản – CTP phải tiến hành kiểm tra kịch bản để đánh giá khả năng duy trì trong mức độ gián đoạn tối đa có thể chấp nhận được trong các tình huống nghiêm trọng nhưng có thể xảy ra .
• Thông báo sự cố – CTP phải thông báo cho các cơ quan quản lý về các sự cố hoạt động trọng yếu ảnh hưởng đến các dịch vụ bên thứ ba mang tính hệ thống .
• Tự đánh giá hàng năm – CTP phải cung cấp báo cáo tự đánh giá hàng năm dựa trên các kỳ vọng của cơ quan quản lý và có thể bị yêu cầu thực hiện các đánh giá chuyên sâu và đánh giá theo chủ đề, bao gồm cả báo cáo của chuyên gia có kỹ năng .

Giai đoạn chuyển tiếp và những gì tiếp theo

Năm đầu tiên sau khi được chỉ định là giai đoạn "vận hành thử" (mobilisation) tập trung vào việc các cơ quan quản lý xây dựng hiểu biết về hoạt động và hồ sơ rủi ro của từng CTP. Việc tuân thủ đầy đủ tất cả các yêu cầu sẽ được thực hiện theo lộ trình . Một lưu ý quan trọng: các tiêu chuẩn khả năng phục hồi và yêu cầu kiểm tra cụ thể nêu trên đã được hoàn thiện trước khi bất kỳ CTP nào được chỉ định . Các chỉ số, ngưỡng và mức độ gián đoạn tối đa có thể chấp nhận được chính xác sẽ được xác định thông qua quá trình tham vấn giám sát riêng với từng nhà cung cấp trong năm đầu tiên .

Tại sao lại có chế độ này? Rủi ro tập trung trong dịch vụ đám mây

Cơ sở chính sách bắt nguồn từ kết luận năm 2021 của Ủy ban Chính sách Tài chính (FPC), trong đó cảnh báo rằng việc phụ thuộc ngày càng tăng vào một số ít nhà cung cấp đám mây cho các dịch vụ quan trọng có thể làm gia tăng rủi ro ổn định tài chính nếu thiếu sự giám sát trực tiếp chặt chẽ hơn từ cơ quan quản lý . Chế độ CTP được thiết kế đặc biệt để giải quyết vấn đề này, với các cơ quan quản lý sử dụng tiêu chí tập trung (concentration) và trọng yếu (materiality) để xác định và đề xuất các CTP lên Bộ Tài chính .

Ngân hàng Trung ương Anh, PRA và FCA có những quyền hạn mới nào?

Đạo luật FSMA 2023 đã đưa Chương 3C mới vào Phần XVIII của FSMA 2000, trao cho Ngân hàng Trung ương Anh (BoE), Cơ quan Quản lý Thận trọng (PRA) và Cơ quan Quản lý Tài chính (FCA)—gọi chung là 'các cơ quan quản lý'—một loạt quyền hạn giám sát trực tiếp mới đối với các CTP đã được chỉ định . Các quyền này bao gồm:

• Quyền ban hành quy tắc – Mỗi cơ quan quản lý có thể áp đặt các nghĩa vụ đối với CTP liên quan đến dịch vụ họ cung cấp cho các công ty tài chính nếu cần thiết để thúc đẩy các mục tiêu luật định của mình .
• Quyền chỉ đạo – Một cơ quan quản lý có thể yêu cầu CTP thực hiện hoặc không thực hiện bất kỳ hành động cụ thể nào. Trong trường hợp chỉ đạo nhằm giải quyết mối đe dọa đến sự ổn định hoặc toàn vẹn của hệ thống tài chính Anh, CTP cùng các nhân viên và lãnh đạo của họ sẽ được miễn trừ trách nhiệm bồi thường thiệt hại nếu tuân thủ chỉ đạo .
• Quyền thu thập thông tin và yêu cầu báo cáo chuyên gia – Các cơ quan quản lý có thể yêu cầu CTP cung cấp thông tin và thực hiện các báo cáo bởi các chuyên gia có kỹ năng .
• Biện pháp cưỡng chế và kỷ luật – Các cơ quan quản lý có thể áp dụng các hình phạt và biện pháp kỷ luật đối với các vi phạm quy tắc CTP, thông qua một tuyên bố chính sách cưỡng chế dành riêng cho CTP .

Các cơ quan quản lý có thể cấm một nhà cung cấp đám mây cung cấp dịch vụ không?

FSMA 2023 không có quy định độc lập rõ ràng nào mang tên "cấm cung cấp dịch vụ". Tuy nhiên, quyền chỉ đạo theo mục 312N của FSMA đủ rộng để bao hàm kết quả đó: một cơ quan quản lý có thể yêu cầu CTP không được thực hiện bất kỳ hành động nào nếu điều đó là cần thiết hoặc phù hợp để thúc đẩy các mục tiêu của cơ quan đó, và trên thực tế, điều này có thể bao gồm việc cấm cung cấp một dịch vụ cụ thể gây rủi ro hệ thống .

Các tiêu chuẩn khả năng phục hồi và yêu cầu kiểm tra áp dụng ngay từ ngày đầu

Các yêu cầu chi tiết được nêu trong Tuyên bố Chính sách chung PS16/24 và Tuyên bố Giám sát SS6/24 của các cơ quan quản lý, cả hai đều được công bố vào tháng 11 năm 2024 . Các yêu cầu chính áp dụng kể từ ngày chỉ định bao gồm:

• Sáu Quy tắc Cơ bản của CTP (CTP Fundamental Rules) – Sáu quy tắc cấp cao, tập trung vào kết quả, bao gồm quản trị, quản lý rủi ro, khả năng phục hồi hoạt động và hợp tác với các cơ quan quản lý, áp dụng cho tất cả các dịch vụ mà CTP cung cấp cho các công ty tài chính .
• Yêu cầu về rủi ro hoạt động và khả năng phục hồi – CTP phải xác định, quản lý và phục hồi sau gián đoạn đối với "các dịch vụ bên thứ ba mang tính hệ thống" của mình. Họ phải đặt ra mức độ gián đoạn tối đa có thể chấp nhận được cho mỗi dịch vụ như vậy .
• Kiểm tra kịch bản – CTP phải tiến hành kiểm tra kịch bản để đánh giá khả năng duy trì trong mức độ gián đoạn tối đa có thể chấp nhận được trong các tình huống nghiêm trọng nhưng có thể xảy ra .
• Thông báo sự cố – CTP phải thông báo cho các cơ quan quản lý về các sự cố hoạt động trọng yếu ảnh hưởng đến các dịch vụ bên thứ ba mang tính hệ thống .
• Tự đánh giá hàng năm – CTP phải cung cấp báo cáo tự đánh giá hàng năm dựa trên các kỳ vọng của cơ quan quản lý và có thể bị yêu cầu thực hiện các đánh giá chuyên sâu và đánh giá theo chủ đề, bao gồm cả báo cáo của chuyên gia có kỹ năng .

Giai đoạn chuyển tiếp và những gì tiếp theo

Năm đầu tiên sau khi được chỉ định là giai đoạn "vận hành thử" (mobilisation) tập trung vào việc các cơ quan quản lý xây dựng hiểu biết về hoạt động và hồ sơ rủi ro của từng CTP. Việc tuân thủ đầy đủ tất cả các yêu cầu sẽ được thực hiện theo lộ trình . Một lưu ý quan trọng: các tiêu chuẩn khả năng phục hồi và yêu cầu kiểm tra cụ thể nêu trên đã được hoàn thiện trước khi bất kỳ CTP nào được chỉ định . Các chỉ số, ngưỡng và mức độ gián đoạn tối đa có thể chấp nhận được chính xác sẽ được xác định thông qua quá trình tham vấn giám sát riêng với từng nhà cung cấp trong năm đầu tiên .