英国将微软、谷歌、亚马逊和Oracle列为“关键第三方”：新云监管体制如何影响金融稳定

2026年7月10日，英国财政部（HM Treasury）依据《2023年金融服务和市场法案》（Financial Services and Markets Act 2023）创建的监管框架，正式将四家云服务提供商指定为英国金融系统的关键第三方（Critical Third Parties, CTPs）。该认定自2026年7月13日起生效。这四家公司分别是：

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

这是英国首次运用新的法定权力，将外部技术供应商纳入金融监管机构的直接监督范围。英国政府表示，此举将“有助于降低大规模中断的风险”，并指出随着滚动监管机制的推进，未来可能指定更多供应商。

监管背后的逻辑：云服务的集中度风险

该政策的核心依据源于2021年英国金融政策委员会（Financial Policy Committee, FPC）的一项结论。FPC当时警告称，金融系统对少数几家云服务商的关键服务依赖日益加深，若缺乏更直接的监管，可能增加金融稳定风险。关键第三方（CTP）监管框架正是为应对这一问题而设计，监管机构通过评估**集中度（concentration）和重要性（materiality）**两大标准，向英国财政部推荐并建议指定CTP。

英格兰银行、PRA和FCA获得了哪些新权力？

《2023年金融服务和市场法案》在《2000年金融服务和市场法案》（FSMA 2000）第XVIII部分中新增了第3C章，授予英格兰银行（Bank of England）、审慎监管局（PRA）和金融行为监管局（FCA）——统称为“监管机构”——一系列针对已指定CTP的新型直接监督权力。这些权力包括：

• 规则制定权——各监管机构可为CTP设定与其向金融公司提供服务相关的义务，以推进其法定目标。
• 指令权——监管机构可指令CTP采取或不采取任何指定行动。当该指令旨在应对英国金融系统稳定或完整性的威胁时，CTP及其高管和员工因合规行为可免于损害赔偿。
• 信息收集与专家审查权——监管机构可要求CTP提供信息，并委托专家出具报告。
• 执法与纪律处分权——监管机构可对违反CTP规则的行为处以罚款并采取纪律处分，相关执法政策有专门声明。

监管机构能否禁止云服务商提供某项服务？

《2023年金融服务和市场法案》并未明确提及“禁止提供服务”这一独立权力。然而，根据FSMA第312N条规定的指令权，其范围足以覆盖此类情形：监管机构可指令CTP不采取任何行动，只要该指令对于推进其监管目标而言是必要或适宜的。在实践中，这完全可以包括禁止提供某项构成系统性风险的特定服务。

从认定之日起适用的韧性标准与测试要求

具体规定载于监管机构于2024年11月联合发布的政策声明PS16/24和监管声明SS6/24。自认定之日起适用的关键要求包括：

• CTP基本规则——六项高层次的、以结果为导向的规则，涵盖治理、风险管理、运营韧性以及与监管机构的合作，适用于CTP向金融公司提供的所有服务。
• 运营风险与韧性要求——CTP必须识别、管理其“系统性第三方服务”的中断并从中恢复。CTP需为每项此类服务设定最大可容忍中断水平。
• 场景测试——CTP必须开展场景测试，评估自身在严重但合理的情景下，能否维持在其最大可容忍中断水平之内。
• 事件通知——CTP须向监管机构报告影响系统性第三方服务的重大运营事件。
• 年度自我评估——CTP须对照监管机构的预期提交年度自我评估，并接受深度审查和专题审查，包括专家报告审查。

过渡期及后续安排

认定后的第一年为“动员期”，监管机构将重点了解每家CTP的运营模式和风险状况。所有要求的完全合规将分阶段逐步落实。一个重要的前提是：具体的韧性标准和测试要求在CTP被认定之前已经最终确定。而确切的指标、阈值以及最大可容忍中断水平，将在第一年内通过与四家供应商的个别监督互动来确定。