四大雲端巨頭被英國列為「關鍵第三方」：銀行監管新時代來臨

英國財政部（HM Treasury）喺2026年7月10日正式宣布，根據《金融服務及市場法2023》（FSMA 2023）設立嘅「關鍵第三方」（Critical Third Parties, CTP）制度，指定四間雲端服務供應商為關鍵第三方，新規例由2026年7月13日起生效。

呢四間公司係：

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

呢個係英國首次用新法例權力，將外部科技供應商直接納入金融監管機構嘅監督範圍。政府話呢啲指定措施「有助減低大規模中斷嘅風險」，仲話日後會按情況再加入其他供應商。

點解要有呢個制度？雲端服務嘅「集中風險」

成個政策嘅背後原因，係金融政策委員會（FPC）喺2021年發出嘅警告。FPC話，如果金融機構太過依賴少數幾間雲端服務商提供關鍵服務，而呢啲供應商又冇直接受監管，咁就會增加金融穩定嘅風險。CTP制度就係為咗應對呢個問題而設，監管機構會用集中度同重要性兩個標準，揀出應該被指定嘅供應商，推薦俾財政部。

英倫銀行、PRA同FCA有咩新權力？

《金融服務及市場法2023》喺FSMA 2000嘅Part XVIII入面加咗新嘅Chapter 3C，賦予英倫銀行（Bank of England）、審慎監管局（PRA）同金融行為監管局（FCA）——呢三個機構統稱「監管機構」——一系列直接監督指定CTP嘅權力。權力包括：

• 制定規則權力 – 每個監管機構可以對CTP施加責任，規範佢哋向金融機構提供服務嘅方式，只要係為咗推動佢哋嘅法定目標就得。
• 指令權力 – 監管機構可以指令CTP做某啲嘢，或者唔准做某啲嘢。如果個指令係為了解決或減少對英國金融系統穩定或完整嘅威脅，CTP同佢哋嘅高層同員工，只要係跟指令做嘢，就可以免於被追討賠償。
• 收集資訊同專才審查 – 監管機構可以要求CTP提交資訊，同埋委託專家（skilled persons）去做報告。
• 執法同紀律處分 – 監管機構可以對違反CTP規則嘅供應商罰款同採取紀律行動，仲有專門嘅CTP執法政策聲明。

監管機構可以唔准雲端供應商提供某啲服務嗎？

FSMA 2023冇一條寫明「禁止提供服務」嘅獨立權力。不過，FSMA第312N條嘅指令權力範圍好闊，足以涵蓋呢種情況：監管機構可以指令CTP唔准做某啲嘢，只要佢覺得咁做係必要或者有助達到佢哋嘅目標。實際操作上，呢個權力可以用嚟禁止提供某啲會構成系統性風險嘅特定服務。

即時生效嘅韌性標準同測試要求

詳細要求寫咗喺監管機構喺2024年11月聯合發布嘅政策聲明PS16/24同監督聲明SS6/24入面。由指定日起適用嘅主要要求包括：

• CTP基本規則 – 六條高層次、以結果為本嘅規則，涵蓋管治、風險管理、營運韌性同與監管機構合作，適用於CTP向金融機構提供嘅所有服務。
• 營運風險同韌性要求 – CTP要識別、管理同恢復「系統性第三方服務」嘅中斷情況。每項系統性服務都要設定一個最大可承受中斷程度。
• 情境測試 – CTP要做情境測試，評估自己喺嚴重但合理嘅情境下，能否維持喺最大可承受中斷程度之內。
• 事故通報 – CTP要將影響系統性第三方服務嘅重大營運事故通知監管機構。
• 年度自我評估 – CTP要提交年度自我評估，說明自己是否符合監管機構嘅期望，同時要接受深入審查同主題式檢討，包括專才報告。

過渡期同之後嘅安排

指定後嘅第一年係「動員期」，監管機構會先了解每間CTP嘅業務同風險狀況。全面遵守所有規定嘅要求會逐步推行。有一個重要嘅背景要留意：呢啲韌性標準同測試要求，係喺仲未有任何CTP被指定之前就制定好嘅。至於具體嘅指標、門檻同最大可承受中斷程度，將會喺第一年入面，透過同每間供應商逐間進行嘅監管互動先至確定。