英國正式將四大雲端巨頭列為關鍵第三方：新監管時代降臨

2026年7月10日，英國財政部（HM Treasury）正式依據《2023年金融服務與市場法》（Financial Services and Markets Act 2023）建立的制度，指定四家雲端服務供應商為英國金融系統的關鍵第三方（Critical Third Parties, CTP）。這項指定將於2026年7月13日生效。這四家實體為：

• Microsoft Ireland Operations Limited
• Google Cloud EMEA Limited
• Amazon Web Services EMEA SARL
• Oracle Corporation UK Limited

這是英國首次動用新的法定權力，將外部科技供應商納入金融監管機構的直接監督範圍。英國政府表示，這些指定將「有助於降低大規模中斷的風險」，並指出這是一個滾動式監管制度，未來可能指定更多供應商。

制度存在的理由：雲端服務的集中度風險

這項政策的背後邏輯，源於英國金融政策委員會（Financial Policy Committee, FPC）在2021年的一項結論。FPC警告，英國金融體系對少數雲端供應商提供關鍵服務的依賴程度日益增加，若缺乏更直接的法規監管，可能加劇金融穩定風險。關鍵第三方制度正是為了解決這個問題而設計；監管機構會以集中度與重要性為標準，識別並向財政部推薦應被指定的CTP。

英格蘭銀行、PRA與FCA現在擁有哪些新權力？

《2023年金融服務與市場法》在《2000年金融服務與市場法》（FSMA 2000）第XVIII部分新增了第3C章，授予英格蘭銀行（Bank of England）、審慎監管局（Prudential Regulation Authority, PRA）及金融行為監理總署（Financial Conduct Authority, FCA）——三者合稱「監管機構」——一套全新的直接監管權力，用以監管被指定的CTP。這些權力包括：

• 規則制定權 – 各監管機構可對CTP就其提供給金融機構的服務施加義務，以促進其法定目標。
• 指示權 – 監管機構可指示CTP執行或避免執行任何指定事項。若該指示是為了解決或減輕對英國金融體系穩定或健全的威脅，CTP及其主管和員工因遵循指示而採取的行為，可獲得損害賠償豁免權。
• 資訊收集與專家審查 – 監管機構可要求CTP提供資訊，並委託專家提交報告。
• 執法與紀律處分 – 監管機構可對違反CTP規則的行為處以罰款及紀律處分，並發布一份專門的CTP執法政策聲明。

監管機構能否禁止雲端供應商提供服務？

《2023年金融服務與市場法》並未明確賦予一項名為「禁止服務提供」的獨立權力。然而，FSMA第312N條所規定的指示權範圍足夠廣泛，涵蓋了此類結果：監管機構如果認為有必要或有助於促進其監管目標，可以指示CTP避免從事任何行為。在實務上，這就包含了禁止提供某項構成系統性風險的特定服務。

自生效日起適用的韌性標準與測試要求

具體的要求詳列於監管機構在2024年11月聯合發布的政策聲明PS16/24及監管聲明SS6/24中。從指定日起適用的關鍵要求包括：

• CTP基本規則 – 六項高階、以結果為導向的規則，涵蓋治理、風險管理、營運韌性及與監管機構的合作，適用於CTP提供給金融機構的所有服務。
• 營運風險與韌性要求 – CTP必須識別、管理其「系統性第三方服務」的中斷問題，並從中恢復。他們必須為每一項此類服務設定最大可容忍中斷程度。
• 情境測試 – CTP必須進行情境測試，以評估其在嚴重但合理的情境下，能否維持在最大可容忍中斷程度之內。
• 事件通報 – CTP必須將影響系統性第三方服務的重大營運事件通報監管機構。
• 年度自我評估 – CTP必須針對監管機構的期望提交年度自我評估，並接受深入調查及專題審查，包括專家報告在內。

過渡期與後續發展

指定後的第一年被視為「動員期」，重點在於讓監管機構了解每家CTP的營運狀況與風險概況。全面遵守所有要求的義務將分階段實施。一個重要的附帶說明是：這些具體的韌性標準和測試要求是在任何CTP被指定之前就已經定案的。確切的指標、門檻及最大可容忍中斷程度，將在指定後的第一年內，透過與四家供應商逐一進行監管溝通來決定。