英国、4つのクラウドサービス提供事業者を金融システムの直接監督対象に
2026年7月13日から、英国の金融当局は「重要第三者」とみなされる4つのクラウドサービス提供事業者を共同監督し始める。...
何が起きたのか
7月13日、英国の新たな規制枠組みが正式に施行された。英国財務省は、Amazon Web Services EMEA、Google Cloud EMEA、Microsoft Ireland Operations、Oracle Corporation UKを金融システムにおける「重要第三者」(Critical Third Parties, CTPs) に指定した。英国金融行為監督機構、健全性規制機構、イングランド銀行は、これらの企業が金融機関および金融市場インフラに提供するシステム上重要なサービスを共同で監督する。
これは、すべてのクラウド企業を銀行監督の対象に変えるものではない。規制の範囲は、停止した場合に複数の銀行、保険会社、取引プラットフォーム、または市場インフラに同時に影響を及ぼしうるサービスに集中している。規制当局は情報を収集し、レジリエンス評価を実施し、重要サービスの継続性に影響するリスクに対処するため事業者と連携できる。必要に応じて、これらの重要サービスに適用される規則を策定・執行することも可能である。
なぜ重要なのか
金融業界の日常業務では、クラウドサービスは多くの「見えない」工程の背後にある。データ保存、取引システム、顧客向けインターフェース、リスク計算、バックオフィス運用などは、多くの組織が少数のテクノロジー事業者に依存している可能性がある。従来、監督責任は主として金融機関自身にあり、クラウド事業者は契約、監査、ベンダー管理を通じて間接的にのみ拘束されることが大半だった。
英国の新たな枠組みは、重要な制度上の前提を変える。あるテクノロジー企業の障害が複数の金融機関に同時に波及しうるのであれば、その企業が提供するサービスは、もはや単一の顧客による運用調達の問題にとどまらず、金融安定性の問題になりうる。英国の金融規制当局は以前、2025年に受け取ったサイバー障害報告のうち40%以上が第三者に関連していたと述べており、サプライチェーン・リスクが周縁的な話題ではなく、金融システムのレジリエンスの一部であることを示している。
クラウドサービス提供事業者にとって、直接監督の対象となることは、開示、テスト、緊急対応の連携においてより高い要求につながる可能性がある。銀行や取引インフラにとって、それは責任を規制当局へ移せることを意味しない。金融企業は引き続き第三者リスクを管理し、サービス中断時に備えて代替策と復旧能力を確保しなければならない。より現実的な変化は、クラウド事業者の選定、マルチクラウド構成の設計、集中リスクの評価において、金融機関が長期的なインフラ判断に規制要件を織り込む必要があるかもしれない、という点である。
今後注目すべき点
第一に、各規制当局が各事業者の「システム上重要なサービス」をどのように特定し、レジリエンス評価をどこまで深く行うのか。第二に、英国財務省が重要第三者のリストをさらに拡大するかどうか。現行の枠組みには固定数がなく、将来的にはデータ、ソフトウェア、運用サービスの提供事業者がさらに含まれる可能性がある。第三に、この枠組みが他の金融センターにおけるクラウド監督ルールと協調できるかどうかである。クラウド基盤は国境を越えており、英国の金融機関が利用するサービス、データ、運用チームも複数の法域に分散していることが多い。規制の境界が技術の境界と一致するかどうかが、この制度の実効性を左右する。
この政策が発するシグナルは明確だ。金融市場の中核インフラは、従来の取引、清算、決済ネットワークから、少数の巨大テクノロジー企業が支える計算・データネットワークへと拡大している。次の監督段階では、誰が市場で取引しているかを追うだけでなく、誰が市場を動かし続けているかを追うことが求められる。
出典
情報提供を目的とした内容です。投資・法律・税務・財務上の助言には該当しません。