英國將四家雲端服務供應商納入金融體系直接監管

發生了什麼

7月13日，英國一項新的監管機制正式生效。英國財政部已將 Amazon Web Services EMEA、Google Cloud EMEA、Microsoft Ireland Operations 和 Oracle Corporation UK 指定為金融體系的「關鍵第三方」（Critical Third Parties, CTPs）。英國金融行為監管局、審慎監管局和英格蘭銀行將共同監管這些公司向金融機構和金融市場基礎設施提供的具系統重要性的服務。

這並不是要把所有雲端運算公司都變成銀行式監管對象。監管範圍聚焦於那些一旦中斷，可能同時影響多家銀行、保險公司、交易平台或市場基礎設施的服務。監管機構可以蒐集資訊、進行韌性評估，並與供應商協調處理影響關鍵服務持續性的風險；在必要時，還可以制定並執行適用於這些關鍵服務的規則。

為什麼這很重要

在金融業日常運作中，雲端服務早已位於許多「看不見」的環節之後：資料儲存、交易系統、客戶介面、風險計算和後台營運，往往都是多家機構共同依賴同一批科技供應商。過去，監管責任主要落在金融機構本身，而雲端服務供應商大多只透過合約、稽核和供應商管理間接受到約束。

英國這項新安排改變了一個重要的制度假設：如果某家科技公司的故障可能同時蔓延到多家金融機構，那麼該公司提供的服務就不再只是單一機構的營運採購問題，而可能成為金融穩定問題。英國金融監管機構先前表示，在2025年收到的網路事件報告中，超過40%與第三方有關；這顯示供應鏈風險不再是邊緣議題，而是金融體系韌性的一部分。

對雲端服務供應商而言，受到直接監管可能意味著更高的資訊揭露、測試以及緊急應對協調要求。對銀行和交易基礎設施而言，這並不意味著可以把責任轉移給監管機構：金融公司仍須自行管理第三方風險，並確保在服務中斷時具備替代方案和復原能力。更實際的變化是，在選擇雲端供應商、設計多雲架構以及評估集中風險時，金融機構可能需要把監管要求納入長期基礎設施決策。

接下來還需要觀察什麼

首先，監管機構將如何界定各家供應商的「具系統重要性的服務」，以及韌性評估會深入到什麼程度。其次，英國財政部是否會繼續擴大關鍵第三方名單；現行機制沒有設定固定數量，因此未來可能納入更多資料、軟體或營運服務供應商。第三，這套機制是否能與其他金融中心的雲端服務監管規則協調。雲端基礎設施本身跨越國界，而英國金融機構使用的服務、資料和運維團隊往往分散在多個司法管轄區；監管邊界是否與技術邊界相符，將決定這套機制的實際成效。

這項政策傳遞的訊號非常明確：金融市場的核心基礎設施，正從傳統的交易、清算與支付網路，擴展到少數大型科技集團的運算與資料網路。監管的下一階段不只是追蹤誰在市場上交易，還要追蹤誰在讓市場持續運作。

來源

• 英國財政部：英國金融體系因針對大型科技供應商的新保障措施而獲得強化
• 英國金融行為監管局：關鍵第三方與英國金融服務的韌性
• 英格蘭銀行：英國金融監管機構開始監管英國財政部宣布的關鍵第三方