Que signifie le régime CTP proposé au Royaume-Uni pour les entreprises, les IMF et les tiers ?
À la suite d’un document de discussion conjoint (3/22 – Résilience opérationnelle : tiers critiques du secteur financier britannique) publié en juillet 2022, la Banque d’Angleterre (la Banque), la Prudential Regulatory Authority (PRA) et la Financial Conduct Authority (FCA) a publié des propositions communes le 7 décembre 2023 pour accroître la résilience du secteur financier en supervisant les tiers critiques, en consultant sur la manière de superviser et de renforcer la résilience des services fournis par des tiers critiques (CTP) aux sociétés de services financiers et aux entités d’infrastructure des marchés financiers (IMF). ).
Les propositions font suite à l’adoption par le Parlement de la loi de 2023 sur les services et marchés financiers, qui a donné au Trésor britannique (HMT) le pouvoir de désigner certains prestataires de services tiers aux entreprises et IMF britanniques comme CTP et aux régulateurs le pouvoir d’établir des règles et de superviser les CTP. désigné par HMT. Le document de consultation (CP) s’appuie sur le document de discussion de juillet 2022, qui exposait les plans des régulateurs pour superviser les services critiques fournis par les CTP au secteur financier. Le CP fournit des détails sur le nouveau régime qui permettra aux régulateurs de gérer les risques systémiques liés aux CTP, tout en permettant aux entreprises et aux IMF de continuer à bénéficier des services technologiques qu’elles fournissent.
» un niveau approprié mais proportionné de surveillance réglementaire directe », d’autant plus que les CTP continuent de constituer un groupe concentré.
Dans le DP3/22, les régulateurs ont reconnu les avantages potentiels que les services fournis par des tiers peuvent apporter aux entreprises et aux IMF et ont souligné leur soutien à une utilisation sûre et durable de ces services. Cependant, ils ont également exprimé des inquiétudes spécifiques quant au fait que « la défaillance de certains tiers, ou une perturbation grave des services importants qu’ils fournissent aux entreprises et aux IMF, pourrait poser des risques pour la stabilité financière du Royaume-Uni, ce qui justifie une intervention réglementaire »..
Les propositions du programme de pays devraient donc améliorer la résilience des services tiers essentiels dont dépendent les sociétés financières et leurs clients, soutenir l’intégrité du marché et renforcer la compétitivité et la croissance du Royaume-Uni. La question est de savoir ce que signifierait dans la pratique « un niveau approprié mais proportionné de surveillance réglementaire directe » des CTP. Même si les sociétés de services financiers sont responsables de leur résilience opérationnelle et de leurs propres accords avec des prestataires de services tiers, elles sont incapables de faire face aux risques systémiques que les CTP peuvent poser. Par conséquent, les régulateurs interviennent avec un cadre de régulation qui cible la résilience des tiers.
Les propositions du PC définissent les règles et principes qui s’appliqueraient à tous les services fournis par les CTP aux entreprises et aux IMF britanniques. L’approche proposée par les régulateurs repose sur la fourniture d’informations par les CTP aux autorités de contrôle pour évaluer la résilience des services matériels. Il s’agit notamment d’exigences granulaires en matière de risque opérationnel et de résilience, qui s’appliqueront uniquement aux services importants fournis par les CTP aux entreprises et aux IMF, notamment en ce qui concerne la cyber-résilience, les risques liés à la chaîne d’approvisionnement et la gestion des incidents. Il est proposé que les CTP soumettent leur première auto-évaluation « dans les trois mois suivant leur désignation et chaque année par la suite » et complètent leur première carte des ressources, y compris les actifs et la technologie utilisés pour fournir, prendre en charge et maintenir chaque service matériel qu’ils fournissent et la version de leur manuel de gestion des incidents dans le secteur financier « dans les douze mois suivant leur désignation, et chaque année par la suite ».
Le CP définit également le cadre réglementaire à travers lequel les CTP potentiels seraient identifiés, qui comprend des critères tels que le nombre et le type de services qu’ils fournissent aux sociétés de services financiers et l’importance relative de ces services. Cependant, il convient également de noter qu’ils précisent également que « le statut désigné d’un CTP ne signifiera pas nécessairement qu’il est intrinsèquement plus résilient, plus sûr ou plus approprié pour fournir un service donné à une entreprise ou une IMF donnée que des tiers non désignés. fournissant des services identiques ou similaires ».
Les régulateurs précisent qu’ils envisagent de recommander la désignation de tiers comme CTP « sur la base de leur évaluation de l’impact potentiel qu’une défaillance ou une interruption des services de ces tiers pourrait avoir sur la stabilité ou la confiance dans le Royaume-Uni ». système financier ». Selon le CP, avant de désigner un prestataire de services tiers comme CTP, HMT tiendra compte de « l’importance des services que le tiers fournit aux entreprises et aux IMF pour la fourniture d’activités, de services ou d’opérations essentiels ; nombre et type d’entreprises et d’IMF auxquelles la personne fournit des services ».
Les régulateurs précisent également qu’ils examineront également « si les entreprises et les IMF ont déclaré dans le registre de l’externalisation et des tiers qu’un tiers soutient leur fourniture de « services commerciaux importants », tels que définis dans les politiques de résilience opérationnelle respectives des régulateurs ». Ils expliquent en outre que « le fait qu’une entreprise ou une IMF identifie ou non un tiers comme soutenant la fourniture d’un service commercial important ne saurait annuler ou remplacer la propre évaluation des régulateurs quant à savoir si un tiers satisfait au critère de « matérialité » « . Par le biais du CP, les régulateurs proposent en outre de « traiter plusieurs services distincts fournis par le même prestataire de services aux entreprises et aux IMF comme étant importants dans leur ensemble s’ils considèrent que leur perturbation ou leur défaillance combinée pourrait menacer la stabilité ou la confiance dans le système financier britannique ». système ».
Du point de vue de la conformité, le régime CTP proposé poussera les CTP à démontrer qu’ils peuvent améliorer la résilience de leurs propres opérations qui soutiennent les entreprises de services financiers. Le PC introduit des exigences de surveillance spécifiques pour les CTP, qui comprennent principalement des exigences de soumission réglementaire qui informeraient les régulateurs de perturbations spécifiques susceptibles d’avoir un impact négatif sur les services fournis et qui fourniraient l’assurance aux régulateurs de leur capacité à fournir des services importants dans des conditions graves mais plausibles. perturbations au moyen d’une auto-évaluation annuelle et de tests de scénarios réguliers.
Il convient de noter que les exigences proposées s’appliqueraient aux services fournis aux entreprises et aux IMF réglementés par la Banque, la PRA et/ou la FCA, quel que soit le lieu où ils sont fournis. Cela signifie que les propositions sont « agnostiques quant à l’emplacement d’un CTP ». Les régulateurs précisent qu’« il n’y a aucune obligation pour une CTP de créer un établissement au Royaume-Uni (par exemple une filiale) là où il n’en existe pas déjà un. Cette approche proposée reconnaît que les CTP peuvent fournir des services à partir de plusieurs juridictions (ce qui peut contribuer à améliorer l’efficacité et la résilience de ces services) ». Le CP précise que « les entreprises et les IMF qui reçoivent des services des CTP peuvent opérer dans plusieurs juridictions. Cette approche proposée pourrait également réduire les coûts de conformité pour les CTP, les entreprises et les IMF par rapport à une approche qui obligeait les CTP à localiser les entités, les infrastructures, le personnel ou services au Royaume-Uni ».
Les propositions sont alignées sur le récent rapport du Conseil de stabilité financière (FSB) sur l’amélioration de la gestion et de la surveillance des risques liés aux tiers et sur la loi sur la résilience opérationnelle numérique (DORA) de l’Union européenne, qui a établi des règles contraignantes pour la gestion des risques liés aux technologies de l’information et de la communication (TIC). rapports d’incidents, tests de résilience et gestion des risques liés aux tiers (TPRM) en 2020, permettant aux superviseurs de superviser les fournisseurs tiers de TIC critiques (CTPP), y compris les fournisseurs de services cloud (CSP). Par exemple, conformément au CSF, le CP ne considère pas que la concentration dans la fourniture de services de tiers à des entreprises ou à des IMF pose automatiquement des risques systémiques et que « la concentration peut refléter la qualité, y compris la résilience, des services d’un tiers. « .
Les exigences proposées dans le PC visent à compléter, mais non à remplacer, les responsabilités réglementaires existantes des sociétés de services financiers et des IMF en ce qui concerne leur résilience opérationnelle, en apportant une clarté indispensable sur leurs obligations et celles des CTP. Compte tenu de l’accent mis sur la gestion des risques liés aux tiers, le CP est également pertinent pour la déclaration prudentielle SS2/21 Outsourcing and Third Party Risk Management publiée en 2021, qui définit les attentes de la PRA sur la manière dont les entreprises doivent se conformer aux exigences réglementaires et aux attentes relatives à externalisation et gestion des risques liés aux tiers.
Enfin, il convient de noter que les régulateurs rappellent que « les entreprises et les IMF resteront responsables de l’évaluation de l’importance et des risques de chacun de leurs accords d’externalisation et de tiers et de la mise en œuvre d’une diligence raisonnable appropriée et proportionnée à l’égard de tiers potentiels ». Ils précisent en outre que les propositions compléteront, sans toutefois brouiller, éliminer ou réduire, la responsabilisation et la responsabilité des entreprises, des IMF, de leurs conseils d’administration et de la haute direction, y compris «toute personne exerçant des fonctions de haute direction (SMF) de continuer à remplir ses fonctions existantes». obligations réglementaires en matière de résilience opérationnelle et de gestion des risques tiers ».
