Quand la Banque d’Angleterre décide de superviser directement Microsoft, Amazon, Google et Oracle, ce n’est pas un geste symbolique. C’est l’aveu officiel qu’une panne cloud pourrait désormais provoquer une crise financière systémique — et que les régulateurs traditionnels ne sont plus équipés pour l’empêcher seuls.

Quatre noms, un nouveau régime

Le 13 juillet 2026, le Trésor britannique a formellement désigné quatre entités comme « tiers critiques » (Critical Third Parties, ou CTP) du secteur financier : Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations et Oracle Corporation UK. Ce sont les filiales européennes et britanniques qui sont visées — pas les maisons mères directement, mais leurs branches opérationnelles qui hébergent les systèmes des banques et assureurs du pays.

Le régime repose sur le Financial Services and Markets Act. Trois régulateurs vont superviser conjointement ces tiers : la Banque d’Angleterre, la PRA (Prudential Regulation Authority) et la FCA (Financial Conduct Authority). C’est la première fois que des fournisseurs technologiques — ni banques, ni assureurs, ni fonds — tombent sous la juridiction directe des régulateurs financiers britanniques.

Le problème : un risque de concentration devenu systémique

Le raisonnement est simple, mais ses implications sont profondes. Les banques britanniques ont massivement migré vers le cloud. Pas une, ni dix — la quasi-totalité d’entre elles. Et elles se sont concentrées sur une poignée de fournisseurs. Si AWS tombe pendant quatre heures, ce ne sont pas quelques services internes qui ralentissent : ce sont potentiellement des millions de transactions qui s’arrêtent, des systèmes de paiement qui gèlent, des données de risque qui deviennent inaccessibles.

Ce scénario n’est plus théorique. Les pannes cloud majeures de ces dernières années — AWS en décembre 2021, Microsoft Azure en janvier 2023, Google Cloud en avril 2024 — ont chacune affecté des centaines de services en cascade. La question n’a jamais été si une panne affecterait le secteur financier, mais quand.

Des pouvoirs réels, mais un périmètre calibré

Les régulateurs ne vont pas superviser l’ensemble des activités de ces géants — uniquement les services jugés critiques pour le système financier britannique. Mais dans ce périmètre, leurs pouvoirs sont considérables : évaluation de la résilience opérationnelle, collecte d’informations, imposition d’exigences, et en dernier recours, interdiction de fournir des services aux institutions financières régulées.

Simon Hall, responsable de la division politique prudentielle à la Banque d’Angleterre, a décrit le régime comme « axé sur le risque, proportionné et pragmatique ». Il a « fortement encouragé une coopération plus étroite entre les tiers critiques et les régulateurs ». Le ton est diplomatique, mais le message est clair : la coopération volontaire est préférable, mais les outils contraignants existent.

UK vs. UE : deux philosophies, un même constat

L’Union européenne a mis en place son propre dispositif via DORA (Digital Operational Resilience Act), entré en application en janvier 2025. Les deux régimes partent du même constat — la dépendance systémique au cloud — mais divergent dans leur approche.

Le régime britannique est qualitatif : pas de seuil chiffré, la désignation relève d’une évaluation au cas par cas. DORA pose des critères quantitatifs (par exemple, servir plus de 10 % des institutions financières de l’UE). Autre différence notable : au Royaume-Uni, c’est le fournisseur cloud qui porte la charge de l’information. Dans le cadre de DORA, ce sont les institutions financières elles-mêmes qui doivent documenter leur dépendance.

Les deux régimes ne fonctionnent pas en vase clos. En janvier 2026, la FCA, la Banque d’Angleterre et les autorités européennes de surveillance (EBA, EIOPA, ESMA) ont signé un protocole d’accord pour coordonner leur supervision et partager les informations en cas d’incident — cyberattaque, panne majeure, interruption de service.

Ce que ça change pour les géants du cloud

Pour Microsoft, Amazon, Google et Oracle, cette désignation crée une nouvelle couche de conformité spécifiquement liée au secteur financier. Les audits, les exigences de résilience, les obligations de reporting s’ajoutent à un environnement réglementaire déjà dense (RGPD, NIS2, DSA). Et le Royaume-Uni n’est que le début : d’autres juridictions observent ce modèle.

Mais la vraie question est ailleurs. Le régime CTP reconnaît implicitement que ces entreprises sont devenues des infrastructures — pas au sens métaphorique, mais au sens réglementaire. Quand un fournisseur cloud est supervisé comme un acteur financier systémique, c’est que le marché a déjà tranché sur son caractère indispensable. Et les conséquences de cette reconnaissance iront bien au-delà du secteur financier.