イングランド銀行がマイクロソフト、アマゾン、グーグル、オラクルを直接監督する——これは象徴的な動きではない。クラウド障害が金融システム全体を揺るがしかねないという現実を、規制当局が正式に認めたということだ。
4社指定、新たな規制枠組みの始動
2026年7月13日、英国財務省（HM Treasury）は4つの事業体を金融セクターの「重要第三者」（Critical Third Parties、CTP）に正式指定した。対象はアマゾン・ウェブ・サービスEMEA、グーグル・クラウドEMEA、マイクロソフト・アイルランド・オペレーションズ、オラクル・コーポレーションUKだ。親会社そのものではなく、英国の銀行や保険会社のシステムを実際にホスティングする欧州・英国法人が指定されている。
法的根拠は金融サービス・市場法（Financial Services and Markets Act）。監督は3つの規制当局が共同で担う——イングランド銀行、健全性規制機構（PRA）、金融行動監視機構（FCA）。テクノロジー企業が——銀行でも保険会社でもファンドでもなく——英国の金融規制当局の直接管轄下に入るのは初めてだ。
集中リスクがシステミックリスクに
論理はシンプルだが、含意は深い。英国の銀行はほぼ全面的にクラウドへ移行した。1行や10行ではない——実質的にすべてだ。そしてその大多数が、ほんの数社のプロバイダーに集中している。AWSが4時間停止したらどうなるか。社内の一部サービスが遅くなるだけではない。数百万件の取引が停止し、決済システムが凍結し、リスクデータが参照不能になる可能性がある。
このシナリオはもはや仮定の話ではない。近年の大規模クラウド障害——2021年12月のAWS、2023年1月のMicrosoft Azure、2024年4月のGoogle Cloud——はそれぞれ数百のサービスに連鎖的な影響を与えた。問題は金融セクターに影響が及ぶかどうかではなく、いつかだった。
実効性のある権限、ただし範囲は限定的
規制当局がこれらの企業のすべての事業を監督するわけではない。対象は英国金融システムにとって重要と判断されたサービスに限定される。ただし、その範囲内での権限は大きい。オペレーショナル・レジリエンスの評価、情報収集、要件の設定、そして最終手段として、規制対象の金融機関へのサービス提供の禁止まで可能だ。
イングランド銀行のプルーデンシャル・ポリシー部門責任者サイモン・ホール氏はこの制度を「リスクに焦点を当てた、比例的かつ実務的な」ものと表現し、「CTPと規制当局のより緊密な協力を強く推奨する」と述べた。外交的なトーンだが、メッセージは明確だ——自主的な協力が望ましいが、強制力のあるツールは存在する。
英国とEU——二つの哲学、一つの診断
EUは2025年1月に施行されたDORA（Digital Operational Resilience Act）で独自の枠組みを構築している。両制度は同じ診断——クラウドへのシステミックな依存——から出発しているが、アプローチは異なる。
英国の制度は定性的だ。数値基準はなく、指定はケースバイケースの判断による。DORAは定量的基準（例えばEU金融機関の10%超にサービスを提供していること）を設定する。もう一つの重要な違い：英国ではクラウドプロバイダーが情報提供の負担を負う。DORAの下では、金融機関自身がその依存関係を文書化しなければならない。
二つの制度は別々に機能しているわけではない。2026年1月、FCAとイングランド銀行、そしてEUの監督当局（EBA、EIOPA、ESMA）は覚書（MoU）を締結し、監督の調整とインシデント発生時の情報共有——サイバー攻撃、大規模障害、サービス中断——について合意した。
クラウド大手にとっての意味
マイクロソフト、アマゾン、グーグル、オラクルにとって、この指定は金融サービスに特化した新たなコンプライアンス層を生み出す。監査、レジリエンス要件、報告義務が、すでに密度の高い規制環境（GDPR、NIS2、DSA）の上に積み重なる。そして英国はまだ始まりにすぎない。他の管轄地域がこのモデルを注視している。
だが、本質的な問いは別のところにある。CTP制度は暗黙のうちに、これらの企業がインフラストラクチャーになったことを認めている——比喩的な意味ではなく、規制上の意味で。クラウドプロバイダーがシステム上重要な金融アクターとして監督される時、市場はすでにその不可欠性について結論を出している。そしてその認定がもたらす帰結は、金融セクターをはるかに超えて広がるだろう。