英格蘭銀行正式獲授權監管 AWS、Google Cloud 等四大雲端供應商

一件拖了超過十八個月的事，下週一終於要動了。英格蘭銀行與金融行為監管局（FCA）從 2026 年 7 月 14 日起，正式對 Amazon Web Services、Google Cloud、Oracle 與 Microsoft 四家業者取得「直接監管」權。這四家公司已被英國政府點名為「關鍵第三方」（critical third parties），理論上的授權早在 2025 年 1 月就到位，但具體指定誰要被管，卻磨了一年半才拍板。

拖這麼久，背景說穿了很簡單：工黨政府一邊想從美國大型科技公司那裡拉投資，一邊又必須對系統性風險有所交代。兩件事本來就有張力。去年十月，Lloyds Banking Group 等超過兩千家公司的線上服務，因為亞馬遜在美國維吉尼亞州數據中心的一次故障而全面受衝擊——半個地球外的一個技術事故，搞垮了英國日常金融服務，這件事讓「靠少數外國業者跑整個金融基礎設施」的問題一下子從議題變成了政治壓力。議會財政委員會的數據更說明規模：2023 到 2025 年間，英國主要銀行與房貸協會合計遭遇的 IT 故障，累計時間相當於超過一個月。

新框架要求這四家公司做什麼？簡單說，三件事：一，做壓力測試並提交結果，證明他們能撐過極端情境；二，重大事故——不管是網路攻擊、停電還是天災衝擊——必須主動向兩個監管機關報告；三，接受英格蘭銀行與 FCA 的直接審查，不再只是自說自話。這些業者的服務早就深入英國銀行業的骨幹：資料儲存、自動化詐欺偵測、數位銀行服務，缺一不可。

值得注意的是，四家公司全數公開表態歡迎這個安排——聲明都跟官方公告一起發出。這不是反常的謙遜，而是現實主義的精算：公開抵制只會讓監管條件更難看，不如站在「支持韌性」的立場拿主動。監管框架確立之後，抱怨遊說空間只會更小。

財政委員會主席 Meg Hillier 說得更直接：她認為下一步應該把 AI 公司也納入「關鍵第三方」制度。金融服務對 AI 的依賴程度正在快速加深，一旦某個主要 AI 供應商出問題，骨牌效應不亞於雲端中斷。這個方向還沒有時間表，但監管方向已經白紙黑字說出來了。

對亞太地區的金融監管機構與商業決策者，這件事的參考意義是：英國的框架建立過程說明了一件事——指定「關鍵第三方」的政治成本，比看起來高得多。即便授權早就有了，真要點名誰是系統性要害，就會碰到招商引資與金融安全之間的正面衝突。英國花了十八個月，仍然只圈了四家。各地監管機構在設計類似制度時，如何定義「關鍵」門檻、如何處理外資敏感性，將是能不能真的落地的核心變數，不是技術問題，是政治問題。