第三方风险的监管门槛正在提高

2024年4月，加拿大金融机构监管局（OSFI）发布修订版《B-10准则——第三方风险管理》。许多加拿大Fintech公司及其受监管合作方当初将其视为一项文件合规工作。两年后，这种态度正在受到代价。2026年OSFI合规审查的深度已超出预期，重点聚焦云服务安排、分包链条和退出计划，仅凭政策文件无法应对。对于服务联邦监管金融机构（FRFI）或本身受到监管的Fintech公司而言，全面落实B-10已不再是选项，而是必答题。

B-10合规的三大薄弱环节

一、云集中风险被低估

B-10要求FRFI识别关键安排——中断后会对核心业务职能产生重大影响的第三方关系——并主动管理其中的集中风险。实践中，集中风险最突出的场景是机构依赖单一超大云服务商（AWS、Microsoft Azure或Google Cloud）承载关键基础设施，却缺乏可信的备选方案。

OSFI的监管预期并非要求机构回避超大云服务商——它们是成熟且经过审计的平台——而是要求机构能够证明存在可行的退出或恢复路径。许多机构目前难以做到这一点：退出方案停留在纸面，从未经过演练；合同中约定的数据可提取权限或缺失，或埋藏在早于B-10审查时签署的供应商附录中。

二、第四方可见度存在真实缺口

B-10将尽职调查义务延伸至分包安排，即”你的第三方所依赖的第三方”。对于向FRFI客户提供云端AML或支付平台的Fintech公司而言，这意味着真实的上游合规压力：FRFI客户必须了解你的分包商体系，监管机构可能要求其证明这一点。

实操层面的挑战在于分包链条变动频繁。SaaS供应商可能在未通知客户的情况下轮换数据中心、切换云区域或引入新的身份验证服务商。机构需要在合同中明确要求供应商就变更及时通知，并定期披露分包商信息，而非仅凭入职时的一次性评估。

三、数据驻留预期持续演进

B-10本身并未强制要求数据存储于加拿大境内，但B-10的保密要求、加拿大隐私专员办公室（OPC）的跨境传输指引，以及《消费者隐私保护法》（CPPA）即将生效的相关条款，共同推动许多机构实际上将最敏感数据类别——尤其是个人身份信息和受FINTRAC留存要求约束的交易记录——纳入事实上的加拿大数据驻留要求。

依赖美国或欧盟云基础设施处理加拿大金融数据的Fintech公司，应立即审计自身数据流向。OSFI检查人员问的不只是数据在哪里，而是机构能否证明自己知道数据在哪里，并能在短时间内向检查人员提供书面证明。我们的加拿大主权云基础设施团队专门协助企业应对这一监管合规与运营架构的交叉难题。

强化B-10合规体系的实务步骤

• 建立并维护技术与关键第三方（CTP）台账。这一动态文件应记录每项重要安排的关键性评级、涉及数据类型、分包依赖关系及合同保障条款。OSFI检查人员将要求查阅。
• 每年重新进行重要性评估。18个月前的非关键安排，今天可能已晋升为关键安排。重要性评级不是一次性标签，而是需要持续更新的动态判断。
• 与云服务商谈判强化合同权利。最低要求包括：审计权（或同等独立评估权）、附明确时限的数据可移植性保障、分包商变更通知义务，以及无需事由即可终止合同的权利。
• 演练退出方案。从未测试过的退出方案是缺口风险，而非控制措施。每年开展桌面演练并记录发现的问题——即便方案存在不足，这也向监管机构展示了合规诚意。
• 绘制并持续监控分包链条。通过供应商问卷、合同披露义务和SOC 2 Type II报告，保持对第四方的可见度。若供应商拒绝提供分包商信息，应将其视为风险信号，而非次要行政问题。
• 整合B-10与B-13合规体系。OSFI配套出台的B-13准则（技术与网络风险管理）对云服务安排设定了韧性和事件响应要求，与B-10覆盖相同的云服务对象。分别处理两者将产生审计缺口和运营盲点——应将二者整合推进。

2027年的监管走向

OSFI已释放信号：人工智能模型风险——包括大型语言模型在信贷决策、欺诈检测和客户服务中的应用——将在2027年成为独立监管重点。最能适应这一变化的机构，是那些已在B-10框架下建立起成熟第三方风险管理体系的机构：有记录在案的供应商清单、维护中的分包链条图谱，以及经实质谈判的合同保障条款。今天为云服务商搭建的运营基础设施，将成为明天应对AI模型提供商的管理模板。

小结

OSFI B-10不再是一项新准则，而是一个活跃的监管审视维度。在即将到来的合规检查中表现最佳的机构，将是那些从政策合规迈向运营落地的机构：经过演练的退出方案、持续维护的分包链条图谱、经实质谈判的合同保障，以及整合运行的B-10与B-13合规体系。今天的技术架构决策，直接塑造明天的监管风险敞口。

需要协助？联系我们的团队。