Bankmyndigheder foreslår at erstatte vejledningen om tredjepartsrisiko fra 2023

Den føderale indskudsforsikringskorporation, Federal Reserve Board, National Credit Union Administration og Office of the Comptroller of the Currency anmodede den 11. september 2026 om offentlig kommentar til foreslået vejledning, der skal hjælpe finansielle institutioner med at håndtere risici forbundet med tredjepartsrelationer. Forslaget fokuserer på en principbaseret tilgang og er, ligesom al tilsynsvejledning, ikke bindende, ifølge den fælles meddelelse fra myndighederne, udgivet til frigivelse kl. 10:00 EDT. Når den er færdiggjort, planlægger de føderale bankreguleringsmyndigheder at tilbagekalde den eksisterende vejledning om tredjepartsrisikostyring og erstatte den med den færdige version for at fremme konsistens og forsvarlig innovation i banksektoren.

Kommentarer til den foreslåede vejledning skal indsendes inden 60 dage efter offentliggørelsen i Federal Register. Den fælles meddelelse har sagsidentifikatorer OCC-2026-0793 for OCC, OP-1881 for Board, RIN 3064-ZA58 for FDIC og NCUA-2026-1684 for NCUA.

Den samme dag udsendte Board, FDIC og OCC en erklæring om lokalsamfundsbankers samarbejde med kerneleverandører, og Federal Reserve Board anmodede om kommentarer til en foreslået vejledning om tredjepartsrisikostyring specifikt for de lokalsamfundsbanker, den fører tilsyn med, som et ledsagende dokument til det bredere forslag.

Foreslået erstatning for 2023-rammeværket

Ifølge meddelelsen i Federal Register vil enhver færdiggjort vejledning erstatte den interagenturvejledning om tredjepartsrelationer: Risikostyring, der blev offentliggjort i 2023 (88 FR 37920, 9. juni 2023), sammen med de supplerende TPRM-ressourcer: OCC’s bulletin fra 15. maj 2002 om udenlandsbaserede tredjepartsserviceleverandører, den fælles erklæring fra 25. juli 2024 om bankers aftaler med tredjepart for at levere bankindskudsprodukter, og guiden fra 3. maj 2024 “Third-Party Risk Management: A Guide for Community Banks”.

Myndighederne skrev, at baseret på interessentfeedback og tilsynserfaring, er 2023-vejledningen ofte blevet fortolket på en alt for bred måde og uden tilstrækkeligt fokus på tilpasning; at dens omfattende overvejelser og detaljerede eksempler har vist sig vanskelige at anvende på tværs af forskellige typer af relationer; at den utilsigtet har tilskyndet procesdrevne, “check‑the‑box” tilgange frem for risikofokuserede praksisser; og at den er blevet opfattet som en hindring for aftaler med nyere og innovative tredjepart.

Den foreslåede vejledning indeholder fire komponenter: risikogenkendelse og -vurdering; risikostyring, der dækker due diligence og udvælgelse af tredjepart, kontraktforhandling, løbende overvågning, ophør og tværgående emner; accept af resterende risiko; og governance. Risikovurderinger vil tage højde for både omfanget af den skade, et forhold kan forårsage, og sandsynligheden for, at skaden indtræffer. Højrisikoforhold kan omfatte dem, som, hvis de afbrydes, udsættes for angreb, udføres i kontraktbrud eller på anden måde under ikke‑normale forhold, kan medføre et reelt, ikke‑ubetydeligt lov- eller reguleringsbrud, væsentlig skade på bankorganisationens finansielle tilstand eller betydelig forstyrrelse af dens drift eller kunder, hvor der er en væsentlig sandsynlighed for sådanne udfald under nuværende eller rimeligt forudsigelige betingelser.

Meddelelsen angiver, at vejledningen fastsætter ingen håndhævelige standarder eller påkrævede krav, at manglende overholdelse ikke vil medføre tilsynsaktion, og at afvigelse fra vejledningen eller dens eksempler alene ikke vil danne grundlag for tilsynsaktion eller en negativ vurdering fra en revisor. Den tilføjer, at myndighederne stadig kan træffe foranstaltninger ved overtrædelser af love eller regulativer, usikre eller usunde praksisser eller andre væsentlige risici, der skyldes utilstrækkelig håndtering af tredjepartsrisiko. Teksten angiver også, at myndighederne vil give behørig overvejelse til en bankorganisationens rimelige beslutninger i spørgsmål om tilsyn med tredjepartsrisikostyring.

Myndighederne angiver, at forslaget vil fremme ansvarlig innovation i overensstemmelse med Executive Order 14405 om integration af fintech‑innovation i reguleringsrammer. Office of Information and Regulatory Affairs fastslog, at forslaget ikke er en væsentlig reguleringshandling i henhold til Executive Order 12866, og meddelelsen angiver, at hvis det færdiggøres som foreslået, forventes det at være en deregulering i henhold til Executive Order 14192, fordi det vil give tilsynsmæssig klarhed, der kan medføre større effektivitet og forenkling af funktionerne for tredjepartsrisikostyring.

Blandt de specifikke spørgsmål stiller meddelelsen, om vejledningen kun skal gælde for tredjepart, der er underlagt en skriftlig aftale med bankorganisationen, og om det ville være nyttigt at inkludere en liste over karakteristika, der generelt indikerer, at et tredjepartsforhold er højrisiko.

Kerneleverandører, lokalsamfundsbanker og Board‑afstemning

Den fælles erklæring om lokalsamfundsbankers engagement med kerne‑serviceleverandører omhandler lokalsamfundsbankers relationer til tredjepart, som leverer kritiske systemapplikationer og infrastruktur, der understøtter deres væsentlige funktioner, herunder transaktionsbehandling, kontostyring, betalingsbehandling, kundehåndtering, overholdelse og rapportering samt netbank. Myndighederne konstaterer, at en betydelig procentdel af markedet for kerneleverandører kun udgøres af få store leverandører, hvilket begrænser lokalsamfundsbankernes forhandlingsstyrke, og at lokalsamfundsbankerne rapporterer udfordringer med at indhente rimelig due‑diligence‑information, forhandle kontraktvilkår og udføre effektiv løbende overvågning.

Erklæringen identificerer tre sæt faktorer, som myndighederne vil overveje, når de træffer tilsynsmæssige allokeringsbeslutninger for kerneleverandører, såsom arten, omfanget og hyppigheden af undersøgelser. Transparensfaktorer omfatter en leverandørs villighed til at levere rimeligt relevant og rettidig due‑diligence‑information, dens brug af og overholdelse af service level agreements med målbare præstationsstandarder, rettidig offentliggørelse af driftsproblemer og sikkerhedshændelser samt komplekse faktureringspraksisser, der er vanskelige at afstemme med leverede tjenester. Kontrakt‑funktionelle faktorer omfatter uigennemsigtige prisstrukturer, omfattende efterfaktureringstidspunkter, hvor en leverandør kan udstede retroaktive gebyrer, uunderbyggede eller kontraktmæssigt udefinerede dekonverteringsgebyrer samt overdrevne begrænsninger for uafhængige serviceleverandører, der integreres med kerneplatformen. Teknologifaktorer omfatter antallet og alvoren af computersikkerhedshændelser, håndtering af udgåede og livscyklus‑afsluttede aktiver samt dokumenterede evner inden for operationel robusthed.

Ved håndhævelse angiver myndighederne, at de kan have et rimeligt grundlag for at fastslå, at visse kerneleverandører kvalificerer som institutionstilknyttede parter i henhold til 12 U.S.C. 1813(u)(3), som personer der deltager i ledelsen af en forsikret depotinstitution, og at de kan anlægge sager mod kerneleverandører under lovbestemte beføjelser, herunder 12 U.S.C. 1818 og 1867. Erklæringen fastslår, at dette ikke fjerner eller reducerer en lokalsamfundsbanks eget ansvar for sikre og sunde praksisser samt overholdelse af gældende love og regulativer. Erklæringen følger myndighedens outreach, som omfattede en OCC‑forespørgsel om information om lokalsamfundsbankers engagement med kerne‑serviceleverandører, offentliggjort den 28. november 2025 (90 FR 54882).

Boardets foreslåede vejledning for traditionelle lokalsamfundsbanker, indgivet som Docket OP-1880, definerer gruppen som bankorganisationer med mindre end 30 milliarder dollars i aktiver, der fokuserer på at betjene deres lokale samfund. Den er ikke beregnet til organisationer med mere komplekse forretningsmodeller eller tredjepartsrelationsprofiler, såsom komplekse bank‑fintech‑partnerskaber. Vejledningens første afsnit behandler fire overordnede emner: operationel robusthed, system‑ og informationssikkerhed, overholdelse af regler og forskrifter samt finansiel robusthed. Dens andet afsnit omfatter otte leverandørkategorier: kerne‑serviceudbydere, it‑infrastrukturudbydere, cybersikkerhedsudbydere, betalingsbehandlings‑ og digitalbankudbydere, udbydere af lånestyringssystemer, udbydere af kortudstedelse og -behandling, udbydere af Bank Secrecy Act/anti-hvidvask‑ og finanskriminalitetsplatforme samt udbydere af svindelforebyggelse og -detektion. Boardet fastslår, at vejledningen ikke vil være en regel, og at bankorganisationer ikke vil være forpligtet til at udføre de beskrevne handlinger, og den beder kommentatorerne om at vurdere, om vejledningens detaljeringsgrad er afstemt, så den forbliver brugbar uden at etablere de‑facto tilsynsstandarder.

Et Board‑personalmemo dateret 28. august 2026 anbefalede at udstede begge forslag og opregner de Board‑dokumenter, som agenturerne vil tilbagekalde sammen med den endelige vejledning: 2023‑vejledningen, udstedt gennem SR 23‑4; 2024‑lokalsamfundsbankvejledningen, udstedt gennem SR 24‑2/CA 24‑1; og den fælles erklæring om bankers arrangementer med tredjepart for at levere bankindskudsprodukter og -tjenester, udstedt gennem SR 24‑5. FDIC‑ og NCUA‑signaturblokkene på den fælles meddelelse i Federal Register er dateret 10. september 2026.

Boardet godkendte pakken den 9. september 2026, ifølge Boardets stemmeprotokol, som kategoriserer handlingen som foreslået vejledning. Formand Warsh, viceformand Jefferson, viceformand for tilsyn Bowman, guvernør Cook, guvernør Powell og guvernør Waller stemte for. Guvernør Barr stemte imod; der var ingen afholdende stemmer.

I en dissens erklæring sagde Barr, at den tværgående vejledning indfører en ny væsentlig finansiel risikostandard, som tilsynsmyndigheder skal handle på, hvilket han argumenterede gør det mindre sandsynligt, at banker retter problemer, før de bliver væsentlige risici for virksomheden. Han skrev, at vejledningens formulering om grundig overvejelse “kan blive misfortolket som at myndighederne vil give deponering til bankens syn på tredjepartsrisikostyring frem for at foretage en uafhængig vurdering.” Han protesterede også mod, at forslagene udelader forbruger‑overholdelsesspørgsmål, hvilket han mente kunne skabe et hul i risikodækningen eller pålægge banker at følge to sæt vejledninger, samt at lokalsamfundsbankvejledningen ikke adresserer komplekse bank‑fintech‑partnerskaber.

Guvernør Cook sagde i en separat erklæring, at hun støttede en ny gennemgang af vejledningen, efterhånden som banker håndterer større, mere komplekse leverandørrelationer. Hun bød velkommen til kommentarer om, hvorvidt agenturerne bør give større specificitet om effektive risikostyringspraksisser relateret til cybersikkerhed og om fordelingen af ansvar for forbrugerbeskyttelse, arkiveringsstyring og anti-hvidvask i bank‑fintech‑partnerskaber, og hun sagde, at hun stærkt støttede den foreslåede vejledning for traditionelle lokalsamfundsbanker.