Las agencias bancarias proponen reemplazar la guía de riesgo de terceros de 2023

La Corporación Federal de Seguro de Depósitos, la Junta de la Reserva Federal, la Administración Nacional de Cooperativas de Crédito y la Oficina del Contralor de la Moneda, el 11 de septiembre de 2026, solicitaron comentarios públicos sobre una guía propuesta para ayudar a las instituciones financieras a gestionar los riesgos asociados con relaciones de terceros. La propuesta se centra en un enfoque basado en principios y, como ocurre con toda la orientación supervisora, no es vinculante, según el anuncio conjunto de las agencias, emitido para su publicación a las 10:00 a.m. EDT. Cuando se finalice, las agencias regulatorias federales bancarias planean rescindir la guía existente de gestión de riesgos de terceros y reemplazarla con la versión finalizada para promover la consistencia y la innovación prudente en la industria bancaria.

Los comentarios sobre la guía propuesta deben presentarse dentro de los 60 días posteriores a su publicación en el Federal Register. El aviso conjunto lleva los identificadores de expediente OCC-2026-0793 para la OCC, OP-1881 para la Junta, RIN 3064-ZA58 para la FDIC y NCUA-2026-1684 para la NCUA.

Por separado, el mismo día, la Junta, la FDIC y la OCC emitieron una declaración sobre la participación de los bancos comunitarios con proveedores de servicios esenciales, y la Junta de la Reserva Federal solicitó comentarios sobre una guía propuesta de gestión de riesgos de terceros específicamente para los bancos comunitarios que supervisa, destinada como documento complementario a la propuesta más amplia.

Reemplazo propuesto para el marco de 2023

Según el aviso del Federal Register, cualquier guía finalizada reemplazaría la Guía Interagencial sobre Relaciones de Terceros: Gestión de Riesgos publicada en 2023 (88 FR 37920, 9 de junio de 2023), junto con los Recursos Suplementarios TPRM: el boletín de la OCC del 15 de mayo de 2002 sobre proveedores de servicios de terceros con sede en el extranjero, la declaración conjunta del 25 de julio de 2024 sobre los acuerdos de los bancos con terceros para ofrecer productos de depósito bancario, y la guía del 3 de mayo de 2024 Gestión de Riesgos de Terceros: Una Guía para Bancos Comunitarios.

Las agencias escribieron que, basándose en los comentarios de las partes interesadas y la experiencia supervisora, la Guía de 2023 se ha interpretado con frecuencia de manera demasiado amplia y con un enfoque insuficiente en la personalización; que sus consideraciones extensas y ejemplos detallados resultaron difíciles de aplicar a diferentes tipos de relaciones; que incentivó involuntariamente enfoques basados en procesos y en marcar casillas en lugar de prácticas centradas en el riesgo; y que se ha percibido como desalentadora para los acuerdos con terceros más nuevos e innovadores.

La guía propuesta presenta cuatro componentes: identificación y evaluación de riesgos; supervisión de riesgos, que abarca la diligencia debida y la selección de terceros, la negociación de contratos, el monitoreo continuo, la terminación y temas transversales; aceptación del riesgo residual; y gobernanza. Las evaluaciones de riesgos considerarían tanto la magnitud del daño que una relación podría causar como la probabilidad de que dicho daño ocurra. Las relaciones de mayor riesgo podrían incluir aquellas que, si se interrumpen, se someten a un ataque, se llevan a cabo en incumplimiento de contrato o, de otro modo, se realizan bajo circunstancias no habituales, podrían provocar una violación real no trivial de la ley o regulación, un daño material a la condición financiera de la organización bancaria o una interrupción significativa de sus operaciones o de sus clientes, donde exista una probabilidad material de que ocurran dichos resultados bajo condiciones actuales o razonablemente previsibles.

El aviso indica que la guía no establece normas exigibles ni requisitos prescriptivos, que el incumplimiento no dará lugar a una acción supervisora, y que la desviación de la guía o de sus ejemplos por sí sola no constituiría una base para una acción supervisora o un hallazgo adverso del examinador. Añade que las agencias aún pueden tomar medidas por violaciones de leyes o regulaciones, prácticas inseguras o insanas, u otros riesgos materiales que resulten de una gestión insuficiente del riesgo de terceros. El texto también señala que las agencias considerarán debidamente las decisiones razonables de una organización bancaria en asuntos de supervisión de la gestión del riesgo de terceros.

Las agencias afirman que la propuesta fomentaría la innovación responsable de acuerdo con la Orden Ejecutiva 14405 sobre la integración de la innovación tecnológica financiera en los marcos regulatorios. La Oficina de Información y Asuntos Regulatorios determinó que la propuesta no constituye una acción regulatoria significativa bajo la Orden Ejecutiva 12866, y el aviso indica que, si se finaliza según lo propuesto, se espera que sea una acción desreguladora bajo la Orden Ejecutiva 14192 porque proporcionaría claridad supervisora que podría traducirse en mayores eficiencias y simplificación en las funciones de gestión de riesgos de terceros.

Entre sus preguntas específicas, el aviso pregunta si la guía debería aplicarse solo a terceros sujetos a un acuerdo escrito con la organización bancaria, y si sería útil incluir una lista de características que generalmente indican que una relación con un tercero es de alto riesgo.

Proveedores principales, bancos comunitarios y la votación de la Junta

La declaración conjunta sobre la participación de los bancos comunitarios con proveedores de servicios principales aborda las relaciones de las organizaciones bancarias comunitarias con terceros que proporcionan las aplicaciones y la infraestructura de sistemas críticos que respaldan sus funciones esenciales, incluyendo el procesamiento de transacciones, la gestión de cuentas, el procesamiento de pagos, la gestión de relaciones con clientes, el cumplimiento y la presentación de informes, y la banca en línea. Las agencias afirman que un porcentaje significativo del mercado de proveedores principales está representado por solo unos pocos proveedores grandes, lo que limita el poder de negociación de los bancos comunitarios, y que estos bancos reportan dificultades para obtener información razonable de diligencia debida, negociar los términos contractuales y llevar a cabo un monitoreo continuo eficaz.

La declaración identifica tres conjuntos de factores que las agencias considerarán al tomar decisiones de asignación supervisora para los proveedores principales, como la naturaleza, el alcance y la frecuencia de los exámenes. Los factores de transparencia incluyen la disposición del proveedor a suministrar información de diligencia debida razonablemente relevante y oportuna, su uso y cumplimiento de acuerdos de nivel de servicio con estándares de desempeño medibles, la divulgación oportuna de problemas operativos e incidentes de seguridad, y prácticas de facturación complejas que son difíciles de conciliar con los servicios recibidos. Los factores de características contractuales incluyen estructuras de precios opacas, amplias ventanas de facturación retroactiva durante las cuales un proveedor puede emitir cargos retroactivos, tarifas de deconversión no respaldadas o no definidas contractualmente, y limitaciones excesivas a proveedores de servicios no afiliados que se integran con la plataforma principal. Los factores tecnológicos incluyen el número y la gravedad de incidentes de seguridad informática, la gestión de activos al final del soporte y al final de su vida útil, y las capacidades demostradas de resiliencia operativa.

En cuanto a la aplicación, las agencias afirman que pueden tener una base razonable para determinar que ciertos proveedores principales califican como partes afiliadas a la institución bajo 12 U.S.C. 1813(u)(3), como personas que participan en la gestión de los asuntos de una institución depositaria asegurada, y que pueden iniciar acciones contra los proveedores principales bajo autoridades legales que incluyen 12 U.S.C. 1818 y 1867. La declaración indica que esto no elimina ni reduce la responsabilidad propia de un banco comunitario respecto a prácticas seguras y sólidas y al cumplimiento de las leyes y regulaciones aplicables. La declaración sigue a la interacción de la agencia que incluyó una solicitud de información de la OCC sobre la participación de los bancos comunitarios con proveedores de servicios principales, publicada el 28 de noviembre de 2025 (90 FR 54882).

La guía propuesta para organizaciones bancarias comunitarias tradicionales de la Junta, presentada como Docket OP-1880, define a ese grupo como organizaciones bancarias con menos de $30 mil millones en activos que se centran en servir a sus comunidades locales. No está destinada a organizaciones con modelos de negocio más complejos o perfiles de relaciones con terceros, como asociaciones bancarias‑fintech complejas. La primera sección de la guía discute cuatro temas generales: resiliencia operativa, seguridad de sistemas e información, cumplimiento de normas y regulaciones, y resiliencia financiera. Su segunda sección aborda ocho categorías de proveedores: proveedores de servicios centrales, proveedores de infraestructura de tecnología de la información, proveedores de ciberseguridad, proveedores de procesamiento de pagos y banca digital, proveedores de sistemas de gestión de préstamos, proveedores de emisión y procesamiento de tarjetas, proveedores de plataformas de la Ley de Secreto Bancario/prevención de lavado de dinero y delitos financieros, y proveedores de prevención y detección de fraudes. La Junta indica que la guía no sería una norma y que las organizaciones bancarias no estarían obligadas a adoptar las acciones descritas, y solicita a los comentaristas que indiquen si el nivel de detalle de la guía está calibrado para seguir siendo útil sin establecer estándares de supervisión de facto.

Un memorando del personal de la Junta con fecha 28 de agosto de 2026 recomendó emitir ambas propuestas y enumera los documentos de la Junta que las agencias revocarían junto con la guía final: la Guía 2023, emitida a través de SR 23‑4; la guía para bancos comunitarios 2024, emitida a través de SR 24‑2/CA 24‑1; y la declaración conjunta sobre los arreglos de los bancos con terceros para ofrecer productos y servicios de depósito bancario, emitida a través de SR 24‑5. Los bloques de firma de la FDIC y la NCUA en el aviso conjunto del Registro Federal están fechados el 10 de septiembre de 2026.

La Junta aprobó el paquete el 9 de septiembre de 2026, según el registro de votaciones de la Junta, que clasifica la acción como guía propuesta. El presidente Warsh, la vicepresidenta Jefferson, la vicepresidenta de Supervisión Bowman, el gobernador Cook, el gobernador Powell y el gobernador Waller votaron a favor. El gobernador Barr votó en contra; no hubo abstenciones.

En una declaración disidente, Barr dijo que la guía interagencial incorpora un nuevo estándar material de riesgo financiero para que los supervisores tomen medidas, lo que, según él, reduce la probabilidad de que los bancos corrijan problemas antes de que se conviertan en riesgos materiales para la entidad. Escribió que el lenguaje de consideración debida de la propuesta “puede interpretarse erróneamente como que las agencias darán deferencia a las opiniones del banco sobre la gestión de riesgos de terceros, en lugar de emitir un juicio independiente”. También objetó que las propuestas excluyen asuntos de cumplimiento de consumo, lo que, según él, podría dejar una brecha en la cobertura de riesgos o obligar a los bancos a cumplir con dos conjuntos de guías, y que la guía para bancos comunitarios no aborda asociaciones bancarias‑fintech complejas.

La gobernadora Cook dijo en una declaración separada que apoyaba volver a examinar la guía mientras los bancos gestionan relaciones con proveedores más grandes y complejas. Agradeció los comentarios sobre si las agencias deberían proporcionar mayor especificidad en las prácticas efectivas de gestión de riesgos relacionadas con la ciberseguridad y sobre la asignación de responsabilidades para la protección del consumidor, la gestión de registros y la prevención del lavado de dinero en asociaciones banco‑fintech, y afirmó que apoyaba firmemente la guía propuesta para organizaciones bancarias comunitarias tradicionales.