Pankkiviranomaisten ehdotus korvata vuoden 2023 kolmannen osapuolen riskien ohjeistus

Federal Deposit Insurance Corporation, Federal Reserve Board, National Credit Union Administration ja Office of the Comptroller of the Currency pyysivät 11. syyskuuta 2026 päivänä julkista kommenttia ehdotetusta ohjeistuksesta, jonka tarkoituksena on auttaa rahoituslaitoksia hallitsemaan kolmannen osapuolen suhteisiin liittyviä riskejä. Ehdotus keskittyy periaatteisiin perustuvaan lähestymistapaan ja, kuten kaikissa valvontaohjeissa, on sitovaton, viranomaisten yhteinen ilmoitus mukaan, julkaistavaksi klo 10:00 EDT. Kun se on viimeistelty, liittovaltion pankkivalvontaviranomaiset aikovat kumota olemassa olevan kolmannen osapuolen riskienhallinnan ohjeistuksen ja korvata sen viimeistellyllä versiolla edistääkseen yhtenäisyyttä ja varovaisuutta pankkialalla.

Kommentit ehdotetulle ohjeistukselle ovat määräaikaiset 60 päivää julkaisun jälkeen Federal Registerissa. Yhteinen ilmoitus sisältää asiakirjamääritykset OCC-2026-0793 OCC:lle, OP-1881 Boardille, RIN 3064-ZA58 FDIC:lle ja NCUA-2026-1684 NCUA:lle.

Erikseen samana päivänä Board, FDIC ja OCC julkistivat lausunnon yhteisöpankkien yhteistyöstä ydinsuoritepalveluntarjoajien kanssa, ja Federal Reserve Board pyysi kommenttia ehdotetusta kolmannen osapuolen riskienhallintajohdasta, joka on tarkoitettu erityisesti sen valvomien yhteisöpankkien käyttöön ja toimii laajemman ehdotuksen lisäasiakirjana.

Ehdotettu korvaus vuoden 2023 kehykselle

Federal Register -ilmoitus, mikä tahansa viimeistellys ohjeistus korvaisi Interagency Guidance on Third-Party Relationships: Risk Management -julkaisun, joka julkaistiin vuonna 2023 (88 FR 37920, 9. kesäkuuta 2023), sekä Supplemental TPRM Resources -resurssit: OCC:n 15. toukokuuta 2002 julkaisema tiedote ulkomailla toimivista kolmannen osapuolen palveluntarjoajista, 25. heinäkuuta 2024 julkaistu yhteinen lausunto pankkien järjestelyistä kolmannen osapuolen kanssa pankkien talletustuotteiden toimittamiseksi, ja 3. toukokuuta 2024 julkaistu opas Third‑Party Risk Management: A Guide for Community Banks.

Viranomaiset totesivat, että sidosryhmien palautteen ja valvonta-asiantuntemuksen perusteella vuoden 2023 ohjeistus on usein tulkittu liian laajasti ja ilman riittävää räätälöintiin keskittyvää painotusta; että sen laajat huomioinnit ja yksityiskohtaiset esimerkit osoittautuivat vaikeiksi sovellettaviksi eri tyyppisissä suhteissa; että se ei ole tahallisesti kannustanut prosessi- ja laatikkotarkistuslähestymistapoja riskienhallinnan sijaan; ja että se on luettu kannustavan vähemmän uusien ja innovatiivisten kolmansien osapuolten kanssa tehtäviin järjestelyihin.

Ehdotettu ohjeistus sisältää neljä komponenttia: riskien tunnistaminen ja arviointi; riskien valvonta, joka kattaa huolellisen tarkastelun ja kolmannen osapuolen valinnan, sopimusneuvottelut, jatkuvan seurannan, irtisanomisen ja ristiin liittyvät aiheet; jäljelle jäävän riskin hyväksyminen; ja hallinto. Riskien arvioinnit huomioisivat sekä suhteen mahdollisen vahingon määrän että vahingon toteutumisvaikutuksen todennäköisyyden. Korkean riskin suhteet voivat sisältää sellaiset, joiden häiriö, hyökkäys, sopimusrikkomus tai muu poikkeama tavallista liiketoimintaa vastaan johtaisi todellisen merkittävän lain- tai sääntelyvastaisuuden, merkittävän vahingon pankin taloudellisessa tilanteessa tai merkittävän häiriön sen toiminnassa tai asiakkaille, jos tällaisen seurauksen merkittävä todennäköisyys on olemassa nykyisissä tai kohtuullisesti ennakoitavissa olosuhteissa.

Ilmoitus sanoo, että ohjeistus ei sisällä täytäntöönpanettavia standardeja tai määrääviä vaatimuksia, että noudattamatta jättäminen ei johda valvonta-asiassa toimenpiteisiin, ja että ohjeistuksesta tai sen esimerkeistä poikkeaminen yksinään ei ole perustelu valvonta-asiassa toimenpiteille tai negatiiviselle tarkastajan päätökseen. Se lisää, että viranomaiset voivat silti ryhtyä toimiin lakien tai säädösten rikkomisesta, vaarallisista tai huonosti toimivista käytännöistä tai muista merkittävistä riskeistä, jotka johtuvat riittämättömästä kolmannen osapuolen riskien hallinnasta. Teksti sanoo myös, että viranomaiset ottavat huomioon pankin kohtuulliset päätökset kolmannen osapuolen riskienhallinnan valvonnassa.

Viranomaiset toteavat, että ehdotus kannustaisi vastuullista innovaatiota, joka on linjassa Executive Order 14405:n kanssa, joka edistää rahoitusteknologia-innovaatiota sääntelykehyksiin. Information and Regulatory Affairs -virasto totesi, että ehdotus ei ole merkittävä sääntelytoimi Executive Order 12866:n mukaan, ja ilmoitus sanoo, että jos se viimeistellään ehdotetusti, odotetaan sen olevan deregulointitoimi Executive Order 14192:n mukaan, koska se tarjoaisi valvontaa selkeyttä, joka voi johtaa suurempaan tehokkuuteen ja virtaviivaistamiseen kolmannen osapuolen riskienhallinnan toiminnassa.

Ilmoituksen erityisissä kysymyksissä kysytään, tulisiko ohjeistuksen koskea vain kolmannen osapuolen, joiden kanssa pankin kanssa on kirjallinen sopimus, ja onko hyödyllistä sisällyttää luettelo ominaisuuksista, jotka yleensä osoittavat kolmannen osapuolen suhteen olevan korkean riskin.

Ydinsuoritepalveluntarjoajat, yhteisöpankit ja Boardin äänestys

Yhteinen lausunto yhteisöpankkien yhteistyöstä ydinsarjojen tarjoajien kanssa käsittelee yhteisöpankkien suhteita kolmannen osapuolen toimittajiin, jotka tarjoavat kriittisiä järjestelmäsovelluksia ja infrastruktuuria, jotka tukevat niiden olennaisia toimintoja, mukaan lukien tapahtumien käsittely, tilinhallinta, maksujen käsittely, asiakassuhteiden hallinta, sääntelyn noudattaminen ja raportointi sekä verkkopankki. Viranomaiset toteavat, että merkittävä osuus ydinsarjojen tarjoajamarkkinasta edustetaan vain muutamalla suuryrityksellä, mikä rajoittaa yhteisöpankkien neuvotteluoikeutta, ja että yhteisöpankit raportoivat haasteista kohtuullisen tarkastelutiedon saamisessa, sopimusehtojen neuvottelussa ja tehokkaan jatkuvan valvonnan toteuttamisessa.

Klauselissa tunnistetaan kolme tekijäryhmää, joita viranomaiset ottavat huomioon tehdessään valvontajärjestelyjä ydinsarjojen tarjoajille, kuten tarkastelujen luonne, laajuus ja taajuus. Läpinäkyvyystekijät sisältävät tarjoajan halukkuuden toimittaa kohtuullisen merkityksellistä ja ajantasaista tarkastelutietoa, sen käytön ja noudattamisen palvelutasosopimusten, joissa on mitattavia suoritusstandardseja, ajantasaisen operatiivisten ongelmien ja tietoturva-ongelmien ilmoittamisen sekä monimutkaisten laskutuskäytäntöjen, jotka on vaikea sovittaa vastaanotettuihin palveluihin. Sopimusominaisuustekijät sisältävät läpinäkymättömät hinnoittelurakenteet, laajat takaisinkirjoitusikkunat, joiden aikana tarjoaja voi periä jälkikäteen, tuki- tai sopimuksellisesti määrittelemättömät dekonversiopalkkiot ja liialliset rajoitukset erillisten palveluntarjoajien integroimisessa ydinsarjan alustan kanssa. Teknologiatekijät sisältävät tietokoneiden tietoturva-ongelmien määrän ja vakavuuden, loppukäyttö- ja elinkaaren loppuun saattamisen hallinnan sekä osoitetun operatiivisen kestävyystaidon.

Sääntelyn toteuttamisessa viranomaiset toteavat, että heillä voi olla kohtuullinen peruste päättää, että tietyt ydinsarjojen tarjoajat täyttävät 12 U.S.C. 1813(u)(3) -lainsäädännön mukaiset institutionaalisesti liitetyt osapuolet, eli henkilöt, jotka osallistuvat vakuutettujen talletuslaitosten asioiden hoitamiseen, ja että he voivat nostaa oikeudenkäyntejä ydinsarjojen tarjoajia vastaan lainsäädännöllisten valtuuksien, kuten 12 U.S.C. 1818 ja 1867, perusteella. Lausunto sanoo, ettei tämä poista tai vähennä yhteisöpankin omaa vastuuta turvallisista ja vakaista käytännöistä sekä sovellettavien lakien ja säädösten noudattamisesta. Lausunto seuraa viranomaisten tiedottamista, johon sisältyi OCC:n pyyntö tietoja yhteisöpankkien yhteistyöstä ydinsarjojen tarjoajien kanssa, julkaistu 28. marraskuuta 2025 (90 FR 54882).

Kokouksen ehdotettu opas perinteisille yhteisöpankkitoimijoille, joka on esitetty Docket OP-1880 -tiedostossa, määrittelee tämän ryhmän pankkitoimijoiksi, joiden varat ovat alle 30 miljardia dollaria ja jotka keskittyvät palvelemaan paikallisia yhteisöjään. Se ei ole tarkoitettu organisaatioille, joilla on monimutkaisempia liiketoimintamalleja tai kolmannen osapuolen suhdeprofiileja, kuten monimutkaiset pankki-fintech-yhteistyöt. Oppaan ensimmäinen osio käsittelee neljää yleistävää aihetta: operatiivinen kestävyys, järjestelmä- ja tietoturva, sääntöjen ja säädösten noudattaminen sekä taloudellinen kestävyys. Toinen osio käsittelee kahdeksaa toimittajaluokkaa: ydinsarjojen tarjoajat, tietotekniikka-infrastruktuurin tarjoajat, kyberturvallisuuden tarjoajat, maksujen käsittelyn ja digitaalisen pankkitoiminnan tarjoajat, lainanhallintajärjestelmän tarjoajat, korttien myöntäjät ja käsittelijät, Bank Secrecy Act/anti-money laundering ja talousrikollisuuden alustan tarjoajat sekä petosten ehkäisy- ja tunnistuspalvelut. Kokous sanoo, että opas ei ole sääntö ja että pankkitoimijat eivät ole velvollisia toteuttamaan siinä kuvattuja toimia, ja se pyytää kommentoijia arvioimaan, onko oppaan yksityiskohtien taso sopiva pysyäkseen hyödyllisenä ilman, että se asettaa de facto-valvontastandardeja.

Kokouksen henkilöstömuistiinpano, jonka päivämäärä on 28. elokuuta 2026 suositteli molempien ehdotusten antamista ja luettelee kokouksen asiakirjat, joita viranomaiset peruuttavat yhdessä lopullisen ohjeistuksen kanssa: 2023:n ohjeistus, joka on julkaistu SR 23-4:n kautta; 2024:n yhteisöpankin opas, joka on julkaistu SR 24-2/CA 24-1:n kautta; ja yhteinen lausunto pankkien järjestelyistä kolmannen osapuolen kanssa pankkitalletustuotteiden ja -palveluiden toimittamiseksi, joka on julkaistu SR 24-5:n kautta. FDIC:n ja NCUA:n allekirjoituslohkoja yhteisessä Federal Register -ilmoituksessa on päivämäärä 10. syyskuuta 2026.

Kokous hyväksyi paketin 9. syyskuuta 2026, kokouksen äänestysrekisterin mukaan, joka luokittelee toiminnon ehdotetuksi ohjeistukseksi. Puheenjohtaja Warsh, varapuheenjohtaja Jefferson, valvonnan varapuheenjohtaja Bowman, hallitsija Cook, hallitsija Powell ja hallitsija Waller äänestivät puolesta. Hallitsija Barr äänesti vastaan; äänestysosallistujia ei ollut.

Vastaväite -lausunnossa Barr sanoi, että viranomaisten ohjeistus sisältää uuden merkittävän taloudellisen riskistandardin, jonka mukaan valvojat voivat ryhtyä toimiin, ja hän väitti, että tämä tekee vähemmän todennäköiseksi, että pankit korjaavat ongelmia ennen kuin ne muuttuvat merkittäviksi riskeiksi yritykselle. Hän kirjoitti, että ehdotuksen huolellisen harkinnan kieli “voi tulkita väärin tarkoittaen, että viranomaiset antavat pankin näkemykseen kolmannen osapuolen riskien hallinnasta, sen sijaan että tekisivät itsenäisen arvion.” Hän myös vastusti, että ehdotukset sulkevat pois kuluttajasyhteistyön, jonka hän sanoi voivan jättää riskien kattamiseen aukon tai vaatia pankkien noudattavan kahta ohjeistusta, ja että yhteisöpankin opas ei käsittele monimutkaisia pankki-fintech-yhteistyöitä.

Governor Cook sanoi erillisessä lausunnossa, että hän tukee ohjeistuksen uudelleenarviointia, kun pankit hallinnoivat suurempia ja monimutkaisempia toimittajasuhteita. Hän toivotti kommentteja siitä, pitäisikö viranomaisilta vaatia tarkempaa ohjeistusta kyberturvallisuuden tehokkaiden riskienhallintakäytäntöjen osalta sekä vastuujakoa kuluttajansuojan, arkistoinnin ja rahanpesun torjunnan osalta pankkien ja fintech-yhteistyöiden yhteydessä, ja hän sanoi tukevansa vahvasti ehdotettua oppaita perinteisille yhteisöpankkitoimijoille.