बैंकिंग एजेंसियों ने 2023 की तृतीय‑पक्ष जोखिम मार्गदर्शन को बदलने का प्रस्ताव रखा

फेडरल डिपॉज़िट इंश्योरेंस कॉर्पोरेशन, फेडरल रिज़र्व बोर्ड, नेशनल क्रेडिट यूनियन एडमिनिस्ट्रेशन, और ऑफिस ऑफ द कॉम्प्ट्रोलर ऑफ द करंसी ने 11 सितंबर, 2026 को सार्वजनिक टिप्पणी के लिए अनुरोध किया, जिसमें वित्तीय संस्थानों को तृतीय‑पक्ष संबंधों से जुड़ी जोखिमों के प्रबंधन में सहायता करने हेतु प्रस्तावित मार्गदर्शन पर विचार किया गया। यह प्रस्ताव सिद्धांत‑आधारित दृष्टिकोण पर केंद्रित है और सभी पर्यवेक्षी मार्गदर्शन की तरह, यह बंधनकारक नहीं है, जैसा कि the agencies’ joint announcement में बताया गया है, जो 10:00 a.m. EDT पर जारी किया गया था। अंतिम रूप देने पर, संघीय बैंक नियामक एजेंसियां मौजूदा तृतीय‑पक्ष जोखिम प्रबंधन मार्गदर्शन को निरस्त कर अंतिम संस्करण के साथ प्रतिस्थापित करने की योजना बना रही हैं, ताकि बैंकिंग उद्योग में सुसंगति और विवेकपूर्ण नवाचार को बढ़ावा दिया जा सके।

प्रस्तावित मार्गदर्शन पर टिप्पणियां फेडरल रजिस्टर में प्रकाशन के 60 दिनों के भीतर देनी होंगी। संयुक्त नोटिस में OCC के लिए डॉकेट पहचानकर्ता OCC-2026-0793, बोर्ड के लिए OP-1881, FDIC के लिए RIN 3064‑ZA58, और NCUA के लिए NCUA-2026-1684 शामिल हैं।

उसी दिन अलग से, बोर्ड, FDIC, और OCC ने सामुदायिक बैंकों के मुख्य सेवा प्रदाताओं के साथ जुड़ाव पर एक बयान जारी किया, और फेडरल रिज़र्व बोर्ड ने उन सामुदायिक बैंकों के लिए विशेष रूप से प्रस्तावित तृतीय‑पक्ष जोखिम प्रबंधन मार्गदर्शिका पर टिप्पणी का अनुरोध किया, जिसे व्यापक प्रस्ताव के साथ एक सहायक दस्तावेज़ के रूप में तैयार किया गया है।

2023 ढांचे के लिए प्रस्तावित प्रतिस्थापन

Federal Register notice के अनुसार, कोई भी अंतिम रूप दिया गया मार्गदर्शन 2023 में प्रकाशित इंटरएजेंसी गाइडेंस ऑन थर्ड‑पार्टी रिलेशनशिप्स: रिस्क मैनेजमेंट (88 FR 37920, 9 जून, 2023) को प्रतिस्थापित करेगा, साथ ही सप्लीमेंटल TPRM रिसोर्सेज: OCC का 15 मई, 2002 का बुलेटिन विदेशी‑आधारित तृतीय‑पक्ष सेवा प्रदाताओं पर, 25 जुलाई, 2024 का संयुक्त बयान बैंकों की तृतीय‑पक्षों के साथ बैंक जमा उत्पाद प्रदान करने की व्यवस्थाओं पर, और 3 मई, 2024 की गाइड “Third‑Party Risk Management: A Guide for Community Banks” को भी।

एजेंसियों ने लिखा कि हितधारकों की प्रतिक्रिया और पर्यवेक्षी अनुभव के आधार पर, 2023 गाइडेंस को अक्सर अत्यधिक व्यापक रूप में और अनुकूलन पर अपर्याप्त ध्यान के साथ व्याख्यायित किया गया है; इसके विस्तृत विचार और विस्तृत उदाहरण विभिन्न प्रकार के संबंधों में लागू करने में कठिन साबित हुए हैं; इससे अनजाने में प्रक्रिया‑उन्मुख, चेक‑द‑बॉक्स दृष्टिकोण को जोखिम‑केन्द्रित प्रथाओं पर प्रोत्साहित किया गया है; और इसे नई और नवाचारी तृतीय‑पक्षों के साथ व्यवस्थाओं को हतोत्साहित करने के रूप में पढ़ा गया है।

प्रस्तावित मार्गदर्शन चार घटकों को प्रस्तुत करता है: जोखिम पहचान और मूल्यांकन; जोखिम निगरानी, जिसमें उचित परिश्रम और तृतीय‑पक्ष चयन, अनुबंध वार्ता, निरंतर निगरानी, समाप्ति, और पारस्परिक विषय शामिल हैं; शेष जोखिम स्वीकृति; और शासन। जोखिम मूल्यांकन संबंध द्वारा उत्पन्न संभावित हानि की परिमाण और उस हानि के घटित होने की संभावना दोनों को ध्यान में रखेंगे। उच्च‑जोखिम वाले संबंधों में वे शामिल हो सकते हैं जो यदि बाधित हों, हमले के अधीन हों, अनुबंध का उल्लंघन करके संचालित हों, या अन्यथा असामान्य परिस्थितियों में किए जाएँ, तो वे वास्तविक गैर‑त्रिवियल कानून या नियम उल्लंघन, बैंकिंग संगठन की वित्तीय स्थिति को महत्वपूर्ण नुकसान, या उसके संचालन या ग्राहकों में उल्लेखनीय व्यवधान उत्पन्न कर सकते हैं, जहाँ वर्तमान या यथोचित भविष्यवाणी योग्य परिस्थितियों में ऐसे परिणामों की महत्वपूर्ण संभावना हो।

नोटिस में कहा गया है कि मार्गदर्शन में कोई लागू करने योग्य मानक या अनिवार्य आवश्यकताएँ नहीं निर्धारित की गई हैं, कि गैर‑अनुपालन से पर्यवेक्षी कार्रवाई नहीं होगी, और केवल मार्गदर्शन या उसके उदाहरणों से विचलन ही पर्यवेक्षी कार्रवाई या प्रतिकूल परीक्षक निष्कर्ष का आधार नहीं होगा। यह भी जोड़ा गया है कि एजेंसियां कानूनों या नियमों के उल्लंघन, असुरक्षित या अस्थिर प्रथाओं, या तृतीय‑पक्ष जोखिम के अपर्याप्त प्रबंधन से उत्पन्न अन्य महत्वपूर्ण जोखिमों के लिए कार्रवाई कर सकती हैं। पाठ यह भी बताता है कि एजेंसियां तृतीय‑पक्ष जोखिम प्रबंधन पर्यवेक्षण के मामलों में बैंकिंग संगठन के उचित निर्णयों पर उचित विचार देंगी।

एजेंसियों का कहना है कि प्रस्ताव वित्तीय प्रौद्योगिकी नवाचार को नियामक ढांचों में एकीकृत करने के बारे में कार्यकारी आदेश 14405 के अनुरूप जिम्मेदार नवाचार को प्रोत्साहित करेगा। सूचना और नियामक मामलों का कार्यालय ने निर्धारित किया कि यह प्रस्ताव कार्यकारी आदेश 12866 के तहत महत्वपूर्ण नियामक कार्रवाई नहीं है, और नोटिस में कहा गया है कि यदि प्रस्तावित रूप में अंतिम रूप दिया गया, तो यह कार्यकारी आदेश 14192 के तहत एक नियमन‑ह्रास कार्रवाई माना जाएगा, क्योंकि यह पर्यवेक्षी स्पष्टता प्रदान करेगा जो तृतीय‑पक्ष जोखिम प्रबंधन कार्यों में अधिक दक्षता और सरलीकरण का परिणाम हो सकता है।

अपनी विशिष्ट प्रश्नों में, नोटिस पूछता है कि क्या मार्गदर्शन केवल उन तृतीय‑पक्षों पर लागू होना चाहिए जिनका बैंकिंग संगठन के साथ लिखित समझौता हो, और क्या यह उपयोगी होगा यदि ऐसे लक्षणों की सूची शामिल की जाए जो सामान्यतः दर्शाते हैं कि तृतीय‑पक्ष संबंध उच्च जोखिम वाला है।

कोर प्रदाता, सामुदायिक बैंक, और बोर्ड मतदान

joint statement on community banks’ engagement with core service providers सामुदायिक बैंकिंग संगठनों के उन तृतीय‑पक्षों के साथ संबंधों को संबोधित करता है जो उनके आवश्यक कार्यों को समर्थन देने वाले महत्वपूर्ण सिस्टम एप्लिकेशन और बुनियादी ढांचे प्रदान करते हैं, जिसमें लेन‑देन प्रोसेसिंग, खाता प्रबंधन, भुगतान प्रोसेसिंग, ग्राहक संबंध प्रबंधन, अनुपालन और रिपोर्टिंग, तथा ऑनलाइन बैंकिंग शामिल हैं। एजेंसियां बताती हैं कि कोर प्रदाता बाजार का एक महत्वपूर्ण प्रतिशत केवल कुछ बड़े प्रदाताओं द्वारा प्रतिनिधित्व किया जाता है, जिससे सामुदायिक बैंकों की बातचीत शक्ति सीमित हो जाती है, और सामुदायिक बैंक उचित परिश्रम जानकारी प्राप्त करने, अनुबंध शर्तों पर बातचीत करने, और प्रभावी निरंतर निगरानी करने में चुनौतियों की रिपोर्ट करते हैं।

बयान कोर प्रदाताओं के लिए पर्यवेक्षी आवंटन निर्णय लेते समय एजेंसियों द्वारा विचार किए जाने वाले तीन समूह कारकों की पहचान करता है, जैसे परीक्षा का स्वरूप, विस्तार, और आवृत्ति। पारदर्शिता कारकों में प्रदाता की उचित प्रासंगिक और समयबद्ध परिश्रम जानकारी प्रदान करने की इच्छा, मापने योग्य प्रदर्शन मानकों वाले सेवा स्तर समझौतों का उपयोग और उनका पालन, संचालन संबंधी मुद्दों और सुरक्षा घटनाओं का समय पर खुलासा, तथा जटिल बिलिंग प्रथाएँ जो प्राप्त सेवाओं के साथ मिलान करने में कठिन हैं, शामिल हैं। अनुबंध‑विशेष कारकों में अस्पष्ट मूल्य संरचनाएँ, विस्तृत बैक बिलिंग विंडो जिसके दौरान प्रदाता पुनरावर्ती शुल्क लगा सकता है, असमर्थित या अनुबंधीय रूप से अपरिभाषित डिकन्वर्ज़न शुल्क, और कोर प्लेटफ़ॉर्म में एकीकृत होने वाले असंबद्ध सेवा प्रदाताओं पर अत्यधिक प्रतिबंध शामिल हैं। प्रौद्योगिकी कारकों में कंप्यूटर सुरक्षा घटनाओं की संख्या और गंभीरता, समर्थन समाप्ति और जीवन‑समाप्ति संपत्तियों का प्रबंधन, तथा प्रदर्शित संचालन लचीलापन क्षमताएँ शामिल हैं।

प्रवर्तन के संबंध में, एजेंसियां कहती हैं कि उनके पास एक उचित आधार हो सकता है यह निर्धारित करने के लिए कि कुछ कोर प्रदाता 12 U.S.C. 1813(u)(3) के तहत संस्थान‑संबद्ध पक्षों के रूप में योग्य हैं, अर्थात् वे एक बीमित जमा संस्थान के मामलों के संचालन में भाग लेते हैं, और वे 12 U.S.C. 1818 और 1867 सहित वैधानिक अधिकारों के तहत कोर प्रदाताओं के विरुद्ध कार्रवाई कर सकते हैं। बयान कहता है कि यह सामुदायिक बैंक की सुरक्षित और ध्वनि प्रथाओं तथा लागू कानूनों और नियमों के अनुपालन की अपनी जिम्मेदारी को समाप्त या घटाता नहीं है। यह बयान एजेंसी आउटरीच के बाद आया, जिसमें एक OCC अनुरोध शामिल था जो सामुदायिक बैंकों के कोर सेवा प्रदाताओं के साथ जुड़ाव पर जानकारी मांगता था, प्रकाशित 28 नवंबर, 2025 (90 FR 54882)।

बोर्ड की परम्परागत सामुदायिक बैंकिंग संगठनों के लिए प्रस्तावित मार्गदर्शिका, डॉकेट OP-1880 के तहत दायर, इस समूह को उन बैंकिंग संगठनों के रूप में परिभाषित करती है जिनकी संपत्तियां $30 बिलियन से कम हैं और जो अपने स्थानीय समुदायों की सेवा पर केंद्रित हैं। इसे अधिक जटिल व्यावसायिक मॉडलों या तृतीय‑पक्ष संबंध प्रोफ़ाइल वाले संगठनों, जैसे जटिल बैंक‑फिनटेक साझेदारियों, के लिए नहीं बनाया गया है। मार्गदर्शिका के पहले भाग में चार प्रमुख विषयों पर चर्चा की गई है: परिचालन लचीलापन, प्रणाली और सूचना सुरक्षा, नियमों और विनियमों का अनुपालन, तथा वित्तीय लचीलापन। दूसरे भाग में आठ विक्रेता श्रेणियों को संबोधित किया गया है: कोर सेवा प्रदाता, सूचना प्रौद्योगिकी बुनियादी ढांचा प्रदाता, साइबर सुरक्षा प्रदाता, भुगतान प्रसंस्करण और डिजिटल बैंकिंग प्रदाता, ऋण प्रबंधन प्रणाली प्रदाता, कार्ड जारी करने और प्रसंस्करण प्रदाता, बैंक सीक्रेसी एक्ट/एंटी‑मनी लॉन्ड्रिंग और वित्तीय अपराध प्लेटफ़ॉर्म प्रदाता, तथा धोखाधड़ी रोकथाम और पहचान प्रदाता। बोर्ड का कहना है कि यह मार्गदर्शिका कोई नियम नहीं होगी और बैंकिंग संगठनों को वर्णित कार्य करने के लिए बाध्य नहीं किया जाएगा, और यह टिप्पणीकारों से पूछता है कि क्या मार्गदर्शिका का विवरण स्तर उपयोगी बना रहे बिना वास्तविक पर्यवेक्षी मानक स्थापित किए।

एक 28 अगस्त 2026 की बोर्ड स्टाफ मेमो ने दोनों प्रस्ताव जारी करने की सिफारिश की और उन बोर्ड दस्तावेजों की सूची दी जिन्हें एजेंसियां अंतिम मार्गदर्शिका के साथ रद्द करेंगी: 2023 मार्गदर्शिका, SR 23-4 के माध्यम से जारी; 2024 सामुदायिक बैंक गाइड, SR 24-2/CA 24-1 के माध्यम से जारी; और तृतीय‑पक्षों के साथ बैंकों के डिपॉज़िट उत्पाद और सेवाएँ प्रदान करने के प्रबंधों पर संयुक्त बयान, SR 24-5 के माध्यम से जारी। संयुक्त फेडरल रजिस्टर नोटिस पर FDIC और NCUA के हस्ताक्षर ब्लॉक की तिथि 10 सितंबर 2026 है।

बोर्ड ने 9 सितंबर 2026 को पैकेज को मंजूरी दी, बोर्ड के मतदान रिकॉर्ड के अनुसार, जो इस कार्रवाई को प्रस्तावित मार्गदर्शिका के रूप में वर्गीकृत करता है। चेयरमैन वार्श, उपाध्यक्ष जेफ़रसन, पर्यवेक्षण के उपाध्यक्ष बाउमन, गवर्नर कुक, गवर्नर पावेल, और गवर्नर वॉलर ने समर्थन में मतदान किया। गवर्नर बैर ने विरोध किया; कोई निरस्त नहीं हुआ।

एक विरोधी बयान में, बैर ने कहा कि अंतर‑एजेंसी मार्गदर्शिका पर्यवेक्षकों के लिए कार्रवाई करने हेतु एक नया महत्वपूर्ण वित्तीय जोखिम मानक शामिल करती है, जिससे वह तर्क देते हैं कि बैंक समस्याओं को फर्म के लिए महत्वपूर्ण जोखिम बनने से पहले सुधारने की संभावना कम हो जाती है। उन्होंने लिखा कि प्रस्ताव की उचित विचारधारा वाली भाषा “गलत समझी जा सकती है कि एजेंसियां तृतीय‑पक्ष जोखिम प्रबंधन पर बैंक के दृष्टिकोण को प्राथमिकता देंगी, बजाय स्वतंत्र निर्णय लेने के”। उन्होंने यह भी आपत्ति जताई कि प्रस्ताव उपभोक्ता अनुपालन मामलों को बाहर रखते हैं, जिससे जोखिम कवरेज में अंतर रह सकता है या बैंकों को दो सेट के मार्गदर्शन का पालन करना पड़ सकता है, और यह भी कहा कि सामुदायिक बैंक गाइड जटिल बैंक‑फिनटेक साझेदारियों को संबोधित नहीं करता।

गवर्नर कुक ने एक अलग बयान में कहा कि वह बैंकों के बड़े और अधिक जटिल विक्रेता संबंधों के प्रबंधन के दौरान मार्गदर्शिका की नई समीक्षा का समर्थन करती हैं। उन्होंने इस बात पर टिप्पणी का स्वागत किया कि क्या एजेंसियों को साइबर सुरक्षा से संबंधित प्रभावी जोखिम प्रबंधन प्रथाओं पर अधिक विशिष्टता प्रदान करनी चाहिए और बैंक‑फिनटेक साझेदारियों में उपभोक्ता संरक्षण, रिकॉर्ड प्रबंधन, और एंटी‑मनी लॉन्ड्रिंग की जिम्मेदारियों के आवंटन पर। उन्होंने यह भी कहा कि वह परम्परागत सामुदायिक बैंकिंग संगठनों के लिए प्रस्तावित मार्गदर्शिका का दृढ़ समर्थन करती हैं।