Lembaga Perbankan Mengusulkan Penggantian Panduan Risiko Pihak Ketiga 2023

Federal Deposit Insurance Corporation, Federal Reserve Board, National Credit Union Administration, dan Office of the Comptroller of the Currency pada 11 September 2026 meminta komentar publik atas panduan yang diusulkan untuk membantu lembaga keuangan dalam mengelola risiko yang terkait dengan hubungan pihak ketiga. Usulan tersebut berfokus pada pendekatan berbasis prinsip dan, seperti semua panduan pengawasan, tidak mengikat, menurut pengumuman bersama lembaga, yang diterbitkan pada pukul 10:00 a.m. EDT. Setelah disahkan, lembaga regulator perbankan federal berencana mencabut panduan manajemen risiko pihak ketiga yang ada dan menggantinya dengan versi final untuk mendorong konsistensi serta inovasi yang bijaksana dalam industri perbankan.

Komentar atas panduan yang diusulkan harus diserahkan dalam waktu 60 hari setelah publikasi di Federal Register. Pemberitahuan bersama tersebut memiliki identifikasi docket OCC-2026-0793 untuk OCC, OP-1881 untuk Board, RIN 3064-ZA58 untuk FDIC, dan NCUA-2026-1684 untuk NCUA.

Secara terpisah pada hari yang sama, Board, FDIC, dan OCC mengeluarkan pernyataan tentang keterlibatan bank komunitas dengan penyedia layanan inti, dan Federal Reserve Board meminta komentar atas panduan manajemen risiko pihak ketiga yang diusulkan khusus untuk bank komunitas yang diawasi, yang dimaksudkan sebagai dokumen pelengkap untuk usulan yang lebih luas.

Penggantian yang Diusulkan untuk Kerangka 2023

Menurut pemberitahuan Federal Register, setiap panduan yang disahkan akan menggantikan Interagency Guidance on Third-Party Relationships: Risk Management yang diterbitkan pada 2023 (88 FR 37920, 9 Juni 2023), bersama dengan Supplemental TPRM Resources: buletin OCC tanggal 15 Mei 2002 tentang penyedia layanan pihak ketiga berbasis luar negeri, pernyataan bersama 25 Juli 2024 mengenai pengaturan bank dengan pihak ketiga untuk menyediakan produk simpanan bank, dan panduan 3 Mei 2024 Third-Party Risk Management: Panduan untuk Bank Komunitas.

Lembaga-lembaga menulis bahwa, berdasarkan masukan pemangku kepentingan dan pengalaman pengawasan, Panduan 2023 sering ditafsirkan secara terlalu luas dan dengan fokus yang tidak memadai pada penyesuaian; bahwa pertimbangan yang luas dan contoh terperinci sulit diterapkan pada berbagai jenis hubungan; bahwa secara tidak sengaja panduan tersebut mendorong pendekatan berbasis proses, mencentang kotak, daripada praktik yang berfokus pada risiko; dan bahwa panduan itu dianggap menghalangi pengaturan dengan pihak ketiga yang lebih baru dan inovatif.

Panduan yang diusulkan menyajikan empat komponen: identifikasi dan penilaian risiko; pengawasan risiko, yang mencakup due diligence dan pemilihan pihak ketiga, negosiasi kontrak, pemantauan berkelanjutan, penghentian, serta topik lintas sektoral; penerimaan risiko residual; dan tata kelola. Penilaian risiko akan memperhitungkan baik besarnya kerugian yang dapat ditimbulkan oleh suatu hubungan maupun kemungkinan kerugian tersebut terjadi. Hubungan dengan risiko tinggi dapat mencakup yang, jika terganggu, diserang, dilaksanakan melanggar kontrak, atau dilakukan dalam kondisi yang tidak biasa, dapat menyebabkan pelanggaran hukum atau regulasi yang signifikan, kerugian material terhadap kondisi keuangan organisasi perbankan, atau gangguan signifikan pada operasi atau nasabahnya, di mana terdapat kemungkinan material terjadinya hasil tersebut dalam kondisi saat ini atau yang dapat diperkirakan secara wajar.

Pemberitahuan tersebut menyatakan bahwa panduan tidak menetapkan standar yang dapat ditegakkan atau persyaratan preskriptif, bahwa ketidakpatuhan tidak akan menghasilkan tindakan pengawasan, dan bahwa penyimpangan dari panduan atau contoh-contohnya saja tidak akan menjadi dasar bagi tindakan pengawasan atau temuan negatif pemeriksa. Dikatakan pula bahwa lembaga masih dapat mengambil tindakan atas pelanggaran hukum atau regulasi, praktik yang tidak aman atau tidak sehat, atau risiko material lain yang timbul akibat manajemen risiko pihak ketiga yang tidak memadai. Teks tersebut juga menyatakan bahwa lembaga akan memberikan pertimbangan yang layak terhadap keputusan wajar organisasi perbankan dalam hal pengawasan manajemen risiko pihak ketiga.

Lembaga-lembaga menyatakan bahwa usulan tersebut akan mendorong inovasi yang bertanggung jawab sesuai dengan Executive Order 14405 tentang integrasi inovasi teknologi keuangan ke dalam kerangka regulasi. Office of Information and Regulatory Affairs menentukan bahwa usulan ini bukan tindakan regulasi signifikan menurut Executive Order 12866, dan pemberitahuan menyatakan bahwa, jika disahkan sebagaimana diusulkan, diharapkan menjadi tindakan deregulasi menurut Executive Order 14192 karena akan memberikan kejelasan pengawasan yang dapat menghasilkan efisiensi lebih besar dan penyederhanaan dalam fungsi manajemen risiko pihak ketiga.

Di antara pertanyaan spesifiknya, pemberitahuan menanyakan apakah panduan harus hanya berlaku bagi pihak ketiga yang terikat dalam perjanjian tertulis dengan organisasi perbankan, dan apakah akan berguna untuk menyertakan daftar karakteristik yang umumnya menunjukkan bahwa hubungan pihak ketiga berisiko tinggi.

Penyedia Inti, Bank Komunitas, dan Pemungutan Suara Board

pernyataan bersama tentang keterlibatan bank komunitas dengan penyedia layanan inti membahas hubungan organisasi perbankan komunitas dengan pihak ketiga yang menyediakan aplikasi sistem kritis dan infrastruktur yang mendukung fungsi penting mereka, termasuk pemrosesan transaksi, manajemen akun, pemrosesan pembayaran, manajemen hubungan pelanggan, kepatuhan dan pelaporan, serta perbankan online. Lembaga-lembaga menyatakan bahwa persentase signifikan pasar penyedia inti didominasi oleh hanya beberapa penyedia besar, yang membatasi daya tawar bank komunitas, dan bahwa bank komunitas melaporkan tantangan dalam memperoleh informasi due diligence yang wajar, menegosiasikan ketentuan kontrak, serta melakukan pemantauan berkelanjutan yang efektif.

Pernyataan tersebut mengidentifikasi tiga set faktor yang akan dipertimbangkan lembaga ketika membuat keputusan alokasi pengawasan untuk penyedia inti, seperti sifat, cakupan, dan frekuensi pemeriksaan. Faktor transparansi meliputi kesediaan penyedia untuk memberikan informasi due diligence yang relevan dan tepat waktu, penggunaan dan kepatuhan terhadap perjanjian tingkat layanan (service level agreements) dengan standar kinerja yang terukur, pengungkapan tepat waktu atas masalah operasional dan insiden keamanan, serta praktik penagihan yang kompleks yang sulit diselaraskan dengan layanan yang diterima. Faktor fitur kontrak mencakup struktur harga yang tidak transparan, jendela penagihan mundur yang luas di mana penyedia dapat mengeluarkan biaya retroaktif, biaya dekonversi yang tidak didukung atau tidak didefinisikan dalam kontrak, dan batasan berlebihan pada penyedia layanan yang tidak berafiliasi yang mengintegrasikan dengan platform inti. Faktor teknologi meliputi jumlah dan tingkat keparahan insiden keamanan komputer, pengelolaan aset yang sudah tidak didukung (end-of-support) dan akhir masa pakai (end-of-life), serta kemampuan ketahanan operasional yang terbukti.

Terkait penegakan, lembaga-lembaga menyatakan bahwa mereka mungkin memiliki dasar yang wajar untuk menentukan bahwa beberapa penyedia inti memenuhi syarat sebagai pihak yang berafiliasi dengan institusi menurut 12 U.S.C. 1813(u)(3), sebagai orang yang berpartisipasi dalam pengelolaan urusan institusi simpanan yang diasuransikan, dan bahwa mereka dapat mengajukan tindakan terhadap penyedia inti berdasarkan otoritas statutori termasuk 12 U.S.C. 1818 dan 1867. Pernyataan tersebut menyebutkan bahwa hal ini tidak menghilangkan atau mengurangi tanggung jawab bank komunitas sendiri atas praktik yang aman dan sehat serta kepatuhan terhadap hukum dan regulasi yang berlaku. Pernyataan tersebut mengikuti upaya outreach lembaga yang mencakup permintaan informasi OCC tentang keterlibatan bank komunitas dengan penyedia layanan inti, yang dipublikasikan pada 28 November 2025 (90 FR 54882).

Panduan yang diusulkan oleh Dewan untuk organisasi perbankan komunitas tradisional, yang diajukan sebagai Docket OP-1880, mendefinisikan kelompok tersebut sebagai organisasi perbankan dengan aset kurang dari $30 miliar yang fokus melayani komunitas lokal mereka. Panduan ini tidak ditujukan untuk organisasi dengan model bisnis yang lebih kompleks atau profil hubungan pihak ketiga, seperti kemitraan bank‑fintech yang rumit. Bagian pertama panduan membahas empat topik utama: ketahanan operasional, keamanan sistem dan informasi, kepatuhan terhadap peraturan, serta ketahanan keuangan. Bagian keduanya mencakup delapan kategori vendor: penyedia layanan inti, penyedia infrastruktur teknologi informasi, penyedia keamanan siber, penyedia pemrosesan pembayaran dan perbankan digital, penyedia sistem manajemen pinjaman, penyedia penerbitan dan pemrosesan kartu, penyedia platform Bank Secrecy Act/anti‑pencucian uang dan kejahatan keuangan, serta penyedia pencegahan dan deteksi penipuan. Dewan menyatakan bahwa panduan ini bukan aturan dan organisasi perbankan tidak diwajibkan melakukan tindakan yang dijelaskan, serta meminta komentar apakah tingkat detail panduan sudah cukup berguna tanpa menetapkan standar pengawasan de‑facto.

Sebuah memo staf Dewan tanggal 28 Agustus 2026 merekomendasikan penerbitan kedua usulan dan mencantumkan dokumen Dewan yang akan dicabut oleh agensi bersama panduan akhir: Panduan 2023, yang diterbitkan melalui SR 23‑4; panduan bank komunitas 2024, yang diterbitkan melalui SR 24‑2/CA 24‑1; serta pernyataan bersama tentang pengaturan bank dengan pihak ketiga untuk menyediakan produk dan layanan simpanan bank, yang diterbitkan melalui SR 24‑5. Blok tanda tangan FDIC dan NCUA pada pemberitahuan Federal Register bersama tersebut bertanggal 10 September 2026.

Dewan menyetujui paket tersebut pada 9 September 2026, menurut catatan pemungutan suara Dewan, yang mengkategorikan tindakan tersebut sebagai panduan yang diusulkan. Ketua Warsh, Wakil Ketua Jefferson, Wakil Ketua Pengawasan Bowman, Gubernur Cook, Gubernur Powell, dan Gubernur Waller memberikan suara setuju. Gubernur Barr memberikan suara tidak setuju; tidak ada abstain.

Dalam sebuah pernyataan yang menolak, Barr menyatakan bahwa panduan antar‑lembaga mengandung standar risiko keuangan material baru bagi pengawas untuk mengambil tindakan, yang menurutnya membuat bank kurang mungkin memperbaiki masalah sebelum menjadi risiko material bagi perusahaan. Ia menulis bahwa bahasa pertimbangan yang wajar dalam usulan “dapat disalahtafsirkan sebagai berarti agensi akan memberi deferensi pada pandangan bank tentang manajemen risiko pihak ketiga, alih‑alih membuat penilaian independen.” Ia juga menolak bahwa usulan tersebut mengecualikan masalah kepatuhan konsumen, yang ia katakan dapat meninggalkan celah dalam cakupan risiko atau memaksa bank mematuhi dua set panduan, serta bahwa panduan bank komunitas tidak membahas kemitraan bank‑fintech yang kompleks.

Gubernur Cook mengatakan dalam sebuah pernyataan terpisah bahwa ia mendukung peninjauan kembali panduan tersebut seiring bank mengelola hubungan vendor yang lebih besar dan lebih kompleks. Ia menyambut komentar mengenai apakah agensi harus memberikan kejelasan lebih pada praktik manajemen risiko yang efektif terkait keamanan siber serta alokasi tanggung jawab untuk perlindungan konsumen, manajemen catatan, dan anti‑pencucian uang dalam kemitraan bank‑fintech, dan ia menyatakan dukungan kuatnya terhadap panduan yang diusulkan untuk organisasi perbankan komunitas tradisional.