Le agenzie bancarie propongono di sostituire le linee guida sul rischio di terze parti del 2023

La Federal Deposit Insurance Corporation, il Federal Reserve Board, la National Credit Union Administration e l’Office of the Comptroller of the Currency, l’11 settembre 2026, hanno richiesto commenti pubblici sulle linee guida proposte per assistere le istituzioni finanziarie nella gestione dei rischi associati alle relazioni con terze parti. La proposta si concentra su un approccio basato sui principi e, come per tutte le linee guida di vigilanza, non è vincolante, secondo l’annuncio congiunto delle agenzie, pubblicato alle 10:00 EDT. Una volta finalizzate, le agenzie federali di regolamentazione bancaria prevedono di revocare le attuali linee guida sulla gestione del rischio di terze parti e di sostituirle con la versione finalizzata per promuovere coerenza e innovazione prudente nel settore bancario.

I commenti sulla guida proposta devono pervenire entro 60 giorni dalla pubblicazione nel Federal Register. Il comunicato congiunto riporta gli identificativi di fascicolo OCC-2026-0793 per l’OCC, OP-1881 per il Board, RIN 3064-ZA58 per la FDIC e NCUA-2026-1684 per la NCUA.

Separatamente, lo stesso giorno, il Board, la FDIC e l’OCC hanno pubblicato una dichiarazione sul coinvolgimento delle banche comunitarie con i fornitori di servizi principali, e il Federal Reserve Board ha richiesto commenti su una guida proposta per la gestione del rischio di terze parti specificamente destinata alle banche comunitarie che supervisiona, intesa come documento complementare alla proposta più ampia.

Proposta di sostituzione del quadro del 2023

Secondo l’avviso del Federal Register, qualsiasi guida finalizzata sostituirebbe l’Interagency Guidance on Third-Party Relationships: Risk Management pubblicata nel 2023 (88 FR 37920, 9 giugno 2023), insieme alle Supplemental TPRM Resources: il bollettino dell’OCC del 15 maggio 2002 sui fornitori di servizi di terze parti con sede all’estero, la dichiarazione congiunta del 25 luglio 2024 sugli accordi delle banche con terze parti per fornire prodotti di deposito bancario, e la guida del 3 maggio 2024 Third-Party Risk Management: A Guide for Community Banks.

Le agenzie hanno scritto che, sulla base del feedback delle parti interessate e dell’esperienza di vigilanza, le Linee guida del 2023 sono state spesso interpretate in modo eccessivamente ampio e con insufficiente attenzione alla personalizzazione; che le loro numerose considerazioni ed esempi dettagliati si sono rivelati difficili da applicare a diversi tipi di relazioni; che hanno incentivato involontariamente approcci basati su processi e su una logica di spunta delle caselle a scapito di pratiche focalizzate sul rischio; e che sono state percepite come deterrenti per accordi con terze parti più recenti e innovative.

La guida proposta presenta quattro componenti: identificazione e valutazione del rischio; supervisione del rischio, che comprende due diligence e selezione delle terze parti, negoziazione dei contratti, monitoraggio continuo, terminazione e temi trasversali; accettazione del rischio residuo; e governance. Le valutazioni del rischio terrebbero conto sia dell’entità del danno che una relazione potrebbe causare sia della probabilità che tale danno si verifichi. Le relazioni ad alto rischio potrebbero includere quelle che, se interrotte, soggette ad attacco, eseguite in violazione del contratto o comunque operate in circostanze non consuete, potrebbero provocare una violazione reale e non trascurabile di leggi o regolamenti, un danno materiale alla condizione finanziaria dell’organizzazione bancaria o una significativa interruzione delle sue operazioni o dei suoi clienti, dove esiste una probabilità materiale di tali esiti nelle condizioni attuali o ragionevolmente prevedibili.

L’avviso afferma che la guida non stabilisce standard applicabili o requisiti prescrittivi, che la non conformità non comporterà azioni di vigilanza e che una semplice deviazione dalla guida o dai suoi esempi non costituirà una base per un’azione di vigilanza o per una constatazione negativa da parte dell’esaminatore. Si aggiunge che le agenzie possono comunque intervenire per violazioni di leggi o regolamenti, pratiche non sicure o non solide, o altri rischi materiali derivanti da una gestione insufficiente del rischio di terze parti. Il testo dichiara inoltre che le agenzie prenderanno in debita considerazione le decisioni ragionevoli di un’organizzazione bancaria in materia di supervisione della gestione del rischio di terze parti.

Le agenzie affermano che la proposta incoraggerebbe un’innovazione responsabile in linea con l’Executive Order 14405 sull’integrazione dell’innovazione fintech nei quadri normativi. L’Office of Information and Regulatory Affairs ha determinato che la proposta non costituisce un’azione regolamentare significativa ai sensi dell’Executive Order 12866, e l’avviso dichiara che, se finalizzata come proposto, si prevede che sia un’azione di deregolamentazione ai sensi dell’Executive Order 14192 perché fornirebbe chiarezza di vigilanza che potrebbe tradursi in maggiori efficienze e semplificazioni nelle funzioni di gestione del rischio di terze parti.

Tra le domande specifiche, l’avviso chiede se la guida debba applicarsi solo alle terze parti soggette a un accordo scritto con l’organizzazione bancaria, e se sia utile includere un elenco di caratteristiche che generalmente indicano che una relazione con una terza parte è ad alto rischio.

Fornitori principali, banche comunitarie e voto del Board

La dichiarazione congiunta sul coinvolgimento delle banche comunitarie con i fornitori di servizi principali affronta le relazioni delle organizzazioni bancarie comunitarie con terze parti che forniscono le applicazioni di sistemi critici e l’infrastruttura a supporto delle loro funzioni essenziali, tra cui l’elaborazione delle transazioni, la gestione dei conti, l’elaborazione dei pagamenti, la gestione delle relazioni con i clienti, la conformità e la rendicontazione, e il banking online. Le agenzie affermano che una percentuale significativa del mercato dei fornitori principali è rappresentata da pochi grandi fornitori, il che limita il potere contrattuale delle banche comunitarie, e che le banche comunitarie segnalano difficoltà nell’ottenere informazioni ragionevoli per la due diligence, nel negoziare i termini contrattuali e nel condurre un monitoraggio continuo efficace.

La dichiarazione individua tre gruppi di fattori che le agenzie considereranno nel prendere decisioni di allocazione di vigilanza per i fornitori principali, come la natura, l’estensione e la frequenza delle ispezioni. I fattori di trasparenza includono la disponibilità del fornitore a fornire informazioni di due diligence ragionevolmente pertinenti e tempestive, l’uso e la conformità a accordi di livello di servizio (SLA) con standard di performance misurabili, la divulgazione tempestiva di problemi operativi e incidenti di sicurezza, e pratiche di fatturazione complesse difficili da riconciliare con i servizi ricevuti. I fattori legati alle caratteristiche contrattuali includono strutture di prezzo opache, ampie finestre di retrofatturazione durante le quali un fornitore può emettere addebiti retroattivi, commissioni di deconversione non supportate o non definite contrattualmente, e limitazioni eccessive ai fornitori di servizi non affiliati che si integrano con la piattaforma principale. I fattori tecnologici includono il numero e la gravità degli incidenti di sicurezza informatica, la gestione di asset in fase di fine supporto e fine vita, e le capacità dimostrate di resilienza operativa.

In materia di applicazione, le agenzie affermano di poter avere una base ragionevole per determinare che alcuni fornitori principali rientrino nella categoria delle parti affiliate all’istituzione ai sensi del 12 U.S.C. 1813(u)(3), come soggetti che partecipano alla gestione degli affari di un’istituzione di deposito assicurata, e che possano intentare azioni contro i fornitori principali ai sensi delle autorità statutarie, tra cui 12 U.S.C. 1818 e 1867. La dichiarazione afferma che ciò non elimina né riduce la responsabilità della banca comunitaria per pratiche sicure e solide e per la conformità alle leggi e ai regolamenti applicabili. La dichiarazione segue l’attività di contatto delle agenzie che ha incluso una richiesta dell’OCC di informazioni sul coinvolgimento delle banche comunitarie con i fornitori di servizi principali, pubblicata il 28 novembre 2025 (90 FR 54882).

La guida proposta per le organizzazioni bancarie comunitarie tradizionali, depositata come Docket OP-1880, definisce quel gruppo come organizzazioni bancarie con meno di 30 miliardi di dollari di attività che si concentrano sul servire le loro comunità locali. Non è destinata a organizzazioni con modelli di business più complessi o profili di relazioni con terze parti, come partnership bancarie‑fintech complesse. La prima sezione della guida discute quattro temi generali: resilienza operativa, sicurezza dei sistemi e delle informazioni, conformità a norme e regolamenti, e resilienza finanziaria. La sua seconda sezione affronta otto categorie di fornitori: fornitori di servizi core, fornitori di infrastrutture tecnologiche dell’informazione, fornitori di sicurezza informatica, fornitori di elaborazione dei pagamenti e di banking digitale, fornitori di sistemi di gestione dei prestiti, fornitori di emissione e elaborazione di carte, fornitori di piattaforme per la Bank Secrecy Act/anti‑riciclaggio e crimini finanziari, e fornitori di prevenzione e rilevamento delle frodi. Il Board dichiara che la guida non costituirà una norma e che le organizzazioni bancarie non saranno tenute a compiere le azioni descritte, e chiede ai commentatori se il livello di dettaglio della guida sia calibrato per rimanere utile senza stabilire de facto standard di vigilanza.

Un memo del personale del Board datato 28 agosto 2026 raccomandava di emettere entrambe le proposte e elenca i documenti del Board che le agenzie revocheranno insieme alla guida finale: la Guida 2023, emessa tramite SR 23‑4; la guida per le banche comunitarie 2024, emessa tramite SR 24‑2/CA 24‑1; e la dichiarazione congiunta sugli accordi delle banche con terze parti per fornire prodotti e servizi di deposito bancario, emessa tramite SR 24‑5. I blocchi firma della FDIC e della NCUA nella comunicazione congiunta del Federal Register sono datati 10 settembre 2026.

Il Board ha approvato il pacchetto il 9 settembre 2026, secondo il registro delle votazioni del Board, che classifica l’azione come guida proposta. Il presidente Warsh, il vicepresidente Jefferson, il vicepresidente per la vigilanza Bowman, il governatore Cook, il governatore Powell e il governatore Waller hanno votato a favore. Il governatore Barr ha votato contro; non ci sono state astensioni.

In una dichiarazione dissenziente, Barr ha affermato che la guida interagenzia incorpora un nuovo standard di rischio finanziario materiale per i supervisori, il che, a suo avviso, rende meno probabile che le banche correggano i problemi prima che diventino rischi materiali per l’impresa. Ha scritto che il linguaggio di considerazione dovuta della proposta “potrebbe essere interpretato erroneamente come se le agenzie deferissero alle opinioni della banca sulla gestione del rischio di terze parti, anziché formulare un giudizio indipendente.” Ha inoltre contestato il fatto che le proposte escludono le questioni di conformità al consumatore, il che, secondo lui, potrebbe creare una lacuna nella copertura del rischio o obbligare le banche a conformarsi a due serie di linee guida, e che la guida per le banche comunitarie non affronta le partnership bancarie‑fintech complesse.

Il governatore Cook ha dichiarato in una dichiarazione separata di sostenere una nuova valutazione della guida mentre le banche gestiscono relazioni con fornitori più ampie e complesse. Ha accolto i commenti su se le agenzie dovrebbero fornire maggiore specificità sulle pratiche efficaci di gestione del rischio relative alla sicurezza informatica e sulla ripartizione delle responsabilità per la protezione dei consumatori, la gestione dei registri e l’anti‑riciclaggio nelle partnership banca‑fintech, e ha affermato di sostenere fermamente la guida proposta per le organizzazioni bancarie comunitarie tradizionali.