은행 규제 기관, 2023년 제3자 위험 가이드라인 교체 제안

연방예금보험공사(FDIC), 연방준비제도이사회(FRB), 전국신용조합관리청(NCUA) 및 통화감독청(OCC)은 2026년 9월 11일 제3자 관계와 관련된 위험 관리에 금융기관을 지원하기 위한 제안 가이드에 대한 공개 의견을 요청했습니다. 이 제안은 원칙 기반 접근 방식을 강조하며, 모든 감독 가이드라인과 마찬가지로 구속력이 없다고 기관들의 공동 발표에 명시되어 있으며, 동 발표는 동부 표준시(EDT) 오전 10시에 배포되었습니다. 최종 확정 시 연방 은행 규제 기관들은 기존 제3자 위험 관리 가이드를 폐지하고 최종 버전으로 교체하여 은행 산업의 일관성과 신중한 혁신을 촉진할 계획입니다.

제안된 가이드에 대한 의견은 연방 관보에 게재된 후 60일 이내에 제출해야 합니다. 공동 통지에는 OCC-2026-0793( OCC용), OP-1881( 이사회용), RIN 3064-ZA58(FDIC용), NCUA-2026-1684(NCUA용)와 같은 사건 식별자가 포함됩니다.

같은 날 별도로, 이사회, FDIC 및 OCC는 지역 은행의 핵심 서비스 제공업체와의 협력에 관한 성명을 발표했으며, 연방준비제도이사회는 감독 대상인 지역 은행을 위한 별도 제3자 위험 관리 가이드에 대한 의견을 요청했습니다. 이 가이드는 보다 광범위한 제안의 보완 문서로 의도되었습니다.

2023 프레임워크 대체 제안

연방 관보 통지에 따르면, 최종 확정된 가이드는 2023년에 발표된 ‘제3자 관계에 관한 연합 가이드라인: 위험 관리'(88 FR 37920, 2023년 6월 9일)를 대체하게 되며, 추가적인 TPRM 자료도 함께 교체됩니다: 2002년 5월 15일 OCC 공고인 해외 기반 제3자 서비스 제공업체에 관한 안내, 2024년 7월 25일 은행이 제3자를 통해 예금 상품을 제공하는 arrangements에 관한 공동 성명, 그리고 2024년 5월 3일 발행된 ‘제3자 위험 관리: 지역 은행을 위한 안내서’가 포함됩니다.

기관들은 이해관계자 의견과 감독 경험에 비추어 2023 가이드라인이 지나치게 포괄적으로 해석되고 맞춤형 적용에 대한 집중이 부족했으며, 방대한 고려사항과 상세한 예시가 다양한 관계 유형에 적용하기 어렵고, 의도치 않게 위험 중심보다 절차 중심의 체크박스 접근을 장려했으며, 결과적으로 최신 및 혁신적인 제3자와의 협력을 저해하는 것으로 읽혔다고 밝혔습니다.

제안된 가이드는 네 가지 요소를 제시합니다: 위험 식별 및 평가; 위험 감독(실사 및 제3자 선정, 계약 협상, 지속적 모니터링, 계약 종료 및 교차 주제 포함); 잔여 위험 수용; 그리고 거버넌스. 위험 평가는 관계가 초래할 수 있는 피해 규모와 그 피해가 발생할 가능성을 모두 고려합니다. 고위험 관계에는 중단되거나 공격을 받거나 계약 위반 하에 수행되거나 비정상적인 상황에서 이루어지는 경우, 실제로 중대한 법·규제 위반, 은행 조직의 재무 상태에 중대한 손해, 혹은 운영이나 고객에게 큰 차질을 초래할 수 있으며, 현재 또는 합리적으로 예측 가능한 상황에서 이러한 결과가 발생할 가능성이 높은 관계가 포함될 수 있습니다.

통지서는 이 가이드라인이 강제 가능한 기준이나 규정적 요구사항을 제시하지 않으며, 미준수가 감독 조치로 이어지지 않으며, 가이드라인이나 그 예시에서 벗어난 것만으로는 감독 조치나 부정적인 검사 결과의 근거가 되지 않는다고 명시합니다. 또한 기관들은 법·규제 위반, 안전하지 않거나 건전하지 않은 관행, 혹은 제3자 위험 관리 부실로 인한 기타 중대한 위험에 대해서는 여전히 조치를 취할 수 있다고 덧붙입니다. 텍스트는 또한 기관들이 제3자 위험 관리 감독과 관련된 은행 조직의 합리적인 판단을 충분히 고려할 것이라고 명시합니다.

기관들은 이 제안이 금융 기술 혁신을 규제 체계에 통합하는 행정명령 14405와 일치하는 책임 있는 혁신을 장려할 것이라고 밝혔습니다. 정보 및 규제 업무실은 이 제안이 행정명령 12866에 따른 중대한 규제 조치가 아니라고 판단했으며, 통지서는 제안이 최종 확정될 경우 행정명령 14192에 따라 규제 완화 조치가 될 것으로 예상된다고 명시합니다. 이는 제3자 위험 관리 기능에서 더 큰 효율성과 간소화를 가져올 수 있는 감독 명확성을 제공하기 때문입니다.

구체적인 질문 중 하나로, 통지서는 가이드라인이 은행 조직과 서면 계약을 체결한 제3자에게만 적용되어야 하는지, 그리고 일반적으로 제3자 관계가 고위험임을 나타내는 특성 목록을 포함하는 것이 도움이 될지 여부를 묻고 있습니다.

핵심 제공업체, 지역 은행 및 이사회 투표

지역 은행의 핵심 서비스 제공업체와의 협력에 관한 공동 성명은 거래 처리, 계좌 관리, 결제 처리, 고객 관계 관리, 규정 준수 및 보고, 온라인 뱅킹 등 필수 기능을 지원하는 핵심 시스템 애플리케이션 및 인프라를 제공하는 제3자와 지역 은행 조직의 관계를 다룹니다. 기관들은 핵심 제공업체 시장의 상당 부분이 소수의 대형 제공업체에 의해 점유되어 있어 지역 은행의 협상력이 제한되고, 지역 은행이 합리적인 실사 정보 확보, 계약 조건 협상, 효과적인 지속적 모니터링 수행에 어려움을 겪고 있다고 밝혔습니다.

성명은 핵심 제공업체에 대한 감독 배분 결정을 내릴 때 기관들이 고려할 세 가지 요인군을 제시합니다. 첫째, 투명성 요인으로는 제공업체가 적절하고 시기적절한 실사 정보를 제공하려는 의지, 측정 가능한 성과 기준을 포함한 서비스 수준 계약(SLA)의 사용 및 준수, 운영 문제와 보안 사고를 신속히 공개하는 여부, 그리고 제공된 서비스와 맞추기 어려운 복잡한 청구 관행이 포함됩니다. 둘째, 계약 특성 요인으로는 불투명한 가격 구조, 제공업체가 사후 청구를 할 수 있는 광범위한 역청구 기간, 계약상 정의되지 않거나 지원되지 않는 전환 해제 수수료, 그리고 핵심 플랫폼에 통합되는 비제휴 서비스 제공업체에 대한 과도한 제한이 포함됩니다. 셋째, 기술 요인으로는 컴퓨터 보안 사고의 수와 심각도, 지원 종료 및 수명 종료 자산 관리, 그리고 입증된 운영 회복력 역량이 포함됩니다.

집행에 관해, 기관들은 특정 핵심 제공업체가 12 U.S.C. 1813(u)(3) 조항에 따라 보험 예금기관의 업무에 참여하는 기관 연계 당사자로 인정될 합리적인 근거가 있을 수 있으며, 12 U.S.C. 1818 및 1867 등 법정 권한에 따라 핵심 제공업체에 대한 조치를 취할 수 있다고 밝혔습니다. 이 성명은 이는 지역 은행이 자체적으로 안전하고 건전한 관행 및 적용 법규 준수에 대한 책임을 없애거나 감소시키는 것이 아니라고 명시합니다. 또한 이 성명은 2025년 11월 28일에 발표된 OCC의 지역 은행과 핵심 서비스 제공업체와의 협력에 관한 정보 요청(90 FR 54882)을 포함한 기관의 사전 협의에 이어진 것입니다.

이사회가 전통적인 지역사회 은행 조직을 위한 제안 가이드를 OP-1880 문서로 제출했으며, 이 그룹을 자산이 300억 달러 미만이고 지역사회 서비스에 중점을 둔 은행 조직으로 정의합니다. 복잡한 비즈니스 모델이나 제3자 관계 프로필을 가진 조직, 예를 들어 복합 은행‑핀테크 파트너십을 위한 것은 대상이 아닙니다. 가이드의 첫 번째 섹션에서는 운영 회복력, 시스템 및 정보 보안, 규칙 및 규정 준수, 재무 회복력이라는 네 가지 주요 주제를 다룹니다. 두 번째 섹션에서는 핵심 서비스 제공업체, 정보기술 인프라 제공업체, 사이버보안 제공업체, 결제 처리 및 디지털 뱅킹 제공업체, 대출 관리 시스템 제공업체, 카드 발행 및 처리 제공업체, 은행비밀법/자금세탁방지 및 금융범죄 플랫폼 제공업체, 사기 방지 및 탐지 제공업체 등 총 여덟 가지 공급업체 범주를 다룹니다. 이사회는 이 가이드는 규칙이 아니며 은행 조직이 기술된 조치를 취할 의무가 없다고 밝히고, 가이드의 상세 수준이 사실상의 감독 기준을 설정하지 않으면서도 유용성을 유지하도록 조정되었는지 의견을 요청합니다.

2026년 8월 28일자 이사회 직원 메모는 두 제안을 발행할 것을 권고하고, 최종 가이드와 함께 철회될 이사회 문서들을 열거합니다: SR 23-4를 통해 발행된 2023 가이드, SR 24-2/CA 24-1을 통해 발행된 2024 지역사회 은행 가이드, 그리고 SR 24-5를 통해 발행된 은행이 제3자와 협력해 예금 상품 및 서비스를 제공하는 방안에 관한 공동 성명. 연방관보 공동 공고의 FDIC와 NCUA 서명란은 2026년 9월 10일자로 기재되어 있습니다.

이사회는 2026년 9월 9일에 이사회 투표 기록에 따라 이 패키지를 승인했으며, 해당 조치를 제안 가이드로 분류했습니다. Warsh 의장, Jefferson 부의장, 감독 담당 부의장 Bowman, Cook 총재, Powell 총재, Waller 총재가 찬성표를 던졌습니다. Barr 총재는 반대표를 행사했으며, 기권자는 없었습니다.

반대 성명에서 Barr는 이번 연방기관 가이드가 감독기관이 조치를 취하도록 하는 새로운 중대한 재무 위험 기준을 포함하고 있다며, 이는 은행이 문제를 실질적인 위험으로 발전하기 전에 시정할 가능성을 낮춘다고 주장했습니다. 그는 제안서의 “신중한 고려” 문구가 “기관이 은행의 제3자 위험 관리에 대한 견해를 존중하게 되어 독립적인 판단을 내리지 않을 것”으로 오해될 수 있다고 적었습니다. 또한 그는 이번 제안이 소비자 규정 준수 사항을 제외하고 있어 위험 커버리지에 공백이 생기거나 은행이 두 개의 가이드를 동시에 따라야 할 수 있으며, 지역사회 은행 가이드가 복합 은행‑핀테크 파트너십을 다루지 않는다고 반대했습니다.

Cook 총재는 별도 성명에서 은행이 더 크고 복잡한 공급업체 관계를 관리함에 따라 가이드를 새롭게 검토하는 것을 지지한다고 밝혔습니다. 그녀는 사이버보안과 관련된 효과적인 위험 관리 관행에 대한 구체성을 강화하고, 은행‑핀테크 파트너십에서 소비자 보호, 기록 관리, 자금세탁방지 책임 배분에 대해 기관이 보다 명확히 제시해야 하는지에 대한 의견을 환영했으며, 전통적인 지역사회 은행 조직을 위한 제안 가이드를 강력히 지지한다고 말했습니다.