Bankenagentschappen stellen vervanging van de derde-partij risicorichtlijn van 2023 voor

De Federal Deposit Insurance Corporation, de Federal Reserve Board, de National Credit Union Administration en het Office of the Comptroller of the Currency hebben op 11 september 2026 publiek commentaar gevraagd op voorgestelde richtlijnen om financiële instellingen te helpen risico’s die samenhangen met relaties met derde partijen te beheren. Het voorstel richt zich op een principesgebaseerde benadering en, zoals bij alle toezichtrichtlijnen, is het niet bindend, volgens de gezamenlijke aankondiging van de agentschappen, uitgegeven voor publicatie om 10:00 uur EDT. Wanneer het definitief is, zijn de federale bankregulerende instanties voornemens de bestaande richtlijnen voor derde-partij risicobeheer in te trekken en te vervangen door de definitieve versie om consistentie en verstandige innovatie in de banksector te bevorderen.

Reacties op de voorgestelde richtlijn moeten binnen 60 dagen na publicatie in het Federal Register worden ingediend. De gezamenlijke kennisgeving heeft dossieridentifiers OCC-2026-0793 voor de OCC, OP-1881 voor de Board, RIN 3064-ZA58 voor de FDIC en NCUA-2026-1684 voor de NCUA.

Op dezelfde dag hebben de Board, de FDIC en de OCC afzonderlijk een verklaring uitgegeven over de betrokkenheid van gemeenschapsbanken bij kernserviceproviders, en heeft de Federal Reserve Board commentaar gevraagd op een voorgestelde gids voor derde-partij risicobeheer die specifiek is bedoeld voor de gemeenschapsbanken die zij toezicht houden, bedoeld als een aanvullend document op het bredere voorstel.

Voorgestelde vervanging van het kader van 2023

Volgens de Federal Register‑kennisgeving zou elke definitieve richtlijn de Interagency Guidance on Third-Party Relationships: Risk Management, gepubliceerd in 2023 (88 FR 37920, 9 juni 2023), vervangen, samen met de aanvullende TPRM‑bronnen: de bulletin van de OCC van 15 mei 2002 over buitenlandse derde-partij serviceproviders, de gezamenlijke verklaring van 25 juli 2024 over de regelingen van banken met derde partijen voor het leveren van bankdepositoproducten, en de gids van 3 mei 2024 Third-Party Risk Management: A Guide for Community Banks.

De agentschappen schreven dat, op basis van feedback van belanghebbenden en toezichtervaring, de richtlijn van 2023 vaak te breed is geïnterpreteerd en onvoldoende gericht is op maatwerk; dat de uitgebreide overwegingen en gedetailleerde voorbeelden moeilijk toepasbaar waren op verschillende soorten relaties; dat het onbedoeld processen gestimuleerd heeft die gericht zijn op het afvinken van vakjes in plaats van op risicogerichte praktijken; en dat ervan is geconcludeerd dat het regelingen met nieuwere en innovatieve derde partijen ontmoedigt.

De voorgestelde richtlijn bevat vier componenten: risico‑identificatie en -beoordeling; risico‑toezicht, inclusief due diligence en selectie van derde partijen, contractonderhandelingen, voortdurende monitoring, beëindiging en overkoepelende onderwerpen; acceptatie van residuaal risico; en governance. Risicobeoordelingen zouden zowel de omvang van de schade die een relatie kan veroorzaken als de waarschijnlijkheid dat die schade zich voordoet, in aanmerking nemen. Relaties met een hoger risico kunnen onder meer die omvatten die, indien verstoord, aangevallen, in strijd met het contract uitgevoerd of anderszins onder niet‑normale omstandigheden uitgevoerd, een daadwerkelijke niet‑triviale overtreding van wet- of regelgeving, materiële schade aan de financiële toestand van de bankorganisatie, of een aanzienlijke verstoring van haar operaties of klanten kunnen veroorzaken, waarbij er een materiële kans bestaat op dergelijke uitkomsten onder huidige of redelijkerwijs voorspelbare omstandigheden.

De kennisgeving stelt dat de richtlijn geen afdwingbare normen of voorschrijvende eisen bevat, dat niet‑naleving niet zal leiden tot toezichthandeling, en dat afwijking van de richtlijn of de voorbeelden daarvan op zich geen grondslag vormt voor een toezichthandeling of een negatieve bevinding van een examinator. Daarnaast wordt vermeld dat de agentschappen nog steeds actie kunnen ondernemen bij overtredingen van wetten of regelgeving, onveilige of onstabiele praktijken, of andere materiële risico’s die voortvloeien uit onvoldoende beheer van derde‑partij risico’s. De tekst vermeldt tevens dat de agentschappen redelijke beslissingen van een bankorganisatie op het gebied van toezicht op derde‑partij risicobeheer in overweging zullen nemen.

De agentschappen stellen dat het voorstel verantwoordelijke innovatie zou stimuleren in overeenstemming met Executive Order 14405 over de integratie van fintech‑innovatie in regelgevende kaders. Het Office of Information and Regulatory Affairs heeft vastgesteld dat het voorstel geen significante regelgevende handeling is onder Executive Order 12866, en de kennisgeving vermeldt dat, indien het zoals voorgesteld wordt vastgesteld, men verwacht dat het een deregulatoire handeling zal zijn onder Executive Order 14192 omdat het toezichthoudende duidelijkheid biedt die kan leiden tot grotere efficiëntie en stroomlijning van functies voor derde‑partij risicobeheer.

Onder de specifieke vragen vraagt de kennisgeving of de richtlijn alleen van toepassing moet zijn op derde partijen die onderworpen zijn aan een schriftelijke overeenkomst met de bankorganisatie, en of het nuttig zou zijn om een lijst op te nemen van kenmerken die over het algemeen aangeven dat een derde‑partijrelatie een hoog risico vormt.

Kernproviders, gemeenschapsbanken en de stemming van de Board

De gezamenlijke verklaring over de betrokkenheid van gemeenschapsbanken bij kernserviceproviders behandelt de relaties van gemeenschapsbankorganisaties met derde partijen die de kritieke systeemapplicaties en infrastructuur leveren die hun essentiële functies ondersteunen, waaronder transactieverwerking, accountbeheer, betalingsverwerking, klantrelatiebeheer, compliance en rapportage, en online bankieren. De agentschappen stellen dat een aanzienlijk percentage van de markt voor kernproviders wordt gedomineerd door slechts enkele grote providers, waardoor de onderhandelingspositie van gemeenschapsbanken wordt beperkt, en dat gemeenschapsbanken uitdagingen melden bij het verkrijgen van redelijke due‑diligence‑informatie, het onderhandelen over contractvoorwaarden en het uitvoeren van effectieve voortdurende monitoring.

De verklaring identificeert drie groepen factoren die de agentschappen in overweging zullen nemen bij het nemen van toezichthoewijzingsbeslissingen voor kernproviders, zoals de aard, omvang en frequentie van onderzoeken. Transparantiefactoren omvatten de bereidheid van een provider om redelijk relevante en tijdige due‑diligence‑informatie te verstrekken, het gebruik van en de naleving van service level agreements met meetbare prestatiestandaarden, tijdige openbaarmaking van operationele problemen en beveiligingsincidenten, en complexe factureringspraktijken die moeilijk te verzoenen zijn met geleverde diensten. Contract‑kenmerkfactoren omvatten ondoorzichtige prijsstructuren, uitgebreide terugwerkende factureringsperioden waarin een provider retroactieve kosten kan in rekening brengen, niet‑ondersteunde of contractueel niet‑gedefinieerde deconversiekosten, en buitensporige beperkingen voor niet‑gelieerde serviceproviders die integreren met het kernplatform. Technologiefactoren omvatten het aantal en de ernst van computerbeveiligingsincidenten, het beheer van eind‑van‑ondersteuning‑ en eind‑van‑levensduur‑activa, en aangetoonde operationele veerkrachtcapaciteiten.

Met betrekking tot handhaving stellen de agentschappen dat zij een redelijke basis kunnen hebben om te bepalen dat bepaalde kernproviders kwalificeren als instelling‑gelieerde partijen onder 12 U.S.C. 1813(u)(3), als personen die deelnemen aan de gang van zaken van een verzekerde depositobank, en dat zij acties tegen kernproviders kunnen ondernemen op grond van wettelijke bevoegdheden, waaronder 12 U.S.C. 1818 en 1867. De verklaring stelt dat dit de eigen verantwoordelijkheid van een gemeenschapsbank voor veilige en solide praktijken en naleving van toepasselijke wetten en regelgeving niet wegneemt of vermindert. De verklaring volgt op een outreach‑actie van de agentschappen die een OCC‑verzoek om informatie over de betrokkenheid van gemeenschapsbanken bij kernserviceproviders omvatte, gepubliceerd op 28 november 2025 (90 FR 54882).

De door de Board voorgestelde gids voor traditionele community‑bankorganisaties, ingediend als Docket OP-1880, definieert die groep als bankorganisaties met minder dan $30 miljard aan activa die zich richten op het bedienen van hun lokale gemeenschappen. De gids is niet bedoeld voor organisaties met complexere bedrijfsmodellen of derde‑partijrelatieprofielen, zoals complexe bank‑fintech‑partnerschappen. Het eerste hoofdstuk van de gids bespreekt vier overkoepelende onderwerpen: operationele veerkracht, systeem‑ en informatiebeveiliging, naleving van regels en voorschriften, en financiële veerkracht. Het tweede hoofdstuk behandelt acht leverancierscategorieën: kernserviceproviders, leveranciers van IT‑infrastructuur, cybersecurity‑providers, betalingsverwerkers en digitale bankproviders, aanbieders van leningsbeheersystemen, kaartuitgifte‑ en verwerkingsproviders, aanbieders van Bank Secrecy Act/anti‑witwas‑ en financiële‑criminaliteitplatformen, en aanbieders van fraudepreventie‑ en detectie‑diensten. De Board stelt dat de gids geen regel zal zijn en dat bankorganisaties niet verplicht zijn de beschreven acties uit te voeren, en vraagt commentatoren of het detailniveau van de gids voldoende is afgestemd om nuttig te blijven zonder feitelijke toezichthoudende normen vast te stellen.

Een memo van Board‑personeel gedateerd 28 augustus 2026 beveelt aan beide voorstellen uit te vaardigen en somt de Board‑documenten op die de agentschappen naast de definitieve richtlijn zouden intrekken: de Guidance 2023, uitgegeven via SR 23‑4; de community‑bankgids 2024, uitgegeven via SR 24‑2/CA 24‑1; en de gezamenlijke verklaring over de regelingen van banken met derde partijen voor het leveren van bankdepositoproducten en -diensten, uitgegeven via SR 24‑5. De handtekeningenblokken van de FDIC en NCUA op de gezamenlijke Federal Register‑mededeling zijn gedateerd 10 september 2026.

De Board keurde het pakket op 9 september 2026 goed, volgens het stemrecord van de Board, dat de actie classificeert als voorgestelde richtlijn. Voorzitter Warsh, vice‑voorzitter Jefferson, vice‑voorzitter voor Toezicht Bowman, gouverneur Cook, gouverneur Powell en gouverneur Waller stemden voor. Gouverneur Barr stemde tegen; er waren geen onthoudingen.

In een afwijkende verklaring zei Barr dat de interagency‑richtlijn een nieuwe materiële financiële‑risicostandaard voor toezichthouders bevat, die volgens hem de kans verkleint dat banken problemen corrigeren voordat ze materiële risico’s voor de instelling worden. Hij schreef dat de bewoording over zorgvuldige overweging in het voorstel “verkeerd geïnterpreteerd kan worden als dat de agentschappen de standpunten van de bank over derde‑partijrisicobeheer defereren, in plaats van een onafhankelijk oordeel te vormen.” Hij maakte ook bezwaar tegen het feit dat de voorstellen consumentennaleving uitsluiten, wat volgens hem een leemte in de risicodekking kan veroorzaken of banken kan dwingen twee sets richtlijnen te volgen, en dat de community‑bankgids geen aandacht besteedt aan complexe bank‑fintech‑partnerschappen.

Gouverneur Cook zei in een afzonderlijke verklaring dat ze het steunde om de richtlijn opnieuw te bekijken nu banken grotere, complexere leveranciersrelaties beheren. Ze verwelkomde opmerkingen over de vraag of de agentschappen meer specificiteit moeten bieden over effectieve risicobeheerpraktijken met betrekking tot cybersecurity en over de verdeling van verantwoordelijkheden voor consumentenbescherming, recordbeheer en anti‑witwas in bank‑fintech‑partnerschappen, en ze gaf aan de voorgestelde gids voor traditionele community‑bankorganisaties sterk te ondersteunen.