Cuatro reguladores financieros de EE. UU. han propuesto nuevas directrices sobre el riesgo de terceros que permitirían a los bancos y cooperativas de crédito adaptar la supervisión a cada relación externa, al mismo tiempo que reemplazarían la orientación existente.
La Reserva Federal, la Corporación Federal de Seguros de Depósitos, la Administración Nacional de Cooperativas de Crédito y la Oficina del Contralor de la Moneda anunciaron la propuesta el 11 de septiembre, afirmando que las instituciones financieras deberían adaptar sus controles a los riesgos planteados por cada relación con terceros.
Según la propuesta, los bancos y las cooperativas de crédito considerarían tanto el posible daño de un proveedor externo como la probabilidad de que ocurra dicho daño. Las instituciones podrían utilizar verificaciones menos detalladas, contratos estándar o un monitoreo menos frecuente cuando una relación conlleva un riesgo limitado.
El marco también permitiría a una institución financiera aceptar cierto riesgo residual después de considerar su apetito de riesgo, tolerancia y capacidad para operar de forma segura. Según las agencias, los principios no impondrían requisitos exigibles, y un banco no enfrentaría una acción de supervisión únicamente por no seguir la orientación.
Los comentarios permanecerán abiertos durante 60 días después de que la propuesta aparezca en el Registro Federal. Una vez finalizado, las agencias planean retirar el marco actual de riesgo de terceros y reemplazarlo con la versión revisada.
El personal de la Reserva Federal dijo que la orientación existente a veces se ha aplicado de manera demasiado amplia, ha fomentado revisiones pesadas en procesos y no ha dado suficiente peso a las diferencias entre los proveedores. El personal también dijo que los bancos han interpretado el marco actual como un desaliento al trabajo con nuevos proveedores de servicios.
A medida que la tecnología se ha vuelto más central para la banca, las instituciones han externalizado más funciones a proveedores que pueden reducir costos o mejorar la eficiencia. Los proveedores externos pueden encargarse del procesamiento de pagos, la ciberseguridad, la banca en línea, la detección de fraudes, los programas de tarjetas y los sistemas antilavado de dinero, dejando a los bancos responsables de los riesgos vinculados a servicios que no operan ellos mismos.
Junto con la propuesta principal, la Reserva Federal ha solicitado comentarios sobre una guía complementaria para organizaciones bancarias comunitarias tradicionales bajo su supervisión. El banco central define las instituciones elegibles como bancos enfocados localmente con menos de $30 mil millones en activos.
La guía propuesta cubre cuatro áreas principales: resiliencia operativa, seguridad de la información, cumplimiento legal y resiliencia financiera. También explica cómo los bancos podrían evaluar ocho grupos comunes de proveedores, incluidos proveedores de servicios centrales, procesadores de pagos, empresas de banca digital, empresas de ciberseguridad y plataformas de delitos financieros.
Para cada categoría, el documento establece cuestiones que los bancos más pequeños pueden considerar durante la debida diligencia, las negociaciones contractuales, el monitoreo y un posible cambio a otro proveedor. El personal de la Reserva Federal dijo que las instituciones más pequeñas habían solicitado información más práctica que los principios de alto nivel proporcionados en el marco existente.
Los acuerdos complejos entre bancos y fintech no se incluirían en la guía para bancos comunitarios. El memorando de la Reserva Federal identifica tales acuerdos como casos en los que una o más empresas fintech comercializan, distribuyen o brindan acceso a los productos de un banco.
Una declaración separada sobre los proveedores centrales aborda a los proveedores que suministran sistemas necesarios para el procesamiento de transacciones, la gestión de cuentas, los pagos, el cumplimiento, las relaciones con los clientes y la banca en línea. La Fed, la FDIC y la OCC dijeron que un pequeño número de grandes empresas controlan gran parte de este mercado, lo que limita el poder de negociación de los bancos comunitarios.
Según la declaración, los bancos han informado dificultades para obtener registros de debida diligencia, negociar términos contractuales adecuados y monitorear a los proveedores. Los reguladores dijeron que podrían considerar la transparencia de un proveedor, las prácticas contractuales y la inversión en tecnología al decidir el alcance y la frecuencia de los exámenes.
Las agencias también pueden examinar si los proveedores revelan incidentes de seguridad a tiempo, proporcionan registros de auditoría y seguridad, mantienen tecnología obsoleta y permiten a los clientes conectar servicios de otras compañías. Los precios opacos, la facturación retroactiva y las tarifas indefinidas por abandonar una plataforma también pueden influir en las decisiones de supervisión.
El gobernador de la Reserva Federal, Michael Barr, se opuso a las dos propuestas, argumentando que su redacción podría debilitar la supervisión en lugar de ayudar a las instituciones a gestionar los riesgos de los proveedores.
Barr objetó un estándar propuesto de "riesgo financiero material" para la acción de supervisión. Según su declaración disidente, el umbral podría hacer que los bancos sean menos propensos a corregir problemas antes de que se vuelvan materiales para la institución.
El gobernador también cuestionó el lenguaje que decía que los reguladores darían la debida consideración a las decisiones razonables de un banco. Barr dijo que las instituciones podrían interpretar el pasaje como una exigencia de que los supervisores se remitan al juicio de un banco en lugar de realizar una evaluación independiente.
El cumplimiento del consumidor presenta otra preocupación, según Barr. Dijo que las propuestas podrían resultar en la eliminación de la orientación existente sin un reemplazo claro para los problemas de protección al consumidor, o forzar a los bancos a seguir dos conjuntos de estándares.
Barr también señaló que la guía para bancos comunitarios excluye a las instituciones con modelos de negocio complejos y relaciones con proveedores, incluidas algunas asociaciones entre bancos y fintech. En su opinión, los bancos que utilizan tales estructuras pueden tener una necesidad especialmente fuerte de instrucciones detalladas sobre el riesgo de terceros.
"Disiento", dijo Barr.
La gobernadora de la Reserva Federal, Lisa Cook, apoyó la revisión del marco actual, pero solicitó comentarios sobre si la versión final debería decir más sobre ciberseguridad, gestión de registros, protección al consumidor y la división de las responsabilidades antilavado de dinero en las asociaciones entre bancos y fintech.
Cook también respaldó la guía separada para bancos comunitarios tradicionales, describiéndola como un recurso para las instituciones que enfrentan relaciones complejas y críticas con proveedores. Pidió a los bancos comunitarios que comentaran sobre cualquier recurso adicional que puedan necesitar al evaluar empresas de tecnología y proveedores centrales.
Aunque la propuesta no crea reglas escritas solo para activos digitales, su alcance puede cubrir a las empresas de tecnología que brindan servicios de custodia de criptomonedas, stablecoins, pagos o blockchain a bancos regulados. El marco de las agencias exige que las instituciones evalúen a terceros de acuerdo con el servicio y el riesgo involucrado, independientemente de la tecnología utilizada.
La propuesta sigue a una acción regulatoria anterior de EE. UU. que dio a los bancos más margen para llevar a cabo negocios de activos digitales permitidos. En abril de 2025, crypto.news informó que la Reserva Federal había eliminado las expectativas de notificación previa para ciertas actividades de criptomonedas y tokens de dólar.
Los reguladores federales emitieron posteriormente una declaración en julio de 2025 explicando cómo se aplican los principios de gestión de riesgos existentes cuando los bancos salvaguardan criptoactivos. El boletín relacionado de la OCC dijo que los bancos deben evaluar a los proveedores de servicios externos antes de ofrecer custodia, señalando que la declaración no creaba nuevas expectativas de supervisión.
La nueva propuesta para todos los bancos permite a las instituciones utilizar la debida diligencia compartida a través de consorcios, contratos estándar, organismos de certificación y consultores externos. El personal de la Reserva Federal presentó dichos métodos como posibles formas para que los bancos adquieran experiencia o reduzcan el trabajo repetido al evaluar a los proveedores de servicios.
Los problemas de cumplimiento del consumidor no están cubiertos directamente por el marco propuesto, según el memorando de la Fed, aunque las relaciones con terceros aún pueden crear deberes bajo las leyes de consumo existentes. De manera similar, la guía para bancos comunitarios tradicionales establece que el cumplimiento del consumidor queda fuera de su alcance.
USDT