Quatre régulateurs financiers américains ont proposé de nouvelles lignes directrices sur les risques liés aux tiers qui permettraient aux banques et aux caisses de crédit d'adapter leur surveillance à chaque relation externe tout en remplaçant les directives existantes.
La Réserve fédérale, la Federal Deposit Insurance Corporation, la National Credit Union Administration et l'Office of the Comptroller of the Currency ont annoncé la proposition le 11 septembre, déclarant que les institutions financières devraient adapter leurs contrôles aux risques posés par chaque relation avec un tiers.
Selon la proposition, les banques et les caisses de crédit prendraient en compte à la fois le préjudice possible d'un fournisseur externe et la probabilité que ce préjudice se produise. Les institutions pourraient utiliser des vérifications moins détaillées, des contrats standard ou une surveillance moins fréquente lorsqu'une relation présente un risque limité.
Le cadre permettrait également à une institution financière d'accepter un certain risque résiduel après avoir examiné son appétit pour le risque, sa tolérance et sa capacité à fonctionner en toute sécurité. Selon les agences, les principes n'imposeraient pas d'exigences exécutoires, et une banque ne ferait pas l'objet de mesures de surveillance uniquement pour ne pas avoir suivi les directives.
Les commentaires resteront ouverts pendant 60 jours après la publication de la proposition dans le Federal Register. Une fois finalisé, les agences prévoient de retirer le cadre actuel de gestion des risques liés aux tiers et de le remplacer par la version révisée.
Le personnel de la Réserve fédérale a déclaré que les directives existantes ont parfois été appliquées trop largement, ont encouragé des examens trop axés sur les processus et n'ont pas accordé suffisamment d'importance aux différences entre les fournisseurs. Le personnel a également indiqué que les banques ont interprété le cadre actuel comme décourageant le travail avec de nouveaux prestataires de services.
Alors que la technologie est devenue plus centrale dans le secteur bancaire, les institutions ont externalisé davantage de fonctions à des fournisseurs qui peuvent réduire les coûts ou améliorer l'efficacité. Les prestataires externes peuvent gérer le traitement des paiements, la cybersécurité, les services bancaires en ligne, la détection des fraudes, les programmes de cartes et les systèmes de lutte contre le blanchiment d'argent, laissant les banques responsables des risques liés aux services qu'elles n'exploitent pas elles-mêmes.
Parallèlement à la proposition principale, la Réserve fédérale a sollicité des commentaires sur un guide complémentaire destiné aux organisations bancaires communautaires traditionnelles sous sa supervision. La banque centrale définit les institutions éligibles comme des banques axées sur le niveau local avec moins de 30 milliards de dollars d'actifs.
Le guide proposé couvre quatre domaines principaux : la résilience opérationnelle, la sécurité de l'information, la conformité légale et la résilience financière. Il explique également comment les banques pourraient évaluer huit groupes de fournisseurs courants, y compris les fournisseurs de services essentiels, les processeurs de paiement, les entreprises de services bancaires numériques, les sociétés de cybersécurité et les plateformes de lutte contre la criminalité financière.
Pour chaque catégorie, le document expose les questions que les petites banques peuvent prendre en compte lors de la diligence raisonnable, des négociations contractuelles, de la surveillance et d'un éventuel passage à un autre fournisseur. Le personnel de la Réserve fédérale a déclaré que les petites institutions avaient demandé des informations plus pratiques que les principes de haut niveau fournis par le cadre existant.
Les arrangements complexes entre banques et fintechs ne relèveraient pas du guide des banques communautaires. Le mémo de la Réserve fédérale identifie ces arrangements comme des cas où une ou plusieurs entreprises fintech commercialisent, distribuent ou fournissent un accès aux produits d'une banque.
Une déclaration distincte sur les fournisseurs de services essentiels aborde les vendeurs qui fournissent les systèmes nécessaires au traitement des transactions, à la gestion des comptes, aux paiements, à la conformité, aux relations client et aux services bancaires en ligne. La Fed, la FDIC et l'OCC ont déclaré qu'un petit nombre de grandes entreprises contrôlent une grande partie de ce marché, limitant le pouvoir de négociation des banques communautaires.
Selon la déclaration, les banques ont signalé des difficultés à obtenir les dossiers de diligence raisonnable, à négocier des conditions contractuelles appropriées et à surveiller les fournisseurs. Les régulateurs ont déclaré qu'ils pourraient prendre en compte la transparence d'un fournisseur, ses pratiques contractuelles et ses investissements technologiques lorsqu'ils décideront de la portée et de la fréquence des examens.
Les agences peuvent également examiner si les fournisseurs divulguent les incidents de sécurité en temps voulu, fournissent des rapports d'audit et de sécurité, maintiennent des technologies vieillissantes et permettent aux clients de connecter des services d'autres entreprises. Des prix opaques, une facturation rétroactive et des frais non définis pour quitter une plateforme peuvent également influencer les décisions de surveillance.
Le gouverneur de la Réserve fédérale, Michael Barr, s'est opposé aux deux propositions, arguant que leur formulation pourrait affaiblir la surveillance plutôt que d'aider les institutions à gérer les risques liés aux fournisseurs.
Barr s'est opposé à une norme proposée de "risque financier significatif" pour les mesures de surveillance. Selon sa déclaration de dissidence, ce seuil pourrait rendre les banques moins susceptibles de corriger les problèmes avant qu'ils ne deviennent significatifs pour l'institution.
Le gouverneur a également remis en question la formulation selon laquelle les régulateurs accorderaient une considération appropriée aux décisions raisonnables d'une banque. Barr a déclaré que les institutions pourraient interpréter ce passage comme exigeant des superviseurs qu'ils s'en remettent au jugement d'une banque au lieu de procéder à une évaluation indépendante.
La conformité en matière de protection des consommateurs constitue une autre préoccupation, selon Barr. Il a déclaré que les propositions pourraient entraîner la suppression des directives existantes sans remplacement clair pour les questions de protection des consommateurs, ou forcer les banques à suivre deux ensembles de normes.
Barr a également noté que le guide des banques communautaires exclut les institutions ayant des modèles commerciaux et des relations avec les fournisseurs complexes, y compris certains partenariats banque-fintech. Selon lui, les banques utilisant de telles structures pourraient avoir un besoin particulièrement fort d'instructions détaillées sur les risques liés aux tiers.
« Je suis en désaccord », a déclaré Barr.
La gouverneure de la Réserve fédérale, Lisa Cook, a soutenu l'examen du cadre actuel, mais a demandé des commentaires sur la question de savoir si la version finale devrait en dire plus sur la cybersécurité, la gestion des dossiers, la protection des consommateurs et la répartition des tâches de lutte contre le blanchiment d'argent dans les partenariats banque-fintech.
Cook a également soutenu le guide distinct pour les banques communautaires traditionnelles, le décrivant comme une ressource pour les institutions traitant des relations complexes et critiques avec les fournisseurs. Elle a demandé aux banques communautaires de commenter toute ressource supplémentaire dont elles pourraient avoir besoin lors de l'évaluation des entreprises technologiques et des fournisseurs de services essentiels.
Bien que la proposition ne crée pas de règles écrites uniquement pour les actifs numériques, sa portée peut couvrir les entreprises technologiques qui fournissent des services de garde de cryptomonnaies, de stablecoins, de paiement ou de blockchain aux banques réglementées. Le cadre des agences exige que les institutions évaluent les tiers en fonction du service et du risque impliqués, quelle que soit la technologie utilisée.
La proposition fait suite à des actions réglementaires américaines antérieures qui ont donné aux banques plus de latitude pour mener des activités autorisées liées aux actifs numériques. En avril 2025, crypto.news a rapporté que la Réserve fédérale avait supprimé les exigences de notification préalable pour certaines activités liées aux cryptomonnaies et aux jetons-dollars.
Les régulateurs fédéraux ont ensuite publié une déclaration en juillet 2025 expliquant comment les principes de gestion des risques existants s'appliquent lorsque les banques protègent des actifs cryptographiques. Le bulletin connexe de l'OCC a indiqué que les banques devraient évaluer les fournisseurs de services externes avant de proposer la garde, tout en notant que la déclaration ne créait aucune nouvelle attente en matière de surveillance.
La nouvelle proposition s'adressant à toutes les banques permet aux institutions d'utiliser une diligence raisonnable partagée par le biais de consortiums, de contrats standard, d'organismes de certification et de consultants externes. Le personnel de la Réserve fédérale a présenté ces méthodes comme des moyens possibles pour les banques d'acquérir de l'expertise ou de réduire le travail répétitif lors de l'évaluation des fournisseurs de services.
Les questions de conformité en matière de protection des consommateurs ne sont pas directement couvertes par le cadre proposé, selon le mémo de la Fed, bien que les relations avec des tiers puissent toujours créer des obligations en vertu des lois existantes sur la consommation. Le guide des banques communautaires traditionnelles indique de même que la conformité en matière de protection des consommateurs ne relève pas de son champ d'application.
USDT