Vier US-Finanzaufsichtsbehörden haben neue Leitlinien für Risiken durch Drittanbieter vorgeschlagen, die es Banken und Kreditgenossenschaften ermöglichen würden, die Aufsicht auf jede externe Beziehung zuzuschneiden, während bestehende Leitlinien ersetzt werden.
Zusammenfassung
- Vier Bundesaufsichtsbehörden haben den vorgeschlagenen Leitlinien zur öffentlichen Kommentierung freigegeben.
- Der unverbindliche Rahmen würde die 2023 und 2024 erlassenen Leitlinien für Drittanbieterrisiken ersetzen.
- Community-Banken mit weniger als 30 Milliarden US-Dollar an Vermögenswerten würden einen separaten praktischen Leitfaden erhalten.
- Federal-Reserve-Gouverneur Michael Barr widersprach und warnte vor Aufsichtslücken und zusätzlichem finanziellem Risiko.
Vorgeschlagene Bankleitlinien bevorzugen risikobasierte Aufsicht
Die Federal Reserve, die Federal Deposit Insurance Corporation, die National Credit Union Administration und das Office of the Comptroller of the Currency kündigten den Vorschlag am 11. September an und erklärten, Finanzinstitute sollten ihre Kontrollen an den Risiken ausrichten, die jede Drittanbieterbeziehung mit sich bringt.
Nach dem Vorschlag würden Banken und Kreditgenossenschaften sowohl den möglichen Schaden durch einen externen Anbieter als auch die Wahrscheinlichkeit des Eintretens dieses Schadens berücksichtigen. Institute könnten weniger detaillierte Prüfungen, Standardverträge oder eine weniger häufige Überwachung nutzen, wenn eine Beziehung nur begrenzte Risiken birgt.
Der Rahmen würde es einem Finanzinstitut außerdem ermöglichen, nach Berücksichtigung seiner Risikobereitschaft, Risikotoleranz und Fähigkeit zum sicheren Betrieb ein gewisses Restrisiko zu akzeptieren. Nach Angaben der Behörden würden die Grundsätze keine durchsetzbaren Anforderungen auferlegen, und eine Bank würde nicht allein deshalb aufsichtsrechtliche Maßnahmen befürchten müssen, weil sie die Leitlinien nicht befolgt.
Kommentare können 60 Tage lang nach Veröffentlichung des Vorschlags im Federal Register abgegeben werden. Nach der Finalisierung planen die Behörden, den aktuellen Rahmen für Drittanbieterrisiken zurückzuziehen und durch die überarbeitete Version zu ersetzen.
Mitarbeiter der Federal Reserve sagten, die bestehenden Leitlinien seien manchmal zu breit angewendet worden, hätten prozesslastige Prüfungen gefördert und den Unterschieden zwischen Anbietern nicht genügend Gewicht beigemessen. Die Mitarbeiter sagten außerdem, Banken hätten den aktuellen Rahmen so verstanden, dass er von der Zusammenarbeit mit neueren Dienstleistern abhalte.
Da Technologie für das Bankwesen immer zentraler geworden ist, haben Institute mehr Funktionen an Anbieter ausgelagert, die Kosten senken oder die Effizienz steigern können. Externe Anbieter können Zahlungsabwicklung, Cybersicherheit, Online-Banking, Betrugserkennung, Kartenprogramme und Systeme zur Bekämpfung von Geldwäsche übernehmen, wodurch Banken für Risiken verantwortlich bleiben, die mit Dienstleistungen verbunden sind, die sie nicht selbst betreiben.
Community-Banken würden einen separaten Leitfaden erhalten
Neben dem Hauptvorschlag hat die Federal Reserve um Kommentare zu einem begleitenden Leitfaden für traditionelle Community-Banking-Organisationen unter ihrer Aufsicht gebeten. Die Zentralbank definiert förderfähige Institute als lokal ausgerichtete Banken mit weniger als 30 Milliarden US-Dollar an Vermögenswerten.
Der vorgeschlagene Leitfaden behandelt vier Hauptbereiche: operative Resilienz, Informationssicherheit, rechtliche Compliance und finanzielle Resilienz. Er erklärt außerdem, wie Banken acht häufige Anbietergruppen bewerten könnten, darunter Kern-Dienstleister, Zahlungsabwickler, Digital-Banking-Unternehmen, Cybersicherheitsfirmen und Plattformen zur Bekämpfung von Finanzkriminalität.
Für jede Kategorie legt das Dokument Themen dar, die kleinere Banken bei der Due Diligence, Vertragsverhandlungen, Überwachung und einem möglichen Wechsel zu einem anderen Anbieter berücksichtigen könnten. Mitarbeiter der Federal Reserve sagten, kleinere Institute hätten um praktischere Informationen gebeten, als die übergeordneten Grundsätze im bestehenden Rahmen böten.
Komplexe Bank-Fintech-Vereinbarungen würden nicht unter den Community-Bank-Leitfaden fallen. Das Memo der Federal Reserve bezeichnet solche Vereinbarungen als Fälle, in denen ein oder mehrere Fintech-Unternehmen die Produkte einer Bank vermarkten, vertreiben oder den Zugang dazu ermöglichen.
Eine separate Erklärung zu Kernanbietern befasst sich mit Anbietern, die Systeme für Transaktionsverarbeitung, Kontoverwaltung, Zahlungen, Compliance, Kundenbeziehungen und Online-Banking bereitstellen. Die Fed, die FDIC und das OCC erklärten, eine kleine Anzahl großer Unternehmen kontrolliere einen Großteil dieses Marktes, was die Verhandlungsmacht von Community-Banken einschränke.
Laut der Erklärung haben Banken berichtet, dass es schwierig sei, Due-Diligence-Unterlagen zu erhalten, geeignete Vertragsbedingungen auszuhandeln und Anbieter zu überwachen. Die Aufsichtsbehörden erklärten, sie könnten die Transparenz, Vertragspraktiken und Technologieinvestitionen eines Anbieters berücksichtigen, wenn sie den Umfang und die Häufigkeit von Prüfungen festlegen.
Die Behörden könnten auch prüfen, ob Anbieter Sicherheitsvorfälle rechtzeitig melden, Prüfungs- und Sicherheitsaufzeichnungen bereitstellen, veraltete Technologie warten und es Kunden ermöglichen, Dienste anderer Unternehmen anzubinden. Undurchsichtige Preisgestaltung, rückwirkende Abrechnung und undefinierte Gebühren für das Verlassen einer Plattform könnten ebenfalls Aufsichtsentscheidungen beeinflussen.
Barr warnt, der Vorschlag könnte Aufsichtslücken hinterlassen
Der Gouverneur der Federal Reserve, Michael Barr, lehnte die beiden Vorschläge ab und argumentierte, dass ihre Formulierung die Aufsicht eher schwächen als Institute dabei unterstützen könnte, Anbieterrisiken zu steuern.
Barr wandte sich gegen einen vorgeschlagenen Standard des „material financial risk“ für Aufsichtsmaßnahmen. Seiner abweichenden Erklärung zufolge könnte die Schwelle dazu führen, dass Banken Probleme seltener korrigieren, bevor sie für das Institut wesentlich werden.
Der Gouverneur stellte auch die Formulierung infrage, wonach die Aufsichtsbehörden den vernünftigen Entscheidungen einer Bank gebührend Rechnung tragen würden. Barr sagte, Institute könnten die Passage so auslegen, dass Aufseher sich dem Urteil einer Bank beugen müssten, anstatt eine unabhängige Bewertung vorzunehmen.
Ein weiteres Bedenken sei die Verbraucherkonformität, so Barr. Er sagte, die Vorschläge könnten dazu führen, dass bestehende Leitlinien ohne klaren Ersatz für Verbraucherschutzfragen entfernt würden oder Banken gezwungen würden, zwei Standardsets zu befolgen.
Barr wies außerdem darauf hin, dass der Leitfaden für Community Banks Institute mit komplexen Geschäftsmodellen und Anbieterbeziehungen ausschließt, darunter einige Bank-Fintech-Partnerschaften. Seiner Ansicht nach könnten Banken, die solche Strukturen nutzen, ein besonders starkes Bedürfnis nach detaillierten Anweisungen zum Risiko Dritter haben.
„Ich widerspreche“, sagte Barr.
Die Gouverneurin der Federal Reserve, Lisa Cook, unterstützte die Überprüfung des aktuellen Rahmens, bat jedoch um Rückmeldung dazu, ob die endgültige Fassung mehr zu Cybersicherheit, Aktenverwaltung, Verbraucherschutz und der Aufteilung der Aufgaben zur Bekämpfung von Geldwäsche in Bank-Fintech-Partnerschaften sagen sollte.
Cook befürwortete zudem den separaten Leitfaden für traditionelle Community Banks und beschrieb ihn als Ressource für Institute, die mit komplexen und kritischen Anbieterbeziehungen umgehen. Sie bat Community Banks um Kommentare zu etwaigen zusätzlichen Ressourcen, die sie bei der Bewertung von Technologieunternehmen und Kernanbietern benötigen könnten.
Krypto-Dienstleister könnten in Bankprüfungen fallen
Obwohl der Vorschlag keine Regeln schafft, die nur für digitale Vermögenswerte geschrieben wurden, kann sein Anwendungsbereich Technologieunternehmen abdecken, die regulierten Banken Krypto-Verwahrung, Stablecoin-, Zahlungs- oder Blockchain-Dienste anbieten. Der Rahmen der Behörden verlangt von Instituten, Dritte entsprechend der jeweiligen Dienstleistung und dem jeweiligen Risiko zu bewerten, unabhängig von der verwendeten Technologie.
Der Vorschlag folgt auf frühere US-Regulierungsmaßnahmen, die Banken mehr Spielraum für erlaubte Geschäfte mit digitalen Vermögenswerten gaben. Im April 2025 berichtete crypto.news, dass die Federal Reserve frühere Benachrichtigungserwartungen für bestimmte Krypto- und Dollar-Token-Aktivitäten gestrichen hatte.
Bundesaufsichtsbehörden gaben später im Juli 2025 eine Erklärung heraus, in der erläutert wurde, wie bestehende Risikomanagementgrundsätze gelten, wenn Banken Krypto-Vermögenswerte verwahren. Das zugehörige Bulletin der OCC erklärte, Banken sollten externe Dienstleister bewerten, bevor sie Verwahrung anbieten, wobei angemerkt wurde, dass die Erklärung keine neuen Aufsichtserwartungen schaffe.
Der neue Vorschlag für alle Banken erlaubt Instituten, gemeinsame Sorgfaltspflichten über Konsortien, Standardverträge, Zertifizierungsstellen und externe Berater zu nutzen. Mitarbeiter der Federal Reserve präsentierten solche Methoden als mögliche Wege für Banken, Fachwissen zu erlangen oder wiederholte Arbeit bei der Bewertung von Dienstleistern zu reduzieren.
Verbraucherkonformitätsfragen werden laut dem Fed-Memo vom vorgeschlagenen Rahmen nicht direkt abgedeckt, obwohl Beziehungen zu Dritten weiterhin Pflichten nach bestehenden Verbrauchergesetzen begründen können. Der Leitfaden für traditionelle Community Banks stellt ebenfalls fest, dass die Verbraucherkonformität außerhalb seines Anwendungsbereichs liegt.
