Quatre régulateurs financiers américains ont proposé de nouvelles lignes directrices sur les risques liés aux tiers, qui permettraient aux banques et aux coopératives de crédit d'adapter la surveillance à chaque relation externe tout en remplaçant les orientations existantes.
Résumé
- Quatre régulateurs fédéraux ont ouvert les lignes directrices proposées à la consultation publique.
- Le cadre non contraignant remplacerait les orientations sur les risques liés aux tiers publiées en 2023 et 2024.
- Les banques communautaires dont les actifs sont inférieurs à 30 milliards de dollars recevraient un guide pratique distinct.
- Le gouverneur de la Réserve fédérale, Michael Barr, a exprimé son désaccord, avertissant de lacunes en matière de surveillance et d'un risque financier accru.
Les lignes directrices bancaires proposées privilégient une surveillance fondée sur les risques
La Réserve fédérale, la Federal Deposit Insurance Corporation, la National Credit Union Administration et l'Office of the Comptroller of the Currency ont annoncé la proposition le 11 septembre, déclarant que les institutions financières devraient adapter leurs contrôles aux risques posés par chaque relation avec un tiers.
Selon la proposition, les banques et les coopératives de crédit prendraient en compte à la fois le préjudice potentiel découlant d'un fournisseur externe et la probabilité que ce préjudice se produise. Les institutions pourraient recourir à des vérifications moins détaillées, à des contrats standard ou à une surveillance moins fréquente lorsqu'une relation présente un risque limité.
Le cadre permettrait également à une institution financière d'accepter un certain risque résiduel après avoir examiné son appétit pour le risque, sa tolérance et sa capacité à opérer en toute sécurité. Selon les agences, les principes n'imposeraient pas d'exigences exécutoires, et une banque ne ferait pas l'objet d'une action de surveillance uniquement pour ne pas avoir suivi les orientations.
Les commentaires resteront ouverts pendant 60 jours après la publication de la proposition au Federal Register. Une fois finalisées, les agences prévoient de retirer le cadre actuel sur les risques liés aux tiers et de le remplacer par la version révisée.
Le personnel de la Réserve fédérale a déclaré que les orientations existantes ont parfois été appliquées de manière trop large, ont encouragé des examens lourds en processus et n'ont pas accordé suffisamment de poids aux différences entre les fournisseurs. Le personnel a également indiqué que les banques ont interprété le cadre actuel comme décourageant le travail avec des fournisseurs de services plus récents.
À mesure que la technologie est devenue plus centrale dans le secteur bancaire, les institutions ont externalisé davantage de fonctions à des fournisseurs susceptibles de réduire les coûts ou d'améliorer l'efficacité. Les fournisseurs externes peuvent gérer le traitement des paiements, la cybersécurité, les services bancaires en ligne, la détection des fraudes, les programmes de cartes et les systèmes de lutte contre le blanchiment d'argent, laissant aux banques la responsabilité des risques liés à des services qu'elles n'exploitent pas elles-mêmes.
Les banques communautaires recevraient un guide distinct
En parallèle de la proposition principale, la Réserve fédérale a demandé des commentaires sur un guide d'accompagnement destiné aux organisations bancaires communautaires traditionnelles sous sa supervision. La banque centrale définit les institutions éligibles comme des banques à vocation locale dont les actifs sont inférieurs à 30 milliards de dollars.
Le guide proposé couvre quatre domaines principaux : la résilience opérationnelle, la sécurité de l'information, la conformité juridique et la résilience financière. Il explique également comment les banques pourraient évaluer huit groupes de fournisseurs courants, notamment les fournisseurs de services essentiels, les processeurs de paiement, les entreprises de banque numérique, les sociétés de cybersécurité et les plateformes de criminalité financière.
Pour chaque catégorie, le document expose les questions que les petites banques peuvent examiner lors de la diligence raisonnable, des négociations contractuelles, de la surveillance et d'un éventuel passage à un autre fournisseur. Le personnel de la Réserve fédérale a déclaré que les petites institutions avaient demandé des informations plus pratiques que les principes de haut niveau fournis par le cadre existant.
Les arrangements complexes entre banques et fintechs ne relèveraient pas du guide destiné aux banques communautaires. La note de la Réserve fédérale identifie ces arrangements comme des cas dans lesquels une ou plusieurs entreprises fintech commercialisent, distribuent ou donnent accès aux produits d'une banque.
Une déclaration distincte sur les fournisseurs essentiels traite des fournisseurs qui approvisionnent les systèmes nécessaires au traitement des transactions, à la gestion des comptes, aux paiements, à la conformité, aux relations clients et aux services bancaires en ligne. La Fed, la FDIC et l'OCC ont déclaré qu'un petit nombre de grandes entreprises contrôlent une grande partie de ce marché, limitant le pouvoir de négociation des banques communautaires.
Selon la déclaration, les banques ont signalé des difficultés à obtenir des dossiers de diligence raisonnable, à négocier des conditions contractuelles appropriées et à surveiller les fournisseurs. Les régulateurs ont indiqué qu'ils pourraient prendre en compte la transparence d'un fournisseur, ses pratiques contractuelles et ses investissements technologiques pour décider de l'étendue et de la fréquence des examens.
Les agences peuvent également examiner si les fournisseurs divulguent les incidents de sécurité en temps voulu, fournissent des dossiers d'audit et de sécurité, maintiennent des technologies vieillissantes et permettent aux clients de connecter des services d'autres entreprises. Une tarification opaque, une facturation rétroactive et des frais indéfinis pour quitter une plateforme peuvent également influencer les décisions de surveillance.
Barr avertit que la proposition pourrait laisser des lacunes en matière de surveillance
Le gouverneur de la Réserve fédérale, Michael Barr, s'est opposé aux deux propositions, arguant que leur libellé pourrait affaiblir la surveillance plutôt que d'aider les institutions à gérer les risques liés aux fournisseurs.
Barr s'est opposé à une norme proposée de « risque financier important » pour l'action de surveillance. Selon sa déclaration de dissidence, ce seuil pourrait rendre les banques moins susceptibles de corriger les problèmes avant qu'ils ne deviennent importants pour l'institution.
Le gouverneur a également remis en question le libellé indiquant que les régulateurs accorderaient une considération appropriée aux décisions raisonnables d'une banque. Barr a déclaré que les institutions pourraient interpréter ce passage comme exigeant que les superviseurs s'en remettent au jugement d'une banque au lieu de procéder à une évaluation indépendante.
La conformité des consommateurs présente une autre préoccupation, selon Barr. Il a déclaré que les propositions pourraient entraîner la suppression des orientations existantes sans remplacement clair pour les questions de protection des consommateurs, ou forcer les banques à suivre deux ensembles de normes.
Barr a également noté que le guide des banques communautaires exclut les institutions ayant des modèles d'affaires et des relations avec les fournisseurs complexes, y compris certains partenariats entre banques et fintechs. Selon lui, les banques utilisant de telles structures pourraient avoir un besoin particulièrement fort d'instructions détaillées sur les risques liés aux tiers.
« Je suis en dissidence », a déclaré Barr.
La gouverneure de la Réserve fédérale, Lisa Cook, a soutenu la révision du cadre actuel mais a demandé des commentaires sur la question de savoir si la version finale devrait en dire davantage sur la cybersécurité, la gestion des dossiers, la protection des consommateurs et la répartition des responsabilités en matière de lutte contre le blanchiment d'argent dans les partenariats entre banques et fintechs.
Cook a également soutenu le guide distinct pour les banques communautaires traditionnelles, le décrivant comme une ressource pour les institutions confrontées à des relations complexes et critiques avec les fournisseurs. Elle a demandé aux banques communautaires de commenter toutes les ressources supplémentaires dont elles pourraient avoir besoin lors de l'évaluation des entreprises technologiques et des fournisseurs de services essentiels.
Les fournisseurs de services cryptographiques pourraient faire l'objet d'examens bancaires
Bien que la proposition ne crée pas de règles écrites uniquement pour les actifs numériques, sa portée peut couvrir les entreprises technologiques qui fournissent des services de garde de cryptomonnaies, de stablecoins, de paiement ou de blockchain aux banques réglementées. Le cadre des agences exige que les institutions évaluent les tiers en fonction du service et du risque impliqués, quelle que soit la technologie utilisée.
La proposition fait suite à une action réglementaire antérieure des États-Unis qui a donné aux banques plus de marge de manœuvre pour mener des activités autorisées sur les actifs numériques. En avril 2025, crypto.news a rapporté que la Réserve fédérale avait supprimé les attentes de notification préalable pour certaines activités liées aux cryptomonnaies et aux jetons en dollars.
Les régulateurs fédéraux ont ensuite publié une déclaration en juillet 2025 expliquant comment les principes existants de gestion des risques s'appliquent lorsque les banques protègent des actifs cryptographiques. Le bulletin connexe de l'OCC a déclaré que les banques devraient évaluer les fournisseurs de services externes avant d'offrir des services de garde, tout en notant que la déclaration ne créait aucune nouvelle attente de surveillance.
La nouvelle proposition pour toutes les banques permet aux institutions d'utiliser la diligence raisonnable partagée par le biais de consortiums, de contrats standard, d'organismes de certification et de consultants externes. Le personnel de la Réserve fédérale a présenté ces méthodes comme des moyens possibles pour les banques d'acquérir une expertise ou de réduire le travail répétitif lors de l'évaluation des fournisseurs de services.
Les questions de conformité des consommateurs ne sont pas directement couvertes par le cadre proposé, selon la note de la Fed, bien que les relations avec des tiers puissent encore créer des obligations en vertu des lois existantes sur les consommateurs. Le guide traditionnel des banques communautaires indique également que la conformité des consommateurs ne relève pas de son champ d'application.
