Quatro reguladores financeiros dos EUA propuseram novas diretrizes de risco de terceiros que permitiriam a bancos e cooperativas de crédito adaptar a supervisão a cada relação externa, substituindo a orientação existente.
Resumo
- Quatro reguladores federais abriram as diretrizes propostas para comentários públicos.
- O arcabouço não vinculante substituiria a orientação sobre risco de terceiros emitida em 2023 e 2024.
- Bancos comunitários com menos de US$ 30 bilhões em ativos receberiam um guia prático separado.
- O governador do Federal Reserve, Michael Barr, discordou, alertando sobre lacunas na supervisão e risco financeiro adicional.
Diretrizes bancárias propostas favorecem supervisão baseada em risco
O Federal Reserve, a Federal Deposit Insurance Corporation, a National Credit Union Administration e o Office of the Comptroller of the Currency anunciaram a proposta em 11 de setembro, dizendo que as instituições financeiras devem adequar seus controles aos riscos apresentados por cada relação de terceiros.
Sob a proposta, bancos e cooperativas de crédito considerariam tanto o possível dano de um provedor externo quanto a probabilidade de o dano ocorrer. As instituições poderiam usar verificações menos detalhadas, contratos padrão ou monitoramento menos frequente quando uma relação envolve risco limitado.
O arcabouço também permitiria que uma instituição financeira aceitasse algum risco residual após considerar seu apetite de risco, tolerância e capacidade de operar com segurança. Segundo as agências, os princípios não imporiam requisitos executáveis, e um banco não enfrentaria ação supervisória apenas por não seguir a orientação.
Os comentários permanecerão abertos por 60 dias após a proposta aparecer no Federal Register. Uma vez finalizada, as agências planejam retirar o atual arcabouço de risco de terceiros e substituí-lo pela versão revisada.
Funcionários do Federal Reserve disseram que a orientação existente às vezes foi aplicada de forma ampla demais, incentivou revisões com muitos processos e não deu peso suficiente às diferenças entre fornecedores. Funcionários também disseram que os bancos interpretaram o arcabouço atual como desestimulador do trabalho com provedores de serviços mais novos.
À medida que a tecnologia se tornou mais central para a atividade bancária, as instituições terceirizaram mais funções para fornecedores que podem reduzir custos ou melhorar a eficiência. Provedores externos podem cuidar de processamento de pagamentos, segurança cibernética, banking online, detecção de fraudes, programas de cartões e sistemas de combate à lavagem de dinheiro, deixando os bancos responsáveis por riscos ligados a serviços que eles próprios não operam.
Bancos comunitários receberiam um guia separado
Junto com a proposta principal, o Federal Reserve solicitou comentários sobre um guia complementar para organizações tradicionais de bancos comunitários sob sua supervisão. O banco central define instituições elegíveis como bancos com foco local com menos de US$ 30 bilhões em ativos.
O guia proposto abrange quatro áreas principais: resiliência operacional, segurança da informação, conformidade legal e resiliência financeira. Ele também explica como os bancos poderiam avaliar oito grupos comuns de fornecedores, incluindo provedores de serviços essenciais, processadores de pagamentos, empresas de banking digital, empresas de segurança cibernética e plataformas de crimes financeiros.
Para cada categoria, o documento apresenta questões que bancos menores podem considerar durante a due diligence, negociações contratuais, monitoramento e uma possível mudança para outro provedor. Funcionários do Federal Reserve disseram que instituições menores pediram informações mais práticas do que os princípios de alto nível fornecidos pelo arcabouço existente.
Arranjos complexos entre bancos e fintechs não se enquadrariam no guia para bancos comunitários. O memorando do Federal Reserve identifica tais arranjos como casos em que uma ou mais empresas de fintech comercializam, distribuem ou fornecem acesso aos produtos de um banco.
Uma declaração separada sobre provedores essenciais aborda fornecedores que suprem sistemas necessários para processamento de transações, gestão de contas, pagamentos, conformidade, relações com clientes e banking online. O Fed, a FDIC e o OCC disseram que um pequeno número de grandes empresas controla grande parte desse mercado, limitando o poder de negociação dos bancos comunitários.
Segundo a declaração, os bancos relataram dificuldade para obter registros de due diligence, negociar termos contratuais adequados e monitorar fornecedores. Os reguladores disseram que podem considerar a transparência de um provedor, suas práticas contratuais e investimento em tecnologia ao decidir o escopo e a frequência das examinações.
As agências também podem examinar se os provedores divulgam incidentes de segurança em tempo hábil, fornecem registros de auditoria e segurança, mantêm tecnologia obsoleta e permitem que os clientes conectem serviços de outras empresas. Preços opacos, cobranças retroativas e taxas indefinidas para deixar uma plataforma também podem influenciar decisões de supervisão.
Barr alerta que a proposta pode deixar lacunas de supervisão
O governador do Federal Reserve, Michael Barr, opôs-se às duas propostas, argumentando que sua redação poderia enfraquecer a supervisão em vez de ajudar as instituições a gerenciar riscos de fornecedores.
Barr objetou a um padrão proposto de “risco financeiro material” para ação de supervisão. De acordo com sua declaração de voto divergente, o limiar poderia tornar os bancos menos propensos a corrigir problemas antes que se tornem materiais para a instituição.
O governador também questionou a linguagem que dizia que os reguladores dariam a devida consideração às decisões razoáveis de um banco. Barr disse que as instituições poderiam interpretar a passagem como exigindo que os supervisores se curvassem ao julgamento de um banco em vez de fazer uma avaliação independente.
A conformidade do consumidor apresenta outra preocupação, segundo Barr. Ele disse que as propostas poderiam resultar na remoção de orientações existentes sem uma substituição clara para questões de proteção ao consumidor, ou forçar os bancos a seguir dois conjuntos de padrões.
Barr também observou que o guia para bancos comunitários exclui instituições com modelos de negócios complexos e relacionamentos com fornecedores, incluindo algumas parcerias entre bancos e fintechs. Em sua visão, os bancos que usam tais estruturas podem ter uma necessidade especialmente forte de instruções detalhadas sobre riscos de terceiros.
“Eu discordo”, disse Barr.
A governadora do Federal Reserve, Lisa Cook, apoiou a revisão do arcabouço atual, mas solicitou feedback sobre se a versão final deveria dizer mais sobre segurança cibernética, gestão de registros, proteção ao consumidor e a divisão de deveres de combate à lavagem de dinheiro em parcerias entre bancos e fintechs.
Cook também apoiou o guia separado para bancos comunitários tradicionais, descrevendo-o como um recurso para instituições que lidam com relacionamentos complexos e críticos com fornecedores. Ela pediu que os bancos comunitários comentassem sobre quaisquer recursos extras de que possam precisar ao avaliar empresas de tecnologia e provedores de serviços essenciais.
Provedores de serviços de criptomoedas podem estar sujeitos a revisões bancárias
Embora a proposta não crie regras escritas apenas para ativos digitais, seu escopo pode abranger empresas de tecnologia que fornecem serviços de custódia de criptomoedas, stablecoins, pagamentos ou blockchain para bancos regulamentados. O arcabouço das agências exige que as instituições avaliem terceiros de acordo com o serviço e o risco envolvidos, independentemente da tecnologia utilizada.
A proposta segue uma ação regulatória anterior dos EUA que deu aos bancos mais espaço para conduzir negócios permitidos com ativos digitais. Em abril de 2025, o crypto.news relatou que o Federal Reserve havia removido expectativas de notificação prévia para certas atividades com criptomoedas e tokens lastreados em dólar.
Reguladores federais posteriormente emitiram uma declaração em julho de 2025 explicando como os princípios existentes de gestão de riscos se aplicam quando os bancos salvaguardam ativos cripto. O boletim relacionado do OCC disse que os bancos devem avaliar provedores de serviços externos antes de oferecer custódia, observando que a declaração não criou novas expectativas de supervisão.
A nova proposta para todos os bancos permite que as instituições usem due diligence compartilhada por meio de consórcios, contratos padrão, organismos de certificação e consultores externos. A equipe do Federal Reserve apresentou tais métodos como possíveis formas de os bancos obterem expertise ou reduzirem trabalho repetitivo ao avaliar provedores de serviços.
Questões de conformidade do consumidor não são diretamente cobertas pelo arcabouço proposto, de acordo com o memorando do Fed, embora relacionamentos com terceiros ainda possam criar deveres sob as leis de consumo existentes. O guia tradicional para bancos comunitários também afirma que a conformidade do consumidor está fora de seu escopo.
