چهار نهاد نظارتی مالی ایالات متحده دستورالعمل‌های جدیدی را برای ریسک اشخاص ثالث پیشنهاد کرده‌اند که به بانک‌ها و اتحادیه‌های اعتباری امکان می‌دهد نظارت خود را با هر رابطه بیرونی انطباق دهند و در عین حال راهنمایی‌های موجود را جایگزین کنند.

دستورالعمل‌های پیشنهادی بانک‌ها طرفدار نظارت مبتنی بر ریسک است

فدرال رزرو، شرکت بیمه سپرده فدرال (FDIC)، اداره ملی اتحادیه اعتباری (NCUA)، و دفتر حسابرسی ارز (OCC) در ۱۱ سپتامبر این پیشنهاد را اعلام کردند و گفتند مؤسسات مالی باید کنترل‌های خود را با ریسک‌های ناشی از هر رابطه با اشخاص ثالث مطابقت دهند.

بر اساس این پیشنهاد، بانک‌ها و اتحادیه‌های اعتباری هم آسیب احتمالی ناشی از یک ارائه‌دهنده بیرونی و هم احتمال وقوع آن آسیب را در نظر می‌گیرند. مؤسسات می‌توانند در روابطی که ریسک محدودی دارند، از بررسی‌های کمتر جزئی، قراردادهای استاندارد یا نظارت کمتر فراوان استفاده کنند.

این چارچوب همچنین به یک مؤسسه مالی اجازه می‌دهد تا پس از در نظر گرفتن اشتهای ریسک، تحمل و توانایی خود برای فعالیت ایمن، مقداری ریسک باقی‌مانده را بپذیرد. به گفته این آژانس‌ها، این اصول الزامات قابل اجرایی را تحمیل نمی‌کند و یک بانک صرفاً به دلیل عدم رعایت این دستورالعمل، با اقدام نظارتی مواجه نخواهد شد.

نظرات به مدت ۶۰ روز پس از انتشار این پیشنهاد در ثبت فدرال باز خواهد ماند. پس از نهایی شدن، این آژانس‌ها قصد دارند چارچوب فعلی ریسک اشخاص ثالث را لغو کرده و نسخه اصلاح‌شده را جایگزین آن کنند.

کارکنان فدرال رزرو اظهار داشتند که دستورالعمل‌های موجود گاهی اوقات بیش از حد گسترده اعمال شده، بررسی‌های فرآیندمحور را تشویق کرده و به تفاوت‌های میان فروشندگان وزن کافی نداده است. کارکنان همچنین گفتند که بانک‌ها چارچوب فعلی را به عنوان بازدارنده‌ای برای کار با ارائه‌دهندگان خدمات جدیدتر تلقی کرده‌اند.

همچنان که فناوری در بانکداری مرکزی‌تر شده است، مؤسسات عملکردهای بیشتری را به فروشندگانی برون‌سپاری کرده‌اند که می‌توانند هزینه‌ها را کاهش دهند یا کارایی را بهبود بخشند. ارائه‌دهندگان بیرونی ممکن است پردازش پرداخت، امنیت سایبری، بانکداری آنلاین، کشف تقلب، برنامه‌های کارت و سیستم‌های مبارزه با پولشویی را مدیریت کنند، که بانک‌ها را مسئول ریسک‌های مربوط به خدماتی که خودشان اداره نمی‌کنند، می‌گذارد.

بانک‌های محلی راهنمای جداگانه‌ای دریافت خواهند کرد

در کنار پیشنهاد اصلی، فدرال رزرو درخواست نظراتی را در مورد یک راهنمای همراه برای سازمان‌های بانکداری محلی سنتی تحت نظارت خود، ارائه کرده است. بانک مرکزی مؤسسات واجد شرایط را بانک‌هایی با تمرکز محلی و دارایی کمتر از ۳۰ میلیارد دلار تعریف می‌کند.

راهنمای پیشنهادی چهار حوزه اصلی را پوشش می‌دهد: تاب‌آوری عملیاتی، امنیت اطلاعات، انطباق قانونی و تاب‌آوری مالی. همچنین توضیح می‌دهد که بانک‌ها چگونه می‌توانند هشت گروه فروشنده رایج، از جمله ارائه‌دهندگان خدمات اصلی، پردازش‌کننده‌های پرداخت، شرکت‌های بانکداری دیجیتال، شرکت‌های امنیت سایبری و پلتفرم‌های جرایم مالی را ارزیابی کنند.

برای هر دسته، این سند مسائلی را مطرح می‌کند که بانک‌های کوچک‌تر ممکن است در طول بررسی دقیق (due diligence)، مذاکرات قرارداد، نظارت و انتقال احتمالی به ارائه‌دهنده دیگر در نظر بگیرند. کارکنان فدرال رزرو گفتند که مؤسسات کوچک‌تر اطلاعات عملی بیشتری نسبت به اصول سطح بالای ارائه شده در چارچوب موجود، درخواست کرده بودند.

ترتیبات پیچیده بانک-فین‌تک تحت راهنمای بانک‌های محلی قرار نمی‌گیرند. یادداشت فدرال رزرو چنین ترتیبات را مواردی معرفی می‌کند که یک یا چند شرکت فین‌تک محصولات بانک را بازاریابی، توزیع یا دسترسی به آن‌ها را فراهم می‌کنند.

بیانیه جداگانه‌ای در مورد ارائه‌دهندگان اصلی (core providers) به فروشندگانی می‌پردازد که سیستم‌های لازم برای پردازش تراکنش، مدیریت حساب، پرداخت‌ها، انطباق، روابط با مشتری و بانکداری آنلاین را تأمین می‌کنند. فدرال رزرو، FDIC و OCC اظهار داشتند که تعداد کمی از شرکت‌های بزرگ بخش عمده‌ای از این بازار را کنترل می‌کنند که قدرت چانه‌زنی بانک‌های محلی را محدود می‌کند.

بر اساس این بیانیه، بانک‌ها از مشکل در به دست آوردن سوابق بررسی دقیق، مذاکره در مورد شرایط مناسب قرارداد و نظارت بر فروشندگان گزارش داده‌اند. نهادهای نظارتی گفتند که ممکن است شفافیت ارائه‌دهنده، شیوه‌های قرارداد و سرمایه‌گذاری فناوری را هنگام تصمیم‌گیری در مورد دامنه و تناوب بازرسی‌ها در نظر بگیرند.

این آژانس‌ها همچنین ممکن است بررسی کنند که آیا ارائه‌دهندگان حوادث امنیتی را به موقع افشا می‌کنند، سوابق حسابرسی و امنیتی را ارائه می‌دهند، فناوری قدیمی را نگهداری می‌کنند و به مشتریان اجازه می‌دهند خدمات شرکت‌های دیگر را متصل کنند. قیمت‌گذاری مبهم، صورت‌حساب‌های گذشته‌نگر و هزینه‌های تعریف‌نشده برای ترک یک پلتفرم نیز ممکن است بر تصمیمات نظارتی تأثیر بگذارد.

بار هشدار می‌دهد که این پیشنهاد می‌تواند شکاف‌های نظارتی ایجاد کند

مایکل بار، رئیس فدرال رزرو، با این دو پیشنهاد مخالفت کرد و استدلال کرد که عبارت‌بندی آن‌ها می‌تواند نظارت را تضعیف کند، نه اینکه به مؤسسات در مدیریت ریسک‌های فروشنده کمک کند.

بار به استاندارد پیشنهادی "ریسک مالی مادی" برای اقدام نظارتی اعتراض کرد. طبق بیانیه مخالف او، این آستانه می‌تواند باعث شود بانک‌ها کمتر احتمال داشته باشند که مشکلات را قبل از اینکه برای مؤسسه مادی شوند، اصلاح کنند.

رئیس همچنین زبان مربوط به اینکه نهادهای نظارتی ملاحظات لازم را به تصمیمات معقول یک بانک خواهند داد، زیر سؤال برد. بار گفت که مؤسسات می‌توانند این عبارت را به معنای الزام ناظران به تبعیت از قضاوت بانک، به جای انجام ارزیابی مستقل، تفسیر کنند.

به گفته بار، انطباق با قوانین مصرف‌کننده نگرانی دیگری را ایجاد می‌کند. او گفت که این پیشنهادات می‌تواند منجر به حذف دستورالعمل‌های موجود بدون جایگزین واضحی برای مسائل حمایت از مصرف‌کننده شود، یا بانک‌ها را مجبور به پیروی از دو مجموعه استاندارد کند.

بار همچنین اشاره کرد که راهنمای بانک‌های محلی مؤسسات با مدل‌های کسب‌وکار پیچیده و روابط با فروشندگان، از جمله برخی همکاری‌های بانک-فین‌تک را شامل نمی‌شود. به عقیده او، بانک‌هایی که از چنین ساختارهایی استفاده می‌کنند، ممکن است نیاز بسیار قوی به دستورالعمل‌های دقیق ریسک اشخاص ثالث داشته باشند.

بار گفت: "من مخالفت می‌کنم."

لیزا کوک، رئیس فدرال رزرو، از بررسی چارچوب فعلی حمایت کرد اما درخواست بازخورد در مورد اینکه آیا نسخه نهایی باید در مورد امنیت سایبری، مدیریت سوابق، حمایت از مصرف‌کننده و تقسیم وظایف مبارزه با پولشویی در همکاری‌های بانک-فین‌تک بیشتر توضیح دهد، کرد.

کوک همچنین از راهنمای جداگانه برای بانک‌های محلی سنتی حمایت کرد و آن را منبعی برای مؤسسات درگیر با روابط پیچیده و حیاتی با فروشندگان توصیف کرد. او از بانک‌های محلی خواست تا در مورد هرگونه منابع اضافی که ممکن است هنگام ارزیابی شرکت‌های فناوری و ارائه‌دهندگان اصلی نیاز داشته باشند، نظر دهند.

ارائه‌دهندگان خدمات رمزارز ممکن است تحت بررسی بانک‌ها قرار گیرند

اگرچه این پیشنهاد قوانینی که فقط برای دارایی‌های دیجیتال نوشته شده‌اند را ایجاد نمی‌کند، اما دامنه آن می‌تواند شرکت‌های فناوری را پوشش دهد که خدمات نگهداری رمزارز (crypto custody)، استیبل‌کوین، پرداخت یا بلاک‌چین را به بانک‌های تنظیم‌شده ارائه می‌دهند. چارچوب این آژانس‌ها از مؤسسات می‌خواهد که اشخاص ثالث را بر اساس خدمات و ریسک مربوطه، صرف‌نظر از فناوری مورد استفاده، ارزیابی کنند.

این پیشنهاد به دنبال اقدامات نظارتی قبلی ایالات متحده است که به بانک‌ها فضای بیشتری برای انجام کسب‌وکار مجاز دارایی‌های دیجیتال داد. در آوریل ۲۰۲۵، crypto.news گزارش داد که فدرال رزرو انتظارات اطلاع‌رسانی قبلی برای برخی فعالیت‌های رمزارز و توکن دلاری را حذف کرده است.

نهادهای نظارتی فدرال بعداً در جولای ۲۰۲۵ بیانیه‌ای صادر کردند که توضیح می‌داد چگونه اصول مدیریت ریسک موجود هنگام حفاظت بانک‌ها از دارایی‌های رمزارزی اعمال می‌شود. اطلاعیه مرتبط OCC بیان کرد که بانک‌ها باید قبل از ارائه خدمات نگهداری (custody)، ارائه‌دهندگان خدمات بیرونی را ارزیابی کنند، در حالی که اشاره شد این بیانیه هیچ انتظار نظارتی جدیدی ایجاد نمی‌کند.

پیشنهاد جدید برای همه بانک‌ها به مؤسسات اجازه می‌دهد از بررسی دقیق مشترک از طریق کنسرسیوم‌ها، قراردادهای استاندارد، نهادهای گواهی‌دهنده و مشاوران خارجی استفاده کنند. کارکنان فدرال رزرو چنین روش‌هایی را به عنوان راه‌های ممکن برای بانک‌ها برای کسب تخصص یا کاهش کارهای تکراری هنگام ارزیابی ارائه‌دهندگان خدمات ارائه کردند.

به گفته یادداشت فدرال رزرو، مسائل انطباق با قوانین مصرف‌کننده مستقیماً تحت پوشش چارچوب پیشنهادی قرار نمی‌گیرد، اگرچه روابط با اشخاص ثالث ممکن است همچنان وظایفی را تحت قوانین موجود مصرف‌کننده ایجاد کند. راهنمای بانک‌های محلی سنتی نیز به همین ترتیب بیان می‌کند که انطباق با قوانین مصرف‌کننده خارج از محدوده آن است.