규제 기관들이 은행 공급업체 관련 규정을 재정비하고 있지만, 헤드라인은 핵심을 놓치고 있습니다.

금요일에,연방준비제도, FDIC, OCC, NCUA는 은행들이 제3자 공급업체의 위험을 관리하는 방식을 재정비하기 위한 제안을 발표했습니다.이 헤드라인은 금융업계에 추가적인 비용이 더해지는 상황을 의미하는 것 같습니다.

만약 FIS, Fiserv, Jack Henry와 같은 은행 소프트웨어 기업들의 주식을 보유하거나 관찰한다면, 당신의 첫 번째 반응은 분노할 가능성이 높습니다. 이러한 회사들은 규제 기관들이 주목하는 제3자 기업들입니다. 더 많은 감독이 있으면 더 많은 문제가 생길 텐데, 그렇죠?

하지만 헤드라인을 넘어서 읽어보면 다른 이야기가 드러납니다. 이 제안은 새로운 규칙이 아닙니다.2023년에 제정된 규정의 해석이 너무 광범위했기 때문에, 이번에는 그렇지 않은, 비효력적인 지침을 제시하는 것임.그리고 같은 날에 발표된 관련 문서는, 대형 금융기관보다는 소규모 은행들에게 더 유리한 방향으로 균형을 맞추고 있습니다. 하지만 여전히 투자자들이 이해해야 할 방식으로 경제 상황이 변합니다.

이것이 무슨 일이었는지, 그 의미가 무엇인지, 그리고 실제 투자에 미치는 영향은 어디에 있는지에 대해 설명해 드리겠습니다.

이 지침은 개선 조치일 뿐, 강력한 제재는 아닙니다.

연방 기관들이 두 개의 문서를 공개했습니다.2026년 9월 11일첫 번째는 2023년의 제3자 관계에 관한 연방기관 간 지침을 재작성하는 방안입니다. 각 기관들은 2023년의 지침이 “너무 광범위하게 해석되어서, 위험 관리 원칙을 적절히 적용하지 못했다”고 인정했습니다. 새로운 제안에서는 금융기관들이 모든 계약을 동일하게 처리하는 대신, 각 관계의 실제 위험 수준에 맞게 공급업체 관리 방식을 조정해야 합니다.

두 번째 문서는 지역 은행들이 핵심 서비스 제공업체들과 어떻게 협력하는지에 관한 공동 성명으로, 판매업체들에 대한 더욱 엄격한 감독이 이루어질 것이라고 명시되어 있습니다. 각 기관들은 그렇게 할 것이라고 말했습니다.핵심 공급업체들의 영업 방식이 지역 은행들이 적절한 감사 절차를 진행하거나 계약 조건을 협상하는 것을 “부당하게 제한”하지 않는지 확인해야 합니다.그들은 세 가지 구체적인 영역을 지정했습니다. 첫째는 감사 및 사고 보고의 투명성입니다. 둘째는 불투명한 가격 정책과 전환 비용과 같은 계약 관련 특징들입니다. 셋째는 사이버 보안 및 운영적 회복력에 필요한 기술 투자입니다.

A연방기록부에 해당 지침이 게시된 이후 60일간의 의견 제출 기간이 시작됩니다.지침은 다음과 같습니다.원칙에 기반한, 구속력이 없는준수하지 않아도 감독 기관의 조치가 발생하지 않습니다.

여기서 중요한 것은 ‘캘리브레이션’이며, ‘긴장 고조’가 아닙니다. 규제 기관들은 현대 기술 환경에서 너무 엄격해진 체계를 바로잡으려고 노력하고 있습니다. 은행들은 수백 개의 공급업체와 관계를 맺고 있으며, 시장의 권력도 점점 더 집중화되고 있습니다.

“핵심 공급자”란 누구인가요?

이 기관들의 우려는 지역 은행 조직과 그를 운영하는 회사들에 집중됩니다. 여기서 말하는 회사들은 거래 처리, 계좌 관리, 결제, 온라인 은행 서비스, 그리고 규정 준수 시스템을 담당하는 회사들입니다.

이 시장은 세 개의 회사가 주도하고 있습니다. Fiserv는 대략…미국 은행의 42%, 잭 헨리는 약 21%, FIS는 약 9%가 이 부문에 속해 있으며, 이 세 회사는 총 70개 이상의 고객을 서비스하고 있습니다.캔자스시티 연방준비은행이 2022년에 실시한 조사에 따르면, 신용조합의 보급도 상당히 높습니다.약 50% 정도 합쳐서.

이러한 집중도는 규제 기관들이 목표로 하는 동적 상황을 만들어냅니다. 은행들은 세 besar 제공업체에 대해 지속적인 불만을 표명했습니다. 2022년 미국 은행가 협회의 조사에 따르면, 이러한 제공업체를 사용하는 은행 중 46%가 불만을 가졌으며, 소규모 제공업체를 사용하는 은행에서는 27%만이 불만을 보였습니다. 불만의 주된 원인은 낮은 고객 지원 서비스, 높은 업그레이드 비용, 불투명한 청구 방식, 그리고 은행을 고정시키는 전환 비용 등입니다. 한 지역 은행은 FIS의 강압적인 갱신 방식에 대해 소송을 제기하기도 했습니다.

이 공동 성명은 규제 기관들에게 반격할 수 있는 틀을 제공합니다. 투명성을 제한하거나 복잡한 결제 방식을 사용하거나 보안에 대한 투자가 부족한 핵심 서비스 제공업체들은 더 엄격한 검사를 받게 될 수 있습니다. 또한, 관련 기관들은 이러한 핵심 서비스 제공업체들을 연방 예금보험법에 따라 “기관과 연계된 당사자”로 간주할 수 있다고 밝혔습니다. 즉, 집행 조치는 은행만이 아니라 해당 서비스 제공업체까지도 대상이 될 수 있습니다.

그것은 의미 있는 변화입니다. 지금까지는 공급업체의 책임이 은행의 규정 준수 의무을 통해 이루어졌습니다. 하지만 이로 인해 공급업체 자체도 규제의 대상이 되게 되었습니다.

이것이 주식에 미치는 영향은 무엇인가요?

FIS는 가장 극적인 사례입니다. 지난 한 해 동안 주가는 약 43% 하락했으며, 52주 고점인 69달러를 넘어서면서 약 38달러 근처에서 거래되고 있습니다. 현재 수준에서 FIS의 후행 P/E는 약 5.8배이며, EV/EBITDA는 약 9.7배이고, 배당수익률은 약 4.5%입니다. 지난 한 달 동안만 해도 주가는 약 14% 하락했습니다.

이러한 하락은 여러 가지 악화된 상황들이 원인입니다. FIS는 2023년 초에 월드페이 상거래 처리 사업을 분사시켜 더 간소하고 집중적인 모델로 전환했습니다. 분사 이후 시장은 이 회사의 평가를 재평가하는 데 어려움을 겪었으며, 은행 부문의 수요와 규제 위험에 대한 우려도 시장 심리에 부정적인 영향을 미쳤습니다.

중요한 질문은 이렇습니다: 오늘날의 제안이 이러한 기업들의 전반적인 상황을 바꾸는 것인지, 아니면 시장이 과도하게 반응하고 있을 뿐인 한 가지 체계적 명확화에 불과한 것인지입니다.

‘빅 3’에게는 실질적인 영향이 세 가지가 있습니다.

먼저, 계약 관련 관행에 대한 심사가 이루어진다. 예를 들어, 전환 비용, 불투명한 결제 방식, 제한적인 조건 등이 기업들이 이미 시작한 분리 및 단순화 전략을 계속 유지하도록 만들 수 있다. FIS는 지역 은행들을 위한 간소화된 구독 모델을 도입했다. Fiserv는 클라우드 기반 플랫폼을 제공하기 위해 Finxact를 인수했다. 잭 헨리는 200개 이상의 타사 공급업체와 서비스를 연동시키는 방식을 채택하고 있다. 규제 압력은 이러한 변화를 촉진하는 것이지, 그 자체로 발생하는 것은 아니다.

둘째, IAP라는 지위는 컴플라이언스 및 보안 관련 투자에 있어서 더 큰 책임을 부여합니다. 반복적인 보안 문제가 발생하거나 감사 프로세스가 불충분한 핵심 공급업체는 직접적인 규제 조치을 받을 수 있습니다. 이는 비용이지만, 동시에 경쟁력도 됩니다. 강력한 보안 프로그램을 갖춘 공급업체는 덜 발전된 경쟁사들보다 우위를 얻을 수 있습니다.

셋째, 60일간의 의견 수렴 기간을 통해 업계 단체들이 최종 규정의 내용을 조정할 수 있는 기회가 주어집니다. 미국 은행업협회, 독립적 커뮤니티 은행 협회, 미국 핀테크 위원회 등은 이미 개혁 방안을 제출했습니다. 또한 FDIC도 새로운 산업 표준 기구를 통해 자발적인 인증 프로그램을 검토하고 있습니다. 규제 체계는 명확성과 표준화를 향해 나아가고 있으며, 과도한 제재는 피하고 있습니다.

투자 우위가 있는 곳은 어디인가요?

시장은 규제 관련 뉴스를 일관된 방식으로 평가하는 경향이 있습니다. 하지만 이 제안은 그러한 패턴에 부합하지 않습니다. 이는 너무 광범위한 체계를 적용하는 것에 불과하며, 수년간 문제가 되어온 공급업체의 비즈니스 관행에 대한 집중적인 검토도 포함됩니다.

FIS의 경우, 주가가 43% 하락하면서 가격과 실제 기업 가치 사이에 큰 격차가 생겼습니다. 197억 달러의 시장 가치, 5.8배의 연속된 P/E 비율, 그리고 4.5%의 배당수익률은 구조적으로 쇠약해진 기업의 지표가 아닙니다. 이는 수익성 있고 현금을 창출하는 기업의 지표입니다. 시장이 그러한 기업을 더 이상 신뢰하지 않는다는 점에서, 이러한 회의감이 타당한지는 Worldpay의 향후 전망에 달려 있습니다. 구체적인 지침은 중요하지 않습니다.

잭 헨리의 경우, 매출이 약 160~170달러 수준이며 고객 만족도도 높기 때문에, 핵심 공급업체에 대한 규제가 더욱 강화된다면 그들의 경쟁력이 더욱 향상될 것입니다. 회사가 API 개방과 단순화된 서비스 전략을 추진하는 방식은 규제 당국이 추구하는 방향과 직접적으로 일치합니다.

더 큰 기회는 TPRM 생태계 자체에 있습니다. Bitsight, OneTrust, ProcessUnity와 같은 제3자 위험 관리 플랫폼들은 은행들이 이러한 관계를 관리하는 데 사용하는 도구입니다. 더 체계적이고 정밀한 규제 체계가 마련된다면, 특히 수동적인 방식으로 업무를 처리해온 지역 은행들 사이에서 전문적인 TPRM 플랫폼의 사용이 증가할 것입니다.

행동하기 전에 고려해야 할 것들

이 제안은 아직 최종적인 것이 아닙니다. 60일간의 의견 수렴 기간 동안 내용, 언어, 중점 사항 등에 큰 변화가 생길 수 있으며, 최종 규정이 나오는 시기도 불분명합니다.

핵심 공급업체가 ‘기관 관련 당사자(IAP)’로 지정된다는 사실은 공급업체들에게 매우 중요한 요소입니다. 규제 기관이 이러한 제한적인 행위를 한 기업들에 대해 조치를 취한다면, 투명하지 않은 계산 방식, 강압적인 갱신 요구, 부적절한 투명성 등의 문제가 발생할 수 있습니다. 그렇게 되면 시장에서는 어떤 공급업체들이 실제로 위험에 처해 있는지, 어떤 공급업체들은 이미 적응했는지를 다시 평가하게 됩니다.

투자자들이 사용할 수 있는 간단한 테스트가 있습니다. 이는 구속력이 없는 조언일 뿐입니다. 만약 회사가 강력한 자유현금흐름을 창출하고, 현대화 계획을 성공적으로 실행하며, 투명한 계약을 유지한다면, 그 제안은 위협이 아니라 오히려 유리한 요소가 됩니다. 그렇게 되면 사업 방식을 개선하지 못한 약한 경쟁자들은 불리해집니다.

“더 많은 규제”에 대한 시장의 반응은, 실제로 그 규제가 업계 자체에서 요청된 것이라는 사실을 간과하고 있습니다. 커뮤니티 은행들은 오랫동안 자신들의 서비스 제공업체들에게 책임을 요구해왔습니다. 각 기관들은 그 요구에 응답하고 있습니다. 이는 기존 기업들에게는 불리한 상황이 아닙니다. 오히려 그들의 경쟁력이 단순한 계약 관계에 있지는 않고, 진정한 가치에 기반을 두고 있는지를 증명하는 시험대입니다.