Outsourcing, operationelle Resilienz und Cybersicherheit

FINMA-Rundschreiben 2018/3 zum Outsourcing

Der grösste Teil der von Luganeser Finanzinstituten eingesetzten künstlichen Intelligenz wird von Dritten geliefert, und vieles davon läuft in der Cloud. Ihr Einsatz untersteht daher dem FINMA-Rundschreiben 2018/3 «Outsourcing», das für Banken, Wertpapierhäuser und Versicherungsunternehmen gilt. Vermögensverwalter und Trustees unterliegen vergleichbaren Regeln über die Übertragung von Aufgaben in der Finanzinstitutsverordnung (FINIV), die die Übertragung von den Leitungsorganen vorbehaltenen Entscheidungen verbieten und verlangen, dass das Institut das Personal, die Fachkenntnisse sowie die Weisungs- und Kontrollrechte behält, die zur Auswahl, Instruktion und Überwachung des Dritten erforderlich sind.¹ Das Rundschreiben wurde am 21. September 2017 erlassen und trat am 1. April 2018 in Kraft. Es definiert Outsourcing als die Beauftragung eines Dienstleisters, eine wesentliche Funktion des Instituts selbständig und dauernd zu erfüllen, und legt die Anforderungen fest, die das Institut bei der Auslagerung einer solchen Funktion erfüllen muss.² Eine Funktion ist wesentlich, wenn sie die Einhaltung der Ziele und Vorschriften der Finanzmarktaufsicht erheblich beeinflusst. Transaktionsüberwachung, Kundenscreening, Risikomanagement und die Verwaltung von Kundendaten sind in diesem Sinn wesentliche Funktionen, und in den meisten Fällen gilt dies auch für die IT-Systeme, auf denen sie laufen. Die Anforderungen des Rundschreibens lassen sich in sechs Punkten zusammenfassen. Das Institut muss ein Inventar der ausgelagerten Funktionen führen. Es muss den Dienstleister sorgfältig auswählen und dabei dessen fachliche Fähigkeiten, finanzielle und personelle Ressourcen sowie die Risiken der Vereinbarung berücksichtigen. Das Outsourcing muss in einem schriftlichen Vertrag geregelt sein, der die Leistungen, Verantwortlichkeiten, Sicherheitsanforderungen und Kündigungsrechte festlegt. Das Institut bleibt für die ausgelagerte Funktion verantwortlich und muss sie in sein internes Kontrollsystem einbinden. Das Institut, seine Prüfgesellschaft und die FINMA müssen die Tätigkeiten des Dienstleisters prüfen können und Zugang zu den massgebenden Informationen haben, eine Anforderung, die bei Dienstleistern im Ausland besonderes Gewicht hat. Schliesslich darf das Outsourcing die Sanierung oder Abwicklung des Instituts nicht beeinträchtigen: Bei einer Bank müssen kritische Dienstleistungen auch in einer Krise verfügbar bleiben.³ Outsourcing ins Ausland ist zulässig, sofern diese Voraussetzungen erfüllt sind und das Institut nachweisen kann, dass der Zugang seiner Prüfgesellschaft und der FINMA und bei systemrelevanten Funktionen die Sanierungsfähigkeit gewährleistet sind.

Für die künstliche Intelligenz wirft das Rundschreiben besondere Fragen auf. Ein Anbieter eines Sprachmodells kann seinerseits weitere Unterakkordanten beiziehen, etwa Betreiber von Rechenzentren und Modellentwickler, und das Institut muss diese Kette kennen und kontrollieren. Der Anbieter kann sein Modell ohne Vorankündigung aktualisieren und dadurch dessen Verhalten so verändern, dass die Ergebnisse des Instituts beeinflusst werden, was mit den Erwartungen der FINMA an Tests und Überwachung kollidiert. Vertragliche Prüfrechte lassen sich gegenüber einem grossen Technologieunternehmen nur schwer ausüben, und die betroffenen Institute stützen sich in der Regel auf Zertifizierungen und Prüfberichte. Die KI-Umfrage der FINMA ergab, dass sich kleine Institute ausschliesslich auf externe Anbieter stützten, was diese Fragen genau bei dem Institutstyp bündelt, der den Luganeser Markt prägt.⁴

Anmerkungen

1. FINMA-Rundschreiben 2018/3 «Outsourcing» vom 21. September 2017, in der geänderten Fassung (Geltungsbereich und Daten des Rundschreibens); Finanzinstitutsverordnung vom 6. November 2019 (FINIV), SR 954.11, Art. 15–17 («Übertragung von Aufgaben»), insbesondere Art. 16 Abs. 1–3, Text unter https://www.droit-bilingue.ch/de-fr/9/95/954.11-16-19.html. ↩
2. FINMA-Rundschreiben 2018/3 (oben), Rz. 2–5 (Definition des Outsourcings und der wesentlichen Funktion). ↩
3. FINMA-Rundschreiben 2018/3 (oben), Rz. 13–35 (Inventar, Auswahl, Verantwortung, Sicherheit, Prüfung und Aufsicht, Outsourcing ins Ausland, Sanierung und Abwicklung, Vertrag). ↩
4. FINMA-Umfrage (April 2025, oben). ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.