FINMA-Rundschreiben "Operationelle Risiken – Banken"

I Gegenstand

Dieses Rundschreiben konkretisiert die Art. 89–94 der Eigenmittelverordnung (ERV; SR 952.03) und definiert die qualitativen Grundanforderungen an das Management der operationellen Risiken beruhend auf Art. 12 BankV sowie Art. 19–20 BEHV. Es regelt im quantitativen Bereich die Bestimmung der Eigenmittelanforderungen für operationelle Risiken nach den drei zur Auswahl stehenden Ansätzen sowie die damit einhergehenden Verpflichtungen. Die qualitativen Grundanforderungen entsprechen den Basler Empfehlungen zum einwandfreien Management der operationellen Risiken.

II Begriff

Operationelle Risiken sind gemäss Art. 89 ERV definiert als die „Gefahr von Verlusten, die in Folge der Unangemessenheit oder des Versagens von internen Verfahren, Menschen oder Systemen oder in Folge von externen Ereignissen eintreten“. Die Definition umfasst sämtliche Rechts- bzw. Compliance-Risiken, soweit sie einen direkten, finanziellen Verlust darstellen, d.h. inklusive Bussen durch Aufsichtsbehörden und Vergleiche.

Aufgehoben eh

III Eigenmittelanforderungen

A. Der Basisindikatoransatz (BIA, Art. 92 ERV)

Für Banken, die ihre Eigenmittelanforderungen für operationelle Risiken nach dem Basisindikatoransatz bestimmen, ergeben sich diese als Produkt des Multiplikators α und dem aus den vorangegangenen drei Jahren bestimmten Durchschnitt der jährlichen Ertragsindikatoren GI 1. Für die Durchschnittsbildung sind jedoch nur diejenigen Jahre zu berücksichtigen, in denen GI

einen positiven Wert aufweist.

Die drei vorangegangenen Jahre nach Rz 3 (bzw. Rz 24) entsprechen den drei unmittelbar dem Stichtag der letzten publizierten Erfolgsrechnung vorangegangenen Einjahresperioden. Wurde beispielsweise die letzte publizierte Erfolgsrechnung per Stichtag 30. Juni 2008 erstellt, so entsprechen die zu berücksichtigenden drei Jahre den Perioden 1. Juli 2005 bis 30. Juni 2006, 1. Juli 2006 bis 30. Juni 2007 und 1. Juli 2007 bis 30. Juni 2008.

Damit ergeben sich die Eigenmittelanforderungen KBIA als

1 In den revidierten Mindeststandards des Basler Ausschusses für Bankenaufsicht („International Convergence of Capital Measurement and Capital Standards – A Revised Framework / Comprehensive Version“) vom Juni 2006 wird der Ertragsindikator als Gross Income bezeichnet.

3 max [0, GI j ] KBIA = α ⋅ ∑ j =1 max [1, n ] wobei

– α einheitlich als 15 % festgelegt ist;

– GIj dem Ertragsindikator für das jeweils relevante Jahr j entspricht; und

– n für die Anzahl jener der drei vorangegangenen Jahre steht, in denen jeweils ein positiver Ertragsindikator GI registriert wurde. Der Ertragsindikator GI berechnet sich als Summe aus den folgenden Positionen der Erfolgsrechnung gemäss Rz 125 ff. FINMA-RS 15/1 „Rechnungslegung Banken“:

–

– Brutto-Erfolg Zinsengeschäft (Rz 131 FINMA-RS 15/1 „Rechnungslegung Banken“);

Erfolg aus dem Kommissions- und Dienstleistungsgeschäft2 (Rz 139 FINMA-RS 15/1 „Rechnungslegung Banken“);

– eh Erfolg aus dem Handelsgeschäft und der Fair-Value-Option (Rz 140 FINMA-RS 15/1 „Rechnungslegung Banken“);

–

– Beteiligungsertrag (Rz 143 FINMA-RS 15/1 „Rechnungslegung Banken“) aus nicht zu konsolidierenden Beteiligungen; und

Liegenschaftenerfolg (Rz 144 FINMA-RS 15/1 „Rechnungslegung Banken“).

Die Grundlage zur Bestimmung des Ertragsindikators GI auf konsolidierter Ebene entspricht dem Konsolidierungskreis für die Bestimmung der Eigenmittelanforderungen.

Erweitern sich die Struktur oder die Aktivitäten einer Bank (z.B. infolge Übernahme einer neuen Geschäftseinheit), sind die historischen Werte des Ertragsindikators GI entsprechend nach oben anzupassen. Reduktionen des Ertragsindikators GI (z.B. nach der Veräusserung eines Geschäftsbereichs) erfordern eine Bewilligung der FINMA.

Zur Bestimmung des Ertragsindikators GI nach Art. 91 Abs. 1 ERV können Banken anstelle der schweizerischen Rechnungslegungsvorschriften international anerkannte Rechnungslegungsstandards verwenden, sofern die FINMA dafür die Bewilligung erteilt (vgl. Art. 91 Abs. 4 ERV).

Sämtliche Erträge aus Auslagerungsvereinbarungen (Outsourcing), bei denen die Bank selbst als Dienstleisterin auftritt, sind als Bestandteile des Ertragsindikators GI zu berücksichtigen (vgl. Art. 91 Abs. 2 ERV).

2 Die Berücksichtigung des Kommissionsaufwandes nach Rz 138 FINMA-RS 15/1 „Rechnungslegung

Banken“ unterliegt den Restriktionen von Rz 18.

Tritt die Bank als Auftraggeberin einer ausgelagerten Dienstleistung auf, dürfen entsprechende Aufwendungen vom Ertragsindikator GI nur dann abgezogen werden, wenn die Auslagerung innerhalb derselben Finanzgruppe erfolgt und konsolidiert erfasst wird (vgl. Art. 91 Abs. 3 ERV).

Aufgehoben 20*

Aufgehoben 21*

Aufgehoben 22*

B. Der Standardansatz (SA, Art. 93 ERV)

a) Mechanismus folgenden Geschäftsfeldern zuzuordnen: Zur Bestimmung der Eigenmittelanforderungen haben Banken ihre gesamten Tätigkeiten den

i

Geschäftsfeld Unternehmensfinanzierung/-beratung βi 18 %

Handel Privatkundengeschäft Firmenkundengeschäft Zahlungsverkehr/Wertschriftenabwick- 18 % 12 % 15 % 18 %

fg 6

lung Depot- und Treuhandgeschäfte Institutionelle Vermögensverwaltung Wertschriftenprovisionsgeschäft 15 % 12 % 12 %

au Tabelle 1

Für jedes Geschäftsfeld i und für jedes der drei vorangegangenen Jahre nach Rz 4 ist ein Ertragsindikator nach Rz 9–18 zu ermitteln und mit dem jeweiligen Faktor βi gemäss Tabelle 1 zu

multiplizieren. Die resultierenden Zahlenwerte sind für jedes Jahr zu addieren, wobei negative Zahlenwerte aus einzelnen Geschäftsfeldern mit positiven Zahlenwerten anderer Geschäftsfelder verrechnet werden können. Die Eigenmittelanforderungen entsprechen dem Betrag des Dreijahresdurchschnitts, wobei für die Durchschnittsbildung allfällige negative Summanden gleich null gesetzt werden müssen (vgl. Art. 93 Abs. 1 ERV).

Die Eigenmittelanforderungen im Standardansatz KSA ergeben sich als

⋅ ∑ max ⎡0, ∑ GIi , j ⋅ β i ⎤ 1 3 8 KSA = 3 j =1 ⎢⎣ i =1 ⎥⎦

Dabei entspricht

– GIi,j dem Ertragsindikator GI für das i-te Geschäftsfeld im jeweils relevanten Jahr j; und

– βi einem als fixer Prozentsatz für das i-te Geschäftsfeld vorgegebenen, für alle Banken identischen, Multiplikator.

b) Allgemeine Anforderungen (Art. 93 Abs. 3 ERV)

Aufgehoben 28*

Jede Bank muss nach Massgabe von Anhang 1 spezifische Grundsätze zur Allokation von Geschäftsaktivitäten in die standardisierten Geschäftsfelder nach Rz 23 festlegen und dafür über dokumentierte Kriterien verfügen. Die Kriterien sind regelmässig zu überprüfen und müssen den jeweils aktuellen Veränderungen der Aktivitäten der Bank angepasst werden.

c) Aufgehoben

Aufgehoben ob 30*-44*

a)

C Institutsspezifische Ansätze (AMA, Art. 94 ERV)

Bewilligung

Institutsspezifische Ansätze (Advanced Measurement Approaches, AMA) erlauben es den Banken, ihre Eigenmittelanforderungen für operationelle Risiken unter Einhaltung bestimmter Anforderungen nach einem individuellen Verfahren selbst zu quantifizieren.

Die Anwendung eines institutsspezifischen Ansatzes erfordert eine Bewilligung durch die FINMA.

Die FINMA kann von Banken vor einer Bewilligung für die Anwendung eines institutsspezifi-

schen Ansatzes verlangen, dass über eine Zeitperiode von maximal zwei Jahren Berechnungen gestützt auf den entsprechenden Ansatz zu Test- und Vergleichszwecken durchgeführt werden müssen.

Verwendet eine Bank einen institutsspezifischen Ansatz, so kann ein allfälliger vollständiger oder partieller Wechsel zum Basisindikator- oder zum Standardansatz nur auf Anordnung oder mit Bewilligung der FINMA erfolgen.

Der Aufwand der FINMA im Zusammenhang mit dem Bewilligungsverfahren sowie mit notwen- digen Prüfarbeiten nach Erteilung der Bewilligung wird den betreffenden Banken in Rechnung gestellt.

b) Zusätzliche qualitative Anforderungen

Banken, die einen institutsspezifischen Ansatz verwenden, müssen die qualitativen Grundan- forderungen gemäss Kapitel IV.B erfüllen.

Die Verwendung eines institutsspezifischen Ansatzes zur Bestimmung der Eigenmittelanforde- rungen für operationelle Risiken setzt zusätzlich die Erfüllung folgender weiterer qualitativer Anforderungen voraus.

Das Organ für die Oberleitung, Aufsicht und Kontrolle muss aktiv in die Überwachung des An- satzes involviert sein.

Die Geschäftsleitung muss mit dem Grundkonzept des Ansatzes vertraut sein und ihre entspre- chenden Überwachungsfunktionen wahrnehmen können.

Die Bank verfügt in Bezug auf ihr Management der operationellen Risiken über ein konzeptionell solides, zuverlässiges und integer implementiertes System.

Auf allen Ebenen der Bank stehen ausreichende Ressourcen für das Management, die Kon-

fügung. trolle und die interne Revision im Zusammenhang mit dem institutsspezifischen Ansatz zur Ver-

Die Bank muss über eine unabhängige zentrale Einheit für das Management der operationellen Risiken verfügen, die für die Ausarbeitung und Implementierung von Grundsätzen des operati-

– onellen Risikomanagements verantwortlich ist. Diese Einheit ist zuständig für:

die Erstellung bankweiter Grundsätze und Verfahren für das Management und die Kontrolle operationeller Risiken;

– fg die Ausarbeitung und Anwendung der institutsspezifischen Quantifizierungsmethodik für operationelle Risiken;

–

– die Ausarbeitung und die Umsetzung eines Meldesystems für operationelle Risiken; und

die Entwicklung von Strategien zur Identifikation, Messung, Überwachung sowie der Kontrolle bzw. Verminderung operationeller Risiken.

Das institutsspezifische Quantifizierungssystem muss eng in die täglichen Risikomanagement- prozesse der Bank integriert sein.

Die Ergebnisse des institutsspezifischen Quantifizierungssystems sollen einen integralen Be- standteil der Risikoprofilüberwachung und -kontrolle darstellen. Beispielsweise müssen diese Informationen eine prominente Rolle in der Berichterstattung an das Management, bei der internen Eigenmittelallokation und bei der Risikoanalyse spielen.

Die Bank muss über Methoden zur Allokation von Eigenmitteln für operationelle Risiken auf die bedeutenden Geschäftsfelder und zur Schaffung von Anreizen zur Verbesserung des operationellen Risikomanagements in der gesamten Bank verfügen.

Aufgehoben 64*

Die interne Revision und die Prüfgesellschaft müssen die Prozesse für das Management ope- rationeller Risiken und die Umsetzung des institutsspezifischen Ansatzes regelmässig überprüfen. Diese Prüfungen sollen sowohl die Aktivitäten der einzelnen Geschäftseinheiten als auch jene der zentralen Einheit für das Management operationeller Risiken umfassen.

Die Validierung des Quantifizierungssystems durch die Prüfgesellschaft muss insbesondere Folgendes beinhalten:

– Verifikation eines zufrieden stellenden Funktionierens der bankinternen Validierungspro- zesse; und

– en Sicherstellung der Transparenz und Zugänglichkeit der Datenflüsse und Prozesse des institutsspezifischen Ansatzes. Insbesondere muss sichergestellt sein, dass die interne Revision, die Prüfgesellschaft und die FINMA auf die Spezifikationen und Parameter des An-

c) satzes zugreifen können.

Allgemeine quantitative Anforderungen

In Übereinstimmung mit den Basler Mindeststandards 3 spezifiziert die FINMA keinen bestimm-

ten Ansatz, sondern lässt den Banken diesbezüglich grosse Freiräume. Dieses Rundschreiben beschränkt sich daher auf die Darstellung zentraler Anforderungen, welche zur Anwendung eines solchen Ansatzes zwingend vorausgesetzt werden. Die Prüfung der detaillierten Spezifikationen eines institutsspezifischen Ansatzes ist Gegenstand des individuellen Bewilligungsprofg zesses. Dieser findet unter Leitung der FINMA und unter Einbezug der Prüfgesellschaft statt.

Unabhängig von der konkreten Ausgestaltung ihres Ansatzes muss eine Bank nachweisen kön-

nen, dass dieser auch quantitativ bedeutungsvolle, mit kleiner Wahrscheinlichkeit auftretende Verlustereignisse berücksichtigt. Die aus dem Ansatz resultierende Eigenmittelanforderung soll etwa dem 99.9 %-Quantil der Verteilungsfunktion der jeweils über ein Jahr aggregierten operationellen Verluste entsprechen.

Jeder institutsspezifische Ansatz muss von einem Begriff des operationellen Risikos ausgehen, der mit dem Begriff gemäss Art. 89 ERV sowie Rz 2 kompatibel ist. Er muss zusätzlich eine Kategorisierung von Verlustereignissen gemäss Anhang 2 ermöglichen.

Erforderliche Eigenmittel werden sowohl für die erwarteten als auch für die unerwarteten Ver- luste erhoben. Die FINMA kann jedoch einer Bank diesbezüglich Erleichterungen gewähren, wenn diese für zukünftige erwartete Verluste angemessene Rückstellungen gebildet hat.

Sämtliche expliziten und impliziten Annahmen betreffend Abhängigkeiten zwischen operatio- nellen Verlustereignissen sowie zwischen verwendeten Schätzfunktionen müssen plausibel sein und begründet werden können.

Jeder Ansatz muss über bestimmte Grundeigenschaften verfügen. Dazu gehört insbesondere die Erfüllung der Anforderung zur Integration von:

3 Vgl. Fussnote

– internen Verlustdaten (Rz 76–85); – relevanten externen Verlustdaten (Rz 86–88); – Szenarioanalyseverfahren (Rz 89–91); und – Faktoren des Geschäftsumfelds und des internen Kontrollsystems (Rz 92–97).

Eine Bank benötigt ein zuverlässiges, transparentes, gut dokumentiertes und verifizierbares Konzept für den Einbezug und die Bestimmung der relativen Bedeutung all dieser vier Input- Faktoren in ihren Ansatz. Der Ansatz muss intern konsistent sein und insbesondere die mehrfache Berücksichtigung risikomindernder Elemente (z.B. Faktoren des Geschäftsumfelds und

d) des internen Kontrollsystems oder Versicherungskontrakte) vermeiden.

Interne Verlustdaten (Art. 94 Abs. 2 ERV)

Eine Bank muss über dokumentierte Verfahren zur Beurteilung der fortlaufenden Relevanz historischer Verlustdaten verfügen. Dazu gehören insbesondere klare interne Regeln, wie die Berücksichtigung von Verlustdaten verändert werden kann (z.B. vollständige Nichtberücksichtigung auf Grund fehlender aktueller Relevanz, Skalierung auf Grund von veränderten Grössenverhältnissen oder Adjustierung in irgendeiner anderen Form). Dabei ist auch zu definieren, wer

zu solchen Veränderungen bis zu welcher Dimension autorisiert ist.

Eine Bank muss eine Datenbank mit internen Verlustdaten verwenden. Diese muss bei der erstmaligen Verwendung des Ansatzes zu regulatorischen Zwecken einen Beobachtungszeit-

erstrecken. raum von mindestens drei Jahren umfassen. Spätestens zwei Jahre nach erstmaliger Verwendung des Ansatzes muss sich der Beobachtungszeitraum dauerhaft über mindestens fünf Jahre

– Der Prozess zur Schaffung einer bankinternen Datenbank für operationelle Verluste muss die folgenden Anforderungen erfüllen:

Zur Unterstützung der regulatorischen Validierung muss eine Bank sämtliche erfassten in-

ternen Verlustdaten den Geschäftsfeldern gemäss Rz 23 und den Ereignistypen gemäss Anhang 2 zuordnen können. Sie muss über dokumentierte und objektive Kriterien für diese Kategorisierung verfügen.

– Die internen Verlustdaten einer Bank müssen gestützt auf einen integren und soliden Pro- zess umfassend gesammelt werden. Sie müssen alle materiellen Aktivitäten und Expositionen, inklusive aller relevanten Subsysteme und geographischen Lokalitäten abdecken. Bei der Verlustdatensammlung darf auf die systematische Erfassung von Verlusten unter einem bestimmten durch die FINMA festgelegten Brutto-Mindestbetrag verzichtet werden.

– Zu jedem Verlustereignis hat eine Bank die folgenden Informationen zu sammeln: Brutto- Verlustbetrag, Datum des Verlustereignisses und allfällige Verlustminderungen (z.B. auf Grund von Versicherungskontrakten). Für Verlustereignisse mit einem Brutto-Verlustbetrag von mindestens 1 Mio. CHF sind zudem Erläuterungen zu den Ursachen des Verlustes festzuhalten.

– Eine Bank muss Grundsätze für die Erfassung von Verlustereignissen definieren. Dazu ge- hören auch Kriterien für die Kategorisierung von Verlustereignissen aus zentralen Funktionen (zum Beispiel der EDV-Abteilung) oder von Verlustereignissen, die mehr als ein Geschäftsfeld betreffen. Im Weiteren muss geregelt sein, wie mit Serien von untereinander nicht unabhängigen Verlustereignissen umzugehen ist.

Verluste aufgrund operationeller Risiken, die im Kontext mit Kreditrisiken entstanden sind, und von einer Bank historisch als Kreditrisiko erfasst wurden, dürfen für die Bestimmung der erforderlichen Eigenmittel weiterhin ausschliesslich als Kreditrisikoereignis betrachtet werden. Sie müssen jedoch ab einem bestimmten durch die FINMA festgelegten Brutto-Mindestverlust-

Risiken nicht eigenmittelrelevant zu kennzeichnen. betrag trotzdem in die interne Verlustdatenbank für operationelle Risiken aufgenommen und für das Management operationeller Risiken berücksichtigt werden. Solche Verlustereignisse sind analog den übrigen internen Verlustdaten zu erfassen, jedoch als in Bezug auf operationelle

Äussert sich ein Verlust auf Grund eines operationellen Risikos auch in Form eines Marktrisikoverlustes, so ist das entsprechende Ereignis ebenfalls analog den übrigen Verlustereignissen zu erfassen und in den institutsspezifischen Ansatz zu integrieren. Verwendet eine Bank zur

Bestimmung ihrer erforderlichen Eigenmittel für Marktrisiken ein Risikoaggregationsmodell gemäss Rz 228–365 des FINMA-RS 08/20 „Marktrisiken Banken“, so dürfen durch Ereignisse infolge operationeller Risiken entstandene Positionen weder aus der Berechnung des Value-at- Risk, des Stress-basierten Value-at-Risk, der Incremental Risk Charge, der Comprehensive Risk Measure noch aus dem Backtesting ausgeschlossen werden.

Allfällige „negative Verluste“ (z.B. Gewinne auf Grund einer irrtümlich erworbenen Aktienposition) dürfen im institutsspezifischen Ansatz keine die erforderlichen Eigenmittel reduzierende

e) au Wirkung entfalten.

Externe Verlustdaten (Art. 94 Abs. 2 ERV)

Banken müssen in ihren institutsspezifischen Ansatz relevante externe Verlustdaten einfliessen lassen. Dadurch soll die Berücksichtigung seltener aber potenziell schwerwiegender Verlustereignisse sichergestellt werden. Als Quelle der relevanten Informationen können sowohl öffentlich verfügbare als auch zwischen bestimmten Banken ausgetauschte externe Verlustdaten dienen.

Für diese externe Verlustdaten sind die effektive Verlusthöhe, Informationen zum Umfang der Aktivitäten im durch den Verlust betroffenen Geschäftsbereich, Informationen über die Ursachen und Umstände des Verlustes sowie Informationen zur Beurteilung der Relevanz des Verlustereignisses für die eigene Bank zu berücksichtigen.

Banken müssen die Verwendung externer Verlustdaten durch einen systematischen Prozess festlegen und dokumentieren. Dazu gehört insbesondere eine klare Methodik betreffend die Integration dieser Daten in den institutsspezifischen Ansatz (z.B. Skalierung, qualitative Anpassungen oder Einfluss auf die Szenarioanalyse). Die Rahmenbedingungen und die Verfahren zur Verwendung externer Verlustdaten sind regelmässig zu überprüfen, sowohl intern als auch durch die Prüfgesellschaft.

f) Szenarioanalyse (Art. 94 Abs. 2 ERV)

Institutsspezifische Ansätze müssen die Ergebnisse von Szenarioanalyseverfahren berücksich- tigen.

Für Szenarioanalysen ist auf der Grundlage von Expertenmeinungen und externen Daten die Bedrohung der Bank durch potenziell schwerwiegende Verlustereignisse zu beurteilen.

Die für die Szenarioanalyse verwendeten Szenarien und die ihnen zugeordneten Parameter sind bei wesentlichen Veränderungen der Risikolage, mindestens aber jährlich, auf ihre Aktuag) lität und Relevanz hin zu überprüfen und allenfalls anzupassen. Bei wesentlichen Veränderungen der Risikolage sind Anpassungen unmittelbar vorzunehmen.

Geschäftsumfeld und internes Kontrollsystem (Art. 94 Abs. 2 ERV)

Als vorausschauendes Element muss eine Bank prädiktive Faktoren aus dem Umfeld ihrer Geschäftsaktivitäten und aus ihrem internen Kontrollsystem im institutsspezifischen Ansatz berücksichtigen. Diese dienen dem Ziel, aktuellen Charakteristiken im Risikoprofil der Bank (z.B. neue Aktivitäten, neue Informatiklösungen, veränderte Prozessabläufe) oder Veränderungen in

ihrem Umfeld (z.B. sicherheitspolitische Lage, veränderte Gerichtspraxis, Bedrohung durch Computerviren) spezifisch Rechnung tragen zu können.

Um im Rahmen eines institutsspezifischen Ansatzes verwendet werden zu dürfen, müssen für

– die Faktoren des Geschäftsumfelds und des internen Kontrollsystems die folgenden Anforderungen erfüllt sein:

– Jeder Faktor muss gemäss Erfahrungen und der Beurteilung aus dem betroffenen Geschäftsbereich ein relevanter Risikotreiber sein. Idealerweise sollte der Faktor quantifizier- und verifizierbar sein.

Die Sensitivität der Risikoschätzungen einer Bank in Bezug auf Veränderungen der Fakto- ren und ihrer relativen Bedeutung muss begründet werden können und nachvollziehbar sein. Neben möglichen Veränderungen des Risikoprofils durch Verbesserungen der Kontrollumgebung muss das Konzept insbesondere auch potenzielle Erhöhungen der Risiken durch wachsende Komplexität oder durch Wachstum der Geschäftsaktivitäten erfassen.

– Das Konzept an sich sowie die Auswahl und Anwendung der einzelnen Faktoren, inklusive der Grundprinzipien zu Anpassungen der empirischen Schätzungen, müssen dokumentiert sein. Die Dokumentation soll auch innerhalb der Bank Gegenstand unabhängiger Überprüfung sein.

– Die Prozesse, deren Ergebnisse und vorgenommene Anpassungen sind in regelmässigen Zeitabständen mit den effektiven internen und externen Verlusterfahrungen zu vergleichen.

h) Risikoverminderung durch Versicherungen

Bei Verwendung eines institutsspezifischen Ansatzes dürfen Banken die Risiko vermindernde Wirkung von Versicherungskontrakten bei der Bestimmung ihrer Eigenmittelanforderungen für

operationelle Risiken berücksichtigen. Die Anerkennung solcher Absicherungswirkungen ist jedoch auf eine Reduktion von maximal 20 % der mittels eines institutsspezifischen Ansatzes berechneten Eigenmittelanforderungen beschränkt.

Die Möglichkeiten zur Reduktion der Eigenmittelanforderungen ist an die Erfüllung der folgen- den Bedingungen geknüpft:

– Der Versicherungsgeber verfügt über ein langfristiges Kreditrating der Ratingklasse 3 oder besser. Das Kreditrating muss von einer durch die FINMA anerkannten Ratingagentur stammen.

– Der Versicherungskontrakt muss über eine Ursprungslaufzeit von mindestens einem Jahr verfügen. Sinkt seine Restlaufzeit auf unter ein Jahr, ist die Anerkennung seiner Absicherungswirkung linear von 100 % (bei mindestens 365 Tagen Restlaufzeit) auf 0 % (bei 90 Tagen Restlaufzeit) zu reduzieren. Absicherungswirkungen aus Versicherungskontrakten mit

– anforderungen nicht anerkannt. ob einer Restlaufzeit von 90 Tagen oder weniger werden für die Bestimmung der Eigenmittel-

Der Versicherungskontrakt verfügt über eine Kündigungsfrist von mindestens 90 Tagen.

Die Anerkennung der Absicherungswirkung nimmt bei Kündigungsfristen von unter einem Jahr linear ab; von 100 % (bei einer Kündigungsfrist von mindestens 365 Tagen) bis zu 0 % (bei einer Kündigungsfrist von 90 Tagen). Die Sätze sind auf die allenfalls bereits durch Rz 101 reduzierten Absicherungswirkungen anzuwenden.

– Der Versicherungskontrakt darf keine Ausschlussklauseln oder Einschränkungen für den Fall einer regulatorischen Intervention oder einer Zahlungsunfähigkeit der betreffenden Bank beinhalten, welche die Bank, ihren allfälligen Käufer, den Sanierungsbeauftragten o-

der den Liquidator von Versicherungsleistungen ausschliessen könnten. Zulässig wären entsprechende Ausschlussklauseln oder Einschränkungen jedoch, falls sie sich ausschliesslich auf Ereignisse nach Eröffnung des Konkursverfahrens oder nach der Liquidation beschränken.

– Die Berechnung der Absicherungswirkung aus Versicherungskontrakten muss transparent sein. Sie muss konsistent sein mit der im institutsspezifischen Ansatz verwendeten Wahrscheinlichkeit und der Grösse eines potenziellen Verlustereignisses.

– Der Versicherungsgeber muss eine externe Partei sein und darf nicht zur gleichen Gruppe wie die Bank gehören. Sollte er dies tun, so sind die Absicherungswirkungen aus den Versicherungskontrakten nur dann anerkennungsfähig, wenn der Versicherungsgeber die Risiken seinerseits an eine unabhängige dritte Partei (z.B. eine Rückversicherungsgesellschaft) weitergibt. Für eine Anerkennung der Absicherungswirkung muss diese unabhängige dritte Partei ihrerseits sämtliche entsprechenden Anforderungen an einen Versicherungsgeber erfüllen.

– Das bankinterne Konzept zur Berücksichtigung von Versicherungslösungen muss sich am effektiven Risikotransfer orientieren. Es muss gut dokumentiert sein.

– Die Bank hat Informationen zur Verwendung von Versicherungslösungen mit dem Ziel einer Verminderung operationeller Risiken zu publizieren.

D. Partielle Anwendung von Ansätzen

Es ist grundsätzlich zulässig, die Anwendung eines institutsspezifischen Ansatzes auf einzelne Aktivitätsbereiche zu beschränken und die übrigen entweder durch den Basisindikator- oder den Standardansatz abzudecken. Voraussetzung dazu ist die Erfüllung der folgenden Bedingungen:

– Sämtliche operationellen Risiken einer Bank werden durch einen in diesem Rundschreiben aufgeführten Ansatz erfasst. Dabei sind die jeweiligen Anforderungen für diese Ansätze in den entsprechenden Aktivitätsbereichen zu erfüllen.

–

– Zum Zeitpunkt der Anwendung eines institutsspezifischen Ansatzes hat dieser einen wesentlichen Teil der operationellen Risiken der Bank zu erfassen.

Die Bank muss über einen Zeitplan verfügen, aus dem sich der zeitliche Ablauf der Aus-

– dehnung des institutsspezifischen Ansatzes auf all ihre materiellen rechtlichen Einheiten und Geschäftsfelder ergibt.

Es ist nicht zulässig, den Basisindikator- oder den Standardansatz in einzelnen materiellen Aktivitätsbereichen aus Gründen der Minimierung von Eigenmittelanforderungen beizube-

halten.

Die Abgrenzung zwischen dem institutsspezifischen Ansatz und dem Basisindikator- bzw. dem

Standardansatz kann sich an Geschäftsfeldern, rechtlichen Strukturen, geographischen Abgrenzungen oder anderen intern klar definierten Abgrenzungskriterien orientieren.

Abgesehen von den in Rz 108–113 genannten Fällen ist es nicht zulässig, die Eigenmittelanforderungen für operationelle Risiken in einer Bank unter Verwendung unterschiedlicher An-

sätze zu bestimmen.

E. Anpassungen der Eigenmittelanforderungen (Art. 45 ERV)

Im Rahmen ihrer Überwachungsfunktionen betreffend zusätzliche Eigenmittel (Art. 45 ERV) kann die FINMA die Eigenmittelanforderungen für einzelne Banken individuell erhöhen. Solche individuellen Erhöhungen der Eigenmittelanforderungen drängen sich insbesondere dann auf, wenn eine ausschliesslich auf den Basisindikator- oder den Standardansatz gestützte Bestimmung der Eigenmittelanforderungen auf Grund tiefer Ertragsindikatoren GI zu unangemessen geringen Eigenmittelanforderungen führen würde.

F. Mindesteigenmittel und Untergrenze (Floor)

In Anwendung der vom Basler Ausschuss publizierten Fortführung des „Floor-Regimes“ gilt:4 Für Banken, die operationelle Risiken nach dem AMA unterlegen, dürfen auf Gesamtbankstufe die Mindesteigenmittelanforderungen, unter zusätzlicher Berücksichtigung von Abzügen von den anrechenbaren Eigenmitteln, nicht tiefer als 80 % jener Anforderungen und Abzüge betragen, welche die Bank theoretisch unter dem Mindeststandard von Basel I gehabt hätte. 5 In Anwendung von Art. 47 ERV bestimmt die FINMA im institutsspezifischen Einzelfall, wie eine angemessene approximative Berechnung der theoretischen Basel I-Anforderungen vorgenom-

93 ERV. men werden kann. Für operationelle Risiken orientiert sie sich am Standardansatz gemäss Art.

IV Qualitative Anforderungen an den Umgang mit operationellen Risiken

A. Proportionalitätsprinzip ob

Die Anforderungen dieses Kapitels gelten grundsätzlich für alle Adressaten dieses Rundschrei-

bens. Die Anforderungen dieses Kapitels sind jedoch im Einzelfall abhängig von der Grösse, der Komplexität, der Struktur und des Risikoprofils des Instituts umzusetzen. Die Rz 119 listet die Randziffern auf, von deren Umsetzung kleine Institute gänzlich ausgenommen sind.

Kleine Institute im Sinne der Rz 117 sind Banken und Effektenhändler der FINMA-Kategorien6

4 und 5. Die FINMA kann im Einzelfall Erleichterungen oder Verschärfungen anordnen.

B. Qualitative Grundanforderungen

Kleine Institute gemäss Rz 117 und 118 sind von der Erfüllung von Rz 129 und 132–134 ausgenommen.

Die qualitativen Grundanforderungen basieren auf den „Principles for the Sound Management

of Operational Risk“ des Basel Committee on Banking Supervision (Juni 2011).

a) Grundsatz 1: Kategorisierung und Klassifizierung von operationellen Risiken

Die operationellen Risiken sind zur Gewährleistung der Konsistenz im Rahmen der Risikoiden- tifikation, der Risikobeurteilung und der Zielsetzung im operativen Risikomanagement einheitlich zu kategorisieren8.

4 Vgl. Pressemitteilung des Basler Ausschusses vom 13. Juli 2009: www.bis.org/press/p090713.htm. 5 Dies entspräche der Berechnung der Eigenmittelanforderungen nach der bis 31.12.2006 gültigen Bankenverordnung vom 17. Mai 1972 (AS 1995 253, AS 1998 16). 6 Vgl. den Anhang im FINMA-RS 11/2 „Eigenmittelpuffer und Kapitalplanung Banken“. 7 www.bis.org/publ/bcbs195.pdf

8 Diese einheitliche Kategorisierung kann in Anlehnung an Anhang 2 dieses Rundschreibens oder mittels

einer internen Terminologie oder Taxonomie erfolgen.

Die einheitliche Klassifizierung der operationellen Risiken erfolgt auf Basis der Kategorisierung der operationellen Risiken gemäss Rz 121 und umfasst eine Beurteilung sowohl der inhärenten Risiken9 als auch der Residualrisiken10. Die Klassifizierung kann sowohl auf Basis einer qualitativen wie quantitativen Beurteilung erfolgen. Die Klassifizierung dient insbesondere auch der Bestimmung der Risiken mit weitreichender Tragweite im Sinne von Rz 137.

Aufgehoben 123*-

b) Aufgehoben

Aufgehoben

c) Grundsatz 2: Identifizierung, Begrenzung und Überwachung 125*-

Eine wirksame Risikoidentifikation, welche die Grundlage für die Begrenzung und Überwachung der operationellen Risiken bildet, berücksichtigt sowohl interne 11 als auch externe12 Faktoren. Hierzu gehören mindestens Risiko- und Kontrollbeurteilungen sowie Revisionsergebnisse.

a. In Abhängigkeit von den institutsspezifischen Geschäftsaktivitäten und deren Art, Umfang, Komplexität und Risikogehalt, ist die Berücksichtigung weiterer Instrumente und Methoden zu prüfen und sind diese gegebenenfalls anzuwenden: Erhebung und Analyse interner Verlustdaten;

b. c. Erhebung und Analyse externer Ereignisse, die mit operationellen Risiken verbunden sind; Analyse der Zusammenhänge zwischen Risiken, Prozessen und Kontrollen; d.

e. f. Risiko- und Performance-Indikatoren für die Überwachung von operationellen Risiken und Indikatoren für die Wirksamkeit des internen Kontrollsystems; Szenarioanalysen; Abschätzung des Verlustpotenzials; g. Vergleichende Analysen13.

Die Begrenzung und Überwachung erfolgt mittels der im Rahmenkonzept für das institutsweite Risikomanagement gemäss dem FINMA-Rundschreiben 2017/1 „Corporate Governance – Banken“ definierten Instrumente, Strukturen, Ansätze usw. von den hierfür vorgesehenen Organisationseinheiten.

d) Grundsatz 3: Interne und externe Berichterstattung

9 Vgl. Anhang 3, Rz

10 Vgl. Anhang 3, Rz 11 Beispielsweise Unternehmensstruktur, Art der Aktivitäten, Qualifikationen der Mitarbeitenden, organisatorische Veränderungen und Personalfluktuation einer Bank. 12 Beispielsweise Veränderungen des weiteren Umfelds und der Branche sowie technologische Fortschritte.

13 Bei einer vergleichenden Analyse werden die Resultate der verschiedenen Beurteilungsinstrumente

verglichen, um sich ein umfassenderes Bild der operationellen Risiken der Bank zu verschaffen.

Aufgehoben 131*

Die interne Berichterstattung über operationelle Risiken muss sowohl Finanz-, Betriebs- und Compliance-Daten, aber auch wesentliche risikorelevante externe Informationen über Ereignisse und Bedingungen umfassen. Die Berichterstattung über operationelle Risiken muss dabei mindestens folgende Punkte abdecken und deren mögliche Auswirkungen auf das Institut und das für die operationellen Risiken erforderliche Eigenkapital darstellen:

a. Wesentliche Verstösse gegen die in Bezug auf die inhärenten und Residualrisiken definierte Risikotoleranz des Instituts sowie Überschreitungen von diesbezüglich festgesetzten Risikobegrenzungen; b. Einzelheiten zu wesentlichen internen operationellen Risikoereignissen und/oder Verlusten;

c. Informationen zu externen Ereignissen, welche für das Institut relevant sein können, und potentiellen Risiken sowie deren mögliche Auswirkungen auf das Institut.

Ein Institut muss über eine formelle, vom Oberleitungsorgan genehmigte Offenlegungspolitik

verfügen, aus der hervorgeht, wie die Bank ihre operationellen Risiken offenlegt und welche Kontrollprozesse bezüglich der Offenlegung anzuwenden sind.

Von den Instituten extern offen zu legende Informationen müssen es den Anspruchsgruppen

erlauben, sich ein Urteil über den Ansatz zum Management von operationellen Risiken zu bilden. Hierzu gehört u.a. das Konzept für das Management operationeller Risiken. Dieses muss den Anspruchsgruppen eine Beurteilung der Wirksamkeit der Identifikation, Begrenzung und

e) au Überwachung der operationellen Risiken ermöglichen.

Grundsatz 4: Technologieinfrastruktur

Die Geschäftsleitung hat den Umgang mit Risiken aus der Technologieinfrastruktur in Überein- stimmung mit der IT-Strategie und der definierten Risikotoleranz sowie unter Berücksichtigung von für das jeweilige Institut relevanten Aspekte gemäss international anerkannten Standards in geeigneter Form zu dokumentieren.

Die Geschäftsleitung stellt dabei sicher, dass im Umgang mit Risiken aus der Technologieinf- rastruktur mindestens die folgenden Aspekte abgedeckt sind:

a. Aktuelle Übersicht über die wesentlichsten Bestandteile der Netzwerkinfrastruktur und ein Inventar aller kritischen Applikationen und der damit verbundenen IT-Infrastruktur sowie Schnittstellen mit Dritten,

14 Technologieinfrastruktur bezeichnet den physischen und logischen (elektronischen) Aufbau von IT- und

Kommunikationssystemen, die einzelnen Hard- und Softwarekomponenten, die Daten und die Betriebsumgebung.

b. Eindeutige Festlegung von Rollen, Aufgaben und Verantwortlichkeiten in Bezug auf die kritischen Applikationen sowie damit verbundener IT-Infrastruktur und kritischen und/oder sensitiven Daten und Prozesse,

c. Systematischer Prozess im Hinblick auf die Identifikation und Beurteilung von IT-Risiken im Rahmen der Sorgfaltsprüfung (Due Diligence) insbesondere bei Akquisitionen bzw. Auslagerungen im IT-Bereich sowie bei der Überwachung von Dienstleistungsvereinbarungen,

d. Massnahmen zur Stärkung des Bewusstseins der Mitarbeiter im Hinblick auf ihre Verant-

Informationssicherheit. en wortung zur Reduktion von IT-Risiken sowie Einhaltung und Stärkung der IT-

Die Geschäftsleitung hat zudem den Umgang mit Cyber-Risiken15 in geeigneter Form zu doku-

a. mentieren. Dieser Umgang hat mindestens die folgenden Aspekte abzudecken und eine effektive Umsetzung durch geeignete Prozesse sowie eine eindeutige Festlegung von Aufgaben, Rollen und Verantwortlichkeiten zu gewährleisten:

Identifikation der institutsspezifischen Bedrohungspotenziale durch Cyber-Attacken16,

b. insbesondere in Bezug auf kritische und/oder sensitive Daten und IT-Systeme,

Schutz der Geschäftsprozesse und der Technologieinfrastruktur vor Cyber-Attacken, insbesondere im Hinblick auf die Vertraulichkeit, Integrität und Verfügbarkeit der kritischen

c. und/oder sensitiven Daten und IT-Systeme,

Zeitnahe Erkennung und Aufzeichnung von Cyber-Attacken auf Basis eines Prozesses

d. auzur systematischen Überwachung der Technologieinfrastruktur,

Reaktion auf Cyber-Attacken durch zeitnahe und gezielte Massnahmen sowie bei wesentlichen, die Aufrechterhaltung des normalen Geschäftsbetriebs bedrohenden Cyber- Attacken in Abstimmung mit dem BCM, und

e. Sicherstellung einer zeitnahen Wiederherstellung des normalen Geschäftsbetriebs nach Cyber-Attacken durch geeignete Massnahmen.

Die Geschäftsleitung lässt zum Schutz der kritischen und/oder sensitiven Daten und IT- Systemen vor Cyber-Attacken regelmässig Verwundbarkeitsanalysen 17 und Penetration Testings18 durchführen. Diese müssen durch qualifiziertes Personal mit angemessenen Ressourcen durchgeführt werden.

15 Operationelle Risiken in Bezug auf mögliche Verluste durch Cyber-Attacken.

16 Sind Angriffe aus dem Internet und vergleichbaren Netzen, auf die Integrität, die Verfügbarkeit und die

Vertraulichkeit der Technologieinfrastruktur, insbesondere in Bezug auf kritische und/oder sensitive Daten und IT-Systeme.

17 Analyse zur Identifikation von derzeit bestehenden Software-Schwachstellen und Sicherheitslücken in

der IT-Infrastruktur gegenüber Cyber-Attacken. 18 Gezielte Prüfung und das Ausnützen von Software-Schwachstellen und Sicherheitslücken in der Technologieinfrastruktur, um unberechtigten Zugang zu dieser Technologieinfrastruktur zu erhalten.

f) Grundsatz 5: Kontinuität bei Geschäftsunterbrechung

Die Geschäftsleitung hat über Pläne zur Fortführung der Geschäfte des Instituts zu verfügen,

welche die Kontinuität der Tätigkeiten und die Schadensbegrenzung im Falle einer schwerwiegenden Geschäftsunterbrechung gewährleisten.

g) Grundsatz 6: Weiterführung von kritischen Dienstleistungen bei der Abwicklung und Sanierung von systemrelevanten Banken

Systemrelevante Banken treffen im Rahmen ihrer Notfallplanung die für die unterbruchsfreie

Weiterführung von systemrelevanten Funktionen nötigen Massnahmen (Art. 9 Abs. 2 Bst. d BankG i.V.m. Art. 60 ff. BankV). Sie identifizieren die zur Fortführung der systemrelevanten Funktionen im Fall der Abwicklung, Sanierung oder Restrukturierung notwendigen Dienstleistungen („kritische Dienstleistungen“) und ergreifen die für deren Weiterführung nötigen Massben in diesem Zusammenhang. nahmen. Dabei berücksichtigen sie die von internationalen Standardsettern erlassenen Vorgah) Grundsatz 7: Risiken aus dem grenzüberschreitenden Dienstleistungsgeschäft

Wenn Institute oder ihre Gruppengesellschaften grenzüberschreitend Finanzdienstleistungen erbringen oder Finanzprodukte vertreiben, sind auch die aus einer Anwendung ausländischer Rechtsvorschriften (Steuer-, Straf-, Geldwäschereirecht usw.) resultierenden Risiken angemessen zu erfassen, begrenzen und kontrollieren. Insbesondere erwartet die FINMA als Aufsichts-

behörde, dass die Institute ausländisches Aufsichtsrecht einhalten.

Die Institute unterziehen ihr grenzüberschreitendes Finanzdienstleistungsgeschäft sowie den

grenzüberschreitenden Vertrieb von Finanzprodukten einer vertieften Analyse der rechtlichen Rahmenbedingungen und der damit verbundenen Risiken. Gestützt auf diese Analyse treffen die Institute die erforderlichen strategischen und organisatorischen Massnahmen zur Risikoeliminierung und -minimierung und passen diese laufend geänderten Bedingungen an. Insbesondere verfügen sie über das notwendige länderspezifische Fachwissen, definieren sie spezifische Dienstleistungsmodelle für die bedienten Länder, schulen die Mitarbeiter und stellen durch entsprechende organisatorische Massnahmen, Weisungen, Vergütungs- und Sanktionsmodelle die Einhaltung der Vorgaben sicher.

Auch die durch externe Vermögensverwalter, Vermittler und andere Dienstleister generierten Risiken sind zu berücksichtigen. Entsprechend ist bei der Auswahl und Instruktion dieser Partner sorgfältig vorzugehen.

Von diesem Grundsatz werden auch Konstellationen erfasst, in denen eine im Ausland ansäs- sige Tochtergesellschaft, Zweigniederlassung oder dergleichen eines Schweizer Finanzinstituts Kunden grenzüberschreitend bedient.

19 Vgl. die als Mindeststandard anerkannten Ziffern der SBVg-Empfehlungen für das Business Continuity

Management (BCM).

C Risikospezifische qualitative Anforderungen

Die Steuerung und Kontrolle spezifischer operationeller Risiken mit weitreichender Tragweite hat umfassender und intensiver zu erfolgen als dies in den qualitativen Grundanforderungen vorgegeben ist. Die Geschäftsleitung hat hierfür ergänzende risikospezifische Massnahmen oder eine Verschärfung bestehender Massnahmen situativ zu bestimmen und umzusetzen.

Falls die FINMA es als notwendig erachtet, kann sie für spezifische Themen weitergehende Konkretisierungen an das Management von operationellen Risiken definieren. Dies geschieht

zurückhaltend und unter Anwendung des Proportionalitätsprinzips. Weitergehende qualitative Anforderungen werden thematisch sortiert im Anhang zum Rundschreiben veröffentlicht.

V Prüfung und Beurteilung durch die Prüfgesellschaften

fest. Die Prüfgesellschaften prüfen die Einhaltung dieses Rundschreibens nach Massgabe des FINMA-RS 13/3 „Prüfwesen“ und halten das Ergebnis ihrer Prüfungshandlungen im Prüfbericht

Anhang 1 Kategorisierung der Geschäftsfelder nach Art. 93 Abs. 2 ERV

I. Übersicht

1 Ebene 2. Ebene Aktivitäten

Unternehmensfinanzie- Fusionen und Übernahmen, Emissions- und rung/-beratung Platzierungsgeschäfte, Privatisierungen, Öffentliche Haushalte Verbriefungen, Research, Kredite (öffentli- Unternehmensfinanzieche Haushalte, High-Yield), Beteiligungen, rung/-beratung Handelsfinanzierungen Syndizierungen, Börsengänge (Initial Public Offerings), Privatplatzierungen im Sekundär- Beratungsdienstleishandel

Handel tungen Kundenhandel Market Making Anleihen, Aktien, Devisengeschäfte, Rohstoffgeschäfte, Kredite, Derivate, Funding, Eigenhandel, Wertpapierleihe und Repos, Eigenhandel Treasury ob Retail Banking Brokerage (für Nicht-Retail-Investoren), Prime Brokerage

Anlage- und Kreditgeschäft, Serviceleistungen, Treuhandgeschäfte und Anlagebera-

Privatkundengeschäft Private Banking tung Anlage- und Kreditgeschäft, Serviceleistungen, Treuhandgeschäfte, Anlageberatung und andere Private-Banking-Dienstleistunfg Karten-Dienstleistungen gen

Karten für Firmen und Privatpersonen

Firmenkundengeschäft Firmenkundengeschäft Projektfinanzierung, Immobilienfinanzierung, Exportfinanzierung, Handelsfinanzierung, Factoring, Leasing, Kreditgewährungen, Garantien und Bürgschaften, Wechselgeschäft Zahlungsverkehr/Wert- Zahlungsverkehr, Clearing und Wertpapier- Externe Kunden schriftenabwicklung20 abwicklung für Drittparteien Treuhandverwahrung, Depotgeschäft, Cus- Custody tody, Wertpapierleihe für Kunden; ähnliche Dienstleistungen für Firmen Depot- und Treuhandgeschäfte Treuhandgeschäft Emissions- und Zahlstellenfunktionen Unternehmens-stiftungen Institutionelle Vermö- Freie Vermögensver- Im Pool, segmentiert, Retail-bezogen, instigensverwaltung waltung tutionell, geschlossen, offen, Private Equity

20 Verluste aus dem Bereich Zahlungsverkehr und Wertpapierabwicklung, die eigene Aktivitäten eines

Institutes betreffen, sind jeweils dem entsprechenden Geschäftsfeld zuzuordnen.

Anhang 1 Kategorisierung der Geschäftsfelder nach Art. 93 Abs. 2 ERV

Gebundene Vermö- Im Pool, segmentiert, Retail-bezogen, indivigensverwaltung duell, privat, institutionell, geschlossen, offen Wertpapierprovisions- Ausführung von Wert- Ausführung, inkl. sämtlicher damit verbundegeschäft schriftenaufträgen nen Dienstleistungen

II Grundsätze für die Allokation

1. Sämtliche Aktivitäten einer Bank müssen vollständig einem der acht Geschäftsfelder (1. Ebene in Tabelle 2) zugeordnet werden. Die Zuordnung darf nicht zu Überschneidungen führen. 2. Auch jene Tätigkeiten, die nicht direkt mit dem eigentlichen Geschäft einer Bank zusammenhängen, sondern unterstützenden Charakter haben, sind einem Geschäftsfeld zuzu-

ordnen. Falls die Unterstützung ein Geschäftsfeld betrifft, erfolgt auch die Zuordnung zu diesem Geschäftsfeld. Sind mehrere Geschäftsfelder durch eine unterstützende Aktivität betroffen, hat die Zuordnung gestützt auf objektive Kriterien zu erfolgen.

3. Kann eine Aktivität nicht auf Grund objektiver Kriterien in ein bestimmtes Geschäftsfeld ka-

ter. tegorisiert werden, so ist sie innerhalb der relevanten Geschäftsfelder jenem mit dem höchsten β-Faktor zuzuordnen. Dies gilt auch für die Aktivitäten mit Unterstützungscharakfg

4 Banken dürfen für die Allokation ihres Ertragsindikators GI interne Verrechnungsmethoden

anwenden. In jedem Fall muss jedoch die Summe der Ertragsindikatoren aus den acht Geschäftsfeldern dem Ertragsindikator für die gesamte Bank – wie er im Basisindikatoransatz

verwendet wird – entsprechen.

5. Die Kategorisierung von Aktivitäten in die verschiedenen Geschäftsfelder für die Bestimmung der Eigenmittelanforderungen für operationelle Risiken muss grundsätzlich mit den für Kredit- und Marktrisiken verwendeten Abgrenzungskriterien kompatibel sein. Allfällige

Abweichungen von diesem Prinzip sind klar zu begründen und müssen dokumentiert sein.

6. Der gesamte Kategorisierungsprozess muss klar dokumentiert sein. Insbesondere haben die schriftlichen Definitionen der Geschäftsfelder ausreichend klar und detailliert genug sein, um auch von nicht mit der Bank vertrauten Personen nachvollzogen werden zu können. Wo Ausnahmen von den Grundsätzen der Kategorisierung möglich sind, müssen auch diese klar begründet und dokumentiert sein.

7. Die Bank muss über Verfahren verfügen, die ihr die Kategorisierung neuer Aktivitäten oder Produkte ermöglichen.

8. Die Geschäftsleitung ist für die Grundsätze der Kategorisierung verantwortlich. Diese sind durch das Organ für die Oberleitung, Aufsicht und Kontrolle der Bank zu genehmigen.

9. Die Verfahren der Kategorisierung sind regelmässig durch die Prüfgesellschaft zu überprü- fen.

Anhang 2 Übersicht zur Kategorisierung von Ereignistypen

Verlustereignis-ka- Definition Subkategorien Beispiele von Aktivitätegorie (Stufe 2) ten (Stufe 1) (Stufe 3) Interner Betrug Verluste auf Grund von Unautorisierte Akti- Nicht rapportierte Handlungen mit betrügeri- vität Transaktionen (vorsätzscher Absicht, Veruntreu- lich) ung von Eigentum, Umge- Unautorisierte Transakhung von Gesetzen, Vortionen (mit finanziellem schriften oder internen Schaden) Bestimmungen (unter Beteiligung mindestens einer interner Partei) en Diebstahl und Betrug Falscherfassung von Positionen (vorsätzlich) Betrug, Kreditbetrug, wertlose Einlagen

ob Diebstahl, Erpressung, Veruntreuung, Raub Veruntreuung von Vereh mögenswerten Böswillige Vernichtung von Vermögenswerten Fälschungen

fg Scheckbetrug Schmuggel

au Unbefugter Zugriff auf fremde Konten Steuerdelikte Bestechung Insidergeschäfte (nicht auf Rechnung des Arbeitgebers) Externer Betrug Verluste auf Grund von Diebstahl und Be- Diebstahl, Raub Handlungen mit betrügeri- trug Fälschungen scher Absicht, Veruntreuung von Eigentum oder der Scheckbetrug Umgehung von Gesetzen Informatiksicher- Schäden durch Hacker- bzw. Vorschriften (ohne heit Aktivitäten Beteiligung einer internen Partei) Unbefugter Zugriff auf Informationen (mit finanziellem Schaden)

Anhang 2 Übersicht zur Kategorisierung von Ereignistypen

Verlustereignis-ka- Definition Subkategorien Beispiele von Aktivitätegorie (Stufe 2) ten (Stufe 1) (Stufe 3) Arbeitsplatz Verluste auf Grund von Wi- Mitarbeiter Kompensations- und derhandlungen gegen ar- Abfindungszahlungen, beitsrechtliche, sicherheits- Verluste im Zusammen- oder gesundheitsbezogene hang mit Streiks usw. Vorschriften oder Verein- Sicherheit am Ar- Allgemeine Haftpflicht barungen; inkl. aller Zahbeitsplatz lungen im Zusammenhang Verstoss gegen sichermit solchen Widerhandlungen en heits- oder gesundheitsbezogene Bestimmungen Entschädigungs- oder Schadenersatzzahlunob Diskriminierung gen an Mitarbeiter Schadenersatzzahlungen auf Grund von Diskriminierungsklagen Kunden, Produkte und Geschäftspraktiken Verluste auf Grund unbeabsichtigter oder fahrlässiger Nichterfüllung von Verpflichtungen gegenüber Angemessenheit, Offenlegung und Treuhandpflichten Verstoss gegen Treuhandpflichten, Verletzung von Richtlinien

fg Kunden sowie Verluste auf Grund der Art oder Struktur bestimmter Produkte Probleme bezüglich Angemessenheit und Offenlegung (Know-your- Customer-Regeln usw.)

au Verletzung von Informationspflichten gegenüber Kunden Verletzung des Bankkundengeheimnisses bzw. von Datenschutzbestimmungen Aggressive Verkaufspraktiken Inadäquate Generierung von Kommissions- und Courtagenzahlungen Missbrauch vertraulicher Informationen Haftung des Kreditgebers

Anhang 2 Übersicht zur Kategorisierung von Ereignistypen

Verlustereignis-ka- Definition Subkategorien Beispiele von Aktivitätegorie (Stufe 2) ten (Stufe 1) (Stufe 3) Unzulässige Ge- Verstoss gegen kartellschäfts- oder rechtliche Bestimmun- Marktpraktiken gen Unlautere Marktpraktiken Marktmanipulationen

en Insidergeschäfte (auf Rechnung des Arbeitgebers) Geschäftstätigkeiten

ob Probleme mit Proohne entsprechende Bewilligung Geldwäscherei Produktprobleme (Beeh dukten

Kundenselektion, fugnismängel usw.) Modellfehler Nicht mit internen Richtfg Geschäftsvergabe und Kreditexposition linien kompatibles Vorgehen bei Kundenprüfungen

au Beratungstätigkeiten Überschreitung von Limiten Streitigkeiten in Bezug auf Resultate von Beratungstätigkeiten Sachschaden Verluste auf Grund von Katastrophen oder Naturkatastrophen Schäden an physischen andere Ereignisse Terrorismus Vermögenswerten infolge Naturkatastrophen oder Vandalismus anderer Ereignisse Geschäftsunterbrü- Verluste auf Grund von Technische Sys- Hardware che und Systemaus- Störungen der Geschäfts- teme Software fälle tätigkeit oder Problemen mit technischen Systemen Telekommunikation Stromausfälle usw.

Anhang 2 Übersicht zur Kategorisierung von Ereignistypen

Verlustereignis-ka- Definition Subkategorien Beispiele von Aktivitätegorie (Stufe 2) ten (Stufe 1) (Stufe 3) Abwicklung, Vertrieb Verluste auf Grund von Erfassung, Abwick- Kommunikationsfehler und Prozessma- Fehlern bei der Geschäfts- lung und Betreu- Fehler bei der Datenernagement abwicklung oder beim Pro- ung von Transaktifassung oder im Datenzessmanagement; Verluste onen unterhalt aus Beziehungen mit Geschäftspartnern, Lieferan- Terminüberschreitung ten usw. Nichterfüllung einer

en Aufgabe Fehler bei Modell- oder Systemanwendung Buchhaltungsfehler

ob bzw. Zuordnung zur falschen Einheit Fehlerhafte bzw. nichterfolgte Lieferung

eh Fehlerhafte Bewirtschaftung von Absicherungsinstrumenten

fg Fehler im Umgang mit Referenzdaten Fehler bei übrigen Aufgaben

au Überwachung und Meldungen Nichterfüllung von Meldepflichten Inadäquate Berichte an Externe (mit Verlustfolge) Kundenaufnahme Nichteinhaltung ent- und Kundendoku- sprechender interner mentation und externer Vorgaben Kontoführung für Gewährung eines nicht- Kunden legitimierten Kontozugriffs Unkorrekte Kontoführung mit Verlustfolge Verlust oder Beschädigung von Kundenvermögenswerten durch fahrlässige Handlungen

Anhang 2 Übersicht zur Kategorisierung von Ereignistypen

Verlustereignis-ka- Definition Subkategorien Beispiele von Aktivitätegorie (Stufe 2) ten (Stufe 1) (Stufe 3) Geschäftspartner Fehlerhafte Leistung von Geschäftspartnern (Nichtkunden) Verschiedene Streitigkeiten mit Geschäftspartnern (Nichtkunden)

enLieferanten und Anbieter Outsourcing Streitigkeiten mit Lieferanten und Anbietern

Anhang 3* Umgang mit elektronischen Kundendaten

In diesem Anhang werden die Grundsätze und die dazugehörigen Ausführungen für das sachge- rechte Management von Risiken im Zusammenhang mit der Vertraulichkeit elektronischer Personendaten natürlicher Personen („Privatkunden“ 21), deren Geschäftsbeziehungen in oder von der Schweiz aus betreut oder geführt werden („Kundendaten“), formuliert. Die Grundsätze sind hauptsächlich auf das Risiko von Vorfällen in Bezug auf die Vertraulichkeit von Kundenmassendaten durch Verwendung elektronischer Systeme zugeschnitten. Sie gehen nur am Rande auf Sicherheitsüberlegungen für physische Daten sowie auf Fragen der Integrität und Verfügbarkeit von Daten ein. Die einschlägigen rechtlichen Bestimmungen finden sich nicht nur im Aufsichtsrecht22, sondern auch im Datenschutzrecht23 und Zivilrecht.

– en Kleine Banken24 sind von der Erfüllung folgender Randziffern ausgenommen:

–

Rz 15, 17–19 sowie 22 des Grundsatzes 3;

Alle Randziffern der Grundsätze 4–6;

– Rz 41 des Grundsatzes 7. Institute nach Art. 47a–47e ERV sowie Institute gemäss Art. 1b BankG können sich hinsichtlich Umsetzung der Anforderungen in Anhang 3 auf die Rz 3 beschränken. Dabei ist die Anforderung

des Instituts umzusetzen. in Rz 3 im Einzelfall abhängig von der Grösse, der Komplexität, der Struktur und des Risikoprofils

I Grundsätze für das sachgerechte Management von Risiken im Zusamfg

menhang mit der Vertraulichkeit von Kundendaten

A. Grundsatz 1: Governance

Risiken im Zusammenhang mit der Vertraulichkeit von Kundendaten werden systematisch identifiziert, begrenzt und überwacht. Dazu überwacht das Oberleitungsorgan die Geschäftsleitung zur Sicherstellung einer wirksamen Implementierung von Massnahmen zur Gewährleistung der Ver-

traulichkeit von Kundendaten. Die Geschäftsleitung beauftragt eine unabhängige Einheit als Kontrollfunktion, die Rahmenbedingungen zur Sicherstellung der Vertraulichkeit von Kundendaten zu schaffen und aufrechtzuerhalten.

a) Unabhängigkeit und Verantwortung

Die für die Schaffung und Aufrechterhaltung der Rahmenbedingungen zur Sicherstellung der Ver- traulichkeit von Kundendaten zuständige Einheit muss unabhängig von jenen Einheiten sein, welche für die Verarbeitung der Daten zuständig sind.

21 Unter „Privatkunden“ werden auch solche Geschäftsbeziehungen verstanden, bei denen die natürliche

Person mittels einer juristischen Person (z.B. als wirtschaftlich Berechtigter einer Sitzgesellschaft, Domizilgesellschaft, Stiftung) oder Trust eine Geschäftsbeziehung mit der Bank eingeht. 22 Insbesondere Art. 3 und 47 BankG sowie Art. 12 BankV; Art. 10 und 43 BEHG sowie Art. 19 f. BEHV. 23 Insbesondere Art. 7 DSG sowie Art. 8 ff. VDSG (vgl. dazu auch die Leitfäden des EDÖB).

24 Vgl. Rz 118

Anhang 3* Umgang mit elektronischen Kundendaten

Für alle beteiligten Funktionen und Standorte müssen die Verantwortlichkeiten geregelt sein und klare Eskalationsstrukturen geschaffen werden. Insbesondere die Festlegung der Verantwortlichkeiten und ihre Zuteilung an Front-Office-, IT- und Kontrollfunktionen sind von der Geschäftsleitung zu definieren und vom Oberleitungsorgan zu genehmigen. Die Geschäftsleitung informiert das Oberleitungsorgan regelmässig über die Wirksamkeit der eingeführten Kontrollen.

b) Vorgaben, Prozesse und Systeme

Es wird vorausgesetzt, dass ein formales und umfassendes Rahmenkonzept von Aktivitäten, Pro- zessen und Systemen zur Datenvertraulichkeit besteht, dessen Struktur der Grösse und Kompleen xität der Bank Rechnung trägt. Dieses Rahmenkonzept muss in allen Funktionsbereichen und Einheiten, die auf Kundendaten zugreifen oder diese bearbeiten, konsistent umgesetzt werden.

Die Massnahmen und die Periodizität deren Durchführung sind aufgrund der von der Bank fest-

gelegten Risikotoleranz schriftlich, nachvollziehbar und verbindlich festzulegen.

Die Implementierung und Einhaltung des Rahmenkonzepts zur Vertraulichkeit von Kundendaten ist durch das Oberleitungsorgan zu überwachen und muss durch regelmässige Kontrollen der für Datensicherheit und -vertraulichkeit zuständigen Einheit sichergestellt werden.

B. Grundsatz 2: Kundenidentifikationsdaten (Client Identifying Data, CID)

Grundlegende Anforderung für ein angemessenes Rahmenkonzept zur Sicherstellung der Ver-

traulichkeit von Kundendaten ist die Kategorisierung der Kundendaten, die eine Bank verarbeitet. Dies erfordert die unternehmensspezifische Festlegung von Kundenidentifikationsdaten (CID) und deren Klassifizierung bzgl. ihrer Vertraulichkeits- und Schutzstufe. Zudem muss die Zuordnung

a) au der Datenverantwortung (Data Owners) geregelt sein.

Kundendatenkategorien und CID-Definition

Eine klare und transparente Liste der Kundendatenkategorien, einschliesslich der unternehmens- spezifischen Festlegung von CID, muss in der Bank vorliegen und formell dokumentiert werden. Die Kategorisierung und Definition von Kundendaten hat sämtliche direkten Kundenidentifikationsdaten (z.B. Vorname, zweiter Name, Nachname), indirekten Kundenidentifikationsdaten (z.B. Passnummer) und potenziell indirekten Kundenidentifikationsdaten (z.B. Kombinationen aus Geburtsdatum, Beruf, Staatsangehörigkeit usw.) zu umfassen.

Jede Bank muss über eine Kategorisierung und unternehmensspezifische Festlegung von CID verfügen, die ihrem spezifischen Kundenstamm angemessen ist.

b) CID-Klassifizierung und Vertraulichkeitsstufen

CID müssen nach formalen Klassifizierungskriterien in Vertraulichkeitsstufen zugeordnet werden. Die Kundendatenklassifizierung hat zum Schutz der Vertraulichkeit klare Anforderungen für den Zugriff und entsprechende technische Massnahmen zu enthalten (z.B. Anonymisierung, Verschlüsselung oder Pseudonymisierung) und grundsätzlich zwischen verschiedenen Vertraulichkeits- und Schutzstufen zu unterscheiden.

Anhang 3* Umgang mit elektronischen Kundendaten

c) CID-Verantwortung

Es müssen Kriterien für die Zuordnung der Datenverantwortung festgelegt werden, die gleicher- massen für alle Einheiten gelten, die auf CID zugreifen oder diese verarbeiten. Die für CID verantwortlichen Einheiten (Data Owners) müssen die Überwachung des gesamten Lebenszyklus der Kundendaten abdecken, einschliesslich der Genehmigung der Zugriffsrechte sowie des Löschens und Entsorgens von allen Backup- und operationellen Systemen.

Die für CID verantwortlichen Einheiten (Data Owners) sind für die Implementierung der Daten- klassifizierungsrichtlinien sowie die Rechtfertigung und Dokumentierung von Ausnahmen zuständig.

C Grundsatz 3: Datenspeicherort und -zugriff

Die Bank muss wissen, wo CID gespeichert werden, von welchen Anwendungen und IT-Systemen CID verarbeitet werden und wo elektronisch auf sie zugegriffen werden kann. Mittels angemessenen Kontrollen ist sicherzustellen, dass die Daten nach Art. 8 ff. der Verordnung zum Bundesgesetz über den Datenschutz bearbeitet werden. Für physische Bereiche (z.B. Serverräume) oder

a) Netzwerkzonen, in denen grosse Mengen an CID gespeichert oder zugänglich gemacht werden, sind spezielle Kontrollen erforderlich. Der Datenzugriff muss klar geregelt werden und darf nur auf einer strikten Need to know-Basis erfolgen.

Datenspeicherort und -zugriff allgemein

Ein Inventar der Applikationen und der damit verbundenen Infrastruktur, die CID enthalten oder verarbeiten, muss verfügbar sein und laufend aktualisiert werden. Die Aktualisierung des Inven-

tars hat insbesondere bei strukturellen Änderungen (z.B. neue Standorte oder Erneuerung der technischen Infrastruktur) zeitnah zu erfolgen. Änderungen von geringer Tragweite sind regelmässig nachzuführen.

Es wird vorausgesetzt, dass die Granularität des Inventars der Bank erlaubt zu ermitteln:

– wo CID gespeichert sind, durch welche Anwendungen und IT-Systeme CID verarbeitet wer- den und wo elektronisch auf CID zugegriffen werden kann (Endbenutzeranwendungen);

– von welchen nationalen und internationalen Standorten und Rechtseinheiten aus auf Daten zugegriffen werden kann (einschliesslich ausgelagerter Dienstleistungen und externer Firmen).

b) Datenspeicherort und -zugriff im Ausland

Falls CID ausserhalb der Schweiz gespeichert werden oder vom Ausland aus auf sie zugegriffen wird, sind die damit verbundenen erhöhten Risiken in Bezug auf den Kundendatenschutz angemessen zu begrenzen.25 CID müssen angemessen geschützt (z.B. anonymisiert, verschlüsselt oder pseudonymisiert) werden.

25 Zudem sind die einschlägigen Bestimmungen des Datenschutzrechts einzuhalten, wie Art. 6 DSG.

Anhang 3* Umgang mit elektronischen Kundendaten

c) Need to know-Grundsatz

Personen dürfen nur auf diejenigen Informationen oder Funktionalitäten Zugriff haben, die für die Wahrnehmung ihrer Aufgaben erforderlich sind.

d) Zugriffsberechtigung

Die Bank hat über ein rollen- und funktionsspezifisches Autorisierungssystem zu verfügen, wel- ches die Zugriffsberechtigungen von Mitarbeitenden und Dritten auf CID eindeutig regelt. Um sicherzustellen, dass nur aktuell autorisierte Personen auf CID Zugriff haben, sind Berechtigungen regelmässig zu bestätigen. D. Grundsatz 4: Sicherheitsstandards für die Infrastruktur und die Technologie

Die zum Schutz der CID-Vertraulichkeit verwendeten Sicherheitsstandards für die Infrastruktur und Technologie müssen in Bezug auf die Komplexität der Bank sowie ihrer Risikoexposition angemessen sein und den Schutz von CID auf dem Endgerät (am Endpoint), von übertragenen und gespeicherten CID sicherstellen. Da die Informationstechnologien schnellen Änderungen unter-

a) liegen, ist die Entwicklung von Datensicherheitslösungen aufmerksam zu verfolgen. Lücken zwischen dem bestehenden internen Rahmenkonzept zur Sicherstellung der Vertraulichkeit von Kundendaten und der Marktpraxis sind regelmässig zu beurteilen.

Sicherheitsstandards

Die Sicherheitsstandards müssen in Bezug auf die Grösse der Bank und den Grad der Komplexität seiner IT-Architektur angemessen sein.

b) au Sicherheitsstandards und Marktpraxis

Die Sicherheitsstandards bilden einen festen Bestandteil des Rahmenkonzepts zur Sicherstellung der Vertraulichkeit von Kundendaten. Es wird erwartet, dass sie regelmässig mit der Marktpraxis

verglichen werden, um potenzielle Sicherheitslücken zu ermitteln. Auch externe Inputs in Form von unabhängigen Überprüfungen und Prüfberichte müssen berücksichtigt werden.

c) Sicherheit bei Übertragung von CID und bei gespeicherten CID auf dem Endgerät (Endpoint)

Um die Vertraulichkeit von CID sicherzustellen, hat die Bank Schutzmassnahmen (z.B. Verschlüs- selung) abzuwägen und diese soweit erforderlich auf den folgenden Ebenen umsetzen:

a. Sicherheit von CID auf dem Endgerät bzw. am Endpoint (z.B. PCs, Notebooks, portable Da- tenspeicher und Mobilgeräte);

b. Sicherheit bei Übertragung von CID (z.B. innerhalb eines Netzwerks oder zwischen verschie- denen Standorten);

Anhang 3* Umgang mit elektronischen Kundendaten

c. Sicherheit von gespeicherten CID (z.B. auf Servern, in Datenbanken oder auf Backup-Me- dien).

E. Grundsatz 5: Auswahl, Überwachung und Schulung von Mitarbeitenden, die auf CID Zugriff haben

Gut ausgebildete und verantwortungsbewusste Mitarbeitende sind für die Umsetzung erfolgrei- cher unternehmensweiter Massnahmen zum Schutz der Vertraulichkeit von Kundendaten zentral. Mitarbeitende, die auf CID zugreifen können, sind sorgfältig auszuwählen, zu schulen und zu

Ihnen ist besondere Aufmerksamkeit zu schenken. überwachen. Dies gilt auch für Dritte, die im Auftrag der Bank auf CID zugreifen können. Erhöhte Sicherheitsanforderungen müssen für (hoch-)privilegierte IT-Benutzer (bspw. Systemadministratoren) und Anwender mit funktionalem Zugriff auf Massen-CID („Schlüsselmitarbeitenden“) gelten.

a) Sorgfältige Auswahl der Mitarbeitenden

Mitarbeitende, die auf CID zugreifen können, sind sorgfältig auszuwählen. Insbesondere ist vor der Aufnahme der Tätigkeit zu überprüfen, ob der potentielle Mitarbeitende die Anforderungen für

einen angemessenen Umgang mit CID erfüllt. Die Bank hat ferner vertraglich zu regeln wie die Auswahl von Mitarbeitenden durch Dritte, als auch die Bestimmung von Mitarbeitenden von Drittunternehmen, welche im Auftrag der Bank auf CID zugreifen können erfolgt, damit alle Mitarbeitenden einen vergleichbaren, sorgfältigen Auswahlprozess durchlaufen.

b) Gezielte Schulungen der Mitarbeitenden

Interne und externe Mitarbeitende müssen im Rahmen gezielter Schulungen in Bezug auf die

c) au Kundendatensicherheit sensibilisiert werden.

Sicherheitsanforderungen

Die Bank muss über klare Sicherheitsanforderungen für Mitarbeitende, die auf CID zugreifen, ver- fügen. Es ist regelmässig zu überprüfen, ob die Anforderungen für einen angemessenen Umgang mit CID weiterhin erfüllt sind. Erhöhte Sicherheitsanforderungen müssen für (hoch-) privilegierte IT-Benutzer und Anwender mit funktionalem Zugriff26 auf Massen-CID („Schlüsselmitarbeitenden“) gelten.

d) Liste von Schlüsselmitarbeitenden

Als Ergänzung zu den allgemeinen Anforderungen in Bezug auf Zugriffsberechtigungen für Mitar- beitende und Dritte (siehe Rz 22) wird von der Bank die Führung und laufende Aktualisierung einer Liste mit den Namen aller internen und externen (hoch-) privilegierten IT-Benutzer und Anwender (Schlüsselmitarbeitenden) erwartet, die Zugriff auf Massen-CID27 haben und/oder denen

26 Bei erweiterten Zugriffsrechten wie z.B. die Abfrage und Extraktion/Migration von Massen-CID.

27 Einzelabfragen mit eingegrenzten Zugriffsrechten (z.B. von Schaltermitarbeitern) fallen nicht unter den

Begriff des Zugriffs auf Massen-CID.

Anhang 3* Umgang mit elektronischen Kundendaten

Verantwortlichkeiten hinsichtlich der Kontrolle und Überwachung der Vertraulichkeit von Kundendaten übertragen wurden.

Vorkehrungen, wie z.B. das Führen von Log-Dateien, sind einzuführen, um die Identifizierung von Benutzern, die auf Massen-CID zugreifen, zu ermöglichen.

F. Grundsatz 6: Risikoidentifizierung und -kontrolle in Bezug auf die CID- Vertraulichkeit

Die für die Datensicherheit und -vertraulichkeit zuständige Einheit identifiziert und bewertet die

inhärenten Risiken und die Residualrisiken betreffend die Vertraulichkeit von CID mithilfe eines strukturierten Prozesses. Dieser Prozess muss die Risikoszenarien 28 in Bezug auf die CID- Vertraulichkeit umfassen, die für die Bank und die Definition der entsprechenden Schlüsselkontrollen relevant sind. Der Katalog der Schlüsselkontrollen in Bezug auf die Datenvertraulichkeit

angepasst werden. zur Gewährleistung des CID-Schutzes muss laufend auf Adäquanz geprüft und gegebenenfalls

a) Risikobeurteilungsprozess

Die Beurteilung des mit der Vertraulichkeit von CID verbundenen inhärenten Risikos und Residualrisikos muss auf Basis eines strukturierten Prozesses und unter Einbezug der Geschäfts-, IT- und Kontrollfunktionen erfolgen.

b)

Risikoszenarien und Schlüsselkontrollen

Die Definition von Risikoszenarien und entsprechenden Schlüsselkontrollen in Bezug auf die Vertraulichkeit von CID muss der Risikoexposition sowie der Komplexität der Bank angemessen sein

und regelmässig überarbeitet werden.

G. Grundsatz 7: Risikominderung in Bezug auf die CID-Vertraulichkeit

Identifizierte Risiken müssen überwacht und angemessen minimiert werden. Dies gilt namentlich in Verbindung mit Datenbearbeitungsaktivitäten, bei denen grosse Mengen von CID verändert oder migriert werden müssen.30 Bei strukturellen Veränderungen (z.B. bedeutende Reorganisationen) muss sich die Bank frühzeitig und vertieft mit Sicherheitsmassnahmen der Vertraulichkeit von CID befassen.

a) Produktionsumfeld, Datenbearbeitung in Verbindung mit Massen-CID

28 Auf der Grundlage einer Analyse schwerwiegender Vorfälle in Bezug auf die Datensicherheit, die in der

eigenen Bank oder bei der Konkurrenz eingetreten sind, oder einer Beschreibung rein hypothetischer schwerwiegender Vorfälle.

29 Marktpraktiken zu Sicherheitsszenarien und damit verbundenen Schlüsselkontrollen sind umfassend

durch die Schweizerische Bankiervereinigung unter dem Titel „Data Leakage Protection – Information on Best Practice by the Working Group Information Security of the Swiss Bankers Association“ behandelt (verabschiedet im Oktober 2012).

30 Dazu kommt es in der Regel bei der Weiterentwicklung, Veränderung oder Migration von Systemen

infolge von Technologie-Upgrades oder organisatorischen Restrukturierungen.

Anhang 3* Umgang mit elektronischen Kundendaten

Die Datenbearbeitung, die im Produktionsumfeld mit nicht anonymisierten, nicht verschlüsselten und nicht pseudonymisierten Massen-CID durchgeführt wird, muss geeigneten Verfahren unterliegen (z.B. Vier-Augen-Prinzip oder Log-Dateien), einschliesslich der Benachrichtigung der für die Datensicherheit und -vertraulichkeit zuständigen Einheit.

b) Tests für die Entwicklung, Veränderungen und Migration von Systemen

Während der Entwicklung, Veränderung und Migration von Systemen müssen die CID angemes- sen vor dem Zugriff und der Nutzung durch Unberechtigte geschützt werden.

Wendet ein Institut bei der Entwicklung, Veränderung und Migration von Systemen (bspw. bei der Generierung von Testdaten oder bei der Zwischenspeicherung von Daten während der Datenmigration) keine Methoden zur Anonymisierung, Pseudonymisierung oder Verschlüsselung an (Arbeiten „in Klartext“), so wendet es bei diesen Tätigkeiten die Vorgaben gemäss Rz 40 an.

und externe Kommunikation H. Grundsatz 8: Vorfälle im Zusammenhang mit der CID-Vertraulichkeit, interne

Von den Banken wird erwartet, dass sie vordefinierte Prozesse einführen, um rasch auf Vorfälle in Verbindung mit der Vertraulichkeit zu reagieren, einschliesslich einer klaren Strategie zur Kommunikation schwerwiegender Vorfälle. Zudem müssen Ausnahmen, Vorfälle, Kontroll- und Prüfergebnisse überwacht, analysiert und in geeigneter Form dem obersten Management gemeldet werden. Dies muss zur laufenden Verfeinerung der Massnahmen zur Sicherstellung der Vertraulich-

a) keit von CID beitragen.

Identifikation von Vorfällen in Bezug auf die Vertraulichkeit und Reaktion

Es ist ein klar definierter Prozess für die Identifikation von Vorfällen in Bezug auf die Vertraulichkeit sowie die Reaktion darauf zu formalisieren und dieser allen innerhalb des Instituts involvierten Stellen zu kommunizieren.

b) Meldung

Es wird erwartet, dass das Risiko der Verletzung der Vertraulichkeit von CID und diesbezügliche Compliance-Meldungen in den internen Berichterstattungen angemessen abgebildet sind oder alternativ sichergestellt ist, dass eine systematische Erfassung und Eskalierung an geeignete Stellen erfolgt, falls dies die Geheimhaltung solcher Vorkommnisse erfordert.

c) Laufende Verfeinerung des Rahmens zur Sicherstellung der Vertraulichkeit von CID

Das Rahmenkonzept zur Sicherstellung der Vertraulichkeit von CID (Rz 6, 7 und 8) und die Si- cherheitsstandards (Rz 24) sind regelmässig zu kontrollieren. Vorfälle, Ausnahmen, Kontroll- und Prüfergebnisse müssen zur laufenden Verfeinerung dieses Rahmenkonzeptes beitragen.

d) Externe Kommunikation

Anhang 3* Umgang mit elektronischen Kundendaten

Die Bank muss über eine klare Kommunikationsstrategie verfügen, wenn schwerwiegende Vor- fälle in Bezug auf die Vertraulichkeit von CID auftreten. Darin sind insbesondere die Form und der Zeitpunkt der Kommunikation an die FINMA, Strafverfolgungsbehörden, die betroffenen Kunden und die Medien zu regeln.

I Grundsatz 9: Outsourcing-Dienstleistungen und Grossaufträge in Verbindung

mit CID

Bei der Auswahl der Anbieter von Outsourcing-Dienstleistungen, welche CID bearbeiten, muss

die CID-Vertraulichkeit ein ausschlaggebendes Kriterium sowie integraler Bestandteil der zugrunde liegenden Sorgfaltsprüfung (Due Diligence) sein. Gemäss dem FINMA-RS 08/7 „Outsourcing Banken“ trägt die Bank über den gesamten Lebenszyklus der ausgelagerten Dienstleistungen weiterhin die endgültige Verantwortung für die CID. Die folgenden Anforderungen gelten zwingend für alle Arten von Aktivitäten, die den Zugriff auf Massen-CID beinhalten, worunter sowohl

Grossaufträge (z.B. Drittanbieter von IT-Services, Support für die Installation und den Unterhalt extern entwickelter IT-Plattformen, Hosting von Anwendungen) als auch Nicht-IT-Dienstleistungen (z.B. Outsourcing von Kundenveranstaltungen usw.) fallen.

a)

Sorgfaltspflicht in Bezug auf die Vertraulichkeit von CID

Die Sorgfaltspflicht in Bezug auf die Vertraulichkeit von CID muss Teil des Prozesses für die Auswahl von Outsourcing-Dienstleistern und Anbietern von Grossaufträgen sein. Es müssen klare Kriterien für die Beurteilung der Sicherheits- und Vertraulichkeitsstandards solcher Dritter definiert

werden. Die Prüfung in Bezug auf die CID-Sicherheits- und -Vertraulichkeitsstandards muss vor der Vertragsvereinbarung erfolgen und regelmässig wiederholt werden.

b) au Sorgfaltspflicht in Bezug auf die Vertraulichkeit von CID und Dienstleistungsvereinbarungen

Dritte müssen über die internen Sicherheits- und Vertraulichkeitsstandards der Bank sowie deren allfällige Erweiterungen informiert werden und diese als Mindestanforderung erfüllen.

c) Allgemeine Verantwortung

Die Bank muss für jede ausgelagerte Aktivität, die Zugriff auf CID beinhaltet, mindestens einen internen Mitarbeitenden bestimmen, der dafür verantwortlich ist, dass die Sicherheits- und Vertraulichkeitsstandards in Bezug auf die Vertraulichkeit von CID eingehalten werden.

d) Ausgestaltung der Kontrollen und Wirksamkeitstests

Die Bank muss wissen und verstehen, welche Schlüsselkontrollen der Outsourcing-Dienstleister in Verbindung mit der Vertraulichkeit von CID durchzuführen hat. Die Einhaltung interner Anforderungen sowie die Wirksamkeit der Schlüsselkontrollen sind dabei zu prüfen und zu beurteilen.

Anhang 3* Umgang mit elektronischen Kundendaten

II Glossar

Kundenidentifikationsdaten (Client Identifying Data, CID): Kundendaten, die Personendaten nach Art. 3 Bst. a DSG darstellen und es ermöglichen, die betroffenen Kunden zu identifizieren.

Massen-CID: Menge von CID, welche im Vergleich zur Gesamtzahl der Konten/Gesamtgrösse des Privatkundenportfolios bedeutend ist.

Grossaufträge: Alle durch Dritte erbrachten Dienstleistungen, die Zugriff auf Massen-CID erfor-

dern oder potenziell zum Zugriff auf Massen-CID führen (z.B. bei der Implementierung von Zugriffsrechtsprofilen durch Mitarbeitende eines Dritten). Ein CID-Risiko kann beispielsweise auftreten bei der Installation von Anwendungen oder der Implementierung von lokalen Einstellungen (z.B. Zugriffsrechten), der Datenspeicherung oder dem laufenden Systemunterhalt (z.B. Drittanob bieter von IT-Services, extern entwickelte IT-Plattformen). Dies umfasst auch interne Prüfarbeiten und externe Prüfungen. Gewöhnlich sind solche Grossaufträge langfristiger Natur.

Mitarbeitende Dritter: Alle Mitarbeitenden, die für Beauftragte der Bank arbeiten (z.B. Auftragnehmer, Berater, externe Prüfer, externe Unterstützung usw.), die Zugriff auf CID haben und nicht

interne Mitarbeitende sind.

Schlüsselmitarbeitende: Alle internen und externen im IT-Bereich sowie in weiteren Unternehmensbereichen tätigen Mitarbeitenden, die aufgrund ihres Tätigkeitsprofils und ihrer Aufgaben

(hoch-)privilegierten Zugriff auf CID im grossen Umfang haben (z.B. Datenbankadministratoren, Mitglieder des obersten Managements).

Schwerwiegender Vorfall in Bezug auf die Vertraulichkeit von Kundendaten / Leck von Kundenmassendaten: Ein Vorfall in Bezug auf die Vertraulichkeit von Kundendaten, der ein bedeutendes Leck von CID impliziert (im Vergleich zur Gesamtzahl der Konten/Gesamtgrösse des Kundenportfolios).

Schlüsselkontrolle: Eine Kontrolle, die, falls sachgerecht definiert, implementiert und durchgeführt, das Risiko der Verletzung der Vertraulichkeit von CID massgeblich senkt.

Inhärentes Risiko: Risiko vor Kontroll- oder Minderungsmassnahmen.

Residualrisiko: Risiko nach Berücksichtigung von Kontroll- oder Minderungsmassnahmen.

Reversible Datenbearbeitungstechniken:

– Pseudonymisierte Daten (Pseudonymisierung): Unter Pseudonymisierung versteht man den Vorgang der Trennung der identifizierenden (z.B. Name, Foto, E-Mail Adresse, Telefonnummer) von anderen Daten (z.B. Kontostand, Kreditwürdigkeit). Das Bindeglied zwischen den beiden Datenbereichen bilden sogenannte Pseudonyme und eine Zuordnungsregel (Konkordanztabelle). Beispielsweise können Pseudonyme durch einen Zufallszahlengenerator erzeugt und mittels einer Konkordanztabelle den identifizierenden Personendaten bei Bedarf zugeordnet werden.

Anhang 3* Umgang mit elektronischen Kundendaten

– Verschlüsselte Daten: In der Praxis wird die Pseudonymisierung auch mittels Verschlüsse- lungsverfahren umgesetzt. Das Pseudonym wird in diesem Fall durch Verschlüsselung von identifizierenden Personendaten mit einem kryptographischen Schlüssel erzeugt. Die Reidentifikation erfolgt aufgrund der Entschlüsselung mit Hilfe des geheimen Schlüssels.

Irreversible Datenbearbeitungstechniken:

– Anonymisierte Daten: Bei der Anonymisierung von Personendaten werden sämtliche Ele- mente, die eine Identifizierung einer Person ermöglichen, unwiederbringlich entfernt oder verändert (z.B. durch Löschung oder Aggregierung), so dass die Daten nicht mehr mit einer been stimmten oder bestimmbaren Person verknüpft werden können. Solche Daten sind/enthalten gemäss Definition keine CID mehr und fallen nicht unter das DSG31.

31 Vgl. EDÖB, Anhang zu den Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem, 5.

Verzeichnis der Änderungen

Das Rundschreiben wird wie folgt geändert:

Diese Änderungen wurden am 1.6.2012 beschlossen und treten am 1.1.2013 in Kraft.

Geänderte Rz

Zudem wurden die Verweise auf die Eigenmittelverordnung (ERV; SR 952.03) an die am 1.1.2013 in Kraft tretende Fassung angepasst.

Diese Änderungen wurden am 29.8.2013 beschlossen und treten am 1.1.2014 in Kraft.

Neu eingefügte Rz

Diese Änderungen wurden am 29.8.2013 beschlossen und treten am 1.1.2015 in Kraft.

Neu eingefügte Rz 2.1, 117–139

Geänderte Rz

Aufgehobene Rz

1, 29, 50, 53, 71,

20–22, 28, 30–44,

Übrige Änderungen

eh Neuer Haupttitel vor Rz 3 und Neugliederung der Titel

Titeländerung vor Rz

Diese Änderungen wurden am 27.3.2014 beschlossen und treten am 1.1.2015 in Kraft.

Geänderte Rz 1, 9, 10, 11, 12, 13,

Diese Änderungen wurden am 22.9.2016 beschlossen und treten am 1.7.2017 in Kraft.

Neu eingefügte Rz

Geänderte Rz 132.1–132.3, 135.1–135.12, 136.1–136.5

2, 53, 117, 118, 119, 121, 122, 128, 129, 130, 132, 133, 134, 135, 136,

Aufgehobene Rz 2.1, 123, 124, 125, 126, 127,

Übrige Änderungen Kap. IV.B: Neunummerierung der Grundsätze

Diese Änderungen wurden am 31.10.2019 beschlossen und treten am 1.1.2020 in Kraft.

Geänderte Rz 122, 135, 135.1,

Die Anhänge des Rundschreibens wurden wie folgt geändert:

Diese Änderungen wurden am 29.8.2013 beschlossen und treten am 1.1.2015 in Kraft.

Die Nummerierung der Anhänge wird angepasst: Anhang 2 "Kategorisierung der Geschäftsfelder nach Art. 93 Abs. 2 ERV" wird neu zum Anhang 1 und Anhang 3 "Übersicht zur Klassifikation von Ereignistypen" wird neu zum Anhang 2.

Neu Anhang 3

Verzeichnis der Änderungen

Aufgehoben Anhänge 1 und

Diese Änderungen wurden am 22.9.2016 beschlossen und treten am 1.7.2017 in Kraft.

Neu Anhang 3: Rz

Geändert Anhang 1: Rz Anhang 2: Titel des Anhangs

Anhang 3: Rz 2, 3, 5, 6,7, 8, 16, 17, 30, 33, 34,

Diese Änderungen wurden am 31.10.2019 beschlossen und treten am 1.1.2020 in Kraft.

Neu Anhang 3: Rz