Schweizerischer Versicherungsverband (SVV) – Business Continuity Management (BCM) für Versicherungsunternehmen in der Schweiz – Mindeststandards und Empfehlungen

Business Continuity Management (BCM) für Versicherungsunternehmen in der Schweiz – Mindeststandards und Empfehlungen

Juni 2015

2 Impressum

Empfänger Alle von der Finma beaufsichtigten Versicherungsunternehmen

Herausgeber Schweizerischer Versicherungsverband SVV Conrad-Ferdinand-Meyer-Strasse 14 Postfach, CH-8022 Zürich

Zuständiges Gremium Ausschuss Finanz & Regulierung

Kontaktperson Alex Schönenberger Ressort Finanz & Regulierung alex.schoenenberger@svv.ch Schweizerischer Versicherungsverband SVV Postfach, CH-8022 Zürich

Bestelladresse alex.schoenenberger@svv.ch

ASA SVV BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015

Inhalt 3

Ausgangslage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

Zielsetzungen und Verantwortung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

Grundlagen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

Anwendungsbereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

Mindeststandards .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

Business Impact Analyse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
Business Continuity Strategie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
Business Continuity Massnahmen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
Übungen und Tests .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

5. Operationalisierung und Führung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

Empfehlungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

Vorgaben an das Business Continuity Management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

Externe Dienstleistungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

Krisenmanagement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

Krisenkommunikation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

Review des Business Continuity Managements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

Übungen und Tests . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

Berichterstattung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

Inkrafttreten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10

Quellenverzeichnis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

Glossar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015 ASA SVV

Ausgangslage Ausserordentliche Ereignisse und Situationen kön- Dabei ist den Besonderheiten des jeweiligen Unternehnen die Geschäftstätigkeit eines Versicherungsun- mens – insbesondere der Grösse, der Komplexität und ternehmens wesentlich beeinträchtigen. Damit die des Risikoprofils – Rechnung zu tragen. Überlebensfähigkeit und die Geschäftstätigkeit aufrechterhalten und weitergeführt werden kann, sind In den Geltungsbereich fallen Versicherungsunternehgeeignete Massnahmen zur Ereignisbewältigung und men in der Schweiz. Eine Auswirkung der Mindeststan- Sicherstellung der Geschäftsfortführung kritischer Pro- dards und Empfehlungen auf das zivilrechtliche Verhältzesse zu treffen (Business Continuity Management). nis zwischen dem Unternehmen und seinen Kunden ist nicht beabsichtigt. Das vorliegende Dokument richtet sich an alle von der Eidgenössischen Finanzmarktaufsicht (Finma) beaufsichtigten Versicherungsunternehmen und enthält Mindeststandards und Empfehlungen zur Aus gestaltung eines unternehmensspezifischen Business Continuity Managements.

Zielsetzungen und Verantwortung Das Business Continuity Management soll die Über Der Verwaltungsrat ist verantwortlich für die Sicherstellebensfähigkeit und die Aufrechterhaltung sowie Weiter- lung der Business Continuity. Er kann seine Kompetenführung der Geschäftstätigkeit bei ausserordentlichen zen an die Geschäftsleitung oder an andere Funktionen Ereignissen und Situationen sichern. Dabei sind alle Er- delegieren. eignisse gemeint, die zur Gefährdung der Geschäftstätigkeit des Unternehmens führen können, wie zum Beispiel: Die Mindeststandards definieren die Mindestanforderungen für die Versicherungsunternehmen in der Schweiz.

technisches oder menschliches Versagen;
Cyber-Angriffe; Die Empfehlungen dienen zur möglichen weitergehen-
Pandemie; den Ausgestaltung des Business Continuity Manage-
Naturkatastrophen; ments eines Unternehmens.
Terrorismus.

Das Business Continuity Management zielt auf eine Minimierung der finanziellen, rechtlichen und reputationsbezogenen Auswirkungen bei solchen Ereignissen und Situationen ab.

ASA SVV BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015

Grundlagen Die vorliegenden Mindeststandards und Empfehlungen «Societal Security – Business Continuity Management lehnen sich an verschiedene anerkannte Standards an Systems – Guidance». In Anlehnung an den ISO-Stan- (vgl. Quellenverzeichnis im Anhang). Insbesondere ori- dard gehören zu einem ganzheitlichen Business Continuentieren sie sich am International Standard ISO 22313: ity Management folgende Elemente gemäss Abbildung.

1. Business Impact Analyse

5. 2. 4. Übungen und Tests Operationalisierung Business Continuity und Führung Strategie

3. Business Continuity Massnahmen Die Elemente des Business Continuity Managements

Anwendungsbereich Unter Business Continuity Management ist ein unter- Bei der Ausgestaltung des Business Continuity Managenehmensweiter Ansatz zu verstehen. Mit diesem soll ments wird vor allem auf die Konsequenzen (Auswirsichergestellt werden, dass kritische Geschäftsprozesse kungen der Restrisiken auf der Zeitachse) und nicht auf während und nach massiven, einschneidenden internen die Ursachen von ausserordentlichen Situationen abge- oder externen, ausserordentlichen Ereignissen aufrecht- stützt. Für die Wiederherstellung kritischer Geschäftserhalten, zeitgerecht fortgeführt oder fristgerecht wieder prozesse bzw. Geschäftstätigkeiten sollten nach einem hergestellt werden können. Unterbruch verschiedene Business Continuity Optionen für die betriebsnotwendigen Resourcen Die Unternehmen haben alle potentiell relevanten Risi- • Personal, ken und Bedrohungen zu berücksichtigen, welche für sie • Facilities (zum Beispiel Gebäude/Arbeitsplatzinfrazu ausserordentlichen Situationen führen können. Dar- struktur/Energieversorgung), unter werden Situationen verstanden, welche mit den • Technik/Telekommunikation/Informatik (Daten/Systeordentlichen Führungsmitteln und Entscheidungskom- me) und petenzen nicht bewältigt werden können und welche die • externe Dienstleister Geschäftsfortführung des Unternehmens gefährden kön- berücksichtigt werden. nen. Insofern ist die Bewältigung von «Störungen», die Das Business Continuity Management muss insbesondekeine wesentliche und nachhaltige Beeinträchtigung der re die Einhaltung gesetzlicher, regulatorischer, vertragli- Geschäftstätigkeit bewirken können, ausdrücklich nicht cher und interner Vorschrifen auf bei ausserordentlichen Gegenstand des Business Continuity Managements. Situationen bestmöglich gewährleisten.

BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015 ASA SVV

Mindeststandards Das Business Continuity Management eines Versiche- • legt die grundsätzlichen Lösungsansätze (Handlungsrungsunternehmens muss folgende Inhalte als aufsichts- optionen) im Ereignisfall fest; rechtliche Mindeststandards umfassen, deren Einhal- • legt den Umfang der Business Continuity Massnahmen tung periodisch durch die interne Revision oder eine für die Bereiche Personal, Facilities, Technik/Telekomentsprechende unabhängige Stelle geprüft wird. Der Um- munikation/Informatik und externe Dienstleister fest. fang und der Detaillierungsgrad dieser Inhalte muss den Anforderungen des jeweiligen Unternehmenes Rechnung Die Akzeptanz von Auswirkungen ohne vorbereitete Übertragen. brückungs- und Wiederherstellungsmassnahmen kann ebenfalls eine Option darstellen. Dies ist in der Business Continuity Strategie entsprechend zu dokumentieren.

1 Business Impact Analyse

Im Rahmen der Business Impact Analyse müssen zeitkri- 3. Business Continuity Massnahmen tische und wichtige Geschäftsprozesse und deren Ressourcen identifiziert und ausgewiesen werden. Basierend auf der Business Impact Analyse und im Rahmen der Vorgaben aus der Business Continuity Strategie Für diese zeitkritischen Geschäftsprozesse müssen die wird mit den Business Continuity Massnahmen beschrie- Auswirkungen eines kompletten oder teilweisen Ausfalls ben, wie das Unternehmen Business Continuity wahrder benötigten Ressourcen beurteilt werden, als Grund- nimmt. lage für notwendige Überbrückungs- und Wiederherstellungsmassnahmen. Die Analyse berücksichtigt insbe- Die Business Continuity Massnahmen definieren sondere die Konsequenzen auf • das Vorgehen und

den Betrieb (Operationen), • die Mittel
die Finanzen, zur Überbrückung und Wiederherstellung der zeitkriti-
die Reputation und schen oder wichtigen Geschäftsprozesse und die dazu
die Compliance. notwendigen Ressourcen (Personal, Facilities, Technik/ Telekommunikation/Informatik, externe Dienstleister). Die Beurteilung muss auch die relevanten Abhängigkeiten zwischen den Geschäftsprozessen berücksichtigen Die betroffenen Geschäftsbereiche und ihre Mitarbeiten- (Prozessabhängigkeiten). den sind über die Business Continuity Massnahmen zu informieren (zum Beispiel kritische Geschäftsprozesse Die Business Impact Analyse ist mindestens alle drei über notwendige Ausweicharbeitsplätze) und, wo not- Jahre durchzuführen und bei Bedarf zu überprüfen (zum wendig, auszubilden (zum Beispiel beim Einsatz von Beispiel neue Geschäftsfelder oder Einsatz neuer Tech- technischen Ausweichsystemen). nologien).

4 Übungen und Tests

2 Business Continuity Strategie

Mit Übungen und Tests werden die Umsetzbarkeit und Die Business Continuity Strategie die Fähigkeit zur Ereignisbewältigung trainiert und über-

definiert die maximal tolerierbaren Ausfallzeiten; prüft.
bezeichnet aufgrund der Business Impact Analyse diejenigen Geschäftsbereiche, die dem Business Continu- Die Periodizität für die Durchführung von Übungen und ity Management zugewiesen sind; Tests der definierten Massnahmen (zum Beispiel Wieder-

ASA SVV BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015

anlauf kritischer IT-Systeme) ist vorzugeben.

Testergebnisse sind zu protokollieren und entsprechende Erkenntnisse in den Business Continuity Massnahmen zu berücksichtigen.

5 Operationalisierung und Führung

Das Business Continuity Management muss im Unternehmen verankert (zum Beispiel in der Unternehmensstrategie oder in der Geschäftspolitik) und in der Governance- Struktur des Unternehmens entsprechend berücksichtigt sein.

Es muss eine geeignete Organisation für Business Continuity Funktionen und Gremien zur Ereignisbewältigung (zum Beispiel Krisen- oder Notfall-Management) definiert sein. Die Rollen, Verantwortlichkeiten und Kompetenzen dieser Funktionen und Gremien müssen ebenfalls bestimmt sein. Gleichzeitig sind die Ressourcen zu planen und die notwendige Ausbildung für diese Funktionen sicherzustellen.

Die Periodizität und der Umfang der internen Berichterstattung (zum Beispiel Reporting an die Geschäftsleitung) müssen geregelt sein.

BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015 ASA SVV

Empfehlungen Die nachfolgenden Empfehlungen sollen als Hinweise Krisenmanagement und Hilfe bei der weiteren Ausgestaltung des Business Continuity Managements dienen. Deren Anwendung und Es wird empfohlen, ein geeignetes Krisenmanagement Umsetzung ist insbesondere abhängig von der Struktur und eine entsprechende Krisenkommunikation zu defi- und der Massgabe der Risikosituation des Unterneh- nieren, mit denen das Unternehmen ausserordentliche mens. Sie folgen den Vorgaben in der Business Continu- Ereignisse wirksam und zeitgerecht bewältigen kann. In ity Strategie. Situationen, welche kritische Entscheidungen verlangen und die mit ordentlichen Massnahmen und Entscheidungskompetenzen nicht bewältigt werden können, wird Vorgaben an das Business Continuity ein geeignetes Gremium (zum Beispiel Krisenstab oder Management Notfallorganisation) einberufen. Dieses übernimmt die Aufgabe der Krisenbewältigung bis zur Wiederherstel- Die Vorgaben an das Business Continuity Management lung eines ordnungsgemässen Zustands. im Bereich Technik/Telekommunikation/Informatik können über folgende zeitliche und inhaltliche Erwartungen In diesem Fall sollte die Alarmierung der Krisen- oder bezüglich der Wiederherstellung von Geschäftsprozes- Notfallorganisation klar geregelt sein, ebenso wie die sen definiert werden: Zuständigkeiten, Kompetenzen und Eskalationskriterien. Die Organisation sollte die Geschäftstätigkeit und die

erforderliche Zeitspanne bis zur Wiederherstellung der geographische Struktur des Unternehmens berücksichtikritischen Geschäftsprozesse (Recovery Time Objecti- gen. ve RTO);
gewünschter Wiederherstellungsgrad der kritischen Geschäftsprozesse bezüglich des definierten RTO; Krisenkommunikation
maximal akzeptierter Datenverlust im Falle eines Ereignisses (Recovery Point Objective RPO). Kommunikation nach innen und aussen ist ein entscheidender Faktor in der Ereignisbewältigung. Der Vorbereitung von Kommunikationskonzepten und -plänen sollte Externe Dienstleistungen deshalb besondere Beachtung geschenkt werden. Dabei geht es insbesondere um die Aufrechterhaltung von In vielen Geschäftsprozessen werden Leistungen durch Glaubwürdigkeit und Vertrauen gegenüber den verschieexterne Dienstleister und Lieferanten erbracht (Outsour- denen Stakeholdern des Unternehmens. cing), die ebenfalls ausfallen können. Wird bei kritischen

Geschäftsprozessen die Unterstützung externer Dienst- Kommunikationspläne können vor allem die Erreichleister und Lieferanten beigezogen, empfiehlt sich, de- barkeit im Krisenfall sicherstellen (Namenslisten und ren Maturität in Bezug auf das Business Continuity Ma- Kontaktdaten von Kunden, Medien, Mitarbeitenden, Aufnagement in geeignetem Rahmen zu beurteilen. sichtsbehörden, Gegenparteien, Dienstleistern usw.). Sie erleichtern eine regelmässige und präventive Kom- Es wird empfohlen, für den Ausfall kritischer externer muni-kation mit den verschiedenen Interessengruppen Dienstleister und Lieferanten, wo möglich und sinnvoll, (Kunden, Mitarbeitende, Aktionäre, Investoren usw.). Umgehungslösungen zu planen. Im Rahmen der Busi- Einer allfälligen internationalen Dimension ist mit speziness Continuity Planung kann unter anderem der Transfer ellen Kommunikationsmassnahmen Rechnung zu tragen. von externen zu internen Dienstleistern oder umgekehrt geprüft werden.

ASA SVV BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015

Review des Business Continuity Managements Business Continuity Reviews beinhalten eine Bestandesaufnahme der erstellten Business Continuity Management Dokumentation und eine Beurteilung, ob diese den eigenen Business Continuity Vorgaben entsprechen. Es wird empfohlen, konsistente Prüfkriterien sowie einen klaren Prozess zur Überwachung und Behebung offener Punkte zu definieren.

Übungen und Tests

Schwerpunkte sowie Kadenz der einzelnen Übungen und Tests sollten in Abhängigkeit der Kritikalitätsbeurteilung gemäss Business Impact Analyse oder gemäss interner Richtlinien festgelegt werden.

Es kann wertvoll sein, dass ein Prozess für die Überwachung und Behebung von Schwachstellen festgelegt ist.

Berichterstattung

Über die Business Continuity Management Aktivitäten und den Stand der Vorbereitung der Ereignisbewältigung sollten in einem definierten Rhythmus stufengerechte Berichte zuhanden der verantwortlichen Funktionen erstellt werden. Darin sollten insbesondere die Ergebnisse von Business Continuity Reviews und Business Continuity Übungen und Tests dargestellt werden.

Wesentliche Erkenntnisse aus der Berichterstattung können intern und extern (Outsourcing) kommuniziert werden.

BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015 ASA SVV

Inkrafttreten Die vorliegenden Mindeststandards und Empfehlungen sind vom Ausschuss Finanz & Regulierung des Schweizerischen Versicherungsverbandes SVV mit Beschluss vom 9. Juni 2015 verabschiedet worden. Sie treten per 1. Oktober 2015 in Kraft und sind bis zum 31. Juli 2017 umzusetzen.

Die Finma anerkennt die Mindeststandards im Sinne von Art. 7 Abs. 3 FINMAG per xx.xx.2015.

ASA SVV BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015

Anhang 11

Quellenverzeichnis International Organization for Standardization (ISO), ISO 22313:2012: Societal security – Business Continuity Management Systems – Guidance

International Organization for Standardization (ISO), ISO/IEC 27031:2011: Information technology – Security Techniques – Guidelines for Information and Communication Technology Readiness for Business Continuity

Bundesamt für Sicherheit in der Informationstechnik (BSI), BSI-Standard 100-4 – Notfallmanagement, 2008

Glossar Als Nachschlagewerk für Begriffsdefinitionen empfiehlt der SVV den Standard ISO 22301:2012 Societal security – Business Continuity Management Systems – Requirements, Kapitel 3 «Terms and definitions».

BCM für Versicherungsgesellschaften in der Schweiz | Juni 2015 ASA SVV

Geschäftsstelle Schweizerischer Versicherungsverband SVV Conrad-Ferdinand-Meyer-Strasse 14 Postfach CH-8022 Zürich Telefon +41 44 208 28 28 Telefax +41 44 208 28 00 info@svv.ch www.svv.ch

Centre opérationnel Association Suisse d’Assurances ASA Conrad-Ferdinand-Meyer-Strasse 14 Case Postale CH-8022 Zurich Téléphone +41 44 208 28 28 Fax +41 44 208 28 00 info@svv.ch www.svv.ch