FINMA-Rundschreiben "Outsourcing Banken"
I Grundsatz 9: Vertrag Rz 51–53
VI. Berichterstattung der banken- und börsengesetzlichen Prüf- Rz gesellschaften
VII. Ausnahmen Rz
I Zweck
Das vorliegende Rundschreiben umschreibt die Voraussetzungen, unter denen Outsourcing- Lösungen den Erfordernissen einer angemessenen Organisation, des Bankgeheimnisses und des Datenschutzes entsprechen.
II Definition
Outsourcing (Auslagerung von Geschäftsbereichen) im Sinne des vorliegenden Rundschrei- bens liegt vor, wenn eine Unternehmung eine andere Unternehmung (Dienstleister) beauftragt,
selbständig und dauernd eine für die Geschäftstätigkeit der Unternehmung wesentliche Dienstleistung wahrzunehmen. „Wesentlich“ im Sinne dieses Rundschreibens sind Dienstleistungen, welche sich insbesondere auf die Erfassung, Begrenzung und Überwachung von Markt-, Kredit-, Ausfall-, Abwicklungs-, Liquiditäts-, und Imagerisiken sowie operationellen und rechtlichen Risiken auswirken. Beispiele von Auslagerungen, die vom Rundschreiben erfasst werden und
solche, die vom Rundschreiben nicht erfasst werden, sind im Anhang aufgeführt.
Outsourcing umfasst einerseits die Auslagerung von Dienstleistungen, die bisher von der Unternehmung selber erbracht wurden. Andererseits gehören dazu auch Dienstleistungen, die die Unternehmung neu von einem Dienstleister bezieht und welche sie somit selber bis anhin nicht
erbracht hat.
III Geltungsbereich
A. fg Sachlicher Geltungsbereich
Dieses Rundschreiben gilt für nach schweizerischem Recht organisierte Banken und Effekten-
händler sowie schweizerische Zweigniederlassungen ausländischer Banken und Effektenhändler. Diese werden nachfolgend als „Unternehmungen“ bezeichnet.
Das Rundschreiben ist auch auf Gruppengesellschaften anwendbar, die nach den Eigenmittel- Unterlegungsvorschriften konsolidierungspflichtig sind. Ausgenommen sind Immobiliengesellschaften.
B. Örtlicher Geltungsbereich
Die Unternehmungen, soweit sie nach schweizerischem Recht organisiert sind, sorgen dafür, dass auch ihre konsolidierungspflichtigen ausländischen Gruppengesellschaften und Zweigniederlassungen die Grundsätze des vorliegenden Rundschreibens befolgen,
• sofern Grösse und Bedeutung der Auslagerung nicht so gering sind, dass diese keine Auswirkungen auf Risiken nach Rz 2 hat,
• soweit keine ausländische Regelung besteht.
C Teilweise Anwendbarkeit des Rundschreibens
Die Grundsätze 1–4, 7 und 9 (vgl. Kapitel V) sind nicht anwendbar auf Auslagerungen
• durch Zweigniederlassungen ausländischer Unternehmungen an den Hauptsitz (oder um- gekehrt) oder an andere Zweigniederlassungen,
• innerhalb einer Gruppe oder einer zentralen Organisation von Unternehmungen, oder
• an nach schweizerischem Recht organisierte Dienstleister, welche von einer Gruppe von Unternehmungen gemeinsam gehalten werden, deren Geschäftstätigkeit ausschliesslich darin besteht, Dienstleistungen für diese Unternehmungen zu erbringen.
In den Fällen von Rz 7–9 gilt die Ausnahme nur, wenn die Dienstleister
•
• die erbrachten Dienstleistungen im Interesse der auslagernden Unternehmungen von einer durch die FINMA anerkannten Prüfgesellschaft prüfen lassen und
sich verpflichten, ihrer Revisionsstelle, den auslagernden Unternehmungen und deren internen Revisionsstellen und externen Prüfgesellschaften und der FINMA alle verlangten In-
Verfügung zu stellen. ob formationen offenzulegen, sowie der FINMA und den internen Revisionsstellen und externen Prüfgesellschaften der auslagernden Unternehmungen auf Anfrage den Prüfbericht zur
Die FINMA kann einer Unternehmung verbieten, irgendwelche Geschäftsbereiche an einen
schreibens nicht einhält. Dienstleister auszulagern, sofern dieser die Bestimmungen von Rz 10 und 11 dieses Rund-
IV Zulässigkeit
Grundsätzlich ist die Auslagerung jedes Geschäftsbereiches ohne Bewilligung durch die FINMA möglich. Dies bedingt jedoch, dass das Bundesgesetz vom 19. Juni 1992 über den Datenschutz (Datenschutzgesetz, DSG; SR 235.1) gemäss Rz 30 ff. und die nachfolgenden Vo-
raussetzungen für ein sicheres Outsourcing eingehalten und im Falle einer Auslagerung ins Ausland die geforderten Nachweise erbracht werden.
Kann eine Unternehmung diese Anforderungen nicht erfüllen, so hat sie der FINMA vor der Auslagerung ein begründetes Gesuch um einzelne Abweichungen einzureichen.
Falls in anderen Rundschreiben der FINMA deren Zustimmung für die Auslagerung eines be- stimmten Bereiches vorausgesetzt wird, gehen diese Bestimmungen dem vorliegenden Rundschreiben vor.
Nicht auslagerbar sind die Oberleitung, Aufsicht und Kontrolle durch den Verwaltungsrat sowie zentrale Führungsaufgaben der Geschäftsführung. Vorbehalten bleiben allgemeine Weisungen und Entscheide im Rahmen der Gruppenüberwachung, sofern die Unternehmung Teil einer im Finanzbereich tätigen Gruppe bildet, welche einer angemessenen konsolidierten Aufsicht durch Aufsichtsbehörden untersteht (Art. 10 BankV). Ebenfalls nicht auslagerbar sind die Entscheide über die Aufnahme und den Abbruch von Geschäftsbeziehungen.
Die Auslagerung kann an einen Dienstleister erfolgen, der entweder zur Gruppe gehört oder der rechtlich und wirtschaftlich unabhängig ist. In beiden Fällen kann dieser eine Bank oder ein Effektenhändler sein oder aber aus einem andern Tätigkeitsbereich stammen.
Die nachfolgenden Voraussetzungen für ein sicheres Outsourcing gelangen jedoch unabhängig
der rechtlichen oder wirtschaftlichen Stellung und Herkunft des Dienstleisters zur Anwendung.
V Voraussetzungen
A. Grundsatz 1: Bestimmung des auszulagernden Geschäftsbereiches
Der auszulagernde Geschäftsbereich ist zu definieren.
Entsprechend den mit der Auslagerung verfolgten Zielen sind die genauen Anforderungen für die Leistungserbringung festzulegen und zu dokumentieren. Die Leistung des Dienstleisters
teilbar sein. muss anhand von vordefinierten qualitativen und quantitativen Merkmalen mess- oder beur-
B. Grundsatz 2: Auswahl, Instruktion und Kontrolle des Dienstleisters
lieren. ob Die Unternehmung hat den Dienstleister sorgfältig auszuwählen, zu instruieren und zu kontrol-
Mit schriftlicher Zustimmung der Unternehmung kann der Dienstleister Unterakkordanten bei-
ziehen, solange die Grundsätze des Rundschreibens eingehalten sind.
Die für die Auswahl und Zusammenarbeit mit einem Dienstleister massgebenden Kriterien und Faktoren sind vor dem Eingehen einer vertraglichen Beziehung festzulegen. Die Auswahl des Dienstleisters hat unter Berücksichtigung und Prüfung seiner professionellen Fähigkeiten sowie
finanziellen und personellen Ressourcen zu erfolgen. Der Dienstleister muss Gewähr für eine sichere und dauerhafte Leistungserbringung bieten.
Die Zuständigkeiten von Unternehmung und Dienstleister sind genau festzulegen und abzu-
grenzen. Schnittstellen, Verantwortlichkeiten, Zuständigkeiten und Haftungsfragen sind vertraglich zu regeln.
Der ausgelagerte Geschäftsbereich ist in das interne Kontrollsystem der Unternehmung zu integrieren. Es ist unternehmungsintern eine verantwortliche Stelle zu definieren, die für die
Überwachung und Kontrolle des Dienstleisters zuständig ist. Dessen Leistungen sind fortlaufend zu überwachen und zu beurteilen, so dass allfällig nötige Massnahmen sofort ergriffen werden können.
Die Unternehmung hat sich die dazu nötigen Einsichts-, Weisungs- und Kontrollrechte vom Dienstleister vertraglich einräumen zu lassen.
C Grundsatz 3: Verantwortung
Die Unternehmung trägt gegenüber der FINMA weiterhin die Verantwortung für den ausgela- gerten Geschäftsbereich.
Die Unternehmung ist gegenüber der FINMA auch für die ausgelagerten Geschäftsbereiche verantwortlich, wie wenn sie diese selbst betreiben würde.
D. Grundsatz 4: Sicherheit
Die Unternehmung und der Dienstleister legen Sicherheitsanforderungen fest und erarbeiten ein Sicherheitsdispositiv.
Die Unternehmung und der Dienstleister haben die Sicherheitsanforderungen, die der Dienst- leister zu erfüllen hat, zu definieren. Dies ist vertraglich festzuhalten und die Unternehmung hat deren Einhaltung zu überwachen. Die Unternehmung und der Dienstleister arbeiten ein Sicherheitsdispositiv aus, das die Weiterführung des ausgelagerten Geschäftsbereiches erlaubt, falls der Dienstleister aus irgendwelchen Gründen verhindert ist, seine Leistung zu erbringen. Die ordnungsmässige Geschäftsführung muss jederzeit aufrecht erhalten werden können.
cken. Bei Errichtung und Anwendung des Sicherheitsdispositivs hat die Unternehmung denjenigen Sorgfaltsmassstab zu beachten, den sie auch ohne Auslagerung an einen Dienstleister berücksichtigen müsste. Das Sicherheitsdispositiv hat sämtliche voraussehbaren Notfälle abzudeob Kundendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden.
Die Unternehmung und der Dienstleister sorgen für die Vertraulichkeit, die Verfügbarkeit und
die Richtigkeit der Daten, um einen angemessenen Datenschutz zu gewährleisten. Insbesondere schützen sie die Systeme gegen unbefugte oder zufällige Vernichtung, zufälligen Verlust, technische Fehler, Fälschung, Diebstahl oder widerrechtliche Verwendung, unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen.
tragen: fg Die technischen und organisatorischen Massnahmen müssen folgenden Kriterien Rechnung
• Zweck der Datenbearbeitung,
•
• Art und Umfang der Datenbearbeitung,
Einschätzung der möglichen Risiken für die betroffenen Kunden und
• gegenwärtiger Stand der Technik.
Diese Massnahmen sind periodisch zu überprüfen. Bei der automatisierten Bearbeitung von Kundendaten trifft der Dienstleister die technischen und organisatorischen Massnahmen, die geeignet sind, namentlich die Zugangs-, Personendatenträger-, Transport-, Bekanntgabe-, Speicher-, Benutzer-, Zugriffs- und Eingabekontrolle (vgl. Art. 7 DSG und Art. 8–9 der Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz, VDSG; SR 235.11) gerecht zu werden.
E. Grundsatz 5: Geschäfts- und Bankgeheimnis, Datenschutz
Ein schweizerischer Dienstleister ist dem Geschäftsgeheimnis der Unternehmung und, soweit ihm Kundendaten bekannt sind, dem Bank- oder dem Berufsgeheimnis der auslagernden Unternehmung zu unterstellen. Er hat sich ausdrücklich zu verpflichten, die daraus folgende Vertraulichkeit zu wahren.
Bei Auslagerungen ins Ausland ist mit angemessenen technischen und organisatorischen
Massnahmen sicherzustellen, dass das Bankgeheimnis und der Datenschutz nach schweizerischem Recht eingehalten werden.
Bietet der Dienstleister seine Dienstleistungen mehreren Unternehmungen an, so ist durch be- sondere technische, personelle und organisatorische Massnahmen sicherzustellen, dass die Vertraulichkeit der Daten nicht nur gegenüber Dritten, sondern auch zwischen den verschiedenen auslagernden Unternehmungen gewahrt bleibt.
F. Grundsatz 6: Kundenorientierung
Kunden, deren Daten durch eine Outsourcing-Lösung an einen Dienstleister gelangen, sind über die Auslagerung zu informieren.
Die Kunden sind über die Auslagerung zu informieren, bevor ihre Daten an einen Dienstleister übermittelt werden. Die Information kann in allgemeiner Form z.B. in Allgemeinen Geschäftsbedingungen, in Depotreglementen, in Kontoauszügen, Informationsbroschüren oder in Brief-
form erfolgen. Die Information soll nähere Angaben über die ausgelagerten Bereiche enthalten.
Die Kunden sind mit besonderem Schreiben und detailliert zu informieren und auf die getroffenen Sicherheitsvorkehrungen hinzuweisen, bevor im Rahmen einer Outsourcing-Lösung Daten über Kunden ins Ausland (vgl. Grundsatz 8) gehen. In diesem Falle muss den Kunden die
G. Möglichkeit offeriert werden, innert einer angemessenen Frist und ohne Nachteile die Vertragsverhältnisse abzubrechen. Die besondere Informationspflicht entfällt, wenn die ins Ausland ausgelagerten Daten keine Rückschlüsse auf die Identität eines Kunden zulassen.
Grundsatz 7: Prüfung und Aufsicht Die auslagernde Unternehmung, deren interne Revision und externe Prüfgesellschaft sowie die FINMA müssen den ausgelagerten Geschäftsbereich vollumfänglich, jederzeit und ungehindert
einsehen und prüfen können.
Prüftätigkeiten können an die externe Revisionsstelle des Dienstleisters delegiert werden, sofern diese über die notwendigen fachlichen Kompetenzen verfügt, um die Prüfung vorzunehmen. Die Delegation der Prüfung an die externe Revisionsstelle des Dienstleisters kann ohne Einwilligung der FINMA vorgenommen werden.
Die interne Revision und externe Prüfgesellschaft der Unternehmung müssen in der Lage sein, die Einhaltung der banken- und börsengesetzlichen Bestimmungen beim Dienstleister zu prüfen. Ihnen ist vertraglich ein jederzeitiges, vollumfängliches und ungehindertes Einsichts- und Prüfrecht einzuräumen, damit sie ihre Prüfungshandlungen vornehmen können. Beim Einsichts- und Prüfrecht sind jedoch die Bestimmungen von Rz 36 zu beachten.
Die interne Revision und externe Prüfgesellschaft der Unternehmung müssen Zugang zu allen Dokumenten, Datenträgern und Systemen beim Dienstleister haben, sofern diese den ausgelagerten Bereich betreffen.
Sie können insbesondere auf die Tätigkeit der Revisionsstellen von Dienstleistern abstellen, welche nach schweizerischem Recht organisiert sind und die Voraussetzungen von Rz 10 und 11 dieses Rundschreibens erfüllen.
Sie haben ihre Prüftätigkeiten mit der Revisionsstelle des Dienstleisters zu koordinieren.
Die Auslagerung eines Geschäftsbereiches darf die Regulierung und Aufsicht durch die FINMA nicht beeinträchtigen, insbesondere auch nicht bei einer Auslagerung ins Ausland oder durch Gruppengesellschaften im Ausland.
Ein Dienstleister, der nicht der Aufsicht der FINMA untersteht, hat sich gegenüber der Unter- nehmung vertraglich zu verpflichten, der FINMA sämtliche Auskünfte und Unterlagen, bezogen auf den ausgelagerten Geschäftsbereich, zu geben, die sie für ihre Aufsichtstätigkeit benötigt. Falls die Prüftätigkeiten an die Revisionsstelle des Dienstleisters delegiert werden, ist ihr Bericht der FINMA und der internen Revisionsstelle und externen Prüfgesellschaft der auslagernden Unternehmung auf Anfrage zur Verfügung zu stellen.
H. Grundsatz 8: Auslagerungen ins Ausland Auslagerungen ins Ausland sind vom ausdrücklichen Nachweis der Prüfmöglichkeiten abhängig zu machen.
Bei einer Auslagerung ins Ausland muss eine Unternehmung nachweisen können, dass sowohl sie selber wie auch ihre banken- oder börsengesetzliche Prüfgesellschaft sowie die FINMA ihre Prüfrechte wahrnehmen und rechtlich auch durchsetzen können.
Dieser Nachweis kann z.B. mittels Rechtsgutachten oder Bestätigungen einer entsprechenden
I. Aufsichtsbehörde erbracht werden. Die banken- oder börsengesetzliche Prüfgesellschaft hat den Nachweis vor der Auslagerung zu prüfen.
Grundsatz 9: Vertrag
abzuschliessen. fg
Es ist ein schriftlicher und klarer Vertrag zwischen der Unternehmung und dem Dienstleister
Jede Outsourcing-Lösung muss auf einem schriftlichen Vertrag beruhen, der mindestens den vorstehenden generellen Voraussetzungen umfassend Rechnung trägt.
Die Unternehmung hat die internen Bewilligungsverfahren für Outsourcing-Projekte sowie die Zuständigkeiten für die entsprechenden Vertragsabschlüsse festzulegen.
VI Berichterstattung der banken- und börsengesetzlichen Prüfgesellschaften
Die Prüfgesellschaften prüfen die Einhaltung der Voraussetzungen dieses Rundschreibens nach Massgabe des FINMA-RS 13/3 „Prüfwesen“ und halten das Ergebnis ihrer Prüfungshandlungen im Prüfbericht fest.
VII Ausnahmen
Die FINMA kann einer Unternehmung in besonderen Fällen andere Auflagen machen und/oder sie von der Einhaltung dieses Rundschreibens ganz oder teilweise befreien.
Anhang Beispiele von Auslagerungen
Die nachfolgende Tabelle enthält Beispiele aus der Praxis von Auslagerungen, die vom RS er- fasst werden und solchen, die nicht erfasst werden. Die Aufzählung ist nicht abschliessend.
Erklärung der in der nachstehenden Tabelle verwendeten Symbole:
• Outsourcing im Sinne des Rundschreibens bejaht
o Outsourcing im Sinne des Rundschreibens verneint
I Wertschriftenhandel und -verwaltung
• o en Gesamte Wertschriftenverwaltung an einen einzigen Dienstleister Teilnahme an Effektenabwicklungssystemen
II. • Zahlungs- und Notenverkehr Abwicklung des gesamten Zahlungsverkehrs über einen einzigen Dienstleister oder eine einzige Korrespondenzbank Teilnahme an Zahlungssystemen
o o o o Korrespondenzbankenbeziehungen Physische Geldlieferungen und Werttransporte Geldautomatenversorgung
III. • Informationstechnologiesysteme und Unterhalt
Datenaufbewahrung • • o
o Betrieb und Unterhalt von Datenbanken Betrieb von Informationstechnologie-Systemen Ausarbeitung eines Informationstechnologie-Projektes zur anschliessenden Integration in den Betrieb der Bank Auftrag zur Software-Entwicklung o Erwerb von Software-Lizenzen o Support von Software o Wartung technischer Geräte, von Systemen (Informationstechnologie usw.) und von Software
IV Riskmanagement
Compliance-Funktionen
Interne Geldwäschereifachstelle
Einzelne Funktionen im Bereich der Kreditrisikoüberwachung sowie der Kreditanalyse
Überwachung von Handels- und Kreditlimiten
V Stammdatenverwaltung und Rechnungswesen
• Finanzreporting
Anhang Beispiele von Auslagerungen
• Nachführung und Erstellung von Kundenadressen oder Kundenprofilen (ausgenommen sind einmalige Tätigkeiten)
VI Back-/Mid-Office-Funktionen
• Druck und Versand von Bankdokumenten (ausgenommen sind einmalige Tätigkeiten)
VII Human Resources
o o o Lohn-, Gehalts- und Bonusabrechnungen für Mitarbeiter Beschäftigung von ausgeliehenen (temporären) Arbeitskräften Betreuungsdienstleistungen für ins Ausland entsandte Mitarbeiter (Expatriates)
VIII Logistik
o o Kantine- und Restaurationsbetriebe Allgemeine Service- und Unterstützungsleistungen wie beispielsweise Reinigungsdienst,
o o eh Unfallverhütung, Brandschutz usw. Massnahmen für die technische und physische Sicherheit von Bankgebäuden Verwaltung, Unterhalt und Verkauf bankeigener Gebäude
IX Diverses
o o Kreditkartengeschäft Inkassowesen
o Rechts- und Steuerberatung
Verzeichnis der Änderungen
Das Rundschreiben wird wie folgt geändert:
Diese Änderung wurde am 6.12.2012 beschlossen und tritt am 1.1.2013 in Kraft.
Geänderte Rz
Die Verweise auf die BankV wurden an die Bankenverordnung vom 30. April 2014 angepasst.