FINMA-Rundschreiben "Outsourcing – Banken und Versicherer"

I Zweck

Das vorliegende Rundschreiben legt die aufsichtsrechtlichen Anforderungen an Outsourcing-Lösungen von Banken, Effektenhändlern und Versicherungsunternehmen dar. Für diese enthält es Anforderungen an eine angemessene Organisation und bezweckt deren Risikobegrenzung.

II Begriffe

Als Unternehmen gelten Institute (Banken, Effektenhändler und Versicherungsunternehmen) im Geltungsbereich dieses Rundschreibens. Ein Outsourcing (Auslagerung) im Sinne des Rundschreibens liegt vor, wenn ein Unternehmen einen Dienstleister beauftragt, selbständig und dauernd eine für die Geschäftstätigkeit des Unternehmens wesentliche Funktion ganz oder teilweise zu erfüllen. Wesentlich sind jene Funktionen, von denen die Einhaltung der Ziele und Vorschriften der Finanzmarktaufsichtsgesetzgebung signifikant abhängt.

III Geltungsbereich

Dieses Rundschreiben gilt für:

• Banken und Effektenhändler mit Sitz in der Schweiz sowie schweizerische Zweigniederlassungen ausländischer Banken und Effektenhändler;

• Versicherungsunternehmen mit Sitz in der Schweiz und Zweigniederlassungen von ausländischen Versicherungsunternehmen, welche die Bewilligung zum Geschäftsbetrieb nach Art. 3 und 6 VAG (Erstbewilligung) oder die Bewilligung für einzelne Elemente des Geschäftsplans nach Art. 4 i.V.m. Art. 5 VAG (Änderungsbewilligung) bedürfen.

IV Zulässigkeit

A. Gemeinsame Bestimmungen Vorbehältlich der nachfolgenden Ausnahmen (Rz 8–13) ist die Auslagerung aller wesentlichen Funktionen zulässig. Nicht auslagerbar sind die Oberleitung, Aufsicht und Kontrolle durch das Oberleitungsorgan, zentrale Führungsaufgaben der Geschäftsleitung sowie Funktionen, die das Fällen von strategischen Entscheiden umfassen. Dies gilt ebenso für Entscheide über die Aufnahme und den Abbruch von Geschäftsbeziehungen. Die Unternehmen der Aufsichtskategorien 1 bis 3 verfügen über eine eigenständige Risikokontrolle und Compliance-Funktion als unabhängige Kontrollinstanzen. Bei Unternehmen der Aufsichtskategorien 4 und 5 genügt es, wenn eine für diese Funktionen verantwortliche Person in der Geschäftsleitung bestimmt ist. Operative Risikomanagement- und Compliance-Aufgaben sind bei allen Aufsichtskategorien auslagerbar.

B. Versicherungsunternehmen Das Outsourcing von wesentlichen Funktionen und die beschränkt zulässige Auslagerung von Kontrollfunktionen sind nach Art. 4 Abs. 2 Bst. j i.V.m. Art. 5 Abs. 2 VAG geschäftsplanrelevant und damit genehmigungspflichtig. Für Versicherungscaptives ist die Auslagerung von Führungs- und Kontrollfunktionen in einem weiteren Umfang zulässig als bei den übrigen Versicherungsunternehmen. Zulässig sind:

• Das Outsourcing des Managements von Direkt- und Rückversicherungscaptives mit Sitz in der Schweiz (inkl. zentraler Führungsaufgaben der Geschäftsleitung) auf entsprechend spezialisierte Captive-Management-Gesellschaften;

• Das Outsourcing des Managements von Zweigniederlassungen ausländischer Direktversicherungscaptives innerhalb des Konzerns oder auf entsprechend spezialisierte Captive-Management-Gesellschaften. Die aufsichtsrechtliche Funktion des Generalbevollmächtigten (Art. 17 und 18 AVO) darf dadurch nicht eingeschränkt werden.

V Anforderungen an auslagernde Unternehmen

A. Inventarisierung der ausgelagerten Funktionen Über die ausgelagerten Funktionen ist ein aktuell zu haltendes Inventar zu führen. Dieses enthält eine Umschreibung der ausgelagerten Funktion, nennt Erbringer (inkl. Unterakkordanten) und Empfänger sowie die unternehmensintern verantwortliche Stelle (vgl.

Rz 20).

Die Versicherungsunternehmen führen dieses Inventar im Rahmen des Geschäftsplanformulars J.

B. Auswahl, Instruktion und Kontrolle des Dienstleisters Entsprechend den mit der Auslagerung verfolgten Zielen sind die Anforderungen an die Leistungserbringung vor Vertragsschluss festzulegen und zu dokumentieren. Dies beinhaltet eine Risikoanalyse, welche die wesentlichen ökonomischen und operativen Überlegungen und die damit verbundenen Risiken und Chancen einschliesst. Die Auswahl des Dienstleisters hat unter Berücksichtigung und Prüfung seiner professionellen Fähigkeiten sowie finanziellen und personellen Ressourcen zu erfolgen. Werden mehrere Funktionen an den gleichen Dienstleister ausgelagert, so ist dem Konzentrationsrisiko Rechnung zu tragen. Ferner sind beim Entscheid über das Outsourcing und bei der Auswahl des Dienstleisters die Möglichkeiten und Folgen eines Wechsels zu berücksichtigen. Der Dienstleister hat Gewähr für eine dauerhafte Leistungserbringung zu bieten. Die geordnete Rückführung der ausgelagerten Funktion muss sichergestellt sein. Die Zuständigkeiten des Unternehmens und des Dienstleisters sind vertraglich festzulegen und abzugrenzen, insbesondere bezüglich Schnittstellen und Verantwortlichkeiten. Die ausgelagerte Funktion ist in das interne Kontrollsystem des Unternehmens zu integrieren. Die mit der Auslagerung verbundenen wesentlichen Risiken sind systematisch zu

identifizieren, zu überwachen, zu quantifizieren und zu steuern. Unternehmensintern ist eine verantwortliche Stelle zu definieren, die für die Überwachung und Kontrolle des Dienstleisters zuständig ist. Dessen Leistungen sind fortlaufend zu überwachen und zu beurteilen, so dass allfällig nötige Massnahmen zeitnah ergriffen werden können. Das Unternehmen hat sich die dazu nötigen Weisungs- und Kontrollrechte vom Dienstleister vertraglich einräumen zu lassen.

C Konzern- / gruppeninterne Auslagerungen

Bei den Anforderungen gemäss den Rz 16–21 sowie 32–35 kann die Verbundenheit im Konzern/in der Gruppe berücksichtigt werden, sofern die mit der Auslagerung typischerweise vorhandenen Risiken nachweislich nicht bestehen oder gewisse Anforderungen nicht relevant oder anders geregelt sind.

D. Verantwortung Das Unternehmen trägt gegenüber der FINMA weiterhin die selbe Verantwortung, wie wenn es die ausgelagerte Funktion selber erbringen würde. Es hat die ordnungsgemässe Geschäftsführung jederzeit zu gewährleisten.

E. Sicherheit Bei sicherheitsrelevanten Auslagerungen (namentlich im Bereich IT) legen das Unternehmen und der Dienstleister vertraglich Sicherheitsanforderungen fest. Deren Einhaltungen sind vom Unternehmen zu überwachen. Das Unternehmen und der Dienstleister erarbeiten ein Sicherheitsdispositiv, das die Weiterführung der ausgelagerten Funktion in Notfällen erlaubt. Bei Errichtung und Anwendung des Sicherheitsdispositivs gilt für das Unternehmen derselbe Sorgfaltsmassstab, wie wenn es die ausgelagerte Funktion selber erbringen würde.

F. Prüfung und Aufsicht Das Unternehmen und dessen Prüfgesellschaft sowie die FINMA müssen in der Lage sein, die Einhaltung der aufsichtsrechtlichen Bestimmungen beim Dienstleister zu prüfen. Zu ihren Gunsten ist vertraglich ein jederzeitiges, vollumfängliches und ungehindertes Einsichts- und Prüfrecht in Bezug auf die ausgelagerte Funktion einzuräumen. Prüftätigkeiten können an die Revisionsstelle des Dienstleisters delegiert werden, sofern diese über die notwendigen fachlichen Kompetenzen verfügt. Erfolgt eine solche Delegation, kann die Prüfgesellschaft des Unternehmens auf die Prüfungsergebnisse der Revisionsstelle des Dienstleisters abstellen. Die Auslagerung einer Funktion darf die Aufsicht durch die FINMA nicht erschweren, insbesondere bei einer Auslagerung ins Ausland. Untersteht der Dienstleister nicht der Aufsicht der FINMA, hat er sich gegenüber dem Unternehmen vertraglich zu verpflichten, der FINMA sämtliche Auskünfte und Unterlagen bezogen auf den ausgelagerten Geschäftsbereich zur Verfügung zu stellen, die sie für die Aufsichtstätigkeit benötigt. Falls Prüftätigkeiten an die Revisionsstelle des Dienstleisters delegiert werden, ist ihr Bericht der FINMA, der internen Revisionsstelle und der Prüfgesellschaft des auslagernden Unternehmens auf Anfrage zur Verfügung zu stellen.

G. Auslagerungen ins Ausland Auslagerungen ins Ausland sind zulässig, sofern das Unternehmen ausdrücklich zusichern kann, dass es selber, seine Prüfgesellschaft sowie die FINMA ihre Einsichts- und Prüfrechte wahrnehmen und durchsetzen können. Die Sanierbarkeit bzw. Abwickelbarkeit des Unternehmens in der Schweiz muss gewährleistet sein. Der Zugriff auf die dafür notwendigen Informationen muss jederzeit in der Schweiz möglich sein.

H. Vertrag Die Auslagerung muss auf einem schriftlichen Vertrag beruhen. Neben der Bezeichnung der Parteien und einer Beschreibung der Funktion enthält dieser im Minimum folgenden Das Unternehmen hat den Beizug von Unterakkordanten, die wesentliche Funktionen erbringen, von seiner vorgängigen Genehmigung abhängig zu machen. Werden solche Unterakkordanten beigezogen, sind ihnen die Pflichten und Zusicherungen des Dienstleisters, die zur Erfüllung dieses Rundschreibens erforderlich sind, zu überbinden. Es sind vertragliche Vorkehrungen zur Umsetzung der Anforderungen gemäss diesem Rundschreiben und insbesondere den Rz 21, 24, 26, 29, 30 und 31 zu treffen. Das Unternehmen hat die internen Bewilligungsverfahren für Outsourcing-Projekte sowie die Zuständigkeiten für die entsprechenden Vertragsabschlüsse festzulegen.

VI Auflagen und Ausnahmen

Die FINMA kann einem Unternehmen in begründeten Fällen Auflagen machen oder dieses von der Einhaltung des Rundschreibens ganz oder teilweise befreien.

VII Übergangsbestimmungen

Das Rundschreiben findet unmittelbar Anwendung auf Outsourcingverhältnisse von Banken und Effektenhändlern, die nach dessen Inkrafttreten abgeschlossen oder geändert werden. Outsourcingverhältnisse von Banken und Effektenhändlern, die bei Inkrafttreten des Rundschreibens bereits bestehen, sind innerhalb einer Übergangsfrist von fünf Jahren ab Inkrafttreten so anzupassen, dass die Anforderungen des Rundschreibens eingehalten sind. Für Versicherungsunternehmen gilt das Rundschreiben für Erstbewilligungen ab dessen Inkrafttreten. Für Änderungsgenehmigungen gilt das Rundschreiben ab dem Zeitpunkt, in dem eine Geschäftsplanänderung der FINMA zur Genehmigung unterbreitet bzw. mitgeteilt wird.