Totalrevision FINMA-Rundschreiben 2008/21 «Operationelle Risiken – Banken»
Am 10. Mai 2022 hat die FINMA bekannt gegeben, das FINMA-RS 2008/21 «Operationelle Risiken – Banken» einer Totalrevision zu unterziehen, um damit den neusten Prinzipien der Basler Standards zu entsprechen sowie den Entwicklungen im Bereich der Digitalisierung und der Informations- und Kommunikationstechnologie (IKT) gerecht zu werden. Neben den bekannten Anforderungen zum Umgang mit operationellen Risiken sind neu auch Vorgaben im Zusammenhang mit der operationellen Resilienz zu erfüllen. Damit soll die Überlebensfähigkeit der Banken bei schwerwiegenden, komplexen, systemischen oder länger andauernden operationellen Problemen gestärkt werden.
Die Anhörung zum neuen Rundschreiben 20xx/xx «Operationelle Risiken und Resilienz – Banken» dauert bis zum 11. Juli 2022. Das neue Rundschreiben soll auf den 1. Januar 2023 in Kraft treten, teilweise mit Übergangsfristen.
Änderungen
Die quantitativen Anforderungen, welche bislang unter dem Titel «Eigenmittelanforderungen» aufgeführt sind, werden durch Anforderungen in der Eigenmittelverordnung (ERV) ersetzt und sind nicht mehr Gegenstand des neuen Rundschreibens. Die qualitativen Anforderungen stellen im Wesentlichen Konkretisierungen der Aufsichtspraxis der FINMA dar. Durch das neue Rundschreiben soll nicht jede Art von operationellen Risiken umfassend und im Detail behandelt werden. Wie bis anhin gilt auch im neuen Rundschreiben das Proportionalitätsprinzip, womit Banken der Aufsichtskategorie 4 und 5 sowie Banken unter dem Kleinbankenregime von bestimmten Erleichterungen profitieren können. Generell soll mit der Totalrevision mehr Klarheit in Bezug zur Risikotoleranz für operationelle Risiken und zum institutsweiten Risikomanagement geschaffen werden. Das Management der operationellen Risiken soll als Bestandteil des institutsweiten Risikomanagements gelten.
Infolge zunehmender Cyber-Attacken und erhöhten Risiken für kritische Daten müssen die Institute neu über geeignete Verfahren, Prozesse und Kontrollen zur Inventarisierung der IKT als auch Erkennung, Eindämmung und Beseitigung von Cyber-Attacken verfügen. Der bisherige Fokus auf der Vertraulichkeit von Kundenidentifikationsdaten (CID) wurde daher im neuen Rundschreiben auf die Dimensionen der Integrität und Verfügbarkeit kritischer Daten ausgeweitet.
Die bisherigen Vorgaben zum Business Continuity Management (BCM), welche aus der Selbstregulierung der Schweizerischen Bankiervereinigung (SBVg) «Empfehlungen für das Business Continuity Management (BCM)» vom August 2013 stammen, werden in das neue Rundschreiben überführt. Die Anerkennung der Selbstregulierung der SBVg als Mindeststandard wird damit mit Inkrafttreten des neuen Rundschreibens aufgehoben. Das Testen von Ausfallszenarien wird inskünftig «nur» noch für «schwerwiegende, aber plausible Szenarien» verlangt.
Neu wird hingegen der Begriff der operationellen Resilienz im Zusammenhang mit der Fortführungsfähigkeit von Banken eingeführt. Diese verlangt unter anderem, dass für «kritische Funktionen» zusätzlich ein strategischer Fokus top-down sowie ein präventiver Fokus mit gezielten vorbeugenden Massnahmen und kontinuierlichem Lernen und Verbesserungen in das Management der operationellen Resilienz einfliesst. Zur Umsetzung der Bestimmung sind Übergangsfristen von bis zu drei Jahren ab Inkrafttreten vorgesehen.
Keine materiellen Anpassungen gab es bei den bestehenden Grundsätzen zur Weiterführung von kritischen Dienstleistungen bei der Abwicklung und Sanierung von systemrelevanten Banken sowie Risiken aus dem grenzüberschreitenden Dienstleistungsgeschäft.
Auswirkungen
Auch wenn die Regulierungsthemen und Grundsätze im Wesentlichen unverändert geblieben sind, darf der Implementierungsaufwand nicht unterschätzt werden. Je nach Ausgestaltung und Maturität der bestehenden Dokumente, Prozesse und Verfahren kann ein unterschiedlicher Handlungsbedarf resultieren. Die Änderungen können weitreichende Auswirkungen auf das institutsweite Risikomanagement, die internen Corporate Governance Regeln oder das Outsourcing haben. Es bedarf daher einer frühzeitigen Analyse und Auseinandersetzung mit den neuen Bestimmungen durch den Verantwortlichen der Bank.
Tags: FINMA
