IT-Risiken bei Verwaltern von Kollektivvermögen: Was die Revision prüft
Die FINMA adressiert Cyber- und IT-Risiken in ihrem Risikomonitor seit Jahren als einen der zentralen operationellen Risikoschwerpunkte für Bewilligungsträger. Bei Verwaltern von Kollektivvermögen schlägt sich dies zunehmend im aufsichtsrechtlichen Prüfbericht nieder: Geprüft wird nicht mehr nur, ob IT-Systeme funktionieren, sondern ob IT-Governance, Kontrollen und Meldeprozesse prüfbar dokumentiert sind.
Die regulatorische Grundlage ist Art. 9 FINIG (angemessene Organisation und Risikomanagement) in Verbindung mit Art. 12 ff. FINIV. Für die Auslagerung von IT-Dienstleistungen gilt Art. 14 FINIG sowie die FINMA-Aufsichtsmitteilung 05/2020 zu Cyber-Risiken.
Was im Prüfbericht zählt
Im Fokus stehen insbesondere:
- Verantwortlichkeiten für IT- und Cyber-Risiken auf Ebene Geschäftsleitung und Verwaltungsrat
- Übersicht über wesentliche IT-Systeme und Dienstleister (IT-Inventar)
- periodische Überprüfung und Re-Zertifizierung von Zugriffsrechten
- Kontrollen bei ausgelagerten IT-Dienstleistungen nach Art. 14 FINIG
- Incident-Response-Prozess bei Cyber-Vorfällen
- Meldeprozess bei aufsichtsrechtlich relevanten Vorkommnissen
- Backup-, Wiederherstellungs- und Business-Continuity-Konzepte
- Reporting an Geschäftsleitung und Verwaltungsrat
Viele Feststellungen entstehen nicht, weil keine IT-Kontrollen bestehen. Sie entstehen, weil Zuständigkeiten, Kontrollen oder Nachweise nicht ausreichend dokumentiert sind.
Die häufige Lücke: IT vorhanden, aber nicht prüfbar
In der Praxis verfügen die meisten Verwalter von Kollektivvermögen über externe IT-Dienstleister, Sicherheitslösungen, Backups und definierte Zugriffsrechte. Für die Revision reicht das allein nicht aus. Relevant ist, ob das Institut nachweisen kann:
- welche IT-Risiken identifiziert wurden
- wer diese Risiken überwacht
- welche Kontrollen durchgeführt werden und mit welcher Frequenz
- wie Dienstleister überwacht und beurteilt werden
- wie Cyber-Vorfälle erkannt, dokumentiert und eskaliert werden
- wann eine Meldung an die FINMA geprüft wird
- welche Nachweise für die Prüfung vorhanden sind
Eine typische Feststellung im Prüfbericht: Zugriffsrechte werden zwar technisch verwaltet, die jährliche Re-Zertifizierung durch die fachlich verantwortliche Stelle ist aber nicht dokumentiert. Oder: Es besteht ein Vertrag mit dem IT-Provider, aber keine regelmässige Überwachung der vereinbarten Service-Levels und Sicherheitsanforderungen. Genau hier entsteht die Lücke zwischen operativer IT und aufsichtsrechtlicher Dokumentation.
Outsourcing entlastet nicht von Verantwortung
Viele Verwalter von Kollektivvermögen lagern IT-Dienstleistungen aus. Das ist zulässig und oft unumgänglich. Aufsichtsrechtlich bleibt das Institut jedoch verantwortlich (Art. 14 FINIG). Wer IT auslagert, muss insbesondere nachweisen können:
- welche Leistungen ausgelagert sind und ob es sich um wesentliche Dienstleistungen handelt
- dass die Sorgfaltspflichten bei Auswahl, Instruktion und Überwachung des Dienstleisters erfüllt sind
- wie die Leistungserbringung laufend überwacht wird
- welche Eskalations- und Exit-Strategien bei Störungen oder Sicherheitsvorfällen bestehen
- dass der Dienstleister vertraglich zur Mitwirkung bei Prüfungen verpflichtet ist
Selbsttest vor der nächsten Revision
Verwalter von Kollektivvermögen sollten sich vor der nächsten Prüfung folgende Fragen stellen:
- Gibt es eine aktuelle Übersicht über kritische IT-Systeme und Dienstleister?
- Sind Verantwortlichkeiten für IT- und Cyber-Risiken auf Stufe Geschäftsleitung dokumentiert?
- Werden Zugriffsrechte periodisch überprüft und re-zertifiziert?
- Ist der Prozess für Erkennung, Eskalation und Meldung von Cyber-Vorfällen festgelegt?
- Liegen Nachweise zur laufenden Überwachung ausgelagerter IT-Dienstleistungen vor?
- Werden IT- und Cyber-Risiken regelmässig an Geschäftsleitung und Verwaltungsrat rapportiert?
Wenn diese Fragen nicht klar und mit Nachweisen beantwortet werden können, besteht Handlungsbedarf vor der nächsten aufsichtsrechtlichen Prüfung.
Fazit
Der Prüfbericht zeigt klar: IT ist Teil der Compliance. Verwalter von Kollektivvermögen müssen Cyber- und IT-Risiken nicht nur technisch bewältigen, sondern regulatorisch nachvollziehbar dokumentieren. Entscheidend ist nicht, ob Kontrollen bestehen, sondern ob sie prüfbar sind.
Peak Compliance unterstützt Verwalter von Kollektivvermögen bei der Erstellung des IT-Risiko-Inventars, der Dokumentation von Outsourcing-Verhältnissen, der Ausgestaltung von Incident-Response- und Meldeprozessen sowie der Aufbereitung prüfbarer Nachweise für die aufsichtsrechtliche Revision.
