Mit der FINMA Guidance 04/2024 hat die Aufsicht ihre Erwartungen an das Management operationeller Risiken bei Fondsleitungen und Verwaltern von Kollektivvermögen konkretisiert. Im Fokus stehen Governance, Risikomanagement, Business Continuity, Compliance-Risiken im grenzüberschreitenden Geschäft sowie operationelle Risiken im Zusammenhang mit Auslagerungen.
Die Guidance ist auch deshalb von praktischer Bedeutung, weil sie zeigt, dass sich operationelle Risiken heute nicht nur in Prozessfehlern oder organisatorischen Schwächen manifestieren, sondern zunehmend auch in Cyber-Vorfällen, Abhängigkeiten von Dienstleistern und unklaren Verantwortlichkeiten.
Auch für Vermögensverwalter nach Art. 17 FINIG ist diese Entwicklung relevant. Nicht weil die Guidance formal direkt an diese Institute adressiert wäre, sondern weil die darin beschriebenen Themen heute allgemein zur Erwartung an eine belastbare Organisation gehören. Wer mit externen IT-Providern, Cloud-Lösungen, Backoffice-Dienstleistern, Portfoliomanagementsystemen oder ausgelagerten Kontrollfunktionen arbeitet, sollte sich mit diesen Fragestellungen auseinandersetzen.
Operationelles Risikomanagement ist mehr als einzelne Kontrollen
Operationelles Risikomanagement lässt sich nicht auf einzelne technische oder organisatorische Massnahmen reduzieren. Erwartet wird ein System, das in die Organisation eingebettet ist und nachvollziehbar gesteuert wird.
Entscheidend ist nicht nur, ob Schutzmassnahmen vorhanden sind, sondern ob Zuständigkeiten klar zugewiesen, Entscheidungen dokumentiert, Eskalationswege definiert und kritische Prozesse wirksam überwacht werden. Operationelle Risiken betreffen damit nicht nur IT oder Compliance, sondern die gesamte Steuerung des Instituts.
Vier Themen stehen besonders im Vordergrund
Cyber-Risiken sind Teil der Organisationsverantwortung
Cyber-Risiken sind kein reines IT-Thema. Sie gehören heute zur allgemeinen Organisationsverantwortung eines Instituts. Relevant ist deshalb nicht nur, ob technische Schutzmassnahmen bestehen, sondern auch, ob Sicherheitsvorfälle erkannt, intern eskaliert und auf Entscheidungsebene angemessen behandelt werden können.
In der Praxis stellen sich unter anderem folgende Fragen:
- Sind Zuständigkeiten für Cyber-Risiken klar geregelt?
- Bestehen dokumentierte Eskalationswege?
- Sind Entscheidungsprozesse für Vorfälle definiert?
- Werden externe IT- und Cloud-Dienstleister ausreichend überwacht?
Outsourcing reduziert nicht die Verantwortung
Ein zentrales Thema ist die Auslagerung von Funktionen an externe Dienstleister. Diese kann effizient und sinnvoll sein, entbindet das Institut jedoch nicht von seiner Verantwortung.
Entscheidend ist, dass auch ausgelagerte Tätigkeiten beherrscht und überwacht werden können. Dazu gehören insbesondere klare vertragliche Grundlagen, geregelte Informationsflüsse, Kontrollrechte, transparente Zuständigkeiten und belastbare Incident-Prozesse.
Gerade im Bereich Cyber-Sicherheit zeigt sich in der Praxis häufig, dass Institute stark von Dritten abhängig sind, ohne diese Abhängigkeiten ausreichend strukturiert zu steuern.
Business Continuity ist ein praktisches Führungsthema
Business Continuity bedeutet mehr als einen Notfallordner oder eine formale Richtlinie. Im Zentrum steht die Frage, ob ein Institut auch bei Störungen, IT-Ausfällen oder Cyber-Vorfällen handlungsfähig bleibt.
Wesentlich ist dabei insbesondere:
- Welche Prozesse müssen im Ernstfall weiterlaufen?
- Welche Systeme sind dafür kritisch?
- Wer entscheidet in einer Krisensituation?
- Wie erfolgt die interne und externe Kommunikation?
- Sind Wiederanlauf- und Notfallprozesse realistisch ausgestaltet und getestet?
Business Continuity ist damit kein rein technisches Thema, sondern Teil einer funktionierenden Führungs- und Organisationsstruktur.
Cross-Border- und Compliance-Risiken gehören zur operationellen Steuerung
Operationelle Risiken beschränken sich nicht auf Technik oder Infrastruktur. Auch rechtliche und regulatorische Risiken können operationelle Auswirkungen haben, insbesondere wenn Prozesse, Zuständigkeiten oder Kontrollen nicht klar ausgestaltet sind.
Dies gilt namentlich im grenzüberschreitenden Geschäft. Wo verschiedene Rechtsordnungen, Vertriebskanäle oder Kundenbeziehungen zusammenkommen, steigen die Anforderungen an Dokumentation, Kontrolle und interne Koordination.
Warum das Thema auch für Vermögensverwalter relevant ist
Auch kleinere Institute sollten operationelle Risiken nicht als Thema betrachten, das nur grössere Marktteilnehmer betrifft. Viele Vermögensverwalter arbeiten mit externen Anbietern in Bereichen wie IT, Datenhaltung, Portfoliomanagementsystemen und CRM. Daraus entstehen Abhängigkeiten, die im Alltag oft wenig sichtbar sind, im Störungsfall jedoch erhebliche Auswirkungen haben können.
Es ist deshalb empfehlenswert, die eigene Organisation regelmässig daraufhin zu überprüfen, ob wesentliche Funktionen ausreichend gesteuert, überwacht und dokumentiert sind. Die Erwartungen an eine belastbare Organisation sind in den letzten Jahren erkennbar gestiegen.
Was Institute jetzt prüfen sollten
Institute sollten ihre Governance für operationelle Risiken nicht nur formal dokumentieren, sondern praktisch belastbar ausgestalten. Dazu gehören insbesondere:
- klare Verantwortlichkeiten auf Stufe Geschäftsleitung und Verwaltungsrat
- ein aktueller Überblick über kritische Prozesse und Auslagerungen
- definierte Informations- und Kontrollrechte gegenüber Dienstleistern
- dokumentierte Incident- und Eskalationsprozesse
- realistische Notfall- und Wiederanlaufplanung
- eine regelmässige Überprüfung, ob die festgelegten Prozesse im Alltag funktionieren
Fazit
Operational Risk Management ist heute ein Kernthema im Asset Management. Im Zentrum stehen nicht nur Cyber-Risiken, sondern auch Outsourcing, Business Continuity, Governance und die Fähigkeit eines Instituts, in Störungssituationen kontrolliert zu handeln.
Die wesentliche Frage lautet nicht, ob ein Risiko theoretisch beschrieben ist. Entscheidend ist, ob die Organisation in der Praxis nachvollziehbar, belastbar und steuerbar ausgestaltet ist. Institute, die ihre Prozesse, Verantwortlichkeiten und Abhängigkeiten regelmässig überprüfen, stärken nicht nur ihre Resilienz, sondern auch ihre regulatorische Anschlussfähigkeit.
