Worum es geht
Ein internes Kontrollsystem (IKS) ist für Vermögensverwalter Bewilligungsvoraussetzung und laufende Pflicht zugleich. Das Finanzinstitutsgesetz verlangt, dass ein Finanzinstitut seine Risiken identifiziert, misst, steuert und überwacht und für wirksame interne Kontrollen sorgt (Art. 9 Abs. 2 FINIG). Für Vermögensverwalter und Trustees präzisiert Art. 21 FINIG: Sie verfügen über ein angemessen ausgestattetes Risikomanagement und eine wirksame interne Kontrolle, die unter anderem die Einhaltung der rechtlichen und unternehmensinternen Vorschriften gewährleistet. Wie das in der Praxis aussieht, zeigt dieser Beitrag. Den gesamten Rahmen finden Sie im Wissensbereich FINIG und Aufsicht.
Welche Rechtsgrundlagen gelten?
- Art. 9 und 21 FINIG: wirksame interne Kontrollen und eine Compliance-Funktion; Personen in Risikomanagement und interner Kontrolle werden nicht in die Tätigkeiten eingebunden, die sie überwachen.
- Art. 26 FINIV: Vermögensverwalter regeln die Grundzüge des Risikomanagements und bestimmen ihre Risikotoleranz (Art. 26 FINIV).
- Art. 41 FINIV: Bei Verwaltern von Kollektivvermögen legt das Organ für die Oberleitung das IKS fest, stellt es sicher und überwacht es; Risikomanagement und Compliance sind von den operativen Einheiten getrennt.
- Art. 728a OR: Bei der ordentlichen Revision prüft die Revisionsstelle, ob ein internes Kontrollsystem existiert (Art. 728a OR).
Welche Bausteine gehören zum IKS?
- Risikoinventar: rechtliche, operationelle, Geldwäscherei-, IT- und Auslagerungsrisiken mit Eintrittswahrscheinlichkeit, Auswirkung und Risikotoleranz.
- Kontrollplan: jede Schlüsselkontrolle mit Ziel, Frequenz, Verantwortlichen und erwartetem Nachweis, abgeleitet aus den Risiken.
- Durchführung und Nachweis: Ergebnisse und Belege werden direkt bei der Kontrolle dokumentiert.
- Massnahmen und Pendenzen: Feststellungen aus Kontrollen, Prüfungen und Vorfällen werden mit Verantwortlichen und Fristen bis zur Erledigung verfolgt.
- Berichterstattung: periodische Berichte an Geschäftsleitung und Verwaltungsrat mit Stand der Kontrollen, offenen Massnahmen und Risikolage.
Das IKS folgt dem Modell der drei Verteidigungslinien: Das operative Geschäft bildet die erste Linie, Risikomanagement und Compliance die zweite, die unabhängige Prüfung die dritte.
Welche Kontrollen sind für Vermögensverwalter typisch?
| Bereich | Beispiel einer Schlüsselkontrolle | Bezug |
|---|---|---|
| Kontoeröffnung | Vier-Augen-Prüfung von Identifizierung, wirtschaftlich berechtigter Person und Risikoeinstufung | Art. 3–6 GwG |
| Kundendokumentation | periodische, risikoorientierte Überprüfung der Kundenbelege | Art. 7 Abs. 1bis GwG |
| Sanktionen | Abgleich von Kunden und Transaktionen mit den Sanktionslisten | Art. 8 GwG |
| Vermögensverwaltung | Abgleich der Portfolios mit Anlageprofil und Eignungsprüfung | Art. 12 FIDLEG |
| Interessenkonflikte | Prüfung der Offenlegung von Entschädigungen Dritter | Art. 26 FIDLEG |
| Zeichnungsrechte | Einhaltung der Kollektivunterschrift zu zweien | Art. 23 FINIV |
| Auslagerungen | Überwachung der beauftragten Dritten und ihrer Berichte | Art. 14 FINIG |
| Finanzen | laufende Einhaltung von Mindestkapital und Eigenmitteln | Art. 22 und 23 FINIG |
Hinzu kommen Kontrollen zu IT-Sicherheit und Notfallplanung. Hinweise dazu enthält der Beitrag zum Operational Risk Management.
Was gilt für kleinere Vermögensverwalter?
Die Verordnung trägt der Grösse Rechnung. Die Unabhängigkeit von Risikomanagement und interner Kontrolle von den ertragsorientierten Tätigkeiten ist nicht erforderlich, wenn ein Vermögensverwalter fünf oder weniger Vollzeitstellen oder einen jährlichen Bruttoertrag von weniger als CHF 2 Mio. aufweist und ein Geschäftsmodell ohne erhöhte Risiken verfolgt (Art. 26 Abs. 2 FINIV). Die Schwellenwerte müssen in zwei von drei vergangenen Geschäftsjahren erreicht oder in der Geschäftsplanung vorgesehen sein. Eine wirksame interne Kontrolle braucht es trotzdem – viele kleinere Institute erreichen sie mit einem schlanken Kontrollplan und einer externen Second Line.
Schritt für Schritt zum IKS
- 1Risiken erfassenGeschäftsmodell, Kundensegmente, Produkte, Länder und Auslagerungen analysieren und im Risikoinventar bewerten.
- 2Kontrollen ableitenfür jedes wesentliche Risiko eine Schlüsselkontrolle mit Ziel und Nachweis festlegen.
- 3Verantwortung zuweisenZuständigkeiten in erster und zweiter Linie klar regeln und in den Weisungen festhalten.
- 4Kontrollplan verabschiedenFrequenzen und Termine für das Jahr festlegen und durch die Geschäftsleitung genehmigen lassen.
- 5Durchführen und dokumentierenKontrollen termingerecht ausführen, Ergebnisse und Belege ablegen, Massnahmen verfolgen.
- ✓Berichten und weiterentwickelnGeschäftsleitung und Verwaltungsrat periodisch informieren und das IKS nach Prüfungen und Vorfällen anpassen.
Checkliste
- Risikoinventar mit Bewertung und Risikotoleranz vorhanden
- Kontrollplan mit Ziel, Frequenz, Verantwortlichen und Nachweis je Kontrolle
- Kontrollen und Belege an einem Ort dokumentiert
- Massnahmen aus Prüfungen mit Frist und Verantwortlichen erfasst
- Periodischer IKS-Bericht an Geschäftsleitung und Verwaltungsrat
- Jährliche Überprüfung von Risikoinventar und Kontrollplan
Wie Risikoinventar und Risikotoleranz entstehen, zeigt der Beitrag Risikomanagement für Vermögensverwalter.
So unterstützt Peak Compliance
Peak Compliance richtet das IKS ein, führt es in einem vollständig digitalen System und übernimmt die Second-Line-Kontrollen samt Berichterstattung – im Risk Management Outsourcing. Für ein erstes Gespräch erreichen Sie uns über die Kontaktseite.
