Worum es geht
Risikomanagement ist für Vermögensverwalter mehr als eine Pflicht im Bewilligungsgesuch: Es zeigt Geschäftsleitung und Verwaltungsrat, wo das Institut verletzlich ist, und schafft die Grundlage für gute Entscheide. Das Finanzinstitutsgesetz verlangt, dass ein Finanzinstitut seine Risiken einschliesslich der Rechts- und Reputationsrisiken identifiziert, misst, steuert und überwacht (Art. 9 Abs. 2 FINIG). Dieser Beitrag zeigt, welche Anforderungen gelten, welche Risiken im Zentrum stehen und wie ein schlanker Risikozyklus funktioniert. Die übrigen Organisationsvorschriften finden Sie im Wissensbereich FINIG und Aufsicht.
Was verlangen FINIG und FINIV?
- Angemessene Ausstattung: Vermögensverwalter und Trustees verfügen über ein angemessen ausgestattetes Risikomanagement und eine wirksame interne Kontrolle (Art. 21 Abs. 1 FINIG).
- Grundzüge und Risikotoleranz: Sie regeln die Grundzüge des Risikomanagements und bestimmen ihre Risikotoleranz (Art. 26 Abs. 1 FINIV).
- Unabhängigkeit: Personen, die Aufgaben des Risikomanagements wahrnehmen, werden nicht in die Tätigkeiten eingebunden, die sie überwachen (Art. 21 Abs. 3 FINIG). Für kleinere Institute ohne erhöhte Risiken sieht Art. 26 Abs. 2 FINIV Erleichterungen vor.
- Delegation: Die Aufgaben können von einer qualifizierten Geschäftsführerin oder einem qualifizierten Geschäftsführer, von qualifizierten Mitarbeitenden oder von einer qualifizierten externen Stelle wahrgenommen werden (Art. 21 Abs. 2 FINIG).
- Oberleitung bei grösseren Instituten: Ab zehn Vollzeitstellen oder einem jährlichen Bruttoertrag von mehr als CHF 5 Mio. kann die FINMA ein Organ für die Oberleitung, Aufsicht und Kontrolle verlangen, sofern Art und Umfang der Tätigkeit es erfordern (Art. 23 Abs. 3 FINIV). Bei einem jährlichen Bruttoertrag von mehr als CHF 10 Mio. kann sie zusätzlich eine unabhängige interne Revision verlangen (Art. 26 Abs. 4 FINIV).
Für Verwalter von Kollektivvermögen gelten strengere Vorgaben: Risikomanagement und Compliance sind funktional und hierarchisch vom Portfoliomanagement getrennt (Art. 41 FINIV).
Welche Risiken stehen im Zentrum?
| Risikokategorie | Beispiele bei Vermögensverwaltern |
|---|---|
| Anlagerisiken in Kundenportfolios | Abweichungen vom Anlageprofil, Konzentrationen, komplexe Produkte |
| Operationelle Risiken | Prozessfehler beim Auftragswesen, Abhängigkeit von Schlüsselpersonen, IT- und Cyberrisiken |
| Auslagerungsrisiken | Ausfall oder Qualitätsmängel bei IT-Dienstleistern, Depotbanken oder anderen Dritten |
| Rechts- und Compliance-Risiken | Verstösse gegen FIDLEG, GwG oder Sanktionsvorschriften, unklare Verträge |
| Reputationsrisiken | Kundenbeziehungen mit erhöhtem Risiko, negative Berichterstattung |
| Unternehmensrisiken | Eigenmittel, Ertragskonzentration auf wenige Kunden, Nachfolge |
Vertiefungen bieten die Beiträge zum Operational Risk Management und zum Einsatz von KI-Modellen im Portfolio Management.
Wie legen Sie die Risikotoleranz fest?
Die Risikotoleranz übersetzt die Strategie in klare Grenzen. Bewährt hat sich eine kurze Erklärung je Risikokategorie – etwa «Kundenbeziehungen mit erhöhtem Geldwäschereirisiko nur nach Entscheid der Geschäftsleitung» oder «Eigenmittel stets mit einer festgelegten Reserve über dem gesetzlichen Minimum» – ergänzt um einige Kennzahlen mit Warnschwellen. Die Geschäftsleitung genehmigt die Risikotoleranz, der Verwaltungsrat nimmt sie zur Kenntnis oder genehmigt sie, und die zweite Linie überwacht die Einhaltung.
Der Risikozyklus Schritt für Schritt
- 1IdentifizierenRisiken aus Geschäftsmodell, Kundensegmenten, Produkten, Ländern und Auslagerungen systematisch erfassen.
- 2BewertenEintrittswahrscheinlichkeit und Auswirkung einschätzen, inhärentes und verbleibendes Risiko unterscheiden.
- 3SteuernMassnahmen und Kontrollen festlegen und im internen Kontrollsystem verankern.
- 4ÜberwachenKennzahlen, Kontrollergebnisse und Vorfälle laufend auswerten.
- ✓BerichtenGeschäftsleitung und Verwaltungsrat periodisch informieren und die Risikobeurteilung mindestens jährlich aktualisieren.
Wie die Kontrollen aus Schritt 3 im Alltag aufgebaut werden, zeigt der Beitrag Internes Kontrollsystem für Vermögensverwalter.
Risk Management Outsourcing: was gilt bei der Delegation?
Viele Vermögensverwalter übertragen das Risikomanagement einer externen Stelle. Das Gesetz lässt dies zu, knüpft es aber an Bedingungen. Beigezogene Dritte verfügen über die notwendigen Fähigkeiten, Kenntnisse und Erfahrungen und werden sorgfältig instruiert und überwacht (Art. 14 FINIG). Das Institut behält die personellen Ressourcen und das Fachwissen, um den Dritten auszuwählen, zu instruieren und zu überwachen, sowie die nötigen Weisungs- und Kontrollrechte (Art. 16 FINIV). Die Vereinbarung regelt Kompetenzen, Verantwortlichkeiten, Rechenschaftspflicht und Kontrollrechte; Prüfgesellschaft, Aufsichtsorganisation und FINMA können die übertragene Aufgabe einsehen und prüfen (Art. 17 FINIV).
Checkliste
- Grundzüge des Risikomanagements in einer Weisung festgehalten
- Risikotoleranz je Kategorie formuliert und genehmigt
- Risikoinventar mit Bewertung und Verantwortlichen aktuell
- Unabhängigkeit der Risikofunktion geregelt oder Erleichterung dokumentiert
- Kennzahlen mit Warnschwellen definiert und überwacht
- Periodischer Risikobericht an Geschäftsleitung und Verwaltungsrat
So unterstützt Peak Compliance
Peak Compliance übernimmt das Risikomanagement als Teil der Second Line of Defense: Risikoanalyse, Risikotoleranz, Kontrollen im digitalen IKS und Berichte an die Leitungsorgane. Mehr dazu unter Risk Management Outsourcing; für ein Gespräch erreichen Sie uns über die Kontaktseite.
