Auslagerung von Geschäftsbereichen bei Banken

Transkript

1 Banken Finanzgruppen und -kngl. Andere Intermediäre Versicherer Vers.-Gruppen und -Kngl. Vermittler Börsen und Teilnehmer Effektenhändler Fndsleitungen SICAV KG für KKA SICAF Deptbanken Vermögensverwalter KKA Vertriebsträger Vertreter ausl. KKA Andere Intermediäre SRO DUFI SRO-Beaufsichtigte Prüfgesellschaften Ratingagenturen Rundschreiben 2008/7 Outsurcing Banken Auslagerung vn Geschäftsbereichen bei Banken Referenz: FINMA-RS 08/7 Outsurcing Banken Erlass: 20. Nvember 2008 Inkraftsetzung: 1. Januar 2009 Letzte Änderung: 20. Nvember 2008 Knkrdanz: vrmals EBK-RS 99/2 Outsurcing vm 26. August 1999 Rechtliche Grundlagen: FINMAG Art. 7 Abs. 1 Bst. b Anhang: BankG Art. 3 Abs. 2 Bst. a BankV Art. 9 BEHG Art. 10 Abs. 2 Bst. a BEHV Art. 19, 26 DSG Art. 6 7, VDSG Art. 8 ff. Beispiele vn Auslagerungen Adressaten BankG VAG BEHG KAG GwG Andere X X X Einsteinstrasse 2, 3005 Bern Tel. +41 (0) , Fax +41 (0)

2 Inhaltsverzeichnis I. Zweck Rz 1 II. Definitin Rz 2 3 III. Geltungsbereich Rz 4 12 A. Sachlicher Geltungsbereich Rz 4 B. Örtlicher Geltungsbereich Rz 5 C. Teilweise Anwendbarkeit des Rundschreibens Rz 6 12 IV. Zulässigkeit Rz V. Vraussetzungen Rz A. Grundsatz 1: Bestimmung des auszulagernden Geschäftsbereiches B. Grundsatz 2: Auswahl, Instruktin und Kntrlle des Dienstleisters Rz Rz C. Grundsatz 3: Verantwrtung Rz D. Grundsatz 4: Sicherheit Rz E. Grundsatz 5: Geschäfts- und Bankgeheimnis, Datenschutz Rz F. Grundsatz 6: Kundenrientierung Rz G. Grundsatz 7: Prüfung und Aufsicht Rz H. Grundsatz 8: Auslagerungen ins Ausland Rz I. Grundsatz 9: Vertrag Rz VI. Berichterstattung der banken- und börsengesetzlichen Prüfgesellschaften Rz 54 VII. Ausnahmen Rz 55 2/10

3 I. Zweck Das vrliegende Rundschreiben umschreibt die Vraussetzungen, unter denen Outsurcing- Lösungen den Erfrdernissen einer angemessenen Organisatin, des Bankgeheimnisses und des Datenschutzes entsprechen. 1 II. Definitin Outsurcing (Auslagerung vn Geschäftsbereichen) im Sinne des vrliegenden Rundschreibens liegt vr, wenn eine Unternehmung eine andere Unternehmung (Dienstleister) beauftragt, selbständig und dauernd eine für die Geschäftstätigkeit der Unternehmung wesentliche Dienstleistung wahrzunehmen. Wesentlich im Sinne dieses Rundschreibens sind Dienstleistungen, welche sich insbesndere auf die Erfassung, Begrenzung und Überwachung vn Markt-, Kredit-, Ausfall-, Abwicklungs-, Liquiditäts-, und Imagerisiken swie peratinellen und rechtlichen Risiken auswirken. Beispiele vn Auslagerungen, die vm Rundschreiben erfasst werden und slche, die vm Rundschreiben nicht erfasst werden, sind im Anhang aufgeführt. Outsurcing umfasst einerseits die Auslagerung vn Dienstleistungen, die bisher vn der Unternehmung selber erbracht wurden. Andererseits gehören dazu auch Dienstleistungen, die die Unternehmung neu vn einem Dienstleister bezieht und welche sie smit selber bis anhin nicht erbracht hat. 2 3 III. Geltungsbereich A. Sachlicher Geltungsbereich Dieses Rundschreiben gilt für nach schweizerischem Recht rganisierte Banken und Effektenhändler swie schweizerische Zweigniederlassungen ausländischer Banken und Effektenhändler. Diese werden nachflgend als Unternehmungen bezeichnet. Das Rundschreiben ist auch auf Gruppengesellschaften anwendbar, die nach den Eigenmittel- Unterlegungsvrschriften knslidierungspflichtig sind. Ausgenmmen sind Immbiliengesellschaften. 4 4a B. Örtlicher Geltungsbereich Die Unternehmungen, sweit sie nach schweizerischem Recht rganisiert sind, srgen dafür, dass auch ihre knslidierungspflichtigen ausländischen Gruppengesellschaften und Zweigniederlassungen die Grundsätze des vrliegenden Rundschreibens beflgen, 5 sfern Grösse und Bedeutung der Auslagerung nicht s gering sind, dass diese keine Auswirkungen auf Risiken nach Rz 2 hat, sweit keine ausländische Regelung besteht. C. Teilweise Anwendbarkeit des Rundschreibens Die Grundsätze 1 4, 7 und 9 (vgl. Kapitel V) sind nicht anwendbar auf Auslagerungen 6 3/10

4 durch Zweigniederlassungen ausländischer Unternehmungen an den Hauptsitz (der umgekehrt) der an andere Zweigniederlassungen, 7 innerhalb einer Gruppe der einer zentralen Organisatin vn Unternehmungen, der 8 an nach schweizerischem Recht rganisierte Dienstleister, welche vn einer Gruppe vn Unternehmungen gemeinsam gehalten werden, deren Geschäftstätigkeit ausschliesslich darin besteht, Dienstleistungen für diese Unternehmungen zu erbringen. 9 In den Fällen vn Rz 7 9 gilt die Ausnahme nur, wenn die Dienstleister die erbrachten Dienstleistungen im Interesse der auslagernden Unternehmungen vn einer durch die FINMA anerkannten Prüfgesellschaft prüfen lassen und sich verpflichten, ihrer Revisinsstelle, den auslagernden Unternehmungen und deren internen Revisinsstellen und externen Prüfgesellschaften und der FINMA alle verlangten Infrmatinen ffenzulegen, swie der FINMA und den internen Revisinsstellen und externen Prüfgesellschaften der auslagernden Unternehmungen auf Anfrage den Prüfbericht zur Verfügung zu stellen Die FINMA kann einer Unternehmung verbieten, irgendwelche Geschäftsbereiche an einen Dienstleister auszulagern, sfern dieser die Bestimmungen vn Rz 10 und 11 dieses Rundschreibens nicht einhält. 12 IV. Zulässigkeit Grundsätzlich ist die Auslagerung jedes Geschäftsbereiches hne Bewilligung durch die FINMA möglich. Dies bedingt jedch, dass das Bundesgesetz vm 19. Juni 1992 über den Datenschutz (Datenschutzgesetz, DSG; SR 235.1) gemäss Rz 30 ff. und die nachflgenden Vraussetzungen für ein sicheres Outsurcing eingehalten und im Falle einer Auslagerung ins Ausland die gefrderten Nachweise erbracht werden. Kann eine Unternehmung diese Anfrderungen nicht erfüllen, s hat sie der FINMA vr der Auslagerung ein begründetes Gesuch um einzelne Abweichungen einzureichen. Falls in anderen Rundschreiben der FINMA deren Zustimmung für die Auslagerung eines bestimmten Bereiches vrausgesetzt wird, gehen diese Bestimmungen dem vrliegenden Rundschreiben vr. Nicht auslagerbar sind die Oberleitung, Aufsicht und Kntrlle durch den Verwaltungsrat swie zentrale Führungsaufgaben der Geschäftsführung. Vrbehalten bleiben allgemeine Weisungen und Entscheide im Rahmen der Gruppenüberwachung, sfern die Unternehmung Teil einer im Finanzbereich tätigen Gruppe bildet, welche einer angemessenen knslidierten Aufsicht durch Aufsichtsbehörden untersteht (Art. 7 Abs. 4 BankV). Ebenfalls nicht auslagerbar sind die Entscheide über die Aufnahme und den Abbruch vn Geschäftsbeziehungen. Die Auslagerung kann an einen Dienstleister erflgen, der entweder zur Gruppe gehört der der rechtlich und wirtschaftlich unabhängig ist. In beiden Fällen kann dieser eine Bank der ein Effektenhändler sein der aber aus einem andern Tätigkeitsbereich stammen Die nachflgenden Vraussetzungen für ein sicheres Outsurcing gelangen jedch unabhängig 18 4/10

5 der rechtlichen der wirtschaftlichen Stellung und Herkunft des Dienstleisters zur Anwendung. V. Vraussetzungen A. Grundsatz 1: Bestimmung des auszulagernden Geschäftsbereiches Der auszulagernde Geschäftsbereich ist zu definieren. 19 Entsprechend den mit der Auslagerung verflgten Zielen sind die genauen Anfrderungen für die Leistungserbringung festzulegen und zu dkumentieren. Die Leistung des Dienstleisters muss anhand vn vrdefinierten qualitativen und quantitativen Merkmalen mess- der beurteilbar sein. 20 B. Grundsatz 2: Auswahl, Instruktin und Kntrlle des Dienstleisters Die Unternehmung hat den Dienstleister srgfältig auszuwählen, zu instruieren und zu kntrllieren. Mit schriftlicher Zustimmung der Unternehmung kann der Dienstleister Unterakkrdanten beiziehen, slange die Grundsätze des Rundschreibens eingehalten sind. Die für die Auswahl und Zusammenarbeit mit einem Dienstleister massgebenden Kriterien und Faktren sind vr dem Eingehen einer vertraglichen Beziehung festzulegen. Die Auswahl des Dienstleisters hat unter Berücksichtigung und Prüfung seiner prfessinellen Fähigkeiten swie finanziellen und persnellen Ressurcen zu erflgen. Der Dienstleister muss Gewähr für eine sichere und dauerhafte Leistungserbringung bieten. Die Zuständigkeiten vn Unternehmung und Dienstleister sind genau festzulegen und abzugrenzen. Schnittstellen, Verantwrtlichkeiten, Zuständigkeiten und Haftungsfragen sind vertraglich zu regeln. Der ausgelagerte Geschäftsbereich ist in das interne Kntrllsystem der Unternehmung zu integrieren. Es ist unternehmungsintern eine verantwrtliche Stelle zu definieren, die für die Überwachung und Kntrlle des Dienstleisters zuständig ist. Dessen Leistungen sind frtlaufend zu überwachen und zu beurteilen, s dass allfällig nötige Massnahmen sfrt ergriffen werden können. Die Unternehmung hat sich die dazu nötigen Einsichts-, Weisungs- und Kntrllrechte vm Dienstleister vertraglich einräumen zu lassen a C. Grundsatz 3: Verantwrtung Die Unternehmung trägt gegenüber der FINMA weiterhin die Verantwrtung für den ausgelagerten Geschäftsbereich. Die Unternehmung ist gegenüber der FINMA auch für die ausgelagerten Geschäftsbereiche verantwrtlich, wie wenn sie diese selbst betreiben würde /10

6 D. Grundsatz 4: Sicherheit Die Unternehmung und der Dienstleister legen Sicherheitsanfrderungen fest und erarbeiten ein Sicherheitsdispsitiv. Die Unternehmung und der Dienstleister haben die Sicherheitsanfrderungen, die der Dienstleister zu erfüllen hat, zu definieren. Dies ist vertraglich festzuhalten und die Unternehmung hat deren Einhaltung zu überwachen. Die Unternehmung und der Dienstleister arbeiten ein Sicherheitsdispsitiv aus, das die Weiterführung des ausgelagerten Geschäftsbereiches erlaubt, falls der Dienstleister aus irgendwelchen Gründen verhindert ist, seine Leistung zu erbringen. Die rdnungsmässige Geschäftsführung muss jederzeit aufrecht erhalten werden können. Bei Errichtung und Anwendung des Sicherheitsdispsitivs hat die Unternehmung denjenigen Srgfaltsmassstab zu beachten, den sie auch hne Auslagerung an einen Dienstleister berücksichtigen müsste. Das Sicherheitsdispsitiv hat sämtliche vraussehbaren Ntfälle abzudecken. Kundendaten müssen durch angemessene technische und rganisatrische Massnahmen gegen unbefugtes Bearbeiten geschützt werden. Die Unternehmung und der Dienstleister srgen für die Vertraulichkeit, die Verfügbarkeit und die Richtigkeit der Daten, um einen angemessenen Datenschutz zu gewährleisten. Insbesndere schützen sie die Systeme gegen unbefugte der zufällige Vernichtung, zufälligen Verlust, technische Fehler, Fälschung, Diebstahl der widerrechtliche Verwendung, unbefugtes Ändern, Kpieren, Zugreifen der andere unbefugte Bearbeitungen. Die technischen und rganisatrischen Massnahmen müssen flgenden Kriterien Rechnung tragen: a Zweck der Datenbearbeitung, Art und Umfang der Datenbearbeitung, Einschätzung der möglichen Risiken für die betrffenen Kunden und gegenwärtiger Stand der Technik. Diese Massnahmen sind peridisch zu überprüfen. Bei der autmatisierten Bearbeitung vn Kundendaten trifft der Dienstleister die technischen und rganisatrischen Massnahmen, die geeignet sind, namentlich die Zugangs-, Persnendatenträger-, Transprt-, Bekanntgabe-, Speicher-, Benutzer-, Zugriffs- und Eingabekntrlle (vgl. Art. 7 DSG und Art. 8 9 der Verrdnung vm 14. Juni 1993 zum Bundesgesetz über den Datenschutz, VDSG; SR ) gerecht zu werden. 33 E. Grundsatz 5: Geschäfts- und Bankgeheimnis, Datenschutz Ein schweizerischer Dienstleister ist dem Geschäftsgeheimnis der Unternehmung und, sweit ihm Kundendaten bekannt sind, dem Bank- der dem Berufsgeheimnis der auslagernden Unternehmung zu unterstellen. Er hat sich ausdrücklich zu verpflichten, die daraus flgende Vertraulichkeit zu wahren. 34 6/10

7 Bei Auslagerungen ins Ausland ist mit angemessenen technischen und rganisatrischen Massnahmen sicherzustellen, dass das Bankgeheimnis und der Datenschutz nach schweizerischem Recht eingehalten werden. Bietet der Dienstleister seine Dienstleistungen mehreren Unternehmungen an, s ist durch besndere technische, persnelle und rganisatrische Massnahmen sicherzustellen, dass die Vertraulichkeit der Daten nicht nur gegenüber Dritten, sndern auch zwischen den verschiedenen auslagernden Unternehmungen gewahrt bleibt F. Grundsatz 6: Kundenrientierung Kunden, deren Daten durch eine Outsurcing-Lösung an einen Dienstleister gelangen, sind über die Auslagerung zu infrmieren. Die Kunden sind über die Auslagerung zu infrmieren, bevr ihre Daten an einen Dienstleister übermittelt werden. Die Infrmatin kann in allgemeiner Frm z.b. in Allgemeinen Geschäftsbedingungen, in Deptreglementen, in Kntauszügen, Infrmatinsbrschüren der in Brieffrm erflgen. Die Infrmatin sll nähere Angaben über die ausgelagerten Bereiche enthalten. Die Kunden sind mit besnderem Schreiben und detailliert zu infrmieren und auf die getrffenen Sicherheitsvrkehrungen hinzuweisen, bevr im Rahmen einer Outsurcing-Lösung Daten über Kunden ins Ausland (vgl. Grundsatz 8) gehen. In diesem Falle muss den Kunden die Möglichkeit fferiert werden, innert einer angemessenen Frist und hne Nachteile die Vertragsverhältnisse abzubrechen. Die besndere Infrmatinspflicht entfällt, wenn die ins Ausland ausgelagerten Daten keine Rückschlüsse auf die Identität eines Kunden zulassen G. Grundsatz 7: Prüfung und Aufsicht Die auslagernde Unternehmung, deren interne Revisin und externe Prüfgesellschaft swie die FINMA müssen den ausgelagerten Geschäftsbereich vllumfänglich, jederzeit und ungehindert einsehen und prüfen können. Prüftätigkeiten können an die externe Revisinsstelle des Dienstleisters delegiert werden, sfern diese über die ntwendigen fachlichen Kmpetenzen verfügt, um die Prüfung vrzunehmen. Die Delegatin der Prüfung an die externe Revisinsstelle des Dienstleisters kann hne Einwilligung der FINMA vrgenmmen werden. Die interne Revisin und externe Prüfgesellschaft der Unternehmung müssen in der Lage sein, die Einhaltung der banken- und börsengesetzlichen Bestimmungen beim Dienstleister zu prüfen. Ihnen ist vertraglich ein jederzeitiges, vllumfängliches und ungehindertes Einsichts- und Prüfrecht einzuräumen, damit sie ihre Prüfungshandlungen vrnehmen können. Beim Einsichts- und Prüfrecht sind jedch die Bestimmungen vn Rz 36 zu beachten. Die interne Revisin und externe Prüfgesellschaft der Unternehmung müssen Zugang zu allen Dkumenten, Datenträgern und Systemen beim Dienstleister haben, sfern diese den ausgelagerten Bereich betreffen. Sie können insbesndere auf die Tätigkeit der Revisinsstellen vn Dienstleistern abstellen, welche nach schweizerischem Recht rganisiert sind und die Vraussetzungen vn Rz 10 und 11 dieses Rundschreibens erfüllen Sie haben ihre Prüftätigkeiten mit der Revisinsstelle des Dienstleisters zu krdinieren. 45 7/10

8 Die Auslagerung eines Geschäftsbereiches darf die Regulierung und Aufsicht durch die FINMA nicht beeinträchtigen, insbesndere auch nicht bei einer Auslagerung ins Ausland der durch Gruppengesellschaften im Ausland. Ein Dienstleister, der nicht der Aufsicht der FINMA untersteht, hat sich gegenüber der Unternehmung vertraglich zu verpflichten, der FINMA sämtliche Auskünfte und Unterlagen, bezgen auf den ausgelagerten Geschäftsbereich, zu geben, die sie für ihre Aufsichtstätigkeit benötigt. Falls die Prüftätigkeiten an die Revisinsstelle des Dienstleisters delegiert werden, ist ihr Bericht der FINMA und der internen Revisinsstelle und externen Prüfgesellschaft der auslagernden Unternehmung auf Anfrage zur Verfügung zu stellen H. Grundsatz 8: Auslagerungen ins Ausland Auslagerungen ins Ausland sind vm ausdrücklichen Nachweis der Prüfmöglichkeiten abhängig zu machen. Bei einer Auslagerung ins Ausland muss eine Unternehmung nachweisen können, dass swhl sie selber wie auch ihre banken- der börsengesetzliche Prüfgesellschaft swie die FINMA ihre Prüfrechte wahrnehmen und rechtlich auch durchsetzen können. Dieser Nachweis kann z.b. mittels Rechtsgutachten der Bestätigungen einer entsprechenden Aufsichtsbehörde erbracht werden. Die banken- der börsengesetzliche Prüfgesellschaft hat den Nachweis vr der Auslagerung zu prüfen I. Grundsatz 9: Vertrag Es ist ein schriftlicher und klarer Vertrag zwischen der Unternehmung und dem Dienstleister abzuschliessen. Jede Outsurcing-Lösung muss auf einem schriftlichen Vertrag beruhen, der mindestens den vrstehenden generellen Vraussetzungen umfassend Rechnung trägt. Die Unternehmung hat die internen Bewilligungsverfahren für Outsurcing-Prjekte swie die Zuständigkeiten für die entsprechenden Vertragsabschlüsse festzulegen VI. Berichterstattung der banken- und börsengesetzlichen Prüfgesellschaften Die Prüfgesellschaften prüfen die Einhaltung der Vraussetzungen dieses Rundschreibens nach Massgabe des FINMA-RS 08/41 Prüfwesen und halten das Ergebnis ihrer Prüfungshandlungen im Prüfbericht fest. 54 VII. Ausnahmen Die FINMA kann einer Unternehmung in besnderen Fällen andere Auflagen machen und/der sie vn der Einhaltung dieses Rundschreibens ganz der teilweise befreien. 55 8/10

9 Anhang Beispiele vn Auslagerungen Die nachflgende Tabelle enthält Beispiele aus der Praxis vn Auslagerungen, die vm RS erfasst werden und slchen, die nicht erfasst werden. Die Aufzählung ist nicht abschliessend. 1 Erklärung der in der nachstehenden Tabelle verwendeten Symble: 2 Outsurcing im Sinne des Rundschreibens bejaht Outsurcing im Sinne des Rundschreibens verneint I. Wertschriftenhandel und -verwaltung Gesamte Wertschriftenverwaltung an einen einzigen Dienstleister Teilnahme an Effektenabwicklungssystemen 3 II. Zahlungs- und Ntenverkehr Abwicklung des gesamten Zahlungsverkehrs über einen einzigen Dienstleister der eine einzige Krrespndenzbank Teilnahme an Zahlungssystemen Krrespndenzbankenbeziehungen Physische Geldlieferungen und Werttransprte Geldautmatenversrgung 4 III. Infrmatinstechnlgiesysteme und Unterhalt Datenaufbewahrung Betrieb und Unterhalt vn Datenbanken Betrieb vn Infrmatinstechnlgie-Systemen Ausarbeitung eines Infrmatinstechnlgie-Prjektes zur anschliessenden Integratin in den Betrieb der Bank Auftrag zur Sftware-Entwicklung Erwerb vn Sftware-Lizenzen Supprt vn Sftware Wartung technischer Geräte, vn Systemen (Infrmatinstechnlgie usw.) und vn Sftware 5 IV. Riskmanagement Cmpliance-Funktinen Interne Geldwäschereifachstelle Einzelne Funktinen im Bereich der Kreditrisiküberwachung swie der Kreditanalyse Überwachung vn Handels- und Kreditlimiten 6 V. Stammdatenverwaltung und Rechnungswesen Finanzreprting 7 9/10

10 Anhang Beispiele vn Auslagerungen Nachführung und Erstellung vn Kundenadressen der Kundenprfilen (ausgenmmen sind einmalige Tätigkeiten) VI. Back-/Mid-Office-Funktinen Druck und Versand vn Bankdkumenten (ausgenmmen sind einmalige Tätigkeiten) 8 VII. Human Resurces Lhn-, Gehalts- und Bnusabrechnungen für Mitarbeiter Beschäftigung vn ausgeliehenen (temprären) Arbeitskräften Betreuungsdienstleistungen für ins Ausland entsandte Mitarbeiter (Expatriates) 9 VIII. Lgistik Kantine- und Restauratinsbetriebe Allgemeine Service- und Unterstützungsleistungen wie beispielsweise Reinigungsdienst, Unfallverhütung, Brandschutz usw. Massnahmen für die technische und physische Sicherheit vn Bankgebäuden Verwaltung, Unterhalt und Verkauf bankeigener Gebäude 10 IX. Diverses Kreditkartengeschäft Inkasswesen Rechts- und Steuerberatung 11 10/10