WEGLEITUNG für Prüfgesellschaften von Banken und Effektenhändlern betreffend die Bearbeitung der Formulare zur Risikoanalyse, Darstellung der Prüfstrategie und Berichterstattung, sowie Hinweise zur Prüfungsdurchführung Ausgabe vom 24. Januar 2017 1 Zweck Diese Wegleitung versteht sich als Anleitung für Prüfgesellschaften von Banken und Effektenhändlern zur Bearbeitung der folgenden in der Aufsichtsprüfung zu verwendenden Formulare: Risikoanalyse, Darstellung der Prüfstrategie und Berichterstattungsvorlage. Sie enthält ausserdem Hinweise zur Prüfungsdurchführung und ist ein Arbeitsinstrument ohne rechtliche Ansprüche. Die Wegleitung nennt die Angaben und Dokumentation, die in der Regel erforderlich sind. Dies schliesst nicht aus, dass die FINMA von den Prüfgesellschaften zusätzliche Angaben und Unterlagen verlangt. 2 Allgemeine Ausführungen Die Ausgestaltung dieser Wegleitung sowie der vorgenannten Formulare basieren auf dem FINMA- RS 13/3 Prüfwesen. Die nachfolgenden Ausführungen richten sich an Prüfgesellschaften von Banken- und Effektenhändlern. Die Formulare für die Risikoanalyse, die Darstellung der Prüfstrategie und die Berichterstattung für den betreffenden Aufsichtsbereich sowie weitere ergänzende Vorlagen und Dokumente können von der Internetseite der FINMA 1 heruntergeladen werden. Allfällige in den einzelnen Formularen aufgeführte Erläuterungen und Anweisungen werden von der Prüfgesellschaft bei der Bearbeitung der entsprechenden Formulare nebst dieser Wegleitung ebenfalls berücksichtigt. 1 https://www.finma.ch/de/ueberwachung/branchenuebergreifende-themen/pruefwesen/pruefwesen-bei-banken/ Laupenstrasse 27, 3003 Bern Tel. +41 (0)31 327 91 00, Fax +41 (0)31 327 91 01 www.finma.ch
Die Struktur der von der FINMA zur Verfügung gestellten Formulare für Risikoanalyse und Darstelung der Prüfstrategie darf nicht verändert werden. Insbesondere dürfen keine Zellen hinzugefügt oder gelöscht werden. Die Lieferung hat mittels originaler Excel-Datei zu erfolgen. Die Prüfgesellschaft reicht der FINMA die Risikoanalyse und die Darstellung der Prüfstrategie für das nächste Berichtsjahr innert vier Monaten nach Ende des Geschäftsjahres ein. Die Einreichung erfolgt in elektronischer Form (Excel-Dateien) über die digitale Zustellplattform der FINMA 2. Eine digitale Signatur ist nicht notwendig. Wird die Prüfstrategie nach der ersten Einreichung angepasst, sind der FINMA die Dokumente Risikoanalyse und Darstellung der Prüfstrategie zeitnah neu einzureichen (unter Hervorhebung der Änderungen). I. Risikoanalyse Banken und Effektenhändler 1. Generelle Bemerkungen zur Risikoanalyse Banken und Effektenhändler Bei Instituten ohne Konzernaspekte wird nur der Teil Einzelstufe ausgefüllt (der Teil Konsolidierte Aufsicht ist leer zu lassen). Bei Vorliegen einer Stammhausstruktur wird der Teil Konsolidierte Aufsicht auch ausgefüllt, wodurch grundsätzlich Einzel- und Konzernaspekte in einer Risikoanalyse adressiert werden. Bei Vorliegen einer Holdingstruktur bzw. atypischen Struktur wird nur der Teil Konsolidierte Aufsicht ausgefüllt (der Teil Einzelstufe ist leer zu lassen), wodurch in solchen Fällen unter Berücksichtigung der Risikoanalyse für den Bewilligungsträger auf Einzelstufe mindestens zwei Risikoanalysen zu erstellen sind. Betreffend Definition der Begriffe über die konsolidierte Aufsicht gelten die FAQ Konsolidierte Aufsicht von Banken und Effektenhändler auf der Internetseite der FINMA. Im Teil Konsolidierte Aufsicht unter ergänzende Elemente erfolgt eine Adressierung in folgenden Fällen: Bei Vorliegen einer Stammhausstruktur werden diese Zeilen ausgefüllt, falls neben der in der Risikoanalyse auf Einzelstufe abgebildeten Gesellschaft weitere Gruppengesellschaften mit wesentlichen Geschäftsrisiken bestehen. Bei Vorliegen einer Holdingstruktur bzw. atypischen Struktur wird in diesen Zeilen adressiert, aus welchen Gruppengesellschaften die wesentlichen Geschäftsrisiken stammen. Verweise auf separate Risikoanalysen auf Einzelstufe sind möglich. Erläuterungen zu den Spalten im Formular Risikoanalyse Banken und Effektenhändler (Spalten von links nach rechts): 2 Details und Zugang zur Zustellplattform sind auf der Internetsete der FINMA unter Kontakt zu finden. 2/8
In der Spalte Prüfgebiete / Prüffelder / Themen findet eine Unterteilung statt, welche alle wesentlichen aufsichtsrechtlich relevanten Bereiche pro Bewilligungsträger abdeckt. Dabei wendet die Prüfgesellschaft ausschliesslich die von der FINMA vorgegebene Unterteilung an. Jedes einzelne aufgeführte Risiko innerhalb eines Prüfgebietes bzw. Prüffeldes wird konkret, spezifisch auf das Institut bezogen und falls möglich unter Angaben von belegenden Daten beschrieben (Spalte Beschreibung des Risikos ). Bei auf ein einzelnes Institut nicht anwendbaren Prüfaspekten sieht die Prüfgesellschaft mit der entsprechenden Begründung von der Behandlung dieses Prüfgebietes bzw. Prüffeldes ab. Die Begründung wird in der Spalte Beschreibung des Risikos angebracht. In der Spalte Ausmass / Umfang gibt die Prüfgesellschaft eine Einschätzung darüber ab, in welchem Ausmass bzw. Umfang der Bewilligungsträger bzw. die Gruppe betroffen wäre, wenn sich die identifizierten Risiken manifestieren. Unter Eintrittswahrscheinlichkeit gibt die Prüfgesellschaft eine subjektive Einschätzung pro identifiziertes Risiko ab. Die Verknüpfung zwischen Ausmass / Umfang und der Eintrittswahrscheinlichkeit des Risikos pro Prüfgebiet bzw. Prüffeld bestimmt das inhärente Risiko (brutto). In der Spalte Kontrollrisiko zeigt die Prüfgesellschaft das Kontrollrisiko in den Ausprägungen tief, mittel oder hoch an. Berücksichtigt werden die Angemessenheit und die Wirksamkeit der internen Kontrollen. Es gilt die Einschätzung nach Rz 80 ff. des Rundschreibens. Bei einem Mandatswechsel kann sich die neue Prüfgesellschaft bei der Einschätzung der Kontrollrisiken auf die Prüfungsergebnisse der vorherigen Prüfgesellschaft abstützen, sofern diese kritisch gewürdigt und mit der bisherigen Prüfgesellschaft besprochen wurden. Aus der Verknüpfung von inhärentem Risiko (brutto) und dem Kontrollrisiko ergibt sich schliesslich das kombinierte Risiko (netto) in der Spalte Nettorisiko, welches tief, mittel, hoch oder sehr hoch ausgeprägt sein kann. Die Bestimmung des kombinierten Risikos (netto) erfolgt gemäss der Systematik nach Rz 85 des Rundschreibens. Die Prüfgesellschaft ordnet die Risiken nach dem inhärenten Risiko (Spalte Rangordnung der Risiken (brutto, Top 10) ) bzw. nach dem Nettorisiko (Spalte Rangordnung der Risiken (netto, Top 10) ). Dabei nummeriert sie die zehn grössten Risiken von 1 bis 10 (1 = schwerwiegendstes Risiko). II. Darstellung der Prüfstrategie Banken und Effektenhändler Generelle Bemerkungen zur Darstellung der Prüfstrategie Banken und Effektenhändler Bei Instituten ohne Konzernaspekte wird nur der Teil Einzelstufe ausgefüllt (der Teil Konsolidierte Aufsicht ist leer zu lassen). Bei Vorliegen einer Stammhausstruktur wird der Teil Konsolidierte Aufsicht auch ausgefüllt, wodurch grundsätzlich Einzel- und Konzernaspekte in einer Prüfstrategie adressiert werden. Bei Vorliegen einer Holdingstruktur bzw. atypischen Struktur wird nur der Teil Konsolidierte Aufsicht ausgefüllt (der Teil Einzelstufe ist leer zu lassen), wodurch in solchen Fäl- 3/8
len unter Berücksichtigung der Prüfstrategie für den Bewilligungsträger auf Einzelstufe mindestens zwei Prüfstrategien adressiert werden. Betreffend Definition der Begriffe über die konsolidierte Aufsicht gelten die FAQ Konsolidierte Aufsicht von Banken und Effektenhändler auf der Internetseite der FINMA. Im Teil Konsolidierte Aufsicht unter Ergänzende Elemente erfolgt eine Adressierung nach den aufgeführten Grundsätzen zur Risikoanalyse (vgl. oben). Dabei werden die abgedeckten Prüfbereiche bei den Gruppengesellschaften summarisch angegeben. 4/8
Erläuterungen zu den Spalten im Formular Darstellung der Prüfstrategie Banken / Effektenhändler (Spalten von links nach rechts) Die Gliederung der Prüfgebiete / Prüffelder / Themen entspricht derjenigen der Risikoanalyse für Banken und Effektenhändler. Die Standardprüfstrategie findet Anwendung, wenn das Nettorisiko tief oder mittel ist. Wenn das Risiko hoch oder sehr hoch ist, erfolgt eine Anpassung gemäss Rz 88 ff. des Rundschreibens. Ebenfalls schlägt die Prüfgesellschaft eine Anpassung zur Standardprüfstrategie vor, wenn diese aufgrund von weiteren Motiven als nicht ausreichend beurteilt wird. Allfällige Nachprüfungen werden gekennzeichnet. Die entsprechende(n) Spalte(n) unter Aktuelle / geplante Intervention ist/sind jeweils zu markieren. In der Spalte Begründung Prüfstrategie / kurze Beschreibung der Prüfbereiche begründet die Prüfgesellschaft die Anpassungen der vorgesehenen Prüfstrategie von der Standardprüfstrategie. In dieser Spalte werden ebenfalls die geplanten Prüfbereiche kurz beschrieben. Im Speziellen soll summarisch beschrieben werden, was in den Prüfgebieten bzw. Prüffeldern mit gradueller Abdeckung geplant ist und welche Prüfbereiche dort in den drei vorangegangenen Jahren abgedeckt wurden. Grundsätzlich stellt die Prüfgesellschaft die Einhaltung der Periodizität sicher. Im Falle von Nachprüfungen im Sinne von Rz 110 des Rundschreibens führt die Prüfgesellschaft die zusammengefassten Prüfbereiche in der Spalte Begründung Prüfstrategie / kurze Beschreibung der Prüfbereiche beim entsprechenden Prüfgebiet auf. Falls die Nachprüfung in einem Prüfgebiet erfolgt, in dem gemäss Risikoanalyse und Prüfstrategie im entsprechenden Jahr keine Intervention erforderlich ist, wird die Intervention in der Spalte Prüfung/kritische Beurteilung/keine nicht angepasst. Bei einer erstmaligen Prüfung nach Übernahme des Mandates liegt die Festlegung der Prüftiefe und/oder Periodizität wo angebracht und unter Berücksichtigung der vorhergehenden Bestimmungen im Ermessen der Prüfgesellschaft (Angabe in Spalte Begründung Prüfstrategie / kurze Beschreibung der Prüfbereiche ). Im Falle einer Abstützung auf die bisherige Prüfgesellschaft in Bezug auf die Einschätzung der Kontrollrisiken, ist dies in der Spalte Begründung der Prüfstrategie anzumerken. Die Prüfgesellschaft kann der FINMA auf Basis ihrer Risikoanalyse Zusatzprüfungen vorschlagen, wenn bei einem Bewilligungsträger (inkl. konsolidierte Aufsicht) Risiken existieren, welche nicht durch die vorgegebenen Basisprüfgebiete und/oder Prüffelder abgedeckt sind. Neben der Erfassung dieser Risiken und Prüfgebiete im Formular Risikoanalyse Banken kann die Prüfgesellschaft einen Vorschlag zur Ausgestaltung der Zusatzprüfungen auf dem Formular zur Darstellung der Prüfstrategie (Abschnitt zu den Zusatzprüfungen ) formulieren. Der Entscheid über die Durchführung und Modalitäten von Zusatzprüfungen obliegt in jedem Fall der FINMA. Zudem kann die FINMA im Bedarfsfalle selber Zusatzprüfungen festlegen. Auf Basis der eingereichten Risikoanalyse sowie des Vorschlages zur Prüfstrategie der Prüfgesellschaft und eigener Risikoüberlegungen legt die FINMA die definitive Prüfstrategie für das Folgejahr für den jeweiligen Bewilligungsträger fest bzw. genehmigt diese (unter Abschnitt FINMA-Bestätigung der Prüfstrategie oder mittels schriftlicher alternativer Rückmeldung) in der Regel innert 5/8
zwei Monaten nach Einreichung. Ohne gegenteilige Rückmeldung gilt die eingereichte Prüfstrategie als von der FINMA angenommen. III. Hinweise zur Prüfungsdurchführung Durch die Prüfgesellschaften ist zu prüfen, ob die aufsichtsrechtlichen Bestimmungen eingehalten sind und ob die Voraussetzungen bestehen, dass diese auch in absehbarer Zeit eingehalten werden können (Art. 2 Abs. 1 FINMA-PV). Die Beilagen zu dieser Wegleitung listen die rechtlichen Grundlagen auf, welche im Rahmen der Basisprüfung abzudecken sind. Sie stellen in der Regel keine abschliessende Aufzählung rechtlicher Bestimmungen dar. Weiter zeigen die Beilagen in einer synoptischen Darstellung der Rz 88 104 des FINMA-RS 13/3 auf, inwiefern die Prüftiefe und Prüfperiodizität bei Nettorisiko hoch oder sehr hoch anzupassen sind. Für einige Prüffelder/Prüfgebiete sind sogenannte minimale Prüfungshandlungen entwickelt worden. Diese sind bei jeder Intervention im entsprechenden Prüffeld/Prüfgebiet anzuwenden, unabhängig von der Aufsichtskategorie des jeweiligen Instituts. Sind einzelne Aspekte der minimalen Prüfungshandlungen nicht anwendbar, so sind die diesbezüglichen Überlegungen in den Prüfunterlagen für Dritte nachvollziehbar zu dokumentieren. Zu beachten ist, dass die minimalen Prüfungshandlungen keine abschliessende Grundlage für die Prüfungshandlungen bilden und vom Prüfer, wo notwendig, ergänzt werden müssen. Die durchgeführten Prüfungshandlungen und vorgenommenen Schlussfolgerungen sind für Dritte nachvollziehbar zu dokumentieren. Diese Dokumentation kann auch auf andere Weise als in den Musterdokumenten für die minimalen Prüfungshandlungen erfolgen, sofern sämtliche Angaben der Musterdokumente wiedergegeben werden. IV. Berichterstattung Banken und Effektenhändler Generelle Bemerkungen zur Berichterstattung Banken und Effektenhändler Die Gliederung der Prüfresultate im Bericht orientiert sich an der Risikoanalyse und Darstellung der Prüfstrategie. Die Prüfgesellschaft verwendet dabei die Struktur der auf der FINMA-Webseite aufgeschalteten Berichtsvorlage und nimmt die notwendigen Anpassungen vor. Sind einzelne Aspekte in der Berichtsvorlage für Bewilligungsträger nicht anwendbar, so wird dies im Prüfbericht erwähnt. Grundsätzlich achtet die Prüfgesellschaft bei der Berichterstattung darauf, dass Wiederholungen und Doppelspurigkeiten vermieden werden. Die Berichterstattung berücksichtigt aktuelle Entwicklungen und weist zukunftsgerichtet auf mögliche Herausforderungen hin. Rechnungsprüfung: Die FINMA erhält jährlich eine Kopie der umfassenden Berichterstattung zur Rechnungsprüfung gemäss Art. 728b Abs. 1 OR (siehe entsprechende Vorgaben im Anhang 18 des FINMA-RS 13/3) 6/8
Gemäss Art. 9 Abs. 2 FINMA-PV wird der Prüfbericht in einer Amtssprache verfasst. Die Berichterstattung in englischer Sprache ist in Ausnahmefällen auf Gesuch der Prüfgesellschaft und nach Genehmigung der FINMA möglich. Die Prüfgesellschaft reicht die Berichterstattung zur aufsichtsrechtlichen Prüfung innert 4 Monaten nach Jahresabschluss ein. Für den Fall einer konsolidierten Überwachung gilt die gleiche Frist. Innerhalb der Berichte auf Einzel- sowie Gruppenstufe dürfen bei ähnlichem Berichtsinhalt Verweise angebracht werden, sofern diese nicht irreführend sind oder die Aussage zum Prüfurteil verfälschen. Die Einreichung erfolgt über die digitale Zustellplattform der FINMA in qualifiziert elektronisch signierter Form. Falls keine qualifizierte elektronische Signatur durch den leitenden Prüfer sowie einen weiteren Prüfer mit Zeichnungsberechtigung möglich ist, ist anstelle der Einreichung über die digitale Zustellplattform weiterhin die Einreichung eines handschriftlich unterzeichneten Dokuments zusammen mit einer elektronischen Fassung auf einem Datenträger (z.b. CD) über den Postweg erforderlich. Erläuterungen zur Mindestgliederung Berichterstattung: Beanstandungen sowie Empfehlungen gemäss Art. 11 FINMA-PV werden vollständig unter dem Kapitel Zusammenfassung der Prüfresultate wiedergegeben. Diese sind zu bewerten (Rating gemäss Erläuterungen in der Berichtsvorlage). Der Inhalt des Prüfberichts orientiert sich v.a. innerhalb des Kapitels Prüfresultate an den vorgegebenen Prüfgebieten, Prüffeldern und Themen in der entsprechenden Prüfstrategie. Sind im Rahmen der durch die FINMA festgelegten Prüfstrategie in einem Berichtsjahr in einzelnen Prüfgebieten oder Prüffeldern aufgrund der Anwendung des Mehrjahresprüfzyklus keine Prüfungen durchgeführt worden, so hält dies die Prüfgesellschaft im Prüfbericht unter der jeweiligen Rubrik fest. Es wird angegeben, in welcher Aufsichtsperiode die letzten Prüfungshandlungen stattgefunden haben. Die Prüfgesellschaft stellt sicher, dass der Prüfbericht und eine allfällige schriftliche ergänzende Berichterstattung an den Bewilligungsträger (z.b. im Sinne eines Management Letters ) konsistent sind. Wesentliche Feststellungen und Empfehlungen aus der ergänzenden Berichterstattung werden auch im Prüfbericht wiedergegeben. Ferner wird auf eine ergänzende schriftliche Berichterstattung im Prüfbericht unter Kapitel Weitere Bemerkungen hingewiesen. Zur Berichterstattung bei Banken und Effektenhändlern sowie deren Finanzgruppen, falls eine konsolidierte Überwachung angezeigt ist, werden mindestens folgende Dokumente zusätzlich als Anhang eingereicht: Umfassender Bericht an den Verwaltungsrat des Bewilligungsträgers gemäss Art. 728b Abs. 1 OR; Verzeichnis der Klumpenrisiken gemäss Art. 100 Abs. 1 und 2 ERV (auf Einzel- und gegebenenfalls Gruppenstufe) inkl. Meldung gruppeninterner Positionen gemäss Art. 102 ERV; 7/8
Optional (kann bei Bedarf von der FINMA nachträglich einverlangt werden): Liste der Positionen (Bilanz und Ausserbilanz) gegenüber inländischen und ausländischen Gruppengesellschaften, verbundenen Gesellschaften und qualifiziert Beteiligten (vgl. auch Anhang zum FINMA-RS 13/7 Limitierung gruppeninterner Positionen) 3 ; Meldung der zehn grössten Schuldner (auf Einzel- und gegebenenfalls Gruppenstufe) (gemäss Anhang 3 des FINMA-RS 08/14 Aufsichtsreporting Banken ); Grafische Darstellung der Konzernstruktur inklusive Beteiligungsverhältnisse (unter Berücksichtigung zusätzlicher Angaben zur konsolidierten Aufsicht, vgl. Ziffer 6.9. des Berichts zur aufsichtsrechtlichen Prüfung für Banken); Organigramm(e) (im Minimum mit Angabe der verantwortlichen Personen pro Geschäftsbereich bzw. Abteilung). Beilagen: 1) Banken der Kategorie 1: Rechtliche Grundlagen für die aufsichtsrechtliche Prüfung / Standardprüfstrategie und Minimalanforderungen für die Anpassung der Prüfstrategie; 2) Banken der Kategorien 2 bis 5: Rechtliche Grundlagen für die aufsichtsrechtliche Prüfung / Standardprüfstrategie und Minimalanforderungen für die Anpassung der Prüfstrategie. 3 Zweigniederlassungen von ausländischen Banken oder Effektenhändlern melden auch Positionen gegenüber dem Stammhaus. 8/8