Outsourcing bei Finanzinstituten: Anforderungen und Realität in Deckung bringen

Jedes beaufsichtigte Finanzinstitut lagert etwas aus. Kernbankensysteme, Cloud-Infrastruktur, Transaktionsüberwachung, Teile der Compliance, manchmal ein ganzes Backoffice. Das Schweizer Aufsichtsrecht erlaubt das – unter einer Bedingung, die sich nie ändert: Das Institut bleibt verantwortlich. Die FINMA beaufsichtigt Sie, nicht Ihren Anbieter.

Die Anforderungen selbst sind bekannt: ein Inventar der ausgelagerten Funktionen, eine Wesentlichkeitsbeurteilung, Verträge, die Kontrolle und Aufsicht sichern, Prüf- und Zugangsrechte, geordnete Unterauslagerung. Die eigentliche Schwierigkeit liegt woanders. In den meisten Instituten existieren drei Versionen der Auslagerungslandschaft nebeneinander: das Inventar, die Verträge und das, was im Betrieb tatsächlich geschieht. Am Anfang sind sie deckungsgleich. Sie bleiben es selten.

Drei Versionen der Wahrheit

Das Inventar sagt, was das Institut ausgelagert zu haben glaubt. Die Verträge sagen, was vereinbart wurde – oft vor Jahren. Der Betrieb zeigt, was der Anbieter heute tatsächlich tut. Nach ein paar Change Requests, einer Migration und einem Produktlaunch kann das etwas ganz anderes sein.

Diese Drift ist keine Nachlässigkeit; sie ist der Normalfall. Der Anbieter schaltet ein Modul auf, und plötzlich verarbeitet er kundenidentifizierende Daten, mit denen er vorher nie in Berührung kam. Ein internes Team wird verkleinert, und aus einer "Unterstützung" wird stillschweigend die Funktion selbst. Kein einzelner dieser Schritte fühlt sich wie ein Auslagerungsentscheid an. Zusammen verändern sie, was im Inventar stehen und was der Vertrag regeln müsste.

Der Test, den eine Aufsichtsbehörde oder Prüfgesellschaft anwendet, ist einfach: eine ausgelagerte Funktion auswählen und durch Inventar, Vertrag und Realität verfolgen. Erzählen die drei verschiedene Geschichten, schreibt sich die Beanstandung von selbst.

Wesentlichkeit ist ein Urteil – halten Sie es fest

Nicht jede eingekaufte Dienstleistung ist eine Auslagerung, und nicht jede Auslagerung wiegt gleich schwer. Die strengeren Pflichten knüpfen an Funktionen an, die für das Institut wesentlich sind – zentral für sein Geschäft, sein Risikomanagement oder seine Compliance. Diese Beurteilung ist eine Ermessensfrage, und Sie sollten damit rechnen, sie verteidigen zu müssen.

Zwei Praktiken machen sie verteidigungsfähig. Erstens: Beurteilen Sie die Wesentlichkeit am eigenen Institut, nicht abstrakt. Eine Dienstleistung, die für eine Grossbank peripher ist, kann für ein Fintech mit zwölf Mitarbeitenden existenziell sein. Zweitens: Schreiben Sie die Begründung im Zeitpunkt des Entscheids nieder und überprüfen Sie sie, wenn sich die Dienstleistung ändert. Ein einzeiliges "nicht wesentlich" von vor vier Jahren schützt niemanden.

Prüf- und Zugangsrechte, die tatsächlich funktionieren

Jeder Auslagerungsvertrag mit einem regulierten Institut enthält Prüf- und Zugangsklauseln; dafür haben die Vorlagen gesorgt. Die Frage ist, ob sie funktionieren. Rechte, die auf dem Papier bestehen, aber nicht ausgeübt werden können – weil der Anbieter im Ausland sitzt, weil die Klausel den Anbieter erfasst, aber nicht das Rechenzentrum, auf das er sich stützt, weil "Prüfung" in Wahrheit heisst, die Zusammenfassung eines fremden Berichts zu erhalten – sind Beanstandungen auf Vorrat.

Lesen Sie diese Klauseln operativ. Wer darf erscheinen, wo, mit welcher Ankündigungsfrist, und was einsehen? Gelten die Rechte auch für Ihre Aufsichtsbehörde und Ihre Prüfgesellschaft, nicht nur für Sie? Könnten Sie Ihre Daten in brauchbarer Form zurückholen, wenn die Beziehung im Streit endet? Lautet die ehrliche Antwort auf eine dieser Fragen "das müssten wir dann verhandeln", hat die Klausel ihren Zweck verfehlt.

Die Kette unterhalb des Vertrags

Bei der Unterauslagerung endet üblicherweise die Sichtbarkeit. Ihr Anbieter lagert an einen Spezialisten aus, der Spezialist läuft auf einem Hyperscaler, und eine Supportfunktion sitzt in einem Drittstaat. Ihre Verantwortung endet nicht beim ersten Glied – Ihr Vertrag aber oft schon.

Der gangbare Weg ist nicht, Unterauslagerung zu verbieten – das akzeptiert kein Anbieter –, sondern sie zu strukturieren: Genehmigung oder zumindest Meldung wesentlicher Unteranbieter, Weitergabe der Prüf- und Datenschutzverpflichtungen, auf die Sie angewiesen sind, und ein aktuelles Bild davon, wo Ihre Funktionen und Daten tatsächlich liegen. Wer die beteiligten Länder nicht nennen kann, kann das Risiko nicht beurteilen.

Die Karte aktuell halten

Institute, die das gut im Griff haben, behandeln Outsourcing als Lebenszyklus, nicht als Ablageübung. Jede neue Dienstleistung und jede wesentliche Änderung durchläuft dieselbe Schleuse: Ist das eine Auslagerung, ist sie wesentlich, was muss der Vertrag sichern? Das Inventar bleibt aktuell, weil der Prozess es speist – nicht, weil sich jemand erinnert. Verträge werden neu gelesen, wenn sich Dienstleistungen ändern, nicht erst, wenn der Prüfbericht kommt.

Ob eine bestimmte Auslagerung wesentlich ist und was ihr Vertrag enthalten muss, hängt immer von den Verhältnissen Ihres Instituts ab. Die Disziplin aber, Inventar, Verträge und Betrieb systematisch abzugleichen, ist universell – und genau die Art von strukturierter Lektüre, die Systeme gut leisten, während eine Anwältin oder ein Anwalt entscheidet, was die Lücken bedeuten und welche zuerst zu schliessen sind. Wenn Sie vermuten, dass Ihre drei Versionen der Wahrheit auseinandergedriftet sind, helfen wir Ihnen gerne, es herauszufinden.