Erläuternder Bericht

Revision der Bankenverordnung (BankV)

«FinTech-Bewilligung»

Ausnahmen zu gewähren und sie an Bedingungen zu knüpfen. Dabei sollen die Ausnahmen primär in der Start-up Phase, in der die Erfüllung der Anforderungen am ehesten mit Schwierigkeiten verbunden ist, gewährt werden können. Ein Anwendungsfall wäre z.B., wenn die Gründer eines FinTech-Unternehmens professionelle Geldgeber (Venture Capitalists) engagieren konnten und diese bereits ein genügendes Gegengewicht zum Einfluss der Gründer darstellen. In solchen und ähnlichen Fällen sind Erleichterungen in Zusammenhang mit der Anforderung an die Unabhängigkeit denkbar.

Art. 14e Compliance und Risikomanagement

Absatz 1

Analog den Bestimmungen für Banken müssen auch die Personen nach Artikel 1b BankG sicherstellen, dass die Gesetze und regulatorischen Anforderungen eingehalten werden. Dies soll mit einer Compliance-Funktion gewährleistet werden. Weiter müssen die mit dem Geschäft einhergehenden Risiken erkannt, beurteilt, gesteuert und überwacht werden können. Dies erfordert ein wirksames Risikomanagement. Im Gegensatz zu den Banken müssen die Personen nach Artikel 1b BankG aufgrund der unterschiedlichen Risikoexposition keine Anforderungen an die Liquidität und Eigenmittel erfüllen (dazu unten, Erläuterungen zu Art. 17a). Jedoch sind auch sie operationellen Risiken sowie Reputationsrisiken ausgesetzt, denen sie Rechnung tragen müssen (darunter fallen z.B. das Risiko, dass Informationssysteme «gehackt» werden, oder dass aufgrund von Programmierfehlern unautorisierte Zugriffe erfolgen). Für die Definition der operationellen Risiken kann auf die Legaldefinition in Artikel 89 ERV abgestellt werden, wonach darunter die Gefahr von Verlusten zu verstehen ist, «die in Folge der Unangemessenheit oder des Versagens von internen Verfahren, Menschen oder Systemen oder in Folge von externen Ereignissen eintreten. Eingeschlossen sind Rechtsrisiken, nicht aber strategische Risiken und Reputationsrisiken.» Die Risiken der Fin-Tech-Unternehmen sind abhängig von der individuellen Ausgestaltung des Geschäftsmodells und den verwendeten Technologien.

Ein Internes Kontrollsystem (IKS) umfasst die Gesamtheit der Kontrollstrukturen und prozesse, die auf allen Ebenen eines Unternehmens die Grundlage für die Erreichung der geschäftspolitischen Ziele und für einen ordnungsgemässen Institutsbetrieb bilden. Finanzinstitute implementieren in der Regel drei interne Kontrollinstanzen: Auf der ersten Stufe übernehmen die ertragsorientierten Geschäftseinheiten die Bewirtschaftung der Risiken, insbesondere durch deren direkte Überwachung, Steuerung und Berichterstattung und sorgen für die Einhaltung der gesetzlichen Anforderungen im Tagesgeschäft (sog. first line of defense). Auf der zweiten Stufe (sog. second line of defense) überwachen die Risikokontrollfunktionen und die Compliance-Funktionen die Risiken bzw. die Einhaltung gesetzlicher, regulatorischer und interner Vorschriften. Auf der dritten Stufe folgt schliesslich die Prüfung durch eine interne Revision (sog. third line of defense). Ob und in welcher Ausprägung bei einer Person nach Artikel 1b BankG diese drei Stufen vorhanden sein müssen, hängt im Wesentlichen vom konkreten Einzelfall ab.

Absatz 2

Die Personen nach Artikel 1b BankG halten im Rahmen von internen Dokumentationen und Weisungen fest, mit welchen Instrumenten die Anforderungen nach Absatz 1 konkret erfüllt werden können. Dabei geht es als erstes um die Durchführung von Risikoanalysen namentlich betreffend die Anwendung der Technologie, aber auch betreffend externe Ereignisse und interne Vorgänge. Erst die Durchführung von Risikoanalysen ermöglicht den Aufbau geeigneter Risikokontrollstrukturen. Weiter sind die konkreten Zuständigkeiten festzulegen und zu definieren. Sind die Risiken identifiziert, ist das mögliche Verlustpotenzial abzuschätzen und es sind Strategien und Prozesse zur Steuerung und Minimierung der Risiken festzulegen. Schliesslich sind Kontrollen und Überwachungsmechanismen zu definieren.