Für viele Schweizer Finanzunternehmen, die auf einem sich schnell verändernden Markt wettbewerbsfähig bleiben wollen, ist das Outsourcing zu einem der Hauptpfeiler der operativen Strategie geworden. Da die Unternehmen bei kritischen Dienstleistungen jedoch zunehmend auf Drittanbieter angewiesen sind, wachsen die damit verbundenen Risiken gleichzeitig in einem alarmierenden Tempo.

Mit der Digitalisierung und der Notwendigkeit, sich auf die Kernaktivitäten zu konzentrieren, steigt zwangsläufig auch die Zahl der Subunternehmer. Wie die FINMA kürzlich feststellte, stellt das Outsourcing mittlerweile ein grosses operationelles Risiko dar. Die FINMA weist darauf hin, dass ein Drittel der Cyberangriffe auf Finanzinstitute zunächst auf Drittanbieter abzielen. Etwas alarmierend fügt die FINMA hinzu, dass Störungen oder Ausfälle von Dienstleistungen, die von Drittanbietern verwaltet werden, im Extremfall die Stabilität der Finanzmärkte gefährden könnten. Nicht weniger.

In diesem Sinne legt die FINMA also weiterhin den Schwerpunkt auf die zunehmende Komplexität der Lieferketten und betont die Notwendigkeit, Rahmenwerke für das Management von Grossrisiken zu schaffen.

Die Einhaltung von Vorkehrungen wie dem FINMA-Rundschreiben 2018/3 ist von grundlegender Bedeutung, wenn es darum geht, Risiken im Zusammenhang mit Outsourcing wirksam zu managen. Vermögensverwalter sollten beispielsweise Prüfberichte wie ISAE 3000 einholen, um sicherzustellen, dass die ausgelagerten Dienstleistungen den rechtlichen und betrieblichen Standards entsprechen. ISAE 3402 Typ II bietet zusätzliche Sicherheiten in Bezug auf die Solidität der IT-Governance und des Risikomanagements.

Wie die FINMA wiederholt feststellte, darf Compliance nicht einfach ein Ausfüllen von Kästchen sein. Die Institute müssen die regulatorischen Anforderungen in ihre Geschäftsprozesse integrieren und Compliance-Lücken laufend überwachen.

Die Nichteinhaltung dieser Standards kann erhebliche Auswirkungen haben, darunter Geldstrafen, Rufschädigung und Vertrauensverlust bei den Kunden. Das Risiko erhöht sich, wenn Institutionen ihre vertraglichen Verpflichtungen nicht vollständig verstehen oder bei der Einbindung von Lieferanten nicht die notwendigen Überprüfungen vornehmen. Rechtliche Streitigkeiten über Service Level Agreements (SLAs) können betriebliche Störungen verschlimmern, was die Bemühungen um ein Risikomanagement zusätzlich erschwert.

Outsourcing: Strategien zur Risikominderung

Um diese Herausforderungen zu meistern, müssen die Schweizer Finanzunternehmen einen proaktiven Ansatz für das Risikomanagement im Zusammenhang mit Outsourcing verfolgen. Die wichtigsten Strategien sind folgende:

1. 1. Verstärkte Überprüfungen: Die Vermögensverwalter sollten vor dem Abschluss von Outsourcing-Vereinbarungen eine umfassende Due Diligence durchführen. Dazu gehört die Bewertung der finanziellen Stabilität, der technischen Fähigkeiten und der Compliance-Historie ihrer potenziellen Lieferanten..
2. 2. Vertragliche Garantien: In klaren und durchsetzbaren Service Level Agreements sollten die Leistungserwartungen, die Anforderungen an die Cybersicherheit und die Compliance-Verpflichtungen festgelegt werden. Es können Strafklauseln aufgenommen werden, um einen Anreiz für die Einhaltung der Verpflichtungen zu schaffen.
3. 3. Kontinuierliche Überwachung: Das Risikomanagement darf nicht mit der Unterzeichnung eines Vertrags enden. Eine kontinuierliche Überwachung der Leistung, der Sicherheitspraktiken und der Einhaltung der Vorschriften durch Dritte ist unerlässlich, um die Entwicklung von Risiken abzumildern.
4. 4. Pläne für die Reaktion auf Vorfälle: Die Einrichtungen sollten Pläne für die Reaktion auf Vorfälle entwickeln und regelmässig testen, die auf Ausfälle von Dritten zugeschnitten sind. So sind sie darauf vorbereitet, Störungen schnell zu bewältigen und ihre Auswirkungen zu minimieren.
5. 5. Regelmässige Prüfungen und Bewertungen: Die Institutionen sollten regelmässigen Prüfungen und Risikobewertungen Vorrang einräumen und sich dabei auf Rahmenwerke wie ISAE 3000 und ISAE 3402 Typ II stützen. Diese Prüfungen dienen nicht nur der Einhaltung der Vorschriften, sondern auch der Identifizierung neu auftretender Risiken innerhalb der Lieferkette.

Während das Outsourcing unbestreitbare Vorteile bietet, birgt es auch erhebliche Risiken, die unbedingt berücksichtigt werden müssen. Die zunehmende Komplexität der Lieferketten in Verbindung mit erhöhten Cybersicherheitsbedrohungen und regulatorischen Anforderungen verlangt von den Managern einen soliden und dynamischen Ansatz für das Risikomanagement. Indem sie die Überwachung verbessern, die Transparenz fördern und die Einhaltung von Vorschriften priorisieren, können sie die Risiken des Outsourcings mindern und gleichzeitig die betrieblichen Vorteile nutzen.

Hossein Fezzazi

Penta

Hossein Fezzazi ist seit dem Jahr 2010 Chief Operating Officer von Penta und daher für die Strategie, die Finanzen und die Verwaltung der Konten des Unternehmens in Genf und in Dubai zuständig. Für diese Aufgaben bringt er seine solide Erfahrung im Bereich Kundenbetreuung während der Ausschreibungs-, Vorverkaufs- und Produktionsphase von Projekten ein.