Auslagerung · FINIG · Nachweispflichten
Ein Softwarelieferant, der Ihnen die Unterlagen für das Auslagerungsdossier schuldig bleibt, verlagert Aufwand zu Ihnen — und im ungünstigen Fall eine Beanstandung. Wir liefern zu jeder der drei Pflichten aus Art. 14 FINIG die Belege, vorbereitet und in verwendbarer Form.
Diese Darstellung dient der Orientierung und ersetzt keine rechtliche Beurteilung.
Seit Inkrafttreten des FINIG am 1. Januar 2020 sind Vermögensverwalter bewilligungspflichtig und unterstehen der laufenden Aufsicht einer Aufsichtsorganisation. Das verändert auch die Anforderungen an Lieferanten.
| Auslagerung zulässig | Die Übertragung von Aufgaben an Dritte ist grundsätzlich möglich. Nicht auslagerbar sind Aufgaben, die in der Entscheidkompetenz der Geschäftsführung oder des Verwaltungsrats liegen — ein Handelssystem setzt Ihre Entscheide um, es trifft sie nicht. |
|---|---|
| Drei Pflichten | Die übertragende Partei hat die angemessene Auswahl, Instruktion und Überwachung des Beauftragten sicherzustellen. Genau darauf sind unsere Unterlagen zugeschnitten. |
| Meldung | Nach Art. 64 FINIG sind wesentliche ausgelagerte Tätigkeiten der FINMA zu melden. In der Praxis empfiehlt es sich, sämtliche Auslagerungen zu melden und die Beurteilung der Wesentlichkeit der Behörde zu überlassen. |
| Organisationsreglement | Werden Aufgaben ausgelagert, ist dies im Organisationsreglement festzuhalten. Wir liefern dafür eine vorformulierte Leistungsbeschreibung. |
| Marktverhalten | Das FINMA-Rundschreiben zu den Marktverhaltensregeln findet seit dem FINIG auch auf Vermögensverwalter Anwendung. Die Vermeidung marktmissbräuchlicher Geschäfte ist schriftlich zu regeln — bei automatisierten Systemen betrifft das unmittelbar deren Ausgestaltung. |
Diese Darstellung dient der Orientierung und ersetzt keine rechtliche Beurteilung. Ob und in welchem Umfang in Ihrem Fall eine meldepflichtige Auslagerung vorliegt, entscheiden Sie zusammen mit Ihrer Aufsichtsorganisation.
Zu jeder der drei Pflichten liefern wir die Belege — vorbereitet, nicht auf Nachfrage zusammengesucht.
Weshalb dieser Lieferant — nachvollziehbar begründet.
Weisungen schriftlich statt mündlich.
Belege statt Zusicherungen.
Die heikelste Frage bei jeder IT-Auslagerung lautet: Gelangen Daten, die dem Berufsgeheimnis nach Art. 147 FINIG unterliegen, zu einem Dritten — und erst recht zu einem im Ausland?
In der von uns vorgeschlagenen Ausgestaltung lautet die Antwort: nein. Die Software läuft auf Ihrer Infrastruktur, mit Ihren Zugangsdaten, unter Ihrer Kontrolle. Wir liefern das Programm samt Quellcode und Dokumentation. Kundennamen, Kontonummern und Positionsbestände sehen wir dabei nicht.
Wo für die Fehlersuche Daten erforderlich sind, geschieht das über anonymisierte Auszüge oder in Ihrer Umgebung unter Ihrer Aufsicht. Beide Wege sind im Vertrag geregelt, nicht dem Einzelfall überlassen.
| Entwicklung | Erfolgt gegen Testdaten und Demokonten. Für die Umsetzung einer Anlagelogik werden keine echten Kundendaten benötigt. |
|---|---|
| Abnahme | Auf einem Demokonto oder einem von Ihnen bereitgestellten Testkonto. Der Übergang in den Echtbetrieb erfolgt durch Sie. |
| Störungsbehebung | Über anonymisierte Protokolldateien. Ist ein Zugriff auf die Produktivumgebung unumgänglich, erfolgt er begleitet, zeitlich begrenzt und protokolliert. |
| Datenhaltung bei uns | Beschränkt auf Projektunterlagen: Anforderungsdokument, Quellcode, Testprotokolle, Geschäftskorrespondenz. Keine Kundendaten Ihrer Mandanten. |
| Datenschutzrecht | Massgeblich sind das revidierte Datenschutzgesetz und, aufgrund unseres Sitzes, die Datenschutz-Grundverordnung. Eine Vereinbarung zur Auftragsbearbeitung nach Art. 9 revDSG schliessen wir auf Wunsch ab. |
Der blosse Erwerb eines Programms gilt üblicherweise nicht als Auslagerung. Anders sieht es aus, wenn ein Dritter eine Aufgabe dauerhaft für Sie wahrnimmt — etwa den Betrieb, die Wartung oder die laufende Weiterentwicklung eines Systems, auf das Sie in Ihrer Geschäftstätigkeit angewiesen sind. Die Abgrenzung nimmt Ihre Aufsichtsorganisation vor, nicht wir. Wir liefern die Angaben, die Sie für diese Beurteilung benötigen.
Nach Art. 64 FINIG sind wesentliche ausgelagerte Tätigkeiten zu melden. In der Praxis hat sich gezeigt, dass die FINMA sämtliche ausgelagerten Tätigkeiten gemeldet haben möchte und die Wesentlichkeit anschliessend selbst beurteilt. Besprechen Sie das mit Ihrer Aufsichtsorganisation. Wir stellen die Angaben zum Dienstleister, zum Leistungsumfang und zu den vereinbarten Kontrollrechten in einer Form bereit, die sich unmittelbar verwenden lässt.
Sie benötigen eine nachvollziehbare Begründung, weshalb Sie diesen Lieferanten gewählt haben. Wir stellen dafür zusammen: fachliche Qualifikation und Zertifizierung, Angaben zur Geschäftstätigkeit und Dauer der Marktpräsenz, Beschreibung des Qualitätssicherungsverfahrens, Nachweis der Berufshaftpflichtversicherung sowie eine Erklärung zu Interessenkonflikten. Diese Unterlagen gehören in Ihr Auslagerungsdossier.
Über das Anforderungsdokument. Es hält schriftlich fest, was die Software leisten soll, welche Grenzen gelten und woran die Abnahme gemessen wird. Damit ist die Weisung dokumentiert und nicht bloss mündlich erteilt. Jede Änderung durchläuft denselben Weg und ist im Änderungsverzeichnis nachvollziehbar.
Über Testnachweise, Versionsführung und Abnahmen. Sie erhalten zu jeder Lieferung die Testfälle mit dokumentiertem Ausgang und können die Abnahme gegen die vereinbarten Kriterien vornehmen. Auf Wunsch vereinbaren wir zusätzlich periodische Standortbestimmungen mit schriftlichem Protokoll — das ist ein Format, das Prüfgesellschaften erfahrungsgemäss schätzen.
In der von uns vorgeschlagenen Ausgestaltung erhalten wir keinen Zugriff auf Kundendaten: Die Software läuft auf Ihrer Infrastruktur, wir liefern das Programm. Wo für die Fehlersuche Daten erforderlich sind, arbeiten wir mit anonymisierten Auszügen oder unter Ihrer Aufsicht in Ihrer Umgebung. Ergänzend unterzeichnen wir eine Geheimhaltungsvereinbarung, die über die gesetzlichen Anforderungen hinausgeht.
Eine Auslagerung ins Ausland ist zulässig, muss aber besonders begründet werden — insbesondere darf die Aufsicht in der Schweiz nicht beeinträchtigt werden. Der entscheidende Punkt ist auch hier, dass keine dem Berufsgeheimnis unterliegenden Daten ins Ausland gelangen. Verträge schliessen wir auf Wunsch nach Schweizer Recht mit Gerichtsstand in der Schweiz, und wir räumen Ihnen sowie Ihrer Prüfgesellschaft vertragliche Einsichts- und Prüfrechte ein.
Ja, und das ist vertraglich zugesichert. Sie besitzen den vollständigen Quellcode und die Dokumentation. Auf Verlangen übergeben wir an einen von Ihnen bezeichneten Dritten und begleiten den Übergang. Eine dokumentierte Ausstiegsfähigkeit gehört zu den Punkten, welche die Aufsichtsorganisation regelmässig prüft.
Nennen Sie uns Ihre Aufsichtsorganisation und die Anforderungen Ihrer Prüfgesellschaft. Wir stellen die Unterlagen in der Form zusammen, die Sie benötigen — vor Vertragsschluss und ohne Kosten.