Art. 34b
1) Banken und Wertpapierfirmen können mit Dienstleistern Vereinbarungen gleich welcher Form schliessen, in deren Rahmen der Dienstleister einen Prozess durchführt, eine Dienstleistung erbringt oder eine Tätigkeit ausführt, die ansonsten von der Bank oder Wertpapierfirma selbst wahrzunehmen wäre (Auslagerung).
2) Banken und Wertpapierfirmen prüfen, ob Vereinbarungen mit Dritten eine Auslagerung nach Abs. 1 darstellen. Bei dieser Prüfung ist insbesondere zu berücksichtigen, ob:
a) der ausgelagerte Prozess, die ausgelagerte Dienstleistung oder die ausgelagerte Tätigkeit durch den Dritten wiederkehrend oder laufend erbracht bzw. ausgeführt wird; und
b) eine kritische oder wesentliche Auslagerung im Sinne des Art. 35 Abs. 1 vorliegt, wobei zu berücksichtigen ist, dass Auslagerungen im Laufe der Zeit kritisch oder wesentlich werden können.
3) Eine Auslagerung nach Abs. 1 hat folgenden Grundsätzen zu entsprechen:
a) Vor Abschluss einer Auslagerungsvereinbarung prüfen Banken und Wertpapierfirmen, ob es sich bei dem auszulagernden Prozess, der auszulagernden Dienstleistung oder der auszulagernden Tätigkeit um die Auslagerung einer kritischen oder wesentlichen Funktion nach Art. 35 Abs. 1 handelt.
b) Banken und Wertpapierfirmen ermitteln, bewerten, überwachen und steuern im Rahmen ihres Risikomanagements nach Art. 7a des Bankengesetzes alle Risiken, die auf Auslagerungen zurückzuführen sind. Zu diesem Zweck haben Banken und Wertpapierfirmen eine eindeutige Zuweisung der Zuständigkeiten für die Dokumentation, das Management und die Kontrolle von Auslagerungsvereinbarungen vorzunehmen und im Rahmen der Risikomanagement-Funktion eine Auslagerungsfunktion einzurichten, die für die Dokumentation von Auslagerungsvereinbarungen sowie für die Steuerung und Kontrolle des Risikos aus Auslagerungen verantwortlich ist.
c) Banken und Wertpapierfirmen bewerten die möglichen Auswirkungen von Auslagerungsvereinbarungen, insbesondere im Hinblick auf ihr operationelles Risiko. Diese Bewertung beinhaltet gegebenenfalls auch Szenarien möglicher Risikoereignisse und die möglichen Auswirkungen unterlassener oder unzureichender Dienstleistungen. Banken und Wertpapierfirmen haben die Ergebnisse und Analysen zu dokumentieren. Die Risikobewertung ist regelmässig zu aktualisieren.
d) Auslagerungen werden von der internen Revision auf Grundlage eines risikobasierten Ansatzes geprüft, wobei insbesondere die Auslagerung kritischer oder wesentlicher Funktionen nach Art. 35 Abs. 1 zu prüfen ist. Die interne Revision darf unter der Berücksichtigung der massgeblichen Leitlinien der EBA innerhalb der Prüfung unter anderem die Erkenntnisse aus Sammelprüfungen ("pooled audits") oder Zertifizierungen durch Dritte und externe oder interne Revisionsberichte, die vom Dienstleister zur Verfügung gestellt werden, angemessen berücksichtigen, sich aber nicht ausschliesslich darauf verlassen.
e) Auslagerungen dürfen nicht zu einer Delegation der Aufgaben und Verantwortlichkeiten des Verwaltungsrats oder der Geschäftsleitung führen.
f) Auslagerungen dürfen nicht die laufende Einhaltung der Bestimmungen des Bankengesetzes, insbesondere Art. 18 bis 24, beeinträchtigen.
g) Banken und Wertpapierfirmen haben jederzeit über angemessene finanzielle und personelle Ressourcen zu verfügen, um die Einhaltung der Bst. e und f sicherzustellen.
h) Banken und Wertpapierfirmen haben über schriftliche Auslagerungsrichtlinien zu verfügen, welche die Grundsätze, Zuständigkeiten und Prozesse in Zusammenhang mit Auslagerungen unter Berücksichtigung der massgeblichen Leitlinien der EBA enthalten. In den Auslagerungsrichtlinien haben Banken und Wertpapierfirmen zu unterscheiden, ob es sich um die Auslagerung kritischer oder wesentlicher Funktionen, die Auslagerung an Dienstleister mit bzw. ohne Bewilligung, gruppeninterne Auslagerungen oder Auslagerungen an Dienstleister mit Sitz in einem Drittstaat handelt. Die Auslagerungsrichtlinien sind vom Verwaltungsrat zu genehmigen. Die Geschäftsleitung hat die Auslagerungsrichtlinien regelmässig zu überprüfen und gegebenenfalls zu aktualisieren sowie sicherzustellen, dass die Auslagerungsrichtlinien auf konsolidierter, teilkonsolidierter oder Einzelbasis angewendet werden.
i) Banken und Wertpapierfirmen erkennen, bewerten und regeln Interessenskonflikte hinsichtlich ihrer Auslagerungsvereinbarungen.
k) Vor Abschluss einer Auslagerungsvereinbarung stellen Banken und Wertpapierfirmen im Rahmen eines Auswahl- und Bewertungsverfahrens sicher, dass Dienstleister geeignet sind.
l) Jeder Auslagerung liegt eine schriftliche Auslagerungsvereinbarung zwischen der auslagernden Bank oder Wertpapierfirma und dem Dienstleister zu Grunde, in welcher die jeweiligen Rechte und Pflichten eindeutig festgehalten werden. Der Inhalt dieser Auslagerungsvereinbarung richtet sich nach den massgeblichen Leitlinien der EBA. Insbesondere ist in dieser Auslagerungsvereinbarung sicherzustellen, dass:
1. die interne und externe Revision der auslagernden Bank oder Wertpapierfirma in der Lage ist, den ausgelagerten Prozess, die ausgelagerte Dienstleistung oder die ausgelagerte Tätigkeit zu prüfen;
2. bei der Auslagerung von nicht kritischen oder nicht wesentlichen Funktionen der Dienstleister der FMA, der Abwicklungsbehörde (Art. 4 SAG) und der externen Revision auf Grundlage eines risikobasierten Ansatzes Kontroll- und Prüfungsrechte und vollständigen Zugang zu den Geschäftsräumlichkeiten des Dienstleisters und dessen Geräten, Systemen, Netzwerken, Informationen und Daten ("Zugangs- und Informationsrechte") ermöglicht.
m) Banken und Wertpapierfirmen haben bei einer Auslagerung laufend die Leistung des Dienstleisters nach einem risikobasierten Ansatz zu überwachen; sofern notwendig, haben Banken und Wertpapierfirmen sicherzustellen und laufend zu überwachen, dass der Dienstleister geeignete IT-Sicherheitsstandards sowie Anforderungen an die Daten- und Systemsicherheit erfüllt.
n) Banken und Wertpapierfirmen haben bei gruppeninternen Auslagerungen zudem Folgendes zu berücksichtigen:
1. Die Mutterunternehmen haben sicherzustellen, dass die gruppeninternen Governance-Regelungen, Verfahren und Mechanismen in den Tochterunternehmen konsistent, gut integriert und auf allen Ebenen angemessen sind.
2. Die Tochterunternehmen haben sicherzustellen, dass bei der gruppeninternen Auslagerung von operationellen Aufgaben der internen Kontrollfunktionen für die Überwachung und Prüfung der Auslagerungsvereinbarungen die operationellen Aufgaben auch für diese Auslagerungsvereinbarungen wahrgenommen werden.
3. Liegt keine Befreiung von der Anwendung der Aufsichtsanforderungen auf Einzelbasis nach Art. 7 der Verordnung (EU) Nr. 575/2013 vor:
aa) haben die Tochterunternehmen sicherzustellen, dass auch im Falle einer zentralisierten Überwachungsfunktion zumindest für ausgelagerte kritische oder wesentliche Funktionen nach Art. 35 Abs. 2 sowohl eine unabhängige Überwachung des Dienstleisters als auch eine geeignete Kontrolle durch jedes Tochterunternehmen möglich ist, und ihnen zumindest jährlich oder aber anlassbezogen Berichte der zentralisierten Überwachungsfunktion vorgelegt werden;
bb) haben die Tochterunternehmen sicherzustellen, dass deren Geschäftsleitung über relevante geplante Änderungen des zentral überwachten Dienstleisters und die daraus resultierenden Auswirkungen auf kritische und wesentliche Funktionen informiert werden und eine Bewertung der Auswirkungen durch eine Risikoanalyse ermöglicht wird;
cc) ist, wenn das Register nach Abs. 4 innerhalb der Gruppe bei einer der Gruppengesellschaften zentral geführt wird, den Gruppengesellschaften und der FMA ein individuelles Register aller Auslagerungsvereinbarungen jeder einzelnen Gruppengesellschaft zur Verfügung zu stellen;
dd) haben die Tochterunternehmen, wenn sie sich auf einen zentralen Ausstiegsplan für eine kritische oder wesentliche Funktion auf Gruppenebene stützen, sicherzustellen, dass eine Zusammenfassung des Ausstiegsplans vorliegt und dieser wirksam ausgeführt werden kann.
4) Banken und Wertpapierfirmen haben unter Berücksichtigung der massgeblichen Leitlinien der EBA alle bestehenden Auslagerungen in einem Register zu erfassen und zu dokumentieren. Das Register ist stets aktualisiert zu halten.
5) Bei der Anwendung der in diesem Artikel und in Art. 35 festgelegten Anforderungen ist die Komplexität des ausgelagerten Prozesses, der ausgelagerten Dienstleistung oder der ausgelagerten Tätigkeit, die mit Auslagerungsvereinbarungen verbundenen Risiken sowie die Kritikalität oder die Wesentlichkeit des ausgelagerten Prozesses, der ausgelagerten Dienstleistung oder der ausgelagerten Tätigkeit zu berücksichtigen. Die internen Prozesse und Verfahren im Zusammenhang mit Auslagerungen haben dem individuellen Risikoprofil, der Art und dem Geschäftsmodell sowie dem Umfang und der Komplexität der Geschäftstätigkeit der auslagernden Bank oder Wertpapierfirma zu entsprechen.