FINMA-RS 2023/1 Operationelle Risiken: Was für KI gilt

Wenn ein Schweizer Institut ein KI-Modell in einen Kredit-, Compliance- oder Handelsprozess einbaut, fragt die Aufsicht nicht nach dem Etikett «KI». Sie fragt, ob das Institut die operationellen Risiken dieses Prozesses identifiziert, beurteilt, begrenzt und überwacht – und ob die kritischen Funktionen dahinter innerhalb ihrer Unterbrechungstoleranz wiederherstellbar bleiben. Das Regelwerk dafür ist seit dem 1. Januar 2024 das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken». Es nennt KI an keiner Stelle prominent, greift aber auf praktisch jeden ernsthaften KI-Einsatz im Institut durch.

Schweizer Rechtsrahmen

Das FINMA-RS 2023/1 wurde am 7. Dezember 2022 erlassen und trat am 1. Januar 2024 in Kraft. Es löste das frühere FINMA-RS 2008/21 «Operationelle Risiken – Banken» ab und konkretisiert die aufsichtsrechtlichen Vorschriften zu Funktionentrennung, Risikomanagement und interner Kontrolle aus der Bankenverordnung (Art. 12 und 14e BankV, SR 952.02) und der Finanzinstitutsverordnung (Art. 12 und 68 FINIV, SR 954.11). Gesetzliche Grundlagen sind unter anderem Art. 7 Abs. 1 Bst. b und Art. 29 Abs. 1 FINMAG sowie Art. 3 Abs. 2 Bst. a BankG. Adressaten sind Banken, Personen nach Art. 1b BankG, Wertpapierhäuser sowie Finanzgruppen und Finanzkonglomerate – im Rundschreiben zusammengefasst als «Institute».

Das Rundschreiben berücksichtigt ausdrücklich die Basler Grundsätze zum Management operationeller Risiken und zur operationellen Resilienz (beide BCBS, 31. März 2021). Es gilt nach dem Proportionalitätsprinzip: Die Anforderungen sind abhängig von Grösse, Komplexität, Struktur und Risikoprofil des Instituts umzusetzen, und Banken sowie Wertpapierhäuser der FINMA-Kategorien 4 und 5 sind von einer namentlich bezeichneten Reihe von Randziffern ausgenommen.

Die konkrete Regelung: fünf Anknüpfungspunkte für KI

Das Rundschreiben ist technologieneutral formuliert. Genau darin liegt seine Reichweite: Es braucht keine KI-spezifische Norm, damit KI-Systeme erfasst sind. Fünf Regelungsbereiche greifen unmittelbar.

Übergreifendes Management der operationellen Risiken. Operationelle Risiken sind nach Art. 89 ERV die Gefahr finanzieller Verluste infolge unangemessener oder versagender interner Prozesse und Systeme, menschlichen Fehlverhaltens oder externer Ereignisse – einschliesslich Rechts- und Compliance-Risiken. Ein fehlerhaft trainiertes oder driftendes Modell fällt darunter, sobald es in einem Geschäftsprozess wirkt. Das Rundschreiben verlangt eine institutsweit einheitliche Kategorisierung und ein Inventar der operationellen Risiken sowie regelmässige Risiko- und Kontrollbeurteilungen, die inhärente Risiken, Effektivität der Kontrollen und residuale Risiken auseinanderhalten.

Besonders relevant für KI-Projekte: Vor wesentlichen Änderungen in Produkten, Aktivitäten, Prozessen und Systemen sind Ad-hoc-Risiko- und Kontrollbeurteilungen durchzuführen – für den Änderungsprozess selbst und für den Zielzustand. Die Einführung eines Modells in einen bestehenden Prozess ist eine solche wesentliche Änderung. Ebenso verlangt das Rundschreiben eine regelmässige, dokumentierte Beurteilung der Wirksamkeit der Schlüsselkontrollen durch eine unabhängige Instanz (Design Effectiveness und Operating Effectiveness Testing). Bei KI-gestützten Kontrollen heisst das: Wer den Modelloutput kontrolliert, darf nicht dieselbe Einheit sein, die das Modell betreibt.

IKT-Risiken. Das Änderungsmanagement muss für alle Phasen der Entwicklung oder Beschaffung von IKT Verfahren, Prozesse und Kontrollen definieren; funktionale und nicht-funktionale Anforderungen sind klar zu definieren, zu genehmigen und gemäss Kritikalität zu testen und zu validieren. Entwicklungs-, Test- und Produktionsumgebungen sind zu trennen. Für Modell-Lebenszyklen bedeutet das konkret: Validierung vor Produktivsetzung, keine Trainings- oder Experimentierumgebung auf Produktionsdaten ohne geregelte Zugriffe, und ein IKT-Inventar, das Hard- und Softwarekomponenten sowie Ablageorte kritischer Daten und Schnittstellen zu wesentlichen externen Dienstleistern abbildet.

Kritische Daten. Kritische Daten sind Daten, die für die Leistungserbringung oder für regulatorische Zwecke von so wesentlicher Bedeutung sind, dass sie einen erhöhten Sicherheitsanspruch erfordern – beurteilt entlang Vertraulichkeit, Integrität und Verfügbarkeit. Das Rundschreiben verlangt Schutz kritischer Daten auch in Testumgebungen, ein Autorisierungssystem mit regelmässiger Rezertifizierung der Berechtigungen sowie besondere Sorgfalt, wenn kritische Daten ausserhalb der Schweiz gespeichert werden oder vom Ausland aus zugänglich sind. Für KI ist das der schärfste Hebel: Trainingsdaten, Prompt-Daten und Modellausgaben können kritische Daten sein oder enthalten. Bei Dienstleistern, die kritische Daten bearbeiten oder einsehen können, ist der Due Diligence eine hohe Bedeutung beizumessen, mit vorab definierten Beurteilungskriterien und periodischer risikoorientierter Überwachung.

BCM und Vorfallmanagement. Für kritische Prozesse sind RTO und RPO zu definieren und vertraglich oder anderweitig abzusichern; BIA und BCP sind jährlich sowie ad hoc bei wesentlichen Änderungen zu überprüfen. IKT-Vorfälle, die das Institut als wesentliche Störung der kritischen Prozesse einstuft und die für die Aufsicht wesentlich sind, müssen der FINMA unverzüglich gemeldet werden. Für Cyber-Vorfälle sieht das Rundschreiben eine Vororientierung innert 24 Stunden und die Meldung über die Erhebungsplattform EHP innert 72 Stunden vor, gefolgt von einem abschliessenden Ursachenbericht.

Operationelle Resilienz. Das Institut identifiziert seine kritischen Funktionen und definiert für jede eine Unterbrechungstoleranz; beides ist mindestens jährlich vom Oberleitungsorgan zu genehmigen. Das Inventar der kritischen Funktionen enthält die Abhängigkeiten zu den benötigten Prozessen und Ressourcen. Wer ein KI-System zur Ressource einer kritischen Funktion macht, muss diese Abhängigkeit dort abbilden – einschliesslich der Abhängigkeit von einem externen Anbieter. Das Rundschreiben nennt als Testszenario ausdrücklich auch den längeranhaltenden Ausfall eines wichtigen Dienstleisters sowie den Fall, dass ausländische Regierungen auslandsbasierten Cloud-Anbietern die Bedienung schweizerischer Firmen untersagen.

Die Übergangsfristen zur operationellen Resilienz sind inzwischen abgelaufen: Ein Jahr ab Inkrafttreten für einen Teil der Anforderungen, zwei Jahre für die übrigen – womit die volle Erwartungshaltung seit dem 1. Januar 2026 gilt.

Abgrenzung zum EU AI Act

Der EU AI Act klassifiziert das KI-System und knüpft daran produktbezogene Pflichten. Das FINMA-RS 2023/1 klassifiziert nichts am System, sondern am Institut: Es fragt nach kritischen Funktionen, kritischen Prozessen, kritischen Daten und Unterbrechungstoleranzen. Ein KI-System kann nach EU-Systematik in eine hohe Risikoklasse fallen und im Schweizer Institut trotzdem keine kritische Funktion berühren – und umgekehrt. Die beiden Beurteilungen sind getrennt zu führen und lassen sich nicht ineinander überführen. Ein Institut mit EU-Marktbezug braucht beide; die Verbindung dazwischen behandelt die Brücke zwischen CH- und EU-Anforderungen.

Praxis für Schweizer Unternehmen

Der praktikabelste Weg ist, KI nicht als eigenes Regime zu führen, sondern in die bestehenden Artefakte des Rundschreibens einzuhängen: Modelle als Komponenten ins IKT-Inventar; modellbezogene Risiken in die bestehende Risikotaxonomie statt in eine parallele «AI-Risk»-Liste; Modelleinführungen und wesentliche Modellwechsel als Auslöser der Ad-hoc-Risiko- und Kontrollbeurteilung; Trainings- und Prompt-Daten in die Klassifikation kritischer Daten; und externe Modellanbieter in die Dienstleisterüberwachung, abgestimmt mit dem Outsourcing-Regime nach FINMA-RS 2018/3.

Zwei Punkte werden in der Praxis regelmässig unterschätzt. Erstens die Unabhängigkeit der Kontrolle: Wo ein Modell eine Schlüsselkontrolle ausführt oder vorbereitet, braucht es eine davon unabhängige Wirksamkeitsprüfung – ein Modell kann sich nicht selbst validieren. Zweitens die Nachweisführung: Das Rundschreiben verlangt an vielen Stellen «nachvollziehbar» und «dokumentiert». Bei KI-Systemen, die sich laufend ändern, ist der Nachweis nicht der Zustand von heute, sondern die belegbare Kette von Beurteilungen, Freigaben und Tests über die Zeit. Wer diese Kette erst im Prüfungsfall rekonstruiert, hat sie faktisch nicht.

Wer die Systematik von Hochrisiko-Konzepten kennt, erkennt schneller, welche Anwendungen im eigenen Haus die höchste Sorgfalt verdienen – auch wenn die Rechtsgrundlage in der Schweiz eine andere ist.

Verweise

• FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken», Erlass 07.12.2022, Inkraftsetzung 01.01.2024 (finma.ch)
• FINMA-Rundschreiben 2018/3 «Outsourcing – Banken und Versicherer»
• FINMA-Rundschreiben 2017/1 «Corporate Governance – Banken»
• Bankenverordnung (BankV, SR 952.02), Art. 12 und 14e
• Finanzinstitutsverordnung (FINIV, SR 954.11), Art. 12 und 68
• Eigenmittelverordnung (ERV), Art. 89 (Definition operationelle Risiken)
• BCBS, Revisions to the Principles for the Sound Management of Operational Risk (31.03.2021)
• BCBS, Principles for Operational Resilience (31.03.2021)

Trust-Infrastructure, die Schweizer und EU-Anforderungen gleichzeitig adressiert: aegira.ai.