Operationelle Resilienz in der Schweiz: FINMA-Rundschreiben 2023/1 umsetzen

Kurzantwort: Das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» gilt seit dem 1. Januar 2024 für Banken, Personen nach Art. 1b BankG, Wertpapierhäuser sowie Finanzgruppen und -konglomerate und ersetzt das Rundschreiben 2008/21. Es verlangt ein Management der operationellen Risiken mit IKT, Cyber, kritischen Daten und Business Continuity sowie die Sicherstellung der operationellen Resilienz: kritische Funktionen identifizieren, Unterbrechungstoleranzen festlegen, beides mindestens jährlich vom Oberleitungsorgan genehmigen lassen und regelmässig testen. Die letzten Übergangsfristen sind am 1. Januar 2026 abgelaufen.

Dieser Beitrag richtet sich an Chief Risk Officers, Heads of Compliance, Legal- und Operational-Risk-Verantwortliche in Schweizer Banken und Wertpapierhäusern. Er zeigt, was FINMA-RS 2023/1 verlangt, welche Fristen galten, welche Arbeitspakete daraus folgen und welche Rollen ein Institut braucht, wenn die eigene Kapazität nicht reicht.

Was regelt das FINMA-Rundschreiben 2023/1?

Das FINMA-Rundschreiben 2023/1 konkretisiert die Vorschriften zu Funktionentrennung, Risikomanagement und interner Kontrolle in Art. 12 und 14e BankV sowie Art. 12 und 68 FINIV. Die FINMA hat es am 7. Dezember 2022 erlassen. Es stützt sich auf die Basler Grundsätze zum Management operationeller Risiken und zur operationellen Resilienz vom März 2021. Der Text ist auf der Website der FINMA als FINMA-Rundschreiben 2023/1 (PDF) abrufbar. Inhaltlich hat er drei Teile:

• Management der operationellen Risiken (Rz 22–100): übergreifendes Management mit jährlich genehmigter Risikotoleranz, IKT-Risiken (Rz 47–60), Cyber-Risiken (Rz 61–70), Risiken kritischer Daten (Rz 71–82), Business Continuity Management (Rz 83–96) und Risiken aus dem grenzüberschreitenden Dienstleistungsgeschäft (Rz 97–100).
• Sicherstellung der operationellen Resilienz (Rz 101–111): kritische Funktionen, Unterbrechungstoleranzen, Inventar, Tests, Koordination und Berichterstattung.
• Systemrelevante Banken (Rz 112): Weiterführung kritischer Dienstleistungen bei Abwicklung und Sanierung.

Drei Begriffe tragen das Rundschreiben

• Kritische Funktionen: Aktivitäten, Prozesse und Dienstleistungen samt den nötigen Ressourcen, deren Unterbrechung die Weiterführung des Instituts oder seine Rolle im Finanzmarkt gefährden würde, sowie die systemrelevanten Funktionen nach Art. 8 BankG.
• Unterbrechungstoleranz: das Ausmass einer Unterbrechung, etwa Dauer oder erwarteter Schaden, das das Institut in schwerwiegenden, aber plausiblen Szenarien zu akzeptieren bereit ist. Sie ist für jede kritische Funktion festzulegen.
• Operationelle Resilienz: die Fähigkeit, kritische Funktionen bei Unterbrechungen innerhalb der Unterbrechungstoleranz wiederherzustellen.

Proportionalität

Das Rundschreiben gilt für alle Adressaten, die Umsetzung richtet sich aber nach Grösse, Komplexität, Struktur und Risikoprofil. Banken und Wertpapierhäuser der Aufsichtskategorien 4 und 5 sind von einer Reihe von Randziffern ausgenommen, darunter die jährliche Genehmigung (Rz 103), die Koordination (Rz 104) und die Tests (Rz 110). Institute im Kleinbankenregime nach Art. 47a–47e ERV, Personen nach Art. 1b BankG und Wertpapierhäuser, die keine Konten führen, sind zusätzlich unter anderem von Rz 105–109 befreit. Die FINMA kann im Einzelfall Erleichterungen oder Verschärfungen anordnen.

Fristen und Übergang: was seit dem 1. Januar 2026 gilt

Seit dem 1. Januar 2026 ist das FINMA-RS 2023/1 vollständig umzusetzen. Die Übergangsbestimmung (Rz 113) hat die Anforderungen an die operationelle Resilienz in drei Stufen eingeführt:

Was die FINMA bei der Umsetzung beobachtet

Die FINMA-Aufsichtsmitteilung 05/2025 vom 10. November 2025 wertet eine Datenerhebung per 31. Dezember 2024 bei 267 Banken, Wertpapierhäusern, Finanzgruppen und Finanzmarktinfrastrukturen aus. Die wichtigsten Befunde:

• Die Hälfte der Institute hat höchstens 3 kritische Funktionen definiert, die Spannweite reicht von 1 bis 36. Rund zwei Drittel der etwa 300 Freitextnennungen waren keine kritischen Funktionen, sondern Prozesse oder Ressourcen, etwa IT-Betrieb oder Backoffice.
• 71 % der genannten kritischen Funktionen hängen direkt oder indirekt von Dritten ab.
• Die mittlere Hälfte der Unterbrechungstoleranzen liegt zwischen 24 und 72 Stunden. Toleranzen über 240 Stunden (10 Tage) soll das Oberleitungsorgan überprüfen. Toleranzen, die aus der vorhandenen Wiederherstellungsfähigkeit abgeleitet werden («Reverse Engineering»), entsprechen nicht den Anforderungen.
• 85 % der Institute der Aufsichtskategorien 1 bis 3 hatten zum Stichtag noch keine Tests durchgeführt.
• Die Koordination von OpRisk, BCM, Drittparteienmanagement und Notfallplanung war erst bei 12–15 % der Institute der Kategorien 1 bis 3 umgesetzt.

Seit dem 1. Januar 2026 müssen alle Institute, unabhängig von ihrer Aufsichtskategorie, Massnahmen zur Sicherstellung der operationellen Resilienz unter schwerwiegenden, aber plausiblen Szenarien ergreifen. Die FINMA kündigt an, ihre institutsspezifische Aufsicht zu intensivieren und Szenarioanalysen auszubauen.

Welche Arbeitspakete folgen aus dem Rundschreiben?

Aus FINMA-RS 2023/1 folgen zehn Arbeitspakete, von der Identifikation kritischer Funktionen bis zur Berichterstattung an das Oberleitungsorgan. Die Tabelle ordnet jede Anforderung einem Arbeitspaket und einer typischen Rolle zu.

Besonders arbeitsintensiv sind meist das Inventar und die Drittparteien. Der FINMA-Risikomonitor 2025 hält fest, dass fast die Hälfte der gemeldeten Cybervorfälle Dritte betraf, und verlangt robustere Kontrollen bei kritischen Auslagerungen. Für die Auslagerung selbst verweist das Rundschreiben auf das FINMA-RS 2018/3 «Outsourcing», das laut FINMA-Liste der geltenden Rundschreiben in Kraft ist. Wer zugleich EU-Gesellschaften führt, koordiniert die Arbeit mit den DORA-Arbeitspaketen für Legal und Compliance.

Welche Rollen und welche Kapazität braucht die Umsetzung?

Die Verantwortung für die operationelle Resilienz liegt beim Oberleitungsorgan, das kritische Funktionen und Toleranzen genehmigt; die Arbeit verteilt sich auf erste Linie, Risikokontrolle, Compliance, Legal und IT.

• Oberleitungsorgan und Geschäftsleitung: genehmigen, überwachen und entscheiden über die Risikotoleranz.
• Erste Linie (Business, Operations, IT): kennt Prozesse und Abhängigkeiten, liefert Business-Impact-Analysen und nimmt an Tests teil.
• Risikokontrolle und Operational Risk: Methode, Inventar, Kennzahlen, Bericht.
• Compliance und Legal: Auslagerungsverträge, Meldepflichten, Governance-Dokumente, grenzüberschreitendes Geschäft.
• Interne Revision: unabhängige Beurteilung des Rahmenwerks und der Tests.

Wann temporäre Unterstützung sinnvoll ist

• Tests oder Inventar müssen nach Feststellungen der Prüfgesellschaft oder der FINMA rasch nachgeholt werden.
• Viele Auslagerungs- und Dienstleisterverträge sind auf RTO/RPO, Prüf- und Ausstiegsrechte zu prüfen.
• Eine Stelle in Operational Risk, BCM oder Compliance ist vakant.
• Parallele Vorhaben binden das Team, etwa die Weiterentwicklung des internen Kontrollsystems.

Alpinum Solutions stellt Banken und Wertpapierhäusern in der Schweiz Risk-, Compliance- und Legal-Fachkräfte über Staff Leasing oder Freelancing bereit, in Teilzeit oder Vollzeit, als Einzelperson oder Team. Im Staff Leasing ist die Fachkraft in die Organisation integriert und das Institut erteilt die fachlichen Weisungen; im Freelancing arbeitet sie eigenverantwortlich im Rahmen des vereinbarten Mandats. Typische Einsätze im Finanzsektor beschreibt der Beitrag Interim Legal & Compliance für Banken und Finanzinstitute.

Beispiel (Annahme)

Eine Bank der Aufsichtskategorie 3 hat ihre kritischen Funktionen genehmigt, aber noch keine Tests durchgeführt. Rund 40 Dienstleisterverträge sind nicht auf RTO/RPO und Ausstiegsregeln geprüft. Ein temporäres Team aus einer erfahrenen Operational-Resilience-Fachkraft (Vollzeit, sechs Monate) und einem Legal Counsel für Outsourcingverträge (50 %, vier Monate) plant die Tests, ergänzt das Inventar und bereitet Vertragsanpassungen vor. Die Bank steuert den Einsatz über die Risikokontrolle. Alle Zahlen sind Annahmen zur Veranschaulichung.

Grenzen und Risiken

• Verantwortung bleibt beim Institut: Genehmigungen des Oberleitungsorgans lassen sich nicht delegieren. Temporäre Fachkräfte bereiten vor und setzen um.
• Keine Rechtsberatung: Alpinum ist keine Kanzlei. Auslegungsfragen zum Aufsichtsrecht klärt das Institut mit Prüfgesellschaft, Kanzlei oder FINMA.
• Zugriff auf kritische Daten: Das Rundschreiben verlangt, interne und externe Personen mit Zugriff auf kritische Daten sorgfältig auszuwählen, zu überwachen und zu schulen. Das gilt auch für temporäre Fachkräfte; Hinweise dazu enthält der Beitrag Vertraulichkeit und Zugriffe bei temporärer Unterstützung.
• Abgrenzung zur Auslagerung: Outsourcing nach FINMA-RS 2018/3 setzt voraus, dass ein Dienstleister eine wesentliche Funktion selbständig und dauernd erfüllt. Eine Fachkraft im Personalverleih arbeitet dagegen eingegliedert und nach Weisung des Instituts (Art. 26 AVV) und gilt deshalb in der Regel nicht als Auslagerung. Bei einem Freelance-Mandat oder der Vergabe eines Arbeitspakets ist die Einordnung vorab zu klären.
• Wissen sichern: Inventar, Testberichte und Toleranzbegründungen gehören in die Dokumentation des Instituts, nicht in persönliche Ablagen.

Häufige Fragen zum FINMA-Rundschreiben 2023/1

Gilt das Rundschreiben für alle Banken?

Ja. FINMA-RS 2023/1 richtet sich an alle Banken nach Art. 1a BankG, Personen nach Art. 1b BankG, Wertpapierhäuser sowie Finanzgruppen und -konglomerate. Der Umfang ist proportional: Institute der Aufsichtskategorien 4 und 5 sind von einzelnen Randziffern befreit, etwa von den Tests nach Rz 110. Seit dem 1. Januar 2026 müssen aber alle Institute Massnahmen zur Sicherstellung der operationellen Resilienz ergreifen.

Was sind kritische Funktionen?

Kritische Funktionen sind Aktivitäten, Prozesse und Dienstleistungen, deren Unterbrechung die Weiterführung des Instituts oder seine Rolle im Finanzmarkt gefährden würde (Rz 14). Am häufigsten nannten die Institute in der FINMA-Datenerhebung den Zahlungsverkehr (73 %). IT-Betrieb, Kernbankensystem oder regulatorisches Reporting sind laut FINMA keine kritischen Funktionen, sondern Ressourcen oder Prozesse.

Wie oft muss das Oberleitungsorgan genehmigen?

Das Oberleitungsorgan genehmigt die kritischen Funktionen und ihre Unterbrechungstoleranzen mindestens jährlich (Rz 103). Ebenfalls mindestens jährlich genehmigt es die Risikotoleranz für operationelle Risiken. Zur operationellen Resilienz erhalten Oberleitungsorgan und Geschäftsleitung mindestens einmal im Jahr einen Bericht, zusätzlich bei wesentlichen Kontrollschwächen oder Vorfällen (Rz 105).

Gilt das Rundschreiben auch für Versicherer?

Nein. Adressaten von FINMA-RS 2023/1 sind Banken, Personen nach Art. 1b BankG, Wertpapierhäuser sowie Finanzgruppen und -konglomerate. In der Aufsichtsmitteilung 05/2025 schreibt die FINMA, sie beobachte internationale Entwicklungen und prüfe, ob eine Ausweitung der Anforderungen auf andere beaufsichtigte Institute angezeigt wäre. Versicherer sollten diese Entwicklung verfolgen.

Wie verhält sich das Rundschreiben zu DORA?

DORA gilt seit dem 17. Januar 2025 unmittelbar für Finanzunternehmen in der EU (Art. 64 DORA), FINMA-RS 2023/1 für Schweizer Institute. Inhaltlich überschneiden sich beide bei IKT-Risiken, Drittdienstleistern, Vorfallmeldungen und Tests. Gruppen mit Gesellschaften in der Schweiz und in der EU sollten Inventare, Verträge und Tests deshalb gemeinsam planen.

Nächster Schritt

Wenn Tests, Inventar oder Vertragsprüfungen nach FINMA-RS 2023/1 die eigene Kapazität übersteigen, stellt Alpinum Risk-, Compliance- und Legal-Fachkräfte bereit. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

• Risk Management, Internal Controls & Governance
• DORA: juristische und Compliance-Arbeitspakete
• Internes Kontrollsystem aufbauen und testen
• Bedarf besprechen

Stand: 30. Oktober 2026.