EN
FR
IT
العربية
Inhalt 5
Gartner ordnet den GRC-Softwaremarkt 2025 einer neuen Wachstumsphase zu, getrieben durch KI und sich wandelnde Cyberrisiken. Hinter dieser Marktbewegung steht eine leisere, aber folgenreichere Verschiebung: weg von der stichprobenartigen Kontrollprüfung, hin zu einer laufenden Beobachtung von Risiken und Kontrollen. Diese Verschiebung ist zunächst kein technisches Thema, sondern eines der Governance. Wer laufend beobachtet, muss auch laufend Verantwortung zuordnen, berichten und entscheiden können.
Der Übergang von periodischer Kontrollprüfung zu kontinuierlichem Monitoring verdichtet vor allem Governance-Pflichten: Institute müssen Risiken lückenlos inventarisieren, Zuständigkeiten zwischen den drei Linien klären und Berichtswege an Geschäftsleitung und Verwaltungsrat konkretisieren. Aufsichtsbehörden wie die FINMA schreiben dabei keine bestimmte Überwachungstechnologie vor, sondern verlangen nachvollziehbare, aktuelle Nachweise, unabhängig davon, wie oft geprüft wird.
Was verlangen die Aufsichtstexte tatsächlich?
Weder das FINMA-Rundschreiben 2023/1 noch die EBA-Leitlinien zu IKT-Risiken schreiben kontinuierliches Monitoring als verbindliche Methode vor, beide verdichten aber die Anforderungen an Inventare und Governance.
Das totalrevidierte FINMA-Rundschreiben 2023/1 zu operationellen Risiken und Resilienz wurde am 13. Dezember 2022 verabschiedet und trat am 1. Januar 2024 in Kraft, wie Lexology am 19. Januar 2023 berichtete. Es ist prinzipienbasiert und technologieneutral formuliert und verlangt ein institutsübergreifend einheitliches Inventar operationeller Risiken.
Innerhalb von zwei Jahren nach Inkrafttreten müssen Institute laut InfoGuard die operationelle Resilienz sicherstellen und weitere Anforderungen aus dem Rundschreiben erfüllen. Diese Frist betrifft die Substanz der Nachweise, nicht die Häufigkeit der Prüfung dahinter.
Bleibt die periodische Prüfung trotzdem bestehen?
Ja, punktuelle Instrumente wie Vor-Ort-Kontrollen bleiben ein zentrales Aufsichtsinstrument, während bestimmte Pflichten parallel laufend überwacht werden.
Die FINMA führte 2024 111 Vor-Ort-Kontrollen bei Banken, 55 bei Versicherungen und 20 im Bereich Asset Management durch, wie finews.ch am 8. April 2025 meldete. Gleichzeitig beschreibt die FINMA die laufende Überwachung der Geldwäschereivorschriften als Daueraufgabe.
Für Risiko- und Compliance-Funktionen bedeutet das zwei parallele Nachweislinien: laufend aktuelle Daten für den fortlaufenden Teil der Aufsicht und auditfähige Dokumentation für punktuelle Prüfungen. Beide Linien brauchen dieselbe Datenbasis, aber unterschiedliche Aufbereitung.
Zwei parallele Nachweislinien entstehen: laufende Daten für Daueraufgaben, auditfähige Dokumentation für Vor-Ort-Kontrollen.
Was ändert das Three Lines Model an der Zusammenarbeit?
Das IIA hat sein Modell 2020 umbenannt und damit Zusammenarbeit und Rechenschaft stärker betont als reine Abwehr, ohne die Ressourcenverteilung zwischen den Linien konkret vorzugeben.
Am 20. Juli 2020 veröffentlichte das IIA das grosse Update zum Three Lines Model, das den Begriff defense bewusst strich, um zu signalisieren, dass der Zweck über reine Schutzmassnahmen hinausgeht, wie Diligent am 19. Dezember 2025 einordnete.
Eine Analyse der Universität St. Gallen hält fest, dass das Modell erstmals eine explizite Definition des Assurance-Begriffs einführte, die in den IIA-Standards zuvor fehlte. Wie sich das konkret auf Stellenprofile oder Ressourcen zwischen erster, zweiter und dritter Linie auswirkt, benennen weder IIA noch die hier verwendeten Aufsichtstexte im Detail.
Wie wirkt sich das auf die Unabhängigkeit der zweiten Linie aus?
Die EBA-Leitlinien verlangen ausdrücklich eine Trennung der Kontrollfunktion von den IKT-Betriebsprozessen, unabhängig davon, wie eng das Monitoring technisch verzahnt wird.
Die EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken sind seit dem 30. Juni 2020 anwendbar und richten sich laut Proper Banking erstmals direkt an Kreditinstitute und Zahlungsinstitute. Sie fordern Unabhängigkeit und Objektivität der Kontrollfunktion durch eine angemessene organisatorische Trennung.
Eine gemeinsame Datenbasis für Monitoring bedeutet also nicht automatisch gemeinsame Verantwortung. Governance-Vorgaben zu kritischen Funktionen verlangen weiterhin getrennte Zuständigkeiten, auch wenn die zugrunde liegenden Daten dieselben sind.
Was heisst das für Berichtswege an Geschäftsleitung und Verwaltungsrat?
Nach den acht Grundsätzen des FINMA-Rundschreibens berichtet die Risikokontrolle mindestens jährlich an den Verwaltungsrat und halbjährlich an die Geschäftsleitung, unabhängig von der Prüfmethode im Hintergrund.
Der Verwaltungsrat muss laut KPMG mindestens jährlich die kritischen Funktionen der Bank und deren Unterbrechungstoleranzen genehmigen, wie Redguard am 24. Mai 2024 zusammenfasste. Auch auf EU-Ebene verdichtet sich der Rahmen: Die Verordnung DORA trat am 16. Januar 2023 in Kraft und galt ab dem 17. Januar 2025 unmittelbar für fast alle Finanzunternehmen, wie KPMG und Orbiq festhalten.
Diese Berichtsfristen ändern sich durch häufigere Datenpunkte nicht von selbst. Wer laufend überwacht, sollte trotzdem prüfen, ob die bestehenden ICT-Risikokontrollen die richtigen Punkte für die nächste Berichterstattung liefern.
Ein konkreter erster Schritt: Die Risiko- oder Compliance-Funktion gleicht das bestehende Kontrollinventar mit den Berichtszyklen an Verwaltungsrat und Geschäftsleitung ab, bevor der nächste reguläre Berichtstermin ansteht, und hält Lücken dazu schriftlich fest.
Kontrollinventar und Nachweise an einem Ort
Die Lösung für das interne Kontrollsystem bündelt Kontrollinventar und Testnachweise. Sie unterstützt sowohl periodische Prüfzyklen als auch laufend aktualisierte Nachweise.
Internes KontrollsystemHäufige Fragen
Schreibt die FINMA eine bestimmte Monitoring-Technologie vor?
Nein. Sowohl das FINMA-Rundschreiben 2023/1 als auch die EBA-Leitlinien zu IKT-Risiken sind technologieneutral formuliert. Sie verlangen nachvollziehbare, aktuelle Nachweise zu Risiken und Kontrollen, schreiben aber keine bestimmte Überwachungsmethode oder Prüfhäufigkeit vor. Institute können periodische und kontinuierliche Ansätze kombinieren, solange die Governance-Anforderungen erfüllt sind.
Wie viele Vor-Ort-Kontrollen führte die FINMA 2024 durch?
Die FINMA führte 2024 laut finews.ch 111 Vor-Ort-Kontrollen bei Banken, 55 bei Versicherungen und 20 im Bereich Asset Management durch. Diese Zahlen zeigen, dass punktuelle Prüfinstrumente trotz zunehmendem kontinuierlichem Monitoring ein zentrales Aufsichtsinstrument bleiben und nicht durch laufende Datenerhebung ersetzt werden.
Was änderte das Three Lines Model 2020 konkret?
Das IIA benannte sein Modell am 20. Juli 2020 um und strich den Begriff defense, um Zusammenarbeit und Rechenschaft stärker zu betonen. Erstmals wurde der Assurance-Begriff explizit definiert. Wie sich dies auf Stellenprofile oder Ressourcen zwischen den drei Linien auswirkt, bleibt offen.
Wie oft muss die Risikokontrolle laut FINMA an die Geschäftsleitung berichten?
Nach den acht Grundsätzen des FINMA-Rundschreibens 2023/1 berichtet die Risikokontrolle mindestens jährlich an den Verwaltungsrat und mindestens halbjährlich an die Geschäftsleitung. Diese Fristen gelten unabhängig davon, ob die zugrunde liegenden Daten periodisch oder kontinuierlich erhoben werden.
Was ist ein sinnvoller erster Schritt beim Übergang zu kontinuierlichem Monitoring?
Die Risiko- oder Compliance-Funktion sollte das bestehende Kontrollinventar mit den Berichtszyklen an Verwaltungsrat und Geschäftsleitung abgleichen, bevor der nächste reguläre Berichtstermin ansteht. Festgestellte Lücken werden schriftlich dokumentiert, damit die Datenbasis für beide Nachweislinien konsistent bleibt.
- Effective supervision creates a stable financial systemFINMA
- Three Lines Model und der Assurance-BegriffUniversität St. Gallen, Expert Focus
