Kritische Funktionen
Kritische Funktionen sind Aktivitäten, Prozesse und Dienstleistungen samt Ressourcen, deren Unterbrechung die Weiterführung einer Bank oder ihre Rolle im Finanzmarkt gefährden würde.
Nach dem FINMA-Rundschreiben 2023/1 umfassen kritische Funktionen die Aktivitäten, Prozesse und Dienstleistungen, inklusive der für ihre Erbringung notwendigen Ressourcen, deren Unterbrechung die Weiterführung des Instituts oder seine Rolle im Finanzmarkt gefährden würde, sowie die systemrelevanten Funktionen nach Art. 8 BankG. Für jede kritische Funktion ist eine Unterbrechungstoleranz zu definieren, etwa als maximale Dauer oder erwarteter Schaden, unter Berücksichtigung schwerwiegender, aber plausibler Szenarien.
DORA verwendet ein verwandtes, aber anderes Konzept: Eine kritische oder wichtige Funktion ist eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit, die Solidität oder Fortführung der Dienstleistungen oder die Einhaltung der Zulassungsbedingungen erheblich beeinträchtigen würde. Der Unterschied ist für Gruppen mit Tätigkeit in der Schweiz und in der EU wichtig, weil die beiden Listen nicht automatisch übereinstimmen.
Für den Verwaltungsrat ist die Liste der kritischen Funktionen ein strategischer Entscheid: Die FINMA verlangt, dass er die Funktionen und ihre Toleranzen mindestens jährlich genehmigt. Typische Fehler sind Listen, die das Organigramm abbilden statt der Leistungen, auf die Kunden und Märkte angewiesen sind, Funktionen, die so breit definiert sind, dass sich Abhängigkeiten nicht abbilden lassen, und Inventare, die nach Auslagerungen oder Systemwechseln nicht nachgeführt werden.
In der Praxis
- 01Leitet die kritischen Funktionen aus den Leistungen ab, auf die Kunden und Märkte angewiesen sind, nicht aus internen Abteilungen.
- 02Führt ein mindestens jährlich überprüftes Inventar mit Toleranzen, kritischen Prozessen, Ressourcen und deren Abhängigkeiten.
- 03Dokumentiert für jede kritische Funktion die wesentlichen operationellen Risiken und Schlüsselkontrollen.
- 04Deckt jede kritische Funktion mit Business-Continuity-Plänen ab und testet diese gegen ihre Toleranz.
- 05Führt die separate DORA-Klassifizierung, wo EU-Einheiten betroffen sind, und gleicht beide Sichten ab.
Zu schön, um wahr zu sein? Dann sollten wir reden.
30 Minuten. Ihr Anwendungsfall, maximale Wirkung.
info@mrm-solution.com