Operationelle Resilienz
Operationelle Resilienz ist die Fähigkeit einer Bank, ihre kritischen Funktionen bei schwerwiegenden, aber plausiblen Ereignissen innerhalb der Unterbrechungstoleranz wiederherzustellen.
Das FINMA-Rundschreiben 2023/1 definiert operationelle Resilienz als Fähigkeit eines Instituts, seine kritischen Funktionen bei Unterbrechungen innerhalb der Unterbrechungstoleranz wiederherzustellen. Dazu gehört, Bedrohungen und mögliche Ausfälle zu erkennen, sich davor zu schützen, darauf zu reagieren, den ordentlichen Betrieb wiederherzustellen und daraus zu lernen. Die Frage lautet damit nicht mehr, ob ein Business-Continuity-Plan existiert, sondern ob die kritischen Funktionen innerhalb der vom Verwaltungsrat akzeptierten Grenzen bleiben. Das Rundschreiben trat am 1. Januar 2024 in Kraft, die zweijährige Übergangsfrist für die Sicherstellung der operationellen Resilienz endete am 1. Januar 2026.
Der Verwaltungsrat genehmigt die kritischen Funktionen und ihre Unterbrechungstoleranzen mindestens jährlich und genehmigt und überwacht regelmässig den Ansatz zur Sicherstellung der Resilienz. In der EU deckt DORA die IKT-Dimension als digitale operationale Resilienz ab und macht das Leitungsorgan für den IKT-Risikomanagementrahmen verantwortlich; die Verordnung gilt seit dem 17. Januar 2025. Beide stützen sich auf die Grundsätze des Basler Ausschusses zur operationellen Resilienz von 2021.
Häufige Schwachstellen sind Toleranzen, die nur als IT-Wiederherstellungszeiten definiert sind, Abhängigkeitsanalysen ohne Drittparteien und Daten, Tests, die sich auf kurze Ausfälle beschränken statt schwerwiegende, aber plausible Szenarien über Wochen oder Monate abzubilden, und Resilienz als Projekt statt als dauerhafte Fähigkeit.
In der Praxis
- 01Führt ein Inventar der kritischen Funktionen mit ihren Toleranzen und den Prozessen, Personen, Systemen, Daten, Standorten und Drittparteien, von denen sie abhängen.
- 02Testet regelmässig, ob die kritischen Funktionen in schwerwiegenden, aber plausiblen Szenarien, auch bei langen Unterbrechungen, innerhalb der Toleranz bleiben.
- 03Führt operationelles Risiko, IKT- und Cyber-Risiko, Business Continuity Management und Outsourcing-Management zu einer gemeinsamen Resilienzsicht zusammen.
- 04Berichtet dem Verwaltungsrat mindestens jährlich sowie bei wesentlichen Kontrollschwächen oder Vorfällen, welche die Resilienz gefährden.
- 05Überführt die Erkenntnisse aus Vorfällen und Tests in Massnahmen mit Verantwortlichen und Fristen.
Wie MRM-Solution unterstützt
- 01Pro Anforderung sehen, ob Weisung, Prozess und Governance sowie Kontrollen sie tragen: drei Lampen, und es zählt die schwächste.
- 02Kontrollen an die Aktivitäten hängen, die sie absichern, Tests erfassen oder Ergebnisse im eigenen Tabellenformat importieren und Mängel bis zur Behebung verfolgen.
Zu schön, um wahr zu sein? Dann sollten wir reden.
30 Minuten. Ihr Anwendungsfall, maximale Wirkung.
info@mrm-solution.com