Nach der Definition der FINMA gehören zu den kritischen Funktionen:

• die Aktivitäten, Prozesse und Dienstleistungen - einschliesslich der zugrundeliegenden Ressourcen, die für ihre Erbringung erforderlich sind -, deren Unterbrechung den Fortbestand der Organisation oder ihre Rolle auf dem Finanzmarkt und damit das ordnungsgemässe Funktionieren der Finanzmärkte gefährden würde; und
• die systemrelevanten Funktionen gemäss Artikel 8 des Bundesgesetzes über die Banken und Sparkassen (Bankengesetz; BankG).

Wir gehen davon aus, dass die FINMA nicht erwartet, dass Organisationen eine grosse Anzahl von kritischen Funktionen identifizieren. Das Hauptziel der Übung besteht darin, sich auf die kritischen End-to-End-Wertschöpfungsketten zu konzentrieren, die unbedingt erforderlich sind, um sicherzustellen, dass ein Mindestmass an tolerierbaren kritischen Diensten und Geschäftsergebnissen zu jedem Zeitpunkt bereitgestellt werden kann - selbst bei einem 'schweren, aber plausiblen' Störungsszenario (einer grösseren Krise).

Einige Beispiele für typische Kandidaten, die auch als kritische Funktionen für ausgewählte Organisationen in Frage kommen, sind das inländische Einlagen- und Kreditgeschäft sowie der Zahlungsverkehr. Die Ermittlung der kritischen Funktionen ist jedoch eine Aufgabe, die jede Organisation individuell angehen muss und die stark vom Geschäftsmodell der Organisation abhängt. Ein Vermögensverwalter wird wahrscheinlich das Portfoliomanagement als kritische Funktion einstufen, während eine Privatkundenbank eher die Bedienung von Kundenkrediten als kritische Funktion ihres Geschäfts ansehen wird.

Um zu beurteilen, ob eine Funktion in einer Organisation als "kritisch" eingestuft wird, sollte ein qualitativer Bewertungsansatz im Vordergrund stehen. Im Folgenden finden Sie einige Beispiele für ein umfassendes 'aide memoire', das von Organisationen individuell entwickelt werden kann und den qualitativen Bewertungsprozess unterstützt:

Die Entscheidung, ob eine Funktion innerhalb der Organisation als "kritisch" eingestuft wird, liegt letztlich bei der Geschäftsleitung und dem Vorstand. Die sorgfältige Ausarbeitung und Dokumentation der Gründe, auf deren Grundlage eine kritische Funktion identifiziert wurde, und die anschliessende Untermauerung dieser Gründe mit zusätzlichen Datenbelegen wird dazu beitragen, dass a) die erforderliche Zustimmung der Geschäftsleitung eingeholt wird und b) die Anfechtbarkeit und Überprüfbarkeit zu einem späteren Zeitpunkt gewährleistet ist.

Traditionelle Aktivitäten des Business Continuity Management (BCM) konzentrieren sich auf die Festlegung von Wiederherstellungszeitzielen (RTOs) für die kritischen Prozesse eines Unternehmens. RTOs definieren die gewünschte Wiederherstellungszeit, d.h. bis wann ein Prozess vollständig zum normalen Betrieb zurückkehren sollte. Auch mit den neuen Anforderungen an die operative Widerstandsfähigkeit bleibt BCM wichtig und wird von der Aufsichtsbehörde gefordert (siehe auch FINMA-Rundschreiben 2023/1 - Kapitel IV E).

Die Krisen der Vergangenheit haben jedoch gezeigt, dass bei schweren, aber plausiblen Störungsszenarien wie einem gross angelegten Cyberangriff und einem vollständigen Ausfall der IKT in der Regel mehrere Prozesse parallel ausfallen, so dass herkömmliche BCM-Massnahmen unwirksam sind, da sie auf isolierte Ausfälle abzielen. Daher ist es unwahrscheinlich, dass die gewünschten Wiederherstellungszeiten erreicht werden, damit alle Prozesse innerhalb der festgelegten RTOs wieder normal funktionieren. Das Unternehmen muss in solchen Szenarien Prioritäten setzen und die Krise erfolgreich meistern.

Hier kommen die neu eingeführten Toleranzen für die Unterbrechung von kritischen Funktionen ins Spiel. Die Toleranz für Unterbrechungen ist das Ausmass - die Dauer oder der erwartete Schaden - der Unterbrechung einer kritischen Funktion, das die Organisation bereit ist zu akzeptieren. Die Toleranzen müssen daher das Mindestmass an Dienstleistungen und Ergebnissen definieren, das von einer kritischen Funktion verlangt wird, um während einer Krise zu funktionieren, während der normale Betrieb für einen längeren Zeitraum nicht erreicht werden kann.

Bei der Festlegung von Toleranzen für die Unterbrechung kritischer Funktionen sollten Organisationen die folgenden Schritte berücksichtigen:

1. Formulieren Sie die Mindestdienstleistungen und -ergebnisse der Funktion, die erforderlich sind, um untragbaren Schaden für das Unternehmen, seine Kunden und den Finanzmarkt insgesamt zu vermeiden.
   
   Hinweis: Als ersten Ausgangspunkt kann das Unternehmen die zuvor entwickelten Gründe nutzen, warum die Funktion als "kritisch" eingestuft wird. Darüber hinaus können die bereits definierten RTO-Ziele der zugrunde liegenden Prozesse aus der BCM-Perspektive als Orientierung dienen.
   
   
2. Sammeln Sie zusätzliche Daten/Beweise zur Untermauerung und Rationalisierung der festgelegten Mindestdienstleistungen und -ergebnisse.
3. Dokumentieren Sie die Störungstoleranz in Form einer ergebnisorientierten Zielvorgabe. Dokumentieren Sie ausserdem die Gründe und zusätzlichen Daten/Beweise, warum die jeweilige Störungstoleranz gewählt wurde.