Kritisch-wichtige Funktionen sind kritische Prozesse – oder etwa nicht!?

Die aktuelle Aufsichtsmitteilung 05/2025 der FINMA zur operationellen Resilienz hat meine Sichtweise auf kritische oder wichtige Funktionen – und vor allem darauf, wie man sie identifiziert – grundlegend verändert. Bislang bin ich – wie wahrscheinlich viele von uns – davon ausgegangen, dass wir unsere Prozesslandkarten „einfach“ analysieren müssten und mithilfe von Methoden wie der Business Imp…

Die aktuelle Aufsichtsmitteilung 05/2025 der FINMA zur operationellen Resilienz hat meine Sichtweise auf kritische oder wichtige Funktionen – und vor allem darauf, wie man sie identifiziert – grundlegend verändert.

Bislang bin ich – wie wahrscheinlich viele von uns – davon ausgegangen, dass wir unsere Prozesslandkarten „einfach“ analysieren müssten und mithilfe von Methoden wie der Business Impact Analyse (BIA) die „kritischen oder kritischen Funktionen“ (kwF) identifizieren könnten.

Doch offenbar sind wir alle einer Fehlannahme aufgesessen: Wir haben den Begriff Funktion stillschweigend mit Prozess gleichgesetzt. Und genau hier hat uns die FINMA in ihrer Mitteilung nun eine klare Ansage gemacht. Sie stellt nämlich klar, dass eine Funktion

„… das Geschäftsmodell eines Instituts widerspiegelt und klar von Prozessen, Aktivitäten und zugrunde liegenden Ressourcen abzugrenzen ist.“

Dem folgt eine Aufzählung, was aus Sicht der FINMA eben keine kritischen Funktionen, sondern bestenfalls wichtige Prozesse sind. Dazu zählen beispielsweise:

• Postwesen
• IT-Betrieb
• Front- und Backoffice
• regulatorisches Reporting
• Risikomanagement, oder
• Kundenbewirtschaftung

💥 Bäm – die Ansage sitzt!

Aber was genau ist dann eigentlich eine Funktion? Und worin unterscheidet sie sich wirklich von einem Prozess?

Mein Versuch einer Herleitung

Ich habe mir die Ausführungen der FINMA zur Identifikation der kritischen Funktionen und die zugehörige Liste genauer angesehen – und sie mit den Strukturen unserer typischen Prozesslandkarten abgeglichen. Damit komme ich zu folgenden Arbeitshypothesen:

1️⃣ Wir müssen zwischen bankfachlichen und unterstützenden Funktionen sowie zugehörigen Prozessen unterscheiden! Funktionen beschreiben das „Was eine Bank macht“ und Prozesse beschreiben „Wie eine Bank arbeitet“.

2️⃣ Bankfachliche Funktionen beziehen sich auf die eigentliche Geschäftstätigkeit einer Bank – also auf die Erbringung von Bankdienstleistungen und -produkten. Sie sind in der Regel genehmigungspflichtig und eng mit den lizenzierungs- und registrierungspflichtigen Tätigkeiten einer Bank verknüpft. Man kann sie durch eine strategische Top-down-Sicht auf die Betriebsprozesse (auch Kernprozesse) einer Bank ableiten.

3️⃣ Unterstützende Funktionen ermöglichen die bankfachlichen Funktionen, stellen aber keine eigenständigen Marktleistungen dar. Sie lassen sich aus den Unterstützungs- und Managementprozessen einer Bank ableiten und beschreiben (ebenfalls aus einer Top-down-Sicht), was „sonst noch so“ gemacht werden muss, damit eine Bank ihre Produkte und Dienstleistungen anbieten kann.

4️⃣ Im Unterschied zu Funktionen beschreiben Prozesse, wie eine Bank arbeitet – also welche operativen (bankfachlichen oder unterstützenden) Tätigkeiten und Arbeitsschritte ausgeführt werden müssen, um die übergeordneten Funktionen erfüllen zu können. Prozesse sind sozusagen die atomaren Bausteine, um Funktionen zu ermöglichen.

Mein methodischer Ansatz

Auf Basis dieser Definitionen habe ich eine Referenzprozesslandkarte aus dem Bankensektor (APQC’s Process Classification Framework®) durchgearbeitet und mein Cheatsheet zu den lizenzierten Tätigkeiten hinzugezogen. Ich wollte herausfinden, welche typischen Bankprozesse in Verbindung mit den registrierungs- und zulassungspflichtigen Tätigkeiten stehen.

Darauf aufbauend habe ich (in Zusammenarbeit mit meinen KI-Agenten) die nachstehende Funktionsübersicht entwickelt. Sie stellt eine Top-down-Betrachtung dar, wie sie von der FINMA eingefordert wird, und zeigt, welche Leistungen auf der obersten strategischen Ebene stehen – also was die Bank tut.

Die Übersicht enthält farblich gekennzeichnet auch die sechs von der FINMA benannten kritischen Funktionen sowie weitere bankfachliche und unterstützende Funktionen, die ich auf Basis der Prozesslandkarte ableiten konnte.

Mein erstes Bauchgefühl zu diesem Modell ist eigentlich gut, denn ich habe den Eindruck, dass alle dargestellten Funktionen eine vergleichbare Flughöhe aufweisen und eine gewisse Vollständigkeit über die Bankthemen hinweg besteht. Ich sehe sogar eine Nähe zu unseren typischen Prozessclustern, die wir üblicherweise nutzen, um Kern-, Unterstützungs- und Managementprozesse der Bank zu kategorisieren.

Ein Störgefühl bleibt

Hinsichtlich der Vollständigkeit der kritischen oder wichtigen Funktionen habe ich jedoch ein Störgefühl – möglicherweise aufgrund eines Schweizer Sonderwegs, denn dort werden kritische Funktionen wie folgt definiert:

„Kritische Funktionen beinhalten: a. die Aktivitäten, Prozesse und Dienstleistungen, inklusive der für ihre Erbringung notwendigen zugrunde liegenden Ressourcen, deren Unterbrechung die Weiterführung des Instituts oder seine Rolle im Finanzmarkt und damit die Funktionsfähigkeit der Finanzmärkte gefährden würde; und b. die systemrelevanten Funktionen nach Art. 8 BankG.“

Wenn man unsere kwF-Definition gemäß DORA genauer betrachtet, fällt auf, dass sie weiter gefasst ist. Es geht nämlich nicht nur um Funktionen, deren Ausfall die Fortführung des Instituts gefährden würde sondern auch um Funktionen deren Störung die solide Weiterführung der Geschäfte und die dauerhafte Einhaltung von Zulassungsbedingungen gefährden könnte.

Insofern würde ich die Sichtweise der FINMA für die DORA-regulierten Banken nicht vollständig teilen. Denn auch wenn die FINMA der Auffassung ist, dass IT-Betrieb oder Risikomanagement keine kritischen Funktionen im Sinne der Schweizer Bankenregulatorik seien, würde ich behaupten: Ohne diese Funktionen kann bei uns keine Bank dauerhaft eine solide Fortführung ihrer Geschäftstätigkeiten und die fortlaufende Einhaltung der Zulassungsbedingungen und -verpflichtungen gewährleisten.

Ich bin gespannt, wie ihr das seht: Passen die Funktionsbezeichnungen aus eurer Sicht? Und was denkt ihr über die Rolle von Informationstechnologie und Risikomanagement im Kontext kritischer oder wichtiger Funktionen?

Habt einen tollen Tag 🙂