V vom 14. Januar 2025 über die Tätigkeit und Beaufsichtigung von Banken, Finanzholdinggesellschaften und gemischten Finanzholdinggesellschaften (Bankenverordnung; BankV)

Art. 11 Interner Kontrollrahmen und interne Kontrollmechanismen

1) Die Bank hat über einen angemessenen internen Kontrollrahmen und interne Kontrollmechanismen ("internes Kontrollsystem") zu verfügen. Darunter werden alle Reglemente, Richtlinien, Mechanismen und Verfahren verstanden, die Folgendes sicherstellen: a) wirksame und effiziente Betriebsabläufe; b) die umsichtige Führung der Geschäfte; c) die angemessene Ermittlung, Messung, Beurteilung, Steuerung, Minderung, Überwachung und Berichterstattung von Risiken; d) die Zuverlässigkeit der finanziellen und nichtfinanziellen internen und externen Berichterstattung; e) solide Verwaltungs- und Rechnungslegungsverfahren; sowie f) die Einhaltung von Gesetzen, Verordnungen, Entscheidungen und Verfügungen der FMA sowie von Reglementen, interner Richtlinien, Verfahren, Regelungen und Entscheidungen der Bank. 2) Der interne Kontrollrahmen hat sich auf die gesamte Organisation, einschliesslich der Zuständigkeiten und Aufgaben des Verwaltungsrats und der Geschäftsleitung, sowie die Tätigkeiten aller Geschäftsbereiche und internen Einheiten, einschliesslich der internen Kontrollfunktionen, ausgelagerten Tätigkeiten und Vertriebskanäle, zu erstrecken. Die organisatorischen Massnahmen des internen Kontrollrahmens sind in die betrieblichen Arbeitsabläufe integriert, d.h. sie erfolgen arbeitsbegleitend oder sind dem Arbeitsvollzug unmittelbar vor- oder nachgelagert. 3) Banken haben zumindest über folgende interne Kontrollmechanismen zu verfügen: a) Überwachung durch Verwaltungsrat und Geschäftsleitung: Verwaltungsrat und Geschäftsleitung erhalten regelmässig Performance-Berichte und prüfen diese kritisch (z.B. Entwicklung der Finanzresultate im Verhältnis zu Budget und Zielsetzungen); die Frequenz dieser Berichterstattung richtet sich nach Art, Umfang und Komplexität der Geschäfte der Bank; b) Aktivitätskontrollen: Alle betroffenen Hierarchieebenen erhalten regelmässig stufengerechte Performance-Berichte und prüfen diese kritisch; die Frequenz dieser Berichterstattung richtet sich nach Art, Umfang und Komplexität der Geschäfte der Bank; c) physische Kontrollen: Vier-Augen-Prinzip, Begrenzung des technischen Zugangs zu Barschaften und Wertgegenständen, periodische Inventarisierung; d) Überprüfung der Einhaltung vorgegebener Limiten: Die vorgegebenen Limiten werden regelmässig überprüft und gegebenenfalls angemessene Massnahmen getroffen; e) (Finanz-)Kompetenzen und Autorisationen: regelmässige und sporadische Kontrollen der Einhaltung für ausgewählte Transaktionen; f) Überprüfung und Abstimmung von Transaktionen sowie Risikomanagement-Modellen. 4) Das interne Kontrollsystem hat flexibel ausgestaltet zu sein, um auf neue oder bisher unkontrollierte Risikoarten rasch und angemessen reagieren zu können. Für ein wirksames internes Kontrollsystem sind interne sowie externe angemessene entscheidungsrelevante Informationen zuverlässig, zeitgerecht, zugänglich und in konsistenter Form aufzubereiten. Die Bank hat über ein geeignetes Management-Informationssystem (MIS) zu verfügen, das alle relevanten Informationen über die betrieblichen Geschäftsfelder zuverlässig und zeitgerecht erhebt, verteilt und bearbeitet. 5) Die Angemessenheit und Wirksamkeit des internen Kontrollsystems sind laufend zu überwachen. Der Verwaltungsrat definiert die entsprechenden Verantwortlichkeiten. Durchgeführte Kontrollen sowie die Resultate sind nachvollziehbar in geeigneter Weise zu dokumentieren. Im Falle der Feststellungen von Abweichungen und Mängeln ist sicherzustellen, dass Korrekturmassnahmen eingeleitet werden. Die geeigneten Stellen und Hierarchiestufen sind zeitgerecht über entsprechende Resultate, Probleme und Massnahmen zu informieren; schwerwiegende Fälle sind dem Verwaltungsrat und der Geschäftsleitung zu berichten. 6) Die Geschäftsleitung hat sicherzustellen, dass den jeweiligen Mitarbeitenden die Einzelnen für ihre Tätigkeit relevanten Reglemente, internen Richtlinien, Mechanismen und Verfahren kommuniziert und die Mitarbeitenden angemessen geschult werden. Alle Mitarbeitenden haben die übergeordneten Grundsätze und Abläufe des internen Kontrollsystems zu kennen.