Die Kontrollfunktion lässt sich auslagern, die Verantwortung nicht
Die FINMA-Aufsichtsmitteilung 03/2026 wird als Eignungsfrage gelesen, doch ihre zweite Hälfte zielt auf das Risikomanagement des Instituts: Jedes Produkt muss vor dem Mandat eine risikobasierte Due Diligence durchlaufen (Art. 12 Abs. 4 FINIV). Wer Risikomanagement oder Compliance auslagert, behält die Verantwortung. Die Kontrolle bleibt beim Institut (Art. 17 Abs. 1, Art. 16 Abs. 3 FINIV).
Dr. iur. Servatius von Tatzenberg
Die Aufsichtsmitteilung 03/2026 der FINMA vom 3. Juni wird vor allem als Eignungsfrage gelesen. Die datierte Begründung im Kundendossier nach Art. 12 FIDLEG haben wir am 5. Juni behandelt. Die andere Hälfte der Mitteilung richtet sich an einen anderen Tisch in Ihrem Haus. Bevor ein riskantes Produkt ins Kundenportfolio gelangt, muss es durch das Risikomanagement des Instituts. Der Anker dafür ist Art. 12 Abs. 4 FINIV, nicht das FIDLEG.
Das Risikomanagement eines Vermögensverwalters muss die gesamte Geschäftstätigkeit erfassen — das ist Art. 12 Abs. 4 FINIV in seinem Grundsatz. Die FINMA liest diese Pflicht in der Aufsichtsmitteilung dahin, dass das Risikomanagement die Risiken der verwalteten Vermögen einschliessen muss — Konzentration, Liquidität, Bewertung und Interessenkonflikte. Jedes eingesetzte Finanzinstrument ist nach dieser Lesart einer risikobasierten Due Diligence zu unterziehen, vor dem Kauf und wiederkehrend danach. Die FINMA nennt die Warnzeichen bei nicht beaufsichtigten Produkten: fehlende geprüfte Abschlüsse, ausstehende Prüftestate, der Wechsel oder die Kündigung der Prüfgesellschaft. Wer ein Actively Managed Certificate oder das Papier eines unregulierten Emittenten ohne diese Prüfung ins Mandat nimmt, verletzt die Pflicht des Instituts, bevor die Eignungsfrage beim Kunden überhaupt beginnt.
Hier sitzt der Befund, der die kleinen Häuser trifft. Viele lagern Risikomanagement und Compliance an externe, nicht bewilligungspflichtige Dienstleister aus. In den Eskalationsfällen führte das laut FINMA zu standardisierten statt individuellen Kontrollen, zu unklaren Zuständigkeiten und zu Kontrolllücken. Die Verantwortung für die ausgelagerte Tätigkeit bleibt gleichwohl beim Institut (Art. 17 Abs. 1 FINIV). Es muss jederzeit genügend Ressourcen und Know-how behalten, um den Dienstleister zu überwachen (Art. 16 Abs. 3 FINIV). Der Auslagerungsvertrag muss zudem die Weisungs- und Kontrollrechte gegenüber dem Dienstleister ausdrücklich sichern.
Das ist keine Randfrage. Bis Ende 2025 hielten 1664 Vermögensverwalter und Trustees eine FINMA-Bewilligung, darunter viele kleine Häuser mit ausgelagerter Kontrolle. Die laufende Aufsicht übt eine Aufsichtsorganisation aus (Art. 43a Abs. 1 FINMAG). Direkt zuständig wird die FINMA erst, wenn die AO eine schwere Verletzung meldet (Art. 43b Abs. 2 FINMAG). Weil die AO nicht kontinuierlich prüft, sondern im Zyklus, kann ein standardisiertes Kontrollraster am ausgelagerten Dienstleister unbemerkt bleiben, bis Verluste bereits in den Portfolios stehen.
Für diese Woche: Lesen Sie den Auslagerungsvertrag für Risikomanagement und Compliance. Steht darin, wer die Produkt-Due-Diligence verantwortet, und behält Ihr Haus die Ressourcen, das Ergebnis zu prüfen? Fehlt beides, bleibt die Kontrolllücke Ihre, nicht die des Dienstleisters. Offen ist die Aufsicht über die Aufsicht: Die FINMA hat bei den Aufsichtsorganisationen selbst Schwächen bei der Beaufsichtigung der Prüfgesellschaften festgestellt und Massnahmen angeordnet (Geschäftsbericht 2024 und Geschäftsbericht 2025). Ob die AO die ausgelagerte Kontrolle nun härter prüfen, zeigt der nächste Prüfzyklus.