-
- Art. 3 BV
- Art. 5a BV
- Art. 6 BV
- Art. 10 BV
- Art. 13 BV
- Art. 16 BV
- Art. 17 BV
- Art. 20 BV
- Art. 22 BV
- Art. 26 BV
- Art. 29a BV
- Art. 30 BV
- Art. 31 BV
- Art. 32 BV
- Art. 42 BV
- Art. 43 BV
- Art. 43a BV
- Art. 45 BV
- Art. 51 BV
- Art. 52 BV
- Art. 55 BV
- Art. 56 BV
- Art. 60 BV
- Art. 68 BV
- Art. 69 BV
- Art. 74 BV
- Art. 75b BV
- Art. 77 BV
- Art. 81 BV
- Art. 96 Abs. 1 BV
- Art. 96 Abs. 2 lit. a BV
- Art. 110 BV
- Art. 117a BV
- Art. 118 BV
- Art. 119a BV
- Art. 122 BV
- Art. 123a BV
- Art. 123b BV
- Art. 130 BV
- Art. 136 BV
- Art. 164 BV
- Art. 166 BV
- Art. 170 BV
- Art. 176 BV
- Art. 178 BV
- Art. 189 BV
- Art. 191 BV
-
- Art. 11 OR
- Art. 12 OR
- Art. 50 OR
- Art. 51 OR
- Art. 84 OR
- Art. 97 OR
- Art. 98 OR
- Art. 99 OR
- Art. 100 OR
- Art. 143 OR
- Art. 144 OR
- Art. 145 OR
- Art. 146 OR
- Art. 147 OR
- Art. 148 OR
- Art. 149 OR
- Art. 150 OR
- Art. 633 OR
- Art. 701 OR
- Art. 713 OR
- Art. 715 OR
- Art. 715a OR
- Art. 734f OR
- Art. 785 OR
- Art. 786 OR
- Art. 787 OR
- Art. 788 OR
- Art. 808c OR
- Übergangsbestimmungen zur Aktienrechtsrevision vom 19. Juni 2020
-
- Art. 2 BPR
- Art. 3 BPR
- Art. 4 BPR
- Art. 6 BPR
- Art. 10 BPR
- Art. 10a BPR
- Art. 11 BPR
- Art. 12 BPR
- Art. 13 BPR
- Art. 14 BPR
- Art. 15 BPR
- Art. 16 BPR
- Art. 17 BPR
- Art. 19 BPR
- Art. 20 BPR
- Art. 21 BPR
- Art. 22 BPR
- Art. 23 BPR
- Art. 24 BPR
- Art. 25 BPR
- Art. 26 BPR
- Art. 27 BPR
- Art. 29 BPR
- Art. 30 BPR
- Art. 31 BPR
- Art. 32 BPR
- Art. 32a BPR
- Art. 33 BPR
- Art. 34 BPR
- Art. 35 BPR
- Art. 36 BPR
- Art. 37 BPR
- Art. 38 BPR
- Art. 39 BPR
- Art. 40 BPR
- Art. 41 BPR
- Art. 42 BPR
- Art. 43 BPR
- Art. 44 BPR
- Art. 45 BPR
- Art. 46 BPR
- Art. 47 BPR
- Art. 48 BPR
- Art. 49 BPR
- Art. 50 BPR
- Art. 51 BPR
- Art. 52 BPR
- Art. 53 BPR
- Art. 54 BPR
- Art. 55 BPR
- Art. 56 BPR
- Art. 57 BPR
- Art. 58 BPR
- Art. 59a BPR
- Art. 59b BPR
- Art. 59c BPR
- Art. 60 BPR
- Art. 60a BPR
- Art. 62 BPR
- Art. 63 BPR
- Art. 64 BPR
- Art. 67 BPR
- Art. 67a BPR
- Art. 67b BPR
- Art. 73 BPR
- Art. 73a BPR
- Art. 75 BPR
- Art. 75a BPR
- Art. 76 BPR
- Art. 76a BPR
- Art. 90 BPR
-
- Art. 1 IRSG
- Art. 1a IRSG
- Art. 3 Abs. 1 und 2 IRSG
- Art. 8 IRSG
- Art. 8a IRSG
- Art. 11b IRSG
- Art. 16 IRSG
- Art. 17 IRSG
- Art. 17a IRSG
- Art. 32 IRSG
- Art. 35 IRSG
- Art. 47 IRSG
- Art. 48 IRSG
- Art. 54 IRSG
- Art. 55a IRSG
- Art. 56 IRSG
- Art. 63 IRSG
- Art. 67 IRSG
- Art. 67a IRSG
- Art. 74 IRSG
- Art. 74a IRSG
- Art. 80 IRSG
- Art. 80a IRSG
- Art. 80b IRSG
- Art. 80h IRSG
- Art. 80c IRSG
- Art. 80d IRSG
- Art. 80k IRSG
-
- Vorb. zu Art. 1 DSG
- Art. 1 DSG
- Art. 2 DSG
- Art. 3 DSG
- Art. 4 DSG
- Art. 5 lit. c DSG
- Art. 5 lit. d DSG
- Art. 5 lit. f und g DSG
- Art. 6 Abs. 3-5 DSG
- Art. 6 Abs. 6 und 7 DSG
- Art. 7 DSG
- Art. 10 DSG
- Art. 11 DSG
- Art. 12 DSG
- Art. 14 DSG
- Art. 15 DSG
- Art. 18 DSG
- Art. 19 DSG
- Art. 20 DSG
- Art. 21 DSG
- Art. 22 DSG
- Art. 23 DSG
- Art. 25 DSG
- Art. 26 DSG
- Art. 27 DSG
- Art. 28 DSG
- Art. 29 DSG
- Art. 31 Abs. 2 lit. e DSG
- Art. 33 DSG
- Art. 34 DSG
- Art. 35 DSG
- Art. 38 DSG
- Art. 39 DSG
- Art. 40 DSG
- Art. 41 DSG
- Art. 42 DSG
- Art. 43 DSG
- Art. 44 DSG
- Art. 44a DSG
- Art. 45 DSG
- Art. 46 DSG
- Art. 47 DSG
- Art. 47a DSG
- Art. 48 DSG
- Art. 49 DSG
- Art. 50 DSG
- Art. 51 DSG
- Art. 52 DSG
- Art. 54 DSG
- Art. 55 DSG
- Art. 57 DSG
- Art. 58 DSG
- Art. 60 DSG
- Art. 61 DSG
- Art. 62 DSG
- Art. 63 DSG
- Art. 64 DSG
- Art. 65 DSG
- Art. 66 DSG
- Art. 67 DSG
- Art. 69 DSG
- Art. 72 DSG
- Art. 72a DSG
-
- Art. 1 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 2 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 3 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 4 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 5 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 6 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 7 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 8 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 9 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 11 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 12 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 16 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 18 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 25 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 27 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 28 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 29 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 32 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 33 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
- Art. 34 CCC (Übereinkommen über die Cyberkriminalität [Cybercrime Convention])
-
- Art. 2 Abs. 1 GwG
- Art. 2 Abs. 2 GwG
- Art. 2 Abs. 3 GwG
- Art. 2a Abs. 1-2 und 4-5 GwG
- Art. 3 GwG
- Art. 7 GwG
- Art. 7a GwG
- Art. 8 GwG
- Art. 8a GwG
- Art. 9 GwG
- Art. 11 GWG
- Art. 14 GwG
- Art. 15 GwG
- Art. 20 GwG
- Art. 23 GwG
- Art. 24 GwG
- Art. 24a GwG
- Art. 25 GwG
- Art. 26 GwG
- Art. 26a GwG
- Art. 27 GwG
- Art. 28 GwG
- Art. 29 GwG
- Art. 29a GwG
- Art. 29b GwG
- Art. 30 GwG
- Art. 31 GwG
- Art. 31a GwG
- Art. 32 GwG
- Art. 33 GwG
- Art. 34 GwG
- Art. 38 GwG
BUNDESVERFASSUNG
BUNDESGESETZ ÜBER DIE DIREKTE BUNDESSTEUER
OBLIGATIONENRECHT
BUNDESGESETZ ÜBER DAS INTERNATIONALE PRIVATRECHT
LUGANO-ÜBEREINKOMMEN
STRAFPROZESSORDNUNG
ZIVILPROZESSORDNUNG
BUNDESGESETZ ÜBER DIE POLITISCHEN RECHTE
ZIVILGESETZBUCH
BUNDESGESETZ ÜBER KARTELLE UND ANDERE WETTBEWERBSBESCHRÄNKUNGEN
BUNDESGESETZ ÜBER INTERNATIONALE RECHTSHILFE IN STRAFSACHEN
DATENSCHUTZGESETZ
BUNDESGESETZ ÜBER SCHULDBETREIBUNG UND KONKURS
STRAFGESETZBUCH
CYBERCRIME CONVENTION
HANDELSREGISTERVERORDNUNG
MEDIZINPRODUKTEVERORDNUNG
GELDWÄSCHEREIGESETZ
ÖFFENTLICHKEITSGESETZ
BUNDESGESETZ ÜBER DEN INTERNATIONALEN KULTURGÜTERTRANSFER
HEILMITTELGESETZ
STEUERHARMONISIERUNGSGESETZ
BANKENGESETZ
- I. Einleitung
- II. Bewilligungsverfahren
- III. Anwendungsbereich (Abs. 1 und 2)
- IV. Bewilligungsvoraussetzungen (Abs. 3 und 4)
- V. Spezialfälle (inkl. Abs. 5 und 6)
- VI. Bewilligungsänderungen
- VII. Bewilligungshistorie
- VIII. Weiterentwicklung der Fintech-Bewilligung
- Literaturverzeichnis
- Regularien und Materialienverzeichnis
I. Einleitung
1Der vorliegende Art. 1b wurde vom Parlament am 15. Juni 2018 – als Teil der Bestimmungen zur Innovationsförderung – zusammen mit dem Finanzdienstleistungs- und dem Finanzinstitutsgesetz in das Bankengesetz (BankG)
2Der Fintech-Sektor ist einem ständigen Wandel unterworfen. Dementsprechend entwickeln sich auch die Geschäftsmodelle in diesem Bereich weiter. Um diesem Umstand Rechnung zu tragen, beschränkt sich die Bewilligungskategorie von Art. 1b Abs. 1 BankG weder auf bestimmte Fintech-Geschäftsmodelle noch auf den Fintech-Bereich als solchen. Zwar bezweckte die Neuregelung primär die Senkung der Markteintrittshürden für Fintech-Unternehmen, doch ist die Bestimmung offen formuliert und gilt generell für alle Personen, die im Finanzbereich tätig sind. Somit können grundsätzlich auch Unternehmen ausserhalb des Fintech-Sektors eine Bewilligung nach Art. 1b BankG erhalten, sofern sie die gesetzlichen Voraussetzungen erfüllen. Der offene Anwendungsbereich kommt auch im Titel der Gesetzesbestimmung zum Ausdruck («Innovationsförderung»). Trotz des offenen Anwendungsbereichs liegt der Fokus in der Praxis jedoch auf dem Fintech-Sektor. Eine besondere Innovation wird im Rahmen der Bewilligungskategorie aber nicht vorausgesetzt.
3Auch die Geschäftsmodelle von Fintech-Instituten erfordern teilweise die Entgegennahme von Publikumseinlagen (sog. Passivgeschäft). Das gleichzeitige Betreiben des Aktivgeschäfts (und damit das Zinsdifferenzgeschäft) soll aber auch nach Einführung der Bestimmungen zur Innovationsförderung weiterhin den Banken vorbehalten bleiben.
4Vor dem Erlass von Art. 1b BankG war die gewerbsmässige Entgegennahme von Publikumseinlagen ausschliesslich Banken vorbehalten. Eine entsprechende Tätigkeit ohne Bewilligung als Bank war strafbar (vgl. Art. 46 Abs. 1 lit. a und Art. 49 Abs. 1 lit. c BankG). Die von der Regelung insbesondere erfassten Fintech-Institute erbringen bankähnliche Dienstleistungen, bewegen sich jedoch ausserhalb der Kerntätigkeit der Banken.
5In der Schweiz sind zahlreiche Dienstleistungen (sowohl Zahlungsdienstleistungen als auch Handel und Einzelverwahrung kryptobasierter Vermögenswerte) – sofern ihre Tätigkeit nicht von anderen Erlassen des Finanzmarktrechts erfasst wird – auch ohne Bewilligung der Eidgenössischen Finanzmarktaufsicht (FINMA), jedoch unter der geldwäschereirechtlichen Aufsicht einer Selbstregulierungsorganisation (SRO) möglich.
6Die Einhaltung der Bewilligungsanforderungen wird im Rahmen einer laufenden Aufsicht von der FINMA überwacht, die auch für die aufsichtsrechtliche Ahndung fehlbaren Verhaltens wie der Ausübung einer bewilligungspflichtigen Tätigkeit ohne Bewilligung, zuständig ist.
II. Bewilligungsverfahren
A. Vorprüfung
7 Die FINMA führt bei Projekten, die in ein Bewilligungsverfahren für Fintech-Institute münden könnten (wie bei Banken und Wertpapierhäusern), eine Vorprüfung durch. Die Vorprüfung soll es der FINMA ermöglichen, sich mit den Grundzügen des Projekts vertraut zu machen und eine erste regulatorische Standortbestimmung vorzunehmen. Projektinitianten können so frühzeitig Hinweise auf allfällige Bewilligungshindernisse erhalten oder für sie zentrale Fragen mit der FINMA direkt aufnehmen.
8 Im Hinblick auf eine erste Kontaktaufnahme ist der FINMA eine Projektdarstellung einzureichen, die mindestens folgende Angaben enthalten sollte:
Geschäftsmodell und Umschreibung der bewilligungspflichtigen Tätigkeit;
treibende Kräfte hinter dem Projekt (im Sinne der involvierten Personen, die später ggf. eine Rolle als «Gewährsträger» innehaben werden);
finanzielle Ausstattung des Projekts und Herkunft der Mittel (anhand aktueller Zahlen);
geplante Organisation;
falls das Projekt Teil einer Gruppe ist: Übersicht der Gruppenstruktur;
allfällige Hinweise auf erwähnenswerte Vorkommnisse, die für das Bewilligungsverfahren von Bedeutung sein könnten (z.B. Verfahren gegen potenzielle Gewährsträger);
Zeitplan;
Vollmacht (falls vertreten).
9Zusammengefasst soll die Projektdarstellung der FINMA ein erstes Bild über die personelle, finanzielle und organisatorische Zusammensetzung des Bewilligungsprojekts verschaffen.
10Die FINMA entscheidet nach Erhalt der Projektpräsentation über die Zweckmässigkeit einer Sitzung. Einzelne Fragen aus dem Bewilligungskontext, deren Beantwortung für die Hauptsache von besonderer Bedeutung sind, können auf Antrag im Rahmen einer Vorfrage behandelt werden. Projektpräsentationen sind in einer Amtssprache oder in Englisch an den Fintech-Desk der FINMA zu richten.
11Kommt die FINMA im Rahmen der Vorprüfung zum Schluss, dass die Bewilligungsfähigkeit des vorgestellten Projekts voraussichtlich nicht gegeben ist, sei dies bspw. mangels ausreichender finanzieller Mittel, nicht nachvollziehbarer Mittelherkunft, mangels Möglichkeit einer konsolidierten Aufsicht, mangels Qualifikation der involvierten Personen als spätere Gewährsträger oder mangels ausreichender Substanz in der Schweiz, wird von der Einreichung eines Bewilligungsgesuchs abgeraten. Den Projektinitianten steht diesfalls offen, ein neues Vorprojekt einzureichen, sollten die an der Besprechung aufgeworfenen Aspekte angemessen adressiert und entsprechende Nachweise vorgelegt werden können.
12Ist die FINMA der Ansicht, dass die Bewilligungsfähigkeit des vorgestellten Projekts voraussichtlich gegeben ist, wird der Gesuchstellerin die Möglichkeit zur Einreichung des Bewilligungsgesuchs mitgeteilt. Das Vorgesuch soll unkompliziert und kostengünstig sein. Entsprechend wird es nicht als formelles Verwaltungsverfahren geführt, das mit einer Verfügung abgeschlossen wird. Vielmehr kann es als eine von der FINMA erbrachte Vorabklärungsdienstleistung verstanden werden.
13Abklärungen zu Bewilligungsprojekten sind gebührenpflichtig. Die Gebühr richtet sich nach der FINMA-Gebühren- und Abgabenverordnung (FINMA-GebV)
B. Gesuchprüfung
14Nach erfolgreicher Vorprüfung und bei Vorliegen eines Bewilligungsberichts kann das entsprechende Bewilligungsgesuch bei der FINMA eingereicht werden.
15Die FINMA verlangt gemäss dem System der dualen Aufsicht im Bewilligungsverfahren von der Gesuchstellerin grundsätzlich einen von einer Prüfgesellschaft mit entsprechender Zulassung nach Art. 9a des Revisionsaufsichtsgesetzes (RAG)
16Die FINMA-Wegleitung für einzureichende Bestätigungen der Prüfgesellschaften zu Gesuchen betreffend die Bewilligung als Personen nach Art. 1b BankG richtet sich an Prüfgesellschaften in Bezug auf Bewilligungsgesuche von neu zu gründenden Fintech-Instituten.
17Sofern eine Bewilligungsprüfung eingefordert wird – wovon in der Regel auszugehen ist – hat die Gesuchstellerin mit dem Bewilligungsgesuch eine diesbezügliche Annahmeerklärung der Bewilligungsprüfgesellschaft sowie den ausgefüllten Fragebogen zu Dienstleistungen zugelassener Prüfgesellschaften einzureichen.
18Für die Erteilung der Fintech-Bewilligung ist die FINMA zuständig. Die Aufsichtsbehörde beurteilt bei entsprechenden Bewilligungsgesuchen, ob die beabsichtigte Geschäftstätigkeit bewilligungspflichtig ist und ob die beabsichtigte Geschäftstätigkeit im Rahmen der Fintech-Bewilligung möglich ist. Um das Bewilligungsverfahren zu erleichtern, veröffentlichte die FINMA für Gesuchsteller eine Wegleitung. Diese definiert insbesondere, welche Dokumente mit dem Gesuch einzureichen sind.
19Das Gesuch ist in einer Amtssprache oder Englisch abzufassen, wobei die Statuten, das Organisationsreglement sowie allfällige weitere genehmigungspflichtige Dokumente gesellschaftsrechtlicher Natur in einer schweizerischen Amtssprache einzureichen sind. Die FINMA akzeptiert Statuten und Organisationsreglement nicht in Englisch. In der Praxis werden diese gesellschaftsrechtlichen Dokumente in der Regel zweisprachig ausgearbeitet, was von der FINMA bis dato akzeptiert wird. Wird ein Gesuch durch einen Rechtsvertreter oder eine Rechtsvertreterin eingereicht, so ist dessen Bevollmächtigung einzureichen.
20Die FINMA teilt der Gesuchstellerin nach Eingang des Gesuchs mit, welcher FINMA-Mitarbeiter für das Bewilligungsverfahren zuständig ist und welche zusätzlichen Angaben und Unterlagen allenfalls nachzureichen sind.
21Die Aufsichtsbehörde kann die Bewilligungsprüfung wie alle Prüfungen selbst durchführen oder durchführen lassen (vgl. Art. 24 Abs. 1 Finanzmarktaufsichtsgesetz [FINMAG]
22Die FINMA stellt insbesondere bereits im Rahmen der Vorprüfung sicher, dass grundsätzliche Bewilligungshindernisse frühzeitig erkannt werden. Sobald sämtliche relevanten Informationen und Unterlagen vorliegen, prüft und entscheidet die FINMA, ob die Bewilligung erteilt werden kann. Der Gesuchsteller hat eine Mitwirkungspflicht bei der Vervollständigung des Sachverhalts und dem Nachweis der Bewilligungsvoraussetzungen. Die beantragte Bewilligung wird erteilt, wenn sämtliche Bewilligungsvoraussetzungen zweifelsfrei erfüllt sind oder erfüllt werden können.
23Die Bearbeitungsdauer des Bewilligungsgesuchs ist abhängig von der Qualität und Komplexität des Gesuchs sowie vom Austausch mit den Gesuchstellern. Bei Gesuchen mit besonders ausgeprägtem Auslandbezug wie bspw. bei Zugehörigkeit zu einer Gruppe mit bereits bestehenden ausländischen Unternehmen im Finanzbereich oder involvierten Personen, die in der Vergangenheit bei ausländischen Finanzmarktaufsichtsbehörden aufgefallen sind, ist zudem die Reaktionszeit der relevanten ausländischen Aufsichtsbehörden zu berücksichtigen.
24Faktoren, die zu langen Bewilligungsverfahren führen, können auch in Kombination miteinander auftreten:
unzureichende Vorbereitung der Bewilligungsgesuche (z.B. nicht genügend konkrete Darlegung der geplanten Tätigkeit, mangelhafte oder fehlerhafte Dokumentation);
Anpassungen von Bewilligungsgesuchen durch die Gesuchsteller während der laufenden Prüfung durch die FINMA (z.B. Änderung der geplanten Geschäftstätigkeiten und/oder Organisation, Änderungen von Gewährsträgern);
zahlreiche komplexitätserhöhende Elemente (z.B. fragliche Gewähr für eine einwandfreie Geschäftstätigkeit der massgeblichen Personen, vorherige Ablehnung eines Bewilligungsgesuchs der Gesuchstellerin durch eine ausländische Aufsichtsbehörde, unklare Herkunft der Mittel zur Finanzierung der Gesellschaft, offensichtlich realitätsfremde Business bzw. Finanzierungspläne).
25Die FINMA prüft aktuell die Einführung eines «Fast Track»-Verfahrens für gut vorbereitete Projekte, bei denen die Risiken angemessen adressiert sind, sodass diese nicht unter dem hohen Ressourcenaufwand für die anderen Bewilligungsgesuche leiden müssen. Damit soll vermieden werden, dass sich durch den Ressourcenaufwand auch die Bearbeitungsdauer gut vorbereiteter, weniger komplexer Bewilligungsgesuche verlängert.
C. Bewilligungsverfügung
26Die FINMA schliesst das Bewilligungsverfahren mit einer Bewilligungsverfügung ab. Die Verfügung gliedert sich in Sachverhalt, Erwägungen und Dispositiv. Während der Sachverhalt die Organisation der Gesuchstellerin enthält, wird in den Erwägungen Bezug auf die Erfüllung der jeweils anwendbaren Bewilligungsvoraussetzungen genommen. Im Dispositiv verfügt die FINMA die Bewilligungserteilung, was in der Regel unter aufschiebender Rechtswirksamkeit in Bezug auf davor noch zu erfüllende Auflagen und Bedingungen geschieht. Als solche Auflagen und Bedingungen gelten in der Regel das Unterzeichnen von Arbeits- oder Auslagerungsverträgen, das Inkraftsetzen von Weisungen und Reglementen, das Vorliegen eines rechtsgültig unterzeichneten Exemplars des Organisations- und Geschäftsreglements sowie das Vorliegen der öffentlichen Urkunden über den Beschluss der Generalversammlung betreffend die Annahme des Statutenentwurfs, die ausstehende Wahl der Mitglieder des Verwaltungsrats und die Wahl der Revisionsstelle.
27Die Bewilligung fällt im Normalfall dahin, wenn die genannten Bedingungen des Verfügungsdispositivs nicht innert Jahresfrist seit Inkrafttreten der Verfügung erfüllt sind und die Gesuchstellerin nicht als Person nach Art. 1b BankG ins Handelsregister eingetragen wurde. Die Bewilligung wird zudem hinfällig, wenn die Gesuchstellerin ihre neu bewilligte Geschäftstätigkeit (Entgegennahme von Publikumseinlagen und/oder Sammelverwahrung kryptobasierter Vermögenswerte) nicht innerhalb eines Jahres nach Eintritt der Rechtskraft der vorliegenden Verfügung aufnimmt. Gegen die Bewilligungsverfügung kann innert 30 Tagen beim Bundesverwaltungsgericht Beschwerde geführt werden (Art. 54 Abs. 1 FINMAG i.V.m. Art. 33 lit. e Verwaltungsgerichtsgesetz (VGG)
III. Anwendungsbereich (Abs. 1 und 2)
A. Entgegennahme von Publikumseinlagen (Abs. 1 lit. a)
28Mit Art. 1b BankG wurde eine neue Bewilligungskategorie für Institute geschaffen, die gewerbsmässig Publikumseinlagen bis zu CHF 100 Mio. entgegennehmen, ohne ein Aktivgeschäft zu betreiben (sog. «Fintech-Bewilligung»). Die Bewilligungsvoraussetzungen wurden vom Bundesrat im Rahmen einer Teilrevision der Bankenverordnung (BankV)
B. Sammelverwahrung kryptobasierter Vermögenswerte (Abs. 1 lit. a)
29Mit dem Inkrafttreten des Bundesgesetzes vom 25. September 2020 zur Anpassung des Bundesrechts an Entwicklungen der Technik verteilter elektronischer Register per 1. August 2021 wurde der Geltungsbereich der Fintech-Bewilligung erweitert.
30Gemäss Art. 1b Abs. 1 lit. a BankG fällt seither auch unter die Fintech-Bewilligung, wer gewerbsmässig vom Bundesrat bezeichnete (sammelverwahrte) kryptobasierte Vermögenswerte gemäss Art. 5a BankV entgegennimmt.
31Kryptobasierte Vermögenswerte sind sammelverwahrte Vermögenswerte nach Art. 16 Ziff. 1bis lit. b BankG, die tatsächlich oder nach der Absicht des Organisators oder Herausgebers in erheblichem Umfang als Zahlungsmittel für den Erwerb von Waren oder Dienstleistungen oder der Geld- oder Wertübertragung dienen, d.h. (hybride) Zahlungs-Token (Art. 5a Abs. 1 BankV).
32Bei der Sammelverwahrung ist das Fintech-Institut verpflichtet, die Zahlungs-Token für den Kunden jederzeit bereitzuhalten, wobei die Token einer Gemeinschaft zugeordnet sind und (mittels Blockchain oder anhand eines internen Registers) ersichtlich ist, welcher Anteil am Gemeinschaftsvermögen (d.h. einer gemeinschaftlichen Blockchain-Adresse) dem jeweiligen Kunden zusteht (Art. 16 Ziff. 1bis lit. b BankG).
33Die Individualverwahrung von Zahlungs-Token auf einer individuellen Blockchain-Adresse i.S.v. Art. 16 Ziff. 1bis lit. a BankG fällt somit nicht in den Anwendungsbereich der Fintech-Bewilligung.
34Eine Bewilligung nach Art. 1b BankG kann demnach einerseits erhalten, wer gewerbsmässig Publikumseinlagen bis zu CHF 100 Mio. oder vom Bundesrat bezeichnete kryptobasierte Vermögenswerte entgegennimmt oder öffentlich zur Entgegennahme solcher Einlagen oder kryptobasierten Vermögenswerte empfiehlt und andererseits diese Publikumseinlagen oder kryptobasierten Vermögenswerte weder anlegt noch verzinst. Die Bewilligung wird erteilt, wenn die bankenrechtlichen Bewilligungsvoraussetzungen nach Art. 1b BankG erfüllt sind.
C. Anlage- und Verzinsungsverbot (Abs. 1 lit. b)
35Das Anlage- und Verzinsungsverbot im Sinne von Art. 1b Abs. 1 lit. b BankG bedeutet faktisch ein Kreditvergabeverbot, d.h. ein Verbot des Aktivgeschäfts. Unter die Bewilligungskategorie der Fintech-Institute fallen damit nur Geschäftsmodelle, die auf das Aktivgeschäft verzichten. In diesen Fällen fehlt es der Fintech-Lizenz an der Möglichkeit des für Banken typischen Zinsdifferenzgeschäfts.
36Der Begriff des Anlegens ist dabei sehr weit zu verstehen. Da die Gelder nicht angelegt werden dürfen, ist davon auszugehen, dass sie dauernd auf den Konten des betroffenen Unternehmens liquide gehalten werden (vgl. Art. 14f Abs. 2 BankV), entsprechend der Vereinbarung mit der Kundschaft bestimmungsgemäss weitergeleitet oder – falls dies nicht der Zweck oder nicht möglich ist – an die Kundschaft zurückgezahlt werden.
37Dahingehend hat das Anlage- und Verzinsungsverbot in der Praxis folgende Konsequenzen:
Fintech-Institute dürfen ihren Kunden keine Kredite gewähren, die durch Publikumseinlagen finanziert werden. Dies verbietet auch Kontoüberziehungen und ähnliche Konstellationen sowie die Intraday-Vorfinanzierung von Kundentransaktionen (z.B. im Bereich Geldwechsel oder internationaler Zahlungsverkehr) durch Publikumseinlagen. Es ist daher im Einzelfall zu klären, wie entsprechende Drittdienstleister Transaktions- und Kontoführungsgebühren sowie Transaktionsvorfinanzierungen/-margen abrechnen, z.B. ob die täglich eingezahlten Beträge aus Mitteln der Gesellschaft oder aus Publikumseinlagen finanziert werden;
ebenfalls verboten sind Vorschüsse aus eigenen Mitteln zur Abwicklung von Kundentransaktionen. Intra day-Vorschüsse aus eigenen Mitteln zur Abwicklung von Kundentransaktionen sind unter Anwendbarkeit der Ausnahme von Art. 5 Abs. 3 lit. a BankV allenfalls möglich;
Devisentermingeschäfte kann ein Fintech-Institut grundsätzlich nicht anbieten, da die damit einhergehenden Kapital- und Liquiditätsrisiken zumindest bankenähnliche Anforderungen voraussetzen würden;
die Weitergabe von Negativzinsen ist möglich, nicht jedoch die Weitergabe von positiven Zinsen der Girokonteneinlagen bei der SNB;
Hess, N. 1299. Kreditprodukte im Kryptobereich können mit der Fintech-Bewilligung nicht angeboten werden;
Custodial Staking
Die FINMA versteht unter Staking den Vorgang der Sperrung nativer kryptobasierter Vermögenswerte auf der Staking-Adresse eines Validator Nodes zur Teilnahme am Validierungsprozess einer Blockchain, die auf einem Proof-of-Stake-Konsensmechanismus basiert. Als Belohnung für das Staking von kryptobasierten Vermögenswerten erhalten Teilnehmer sog. Staking-Rewards. Vgl. FINMA, Aufsichtsmittelung 08/2023, S. 3. Ferner ist Custodial Staking eine Form des Proof-of-Stake-Verfahrens, bei der ein Nutzer seine kryptobasierten Vermögenswerte einem Staking-Dienstleister zur Verwahrung und zum Betrieb überlässt. Custodial Staking kann wiederum in zwei Konstellationen unterschieden werden: Direct Staking und Staking-Kette. Vgl. FINMA, Aufsichtsmitteilung 08/2023, S. 4. ist unter Vorbehalt der Ausnahmen in Art. 5, Art. 5a und Art. 6 BankV bankenbewilligungspflichtig, sofern Staking zu einer de facto-Verzinsung (Staking Rewards) führt, was dem Verzinsungsverbot entgegenstehen würde; alternativ könnten Staking Rewards auch als Utility-Gebühren qualifizieren, womit Custodial Staking auch durch Fintech-Institute angeboten werden könnte, sofern hinsichtlich der gestakten kryptobasierten Vermögenswerte die Anforderungen der FINMA-Aufsichtsmitteilung 08/2023 «Staking» jederzeit eingehalten werden. Die Lehre verneint einen Verstoss gegen das Verzinsungsverbot bei der Auszahlung von Staking-Rewards an Kunden.Andreotti/Zimmermann/Prantl, S. 346. bilaterale CFD-Handelsplattformen qualifizieren grundsätzlich als bilaterale organisierte Handelssysteme (OHS) gemäss Finanzmarktinfrastrukturgesetz (FinfraG)
SR 958.1, 19.06.2015. . Die Qualifikation als OHS-Tätigkeit hat zur Folge, dass eine Bewilligung als Bank, Wertpapierhaus, DLT-Handelssystem oder als Handelsplatz (Börse, MHS) erforderlich ist (Art. 43 Abs. 1 FinfraG).BSK-Studer/Vollenweider, Art. 43 FinfraG N. 7. Eine Fintech-Bewilligung reicht dafür folglich nicht aus.
D. Anpassung des Schwellenwerts für Publikumseinlagen durch den Bundesrat (Abs. 2)
38Der Bundesrat kann den Betrag von CHF 100 Mio. unter Berücksichtigung der Wettbewerbs- und Innovationsfähigkeit des Finanzplatzes Schweiz anpassen (Art. 1b Abs. 2 BankG).
39In diesem Rahmen gab der Bundesrat im Jahr 2022 bekannt, es sei zu überprüfen, ob die Begrenzung der Entgegennahme von Kundengeldern auf CHF 100 Mio. beizubehalten sei. Auch wenn die FINMA nach Art. 1b Abs. 5 BankG Ausnahmen von der Begrenzung gewähren könne,
IV. Bewilligungsvoraussetzungen (Abs. 3 und 4)
A. Geschäftskreis (Abs. 3 lit. a)
1. Allgemeines
40Die Statuten oder das Organisations- und Geschäftsreglement (OGR) müssen den Geschäftskreis sachlich und örtlich genau umschreiben (Art. 1b Abs. 3 lit. a BankG; Art. 14b Abs. 1 BankV). Der Geschäftskreis und dessen geografische Ausdehnung haben den finanziellen Möglichkeiten und der Verwaltungsorganisation der Gesuchstellerin zu entsprechen (Art. 14b Abs. 2 BankV). Fintech-Instituten ist es untersagt, entgegengenommene Publikumseinlagen oder kryptobasierte Vermögenswerte anzulegen oder zu verzinsen (Art. 1b Abs. 1 lit. b BankG).
41Die Statuten bzw. das OGR müssen die aktuelle Tätigkeit einer Person nach Art. 1b BankG in sachlicher, örtlicher und persönlicher Hinsicht detailliert («genau») wiedergeben. Zukünftige Tätigkeiten sind in der Regel von den Erfahrungen aus anderen Tätigkeiten abhängig und müssen entsprechend bei der Aufnahme konkretisiert und von der FINMA vorgängig bewilligt werden (vgl. Art. 8 Abs. 2 BankV). In diesem Sinne wird im Rahmen des Bewilligungsverfahrens oft eine Konkretisierung der entsprechenden Regelungen in den Statuten und im OGR verlangt.
42Das Bewilligungsgesuch muss folgende allgemeinen Angaben umfassen:
Gründe und Absicht für die Erlangung einer Bewilligung als Person nach Art. 1b BankG;
detaillierte Beschreibung der vorgesehenen Tätigkeit und Organisation, inkl. des vorgesehenen sachlichen und geographischen Geschäftskreises sowie der Art der anvisierten Kundschaft;
Handelsregisterauszug;
Betreibungsregisterauszug (nicht älter als 3 Monate) der Gesuchstellerin;
Erklärung betreffend hängige und abgeschlossene Verfahren (Formular B1; unterzeichnet und datiert) der Gesuchstellerin;
Angaben zu Konzerngesellschaften sowie Beteiligungen und/oder weiteren Präsenzen (Zweigniederlassungen oder Vertretungen) der Gesuchstellerin.
43Die erforderlichen Angaben zur Geschäftsaktivität, Organisation und Governance der Gesuchstellerin umfassen:
detaillierte Beschreibung der Geschäftsaktivitäten und der entsprechenden Abläufe;
Geschäftsplan inkl. Budget (Bilanz, Erfolgsrechnung) für die nächsten drei Geschäftsjahre mit optimistischem, realistischem und pessimistischem Szenario;
Liquiditätsplanung für das erste Geschäftsjahr gemäss pessimistischem Szenario des Geschäftsplans (auf monatlicher Basis);
Statuten, Organisationsreglement und Richtlinien (Reglemente und Weisungen), welche auf die Geschäftsaktivität einer Person nach Art. 1b BankG zugeschnitten sind;
Organigramm mit Bezeichnung der leitenden Personen und den FTE pro Organisationseinheit;
Informationen zu den Geschäftsräumlichkeiten (inkl. Einreichung des Mietvertrags), zur Infrastruktur und der personellen Ausstattung;
Organisation und Reglemente oder Weisungen betreffend die Risikoorganisation die Compliance und das interne Kontrollsystem (inkl. GwG-Weisungen);
Information und Dokumentation betreffend die Auslagerung von Aktivitäten (inkl. Risikoanalyse, Richtlinie betr. Zielen, Anforderungen, Zuständigkeiten und Prozess, Inventarisierung der ausgelagerten Funktionen und Auslagerungsverträge);
Information und Dokumentation betreffend das Management von operationellen Risiken (insb. Informations- und Kommunikationstechnologien (IKT)- Risiken, Cyber-Risiken, Risiken hinsichtlich kritischer Daten, Risiken aus der Ausgestaltung und Implementierung des Business Continuity Management (BCM) und gegebenenfalls Risiken aus dem grenzüberschreitenden Dienstleistungsgeschäft), Sicherstellung der operationellen Resilienz und entsprechende Berichterstattung;
IKT-Planung mit Ausführungen zur technischen und operationellen Einsatzfähigkeit der einzelnen Applikationen und deren Kritikalität;
Übersicht über die angedachte IKT- und Applikationslandschaft und internen Systemverbindungen (inkl. Schnittstellen zu Drittsystemen, Richtlinien betr. IKT-Systeme und IKT-Sicherheit sowie betr. Datenlagerung und Datensicherheit) bei Aufnahme der operativen Tätigkeit;
Beschreibung, wie die Publikumseinlagen gehalten werden (Trennung von den eigenen Mitteln des Unternehmens) und wie die Einhaltung des Schwellenwerts von CHF 100 Mio. sichergestellt wird;
falls vorgesehen: detaillierte technische Beschreibung, wie die kryptobasierten Vermögenswerte verwahrt werden;
detaillierte Angaben über die Informationen an die Kunden gemäss Art. 7a BankV, namentlich über Risiken sowie das Fehlen einer Einlagesicherung.
Art. 7a BankV richtet sich ausschliesslich an Institute nach Art. 1b BankG und dient der Stärkung von Transparenz und Kundenschutz. Die Bestimmung verpflichtet diese Institute, ihren Kunden vor Vertragsabschluss über die wesentlichen Risiken der angebotenen Dienstleistungen zu informieren. Dazu gehört insbesondere der Hinweis, dass die bei FinTech-Instituten gehaltenen Guthaben nicht dem System der gesetzlichen Einlagensicherung unterstehen. Während im Konkurs einer Bank Kundenguthaben bis zu einem Betrag von CHF 100'000 durch die Einlagensicherung geschützt sind, besteht ein solcher Schutz für Guthaben bei FinTech-Instituten nicht. Über diesen Umstand sind die Kunden ausdrücklich aufzuklären. Vgl. auch N. 54. Beschreibung von allfälligen Interessenkonflikten und diesbezügliche Massnahmen zum Schutz vor Benachteiligung der Kunden gemäss Art. 14g BankV.
44Institute mit einer Fintech-Bewilligung können grundsätzlich verschiedenste Geschäftsmodelle aufweisen (u.a. Crowdfunding, Zahlungsverkehr, dies unter Anwendung traditioneller Technologien oder Anwendungen auf Grundlage der DLT/Blockchain-Technologie, etc.).
45Neben den Tätigkeiten, die eine Bewilligungspflicht als Fintech-Institut auslösen, kann dieses grundsätzlich auch Nebendienstleistungen erbringen, die ihrerseits – isoliert betrachtet – keine Bewilligungspflicht auslösen würden. Die FINMA macht die Erbringung einer solchen Nebendienstleistung, die zwar an sich keine Bewilligungspflicht auslösen würde, jedoch die Risiken des Instituts erhöht, von der Umsetzung entsprechender risikomitigierender Massnahmen abhängig (vgl. Art. 14e Abs. 1 BankV). Werden solche nicht getroffen oder ermöglichen die Vorschriften betreffend Fintech-Institute keine angemessenen risikobegrenzenden Massnahmen, ist die Erbringung einer Nebendienstleistung mit einer Bewilligung als Fintech-Institut nicht vereinbar.
2. Verwahrung von Publikumseinlagen und kryptobasierten Vermögenswerten (Abs. 3 lit. a)
a. Verwahrung von Publikumseinlagen
46Fintech-Institute müssen entgegengenommene Publikumseinlagen (im Sinne von Art. 5 BankV) und sammelverwahrte kryptobasierte Vermögenswerte (im Sinne von Art. 5a BankV) getrennt von ihren eigenen Mitteln verwahren (Art. 14f Abs. 1 lit. a BankV). Diesfalls ist ggf. eine eingeschränkte Revision i.S.v. Art. 727a des Obligationenrechts (OR)
47Eine Ausnahme von dieser Trennung wird gewährt, wenn die Publikumseinlagen buchhalterisch jederzeit von den eigenen Mitteln getrennt ausgewiesen werden können und eine ordentliche Revision nach Art. 727 OR durchgeführt wird (Art. 14f Abs. 1 lit. b BankV).
48Unternehmen sind jedoch primär dazu verpflichtet, die eingenommenen Gelder entsprechend der Vereinbarung mit den Kunden bestimmungsgemäss weiterzuleiten oder – falls dies nicht der Zweck oder nicht möglich ist – an die Kunden zurückzuzahlen. Ist eine umgehende Weiterleitung gemäss Kundenvereinbarung nicht möglich oder nicht vorgesehen, darf das Unternehmen die Einlagen verwahren. Dieses «Verwahren» der Einlagen ist zwar an keine Fristen gebunden, jedoch an bestimmte Bedingungen geknüpft: Die Einlagen müssen stets im Interesse der Kunden verwahrt werden und dürfen weder angelegt noch verzinst werden.
49Der Vernehmlassungsentwurf vom 21. Juni 2018 enthielt noch keinen lit. b. Die getrennte Verwahrung der entgegengenommenen Publikumseinlagen war einer der Hauptkritikpunkte in der Vernehmlassung
50Das Halten der entgegengenommenen Publikumseinlagen unterliegt dem gesetzlichen Anlage- und Verzinsungsverbot.
51Im Einklang mit dem Trennungsprinzip nach Art. 14f Abs. 1 lit. a BankV können die Publikumseinlagen als Sichteinlagen bei einer Bank oder einem Fintech-Institut und/oder als High Quality Liquid Assets (HQLA) der Kategorie 1 nach Art. 15a der Liquiditätsverordnung vom 30. November 2012 (LiqV)
52Publikumseinlagen müssen immer in der Währung des Rückzahlungsanspruchs gehalten werden (Art. 14f Abs. 3 BankV). Dies bedeutet insbesondere auch, dass Publikumseinlagen in sammelverwahrten kryptobasierten Vermögenswerten als solche zu halten sind (Art. 14f Abs. 4 BankV). Die Möglichkeit, Publikumseinlagen in HQLA zu halten, erlaubt es den Instituten allenfalls, Negativzinsen zu vermeiden. Allerdings entstehen dadurch gewisse Anlagerisiken für die Kundinnen und Kunden, was zu höheren Anforderungen an das Mindestkapital führen kann.
53Die Kunden sollen möglichst keinen zusätzlichen Risiken, insb. Fremdwährungsrisiken, ausgesetzt werden. Aus diesem Grund sollen die entgegengenommenen Publikumseinlagen auch nur in jener Währung gehalten werden, in der ein allfälliger Rückforderungsanspruch besteht.
54Die Bestimmungen über privilegierte Einlagen (Art. 37a BankG) und über die sofortige Auszahlung (Art. 37b BankG) finden auf Einlagen bei Fintech-Instituten keine Anwendung (Art. 1b Abs. 4 lit. d BankG), da diese nach derzeitiger Ansicht des Gesetzgebers unverhältnismässig wären.
b. Überwachung des Schwellenwertes für Publikumseinlagen (Abs. 6)
55Die Begrenzung der Publikumseinlagen und sammelverwahrter Zahlungs-Token auf CHF 100 Mio. ist (unter Vorbehalt von Art. 1b Abs. 2 und 5 BankG) zwingend. Im Bewilligungsgesuch ist zu beschreiben, wie die Einhaltung des Schwellenwerts von CHF 100 Mio. Publikumseinlagen kontrolliert wird.
56 Fintech-Institute müssen demnach betreffend die Überwachung des Schwellenwerts über dokumentierte Verfahren, Kontrollen (Verantwortlichkeit, Periodizität), Berichterstattungen (inkl. Vorhersagen) und weitere Massnahmen verfügen. Dabei kann etwa ein abgestuftes System mit Massnahmen z.B. bei CHF 70, 80, 90 und 99 Mio. angebracht sein. Ab einer gewissen Schwelle sind grundsätzlich technische Beschränkungen vorzusehen, dass keine neuen Publikumseinlagen mehr akzeptiert und diese zurücküberwiesen werden. Darüber hinaus ist die Koordination mit der FINMA zu regeln.
57Bilden mehrere Fintech-Institute eine Finanzgruppe nach Art. 22 BankV, so ist der Schwellenwert von CHF 100 Mio. für die gesamte Gruppe zu berechnen (Art. 24a Abs. 1 BankV), ausser die Gruppengesellschaften sind offensichtlich unabhängig voneinander. Damit soll verhindert werden, dass diese Bewilligungskategorie zur regulatorischen Arbitrage im Bereich der Entgegennahme von Publikumseinlagen genutzt wird.
3. Verwahrung der kryptobasierten Vermögenswerte
58Sammelverwahrte kryptobasierte Vermögenswerte müssen in der Schweiz und in der Form gehalten werden, in der sie entgegengenommen wurden (Art. 14f Abs. 4 BankV). Die Verfügungsmacht über die Private Keys liegt daher grundsätzlich zwingend und ausschliesslich bei den in der Schweiz domizilierten Fintech-Instituten oder Banken. Die Fintech-Institute definieren in internen Richtlinien den Umgang mit den kryptographischen Schlüsseln, die den Zugriff auf die kryptobasierten Vermögenswerte ermöglichen. Die internen Richtlinien müssen u.a. das Management und die Kontrolle aller benötigten Schlüssel regeln, d.h. die sichere Aufbewahrung, Bereitstellung, sichere Übertragung sowie die Rücknahme ungültiger oder kompromittierter kryptographischer Schlüssel.
59Die kryptographischen Schlüssel können bspw. in einem Hardware Security Module (HSM)
60Grundsätzlich ist sicherzustellen, dass der Zugriff auf die kryptobasierten Vermögenswerte nur mittels Multi-Signatur-Verfahren möglich ist.
61Die Fintech-Institute haben darüber hinaus sicherzustellen, dass bei Verlust von Teilschlüsseln (z.B. durch Brand o.ä.) der Zugriff über einen Backup/Recovery/Master-Schlüssel (seed) auf die kryptobasierten Vermögenswerte möglich ist. Dieser Schlüssel ist räumlich getrennt von anderen privaten Schlüsseln aufzubewahren (z.B. in einem Tresor bei einem Finanzdienstleister). Zugriff und Austausch sind in einer internen Weisung zu regeln.
62Die FINMA kann im Einzelfall eine Obergrenze für die kryptobasierten Vermögenswerte festlegen, wenn dies aufgrund der mit dem Geschäft verbundenen Risiken angezeigt erscheint. Die Aufsichtsbehörde berücksichtigt dabei insbesondere die Funktion der kryptobasierten Vermögenswerte, die zugrunde liegenden Technologien sowie risikomindernde Faktoren (Art. 4sexies BankG).
63Institute, welche die Verwahrung kryptobasierter Vermögenswerte anbieten, müssen ein Digital Asset Resolution Package (DARP) erstellen. Ziel dieses Dokuments ist es sicherzustellen, dass im Falle eines Konkurses des Instituts ein externer Liquidator die kryptobasierten Vermögenswerte rasch an die Kunden auszahlen kann, so dass der Aufwand und die Kosten für eine ordnungsgemässe Rückgabe geringgehalten werden. Zu diesem Zweck sollen im DARP die wichtigsten Informationen zur Identifizierung und zeitnahen Sicherstellung der kryptobasierten Vermögenswerte enthalten sein, wie z.B. Angaben zu allen für die Verwahrung und Transaktionen der kryptobasierten Vermögenswerte erforderlichen Personen und deren Funktionen inkl. der damit verbundenen Instruktionen, Angaben für den Zugang zu einer aktuellen Kopie des Internal Ledgers inkl. der damit verbundenen Instruktionen, Angaben zu allfälligen Drittverwahrern inkl. der Kontaktdaten der für die Bank verantwortlichen Personen beim Drittverwahrer, etc. Es ist sicherzustellen, dass das Institut das DARP regelmässig aktualisiert.
B. Angemessene Verwaltungsorganisation (Abs. 3 lit. a)
64Fintech-Institute müssen über eine Verwaltungsorganisation verfügen, die ihrer Geschäftstätigkeit (Geschäftskreis und dessen räumliche Ausdehnung) angemessen ist (Art. 1b Abs. 3 lit. a BankG; Art. 14b Abs. 2 BankV).
1. Rechtsform, Sitz und Ort der Tätigkeit
65Fintech-Institute weisen die Rechtsform einer Aktiengesellschaft, Kommanditaktiengesellschaft oder Gesellschaft mit beschränkter Haftung auf und haben ihren Sitz in der Schweiz (Art. 14a BankV). Der Grund dafür besteht in der Gewährleistung einer sachgerechten Aufsicht.
66Dogmatisch kann der sinngemässe Generalverweis von Art. 1b Abs. 1 BankG dahingehend interpretiert werden, dass die Genossenschaft entgegen dem Verordnungstext als zulässige Rechtsform anzuerkennen wäre. Aufgrund der Schwierigkeiten in Zusammenhang mit dem dauernd zu haltenden Gesellschaftskapital, den schwerfälligen Organisations- und Entscheidungsregeln (insb. das Kopfstimmrecht) sowie der Anteilsscheine, die nicht als Wertpapiere verbrieft werden dürfen, ist die Rechtsform für den Betrieb eines Fintech-Instituts jedoch nicht zweckmässig.
67Die Haupttätigkeit bzw. die tatsächliche Verwaltung muss in der Schweiz ausgeübt und das Fintech-Institut muss tatsächlich von der Schweiz aus geleitet werden. Die mit der Geschäftsführung betrauten Personen müssen an einem Ort Wohnsitz haben, von dem aus sie die Geschäftsführung tatsächlich ausüben können (Art. 14a Abs. 2 und Art. 14c BankV).
68Die mit der Geschäftsführung betrauten Personen müssen ihren Wohnsitz in der Nähe des Sitzes der Gesuchstellerin haben. Es wird verlangt, dass ein Wohnsitz in der Nähe oder in der Schweiz genommen wird. Gemäss aktueller FINMA-Praxis wird erwartet, dass an jedem Arbeitstag somit mindestens ein Teil der mit der Geschäftsführung betrauten Personen am Sitz anwesend sein muss. Damit soll sichergestellt werden, dass ein Schweizer Fintech-Institut nicht faktisch aus dem Ausland geführt wird.
69 Gemäss aktueller Aufsichtspraxis ist bei Gewährsträgern mit einer befristeten Kurzaufenthaltsbewilligung (Ausweis L) das Risiko des Erlöschens der Aufenthaltsrechte angemessen zu adressieren. Das Institut hat dieses Risiko im Rahmen seines Risikomanagements zu erfassen und durch geeignete Vorkehrungen, namentlich Melde-, Stellvertretungs- und Nachfolgeprozesse, abzusichern.
70In Bezug auf die Firma bestimmt Art. 1 Abs. 4 BankG, dass der Ausdruck «Bank» oder «Bankier», allein oder in Wortverbindungen in der Firma, in der Bezeichnung des Geschäftszweckes und in der Geschäftsreklame zum Schutz der Gläubiger nur für Institute verwendet werden darf, die über eine Bewilligung der FINMA als Bank verfügen, wobei sinngemässe Begriffe in allen Landessprachen und allen Fremdsprachen sowie im Prinzip auch Wortzusammensetzungen, die auf eine Banktätigkeit deuten, miteingenommen sind.
71Nach einer sinngemässen Anwendung von Art. 4quater BankG auf Fintech-Institute haben diese demnach im In- und Ausland jede irreführende sowie jede aufdringliche Werbung mit ihrem schweizerischen Sitz oder mit schweizerischen Einrichtungen zum Schutz der Gläubiger zu unterlassen.
2. Organe
72Erfordert der Geschäftszweck oder der Geschäftsumfang eines Fintech-Instituts ein besonderes Organ für die Oberleitung, Aufsicht und Kontrolle, so muss dieses aus mindestens drei Mitgliedern bestehen (Art. 14d Abs. 1 BankV). Fintech-Institute müssen in der Regel über Verwaltungs- und Geschäftsführungsorgane verfügen, wobei das Organ für die Oberleitung, Aufsicht und Kontrolle (Verwaltungsrat) mindestens drei Mitglieder umfassen muss. Mindestens ein Drittel der Mitglieder des Verwaltungsrates muss von der Geschäftsführung unabhängig sein (Art. 14d Abs. 2 BankV).
73Ein Mitglied des Oberleitungsorgans gilt als unabhängig, wenn es:
nicht in anderer Funktion beim Institut beschäftigt ist und dies auch nicht innerhalb der letzten 2 Jahre gewesen ist;
innerhalb der letzten 2 Jahre nicht bei der Prüfgesellschaft des Instituts als für das Institut verantwortlicher leitender Prüfer beschäftigt gewesen ist;
keine geschäftliche Beziehung zum Institut unterhält, welche aufgrund ihrer Art oder ihres Umfangs zu einem Interessenkonflikt führt;
nicht qualifizierter Beteiligter (im Sinne von Art. 3 Abs. 2 lit. cbis BankG)
BSK-Winzeler, Art. 3 BankG N. 17. des Instituts ist und auch keinen solchen vertritt; undgrundsätzlich auch in keiner nahestehenden Beziehung (Verwandtschaft, Ehe oder Lebensgemeinschaft) zu einem Mitglied der Geschäftsleitung steht.
74Die FINMA kann in begründeten Fällen Ausnahmen von den Anforderungen an die Organe bewilligen (Art. 14d Abs. 4 BankV). Die Gewalten-/Funktionentrennung gilt demnach nicht absolut. So kann die FINMA bspw. zulassen, dass ein Fintech-Institut nur über eine Geschäftsleitung, nicht aber über einen Verwaltungsrat verfügt. Diese Ausnahme ist für sehr kleine Institute in der Aufbauphase gedacht. Insbesondere ist denkbar, dass Start-ups temporär bis zum Erreichen gewisser Wachstumsziele Ausnahmen von den Anforderungen an die Verwaltungsorganisation gewährt werden; bspw. erst ab einem Bruttoertrag von CHF 1 Mio. unabhängige Verwaltungsräte (und ab CHF 1.5 Mio. unabhängige Kontrollfunktionen).
75Der Organbegriff knüpft an natürliche Personen an. Juristische Personen werden daher nicht als Organe akzeptiert. Die FINMA prüft bei Verwaltungsrats- und Geschäftsleitungsmitgliedern die sogenannte Gewähr für eine einwandfreie Geschäftstätigkeit. Diese Prüfung ist ihrem Wesen nach personenbezogen und setzt die Beurteilung von Integrität, persönlichem Leumund, beruflicher Qualifikation, Erfahrung und Interessenkonflikten voraus.
76Die erforderlichen Nachweise zu den Organen umfassen:
Zusammensetzung des mit der Verwaltung betrauten Organs unter Angabe des Präsidenten, des Vizepräsidenten sowie der Mitglieder allfälliger Ausschüsse; sowie
Angaben über die Zusammensetzung, die Organisation und die Kompetenzen der Geschäftsleitung.
3. Infrastruktur und Personal
a. Geschäftsräumlichkeiten
77Der Gesuchstellerin müssen geeignete Geschäftsräume zur Verfügung stehen. Hinsichtlich der Grösse können ein Büro und ein Besprechungsraum ausreichend sein. Sofern kein Grundbesitz vorhanden ist, ist ein (Unter-)Mietvertrag vorzulegen. Erforderlich sind Angaben zu Zutrittsmöglichkeiten/-beschränkungen, die Abschliessbarkeit der Räume und des Mobiliars sowie die daten- und bankgeheimniskonforme Abwicklung des Geschäftsalltags (z.B. Geheimhaltungsvereinbarung, welche die für die Gesuchstellerin geltenden Geheimhaltungsvorschriften im Geschäftsalltag [insbesondere Personenverkehr, Postverkehr und physische IKT-Infrastruktur] sicherstellt). Zudem ist erforderlich, dass die tatsächliche operative Führung der Gesellschaft von den entsprechenden Geschäftsräumlichkeiten aus erfolgt.
b. Personelle Ressourcen
78Bezüglich personeller Ressourcen ist von zentraler Bedeutung, dass das Fintech-Institut die erforderlichen Stellen besetzt hat und schnell reagieren kann, falls zusätzliches Personal für die Geschäftstätigkeit benötigt wird. Dazu sind entsprechende Angaben zu machen und besetzten Full Time Equivalent (FTE) inkl. Tätigkeitsbereiche idealerweise anhand einer Grafik darzulegen.
c. Technische Infrastruktur
79Fintech-Institute verfügen in der Regel über keine eigene physische IKT-Infrastruktur mit Ausnahme von Endgeräten sowie Strom-, Telefon- und Internetanschlussinfrastruktur. Der Grossteil der IKT-Infrastruktur ist oft Cloud-basiert, was in der Regel Risiken mit sich bringt.
80Im Rahmen des Gesuchs ist eine detailliertere Darstellung der geplanten IKT-Architektur und der für die geplanten Aktivitäten benötigten IKT-Komponenten erforderlich. Dementsprechend ist auch eine IKT-Planung mit Aussagen zur technischen und betrieblichen Einsatzfähigkeit der einzelnen Anwendungen und deren Kritikalität erforderlich. Das Fintech-Institut muss dahingehend Aussagen zur operationellen und technischen Einsatzfähigkeit seiner IKT-Anwendungen machen. In einem Zeitplan hat es den Umsetzungsstand sowie die Implementierung der von ihm geplanten Applikationen aufzuzeigen und sich zu deren Kritikalität im Hinblick auf eine Inbetriebnahme zu äussern.
4. Auslagerungen
a. Auslagerbarkeit
81Fintech-Institute dürfen grundsätzlich Funktionen und Tätigkeiten auslagern (Grundsatz der Auslagerbarkeit). Die Auslagerung von wesentlichen Funktionen ist damit zulässig. Die Anforderungen des FINMA-Rundschreibens 2018/3 «Outsourcing» kommen bei Fintech-Instituten in angepasstem Umfang zur Anwendung. Die Anforderungen sind unter Berücksichtigung der Grösse, der Komplexität, der Struktur und des Risikoprofils des Instituts umzusetzen.
82Zur Gewährleistung der Übersicht und Kontrolle sind die ausgelagerten wesentlichen Funktionen und die entsprechenden Dienstleister im OGR abzubilden.
83Die Unternehmen der Aufsichtskategorien 1 bis 3 verfügen über eine eigenständige Risikokontrolle und Compliance-Funktion als unabhängige Kontrollinstanzen. Bei Fintech-Instituten genügt es, wenn eine für diese Funktionen verantwortliche Person in der Geschäftsleitung bestimmt ist. Operative Risikomanagement- und Compliance-Aufgaben sind bei allen Aufsichtskategorien auslagerbar.
84Nicht auslagerbar sind die Oberleitung, die Aufsicht und Kontrolle durch den Verwaltungsrat, die zentralen Führungsaufgaben der Geschäftsleitung sowie Funktionen, die strategische Entscheide beinhalten
b. Wesentlichkeit
85Die Qualifikation als wesentliche oder unwesentliche Auslagerung kann Fragen aufwerfen. Zudem sind Auslagerungen von Kooperationen mit Drittdienstleistern zu unterscheiden, die Dienstleistungen erbringen, welche nicht Bestandteil der Geschäftstätigkeit bzw. der operativen Funktionen des Fintech-Instituts gegenüber dessen Kunden sind, z.B. direkte Geschäftsbeziehungen mit dem Fintech-Institut oder mit den Kunden des Fintech-Instituts. Bei Letzteren tritt das Fintech-Institut nicht als Vertragspartei, sondern als Vermittler auf. Die Wesentlichkeit ist in der Regel zu bejahen, wenn der Dienstleister auf kritische Daten des Beaufsichtigten zugreift und diese Daten extrahieren oder gar manipulieren könnte. Für die Wesentlichkeit einer Auslagerung spricht auch, wenn ein Ausfall des Dienstleisters die operative Tätigkeit des Beaufsichtigten direkt beeinträchtigt. Tendenziell sind immer mehr Funktionen aufgrund ihrer direkten, operativen Abhängigkeit als wesentlich einzustufen.
86In der Regel ist im Rahmen der Tätigkeit von Fintech-Instituten bei folgenden Dienstleistungen und Funktionen von einer wesentlichen Auslagerung auszugehen:
Software und Serverdienstleistungen, die über einen einfachen Support hinausgehen, sofern damit die operative Tätigkeit unmittelbar beeinflusst wird;
Kernbankensystem (sofern eine direkte, zeitkritische Abhängigkeit besteht);
Cloud-basierte IT-Infrastruktur;
SaaS-Lösungen, sofern der Betrieb beim Dienstleister erfolgt und damit eine direkte Abhängigkeit für die operative Tätigkeit besteht);
SIC-Gateway;
BIN/SIC-Sponsor (im Gegensatz zu Kartenherausgebern);
Anbieter von Fremdwährungstransaktionen, sofern eine Integration der Dienste stattfindet, die weit über die traditionelle Korrespondenzbankbeziehung hinausgeht;
Anbieter von Geldwechseldienstleistungen, sofern der Prozess für die Dienstleistung des Fintech-Instituts kritisch ist;
sämtliche Kontrollfunktionen/-instanzen: Risikokontrolle, Compliance-Funktion, Geldwäschereifachstelle, Interne Revision;
KYC-Systeme (Identifizierung und Verifizierung bei Zugriff auf kritische Daten);
Zwei-Faktor-Identifizierung;
Transaktionsüberwachung;
Funktion als Datenschutzdelegierten/-berater.
87Nicht wesentlich sind in der Regel folgende ausgelagerten Dienstleistungen und Funktionen:
Überprüfungsdienstleistungen (von Wohnadressen oder Mobilnummern);
die Bereitstellung von Grundinfrastruktur (z.B. Internet) und Datenbanken (bspw. Sanktionslisten für KYC);
typische Stabsdienstleistungen (wie Rechtsberatung, Wirtschaftsberatung, Buchhaltung, Rechnungslegung, Steuerberatung, Personalwesen, Öffentlichkeitsarbeit und Kommunikation sowie Marketing), da diese einfacher zu ersetzen sind und grundsätzlich keine Abhängigkeiten bestehen.
c. Inventar
88Fintech-Institute müssen ein aktuelles Inventar der ausgelagerten Funktionen führen. Dieses enthält eine Beschreibung der ausgelagerten Funktion, nennt die Leistungserbringer (inkl. Unterauftragnehmer) und Leistungsempfänger sowie die verantwortliche Stelle im Unternehmen.
d. Risikoanalyse
89Im Rahmen der Auslagerung hat die Gesuchstellerin eine Risikoanalyse zu erstellen, welche die wesentlichen wirtschaftlichen und betrieblichen Erwägungen sowie die damit verbundenen Risiken und Chancen umfasst.
e. Auswahl, Instruktion und Kontrolle Dienstleisters
90Bei der Auswahl des Dienstleisters sind dessen fachliche Eignung sowie dessen finanziellen und personellen Ressourcen zu berücksichtigen und zu prüfen.
91Im Rahmen der Instruktion sind die Zuständigkeiten des Unternehmens und des Dienstleisters vertraglich festzulegen und abzugrenzen, insbesondere im Hinblick auf Schnittstellen und Verantwortlichkeiten.
92Die ausgelagerte Funktion ist in das IKS des Unternehmens zu integrieren. Die mit der Auslagerung verbundenen wesentlichen Risiken sind systematisch zu identifizieren, zu überwachen, zu quantifizieren und zu steuern. Innerhalb des Unternehmens ist eine verantwortliche Stelle zu benennen, die für die Überwachung und Steuerung des Dienstleisters zuständig ist. Die Leistungen des Dienstleisters sind laufend zu überwachen und zu bewerten, damit gegebenenfalls notwendige Massnahmen zeitnah eingeleitet werden können.
f. Prüfung und Aufsicht
93Das Unternehmen und dessen Prüfgesellschaft sowie die FINMA müssen dazu in der Lage sein, die Einhaltung der aufsichtsrechtlichen Bestimmungen beim Dienstleister zu überprüfen. Zu ihren Gunsten ist ihnen vertraglich ein jederzeitiges, uneingeschränktes und ungehindertes Einsichts- und Prüfungsrecht in Bezug auf die ausgelagerte Funktion einzuräumen.
94Prüftätigkeiten können an die Revisionsstelle des Dienstleisters delegiert werden, sofern diese über die notwendige fachliche Kompetenz verfügt. Im Falle einer solchen Delegation kann sich die Prüfgesellschaft des Unternehmens auf die Prüfungsergebnisse der Revisionsstelle des Dienstleisters stützen.
95Die Auslagerung einer Funktion darf die Aufsicht durch die FINMA nicht erschweren, insbesondere nicht bei einer Auslagerung ins Ausland.
96Untersteht der Dienstleister nicht der Aufsicht der FINMA, hat sich dieser gegenüber der Gesuchstellerin vertraglich zu verpflichten, der FINMA sämtliche Auskünfte und Unterlagen über den ausgelagerten Geschäftsbereich zur Verfügung zu stellen, die diese für ihre Aufsichtstätigkeit benötigt. Werden Prüftätigkeiten an die Revisionsstelle des Dienstleisters delegiert, so ist deren Bericht der FINMA, der internen Revisionsstelle und der Prüfgesellschaft des auslagernden Unternehmens auf Verlangen zur Verfügung zu stellen.
g. Auslagerungsverträge
97Entsprechend den mit der Auslagerung verfolgten Zielen sind die Anforderungen an die Leistungserbringung vor Vertragsabschluss festzulegen und zu dokumentieren. Dazu gehört eine Risikoanalyse, welche die wesentlichen wirtschaftlichen und betrieblichen Erwägungen sowie die damit verbundenen Risiken und Chancen umfasst.
98Die Zuständigkeiten der Gesuchstellerin und des Dienstleisters sind vertraglich festzulegen und abzugrenzen, insbesondere im Hinblick auf Schnittstellen und Verantwortlichkeiten.
99Die Gesuchstellerin muss sich für die Überwachung und Kontrolle des Dienstleisters erforderlichen Weisungs- und Kontrollrechte vom Dienstleister vertraglich einräumen lassen.
100Zur Prüfung der Einhaltung der aufsichtsrechtlichen Bestimmungen beim Dienstleister ist vertraglich ein jederzeitiges, vollumfängliches und ungehindertes Einsichts- und Prüfrecht in Bezug auf die ausgelagerte Funktion einzuräumen.
101Untersteht der (ausländische) Dienstleister nicht der Aufsicht der FINMA, so hat er sich gegenüber dem Unternehmen vertraglich zu verpflichten, der FINMA sämtliche für die Aufsichtstätigkeit erforderlichen Auskünfte und Unterlagen über den ausgelagerten Geschäftsbereich zur Verfügung zu stellen.
102Die Auslagerung muss auf einem schriftlichen Vertrag oder einem Vertrag in einer anderen Form beruhen, die den Nachweis durch Text ermöglicht. Dieser hat neben der Bezeichnung der Parteien und der Funktionsbeschreibung mindestens die im FINMA-RS 2018/3 verankerten Inhalte zu enthalten.
103Das Institut stellt sicher, dass es über den Beizug oder Wechsel von Unterakkordanten, die wesentliche Funktionen erbringen, frühzeitig informiert wird. Werden solche Unterakkordanten beigezogen, sind ihnen die Pflichten und Zusicherungen des Dienstleisters, die zur Erfüllung des FINMA-RS 2018/3 erforderlich sind, zu überbinden.
104Im Allgemeinen sind vertragliche Regelungen zur Umsetzung der Anforderungen des FINMA-RS 2018/3 zu treffen.
105Das Institut hat die internen Bewilligungsverfahren für Auslagerungsprojekte sowie die Zuständigkeiten für entsprechende Vertragsabschlüsse festzulegen.
h. Berichterstattung
106Die Umsetzung der erforderlichen Überwachung und Kontrolle des Dienstleisters kann bei Fintech-Instituten durch eine regelmässige Berichterstattung einer unabhängigen Revisionsstelle unter Berücksichtigung der Delegierbarkeit der Prüftätigkeiten an die Revisionsstelle des Dienstleisters erfolgen. Diese Berichterstattung muss eine Beurteilung der mit dem Outsourcing verbundenen wesentlichen Risiken und Kontrollaktivitäten des Dienstleisters ermöglichen.
i. Gruppensachverhalte
107Bei den Anforderungen an die Auswahl, Instruktion und Kontrolle des Dienstleisters sowie den vertraglichen Voraussetzungen kann die Verbundenheit im Konzern/in der Gruppe berücksichtigt werden, sofern die mit der Auslagerung typischerweise verbundenen Risiken nachweislich nicht bestehen oder gewisse Anforderungen nicht relevant oder anders geregelt sind.
j. Verantwortung und Sicherheit
108Das Fintech-Institut bleibt gegenüber der FINMA weiterhin verantwortlich, wie wenn es die ausgelagerte Funktion selbst erbringen würde. Es hat die ordnungsgemässe Geschäftsführung jederzeit zu gewährleisten.
109Bei sicherheitsrelevanten Auslagerungen (namentlich im Bereich IT) legen das Institut und der Dienstleister vertragliche Sicherheitsanforderungen fest. Deren Einhaltungen sind vom Unternehmen zu überwachen.
110Das Institut und der Dienstleister erarbeiten in diesem Rahmen ein Sicherheitsdispositiv, das die Weiterführung der ausgelagerten Funktion im Notfall ermöglicht. Bei der Einrichtung und Anwendung des Sicherheitsdispositivs wendet das Unternehmen denselben Sorgfaltsmassstab an, wie wenn es die ausgelagerte Funktion selbst erbringen würde.
k. Auslagerungen ins Ausland
111Auslagerungen ins Ausland sind zulässig, sofern das Institut ausdrücklich zusichern kann, dass es selbst, seine Prüfgesellschaft sowie die FINMA ihre Einsichts- und Prüfrechte wahrnehmen und durchsetzen können. Die Sanierbarkeit bzw. Abwickelbarkeit des Instituts in der Schweiz muss zudem gewährleistet sein. Der Zugriff auf die dafür notwendigen Informationen muss schliesslich jederzeit in der Schweiz möglich sein.
l. Auflagen und Ausnahmen
112Die FINMA kann dem Fintech-Institut in begründeten Fällen Auflagen machen oder dieses von der Einhaltung des FINMA-RS 2018/3 ganz oder teilweise befreien.
113Die Institute beurteilen und entscheiden über die Relevanz und Umsetzung der Vorgaben bezüglich Auswahl des Dienstleisters im Rahmen ihrer Risikoanalyse.
114Fintech-Institute sind in Bezug auf die Rückführung der ausgelagerten Funktion von der Anforderung der geordneten Rückführung befreit. Die Integration der ausgelagerten Funktion in das interne Kontrollsystem kann bei Fintech-Instituten durch eine regelmässige Berichterstattung einer unabhängigen Revisionsstelle erfolgen. Diese Berichterstattung muss eine Beurteilung über die mit der Auslagerung verbundenen wesentlichen Risiken und Kontrollaktivitäten des Dienstleisters ermöglichen.
C. Corporate Governance: Risikomanagement, interne Kontrollen und Compliance (Abs. 3 lit. b)
1. Grundlagen
115 Fintech-Institute müssen über ein angemessen ausgestattetes Risikomanagement und ein wirksames IKS verfügen, das insbesondere die Einhaltung der gesetzlichen und unternehmensinternen Vorschriften (Compliance) sicherstellt (Art. 1b Abs. 3 lit. b BankG und Art. 14e Abs. 1 BankV).
116Das Risikomanagement umfasst die organisatorischen Strukturen sowie die Methoden und Prozesse, die der Festlegung von Risikostrategien und Risikosteuerungsmassnahmen sowie der Identifikation, Analyse, Bewertung, Bewirtschaftung, Überwachung und Berichterstattung von Risiken dienen.
117Das IKS umfasst die Gesamtheit der Kontrollstrukturen und -prozesse, die auf allen Ebenen des Instituts die Grundlage für die Erreichung der geschäftspolitischen Ziele und für einen ordnungsgemässen Institutsbetrieb bilden. Dabei enthält das IKS nicht nur Aktivitäten der nachträglichen Kontrolle, sondern auch solche der Planung und Steuerung. Der Fokus des IKS liegt auf der Erreichung der Unternehmensziele, dem Schutz des Unternehmensvermögens, der Gewährleistung sicherer Prozesse sowie der Verhinderung bzw. Aufdeckung von Unregelmässigkeiten. Ein wirksames IKS umfasst unter anderem in die Arbeitsabläufe integrierte Kontrollaktivitäten, angemessene Risikomanagement- und Compliance-Prozesse sowie der Grösse, Komplexität und dem Risikoprofil des Instituts angemessene Kontrollinstanzen, insbesondere eine unabhängige Risikokontroll- und Compliance-Funktion.
118Als Beispiele für potenzielle Risiken gelten interne IKT-Funktionsstörungen, Schwierigkeiten im Zusammenhang mit externen Funktionen, Pandemien, der Verlust essentiellen Personals oder Schlüsselkunden, Liquiditätsengpässe, Rechtsrisiken, Cyber-Attacken, Systemausfälle, Versagen von Lieferketten, grossflächige oder andauernde Stromausfälle, Naturkatastrophen, Datenverlust, Abhängigkeiten von Drittdienstleistern, Reputationsschäden, neue Regulierungsvorschriften, Geldwäschereirisiken, Terrorismus, Betrug, Verzögerungen der Zahlungsinfrastruktur oder Währungsrisiken.
119Als Compliance gilt die Einhaltung von gesetzlichen, regulatorischen und internen Vorschriften sowie die Beachtung von marktüblichen Standards und Standesregeln.
120Fintech-Institute sorgen demnach für eine wirksame Erfassung, Beurteilung, Bewirtschaftung und Überwachung der mit ihrer Tätigkeit verbundenen Risiken und für ein wirksames internes Kontrollsystem (Art. 14e Abs. 1 BankV). In internen Dokumentationen und Weisungen ist festzuhalten, wie die genannten Anforderungen erfüllt werden (Art. 14e Abs. 2 BankV).
121Das Bankgeheimnis gilt auch für Organe, Angestellte, Beauftragte oder Liquidatoren von Fintech-Instituten (Art. 47 Abs. 1 lit. a BankG).
122Das FINMA-RS 2017/1 «Corporate Governance - Banken« findet angemessenerweise auf Fintech-Institute keine Anwendung, da dies aufgrund des dort statuierten Verhältnismässigkeitsprinzips nicht weiterführend wäre.
123Das FINMA-Rundschreiben 2023/01 «Operationelle Risiken und Resilienz – Banken» findet hingegen direkte Anwendung auf Fintech-Institute, wobei gewisse Bestimmungen für Fintech-Institute nicht gelten.
2. Unabhängige Kontrollfunktionen
124Die mit der Überwachung der Compliance und dem Risikomanagement betrauten Stellen müssen intern vom gewinnorientierten Geschäft unabhängig sein (Art. 14e Abs. 3 BankV). Die FINMA kann im Einzelfall Erleichterungen von diesen Anforderungen gewähren, wenn das Fintech-Institut: a) einen Bruttoertrag von weniger als CHF 1.5 Mio. erzielt; oder b) den Nachweis erbringt, dass es über ein risikoarmes Geschäftsmodell verfügt (Art. 14e Abs. 5 BankV).
125Das Fintech-Institut kann für die Überwachung der Compliance und das Risikomanagement Dritte beiziehen, sofern diese über die für diese Tätigkeit erforderlichen Fähigkeiten, Kenntnisse und Erfahrungen sowie über allfällig notwendigen Bewilligungen verfügen. Es instruiert und überwacht die beigezogenen Dritten sorgfältig (Art. 14e Abs. 4 BankV).
126Fintech-Institute implementieren in der Regel zwei interne Kontrollinstanzen bzw. Verteidigungslinien
127In der Regel ist mit der Risikokontrolle und der Compliance-Funktion nur eine zweite Verteidigungslinie erforderlich. Die für die Risikokontrolle und Compliance zuständigen Stellen müssen vom ertragsorientierten Geschäft unabhängig sein. Ob die Ausnahmebestimmung von Art. 14e Abs. 4 BankV zur Anwendung kommt, ist im Einzelfall zu prüfen. Bei der Beurteilung im Einzelfall ist insbesondere auf das Risiko von Interessenkonflikten abzustellen. Sind Interessenkonflikte nicht auszuschliessen, muss in jedem Fall eine unabhängige Risikomanagement- und Compliance-Funktion bestehen. Weiter sind die Fähigkeiten und Kenntnisse der involvierten Personen sowie eine allfällige bereits bestehende Geschäftstätigkeit zu berücksichtigen.
128Das BankG und insbesondere Art. 14e BankV nennen die interne Revision für Fintech-Institute nicht als (mutmasslich zwingendes) Mittel des IKS. Eine interne Revision ist somit für Fintech-Institute nicht zwingend erforderlich. Ob eine solche vorhanden sein muss, hängt aus Risikoüberlegungen im Wesentlichen vom konkreten Einzelfall ab, d.h. von der Grösse und der Geschäftstätigkeit sowie der bestehenden Organisation. In der Regel kann auf eine interne Revision verzichtet werden.
3. Risikomanagement
a. Zuständigkeiten
129Das Management operationeller Risiken ist Teil des institutsweiten Risikomanagements.
130Das Oberleitungsorgan genehmigt die Grundzüge des Managements der für das Institut relevanten operationellen Risiken und überwacht deren Einhaltung. Es genehmigt mindestens jährlich die Risikotoleranz für operationelle Risiken im Einklang mit der Risikopolitik und unter Berücksichtigung der strategischen und finanziellen Ziele des Instituts. Dabei berücksichtigt es die Ergebnisse der Risiko- und Kontrollbeurteilungen. Es akzeptiert entweder das Ausmass, in dem das Institut operationellen Risiken ausgesetzt ist, oder entscheidet über eine Anpassung der Risikotoleranz und die dafür notwendigen strategischen Änderungen wie z.B. eine Änderung des Geschäftsmodells.
131Das Oberleitungsorgan genehmigt in diesem Rahmen regelmässig dokumentierte Strategien für den Umgang mit der IKT, den Cyber-Risiken, den kritischen Daten und dem BCM, und überwacht deren Einhaltung.
132Die Geschäftsleitung stellt nachvollziehbar sicher, dass die operationellen Risiken identifiziert, beurteilt, begrenzt und überwacht werden und dass sowohl die Konzeption als auch die Umsetzung dieses Managements der operationellen Risiken regelmässig auf ihre Wirksamkeit überprüft werden. Zur Begrenzung der als wesentlich eingeschätzten inhärenten Risiken (sog. «Top-Risiken» oder «Schlüsselrisiken») ergreift sie situativ ergänzende oder verstärkende risikospezifische Massnahmen.
133Bei Bedarf definiert die FINMA im Rahmen der laufenden Aufsicht für spezifische Themen weitergehende Anforderungen an das Management der operationellen Risiken. Dies geschieht nach dem Grundsatz der Verhältnismässigkeit.
b. Inventarisierung
134Die operationellen Risiken sind institutsweit einheitlich zu kategorisieren und in einem Inventar zu erfassen. Die Kategorisierung kann in Anlehnung an die Kategorisierung der Ereignistypen für die Berechnung des Mindesteigenmittelerfordernisses für operationelle Risiken oder mittels einer internen Taxonomie erfolgen. Die Kategorisierung ist in allen Bereichen des Instituts und in allen Komponenten des Managements operationeller Risiken konsistent anzuwenden.
c. Identifikation
135Die operationellen Risiken umfassen insbesondere IKT-Risiken, Cyber-Risiken, Risiken im Zusammenhang mit kritischen Daten, Risiken aus der Ausgestaltung und Umsetzung des BCM sowie gegebenenfalls Risiken aus dem grenzüberschreitenden Dienstleistungsgeschäft.
136Bei der Identifikation operationeller Risiken sind sowohl interne als auch externe Faktoren zu berücksichtigen. Die identifizierten operationellen Risiken sind sowohl unter dem Aspekt der inhärenten Risiken als auch unter dem Aspekt der Restrisiken nachvollziehbar zu bewerten. Zu den internen Faktoren zählen z.B. Veränderungen bei Produkten, Aktivitäten, Prozessen und Systemen sowie Prüfergebnisse und interne Verluste aus operationellen Risiken. Externe Faktoren sind z.B. erkannte Verlustereignisse anderer Institute, Veränderungen der Sicherheitslage (z.B. durch Umwelteinflüsse, Cyber-Attacken oder Terrorismus) oder Veränderungen der regulatorischen Anforderungen.
137Die Identifikation und Beurteilung der operationellen Risiken muss sich mindestens auf die Prüfergebnisse und auf regelmässig durchgeführte Risiko- und Kontrollbeurteilungen stützen. Prüfergebnisse sollten (sofern vorhanden) Resultate der internen Revision und der externen Prüfgesellschaft, sowie Ergebnisse von Überprüfungen durch bspw. die Geschäfts- und Organisationsbereiche, die Risikokontrolle, die Compliance-Funktion oder Aufsichtsbehörden umfassen.
d. Risikotoleranz
138Die Risikotoleranz für operationelle Risiken berücksichtigt sowohl die Toleranz in Bezug auf inhärente als auch auf residuale operationelle Risiken und wird anhand von Risiko- oder Kontrollindikatoren überwacht.
139Die Risikotoleranz in Bezug auf inhärente Risiken berücksichtigt strategische Entscheidungen in Bezug auf das Geschäfts- oder Betriebsmodell, z.B. die Toleranz gegenüber inhärenten Risiken, die mit der Bedienung bestimmter Kundensegmente oder Länder, dem Angebot bestimmter Produkte, der Verwendung überwiegend manueller Prozesse, der Abhängigkeit von einer komplexen IT-Infrastruktur oder bestimmten Auslagerungen verbunden sind.
e. Mitarbeiterschulung
140Massnahmen zur Sensibilisierung der Mitarbeitenden zur Reduktion der relevanten operationellen Risiken, insbesondere der IKT-Risiken, der Cyber-Risiken, der Risiken im Zusammenhang mit kritischen Daten und der Risiken aus der Ausgestaltung und Umsetzung des BCM sind unter Berücksichtigung ihrer Aufgaben, Kompetenzen und Verantwortlichkeiten umzusetzen.
f. Kontrolle
141Zur Beurteilung der bestehenden Kontroll- und Minderungsmassnahmen ist insbesondere eine regelmässige Beurteilung der Wirksamkeit der Schlüsselkontrollen durch eine unabhängige Prüfstelle durchzuführen und zu dokumentieren (sog. Design Effectiveness und Operating Effectiveness Testing). Schlüsselkontrollen sind dabei diejenigen Kontroll- und Minderungsmassnahmen, welche die als wesentlich beurteilten inhärenten Risiken minimieren.
142Darüber hinaus ist die Funktionstrennung der Aufgaben, Kompetenzen und Verantwortlichkeiten zur Sicherstellung der Unabhängigkeit und zur Vermeidung von Interessenkonflikten regelmässig zu überprüfen. Die Risiko- und Kontrollbeurteilungen haben die inhärenten Risiken, die Wirksamkeit der bestehenden Kontroll- und Minderungsmassnahmen und die Restrisiken zu berücksichtigen.
143Vor wesentlichen Änderungen von Produkten, Tätigkeiten, Prozessen und Systemen sind Ad-hoc-Risiko- und Kontrollevaluationen unter Berücksichtigung der operationellen Risiken in Bezug auf den Änderungsprozess und den Zielzustand durchzuführen. Bei Bedarf muss das Institut die Risikotoleranz anpassen und Kontroll- und Mitigierungsmassnahmen umsetzen.
g. Berichterstattung
144Die Risikokontrolle erstattet dem Oberleitungsorgan mindestens jährlich und der Geschäftsleitung mindestens halbjährlich Bericht über die operationellen Risiken auf der obersten Stufe der Kategorisierung, deren Vergleich mit der festgelegten Risikotoleranz sowie über Einzelheiten zu wesentlichen internen Verlusten.
145In Bezug auf die relevanten IKT- und Cyber-Risiken enthält die mindestens jährliche Berichterstattung an die Geschäftsleitung zudem Informationen über die Entwicklung dieser Risiken, die Wirksamkeit der entsprechenden Schlüsselkontrollen sowie über wesentliche interne und externe Ereignisse im Zusammenhang mit diesen Risiken.
h. IKT-Risiken
a. Strategie und Governance
146Das Management der IKT-Risiken hat die einschlägigen international anerkannten Standards und Praktiken sowie den Einfluss von neuen technologischen Entwicklungen auf die IKT-Risiken zu berücksichtigen.
147Die Geschäftsleitung stellt sicher, dass sowohl für das Änderungsmanagement (sog. Change Management) als auch für den IKT-Betrieb (sog. Run, Maintenance) Verfahren, Prozesse und Kontrollen sowie Aufgaben, Kompetenzen und Verantwortlichkeiten implementiert und dokumentiert sind. Diese sind mit qualifizierten und angemessenen Ressourcen auszustatten.
b. Änderungsmanagement
148Für sämtliche Phasen der Entwicklung oder Beschaffung von IKT hat das Änderungsmanagement Verfahren, Prozesse und Kontrollen festzulegen. In jeder dieser Phasen hat es dabei die Auswirkungen der Änderung auf die IKT-Risiken zu berücksichtigen – insbesondere die Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit.
149Das Fintech-Institut hat eine Trennung zwischen der Entwicklungs- oder Testumgebung und der IKT-Produktionsumgebung sicherzustellen. Dazu gehört auch eine eindeutige Zuordnung von IKT und eine Regelung der damit verbundenen Zugangsberechtigungen.
150Bei der Entwicklung und Beschaffung von IKT sind die funktionalen und nicht-funktionalen Anforderungen klar zu definieren, zu genehmigen und entsprechend ihrer Kritikalität zu testen und zu validieren.
c. IKT-Betrieb
151Das Fintech-Institut hat im Rahmen des IKT-Betriebs ein oder mehrere Inventare der IKT-Komponenten zu führen. Das Inventar umfasst Hardware- und Softwarekomponenten sowie die Speicherorte kritischer Daten und berücksichtigt sowohl Abhängigkeiten innerhalb des Instituts als auch Schnittstellen zu wichtigen externen Dienstleistern. Das Inventar muss zeitnah verfügbar sein und muss regelmässig auf Vollständigkeit und Richtigkeit überprüft und aktualisiert werden.
152Ferner hat das Institut über Verfahren, Prozesse und Kontrollen zu verfügen, welche die Vertraulichkeit, Integrität und Verfügbarkeit der IKT-Produktionsumgebung unter Berücksichtigung der jeweiligen Risikotoleranz sicherstellen.
153In diesem Rahmen ist zu gewährleisten, dass es im Falle einer erheblichen Störung oder Unterbrechung einen reibungslosen Übergang vom IKT-Betrieb zu seinen Business Continuity Plan (BCP)- und Disaster Recovery Plan (DCP)-Prozessen gewährleisten kann. Dazu implementiert das Institut angemessene Backup- und Wiederherstellungsprozesse, die regelmässig getestet und validiert werden.
154Schliesslich hat das Institut auch Verfahren, Prozesse und Kontrollen umzusetzen, die einen risikobasierten Umgang mit IKT sicherstellen, wenn das Betriebsende bevorsteht oder die geplante Ausserbetriebnahme überschritten wurde.
d. Vorfallmanagement
155Das Fintech-Institut verfügt über Verfahren, Prozesse und Kontrollen zur Behandlung von wesentlichen IKT-Vorfällen, einschliesslich solcher, die sich aus Abhängigkeiten von wesentlichen externen Dienstleistern und konzerninternem Outsourcing ergeben. Dabei ist der gesamte Lebenszyklus wesentlicher IKT-Vorfälle zu berücksichtigen und es sind Aufgaben, Kompetenzen und Verantwortlichkeiten zur Behandlung dieser Vorfälle zu definieren.
156Die Behandlung von wesentlichen IKT-Vorfällen ist mit den BCM- und DRP-Prozessen abzustimmen und zu verknüpfen.
157IKT-Vorfälle, die vom Institut als wesentliche Störung der Erbringung seiner kritischen Prozesse eingestuft werden und für die Aufsicht von Bedeutung sind, müssen der FINMA unverzüglich zu gemeldet werden.
i. Cyber-Risiken
158Das Institut hat auch in Bezug auf Cyber-Risiken klare Aufgaben, Kompetenzen und Verantwortlichkeiten zu definieren. Dabei hat es mindestens die folgenden Aspekte in Übereinstimmung mit international anerkannten Standards und Praktiken abzudecken, deren wirksame Umsetzung durch geeignete Verfahren, Prozesse und Kontrollen sicherzustellen und diese kontinuierlich weiterzuentwickeln und zu verbessern:
Identifikation des institutsspezifischen Bedrohungspotenzials durch Cyber-Angriffe und Abschätzung der möglichen Auswirkungen bei Ausnutzung von Schwachstellen bezüglich der inventarisierten Bestandteile der IKT und der elektronischen kritischen Daten;
Schutz der inventarisierten Bestandteile der IKT und der elektronischen kritischen Daten vor Cyber-Angriffen durch Umsetzung geeigneter Schutzmassnahmen (wie z.B. Datensicherung (Back-ups), Wiederherstellungspläne, Cyber-Training der Mitarbeitenden, Teilnahme an Bug Bounty-Programmen oder Quellcode-Sicherheitsüberprüfungen)
FINMA, Aufsichtsmitteilung 03/2024, S. 6; FINMA, Erläuterungen zu RS 2008/21, S. 16. , insbesondere bezüglich Vertraulichkeit, Integrität und Verfügbarkeit;zeitnahe Aufzeichnung und Erkennung von Cyber-Attacken auf Basis eines Prozesses zur systematischen und durchgängigen Überwachung der inventarisierten Bestandteile der IKT und der elektronischen kritischen Daten;
Reaktion auf identifizierte Schwachstellen und Cyber-Attacken durch die Entwicklung und Implementierung angemessener Prozesse, um zeitnah Massnahmen für die Eindämmung und Beseitigung einzuleiten; und
Sicherstellung einer zeitnahen Wiederherstellung des ordentlichen Geschäftsbetriebs nach Cyber-Attacken durch geeignete Massnahmen.
159Die Gesuchstellerin hat die relevanten IKS-Kontrollen zu Cybersicherheitsrisiken auszuweisen sowie die entsprechenden Evidenzdokumente (Verfahren, Prozesse und Kontrollen, um einen solchen Cyber-Angriff zu erkennen, einzudämmen und zu beseitigen) im Rahmen der Cyberrisikoanalyse einzureichen.
160Cyber-Risiken gehören zu den operationellen Risiken und sind nicht mit IKT-Risiken gleichzusetzen. Cyber-Risiken haben stärkere externe Einflussfaktoren wie die Ausnutzung von Schwachstellen über unterschiedliche Angriffsvektoren, etwa bei Ransomware- oder Distributed Denial of Service (DDoS)-Attacken
161Das Cyber-Risikomanagement hat sicherzustellen, dass ein erfolgreicher oder teilweise erfolgreicher Cyber-Angriff hinsichtlich seiner Bedeutung für die inventarisierten kritischen IKT-Bestandteile bzw. kritischen elektronischen Daten sowie kritischen Prozesse (inkl. ausgelagerte Dienstleistungen und Funktionen) analysiert wird und die Meldepflicht an die FINMA eingehalten wird.
162Nach erfolgter Erstbeurteilung der Kritikalität und formlosen Vororientierung an den zuständigen Key Account Manager der FINMA innerhalb von 24 Stunden ist die Meldung gemäss Anforderungskatalog der Erhebungsplattform EHP (Pflichtfelder) innerhalb von 72 Stunden zu übermitteln.
163Die Geschäftsleitung lässt regelmässig Verwundbarkeitsanalysen (Analyse zur Identifikation bestehender Software-Schwachstellen und Sicherheitslücken in der IT-Infrastruktur) und Penetrationstests (gezielte Prüfung und Ausnützen von Software-Schwachstellen und Sicherheitslücken in der IKT) durchführen. Diese müssen von qualifiziertem Personal mit angemessenen Ressourcen durchgeführt werden. Dabei sind alle inventarisierten Komponenten der IKT zu berücksichtigen, die über das Internet erreichbar sind. Darüber hinaus sind inventarisierte Bestandteile der IKT zu berücksichtigen, die nicht über das Internet erreichbar sind, aber für die Erbringung kritischer Prozesse notwendig sind oder elektronische kritische Daten enthalten.
164Auf Basis der institutsspezifischen Bedrohungspotenziale sind risiko- und szenariobasierte Cyber-Übungen durchzuführen. Die Ergebnisse der Übungen sind in geeigneter Form zu dokumentieren und zu berichten.
j. Risiken kritischer Daten
165Das Fintech-Institut hat die Grundzüge des Managements der Risiken kritischer Daten zu regeln, die für das Institut relevant sind, und muss deren Einhaltung überwachen.
166Kritische Daten in Bezug auf Vertraulichkeit, d.h. vertrauliche Daten, sind Geschäftsinformationen oder kunden- oder personenbezogene Daten, die vor unberechtigtem Zugriff geschützt werden müssen, um die Privatsphäre oder Sicherheit einer Person oder einer Organisation zu schützen.
167Kritische Daten in Bezug auf Integrität oder Verfügbarkeit sind vom Institut risikobasiert zu definieren. Die Kritikalität dieser Daten bezieht sich auf die Fähigkeit des Instituts, effizient und effektiv (oder überhaupt) zu arbeiten. Jene kritischen Daten sind somit lebensnotwendig für das Funktionieren des Instituts. Solche missionskritischen Daten» sind bspw. Daten in Finanzberichten (sowohl intern als auch extern), regulatorischen Berichten sowie Daten für einen Entscheidungsprozess, eine technische Realisierung oder zur Messung der Unternehmensleistung. Wenn diese Art von Daten beschädigt oder zerstört werden oder nicht mehr zugänglich sind, können das Institut und seine Einheiten und Mitarbeitende ihre Aufgaben möglicherweise nicht mehr erfüllen.
168Die kritischen Daten sind entlang ihres gesamten Lebenszyklus zu verwalten. Der Lebenszyklus umfasst Datenverantwortlichkeiten, Datensammlung, Ablageort, Unterhalt, Aufbewahrung (Retention), Löschung und Entsorgung. Er berücksichtigt zudem Aspekte der Produktion, Anreicherung, Verarbeitung und Übertragung der kritischen Daten.
169Vorfälle, welche die Vertraulichkeit, Integrität oder Verfügbarkeit von kritischen Daten wesentlich beeinträchtigen, sind der FINMA unverzüglich zu melden.
170Bei der Auswahl von Dienstleistern, die kritische Daten bearbeiten (d.h. jeder Umgang damit) oder einsehen können, ist der Sorgfaltsprüfung (Due Diligence) grosse Bedeutung beizumessen. Es sind klare Kriterien für die Beurteilung des Umgangs der Dienstleister mit kritischen Daten zu definieren und vor Vertragsabschluss zu prüfen. Die Dienstleister sind im Rahmen des internen Kontrollsystems des Instituts risikoorientiert periodisch zu überwachen und zu kontrollieren.
k. Business Continuity Management
171Jeder relevante Geschäfts- und Organisationsbereich hat im Rahmen der Business Impact Analyse (BIA) seine kritischen Prozesse und die dafür benötigten Ressourcen (insb. betreffend Personal, Einrichtungen (bspw. Gebäude, Arbeitsplatzinfrastruktur), Informationen, IT-Systeme oder IT-Infrastruktur etc.) zu identifizieren und der FINMA vorzulegen.
172Für die kritischen Prozesse hat das Institut die Recovery Time Objective (RTO) und Recovery Point Objective (RPO) mittels Zeitspannen zu definieren und der FINMA vorzulegen. Diese sind mit den dafür notwendigen Leistungserbringern abzustimmen. Die Einhaltung der RTO und RPO ist durch Service Level Agreements oder Verträge zu regeln oder durch andere geeignete Verfahren, Prozesse und Kontrollen sicherzustellen.
173Das Institut muss mindestens einen BCP definieren und der FINMA vorlegen, der auch die den Plan auslösenden Umstände und Entscheidungsprozesse beschreibt und den Verlust von Ressourcen berücksichtigt. Die Akzeptanz von Restrisiken ist angemessen zu dokumentieren.
174Das Institut definiert mindestens einen DRP als Teil des BCP. Werden kritische Prozesse oder Teile davon ausgelagert, hat der DRP externe Abhängigkeiten und vertragliche Regelungen sowie Alternativlösungen zu berücksichtigen. Der DRP ist bei wesentlichen Änderungen ad hoc, mindestens jedoch jährlich zu überprüfen und zu aktualisieren.
175In Krisensituationen hat ein Krisenstab die Aufgabe der Krisenbewältigung bis zur Wiederherstellung eines ordnungsgemässen Zustandes zu übernehmen. Die krisenauslösenden Umstände und die Aufgaben, Kompetenzen und Verantwortlichkeiten des Krisenstabes sind vorab zu regeln und die Krisenorganisation ist auf die Geschäftstätigkeit und die geografische Struktur des Instituts auszurichten. Die Erreichbarkeit der Verantwortungsträger im Krisenfall ist sicherzustellen. Das Institut hat eine Kommunikationsstrategie für die interne und externe Kommunikation in Krisensituationen zu entwickeln.
176Die Umsetzung der BCP und DRP sowie die Funktionsfähigkeit der Krisenorganisation sind durch regelmässige Tests zu überprüfen. Hierfür ist eine systematische Planung zu erstellen, die eine regelmässige Abdeckung sicherstellt. Es können verschiedene Testansätze mit unterschiedlicher Intensität und Wirksamkeit gewählt werden, wie z.B. Table-Top-Übungen.
177Die Tests umfassen verschiedene schwerwiegende, aber plausible Szenarien und berücksichtigen Abhängigkeiten bei der Wiederherstellung, einschliesslich Abhängigkeiten von internen oder externen Dritten.
178Eine regelmässige Berichterstattung an das oberste Leitungsorgan und das Management informiert über die durchgeführten Test- und Prüfungstätigkeiten und deren Ergebnisse. Sie zeigt die vorgenommenen Priorisierungen (z.B. Priorisierung der für die Erbringung der kritischen Funktionen notwendigen kritischen Prozesse) und die identifizierten Lücken in der Abdeckung anderer kritischer Prozesse auf.
l. Risiken aus dem grenzüberschreitenden Dienstleistungsgeschäft
179Erbringen Institute oder ihre Gruppengesellschaften grenzüberschreitend Dienstleistungen oder vertreiben sie grenzüberschreitend Finanzprodukte, so sind auch die Risiken, die sich aus der Anwendung ausländischer Rechtsvorschriften (Steuer-, Straf-, Geldwäschereirecht usw.) ergeben, angemessen zu erfassen, zu begrenzen und zu überwachen. Die entsprechende Risikoanalyse ist der FINMA vorzulegen. Für die Sicherstellung der Einhaltung ausländischer Rechtsvorschriften sind der FINMA entsprechende Länder-Manuals vorzulegen.
180Die Institute unterziehen ihr grenzüberschreitendes Dienstleistungsgeschäft sowie den grenzüberschreitenden Vertrieb von Finanzprodukten einer vertieften Analyse der rechtlichen Rahmenbedingungen und der damit verbundenen Risiken. Auf der Grundlage dieser Analyse treffen die Institute die erforderlichen strategischen und organisatorischen Massnahmen zur Eliminierung und Minimierung der Risiken und passen diese laufend den sich ändernden Rahmenbedingungen an. Insbesondere verfügen sie über das notwendige länderspezifische Know-how, definieren länderspezifische Betreuungsmodelle, schulen die Mitarbeitenden und stellen die Einhaltung der Vorgaben durch entsprechende organisatorische Massnahmen, Weisungen, Vergütungs- und Sanktionsmodelle sicher. Die entsprechende Cross-Border-Weisung ist der FINMA vorzulegen.
181Die Risiken, die von externen Vermögensverwaltern, Vermittlern und anderen Dienstleistern ausgehen, sind ebenfalls zu berücksichtigen. Bei der Auswahl und Instruktion dieser Partner ist entsprechend sorgfältig vorzugehen.
182Unter diesen Grundsatz fallen auch Konstellationen, in denen eine im Ausland domizilierte Tochtergesellschaft, Zweigniederlassung oder dergleichen eines schweizerischen Instituts grenzüberschreitende Kundendienstleistungen erbringt.
m. Operationelle Resilienz
183Das Institut identifiziert seine kritischen Funktionen (strategisch wichtigste Operationen oder Leistungserbringungen)
184Im Rahmen der Prüfung der operationellen Resilienz hat die Gesuchstellerin kritische Funktionen zu definieren und eine höhere Unterbrechungstoleranz (z.B. 1-5 Tage) für jede kritische Funktion darzulegen. Die kritischen Funktionen sind vom BCM abzugrenzen und es ist eine übergeordnete Tolerance for Disruption zu definieren.
185Das Institut hat auf dieser Grundlage angemessene Massnahmen zur Sicherstellung der operationellen Resilienz unter Berücksichtigung schwerwiegender, aber plausibler Szenarien festzulegen.
4. Geldwäschereifachstelle
186Fintech-Institute unterstehen dem Geldwäschereigesetz (GwG)
187Fintech-Institute müssen unter anderem eine Geldwäschereirisikoanalyse erstellen, die verschiedene Elemente umfasst: In der Analyse muss zunächst die Risikotoleranz festgelegt werden, indem bestimmte Risiken explizit ausgeschlossen werden. Weiter ist in der Analyse festzuhalten, wie welche Geldwäschereirisiken berücksichtigt werden. Schliesslich hat das Fintech-Institut Kennzahlen und Schwellenwerte zu definieren, um die Einhaltung der eigenen Geschäftsstrategie und Risikopolitik sowie deren Entwicklung über die Jahre nachweisen zu können. Somit enthält die Risikoanalyse die wesentlichen Informationen über den angestrebten Umgang mit Geldwäschereirisiken.
188Inhaltlich hängt die Ausgestaltung der Geldwäschereirisikoanalyse stark von den effektiven sachlichen und geographischen Geschäftstätigkeiten des Fintech-Instituts ab. Als sinnvolle Risikokategorien können teilweise folgende dienen: a. Kundenstruktur (Länderrisiken, Kundensegmente, Beziehungsnähe zum Kunden, b. Art der Kundenbeziehung/komplexe Strukturen), c. Geschäftsaktivitäten (Produkte und Dienstleistungen), d. Geschäftsbeziehungen mit erhöhten Risiken (PEP, Sitzgesellschaften), e. Transaktionsbezogene Risiken und dergleichen.
189Finanzintermediäre müssen über eine angemessene Funktion zur Bekämpfung der Geldwäscherei und der Terrorismusfinanzierung (einschliesslich Sanktionsumgehung) verfügen. Die mit den Aufgaben betrauten Personen müssen entsprechend ausgebildet sein und über die notwendigen Ressourcen verfügen, um ihre Funktion angemessen wahrnehmen zu können. Die entsprechenden intern zu beachtenden Regelungen sind in geeigneter Form festzuhalten und den mit den Aufgaben betrauten Mitarbeitenden zur Verfügung zu stellen. Dabei sind die anwendbaren gesetzlichen Vorschriften intern umzusetzen.
190Für Fintech-Institute besteht die Möglichkeit, von organisatorischen Erleichterungen im Bereich der Geldwäschereifachstelle zu profitieren, sofern das Institut auch die Voraussetzungen für Erleichterungen im Bereich Compliance/Risikomanagement erfüllt (Art. 14e Abs. 5 BankV) und das Ziel der Bekämpfung der Geldwäscherei und der Terrorismusfinanzierung den Erleichterungen nicht entgegensteht (vgl. Art. 75a GwV-FINMA). Die FINMA kann je nach Geldwäschereirisiko weitere Erleichterungen zulassen oder Verschärfungen anordnen (vgl. Art. 3 Abs. 2 GwV-FINMA).
5. Dokumentation und Prozesse
191In der Regel haben Gesuchsteller für folgende Themen Richtlinien (Reglemente des Verwaltungsrats oder Weisungen der Geschäftsleitung) als Dokumentation einzureichen:
allgemeine Organisation und Zuständigkeiten betr. Risikomanagement (wird oft im OGR beschrieben);
Geschäftsstrategie und Risikopolitik;
Risikoanalyse;
allgemeines Risikomanagement;
allgemeine Kontrollmatrix (inkl. Zuständigkeiten, Periodizitäten und Kontrollinhalten);
Operationelle Risiken (inkl. IKT-/Cyber-Risiken, Risiken kritischer Daten und Datenschutz/-sicherheit und Business Continuity Management [BCM]);
Compliance im Allgemeinen;
Geldwäscherei und Sanktionen im Speziellen;
sofern Auslandsgeschäft: Cross-Border inkl. Länder-Manuals;
Auslagerungen (und entsprechende Auslagerungsverträge);
Verwahrung der Publikumseinlagen und Überwachung des Schwellenwerts von CHF 100 Mio.;
Mitarbeiterverhalten;
Umgang mit nachrichtenlosen Vermögenswerten (vgl. Art. 37l und Art. 37m BankG sowie Art. 45 ff. BankV);
bei Anwendbarkeit des FIDLEG: Verhalten/Conduct gegenüber Kunden.
6. Vermeidung von Interessenkonflikten
192Fintech-Institute müssen angemessene organisatorische Vorkehrungen treffen, um Interessenkonflikte, die bei der Erbringung ihrer Dienstleistungen entstehen können, zu vermeiden bzw. eine Benachteiligung der Kundinnen und Kunden durch Interessenkonflikte auszuschliessen. Kann ein Interessenkonflikt nicht ausgeschlossen werden, so ist dies offenzulegen (Art. 14g BankV) und die Kundinnen und Kunden sind entsprechend darüber zu informieren. Die Eigeninteressen der Bewilligungsträger und ihrer Mitarbeitenden dürfen den Interessen der Kundinnen und Kunden nicht entgegenstehen. Ebenso dürfen die Interessen der Kunden untereinander nicht kollidieren.
D. Finanzielle Anforderungen (Abs. 3 lit. c)
1. Geschäftsplan
193Die Gesuchstellerin hat einen Geschäftsplan inkl. Budget (Bilanz, Erfolgsrechnung) für die nächsten drei Geschäftsjahre mit optimistischem, realistischem und pessimistischem Szenario einzureichen. Die Liquiditätsplanung hat für das erste Geschäftsjahr gemäss pessimistischem Szenario des Geschäftsplans (auf monatlicher Basis) zu erfolgen.
194Fintech-Institute müssen über ein Geschäftsmodell verfügen, das die unabhängige und dauernde Einhaltung ihrer finanziellen Verpflichtungen sicherstellt. Einem zu tief angesetzten Bewilligungsmassstab und einem zu hohen Risikoappetit ist vorzubeugen. Sofern ein Institut aus strukturellen Gründen keinen Gewinn erwirtschaften und nur mit Hilfe von Zuschüssen der Beteiligten (à-fonds-perdu) existieren kann, liegt ein Missstand vor, der die Bewilligungsfähigkeit in Frage stellt. Das Weiterbestehen des Instituts hängt diesfalls einzig von der Zahlungsfähigkeit und dem Willen der wirtschaftlichen Eigentümer ab, was sowohl aus Gläubiger- wie auch aus Funktionsschutzüberlegungen ein inakzeptables Risiko ist. Auch ein Eigenmittelüberschuss und die Entschlossenheit der wirtschaftlichen Eigentümer, welche Jahr für Jahr die anfallenden Betriebsverluste abdecken, so dass keine unmittelbare Gefahr für die Gläubiger besteht, erlauben unter diesen Gesichtspunkten keine andauernde ungenügende Rentabilität. Um zu belegen, dass die Gesuchstellerin diese Anforderungen einhalten kann, hat sie insbesondere die erwähnten realistischen und fundierten wirtschaftlichen Szenarien zu präsentieren.
195Die Aufsicht der FINMA garantiert in diesem Sinne nicht den geschäftlichen Erfolg der beaufsichtigten Institute, sondern dient dem Schutz der Kundinnen und Kunden. Im Rahmen des Bewilligungsverfahrens, prüft die FINMA, dass die Business Pläne und Finanzierungspläne plausibel sind. Eine solche Prüfung ist umso wichtiger, als Kunden von Personen nach Art. 1b BankG in deren Konkurs nicht geschützt sind (namentlich nachrangig nach Lohnansprüchen) und Konkurse in diesem Bereich nicht unüblich sind und sogar schon in der Anfangsphase eintreten können.
196 Bei der entsprechenden Analyse des Geschäftsmodells sind unter anderem folgende Punkte zu berücksichtigen:
Identifikation der zentralen Risiken des Geschäftsmodells;
Überprüfung der Anpassungsfähigkeit des Instituts an allfällig geänderte Umstände;
Analyse der vorhandenen finanziellen Mittel und weiteren Ressourcen für die Umsetzung der Strategie;
Beurteilung der Strategie und des Risikoappetits des Instituts;
Berücksichtigung des Markt- und Geschäftsumfelds und Vergleich der Wachstumsambitionen der Gesellschaft mit anderen Anbietern;
Prüfung der Realisier- oder Nachvollziehbarkeit der Annahmen des Geschäftsplans;
Überprüfung der Profitabilität eines Instituts zur Deckung einer genügenden Kapitalrendite und Sicherstellung der Fortführung der Geschäftstätigkeit des Instituts (inkl. einer angemessenen Deckung der Finanzierungs- (Fremd- und Eigenkapital) sowie Betriebskosten).
197Ist das zu beurteilende Fintech-Institute Teil einer Gruppe, sind die obenstehenden Kriterien nicht nur auf Stufe des einzelnen Instituts, sondern auch auf Gruppenebene zu prüfen.
2. Liquidität
198Fintech-Institute müssen über angemessene finanzielle Mittel verfügen (Art. 1b Abs. 3 lit. c BankG). Der Geschäftskreis und dessen geografische Ausdehnung müssen den finanziellen Möglichkeiten des Fintech-Instituts entsprechen (Art. 14b Abs. 2 BankV).
199Aus Risikoüberlegungen verlangt die FINMA, dass ein Fintech-Institut zum Zeitpunkt der Bewilligung über genügend liquide Mittel verfügt, um zumindest die Fixkosten in der Anfangsphase unter Berücksichtigung allfälliger Erträge zu decken. Dafür hat das Fintech-Institut eine aktuelle, detaillierte Liquiditätsplanung (auf Monatsbasis) und als Bewilligungsvoraussetzung Nachweise (Bankauszug etc.) über den aktuellen Liquiditätsbestand vorzulegen.
200Zur Sicherstellung der Zahlungsfähigkeit hat das Fintech-Institut die Liquiditätsrisiken in seinem Risikomanagement zu erfassen und im Rahmen des IKS laufend zu überwachen.
3. Mindestkapital
201Um eine Bewilligung zu erhalten, muss ein Fintech-Institut das vom Bundesrat festgelegte Mindestkapital voll einbezahlt nachweisen (Art. 1b Abs. 1 i.V.m. Art. 3 Abs. 2 lit. b BankG).
202Das Mindestkapital soll für den Zweck des Unternehmens verwendet werden.
203Dennoch bestehen gewisse Liquiditäts- und Gegenparteirisiken. Deshalb muss auch bei Personen nach Art. 1b BankG sichergestellt sein, dass sie über genügend finanzielle Mittel verfügen, um ihre Risiken tragen zu können. Das Mindestkapital soll nicht nur eine gewisse Sicherung der Einlagen gewährleisten, sondern vor allem auch eine angemessene organisatorische und technische Ausstattung des Instituts sicherstellen.
204Die FINMA kann im Einzelfall höhere Eigenmittelanforderungen festlegen, wenn dies aufgrund der mit dem Geschäft verbundenen Risiken geboten erscheint (Art. 17a Abs. 2 BankV). Die Kalibrierung der Eigenmittelanforderungen soll eine faire und rechtsgleiche Anwendung über die verschiedenen Geschäftsmodelle hinweg gewährleisten. Das zusätzliche Kapital gemäss Art. 17a Abs. 2 BankV soll eine minimale Überlebensdauer der bewilligten Institute ermöglichen.
205Zum Nachweis der Erfüllung der finanziellen Anforderungen muss die Gesuchstellerin folgende Angaben einreichen:
geeignete Nachweise der Einhaltung der Anforderungen an Mindestkapital und Beschreibung wie die Einhaltung der Mindestanforderungen bei steigenden Publikumseinlagen sichergestellt wird;
voraussichtliche Entwicklung des Mindestkapitals in Abhängigkeit vom Geschäftsplan, inkl. Angaben über die Finanzierungsquellen.
E. Gewähr (Abs. 3 lit. d)
206Die mit Organfunktionen betrauten Personen – auf den drei Stufen qualifiziertes Aktionariat, Geschäftsleitung und Verwaltungsrat – müssen einen guten Ruf geniessen und Gewähr für eine einwandfreie Geschäftstätigkeit bieten (Art. 1b Abs. 3 lit. d BankG) (sog. «Gewährspersonen»). Die Prüfung der Gewähr umfasst die beiden Komponenten fachliche Eignung («Fitness») für die konkrete Funktion als auch die persönliche Integrität («Properness») dieser Personen. Zur Prüfung von Gewähr und gutem Ruf werden mit dem Gesuch betreffend die Gewährspersonen Informationen und Dokumente einverlangt (vgl. Art. 8 BankV).
207Zum Nachweis der Erfüllung der Anforderungen an die Mitglieder des mit der Verwaltung betrauten Organs und der Geschäftsführung sind folgende Dokumente einzureichen:
Angaben zur Person;
Kopie eines gültigen Identifikationsdokuments (unterzeichnete und datierte Pass- oder ID-Kopie);
Kopie der Aufenthalts- oder Niederlassungsbewilligung bei ausländischen Staatsangehörigen (unterzeichnete und datierte Kopie);
Strafregisterauszug (nicht älter als 3 Monate);
Strafregisterauszug des vorherigen Wohn- und/oder Heimatstaates von ausländischen Staatsangehörigen, die weniger als 5 Jahre Wohnsitz in der Schweiz haben (nicht älter als 3 Monate);
Betreibungsregisterauszug oder gleichwertige Bestätigung (nicht älter als 3 Monate);
von der betreffenden Person unterzeichneter Lebenslauf (inkl. Angaben zu Aus- und Weiterbildungen und von mind. zwei Referenzen); Aufzeichnung und Beschreibung der bisherigen und aktuellen Berufstätigkeit und Mandate inkl. Jahreszahlen und Daten);
Vertrag mit der Gesuchstellerin (unterzeichnet und datiert);
Erklärung betreffend hängige und abgeschlossene Verfahren (Formular B1, unterzeichnet und datiert);
Erklärung über qualifizierte Beteiligungen (Formular B3, unterzeichnet und datiert);
Erklärung über weitere Mandate (Formular B3, unterzeichnet und datiert).
208Die FINMA verlangt dazu von der Gesuchstellerin (unter Verwendung der von der FINMA dafür vorgegebenen Formulare)
Gesellschaftskapital (Struktur, Aufteilung, Nominalwert, Liberierung usw.);
Auflistung aller Beteiligter mit einer direkten oder indirekten Beteiligung von 5 Prozent oder mehr (bis hin zum wirtschaftlich Berechtigten, unter Angabe der Stimmrechte und der Kapitalbeteiligung);
grafische Darstellung sämtlicher direkt oder indirekt qualifiziert Beteiligten bis hin zu wirtschaftlich Berechtigten (inkl. Angabe der Höhe der jeweiligen Beteiligung), aufgeteilt nach Stimmrechts- und Kapitalanteilen;
Angaben über allfällige Vereinbarungen sowie über andere Möglichkeiten einer Beherrschung oder einer massgebenden Beeinflussung; Dokumente wie bspw. Aktionärsbindungsverträge oder Investitionsverträge sind einzureichen;
Erklärung über die Inhaber von qualifizierten Beteiligungen (Formular A1; durch Gesuchsteller einzureichen);
Beiblatt zur Erklärung über die Inhaber von qualifizierten Beteiligungen (Formular A2; pro qualifiziert Beteiligten; durch Gesuchsteller einzureichen).
209Qualifiziert Beteiligte müssen ebenfalls einen guten Ruf geniessen und gewährleisten, dass sich ihr Einfluss nicht zum Schaden einer umsichtigen und soliden Geschäftstätigkeit auswirkt. Sie müssen aber nicht von der Geschäftsführung unabhängig sein. Als qualifiziert Beteiligter gilt, wer mit mindestens 10 Prozent der Stimmen oder des Kapitals beteiligt ist oder die Geschäftstätigkeit in anderer Weise massgeblich beeinflussen kann (Art. 14d Abs. 3 BankV). Die Variante der Einflussnahme «auf andere Weise» dient nicht nur der Erläuterung des Normzwecks, sondern hat auch eine eigenständige Bedeutung. Damit sollen unabhängig von Schwellenwerten weitere faktische und rechtliche Einflüsse aufgefangen werden.
210Ab einer Beteiligung von mehr als 5 Prozent werden wegen des möglichen Einflusses auf andere Weise die in der FINMA-Wegleitung aufgeführten Nachweise verlangt.
211Nachweise bei natürlichen Personen als direkt oder indirekt qualifiziert Beteiligte umfassen:
Angaben zur Person;
Kopie eines gültigen Identifikationsdokuments (vom Inhaber unterzeichnete und datierte Pass- oder ID-Kopie);
Strafregisterauszug (nicht älter als 3 Monate);
Strafregisterauszug des vorherigen Wohn- und/oder Heimatstaates von ausländischen Staatsangehörigen, die weniger als 5 Jahre Wohnsitz in der Schweiz haben (nicht älter als 3 Monate);
Betreibungsregisterauszug oder gleichwertige Bestätigung (nicht älter als 3 Monate);
von der betreffenden Person unterzeichneter Lebenslauf (inkl. Angaben zu Aus- und Weiterbildungen und von mind. zwei Referenzen, Aufzeichnung und Beschreibung der bisherigen und aktuellen Berufstätigkeit und Mandate inkl. Jahreszahlen und Daten);
Erklärung, ob die qualifizierte Beteiligung für eigene Rechnung oder treuhänderisch für Dritte gehalten wird und ob der qualifiziert Beteiligte für diese Beteiligung Optionen oder ähnliche Rechte eingeräumt hat (Formulare Erklärung der direkt / indirekt qualifiziert Beteiligten, unterzeichnet und datiert);
Erklärung betreffend hängige und abgeschlossene Verfahren (Formular B1, unterzeichnet und datiert);
Erklärung über qualifizierte Beteiligungen (Formular B2, unterzeichnet und datiert).
212Die erforderlichen Nachweise bei juristischen Personen als direkt oder indirekt qualifiziert Beteiligte umfassen:
ausführlicher Beschrieb der Organisation, der Geschäftstätigkeiten, der finanziellen Situation (inkl. letzter Jahresrechnung soweit vorhanden) und ggf. der Gruppenstruktur;
Betreibungsregisterauszug oder gleichwertige Bestätigung (nicht älter als 3 Monate);
Auszug aus dem Handelsregister oder eine entsprechende Bestätigung;
Erklärung, ob die qualifizierte Beteiligung für eigene Rechnung oder treuhänderisch für Dritte gehalten wird und ob der qualifiziert Beteiligte für diese Beteiligung Optionen oder ähnliche Rechte eingeräumt hat (Formulare A3/A4, unterzeichnet und datiert);
Erklärung betreffend hängige und abgeschlossene Verfahren (Formular B1, unterzeichnet und datiert);
Erklärung über qualifizierte Beteiligungen (Formular B2, unterzeichnet und datiert).
F. Rechnungslegung und Rechnungsprüfung (Abs. 4 lit. a, b und c)
213Die Rechnungslegung und die Prüfung der Jahresrechnung richten sich ausschliesslich nach den Vorschriften des OR (Art. 1b Abs. 4 lit. a BankG), wobei auf die eingeschränkte Revision nicht verzichtet werden kann (kein Opting-out gemäss Art. 727a Abs. 2-5 OR) (Art. 1b Abs. 4 lit. b BankG). Sofern die Publikumseinlagen nicht vom Eigenkapital getrennt sind, muss eine ordentliche Revision durchgeführt werden (Art. 14f Abs. 1 lit. b BankV). Im Idealfall führt das Institut eine ordentliche Revision nach Art. 727 OR durch.
214Fintech-Institute müssen eine zugelassene Prüfgesellschaft mit der aufsichtsrechtlichen Prüfung nach Art. 24 FINMAG beauftragen (Art. 1b Abs. 4 lit. c BankG). Sie haben zu diesem Zweck eine nach Art. 9a RAG zugelassene Prüfgesellschaft zu bezeichnen (vgl. Art. 24 Abs. 1 lit. a FINMAG). Dem Bewilligungsgesuch sind eine Annahmeerklärung der aufsichtsrechtlichen Prüfgesellschaft sowie ein ausgefüllter Fragebogen über die Dienstleistungen der zugelassenen Prüfgesellschaften beizulegen, die sich auf der Webseite der FINMA finden.
G. Informationspflichten (Abs. 4 lit. d)
215Die Bestimmungen über die privilegierten Einlagen und die sofortige Auszahlung (Art. 37a und Art. 37b BankG) (Einlagensicherung) sind auf Publikumseinlagen und kryptobasierte Vermögenswerte, die ein Fintech-Institut entgegennimmt, nicht anwendbar. Die Einlegerinnen und Einleger sind vor der Entgegennahme von Einlagen auf die fehlende Einlagensicherung und den fehlenden Konkursschutz hinzuweisen sowie über die möglichen Folgen aufzuklären (Art. 1b Abs. 4 lit. d BankG).
216Gemäss Art. 7a Abs. 1 BankV sind die Kundinnen und Kunden schriftlich oder in einer anderen durch Text nachweisbaren Form (auf einem separaten Dokument, innerhalb der Dokumentation über das Geschäftsmodell oder auch separat per E-Mail) über die fehlende Einlagensicherung sowie über das Geschäftsmodell der Fintech-Institute, ihre Dienstleistungen und die mit den verwendeten Technologien verbundenen Risiken zu informieren.
217Die Kundinnen und Kunden sind so zu informieren, dass ihnen vor Vertragsabschluss genügend Zeit zur Verfügung steht, um die Informationen im Hinblick auf den Vertragsabschluss zu verstehen (Art. 7a Abs. 2 BankV). Eine blosse Information mittels allgemeiner Geschäftsbedingungen genügt nicht (Art. 7a Abs. 3 BankV).
218Werden die Informationen elektronisch zur Verfügung gestellt, so haben die Personen nach Art. 1b BankG dafür zu sorgen, dass sie jederzeit abgefragt, heruntergeladen und auf einem dauerhaften Datenträger in sämtlichen relevanten (Amts-)Sprachen der Zielkunden erfasst werden können (Art. 7a Abs. 4 BankV). Als dauerhafter Datenträger gilt Papier und jedes andere Medium, das die Speicherung und unveränderte Wiedergabe einer Information ermöglicht (Art. 7a Abs. 5 BankV).
219Die Gesuchstellerin hat der FINMA Angaben über die Informationen an die Kunden gemäss Art. 7a BankV einzureichen.
V. Spezialfälle (inkl. Abs. 5 und 6)
A. Mögliche Erhöhung des Schwellenwertes für Publikumseinlagen durch die FINMA (Abs. 5 und 6)
220Überschreiten die Publikumseinlagen den Schwellenwert von CHF 100 Mio., so muss dies der FINMA innerhalb von 10 Tagen gemeldet und innerhalb von 90 Tagen (unter Vorbehalt von Abs. 5) ein Bankbewilligungsgesuch nach Art. 1a BankG eingereicht werden (Art. 1b Abs. 6 BankG). Für diese Übergangsregelung ist kein Bedarf ersichtlich, wird eine Person nach Art. 1b BankG doch von der FINMA beaufsichtigt und steht in einem regelmässigen Austausch mit ihr, so dass eine Annäherung an den Schwellenwert von CHF 100 Mio. ohne Weiteres in diesem Zusammenhang rechtzeitig aufgebracht werden kann.
221Der Bundesrat kann den Betrag von CHF 100 Mio. unter Berücksichtigung der Wettbewerbs- und Innovationsfähigkeit des Finanzplatzes Schweiz anpassen (Art. 1b Abs. 2 BankG). In begründeten Einzelfällen hat auch die FINMA die Möglichkeit, von der Obergrenze von CHF 100 Mio. abzusehen: So kann sie in besonderen Fällen die Absätze 1–4 auch für Personen anwendbar erklären, die gewerbsmässig Publikumseinlagen von mehr als CHF 100 Mio. entgegennehmen oder sich öffentlich dafür empfehlen, diese weder anlegen noch verzinsen und den Schutz der Kunden durch besondere Vorkehrungen gewährleisten (Art. 1b Abs. 5 BankG).
B. Kombination mit anderen Bewilligungskategorien
222Eine Kombination einer Tätigkeit eines Fintech-Institutes mit einer Tätigkeit als Wertpapierhaus ist grundsätzlich nicht ausgeschlossen.
namentlich gilt es zu beachten, dass die Fintech-Bewilligung ausserhalb der Bewilligungskaskade liegt (vgl. Art. 6 FINIG);
BSK-Frick/Häusermann, Art. 6 FINIG N. 7; Bertschinger, S. 710; SK-Clemetson/Etienne, Art. 6 FINIG N. 11. bei einer Kombination von Bewilligungskategorien gelten die höheren Eigenmittelanforderungen der beiden Bewilligungskategorien;
Siehe dazu N. 203. bei einer Kombination der Fintech-Bewilligung mit einer Wertpapierhausbewilligung liegt die operationelle Schwierigkeit schliesslich in der unterschiedlichen Behandlung der Einlagen: während eine Einlagensicherung bei Fintech-Instituten nicht besteht (Art. 1b Abs. 4 lit. d BankG)
Siehe dazu N. 54 und N. 214. , profitieren die Kunden bei abwicklungskontenführenden Wertpapierhäusern von der Einlagensicherung, was eine Trennung der jeweiligen Geldkonten erfordert.Hess, N. 1296. Für Personen nach Art. 1b BankG dürfte es demnach der zielführendere Weg sein, eine allfällige Kundenhändlertätigkeit über eine eigenständige juristische Person auszuüben.Hess, N. 1296.
C. Konsolidierte Aufsicht
223Auf Personen nach Art. 1b BankG sind die Bestimmungen des BankG zur konsolidierten Aufsicht sinngemäss anwendbar, unter Vorbehalt besonderer Regelungen gemäss Art. 1b Abs. 1 BankG. Dies gilt auch für das Bankenkonsolidierungsrecht von Art. 3b ff. BankG und Art. 21 ff. BankV. Ist eine Person nach Art. 1b BankG Teil einer Finanzgruppe, kann die Bewilligung von einer angemessenen konsolidierten Aufsicht durch eine Finanzmarktaufsichtsbehörde abhängig gemacht werden (Art. 1b Abs. 1 i.V.m. Art. 3b BankG).
224Das FINMA-RS 2025/4 «Konsolidierte Aufsicht von Finanzgruppen nach BankG und FINIG» enthält die Praxis der Aufsichtsbehörde zur Unterstellung unter die konsolidierte Aufsicht sowie zu deren Umfang und Inhalt.
225Die FINMA kann demnach bei Gruppensachverhalten eine konsolidierte Gruppenaufsicht verlangen. Beanspruchen gleichzeitig andere ausländische Behörden die vollständige oder teilweise Aufsicht über die Finanzgruppe, so verständigt sich die FINMA, unter Wahrung ihrer Kompetenzen, mit diesen über Zuständigkeiten, Modalitäten und Gegenstand der Gruppenaufsicht. Sie hört vor ihrem Entscheid die in der Schweiz inkorporierten Unternehmen der Finanzgruppe an (Art. 3d Abs. 2 BankG).
226Als Finanzgruppe gelten in diesem Sinne zwei oder mehrere Unternehmen, wenn: a) mindestens ein Unternehmen als Person nach Art. 1b BankG tätig ist bzw. eine Fintech-Bewilligung hält; b) sie hauptsächlich im Finanzbereich tätig sind; und c) sie eine wirtschaftliche Einheit bilden oder aufgrund anderer Umstände anzunehmen ist, dass ein oder mehrere der Einzelaufsicht unterstehende Unternehmen rechtlich verpflichtet oder faktisch gezwungen sind, Gruppengesellschaften beizustehen (Art. 1b Abs. 1 i.V.m. Art. 3c Abs. 1 BankG).
227Ein rechtlicher oder faktischer Beistandszwang gemäss Art. 21 Abs. 2 BankV kann sich insbesondere aus folgenden Umständen ergeben:
strategischen, personellen, organisatorischen oder finanziellen Verflechtungen;
Kooperationen und Abhängigkeiten;
der Verwendung einer gemeinsamen Firma;
einem einheitlichen Marktauftritt; oder
von Patronatserklärungen, Keep-Well-Agreements oder ähnlichen Sicherheiten.
FINMA-RS 2025/4, N. 33.
228Die namentlich aufgeführten Sachverhalte sind nicht abschliessend. Somit können auch andere Verbindungen einen faktischen Beistandszwang auslösen, wenn dadurch für Dritte der Eindruck eines Verbundsystems entstehen kann. Je höher dabei die Beteiligungsquote ist, desto geringer können die übrigen Verbindungselemente sein, um in der Gesamtbeurteilung den Einbezug in die konsolidierte Aufsicht zu rechtfertigen.
229Im Finanzbereich tätig ist nach Art. 4 Abs. 1 BankV, wer: a) Dienstleistungen für Finanzgeschäfte erbringt oder vermittelt, insb. für sich selbst oder für Dritte das Einlagen- oder Kreditgeschäft, den Effektenhandel, das Kapitalanlagegeschäft oder die Vermögensverwaltung betreibt oder kryptobasierte Vermögenswerte nach Art. 5a BankV entgegennimmt; b) qualifizierte Beteiligungen überwiegend an im Finanzbereich tätigen Unternehmen hält (Holdinggesellschaft); oder c) eine wesentliche Gruppengesellschaft nach Art. 3a BankV ist.
230Die in Art. 4 Abs. 1 lit. a BankV namentlich aufgeführten Tätigkeiten sind nicht abschliessend. Somit können auch andere Geschäftsaktivitäten Tätigkeiten im Finanzbereich darstellen. Darunter fallen insbesondere Finanzierungsleasing, Factoring, Kreditkartengeschäft, Teilnahme an Emissionen sowie die Verwahrung von Effekten, Zahlungsdienste und Ausgabe sowie Verwahrung von Zahlungsmitteln (inkl. Zahlungs-Token). Zu Zwecken der konsolidierten Aufsicht gelten Gruppengesellschaften, die rein gewerbliche, industrielle oder administrative Tätigkeiten ausüben, als nicht im Finanzbereich tätig.
231Unternehmen bilden eine wirtschaftliche Einheit, wenn eines der Unternehmen an den anderen Unternehmen direkt oder indirekt mit mehr als der Hälfte der Stimmen oder des Kapitals beteiligt ist oder diese auf andere Weise beherrscht (Art. 21 Abs. 1 BankV).
232Der Einbezug einer Gesellschaft in die konsolidierte Aufsicht kann auch ohne Mehrheitsbeteiligung ausgelöst werden («auf andere Weise beherrscht»), sofern weitere Elemente rechtlicher oder tatsächlicher Art auf ein Verbundsystem hindeuten. Als solche gelten insbesondere personelle, organisatorische, finanzielle oder geschäftsmässige Verflechtungen und Abhängigkeiten. Wird eine Person nach Art. 1b BankG von einer oder mehreren natürlichen Personen beherrscht, die weitere von der FINMA beaufsichtigte Gesellschaften oder weitere wesentliche im Finanzbereich tätige Gesellschaften beherrschen, liegt u.U. eine sogenannte de facto-Finanzgruppe vor, die einer konsolidierten Aufsicht unterstellt werden muss.
233Die FINMA kann eine Finanzgruppe der Gruppenaufsicht unterstellen, wenn diese: a) in der Schweiz eine nach schweizerischem Recht organisierte Person nach Art. 1b BankG führt; oder b) tatsächlich von der Schweiz aus geleitet wird (Art. 1b Abs. 1 i.V.m. Art. 3d Abs. 1 BankG). Die Gruppenaufsicht durch die FINMA umfasst sämtliche im Finanzbereich tätigen Gruppengesellschaften einer Finanzgruppe (Art. 23 Abs. 1 BankV).
234Die FINMA kann in begründeten Fällen Gruppengesellschaften des Finanzbereichs von der konsolidierten Aufsicht ausnehmen oder deren Inhalt für sie nur teilweise anwendbar erklären, namentlich wenn eine Gruppengesellschaft für die konsolidierte Aufsicht unwesentlich ist (Art. 23 Abs. 2 BankV).
235Gestützt auf Anleger- und Gläubigerschutz-Überlegungen geht die FINMA bei Gruppenkonstellationen mit Fintech-Instituten vom Grundsatz der konsolidierten Aufsicht aus, wobei den spezifischen Risiken des Einzelfalls Rechnung getragen werden.
236Die Definition des Konsolidierungskreises für die konsolidierte Aufsicht der FINMA erfolgt in Absprache mit der zuständigen ausländischen Aufsichtsbehörde gemäss Art. 3d Abs. 2 BankG und umfasst insbesondere die Klärung, wer die primär zuständige Aufsichtsbehörde (Lead Regulator) ist.
237Um gruppenweite Risiken zu adressieren, kann die FINMA unter Anwendung des Verhältnismässigkeitsprinzips anstatt der konsolidierten Aufsicht oder einer Verneinung der Bewilligungsfähigkeit geeignete, präventive strukturelle Massnahmen zur Abschottung (ring fencing) oder weitere Massnahmen (z.B. Anpassung der Gruppenstruktur) verfügen.
238Bei einer ausländischen Beherrschung ist aber jedenfalls die Zustimmung der massgeblichen ausländischen Aufsichtsbehörden einzuholen (vgl. Art. 1b Abs. 1 i.V.m. Art. 3bis Abs. 1bis BankG). Die konsolidierte Aufsicht soll grundsätzlich alle Aufsichtsthemen betreffen (qualitative und quantitative Konsolidierung).
239Im Fall einer Gruppentätigkeit muss die Gesuchstellerin:
ein Organigramm der Gruppe mit Angaben zu bereits bestehenden oder geplanten finanzmarktrechtlichen Bewilligungen, grafischer Darstellung sowie den Stimmrechts- und Kapitalanteilen; sowie
eine detaillierte Beschreibung aller strategischen, personellen, organisatorischen oder finanziellen Verbindungselemente zwischen dem Gesuchsteller und allen Gruppengesellschaften einreichen.
FINMA, Wegleitung Fintech-Bewilligung, S. 5.
D. Grenzüberschreitende Sachverhalte
240Fintech-Institute können im Ausland tätig sein, unter ausländischer Kontrolle stehen und/oder einer ausländischen Finanzgruppe angehören. Zudem stellt sich die Frage des Gegenrechts und der Anerkennung ausländischer Bewilligungskategorien als gleichwertig mit der Fintech-Bewilligung und damit die Frage, ob Zweigniederlassungen und Vertretungen möglich sind.
1. Auslandsgeschäft (outbound)
241Fintech-Institute können ein aktives oder auch nur passives Auslandsgeschäft im Sinne einer grenzüberschreitenden Dienstleistungserbringung betreiben. Jedes Auslandsgeschäft führt bei Fintech-Instituten zu einer Erhöhung der mit der Geschäftstätigkeit verbundenen Risiken und zu einer Erweiterung des Compliance-Bereichs. Dementsprechend sind die Risiken, die sich aus der Anwendung ausländischer Rechtsvorschriften (Steuer-, Straf-, Geldwäschereigesetz etc.) ergeben, mittels einer Risikoanalyse angemessen zu erfassen, zu klassifizieren und zu begrenzen (strategische und organisatorische Massnahmen, Know-How, Länderservicemodelle, Schulungen, Auswahl der Partner) sowie zu kontrollieren (mittels Richtlinien, Vergütungs- und Sanktionsmodellen).
242Ein aktives Auslandsgeschäft setzt aufgrund des ausländischen Rechts in der Regel eine Art lokale Verwaltungsorganisation des Fintech-Instituts im Ausland voraus. Dementsprechend müssen nach schweizerischem Recht organisierte Fintech-Institute der FINMA eine Meldung erstatten, bevor sie im Ausland eine Tochtergesellschaft, eine Zweigniederlassung, eine Agentur oder eine Vertretung errichten (Art. 1b Abs. 1 i.V.m. Art. 3 Abs. 7 BankG).
243Auch bei einem rein passiven Auslandgeschäft muss dieses im Sinne einer genauen sachlichen und räumlichen Umschreibung des Geschäftskreises im OGR dargestellt werden (vgl. Art. 1b Abs. 3 lit. a BankG; Art. 14b Abs. 1 BankV). Daraus ergeben sich erhöhte Anforderungen an die interne Verwaltungsorganisation sowie an die Corporate Governance. In diesem Sinne wird die Adressierung der entsprechenden Risiken und Kontrollen in der Organisation und Dokumentation des Risikomanagements sowie der Compliance gefordert. Dazu gehört in der Regel insbesondere auch eine Cross Border-Weisung inkl. sog. Country Manuals der angedienten Länder. Sofern bereits bewilligte Fintech-Institute neu ein passives Auslandgeschäft aufnehmen wollen, stellt dies eine wesentliche Änderung des Bewilligungstatbestandes dar und ist daher vorgängig zu bewilligen (vgl. Art. 8a Abs. 2 BankV). Eine Aufnahme der Tätigkeit im OGR auf Vorrat ist nicht möglich.
2. Ausländische Beherrschung
244Die FINMA kann die Bewilligung zur Errichtung eines Fintech-Instituts, das nach schweizerischem Recht organisiert werden soll, auf die jedoch z.B. durch Aktionäre oder Gruppengesellschaften mit Sitz im Ausland ein beherrschender ausländischer Einfluss (vgl. dazu Art. 3bis Abs. 3 BankG) besteht, zusätzlich von folgenden Voraussetzungen abhängig machen (Art. 1b Abs. 1 i.V.m. Art. 3bis Abs. 1 BankG):
1. von der Gewährleistung des Gegenrechts durch die Staaten, in denen die Ausländer mit qualifizierten Beteiligungen ihren Wohnsitz oder Sitz haben (vgl. Art. 19 Abs. 1 BankV), sofern keine anderslautenden internationalen Verpflichtungen entgegenstehen (vgl. Art. 3quater BankG);
2. von der Verwendung einer Firma, die nicht auf einen schweizerischen Charakter des Fintech-Instituts hinweist oder darauf schliessen lässt.
245Dasselbe gilt für Fintech-Institute, die nach ihrer Gründung ausländisch beherrscht werden oder wenn die Ausländer mit qualifizierten Beteiligungen wechseln (Art. 1b Abs. 1 i.V.m. Art. 3ter Abs. 1–2 BankG).
3. Vertretungen (inbound)
246In Anwendung des sinngemässen Generalverweises von Art. 1b Abs. 1 BankG finden die Bestimmungen des BankG sinngemäss Anwendung auf die von «ausländischen Personen nach Art. 1b BankG» in der Schweiz errichteten Zweigniederlassungen oder bestellten Vertreter (Art. 1b Abs. 1 i.V.m. Art. 2 Abs. 1 BankG). Nach Art. 2 Abs. 1 BankG ist die Auslandbankenverordnung-FINMA (ABV-FINMA)
247Als «ausländische Personen nach Art. 1b BankG» gilt demnach jedes nach ausländischem Recht organisierte Unternehmen, das im Ausland eine als mit der Fintech-Bewilligung als gleichwertig anzuerkennende Bewilligung besitzt oder die Tätigkeit einer «Person nach Art. 1b BankG» betreibt (Art. 1b Abs. 1 i.V.m. Art. 2 BankG i.V.m. Art. 1 Abs. 1 ABV-FINMA).
248Eine «ausländische Person nach Art. 1b BankG» bedarf einer Bewilligung der FINMA, wenn sie in der Schweiz Personen beschäftigt, die für sie dauernd und gewerbsmässig in der Schweiz oder von der Schweiz aus Geschäfte abschliesst, Kundenkonten führt oder sie rechtlich verpflichtet (sog. Zweigniederlassung) oder indem sie in anderer Weise für die «ausländische Personen nach Art. 1b BankG» tätig ist, namentlich indem sie Kundenaufträge an sie weiterleitet oder sie zu Werbe- oder anderen Zwecken vertritt (sog. Vertretung) (Art. 1b Abs. 1 i.V.m. Art. 2 BankG i.V.m. Art. 2 Abs. 1 ABV-FINMA).
249Die ABV-FINMA ist nicht anwendbar, wenn die «ausländische Person nach Art. 1b BankG» tatsächlich von der Schweiz aus geleitet wird oder ihre Geschäfte ausschliesslich oder überwiegend in oder von der Schweiz aus betreibt, da dann die ordentlichen Bewilligungspflichten des BankG zur Anwendung kommen (vgl. Art. 1 Abs. 2 ABV-FINMA).
250Art. 19 Abs. 2 BankV konkretisiert, dass bei der Bestellung einer ständigen Vertretung einer «ausländischen Person nach Art. 1b BankG» das Gegenrecht auch dann gewährleistet ist, wenn schweizerische Banken im ausländischen Staat ständige Vertretungen mit denselben Funktionen eröffnen können. Art. 19 Abs. 2 BankV verlangt somit nicht, dass auch schweizerische Finanzintermediäre im Ausland Vertretungen eröffnen können. Zudem ist der Bundesrat befugt, auf der Grundlage der gegenseitigen Anerkennung gleichwertiger aufsichtsrechtlicher Regelungen und Massnahmen Staatsverträge abzuschliessen, die vorsehen, dass «ausländische Personen nach Art. 1b BankG» aus den Vertragsstaaten ohne Bewilligung der FINMA eine Zweigniederlassung oder eine Vertretung eröffnen können (Art. 1b Abs. 1 i.V.m. Art. 2 Abs. 3 BankG). Umgekehrt kann die FINMA «ausländische Personen nach Art. 1b BankG» vollumfänglich den für inländische Fintech-Institute geltenden Bestimmungen unterstellen, sofern das Recht am Sitz der «ausländischen Personen nach Art. 1b BankG» den schweizerischen Fintech-Instituten keine gleichwertigen Erleichterungen gewährt und kein Staatsvertrag dem entgegensteht (vgl. Art. 3 Abs. 2 ABV-FINMA).
251In einem ersten Schritt stellt sich zunächst die Frage, welche ausländischen Rechtskleider dem Bewilligungstatbestand der Fintech-Bewilligung entsprechen. Sofern eine diesbezügliche Gleichwertigkeit und damit eine Bewilligungspflicht bejaht wird, stellt sich in einem zweiten Schritt die Frage, ob sowohl eine Zweigniederlassung als auch eine Vertretung unter sinngemässer Anwendung der ABV-FINMA bewilligungsfähig sind.
VI. Bewilligungsänderungen
252Die Fintech-Institute müssen jede Änderung der Bewilligung zugrunde liegenden Tatsachen (Art. 8a Abs. 1 BankV) der FINMA melden. Sind die Änderungen wesentlich, ist für die Weiterführung der Tätigkeit vorgängig eine Bewilligung der FINMA einzuholen (Art. 8a Abs. 2 BankV). Wesentliche materielle Änderungen des Geschäftsmodells während der Dauer des Aufsichtsverhältnisses (z.B. Änderung des Geschäftsmodells) ziehen ggf. einen Bedarf zur Anpassung des OGR und allenfalls der Statuten nach sich.
253In der FINMA-Wegleitung zur Fintech-Bewilligung wird unter Ziff. II nicht abschliessend aufgeführt, was als Änderung von wesentlicher Bedeutung im Sinne von Art. 8a Abs. 2 BankV qualifiziert wird und daher einer vorgängigen Bewilligung der FINMA bedarf. Umfasst sind folgende Änderungen:
Änderung betreffend Organisationsdokumente (insb. Statuten und OGR; vgl. auch Art. 10 lit. a der Finanzinstitutsverordnung (FINIV)
SR 954.11, 06.11.2019. ;Änderungen betr. die qualifiziert Beteiligten (vgl. ausführlicher Art. 10 lit. d und e FINIV);
Änderungen bei den mit der Verwaltung oder Geschäftsführung betrauten Personen (vgl. auch Art. 10 lit. b FINIV);
Änderungen betreffend die Organisation (bspw. Änderungen der Risikokontrolle oder Compliance-Funktion);
falls vorgesehen: Änderungen des technischen Setups betreffend die Verwahrung von kryptobasierten Vermögenswerten;
Änderung betreffend die internen Vorschriften zur Unternehmensführung (Corporate Governance);
Änderung betreffend Tätigkeit und Nebendienstleistungen (Geschäftsbereich);
Änderung betreffend Auslagerung wesentlicher Dienstleistungen;
Aufnahme, Änderung oder Aufgabe des Auslandsgeschäfts (Tochtergesellschaften, Zweigniederlassungen und Vertretungen müssen immer auch im OGR erwähnt werden);
Fusion, Spaltung, Umwandlung oder Vermögensübertragung nach dem Fusionsgesetz vom 3. Oktober 2003 (FusG)
SR 221.301, 03.10.2003. ; sowieWechsel der Prüfgesellschaft im In- und Ausland.
254Das Gesuch um Bewilligung der Änderung muss eine detaillierte Begründung (inkl. Risikoanalyse) enthalten. Sämtliche relevanten Angaben sind zu dokumentieren und die geänderten Dokumente sind ebenfalls in einer änderungsmarkierten Version beizulegen. Je nach Art der Änderungen empfiehlt es sich, diese vorgängig mit der FINMA abzusprechen.
VII. Bewilligungshistorie
255Bis anhin bewilligte die FINMA mit der Bivial AG (ehemals Klarpay AG), der Relio AG, der SR Saphirstein AG, der Yapeal AG, der Mogli AG, der SWISS4.0 AG sowie der Sequence SA insgesamt 7 Fintech-Institute. Aktuell sind davon jedoch nur noch 5 dieser Fintech-Institute geschäftstätig.
256Mit der SWISS4.0 AG musste im Jahr 2025 nach der Mogli AG im Jahr 2022 ein weiteres bewilligtes Fintech-Institut wieder liquidiert werden. Öffentlichen Informationen nach hatte die FINMA die SWISS4.0 AG eng überwacht und frühzeitig Massnahmen zur Verbesserung der finanziellen Situation des Start-ups verlangt. Die SWISS4.0 AG und ihre Organe waren nicht dazu in der Lage, innert nützlicher Frist geeignete Massnahmen erfolgreich umzusetzen. Die FINMA hat am 4. März 2025 aufgrund der begründeten Besorgnis einer Überschuldung sowie gravierender Liquiditätsprobleme den Konkurs über das Fintech eröffnet. Die FINMA hat Valfor Avocats Sàrl als Konkursliquidatorin eingesetzt. Bei der SWISS4.0 AG handelte es sich um ein sog. Micro-Startup mit rund 250 Kundinnen und Kunden.
257Die Aufsicht über die Institute mit einer Bewilligung nach Art. 1b BankG erwies sich auch im Jahr 2024 als intensiv. Im Vordergrund stand dabei der Schutz der Einlegerinnen und Einleger aufgrund der knappen Kapital- und Liquiditätssituation der Institute. Bei Fintech-Instituten handelt es sich in der Regel um Start-ups, die erwartungsgemäss hohe Ausgaben für den Aufbau und den Markteintritt haben und anfangs über keine oder nur geringe Erträge verfügen. Ein erfolgreicher Markteintritt hängt von erfolgreichen Finanzierungsrunden und einem tragfähigen Geschäftsmodell ab. Die Geschäftsmodelle liegen bisher ausschliesslich im Bereich der Zahlungsdienste. Der Markt in diesem Bereich ist kompetitiv und die Margen sind gering. Es hat sich gezeigt, dass Geschäftsmodelle, die eine Nische mit einem einzigartigen Angebot oder einem spezialisierten Kundensegment adressieren, erfolgreich sein können.
258Der Markt für Zahlungsdienstleistungen in der Schweiz ist sehr kompetitiv und wirtschaftlich anspruchsvoll. Die Einstellung des Betriebs ist für Start-ups in einem solchen sehr gesättigten Markt nicht unüblich. Damit lässt sich auch erklären, weshalb knapp ein Drittel der bewilligten Unternehmen nach Art. 1b BankG den Betrieb wieder eingestellt hat. Ausserdem geniessen die Kunden von Fintech-Instituten im Gegensatz zu Bankkunden keinen Einlegerschutz. Sie profitieren auch von keinem Konkursprivileg, obwohl die Kundengelder in der Bilanz des Instituts gehalten werden. Dies führt nicht nur zu erhöhten Ausfallrisiken für die Kunden und Herausforderungen in der Aufsicht, sondern auch, in einem sehr kompetitiven Umfeld, zu einer niedrigeren Attraktivität der Bewilligungsart.
259Die FINMA fordert insbesondere vor diesem Hintergrund zu Recht, dass Fintech-Institute über eine laufende Kapital- und Liquiditätsplanung verfügen und Engpässe rechtzeitig erkennen können. Gleichwohl kam es im Jahr 2024 bei mehreren Instituten zu gefährlichen Konstellationen. Die Lage verschärfte sich oftmals aufgrund der fraglichen Werthaltigkeit von Aktiven in Gone-concern-Szenarien, wenn ein Unternehmen Schwierigkeiten hatte, dessen Geschäfte fortzuführen und eine Liquidation erwogen werden musste. Dies betraf namentlich die Bewertung von selbst entwickelter Software, die oft ein wesentliches Aktivum darstellt und sich unter Zeitdruck mitunter nur schwer veräussern lässt.
VIII. Weiterentwicklung der Fintech-Bewilligung
260Der Bundesrat hat in seinem Bericht «Digital Finance: Handlungsfelder 2022+»
261Die FINMA hat die Fintech-Bewilligung im Rahmen dieser Überprüfung grundsätzlich positiv beurteilt. Allerdings nannte sie den fehlenden Schutz der Kundengelder im Konkursfall als gewichtigen Nachteil in der bestehenden Regulierung. Aufgrund dieses fehlenden Schutzes werden erhöhte Anforderungen an die Aufsicht gestellt, zumal Institute in diesem Bereich gerade in der Anfangsphase über keine stabile Ertragssituation verfügen. Eine zeitnahe Überwachung der Vermögenslage des Instituts ist deshalb unumgänglich. Der Aufsichtsaufwand der FINMA für Fintech-Institute ist im Vergleich zu anderen Beaufsichtigten deshalb überproportional. Die FINMA hat zudem weitere Schwächen in der heutigen Regulierung identifiziert, welche die Aufsichtstätigkeit erschweren, namentlich die Möglichkeit der eingeschränkten Rechnungsrevision durch die Prüfgesellschaft (vgl. Art. 1b Abs. 4 lit. b BankG), die Mindestkapitalvorschriften oder die Erbringung von Nebentätigkeiten von Fintech-Instituten.
262 Im Sinne einer gesamtheitlichen Betrachtung erachtet es der Bundesrat als zweckmässig, die von ihm angestrebte Lösung in die entsprechenden Regulierungsarbeiten einzubetten. Die angestrebte Lösung beinhaltet insbesondere einen besseren Schutz der Publikumseinlagen im Falle des Konkurses eines 1b-Instituts. Der Bundesrat erachtet dazu eine Anpassung der Finanzmarktregulierung zur Verbesserung des Kundenschutzes als notwendig. Der fehlende Kundenschutz bezieht sich nur auf die entgegengenommenen Publikumseinlagen, nicht aber auf die (aussonderbaren) kryptobasierten Vermögenswerte, die im Rahmen einer Bewilligung nach Art. 1b BankG entgegengenommen werden können.
Bemerkung
Die Publikation gibt allein die persönliche Meinung der Verfasser wieder und bindet die FINMA nicht.
Für das Lektorat des Manuskripts wird Dr. Nico Hess herzlich gedankt.
Literaturverzeichnis
Andreotti Fabio/Zimmermann Stephan/Prantl Florian, Custodial Staking, GesKR 3 (2023), S. 333-354.
Bahar Rashid/Stupp Eric, Kommentierung zu Art. 1 BankG, in: Watter Rolf/Vogt Nedim Peter/Bauer Thomas/Winzeler Christoph (Hrsg.), Basler Kommentar, Bankengesetz, 2. Aufl., Basel 2013.
Bertschinger Urs, Das Finanzmarktaufsichtsrecht vom vierten Quartal 2017 bis ins vierte Quartal 2018, SZW (2018), S. 708-725.
Bezzola(-Büchler) Dumeng N., Praktische Problemfelder und Lösungsansätze in Bezug auf die «FinTech»-Bewilligungsvoraussetzungen von Art. 1b BankG, SZW (2020), S. 534-556.
Bösch René, Kommentierung zu Art. 4quater BankG, in: Watter Rolf/Vogt Nedim Peter/Bauer Thomas/Winzeler Christoph (Hrsg.), Basler Kommentar, Bankengesetz, 2. Aufl., Basel 2013.
Chapuis Cédric, Kommentierung zu Art. 2 BankG, in: Watter Rolf/Vogt Nedim Peter/Bauer Thomas/Winzeler Christoph (Hrsg.), Basler Kommentar, Bankengesetz, 2. Aufl., Basel 2013.
Chapuis Cédric, Kommentierung zu Art. 3bis-ter BankG, in: Watter Rolf/Vogt Nedim Peter/Bauer Thomas/Winzeler Christoph (Hrsg.), Basler Kommentar, Bankengesetz, 2. Aufl., Basel 2013.
Chapuis Cédric, Kommentierung zu Art. 3quater BankG, in: Watter Rolf/Vogt Nedim Peter/Bauer Thomas/Winzeler Christoph (Hrsg.), Basler Kommentar, Bankengesetz, 2. Aufl., Basel 2013.
Clemetson Caroline/Etienne Joane, Kommentierung zu Art. 6 FINIG, in: Sethe Rolf/Bösch René/Favre Olivier/Schott Ansgar (Hrsg.), Schulthess Kommentar, Finanzinstitutsgesetz, Zürich 2021.
Frick Thomas/Häusermann Marco, Kommentierung zu Art. 6 FINIG, in: Bahar Rashid/Watter Rolf (Hrsg.), Basler Kommentar Finanzdienstleistungsgesetz/Finanzinstitutsgesetz, 1. Aufl., Basel 2023.
Hess Nico, Geltungsbereich der bewilligungspflichtigen Tätigkeiten im Bankenrecht de lege lata und de lege ferenda, SSFM 142, Zürich 2023.
Hutzler Doris/Meirich David, Kommentierung zu Art. 2 Abs. 3 GwG, in: Graf Damian K/ Hutzler Doris (Hrsg.), Onlinekommentar zum Bundesgesetz über die Bekämpfung der Geldwäscherei und der Terrorismusfinanzierung – Version: 25.01.2026.
Maurenbrecher Benedikt/Kramer Stefan, Kommentierung zu Art. 3d BankG, in: Watter Rolf/Vogt Nedim Peter/Bauer Thomas/Winzeler Christoph (Hrsg.), Basler Kommentar, Bankengesetz, 2. Aufl., Basel 2013.
Meirich David, Regulatorische Einordnung von Decentralized Finance, SSFM 144, Zürich 2023.
Nobel Peter/Brändli Beat/Mächler Monika/Schiltknecht Florian, Schweizerisches Finanzmarktrecht, 5. Aufl., Bern 2026.-
Obrecht Matthias, Fintech-Bewilligung in der Schweiz, Netzwoche vom 10.06.2026, abrufbar unter: https://www.netzwoche.ch/news/2026-06-10/fintech-bewilligung-in-der-schweiz-chancen-huerden-und-erfahrungen, besucht am 12.06.2026 (zit. Obrecht, Netzwoche vom 10.6.2026).
Pfiffner Daniel C., Kommentierung zu Art. 24 FINMAG, in: Watter Rolf/Bahar Rashid (Hrsg.), Basler Kommentar, Finanzmarktaufsichtsgesetz/Finanzmarktinfrastrukturgesetz, 3. Aufl., Basel 2019.
Studer Ueli/Vollenweider Marino, Kommentierung zu Art. 43 FinfraG, in: Watter Rolf/Bahar Rashid (Hrsg.), Basler Kommentar, Finanzmarktaufsichtsgesetz/Finanzmarktinfrastrukturgesetz, 3. Aufl., Basel 2019.
Takei Yuto/Shudo Kazuyuki, Pragmatic Analysis of Key Management for Cryptocurrency Custodians, IEEE International Conference on Blockchain and Cryptocurrency (ICBC), Dublin 2024, S. 747-765, abrufbar unter: https://takeiyuto.github.io/assets/ckms.pdf (besucht am 12.6.2026).
Winzeler Christoph, Kommentierung zu Art. 3 BankG, in: Watter Rolf/Vogt Nedim Peter/Bauer Thomas/Winzeler Christoph (Hrsg.), Basler Kommentar, Bankengesetz, 2. Aufl., Basel 2013.
Regularien und Materialienverzeichnis
Bericht des Bundesrates zu Anpassungen des Bankengesetzes vom 15. Juni 2018, abrufbar unter: https://www.efd.admin.ch/dam/de/sd-web/hcvaF5Xv3zfo/aenderung-bankgesetz-bericht-de.pdf, besucht am 27.4.2026 (zit. Bundesrat, Bericht Bankengesetz).
Bundesrat, Bericht Digital Finance: Handlungsfelder 2022+ vom 1. Februar 2022, abrufbar unter: https://www.newsd.admin.ch/newsd/message/attachments/70095.pdf, besucht am 25.4.2025 (zit. Bundesrat, Bericht Digital Finance).
Bundesrat, Bericht vom 16. Dezember 2022 zu Anpassungen des Bankengesetzes vom 15. Juni 2018, abrufbar unter: https://backend.efd.admin.ch/fileservice/sdweb-docs-prod-efdadminch-files/files/2024/04/30/9fb7f508-2522-428c-a192-23b975c48e93.pdf, besucht am 24.4.2025 (zit. Bundesrat, Bericht 2022).
EFD, Ergebnisbericht des Bundesrates zur Vernehmlassung zur Änderung der BankV FinTech-Bewilligung vom 21. Juni 2018, abrufbar unter: https://www.newsd.admin.ch/newsd/message/attachments/52823.pdf, besucht am 4.4.2025 (zit. EFD, Ergebnisbericht BankV FinTech-Bewilligung 2018).
EFD, Erläuterungsbericht DLT-Verordnung vom 18. Juni 2021, https://www.newsd.admin.ch/newsd/message/attachments/67150.pdf, besucht am 10.4.2025 (zit. EFD, Erläuterungsbericht DLT 2021).
EFD, Erläuterungsbericht DLT-Verordnung zur Vernehmlassungsvorlage vom 22. März 2019, abrufbar unter: https://www.newsd.admin.ch/newsd/message/attachments/56192.pdf, besucht am 10.4.2025 (zit. EFD, Erläuterungsbericht DLT-Verordnung).
EFD, Erläuterungsbericht Revision der Bankenverordnung (BankV) «FinTech-Bewilligung» vom 30. November 2018, abrufbar unter: https://www.newsd.admin.ch/newsd/message/attachments/54881.pdf, besucht am 4.4.2025 (zit. EFD, Erläuterungsbericht BankV 2018).
EFD, Erläuterungsbericht zur Änderung der Bankenverordnung (Fintech) vom 5. Juli 2017, abrufbar unter: https://www.newsd.admin.ch/newsd/message/attachments/49033.pdf, besucht am 4.4.2025 (zit. EFD, Erläuterungsbericht BankV 2017).
FINMA, Aufsichtsmitteilung 03/2024 - Erkenntnisse aus der Cyber-Risiko-Aufsichtstätigkeit, Präzisierung zur FINMA-Aufsichtsmitteilung 05/2020 und zu szenariobezogenen Cyber-Übungen, 7. Juni 2024, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/4dokumentation/finma-aufsichtsmitteilungen/20160707-finma-aufsichtsmitteilung-03-2024.pdf?sc_lang=de&hash=666EEE255C04FB42F01BFD0BC6C80191, besucht am 9.5.2025 (zit. FINMA, Aufsichtsmitteilung 03/2024).
FINMA, Aufsichtsmitteilung 03/2023 – Staking, 20. Dezember 2023, besucht am 23.4.2026, abrufbar unter https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/4dokumentation/finma-aufsichtsmitteilungen/20231220-finma-aufsichtsmitteilung-08-2023.pdf?sc_lang=de&hash=19EEEFAA320ADED4258F199A8B5C6641 (zit. FINMA, Aufsichtsmitteilung 08/2023).
FINMA, Beurteilung von Bewilligungsprojekten und Vorfragen, abrufbar unter: https://www.finma.ch/de/bewilligung/fintech/fintech-bewilligung/beurteilung-von-bewilligungsprojekten-und-vorfragen/, besucht am 4.4.2025 (zit. FINMA, Beurteilung von Bewilligungsprojekten und Vorfragen).
FINMA, Erläuterungen zu Rundschreiben 2008/21 „Operationelle Risiken – Banken“ – Totalrevision und Rundschreiben 2013/3 „Prüfwesen“ – Teilrevision, 7. Dezember 2022, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/anhoerungen/abgeschlossene-anhoerungen/20220510-op-risk-banken/20221213_rs_operat_risiken_anhoerung_eb.pdf?sc_lang=de&hash=050283AF582ECB06D725C6939DCAEC59, besucht am 9.5.2025 (zit. FINMA, Erläuterungen zu RS 2008/21).
FINMA, Fintech Start-up SWISS4.0 SA in Liquidation, Medienmitteilung vom 4. März 2025, abrufbar unter: https://www.finma.ch/de/news/2025/03/20250304-mm-fintech-startup-swiss4_0-liquidation/, besucht am 5.4.2025 (zit. FINMA, Fintech Start-up Swiss4.0 SA in Liquidation).
FINMA, Fintech-Bewilligung, abrufbar unter: https://www.finma.ch/de/bewilligung/fintech/fintech-bewilligung/, besucht am 4.4.2025 (FINMA, Fintech-Bewilligung).
FINMA, Jahresbericht 2018, abrufbar unter: https://www.finma.ch/~/media/finma/dokumente/dokumentencenter/myfinma/finma-publikationen/geschaeftsbericht/20190404-finma-jahresbericht-2018.pdf?sc_lang=de&hash=AAD7EF04090DB3FB5BD0EAF92D8540E0, besucht am 20.4.2026 (zit. FINMA, Jahresbericht 2018).
FINMA, Jahresbericht 2021, abrufbar unter: https://www.finma.ch/~/media/finma/dokumente/dokumentencenter/myfinma/finma-publikationen/geschaeftsbericht/20220405-finma_jahresbericht_2021.pdf, besucht am 10.4.2025 (zit. FINMA, Jahresbericht 2021).
FINMA, Jahresbericht 2024, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/finma-publikationen/geschaeftsbericht/20250408-finma_jb24.pdf?sc_lang=de&hash=F5BC9340E3211CAB036BEB2D7A71D2E0, besucht am 10.4.2025 (zit. FINMA, Jahresbericht 2024).
FINMA, Liste der von der FINMA bewilligten Personen nach Art. 1b BankG (Fintech-Bewilligung), abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/bewilligungstraeger/pdf/fintech.pdf, besucht am 5.4.2025 (zit. FINMA, Liste der von der FINMA bewilligten Personen nach Art. 1b BankG (Fintech-Bewilligung).
FINMA, Neubewilligung von Banken und Wertpapierhäusern, abrufbar unter: https://www.finma.ch/de/bewilligung/banken-und-wertpapierh%C3%A4user/neubewilligung/, besucht am 28.4.2025 (zit. FINMA, Neubewilligung von Banken und Wertpapierhäusern).
FINMA, Rundschreiben 2017/1, Corporate Governance - Banken, vom 22. September 2016, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/rundschreiben-archiv/2017/rs-17-01/finma-rs-2017-01-20210506_de.pdf?sc_lang=de&hash=7F530363D0237EC203704EFC8E32C624, besucht am 4.4.2025 (zit. FINMA-RS 2017/1).
FINMA, Rundschreiben 2018/3, Outsourcing, vom 21. September 2017, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/rundschreiben/finma-rs-2018-03-01012021_de.pdf, besucht am 4.4.2025 (zit. FINMA-RS 2018/3).
FINMA, Rundschreiben 2023/01, «Operationelle Risiken und Resilienz – Banken», vom 7. Dezember 2022, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/rundschreiben/finma-rs-2023-01-20221207.pdf, besucht am 4.4.2025 (zit. FINMA-RS 2023/01).
FINMA, Rundschreiben 2025/4, «Konsolidierte Aufsicht von Finanzgruppen nach BankG und FINIG», vom 1. Juli 2025, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/rundschreiben/finma-rs-2025-04-20250305.pdf?sc_lang=de&hash=76CE12DBF3489A69BDE38B52875E081F, besucht am 4.4.2025 (zit. FINMA-RS 2025/4).
FINMA, Wegleitung für der FINMA einzureichende Bestätigungen der Prüfgesellschaften zu Gesuchen betreffend die Bewilligung als Personen nach Art. 1b BankG („Fintech-Unternehmen“) vom 10. April 2019, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/1bewilligung/fintech/w_institutsbewilligung-fintech_20190403_de.pdf?sc_lang=de&hash=0571D3925B8E6DA127785B8E1A8DC0BB, besucht am 4.4.2025 (zit. FINMA, Wegleitung für der FINMA einzureichende Bestätigungen der Prüfgesellschaften).
FINMA, Wegleitung für Gesuche betreffend Bewilligung als Person nach Art. 1b Bankengesetz (Fintech-Bewilligung) vom 24. April 2025, abrufbar unter: https://www.finma.ch/de/~/media/finma/dokumente/dokumentencenter/myfinma/1bewilligung/fintech/w_bewillligungfintech_20250424.pdf?sc_lang=de&hash=DC7EB79EC1BDFD9E6C31C36306DAFA09, besucht am 4.4.2025 (zit. FINMA, Wegleitung Fintech-Bewilligung).