Risikomanagement und IT-Regulatorik: Unsere Teilnahme an der Fachtagung im bayerischen Freising

Seit nunmehr 5 Jahren trifft sich eine Gruppe vorwiegend eigenständiger, mittelständischer deutscher Banken im oberbayerischen Freising für einen mehrtägigen Austausch rund um die Themen Gesamtbanksteuerung und Risikocontrolling, Revision und Compliance. Wissenschaftlich begleitet wird die halbjährlich stattfindende Tagung von Professor Stefan Zeranski, der ein enzyklopädisches Wissen über aktuelle regulatorische Anforderungen mit dem Sinn für’s Wesentliche kombiniert.

Für die Präsentation unserer Studienergebnisse unter Anwendung der Software cysmo aus dem Hause PPI (wir berichteten) durften wir als einzige Nicht-Bank am vertrauten Seminar teilnehmen.

Welche Anforderungen, aber auch Chancen werden von den Teilnehmern in diesen Bereichen gesehen? Unter den zahlreichen Regularien und Vorschriften, die über Bafin, EBA, EZB und andere Aufsichten gestellt werden – es handelt sich um viele hundert Seiten pro Jahr – sticht das Thema IT-Regulatorik heraus. Im Speziellen erschienen als Konkretisierung der deutschen MaRisk bzw. als Reaktion auf die EBA ICT Guidelines im vergangenen Jahr die BAIT (Bankaufsichtliche Anforderungen an die IT). Dieser kurze Text, von der Bafin als blosse Konkretisierung betrachtet und daher ohne Übergangsfrist umzusetzen, führte zu intensiven Gesprächen unter den Teilnehmenden. Einige Institute konnten schon über Erfahrungen bei der IT-Tiefenprüfung berichten, die in teils signifikanten Risiko-Aufschlägen resultierten.

Aber worum geht es in den BAIT? Der Text befasst sich detailliert mit Berechtigungsmanagement und IT-Betrieb, Informationsrisikomanagement und Auslagerungen. Eine Dokumentenflut trifft die Institute, da gezielte IT-Sicherheitsstrategien und Governance-Regeln im Einklang mit der Geschäftsstrategie zu formulieren sind. Das klingt alles reichlich formal, jedoch verdeutlicht die Intensität und Rigorosität der aufsichtlichen Prüfungen, wie ernst das Thema IT-Sicherheit genommen wird. Dabei gilt, wie eine Teilnehmerin anmerkte: „Man kann sich vorbereiten wie man will, man wird trotzdem kalt erwischt”. Oder überwacht und updated Ihr Haus regelmässig die ausgelagerten IT-Dienstleistungen und berücksichtigt diese Auslagerungsfälle im Risiko-Management? Haben Sie alle IDVs sauber dokumentiert, versioniert und Verantwortliche benannt?

Ähnliche Anforderungen gelten über die Corporate Governance- und OpRisk-Neufassungen auch immer mehr in der Schweiz. In der diesjährigen Jahresmedienkonferenz stellte Finma-Direktor Branson fest, dass Cyber-Risiken das grösste OpRisk für Banken sind. Seine deutschen Kollegen pflichten bei, dass „IT-Governance und Informationssicherheit für die Aufsicht inzwischen den gleichen Stellenwert haben wie die Ausstattung der Institute mit Kapital und Liquidität (Bafin: BAIT: BaFin veröffentlicht Anforderungen an die IT von Banken). Man ergänze gedanklich: «... und wird daher ebenso streng kontrolliert wie diese.» Gleichzeitig gelten in einer real-time economy auch immer strengere Vorschriften für Datenaggregation, -Qualität und Reporting. Es ist also anzunehmen, dass IT-Themen im Fokus der Aufsicht bleiben, selbst wenn der Zenit der regulatorischen Kreativität langsam erreicht scheint.

Das zumindest war der Konsens der anwesenden KMU-Banken. Einerseits sind deren IT-Systeme weniger fragmentiert als bei vielen grossen, andererseits fällt es besonders ihnen schwer, entsprechendes Know-How zu gewinnen. Insofern könnte die IT-Regulatorik auch als Katalysator für die Konsolidierung im Finanzsektor wirken oder zumindest als Anreiz, Kooperationen konkreter ins Auge zu fassen. Dies zeigte auch unsere Analyse mit cysmo®: Kleine Genossenschaftsbanken und Sparkassen sind bedeutend besser gegen Cyber-Angriffe geschützt als gleich grosse, aber eigenständige Banken. Immer zentraler wird es auch bei den ohnehin anstehenden Modernisierungen der IT-Landschaften, Mehrwerte zu generieren. Schliesslich teilen sich die deutschen Banken bei der Eigenkapitalrendite mit Griechenland, Portugal und Zypern die letzten Plätze in der Währungsunion!

Es bleibt also spannend für die vielen mittelgrossen Banken in Deutschland, aber auch für die Konkurrenz in der Schweiz. Sehr hilfreich ist es vor diesem Hintergrund, in geschütztem Umfeld Klartext reden zu können. Wie spannend das ist konnten wir in Freising bestaunen.

Dieser Beitrag wurde von Sebastian Strub verfasst.

#Regulation #PPIonTour #cysmo

Weiterlesen

Cyber-Sicherheit am Finanzplatz Schweiz

Cyber-Sicherheit ist dieser Tage ein Buzzword in der Finanzbranche. Risikomanager grübeln über die Modellierung, Versicherer über das Pricing von Policen und die FINMA weiss, dass Cyber-Risiken das bedeutendste OpRisk für Banken ist und dass nicht genug für den Schutz getan wird. Derweil werden die Angreifer immer mächtiger und professioneller.

Aber wie gut oder schlecht geschützt sind die Banken hierzulande nun eigentlich im Vergleich zu anderen Branchen oder der Konkurrenz andernorts? Darüber weiss man leider relativ wenig. Grosse Research-Häuser nutzen meist qualitative Umfragen, die a) nicht repräsentativ, da kleines Sample und b) schwer vergleichbar sind. Eine umfassende Differenzierung zwischen Branchen, Ländern und weiteren Variablen müsste auf einer konsistenten Bewertung zahlreicher Unternehmen bezüglich der Faktoren Systeme, Prozesse und Mitarbeiter beruhen. Kaum realistisch.

Einen ersten Schritt haben wir getan. Das Tool cysmo® aus eigenem Hause bewertet Unternehmen nach einer konsistenten Logik vollautomatisch bezüglich mittlerweile über 30 verschiedener Scores. Und zwar innerhalb kürzester Zeit, ohne interne Informationen zu nutzen und browserbasiert. Einfach Domain angeben, 2 Minuten warten, fertig. Klarerweise kann aufgrund der Outside-in-Sicht von cysmo® nicht jeder Aspekt bewertet werden. Die Sicherheit interner Prozesse oder das Verhalten von Mitarbeitern wird z.B. nicht bewertet. Dazu bedürfte es aufwendiger Penetration-Tests oder Security Audits. Dennoch, ein Hacker geht zunächst genauso vor wie cysmo®: Informationen über verwendete Server, Hosts und Provider, Verschlüsselungstechniken, offene Zugangspunkte oder im Darknet auffindbare Mail-Adressen werden genutzt, um DDoS- DNS- Malware-, Phishing- oder andere Social Engineering-Attacken zu initiieren. Wer hier also Schwachstellen hat, ist einer erhöhten Gefahr ausgesetzt. Zudem liegt es, wenn schon die von aussen sichtbaren Systeme unsicher sind, wahrscheinlich auch intern im Argen.

Für unsere Analyse haben wir mehrere zehntausend Unternehmen aus Deutschland und der Schweiz mittels machine learning ausgewertet. Cysmo® hat die Scores zu 6 Teil- und einem Gesamt-Rating aggregiert und in prozentuale Schutzniveaus übersetzt. Da wir Grössen-Indikatoren wie den Umsatz einbezogen haben, können wir den marginalen Effekt für verschiedene Branchen angeben, also wieviel besser oder schlechter eine Bank unabhängig ihrer Grössen-Merkmale abschneidet. 

Zu den Ergebnissen: Deutsche Banken sind insgesamt deutlich besser geschützt bzw. erreichen positive marginale Effekte. Zurückzuführen ist das vor allem auf höhere Malware-, DDoS- und DNS-Widerstandsfähigkeit. Die eidgenössischen Institute dagegen erreichen insgesamt nur durchschnittliche Schutzniveaus, im Bereich Social Engineering sogar deutlich unterdurchschnittliche! Deutsche Banken sind über 20% sicherer als Grossbanken in der Schweiz. Nur wenig überdurchschnittlich schneiden übrigens auch viele weitere Branchen ab, die gemäss BABS zu den kritischen Infrastrukturen zählen.

Wie sind diese Ergebnisse zu bewerten? Das zu erwartende Schutzniveau hängt u.a. von der Gefährdung und der Verwendung kritischer Informationen auf IT-Systemen ab. Unternehmen, die weniger gefährdet sind oder auf Websites und in Mails keine schützenswerten Informationen verwenden oder austauschen, müssen ihre Systeme u.U. weniger gut abschirmen. Allerdings kann das nicht den deutlichen Länderunterschied für Banken erklären. Weder ist der Finanzplatz Schweiz weniger gefährdet (oder zumindest wäre uns das nicht bekannt), noch nutzt man hierzulande weniger kritische Informationen in von aussen sichtbaren IT-Systemen. Um also robuste Strukturen z.B. fürs Online-Banking zu garantieren, sollte die Widerstandsfähigkeit in den Bereichen DDoS und DNS verbessert werden. Mail-Adressen sowie der generelle Mail-Verkehr sollten geheim und mit modernen Verfahren verschlüsselt sein, um nicht von sog. CEO Frauds und ähnlichen Social Engineering-Attacken heimgesucht zu werden.

Mit unserer Auswertung können wir detaillierte und robuste Aussagen über die Outside-in-Cyber-Sicherheit treffen, woraus sich bei fachkundiger Interpretation Handlungsempfehlungen ableiten lassen. Für Details wenden Sie sich bitte direkt an das Team hinter cysmo®. Uns zumindest scheint die Baustelle Social Engineering / Spoofing / Phishing zentral, auch weil Angreifer immer professioneller und kreativer werden, um durch gefälschte Mails an vertrauliche Daten zu gelangen. Der überraschend deutliche Länderunterschied gibt uns zudem zu denken. 

Zum Denken sind auch Sie eingeladen. Was glauben Sie: Gibt es Auffälligkeiten bezüglich der Geschäftsfelder von Banken? Sind Kantonal- und Genossenschaftsbanken, Sparkassen, Gesamtbanken, Bausparkassen oder doch Investmentbanken am besten geschützt? Schreiben Sie uns ihre Vermutung, die Auflösung erhalten Sie als Antwort.

Dieser Blog wurde von Sebastian Strub verfasst

#Cybersecurity #Cysmo #FINMA

Weiterlesen

FINIG / FIDLEG

Neue Regulation kommt auf die Banken zu.

Die Banken auf dem Schweizer Markt sind einer Vielfalt von Gesetzen und regulatorischen Anforderungen ausgesetzt. Steigende Prozesskomplexität sowie die neue Regulatorik, sowohl auf dem Schweizer als auch auf dem internationalen Markt, erfordern eine enge Zusammenarbeit zwischen dem Compliance-, Risk- und Legal-Bereich. Es werden neue Standards und Empfehlungen definiert, welche jedoch nicht in allen Ländern gleich gehandhabt werden. 

Die Auswirkungen neuer Gesetze werden oft unterschätzt. Auch wenn der Inhalt bei der Legal-Abteilung klar zu sein scheint, sind relevante interne Prozesse nicht sofort erkennbar. Das Thema Datensicherheit ist im Finanzsektor sehr wichtig und ist speziell bei Banken ein äusserst sensibler Bereich. Das ist aber nicht alles. Insider Geschäfte, Korruption und Gesetzeskonformität gehören auch dazu. Diverse Umfragen haben ergeben, dass ausgerechnet Regulatorik das grösste Risiko bei Banken darstellt.

Es ist eine Herausforderung, bei Inkrafttreten neuer Gesetze den Überblick über alle relevanten Themen bzw. Gebiete zu behalten. Da die Vorlaufzeiten für die Umsetzung der geforderten Anforderungen meistens kurzfristig sind, sind oft Unsicherheiten und Hektik für eine unvollständige bzw. mangelhafte Realisierung verantwortlich. 


Die Revisions-Vorgaben wurden aber immer erfüllt. Reicht das?

Es ist nicht ganz so einfach. Alle regulatorischen Anforderungen zu meistern bedeutet einen breiten Spagat zwischen den Prozessen, Dezentralisierung, Digitalisierung und Regulatorik zu machen. Dabei sind neben Compliance auch andere Bereiche, wie z.B. Risk Management und Legal involviert. Produktmanagement und Vertrieb werden gefordert, die Prozesse zu überdenken und der neuen Regulatorik anzupassen bzw. Massnahmen zu definieren.


Wie sieht die Finanzmarkt-Architektur der Schweiz aus?

Das Schweizer Finanzmarktrecht befindet sich im Umbau. Die Erweiterung der Finanzmarkt-Architektur um FIDLEG und FINIG schafft neue Regeln bezüglich der Organisation und des Verhaltens der Banken bzw. der Finanzdienstleister. Das Ziel der neuen Gesetze ist die Stärkung des Kundenschutzes sowie Schaffung gleicher Wettbewerbsvoraussetzungen zwischen verschiedenen Anbietern von Finanzprodukten und -dienstleistungen. Zudem soll die Vermögensverwaltung als wichtiger Pfeiler der Schweizer Finanzindustrie gestärkt werden. Beide Gesetze wurden vom Parlament am 15. Juni 2018 verabschiedet und treten zusammen mit den jeweiligen Vollzugsverordnungen auf den 1. Januar 2020 in Kraft. 
 
FIDLEG

Bei FIDLEG geht es um eine Regelung für das Angebot von Finanzdienstleistungen und den Vertrieb von Finanzinstrumenten. Diese orientiert sich an der EU-Regelung (MiFID II, Prospektrichtlinie, PRIIPs) und verlangt eine einheitliche Regelung der Prospektpflicht bei einer Beratung bzw. Aufklärung der Kunden durch Finanzdienstleister.

FINIG

Bei FINIG wird eine differenzierte Aufsichtsregelung für Wertpapierhäuser, Verwalter von Kollektivvermögen, Vermögensverwalter und Fondsleitungen angestrebt, jedoch stark an bisherige Vorschriften angelehnt. Eine wichtige Neuerung ist die prudenzielle Erfassung der Vermögensverwalter von individuellen Kundenvermögen, Verwaltern von Vermögenswerten von Vorsorgeeinrichtungen, der Trustees und Handelsprüfer nach Edelmetallkontrollgesetz (EMKG).

Bei FIDLEG und FINIG wird man jedoch den Gedanken nicht los, dass die Schweiz als Nichtmitglied der EU und EWR nach einer Äquivalenz zum EU-Recht gesucht hat. Durch die starke Globalisierung macht es jedoch durchaus Sinn, Gesetze aufeinander abzustimmen und somit den bestmöglichen Kundenschutz zu gewährleisten. Denn im Eintretensfall eines Schadens stellt sich immer die Frage nach der Haftung. Um die Haftung der Unternehmen zu minimieren ist es erforderlich, dass hierfür interne Prozesse, Zuständigkeiten und Kontrollmechanismen definiert sind.

Seit der Finanzkrise haben die regulatorischen Anforderungen in der Schweiz stark zugenommen und speziell kleinere Institute haben darunter sehr gelitten bzw. leiden noch immer. Für die Zukunft erwartet die Finanzbranche jedoch keine zunehmende Regulierung, sondern eher eine Normalisierung und bessere Rahmenbedingungen.



Dieser Blog wurde von Alen Kasumovic gepostet

#FINIG #FIDLEG #Compliance #Regulation

Weiterlesen

Was sind Cryptocurrencies? – Ein Erklärungsversuch

Dieser Beitrag befasst sich einmal etwas eingehender mit digitalen Währungen oder eben Cryptocurrencies. Wenn diese sich nachhaltig etablieren, haben sie durchaus das Potenzial den bisherigen Zahlungsverkehr aufzumischen. 

Aber was genau ist eine Cryptocurrency? Oder anders gefragt: Entsteht bei jedem ICO (Initial Coin Offering) eine neue Währung?

Unter einem ICO versteht man die Generierung von neuen “Token“, die am Sekundärmarkt gehandelt werden können. Diese Generierung von Token ist am ehesten vergleichbar mit der Emission einer Aktie oder einer Anleihe. Und aufgrund genau dieser Ähnlichkeit zu bekannten, etablierten Wertschriften publizierte der Schweizer Finanzmarktregulator FINMA am 16. Februar 2018 seine Wegleitung zu ICOs. Darin unterschieden werden 3 Arten von Token:

Als Zahlungs-Token wird ein Coin, also die eigentliche Kryptowährung bezeichnet. Diese Zahlungs-Token sind nicht weiter mit Projekten oder Funktionalitäten verbunden (z.B. Bitcoin, Ether, Litecoin, Namecoin) und kommen deshalb einer herkömmlichen Währung am nächsten.

Da diese Zahlungs-Token als "Digitale Währungen" eingeschätzt werden, unterstehen sie auch dem Geldwäscherei-Gesetz.

Anders einzustufen sind Nutzungs-Token. Der Besitzer eines Solchen hat Anspruch auf den Zugang zu einer digitalen Nutzung oder Dienstleistung, die auf oder unter Benutzung der Blockchain-Technologie erbracht werden und zum Zeitpunkt der Ausgabe bereits dafür einsetzbar sind.

In allen anderen Fällen, in welchen zumindest teilweise die Funktion einer Geldanlage besteht, spricht die FINMA von Anlage-Token. Diese werden als Effekten behandelt, sofern sie ein Wertrecht repräsentieren und in der Masse gehandelt werden können.

Somit wird also nicht bei jedem ICO auch eine neue digitale Währung generiert.

Bis dato wurde eine Währung jeweils von einer Zentralbank herausgegeben, die die Macht über die Schöpfung oder die Reduzierung der Menge dieser Währung (der Geldmenge) hat. Hochgeschulte Volkswirte entscheiden nach bestem Wissen und Gewissen über Massnahmen, die aus ihrer Sicht geeignet sind, die Ziele dieser unabhängigen Institution Nationalbank zu erreichen. 

Diese Ziele sind von Land zu Land respektive von Währung zu Währung zwar unterschiedlich, im Grundsatz aber doch sehr ähnlich. So soll Währung als Wertaufbewahrungsmittel dienen und die Wertentwicklung entsprechend sicher sein. Eine geringe Volatilität der Wechselkurse macht vor allem deshalb Sinn, da damit Planungssicherheit für eine ganze Volkswirtschaft besteht. Bei Weitem aber nicht nur für die Wirtschaft jenes Landes, die die Währung herausgibt. 

In der globalisierten Welt ist vieles derart eng und komplex miteinander verbunden, dass eine beispielsweise politische Entwicklung in einem gut vernetzten Land Einfluss auf viele Wechselkurse hat.

Der Zentralbanker hat also ein grosses Interesse daran, die Ziele seines Arbeitgebers zu erreichen. Sowohl zum eigenen, als auch zum Wohle der Gesellschaft.

Betrachtet man hingegen die Motivation eines Miners, der Person, die durch die Bereitstellung von Rechnerkapazität eine Cryptocurrency schürft (eine digitale Währung prägt), so ist diese mit Bestimmtheit weniger holistisch und vermutlich ausschliesslich gewinnorientiert. 

Die volkswirtschaftliche Entwicklung eines Landes interessiert wenig, dafür aber die Durchsetzungsfähigkeit der Technologie auf die man setzt und insbesondere das Sammeln möglichst vieler Coins und damit verbunden die Erhöhung des eigenen Vermögens. Diesbezüglich haben digitale Währungen also eher wenig mit klassischen Währungen gemeinsam.

Man könnte dem Autor dieser Zeilen nun fehlende Weitsicht vorwerfen. Schliesslich denkt dieser noch im veralteten System von Ländergrenzen und Nationen, was in der heutigen globalisierten Welt mit einem erdballumspannenden Internet möglicherweise effektiv veraltet sein kann. 

Spinnt man diese Gedanken dann weiter, erreicht man philosophische Sphären, die den Umfang dieses Blogbeitrages deutlich sprengen würden. 

Betrachtet man nun aber aktuelle Anwendungsmöglichkeiten, so können Cryptocurrencies speziell in Ländern mit hohen Inflationsraten und politischer Instabilität eine echte Alternative zur Lokalwährung sein. Auch weil damit ein weltweites Bezahlen möglich ist und gewissermassen die Beschränkungen der Ländergrenzen fallen. Allerdings haben auch die Kryptowährungen hohe Schwankungen zu verzeichnen. (Startete BTC/USD Anfang 2017 bei USD 800.-, erreichte der Kurs Ende Dezember 2017 ein Hoch bei 19’871.-, um dann ein weiteres halbes Jahr später bei ca. 6’300.- zu notieren)

Eine Echtzeittransaktion abzuschliessen ist also ohne Probleme möglich. Hält man danach aber die digitale Währung, geht man gleichwohl das Risiko von hohen Kursschwankungen ein. Geht man Risiken ein, hat man bekannterweise aber auch Chancen: Diese Schwankungen können selbstverständlich auch zu Gunsten des Käufers ausfallen. 

Wie sich der Wert der Cryptocurrencies nun langfristig entwickeln wird und ob sie auch eine echte Alternative als Wertaufbewahrungsmittel sind oder ob sie den internationalen Zahlungsverkehr revolutionieren vermögen, wird die Zukunft zeigen. 

Ein erster grosser Test des Vertrauens in die digitalen Währungen wird bereits der nächste wirtschaftliche Abschwung bringen. In einem solchen Abschwung steigen ja traditionell die Notierungen von als “sicher” eingestuften Werten wie Gold oder eben auch “Safe Haven Currencies”. Wir blicken also gespannt auf die Entwicklung der nächsten Monate und Jahre.

Dieser Blog wurde von Matthias Schöpp gepostet


#CryptoCurrency #FINMA #Bitcoing #Regulation

Weiterlesen

#quergedacht: Die Herausforderungen von morgen

Während sich die Grossbanken dem kritischen Punkt der Erfüllung der regulatorischen Auflagen immer mehr nähern, werden die Hürden für traditionelle Banken immer höher. Für viele Finanzinstitute ist die Entscheidung, gross angelegte digitale Transformationsprogramme auszuführen, zu spät gekommen und für diejenigen mit komplexen Legacy-Technologien und -Prozessen scheint die Herausforderung unüberwindbar. Noch nie sind so viele digitale Transformationsprogramme gescheitert. Oft durch die neue Zahlungsdiensterichtlinie (PSD2) und durch regulatorische Motive veranlasst.

Heute stehen viele Finanzinstitute vor der grossen Frage: Was tun?

• Änderung des veralteten und antiquierten Legacy-Geschäftes? Wenn ja, tun Sie es schnell!
• Auf der grünen Wiese eine digitale Bank entwickeln, die letztlich darauf ausgerichtet ist, das traditionelle Geschäft zu kannibalisieren?
• Erwerb einer etablierten „Herausforderer-Bank“ und Kooperationen mit FinTechs?

2017 wird nicht das Jahr sein, das uns die Antworten auf diese Fragen offenbaren wird. Es scheint jedoch sicher zu sein, dass diese drei Strategien Diskussionen in den Führungsetagen auslösen werden. Die grösste Gefahr für etablierte Finanzinstitute ist, dass sich das bestehende Management durch Gedanken der Digitalisierung leiten lässt und eine „digitale Bank“ startet, die nur Show und ohne Substanz ist. Es müssen jedoch echte und sinnvolle digitale Veränderungen innerhalb der Bank herbeigeführt werden, damit die Kunden auch einen wirklichen Unterschied erleben.

Innerhalb der Banken wird der Strukturwandel eine Machtverschiebung unter den Führungskräften auslösen. CIOs werden nicht mehr die einflussreichsten Technologieentscheider sein und der weitere Aufstieg des „Chief Digital Officers“ und in vielen Fällen auch der des „Chief Marketing Officers“ bedeuten, dass das Unternehmen das IT-Team zunehmend in die Implementierung von "digital" in die gesamte Organisation einordnen wird. Die Position des „Chief Data Officer“ wird immer mächtiger und es wird immer deutlicher, dass eine Bank, die in einer digitalen Welt erfolgreich sein will, eine Führung haben muss, welche die Technologie verinnerlicht hat. Voraussetzung dafür ist jedoch, dass die Rolle des Beschaffungsteams neu bewertet wird und neue Bewertungsprozesse entwickelt werden, denen Agilität und Zeit bis zur Marktreife zugrunde liegen – nicht nur Kostenverhandlungen, Lieferantenkonsolidierung und Reputation in der Industrie. 

Viel kann darüber gesagt werden, wie traditionelle Beschaffungs- und Technologieprozesse Innovationen hemmen - das Aufkommen von „Fintech Unicorns“ (Start-up Unternehmen mit einer Bewertung von mehr als einer Milliarde US$ und nach 2000 gegründet) und die Einführung von Partnerschaftsprogrammen mit Inkubatoren / Acceleratoren sind Beweis genug dafür, dass die Regeln des Spiels umgeschrieben werden.

Dennoch ist es sehr wahrscheinlich, dass ein paar dieser „Einhörner“ das Jahr 2017 nicht überstehen werden, da einige, die einst die Lieblingspioniere der "Disruptiven Industrie" waren, keinen Mehrwert mehr bringen.

2017 werden mehrere bedeutende Fintech Start-ups Finanzierungen für mehr als drei bis vier Jahren erhalten und wenn sich der Markt für einen gesunden Börsengang nicht förderlich zeigt oder die Ergebnisse nicht dem enormen Potenzial entsprechen, das ursprünglich in Betracht gezogen wurde, wird es sehr wahrscheinlich sein, dass diese Geldhähne auch schnell wieder versiegen. Auch dieser Trend wird keine Überraschung sein, da die meisten Risikokapitalgeber im Technologieumfeld davon ausgehen, dass sich nur eine von zehn Investitionen auszahlen wird. Es bedeutet auch, dass die Fintech Start-up Szene und der damit verbundene Hype 2017 eine kleine Dosis Realität und Ernüchterung erleben könnte.

Auf der anderen Seite könnte das massive Vakuum von digitalen Talenten in der Finanzindustrie die dringend benötigte Erleichterung durch Neueinsteiger erhalten, die auf dem Rekrutierungsmarkt verfügbar werden. Die Anstellung von Leuten mit digitalen Fähigkeiten wird 2017 für Unternehmen, die nachhaltig auf Digital-First setzen, ein unumgängliches Gebot sein. Diese Talente zu gewinnen und auch zu behalten ist jedoch eine Herausforderung für sich selbst. Banken und Versicherungen haben es historisch gesehen schon schwer Arbeitskräfte aus der Gruppe der Gen Y, Digital Natives zu rekrutieren und werden sich mit Beschaffungsunternehmen zusammenschliessen müssen, die das  können. Im Rahmen des strukturellen Wandels der Finanzdienstleistungen, die den Kunden angeboten werden, muss sich auch der Arbeitsplatz von Banken und Versicherungen drastisch ändern. Flexible Arbeitszeiten, kreative und energetische Büroumgebungen sowie sinnvollere Arbeit werden entscheidend sein, wenn es darum geht, eine neue digitale Kultur in der gesamten Organisation zu schaffen.

„Digital“ werden bedeutet nicht nur die Veränderung der Dienstleistungen, die Sie Ihren Kunden bieten, sondern auch die Veränderung der Arbeitsmoral und der Werte Ihres Finanzunternehmens. Wir erwarten 2017 spannende Diskussionen darüber, wie Finanzinstitute beabsichtigen, den „Arbeitsplatz der Zukunft“ zu gestalten.

Quergedacht hat für Sie René Heusser.

René ist Partner bei PPI Schweiz und Experte für Digital Banking, elektronischen Zahlungsverkehr und Trade Finance.
Im Bereich Digitalisierung verfügt er über Expertise in PSD2, Access to Accounts und Open Banking. 
Als Senior Consultant arbeitet René in Kundenprojekten zur Harmonisierung Zahlungsverkehr.

#quergedacht #PSD2 #XS2A #DigitalFinance #DigitalBanking #Fintech

Weiterlesen

RegTech – Der „kleine Bruder“ von FinTech auf der Überholspur

RegTech war lange Zeit ein stiller Begleiter der Finanzwelt. Sicher nicht als Begriff an sich, doch regulatorischen Anforderungen mit technologischen Hilfsmitteln entgegenzutreten ist nichts Neues.

Seit 2015 etabliert sich RegTech nun jedoch als fester Begriff im FinTech-Ökosystem. Geprägt durch neue Technologien und verschiedene Interessengruppen setzt der „kleine Bruder“ von FinTech nun zum Überholvorgang an und gerät immer mehr ins Rampenlicht. Das Jahr 2016 wird auf manchen Foren bereits als „RegTech Year" betitelt und die Suchanfragen auf google steigen stetig. Aber was verbirgt sich eigentlich genau hinter dem Begriff RegTech? Woher kommt der „Hype“ und sind die Ideen und Lösungen wirklich den aktuellen Anforderungen gewachsen?

Definition und Beschreibung von RegTech
RegTech verbindet die Begriffe Regulatory und Technologie. Der Begriff wird übergreifend für StartUps und deren Umsetzungsideen verwendet, die versuchen regulatorisch bedingte Vorhaben durch neue Technologien und Standards zu lösen. Dabei werden sowohl Fach- als auch IT-Themen aus den Bereichen Compliance, Guidelines und Regulation betrachtet. Innovative Technologien, wie zum Beispiel Artificial Intelligence, Big Data oder Cloud Systeme, dienen hier als Basis für die neuen Lösungsvorschläge.

Die Kombination aus jungen dynamischen Teams und neuen innovativen Technologien prägt das Ansehen von RegTechs. So werden sie als flexibel in der Aufstellung des Teams, schnell in der Umsetzung von Anforderungen, integrativ im Umgang mit neuen Umgebungen und analysestark in der Auswertung von Ergebnissen gesehen. Diese Kombination steht für einen der Grundpfeiler ihres Erfolges.

Der zweite Grundpfeiler ist das Umfeld in dem sie sich bewegen. Der Finanzplatz Europa wird zunehmender durch Regulierungen gesteuert, überwacht und verändert. Seit der Finanzkrise 2007/08 überschwemmen Reform- und Regulierungswellen die Finanzindustrie. Schätzungsweise 10 bis 15 Prozent aller Arbeitsplätze sind bereits in den Bereichen Governance, Risikomanagement und Compliance angesiedelt und die Kosten für die Bewerkstelligung der neuen Anforderungen steigen weiter. Themen wie Basel IV, SREP, MiFID II oder auch KYC und PSD2 stellen die europäischen Banken vor Herausforderungen und zwingen sie zum Handeln.

RegTech in der Schweiz?
Obwohl die Schweiz im europäischen Umfeld eine eigene Rolle einnimmt, werden auch hier Stimmen zu Regulatorien laut. Dennoch ist die Anzahl der RegTech-Firmen sowie die Anzahl der RegTech-Lösungen bisher noch reduziert. Das Postulat von Martin Landolt „Förderung der Digitalisierung in der Regulierung (RegTech)“, welches am 17. Juni 2016 vom Nationalrat angenommen wurde, wird jedoch das Thema RegTech weiter vorantreiben.

Ob wir nun aber über RegTech, FinTech oder PayTech sprechen, ausschlaggebend für die Entwicklung der Themen in der Schweiz wird die Kooperation zwischen den einzelnen Institutionen sein. Neue innovative Ideen wird es brauchen, um einen Fortschritt zu gewährleisten - sei es nun regulatorisch bedingt oder von einem anderen Gesichtspunkt aus getrieben. Gleichzeitig wird es mit Blick auf die wachsende Verlagerung der IT ins Ausland und durch die komplexen IT-Systeme der Banken immer schwerer werden als junges StartUp allein auf dem Finanzmarkt zu bestehen.

Die „einfache“ Abstimmung der Spezifikationen wird demnach nicht ausreichen, um einen langfristigen Erfolg zu gewährleisten. Der Fokus sollte daher auf den gesamten Regulierungsapparat gelegt werden. Die Kooperation zwischen RegTechs, etablierten Beratungsunternehmen und Banken ist und wird daher der Schlüssel sein, um die Digitalisierung der Schweiz weiter auszubauen.

Dieser Beitrag wurde von Florian Stade gepostet.

#RegTech #Digitalisierung #DigitalBanking

Weiterlesen

„Need to Know“ als neue Herausforderung beim Testing bei der Harmonisierung ZV Schweiz

Mit dem Rundschreiben „2008/21 Operationelle Risiken Banken“ der FINMA kam erstmals das Prinzip „Need to Know“ auf die Agenda der Banken-IT-Verantwortlichen. Die Banken werden dadurch vor neue Herausforderungen gestellt und müssen sich nun für einen Weg entscheiden, wie sie durch das Labyrinth der neuen Anforderungen navigieren.

Unter anderem werden dort folgende Grundsätze zitiert:

• „Die Bank muss wissen, wo CID (Client Identifying Data) gespeichert werden, von welchen Anwendungen und IT-Systemen CID verarbeitet werden und wo elektronisch auf sie zugegriffen werden kann. Der Datenzugriff muss klar geregelt werden und darf nur auf einer strikten Need to know-Basis erfolgen.“
• „Personen dürfen nur auf diejenigen Informationen oder Funktionalitäten Zugriff haben, die für die Wahrnehmung ihrer Aufgaben erforderlich sind.“

Obwohl die technischen Anforderungen zu den Sicherheitsstandards im vierten Grundsatz sehr generisch formuliert worden sind, sind sie heute in der operationellen Praxis, insbesondere bei Grossbanken, schon seit längerem organisatorisch und technisch umgesetzt. Auch die regelmässigen Audits (im Sinne von „gegenwärtigem Stand der Technik“, VDSG RS 235.11, Art. 8 Abs. 2) externer Fachspezialisten sind fixe Termine in der Agenda der Banken-CIOs.
So weit so gut, könnte man meinen.

Legen wir nun den Fokus auf das aktuelle Vorhaben Harmonisierung ZV Schweiz. Der Zahlungsverkehr ist naturgemäss ein heikles Minenfeld, wenn es um Kundendaten geht. Aus diesem Grund haben verschiedene Institute eigene Konzepte entwickelt, um mit sog. anonymisierten Daten die Testzyklen im Projekt durchzuführen. Bei der Harmonisierung ZV Schweiz ist dies insbesondere eine Herausforderung, da die gesamte ZV-Verarbeitungskette involviert ist. 

Angefangen bei der Annahme von Zahlungsaufträgen, über die Verarbeitung, Verbuchung, Archivierung und Rapportierung in Form von Kontoauszügen, soll der gesamte Datenfluss in allen Systemen keine Rückschlüsse auf effektiv existierende Kunden zulassen. Dies notabene über alle Kundensegmente, d.h. vom Privatkunden mit einem Bankkonto bis hin zum internationalen Grosskonzern mit einigen hundert Konti und den jeweiligen Stammdaten-Einstellungen.

In der Praxis zeichnen sich drei Hauptherangehensweisen ab:

1. Komplette Anonymisierung mit Hilfe „synthetischer“ Daten
2. Teilweise Anonymisierung unter Beibehaltung der Kontonummer als zentrales Element mit Verschleierung der restlichen Kundendaten
3. Keine Anonymisierung, d.h. Tests mit älteren Daten aus einem Abzug aus den Produktivsystemen

Es ist selbstredend, dass die Ansatz 1 den grössten Aufwand verursacht (komplette Neuanlage von Kunden, Konti, Einstellungen, Berechtigungen in Kanälen etc.) und aus diesem Grund auch nur von den wenigsten Instituten im Testing gelebt wird.

Ansatz 2 hat sich gemäss unseren Beobachtungen zu einer Art „best practice“ entwickelt. Die Verantwortlichen sind sich bewusst, dass sie da allenfalls in einem Graubereich operieren. Sie haben jedoch das Risiko akzeptiert. Ob dieses Vorgehen in den Geschäftsleitungen transparent kommuniziert wird, ist eine andere Frage. 

Obwohl man meinen würde, dass keine Schweizer Bank den Ansatz 3 heute noch praktiziert, ist dies vor allem bei kleineren Instituten gang und gäbe. Es stellt sich die Frage, inwiefern hier Compliance-Vorgaben verletzt werden und wer schlussendlich die Verantwortung für ein solches Vorgehen trägt.

Obwohl das Thema bei jedem neuen IT-Release wieder periodisch aufpoppt, sind echte Vorgehensanpassungen die Ausnahme. Das Business-Projekt hat aktuell kein Budget für eine solche „Grossübung“ und auch in der zentralen IT oder dem Sicherheitsdepartment ist das Thema ZV-Testing nicht zuoberst in der Prioritätenliste.

Hier sind pragmatische Ansätze gefragt, die die Ressourcen der kleineren Banken berücksichtigen und dennoch einen gewissen Reifegrad bezüglich der Anonymisierung gewährleisten. Aus dem Fundus der zahlreich durchgeführten ZV-Testszenarien bei unseren Kunden ist PPI hier in der Lage Unterstützung zu leisten, damit diese „weissen Flecken“ entfernt werden können und kein CIO durchwachte Nächte deswegen mehr haben muss (mehr Infos oder konkrete Anfragen zum Thema unter info@ppi-schweiz.ch).

Dieser Beitrag wurde von Carsten Miehling gepostet.

#CID #FINMA #Harmonisierung

Weiterlesen