アウトソーシング、オペレーショナル・レジリエンス、サイバーセキュリティ

アウトソーシングに関するFINMA通達2018/3

ルガーノの金融機関が利用する人工知能の大部分は第三者によって供給され、その多くはクラウド上で稼働している。そのため、その利用は、銀行、証券会社および保険会社に適用されるスイス金融市場監督機構（FINMA）通達2018/3「Outsourcing」によって規律される。ポートフォリオ・マネージャーおよび受託者は、金融機関令における業務の委託に関する同等の規律に服する。同令は、経営機関に留保された決定の委託を禁止し、第三者を選定し、指示し、監視するために必要な人員、専門知識ならびに指示権および統制権を機関が保持することを求めている。¹ 同通達は2017年9月21日に発出され、2018年4月1日に施行された。同通達は、アウトソーシングを、機関の重要な機能を独立して継続的に遂行するようサービス提供者に委任することと定義し、機関がそのような機能をアウトソースする際に満たすべき要件を定めている。² ある機能は、金融市場監督の目的および規律の遵守に重大な影響を及ぼす場合に重要である。取引監視、顧客のスクリーニング、リスク管理および顧客データの管理は、この意味での重要な機能であり、それらが稼働するITシステムも多くの場合同様である。同通達の要件は六点に要約することができる。第一に、機関はアウトソースした機能の一覧を保持しなければならない。第二に、機関は、提供者の専門的能力、財務上および人的な資源ならびに当該取決めのリスクを考慮して、提供者を慎重に選定しなければならない。第三に、アウトソーシングは、サービス、責任、セキュリティ要件および解約権を定める書面の契約によって規律されなければならない。第四に、機関はアウトソースした機能について引き続き責任を負い、それを内部統制システムに組み込まなければならない。第五に、機関、その監査法人およびFINMAは、提供者の活動を検査することができ、関連情報にアクセスできなければならない。この要件は、国外の提供者について特に強く妥当する。最後に、アウトソーシングは機関の再建または破綻処理を妨げてはならない。銀行の場合、危機においても重要なサービスが引き続き利用可能でなければならない。³ 国外へのアウトソーシングは、これらの条件が満たされ、かつ機関が、その監査法人およびFINMAによるアクセス、ならびにシステム上重要な機能の場合には再建の可能性が確保されていることを証明できることを条件として認められる。

人工知能については、同通達は特有の問題を提起する。言語モデルの提供者自身が、データセンター運営者やモデル開発者などのさらなる下請業者に依拠している場合があり、機関はこの連鎖を把握し管理しなければならない。提供者は予告なくモデルを更新し、機関の結果に影響する形でその挙動を変えることがあり、これはテストおよび監視に関するFINMAの期待と抵触する。大手テクノロジー企業に対して契約上の監査権を行使することは困難であり、関係機関は通常、認証および監査報告書に依拠している。FINMAのAI調査は、小規模な機関がもっぱら外部の提供者に依拠していることを明らかにしており、これにより、これらの問題はまさにルガーノの市場で支配的な類型の機関に集中することになる。⁴

注

1. 2017年9月21日のFINMA通達2018/3「Outsourcing」（改正を含む）（同通達の適用範囲および日付）。2019年11月6日の金融機関令（FinIO）、SR 954.11、第15条から第17条（「Übertragung von Aufgaben」）、とりわけ第16条第1項から第3項、条文はhttps://www.droit-bilingue.ch/de-fr/9/95/954.11-16-19.html。 ↩
2. FINMA通達2018/3（前掲）、欄外番号2から5（アウトソーシングおよび重要な機能の定義）。 ↩
3. FINMA通達2018/3（前掲）、欄外番号13から35（一覧、選定、責任、セキュリティ、監査および監督、国外へのアウトソーシング、再建および破綻処理、契約）。 ↩
4. FINMA調査（2025年4月、前掲）。 ↩

本記事は一般的な情報提供のみを目的としています。法律上または税務上の助言を構成するものではなく、個別案件に関する助言に代わるものでもなく、弁護士と依頼者との間に委任関係を生じさせるものでもありません。本記事は2026年10月時点の法的状況を反映しています。