convert_library_version: 'v2 ; Compat Mode: [0] {[v2.1] (DEFAULT) D''ont use any Compatibility
  Mode}'
urn: urn:intuitem:risk:library:finma-2023-01
locale: fr
ref_id: finma-2023-01
name: "FINMA - Circulaire 2023/01 - Risques et r\xE9silience op\xE9rationnels - Banques"
description: "Gestion des risques op\xE9rationnels et garantie de la r\xE9silience\
  \ op\xE9rationnelle\nR\xE9f\xE9rence :  Circ.-FINMA 23/1 \xAB Risques et r\xE9silience\
  \ op\xE9rationnels - banques \xBB \nDate :  7 d\xE9cembre 2022 \nEntr\xE9e en vigueur\
  \ :  1er janvier 2024 \nConcordance : remplace la Circ.-FINMA 08/21 \xAB Risques\
  \ op\xE9rationnels - banques \xBB du 20 novembre 2008 \nBases l\xE9gales :  LFINMA,\
  \ art. 7 al. 1 let. b et 29 al. 1 \n                         LB art. 1b al. 3 let.\
  \ b, art. 3 al. 2 let. a et 3f  \n                         OB art. 12 et 14e \n\
  \                         LEFin art. 9 et 49 \n                         OEFin art.\
  \ 12 et 6"
copyright: FINMA
version: 1
publication_date: 2025-06-10
provider: FINMA
packager: intuitem
translations:
  en:
    name: FINMA - Circular 2023/01 - Operational risks and resilience - Banks
    description: "Managing operational risks and ensuring operational resilience\n\
      Reference: FINMA Circ. 23/1 \u201COperational risks and resilience \u2013 banks\u201D\
      \nDate: 7 December 2022\nEntry into force: 1 January 2024\nConcordance: former\
      \ FINMA Circ. 08/21 \u201COperational risk \u2013 banks\u201D, dated 20 November\
      \ 2008\nLegal framework: FINMASA Articles 7 para. 1 let. b and 29 para. 1\n\
      \                                 BA Article 1b para. 3 let. b, Articles 3 para.\
      \ 2 let. a and 3f\n                                 BO Articles 12 and 14e\n\
      \                                 FinIA Articles 9 and 49\n                \
      \                 FinIO Articles 12 and 68"
  it:
    name: FINMA - Circolare 2023/01 - Rischi operativi e resilienza - Banche
    description: "Gestione dei rischi operativi e garanzia della resilienza ope- rativa\n\
      Riferimento: Circ. FINMA 23/1 \xABRischi operativi e resilienza \u2013 banche\xBB\
      \nData: 7 dicembre 2022\nEntrata in vigore: 1\xB0 gennaio 2024\nConcordanza:\
      \ sostituisce la Circ. FINMA 08/21 \xABRischi operativi \u2013 banche\xBB del\
      \ 20 novembre 2008\nBasi legali: LFINMA art. 7 cpv. 1 lett. b e art. 29 cpv.\
      \ 1\n                     LBCR art. 1b cpv. 3 lett. b, art. 3 cpv. 2 lett. a\
      \ e art. 3f\n                     OBCR artt. 12 e 14e\n                    \
      \ LIsFi artt. 9 e 49\n                     OIsFi artt. 12 e 68"
  de:
    name: FINMA - Rundschreiben 2023/01 - Operationelle Risiken und Resilienz - Banken
    description: "Management der operationellen Risiken und Sicherstellung der operationellen\
      \ Resilienz\nReferenz: FINMA-RS 23/1 \u201EOperationelle Risiken und Resilienz\
      \ \u2013 Banken\u201C\nErlass: 7. Dezember 2022\nInkraftsetzung: 1. Januar 2024\n\
      Konkordanz: vormals FINMA-RS 08/21 \u201EOperationelle Risiken \u2013 Banken\u201C\
      \ vom 20. November 2008\nRechtliche Grundlagen: FINMAG Art. 7 Abs. 1 Bst. b\
      \ und 29 Abs. 1\n                                           BankG Art. 1b Abs.\
      \ 3 Bst. b, Art. 3 Abs. 2 Bst. a und 3f\n                                  \
      \         BankV Art. 12 und 14e\n                                          \
      \ FINIG Art. 9 und 49\n                                           FINIV Art.\
      \ 12 und 68"
objects:
  framework:
    urn: urn:intuitem:risk:framework:finma-2023-01
    ref_id: finma-2023-01
    name: "FINMA - Circulaire 2023/01 - Risques et r\xE9silience op\xE9rationnels\
      \ - Banques"
    description: "Gestion des risques op\xE9rationnels et garantie de la r\xE9silience\
      \ op\xE9rationnelle\nR\xE9f\xE9rence :  Circ.-FINMA 23/1 \xAB Risques et r\xE9\
      silience op\xE9rationnels - banques \xBB \nDate :  7 d\xE9cembre 2022 \nEntr\xE9\
      e en vigueur :  1er janvier 2024 \nConcordance : remplace la Circ.-FINMA 08/21\
      \ \xAB Risques op\xE9rationnels - banques \xBB du 20 novembre 2008 \nBases l\xE9\
      gales :  LFINMA, art. 7 al. 1 let. b et 29 al. 1 \n                        \
      \ LB art. 1b al. 3 let. b, art. 3 al. 2 let. a et 3f  \n                   \
      \      OB art. 12 et 14e \n                         LEFin art. 9 et 49 \n  \
      \                       OEFin art. 12 et 6"
    translations:
      en:
        name: FINMA - Circular 2023/01 - Operational risks and resilience - Banks
        description: "Managing operational risks and ensuring operational resilience\n\
          Reference: FINMA Circ. 23/1 \u201COperational risks and resilience \u2013\
          \ banks\u201D\nDate: 7 December 2022\nEntry into force: 1 January 2024\n\
          Concordance: former FINMA Circ. 08/21 \u201COperational risk \u2013 banks\u201D\
          , dated 20 November 2008\nLegal framework: FINMASA Articles 7 para. 1 let.\
          \ b and 29 para. 1\n                                 BA Article 1b para.\
          \ 3 let. b, Articles 3 para. 2 let. a and 3f\n                         \
          \        BO Articles 12 and 14e\n                                 FinIA\
          \ Articles 9 and 49\n                                 FinIO Articles 12\
          \ and 68"
      it:
        name: FINMA - Circolare 2023/01 - Rischi operativi e resilienza - Banche
        description: "Gestione dei rischi operativi e garanzia della resilienza ope-\
          \ rativa\nRiferimento: Circ. FINMA 23/1 \xABRischi operativi e resilienza\
          \ \u2013 banche\xBB\nData: 7 dicembre 2022\nEntrata in vigore: 1\xB0 gennaio\
          \ 2024\nConcordanza: sostituisce la Circ. FINMA 08/21 \xABRischi operativi\
          \ \u2013 banche\xBB del 20 novembre 2008\nBasi legali: LFINMA art. 7 cpv.\
          \ 1 lett. b e art. 29 cpv. 1\n                     LBCR art. 1b cpv. 3 lett.\
          \ b, art. 3 cpv. 2 lett. a e art. 3f\n                     OBCR artt. 12\
          \ e 14e\n                     LIsFi artt. 9 e 49\n                     OIsFi\
          \ artt. 12 e 68"
      de:
        name: FINMA - Rundschreiben 2023/01 - Operationelle Risiken und Resilienz
          - Banken
        description: "Management der operationellen Risiken und Sicherstellung der\
          \ operationellen Resilienz\nReferenz: FINMA-RS 23/1 \u201EOperationelle\
          \ Risiken und Resilienz \u2013 Banken\u201C\nErlass: 7. Dezember 2022\n\
          Inkraftsetzung: 1. Januar 2024\nKonkordanz: vormals FINMA-RS 08/21 \u201E\
          Operationelle Risiken \u2013 Banken\u201C vom 20. November 2008\nRechtliche\
          \ Grundlagen: FINMAG Art. 7 Abs. 1 Bst. b und 29 Abs. 1\n              \
          \                             BankG Art. 1b Abs. 3 Bst. b, Art. 3 Abs. 2\
          \ Bst. a und 3f\n                                           BankV Art. 12\
          \ und 14e\n                                           FINIG Art. 9 und 49\n\
          \                                           FINIV Art. 12 und 68"
    requirement_nodes:
    - urn: urn:intuitem:risk:req_node:finma-2023-01:i.-objet-et-champ-dapplication
      assessable: false
      depth: 1
      name: "I. Objet et champ d\u2019application"
      translations:
        en:
          name: I. Subject and scope of application
        it:
          name: I. Oggetto e campo di applicazione
        de:
          name: I. Gegenstand und Geltungsbereich
    - urn: urn:intuitem:risk:req_node:finma-2023-01:1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:i.-objet-et-champ-dapplication
      ref_id: '1'
      description: "La pr\xE9sente circulaire se r\xE9f\xE8re aux prescriptions en\
        \ mati\xE8re de s\xE9paration des fonctions, de gestion des risques et de\
        \ contr\xF4le interne de l\u2019ordonnance sur les banques (art. 12 et 14e\
        \ OB ; RS 952.02) et de l\u2019ordonnance sur les \xE9tablissements financiers\
        \ (art. 12 et 68 OEFin ; RS 954.11) et concr\xE9tise la pratique prudentielle\
        \ correspondante. Elle tient compte des principes du Comit\xE9 de B\xE2le\
        \ pour une gestion irr\xE9prochable des risques op\xE9rationnels[1] et de\
        \ la r\xE9silience op\xE9rationnelle[2]."
      annotation: "[1] CBCB, \xAB Revisions to the Principles for the Sound Management\
        \ of Operational Risk \xBB (31 mars 2021)\n[2] CBCB, \xAB Principles for Operational\
        \ Resilience \xBB (31 mars 2021)"
      translations:
        en:
          description: "This Circular relates to the rules on the segregation of duties,\
            \ risk management and internal controls contained in the Banking Ordinance\
            \ (Arts. 12 and 14e BO, SR 952.02) and the Financial Institutions Ordinance\
            \ (Arts. 12 and 68 FinIO; SR 954.11) and sets out the corresponding supervisory\
            \ practice. It takes account of the Basel Committee\u2019s principles\
            \ for the sound management of operational risk[1] and operational resilience[2]."
          annotation: '[1] BCBS Revisions to the Principles for the Sound Management
            of Operational Risk (31 March 2021).

            [2] BCBS Principles for Operational Resilience (31 March 2021).'
        it:
          description: "La presente circolare si riferisce alle prescrizioni dell\u2019\
            Ordinanza sulle banche (artt. 12 e 14e OBCR; RS 952.02) e dell\u2019Ordinanza\
            \ sugli istituti finanziari (artt. 12 e 68 OIsFi; RS 954.11) concernenti\
            \ la separazione delle funzioni, la gestione dei rischi e il controllo\
            \ interno e concretizza la prassi di vigilanza in materia. Tiene conto\
            \ dei Principi del Comitato di Basilea sulla sana gestione dei rischi\
            \ operativi[1] e sulla resilienza operativa[2]."
          annotation: '[1] BCBS Revisions to the Principles for the Sound Management
            of Operational Risk (31 marzo 2021).

            [2] BCBS Principles for Operational Resilience (31 marzo 2021).'
        de:
          description: "Dieses Rundschreiben bezieht sich auf die Vorschriften \xFC\
            ber die Funktionentrennung, das Risikomanagement und die interne Kontrolle\
            \ der Bankenverordnung (Art. 12 und 14e BankV; SR 952.02) und der Finanzinstitutsverordnung\
            \ (Art. 12 und 68 FINIV; SR 954.11) und konkretisiert die entsprechende\
            \ Aufsichtspraxis. Es ber\xFCcksichtigt die Basler Grunds\xE4tze zum einwandfreien\
            \ Management der operationellen Risiken[1] und der operationellen Resilienz[2]."
          annotation: '[1] BCBS Revisions to the Principles for the Sound Management
            of Operational Risk (31 March 2021)

            [2] BCBS Principles for Operational Resilience (31 March 2021)'
    - urn: urn:intuitem:risk:req_node:finma-2023-01:2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:i.-objet-et-champ-dapplication
      ref_id: '2'
      description: "La pr\xE9sente circulaire s\u2019adresse aux banques selon l\u2019\
        art. 1a et aux personnes selon l\u2019art. 1b de la loi sur les banques (LB\
        \ ; RS 952.0), aux maisons de titres selon les art. 2 al. 1 let. e et 41 de\
        \ la loi sur les \xE9tablissements financiers (LEFin ; RS 954.1) ainsi qu\u2019\
        aux groupes financiers et aux conglom\xE9rats financiers selon l\u2019art.\
        \ 3c LB et l\u2019art. 49 LEFin. Par \xAB \xE9tablissements \xBB, on entend\
        \ ci-apr\xE8s les banques, les personnes selon l\u2019art. 1b LB, les maisons\
        \ de titres ainsi que les groupes et conglom\xE9rats financiers."
      translations:
        en:
          description: "This Circular applies to banks under Article 1a and persons\
            \ under Article 1b of the Banking Act (BA; SR 952.0), securities dealers\
            \ under Article 2 para. 1 let. e and Article 41 of the Financial Institutions\
            \ Act (FinIA; SR 954.1), and financial groups and financial conglomerates\
            \ under Article 3c BA and Article 49 FinIA. In the following, banks, persons\
            \ under Article 1b BA, securities firms, financial groups and financial\
            \ conglomerates are referred to collectively as \u201Cinstitutions\u201D\
            ."
        it:
          description: "La circolare \xE8 destinata alle banche secondo l\u2019art.\
            \ 1a e alle persone secondo l\u2019art. 1b della Legge sulle banche (LBCR;\
            \ RS 952.0), alle societ\xE0 di intermediazione mobiliare secondo l\u2019\
            art. 2 cpv. 1 lett. e e l\u2019art. 41 della Legge sugli istituti finanziari\
            \ (LIsFI; RS 954.1) nonch\xE9 ai gruppi finanziari e ai conglomerati finanziari\
            \ secondo l\u2019art. 3c LBCR e l\u2019art. 49 LIsFi. Di seguito le banche,\
            \ le persone secondo l\u2019art. 1b LBCR, le societ\xE0 di intermediazione\
            \ mobiliare, i gruppi finanziari e i conglomerati finanziari vengono denominati\
            \ congiuntamente \xABistituti\xBB."
        de:
          description: "Das Rundschreiben richtet sich an Banken nach Art. 1a und\
            \ Personen nach Art. 1b Bankengesetz (BankG; SR 952.0), Wertpapierh\xE4\
            user nach Art. 2 Abs. 1 Bst. e und Art. 41 des Finanzinstitutsgesetzes\
            \ (FINIG; SR 954.1) sowie an Finanzgruppen und Finanzkonglomerate nach\
            \ Art. 3c BankG und Art. 49 FINIG. Im Folgenden werden Banken, Personen\
            \ nach Art. 1b BankG, Wertpapierh\xE4user, Finanzgruppen und Finanzkonglomerate\
            \ unter dem Begriff \u201EInstitute\u201C zusammengefasst."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      assessable: false
      depth: 1
      name: "II. D\xE9finitions"
      translations:
        en:
          name: II. Definition of terms
        it:
          name: II. Definizioni
        de:
          name: II. Begriffe
    - urn: urn:intuitem:risk:req_node:finma-2023-01:3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '3'
      description: "Les risques op\xE9rationnels sont d\xE9finis \xE0 l\u2019art.\
        \ 89 OFR. On entend par l\xE0 le risque de pertes financi\xE8res r\xE9sultant\
        \ de l\u2019inad\xE9quation ou de la d\xE9faillance de processus ou de syst\xE8\
        mes internes, d\u2019actions inappropri\xE9es de personnes ou d'erreurs qu\u2019\
        elles ont commises ou encore d'\xE9v\xE9nements externes. Sont comprises les\
        \ pertes financi\xE8res qui peuvent d\xE9couler des risques juridiques ou\
        \ des risques de compliance. La gestion des risques op\xE9rationnels prend\
        \ typiquement \xE9galement en compte d\u2019autres types de dommages[3], dans\
        \ la mesure o\xF9 ceux-ci peuvent aussi aboutir \xE0 des pertes financi\xE8\
        res. Les risques strat\xE9giques en sont exclus."
      annotation: "[3] Par ex. r\xE9percussions n\xE9gatives sur la r\xE9putation,\
        \ perte potentielle de confiance et perte de client\xE8le, incidences n\xE9\
        gatives sur le march\xE9, cons\xE9quences r\xE9glementaires n\xE9gatives (par\
        \ ex. perte potentielle de licence)."
      translations:
        en:
          description: Operational risk is defined in Article 89 CAO. It refers to
            the risk of financial loss resulting from inadequate or failed internal
            processes or systems, inappropriate actions taken by people or mistakes
            made by them, or from external events. This includes the financial losses
            that can result from legal or compliance risks. Operational risk management
            typically also takes other types of damage into account[3], provided that
            these can ultimately also result in financial loss. It does not include
            strategic risk.
          annotation: '[3] For example, negative impact on reputation, possible loss
            of confidence and loss of clients, negative impact on the market, negative
            regulatory impact (e.g. possible loss of licence).'
        it:
          description: "I rischi operativi sono definiti nell\u2019art. 89 dell\u2019\
            Ordinanza sui fondi propri (OFoP; RS 952.03). Consistono nel pericolo\
            \ di incorrere in perdite finanziarie dovute all\u2019inadeguatezza o\
            \ all\u2019inefficacia delle procedure o dei sistemi interni, all\u2019\
            inadeguatezza delle azioni delle persone o a errori da esse commessi oppure\
            \ causate da eventi esterni. Essi comprendono le perdite finanziarie che\
            \ possono insorgere da rischi legali o di compliance. La gestione dei\
            \ rischi operativi tiene tipicamente conto anche di altre dimensioni del\
            \ danno[3], nella misura in cui esse possano causare tra l\u2019altro\
            \ perdite finanziarie. Sono esclusi i rischi strategici."
          annotation: '[3] Per esempio effetti negativi sulla reputazione, possibile
            perdita di fiducia e di clienti, effetti negativi sul mercato, effetti
            regolatori negativi (p. es. possibile perdita della licenza).'
        de:
          description: "Operationelle Risiken sind in Art. 89 ERV definiert. Es handelt\
            \ sich um die Gefahr von finanziellen Verlusten, die in Folge der Unangemessenheit\
            \ oder des Versagens von internen Prozessen oder Systemen, des unangemessenen\
            \ Handelns von Menschen oder durch sie begangene Fehler, oder in Folge\
            \ von externen Ereignissen eintreten. Dies beinhaltet die finanziellen\
            \ Verluste, die aus Rechts- oder Compliance-Risiken entstehen k\xF6nnen.\
            \ Das Management der operationellen Risiken ber\xFCcksichtigt typischerweise\
            \ auch andere Schadensdimensionen[3], sofern diese letztendlich auch in\
            \ finanziellen Verlusten resultieren k\xF6nnen. Dabei ausgeschlossen sind\
            \ die strategischen Risiken."
          annotation: "[3] Bspw. negative Auswirkungen auf die Reputation, m\xF6glicher\
            \ Vertrauensverlust und Verlust von Kundinnen und Kun- den, negative Auswirkungen\
            \ auf den Markt, negative regulatorische Auswirkungen (z. Bsp. m\xF6glicher\
            \ Verlust der Lizenz)."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '4'
      description: "Les risques inh\xE9rents sont les risques op\xE9rationnels auxquels\
        \ est expos\xE9 l\u2019\xE9tablissement en raison de ses produits, de ses\
        \ activit\xE9s, de ses proc\xE9dures et de ses syst\xE8mes, sans prise en\
        \ compte des mesures de contr\xF4le et d\u2019att\xE9nuation."
      translations:
        en:
          description: Inherent risks are operational risks that the institution is
            exposed to through its products, activities, processes and systems, without
            taking control or mitigation measures into account.
        it:
          description: "I rischi inerenti sono rischi operativi a cui l\u2019istituto\
            \ \xE8 esposto a causa dei suoi prodotti, processi e sistemi e delle sue\
            \ attivit\xE0 senza considerare le misure di controllo e di attenuazione."
        de:
          description: "Inh\xE4rente Risiken sind operationelle Risiken, denen das\
            \ Institut durch seine Produkte, Aktivit\xE4ten, Prozesse und Systeme\
            \ ausgesetzt ist, ohne Ber\xFCcksichtigung von Kontroll- und Minderungsmassnahmen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '5'
      description: "Les risques r\xE9siduels sont les risques op\xE9rationnels auxquels\
        \ est expos\xE9 l\u2019\xE9tablissement apr\xE8s prise en compte des mesures\
        \ de contr\xF4le et d\u2019att\xE9nuation."
      translations:
        en:
          description: Residual risks are operational risks that the institution is
            exposed to after taking control and mitigation measures into account.
        it:
          description: "I rischi residui sono rischi operativi a cui l\u2019istituto\
            \ \xE8 esposto dopo aver considerato le misure di controllo e di attenuazione."
        de:
          description: "Residuale Risiken sind operationelle Risiken, denen das Institut\
            \ nach der Ber\xFCcksichtigung von Kontroll- und Minderungsmassnahmen\
            \ ausgesetzt ist."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '6'
      description: "Par technologie de l\u2019information et de la communication (TIC),\
        \ on entend la structure physique et logique (\xE9lectronique) des syst\xE8\
        mes IT et de communication, les diff\xE9rentes composantes mat\xE9rielles\
        \ et logicielles, les r\xE9seaux, les donn\xE9es et les environnements d\u2019\
        exploitation."
      translations:
        en:
          description: Information and communication technology (ICT) refers to the
            physical and logical (electronic) architecture of IT and communication
            systems, the individual hardware and software assets, networks, data and
            operating environments.
        it:
          description: Le tecnologie dell'informazione e della comunicazione (TIC)
            designano la struttura fisica e logica (elettronica) dei sistemi informatici
            e di comunicazione, le singoli componenti hardware e software, le reti,
            i dati e gli ambienti operativi.
        de:
          description: Die Informations- und Kommunikationstechnologie (IKT) bezeichnet
            den physischen und logischen (elektronischen) Aufbau von IT- und Kommunikationssystemen,
            die einzelnen Hard- und Softwarekomponenten, Netzwerke, Daten und Betriebsumgebungen.
    - urn: urn:intuitem:risk:req_node:finma-2023-01:7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '7'
      description: "Les donn\xE9es critiques sont des donn\xE9es qui, compte tenu\
        \ de la taille, de la complexit\xE9, de la structure, du profil de risque\
        \ ainsi que du mod\xE8le d\u2019affaires de l\u2019\xE9tablissement rev\xEA\
        tent une importance telle qu\u2019elles n\xE9cessitent des exigences accrues\
        \ en mati\xE8re de s\xE9curit\xE9. Ces donn\xE9es sont importantes pour la\
        \ prestation r\xE9ussie et durable des services de l\u2019\xE9tablissement\
        \ ou \xE0 des fins r\xE9glementaires. Lors de l\u2019\xE9valuation et de la\
        \ d\xE9finition de la criticit\xE9 des donn\xE9es, il faut prendre en compte\
        \ la confidentialit\xE9, l\u2019int\xE9grit\xE9 et la disponibilit\xE9. Chacun\
        \ de ces trois aspects peut \xEAtre d\xE9terminant pour classifier des donn\xE9\
        es comme critiques."
      translations:
        en:
          description: "Critical data are data that, in view of the institution\u2019\
            s size, complexity, structure, risk profile and business model, are of\
            \ such crucial significance that they require increased security measures.\
            \ These are data that are crucial for the successful and sustainable provision\
            \ of the institution\u2019s services or for regulatory purposes. When\
            \ assessing and determining the criticality of data, the confidentiality\
            \ as well as the integrity and availability must be taken into account.\
            \ Each of these three aspects can determine whether data is classified\
            \ as critical."
        it:
          description: "I dati critici sono dati che, in considerazione delle dimensioni,\
            \ della complessit\xE0, della struttura, del profilo di rischio e del\
            \ modello commerciale dell\u2019istituto sono importanti a tal punto da\
            \ richiedere uno standard pi\xF9 elevato di sicurezza. Si tratta di dati\
            \ essenziali ai fini dell\u2019erogazione efficace e continuativa dei\
            \ servizi dell\u2019istituto o per scopi regolatori. Per valutare e determinare\
            \ la criticit\xE0 dei dati \xE8 necessario considerarne sia la confidenzialit\xE0\
            \ sia l\u2019integrit\xE0 e la disponibilit\xE0. Ognuno di questi tre\
            \ aspetti pu\xF2 essere determinante per classificare i dati come critici."
        de:
          description: "Kritische Daten sind Daten, die in Anbetracht der Gr\xF6sse,\
            \ der Komplexit\xE4t, der Struktur, des Risikoprofils sowie des Gesch\xE4\
            ftsmodells des Instituts von so wesentlicher Bedeutung sind, dass sie\
            \ einen erh\xF6hten Sicherheitsanspruch erfordern. Dabei handelt es sich\
            \ um Daten, die f\xFCr die erfolgreiche und nachhaltige Erbringung der\
            \ Dienstleistungen des Instituts oder f\xFCr regulatorische Zwecke wesentlich\
            \ sind. Bei der Beurteilung und Festlegung der Kritikalit\xE4t von Daten\
            \ sind sowohl die Vertraulichkeit als auch die Integrit\xE4t und Verf\xFC\
            gbarkeit zu ber\xFCcksichtigen. Jeder dieser drei Aspekte kann ausschlaggebend\
            \ daf\xFCr sein, dass Daten als kritisch klassifiziert werden."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '8'
      description: "Les processus critiques sont des processus qui, s\u2019ils connaissent\
        \ des incidents ou interruptions majeurs mettent en danger l\u2019ex\xE9cution\
        \ des fonctions critiques. Ils font partie des fonctions critiques."
      translations:
        en:
          description: Critical processes are processes whose significant disruption
            endanger the provision of critical functions. They are part of the critical
            functions.
        it:
          description: I processi critici sono processi la cui perturbazione importante
            o interruzione compromette lo svolgimento delle funzioni critiche, di
            cui sono parte.
        de:
          description: "Kritische Prozesse sind Prozesse, deren bedeutende St\xF6\
            rung oder Unterbrechung die Erbringung kritischer Funktionen gef\xE4hrden.\
            \ Sie sind ein Bestandteil der kritischen Funktionen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '9'
      description: "Le business continuity management (BCM) d\xE9signe l\u2019approche\
        \ adopt\xE9e \xE0 l\u2019\xE9chelle de l\u2019\xE9tablissement pour r\xE9\
        tablir le fonctionnement des processus critiques en cas d\u2019incident ou\
        \ d\u2019interruption majeurs qui vont au-del\xE0 de la gestion des incidents.\
        \ Il d\xE9finit la r\xE9action \xE0 un incident ou une interruption majeurs.\
        \ Un BCM efficace diminue les risques r\xE9siduels li\xE9s aux incidents ou\
        \ interruptions majeurs."
      translations:
        en:
          description: Business continuity management (BCM) refers to the institution-wide
            approach for recovering the operation of critical processes in the event
            of a significant disruption going beyond incident management. It defines
            the response to significant disruptions. Effective BCM reduces the residual
            risks in connection with significant disruptions.
        it:
          description: "Il business continuity management (BCM) designa l\u2019approccio\
            \ adottato a livello di istituto per ripristinare i processi critici in\
            \ caso di perturbazione o interruzione importante che vada al di l\xE0\
            \ della gestione degli incidenti. Definisce dunque la reazione a perturbazioni\
            \ importanti o interruzioni. Un BCM efficace riduce i rischi residui correlati\
            \ a perturbazioni importanti o interruzioni."
        de:
          description: "Das Business Continuity Management (BCM) bezeichnet den institutsweiten\
            \ Ansatz, um im Falle einer \xFCber das Vorfallmanagement hinausgehenden,\
            \ bedeutenden St\xF6rung oder Unterbrechung den Betrieb der kritischen\
            \ Prozesse wiederherzustellen. Es definiert die Reaktion auf bedeutende\
            \ St\xF6rungen oder Unterbrechungen. Ein effektives BCM vermindert die\
            \ residualen Risiken im Zusammenhang mit bedeutenden St\xF6rungen oder\
            \ Unterbrechungen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '10'
      description: "Le recovery time objective (RTO) est le d\xE9lai n\xE9cessaire\
        \ jusqu\u2019au r\xE9tablissement d\u2019une application, d\u2019un syst\xE8\
        me et/ou d\u2019un processus. Le recovery point objective (RPO) est la dur\xE9\
        e maximale acceptable d\u2019une perte de donn\xE9es."
      translations:
        en:
          description: The recovery time objective (RTO) is the time within which
            an application, system and/or process must be recovered. The recovery
            point objective (RPO) is the maximum tolerable period during which data
            is lost.
        it:
          description: "Il recovery time objective (RTO) \xE8 il tempo necessario\
            \ per ripristinare un\u2019applicazione, un sistema e/o un processo. Il\
            \ recovery point objective (RPO) \xE8 la durata massima tollerabile di\
            \ una perdita di dati."
        de:
          description: Die Recovery Time Objective (RTO) ist die Zeit bis zur Wiederherstellung
            einer Anwendung, eines Systems und/oder eines Prozesses. Die Recovery
            Point Objective (RPO) ist die maximal tolerierbare Zeitspanne eines Datenverlusts.
    - urn: urn:intuitem:risk:req_node:finma-2023-01:11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '11'
      description: "Le business continuity plan (BCP) est un plan qui d\xE9finit les\
        \ proc\xE9dures, les options de remplacement et les ressources de remplacement\
        \ n\xE9cessaires (les processus de r\xE9tablissement) pour garantir la continuit\xE9\
        \ et le r\xE9tablissement des processus critiques."
      translations:
        en:
          description: The business continuity plan (BCP) is a forward-looking plan
            that sets out the necessary procedures, recovery options and alternative
            resources (the recovery processes) for ensuring continuity and recovering
            critical processes.
        it:
          description: "Il business continuity plan (BCP) \xE8 un piano previdente\
            \ che definisce le procedure, le opzioni di ripristino e le risorse sostitutive\
            \ necessarie (i processi di ripristino) per garantire la continuit\xE0\
            \ e il ripristino dei processi critici."
        de:
          description: "Der Business Continuity Plan (BCP) ist ein vorausschauender\
            \ Plan, der die notwendigen Vorgehensweisen, Wiederherstellungsoptionen\
            \ und Ersatzressourcen (die Wiederherstellungsprozesse) zur Sicherstellung\
            \ der Kontinuit\xE4t und zur Wiederherstellung der kritischen Prozesse\
            \ festlegt."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '12'
      description: "Le disaster recovery plan (DRP) d\xE9finit les processus de r\xE9\
        tablissement qui permettent d\u2019atteindre les objectifs de r\xE9tablissement\
        \ en cas de d\xE9faillance majeure ou de destruction de la TIC, en tenant\
        \ compte de l\u2019\xE9ventuelle indisponibilit\xE9 de personnes cl\xE9s."
      translations:
        en:
          description: The disaster recovery plan (DRP) defines the recovery processes
            for achieving the recovery goals in the event of a catastrophic failure
            or destruction of the ICT and taking into account the possible loss of
            key personnel.
        it:
          description: "Il disaster recovery plan (DRP) definisce i processi di ripristino\
            \ necessari per conseguire gli obiettivi di ripristino in caso di un guasto\
            \ grave o di distruzione delle tecnologie dell\u2019informazione e della\
            \ comunicazione (TIC) e in considerazione dell\u2019eventuale assenza\
            \ di persone chiave."
        de:
          description: "Der Disaster Recovery Plan (DRP) definiert die Wiederherstellungsprozesse,\
            \ um im Fall eines schwerwiegenden Ausfalls oder einer Zerst\xF6rung der\
            \ IKT und unter Ber\xFCcksichtigung des m\xF6glichen Ausfalls von Schl\xFC\
            sselpersonen, die Wiederherstellungsziele zu erreichen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '13'
      description: "Les situations de crise sont des situations exceptionnelles mettant\
        \ potentiellement en danger l\u2019existence de l\u2019\xE9tablissement et\
        \ qui ne peuvent pas \xEAtre ma\xEEtris\xE9es \xE0 l\u2019aide de mesures\
        \ et comp\xE9tences d\xE9cisionnelles ordinaires. Elles se distinguent des\
        \ incidents ordinaires ainsi que des incidents ou interruptions majeurs, qui\
        \ peuvent \xEAtre ma\xEEtris\xE9s \xE0 l\u2019aide de la gestion des incidents\
        \ en situation normale ou des BCP et DRP d\xE9finis."
      translations:
        en:
          description: "Crisis situations are exceptional situations that potentially\
            \ threaten the institution\u2019s existence, and that cannot be managed\
            \ with ordinary measures and decision-making authority. They differ from\
            \ incidents and significant disruptions that can be overcome with incident\
            \ management in normal operation or with the defined BCPs and DRPs."
        it:
          description: "Le situazioni di crisi sono situazioni straordinarie, che\
            \ costituiscono una potenziale minaccia per l\u2019esistenza e non possono\
            \ essere fronteggiate con misure e competenze decisionali ordinarie. Si\
            \ distinguono dagli incidenti (incidents) e dalle perturbazioni o dalle\
            \ interruzioni importanti che possono essere fronteggiate con la gestione\
            \ degli incidenti nell\u2019esercizio normale o con i BCP e i DRP stabiliti."
        de:
          description: "Krisensituationen sind ausserordentliche, potenziell existenzbedrohende\
            \ Situationen, welche nicht mit ordentlichen Massnahmen und Entscheidungskompetenzen\
            \ bew\xE4ltigt werden k\xF6nnen. Sie unterscheiden sich von Vorf\xE4llen\
            \ (Incidents bzw. St\xF6rungen) und bedeutenden St\xF6rungen oder Unterbrechungen,\
            \ welche mit dem Vorfallmanagement im Normalbetrieb oder den festgelegten\
            \ BCPs und DRPs bew\xE4ltigt werden k\xF6nnen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '14'
      description: 'Les fonctions critiques comprennent :'
      translations:
        en:
          description: 'Critical functions include:'
        it:
          description: 'Le funzioni critiche comprendono:'
        de:
          description: 'Kritische Funktionen beinhalten:'
    - urn: urn:intuitem:risk:req_node:finma-2023-01:15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '15'
      description: "a. les activit\xE9s, les processus et les services, y compris\
        \ les ressources sous-jacentes n\xE9cessaires \xE0 leur r\xE9alisation, dont\
        \ l\u2019interruption mettrait en danger la poursuite de l\u2019\xE9tablissement\
        \ ou son r\xF4le sur le march\xE9 financier, et donc le bon fonctionnement\
        \ des march\xE9s financiers ; et"
      translations:
        en:
          description: "a. the activities, processes and services \u2013 including\
            \ the underlying resources necessary for their provision \u2013 whose\
            \ disruption would jeopardise the institution\u2019s continuation or its\
            \ role on the financial market and thus the proper functioning of the\
            \ financial markets; and"
        it:
          description: "a. le attivit\xE0, i processi e i servizi, incluse le risorse\
            \ sottostanti necessarie al loro svolgimento, la cui interruzione pregiudicherebbe\
            \ il mantenimento dell\u2019attivit\xE0 dell\u2019istituto o il suo ruolo\
            \ sul mercato finanziario, quindi anche la funzionalit\xE0 dei mercati\
            \ finanziari; e"
        de:
          description: "a. die Aktivit\xE4ten, Prozesse und Dienstleistungen, inklusive\
            \ die f\xFCr ihre Erbringung notwendigen zugrundeliegenden Ressourcen,\
            \ deren Unterbrechung die Weiterf\xFChrung des Instituts oder seine Rolle\
            \ im Finanzmarkt und damit die Funktionsf\xE4higkeit der Finanzm\xE4rkte\
            \ gef\xE4hrden w\xFCrde; und"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '16'
      description: "b. les fonctions d\u2019importance syst\xE9mique selon l\u2019\
        art. 8 LB."
      translations:
        en:
          description: b. the systemically important functions under Article 8 BA.
        it:
          description: "b. le funzioni di rilevanza sistemica secondo l\u2019art.\
            \ 8 LBCR."
        de:
          description: b. die systemrelevanten Funktionen nach Art. 8 BankG.
    - urn: urn:intuitem:risk:req_node:finma-2023-01:17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '17'
      description: "La tol\xE9rance aux interruptions est l\u2019ampleur (par ex.\
        \ dur\xE9e ou dommages attendus) de l\u2019interruption d\u2019une fonction\
        \ critique que l\u2019\xE9tablissement est dispos\xE9 \xE0 accepter en tenant\
        \ compte de sc\xE9narios graves mais plausibles. Une tol\xE9rance aux interruptions\
        \ doit \xEAtre d\xE9finie pour chaque fonction critique."
      translations:
        en:
          description: The tolerance for disruption is the extent (e.g. the duration
            or expected damage) of the disruption of a critical function that the
            institution is willing to accept, taking severe but plausible scenarios
            into account. A tolerance for disruption must be defined for each critical
            function.
        it:
          description: "La tolleranza alle interruzioni \xE8 la portata (p. es. durata\
            \ o danni attesi) dell\u2019interruzione di una funzione critica, che\
            \ l\u2019istituto \xE8 disposto ad accettare considerando scenari gravi,\
            \ ma plausibili. Per ogni funzione critica deve essere definita una tolleranza\
            \ alle interruzioni."
        de:
          description: "Die Unterbrechungstoleranz ist das Ausmass (bspw. Dauer oder\
            \ erwarteter Schaden) der Unterbrechung einer kritischen Funktion, das\
            \ das Institut unter Ber\xFCcksichtigung von schwerwiegenden, aber plausiblen\
            \ Szenarien zu akzeptieren bereit ist. F\xFCr jede kritische Funktion\
            \ ist eine Unterbrechungstoleranz zu definieren."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:18
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:ii.-definitions
      ref_id: '18'
      description: "La r\xE9silience op\xE9rationnelle d\xE9signe la capacit\xE9 de\
        \ l\u2019\xE9tablissement \xE0 pouvoir r\xE9tablir ses fonctions critiques\
        \ en cas d\u2019interruptions dans les limites de la tol\xE9rance aux interruptions,\
        \ c.-\xE0-d. la capacit\xE9 de l\u2019\xE9tablissement \xE0 identifier les\
        \ menaces et les d\xE9faillances \xE9ventuelles, \xE0 s\u2019en prot\xE9ger\
        \ et \xE0 y r\xE9agir, \xE0 r\xE9tablir la marche ordinaire des affaires en\
        \ cas d\u2019interruptions et \xE0 en tirer des enseignements pour minimiser\
        \ les cons\xE9quences sur l\u2019ex\xE9cution des fonctions critiques. Un\
        \ \xE9tablissement r\xE9silient sur le plan op\xE9rationnel a \xE9tabli son\
        \ mod\xE8le d\u2019exploitation[4] de mani\xE8re \xE0 \xEAtre moins expos\xE9\
        \ au risque d\u2019interruptions de ses fonctions critiques. La r\xE9silience\
        \ op\xE9rationnelle diminue non seulement les risques r\xE9siduels des interruptions,\
        \ mais aussi le risque inh\xE9rent d\u2019\xEAtre soumis \xE0 une interruption.\
        \ Une gestion efficace des risques op\xE9rationnels contribue \xE0 renforcer\
        \ la r\xE9silience op\xE9rationnelle de l\u2019\xE9tablissement."
      annotation: "[4] Souvent appel\xE9 resilience by design"
      translations:
        en:
          description: "Operational resilience refers to the institution\u2019s ability\
            \ to restore its critical functions in case of a disruption within the\
            \ tolerance for disruption. That is to say, the institution\u2019s ability\
            \ to identify threats and possible failures, to protect itself from them\
            \ and to respond to them, to restore normal business operations in the\
            \ event of disruptions and to learn from them, so as to minimise the impact\
            \ of disruptions on the provision of critical functions. An operationally\
            \ resilient institution has designed its operating model in such a way[4]\
            \ that it is less exposed to the risk of disruptions in relation to its\
            \ critical functions. Operational resilience thus reduces not only the\
            \ residual risks of disruptions, but also the inherent risk of disruptions\
            \ occurring. Effective operational risk management helps strengthen the\
            \ institution\u2019s operational resilience."
          annotation: '[4] Often also called resilience by design.'
        it:
          description: "La resilienza operativa designa la capacit\xE0 dell\u2019\
            istituto di ripristinare le sue funzioni critiche in caso di interruzioni\
            \ entro i limiti di tolleranza alle interruzioni, ossia la capacit\xE0\
            \ dell\u2019istituto di individuare minacce e possibili disfunzioni, proteggersi\
            \ da esse e reagire, ripristinare l\u2019attivit\xE0 ordinaria in caso\
            \ di interruzioni e trarne insegnamenti per minimizzare le conseguenze\
            \ sullo svolgimento delle funzioni critiche. Un istituto operativamente\
            \ resiliente ha strutturato il suo modello operativo[4] in modo tale da\
            \ essere meno esposto al rischio di interruzioni in riferimento alle sue\
            \ funzioni critiche. La resilienza operativa riduce quindi non solo i\
            \ rischi residui delle interruzioni, ma anche il rischio inerente che\
            \ si verifichino interruzioni. Una gestione efficace dei rischi operativi\
            \ contribuisce a rafforzare la resilienza operativa dell\u2019istituto."
          annotation: '[4] Spesso chiamato anche resilience by design.'
        de:
          description: "Operationelle Resilienz bezeichnet die F\xE4higkeit des Instituts,\
            \ seine kritischen Funktionen bei Unterbrechungen innerhalb der Unterbrechungstoleranz\
            \ wiederherstellen zu k\xF6nnen. D. h., die F\xE4higkeit des Instituts,\
            \ Bedrohungen und m\xF6gliche Ausf\xE4lle zu identifizieren, sich davor\
            \ zu sch\xFCtzen und darauf zu reagieren, bei Unterbrechungen den ordentlichen\
            \ Gesch\xE4ftsbetrieb wiederherzustellen und daraus zu lernen, um die\
            \ Auswirkungen von Unterbrechungen auf die Erbringung der kritischen Funktionen\
            \ zu minimieren. Ein operationell resilientes Institut hat sein Betriebsmodell\
            \ so aufgebaut[4], dass es in Bezug auf seine kritischen Funktionen dem\
            \ Risiko von Unterbrechungen weniger ausgesetzt ist. Die operationelle\
            \ Resilienz verringert somit nicht nur die residualen Risiken von Unterbrechungen,\
            \ sondern auch das inh\xE4rente Risiko, dass es zu Unterbrechungen kommt.\
            \ Ein effektives Management der operationellen Risiken tr\xE4gt dazu bei,\
            \ die operationelle Resilienz des Instituts zu st\xE4rken."
          annotation: "[4] H\xE4ufig auch Resilience by Design genannt."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iii.-principe-de-proportionnalite
      assessable: false
      depth: 1
      name: "III. Principe de proportionnalit\xE9"
      translations:
        en:
          name: III. Principle of proportionality
        it:
          name: "III. Principio di proporzionalit\xE0"
        de:
          name: "III. Proportionalit\xE4tsprinzip"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:19
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iii.-principe-de-proportionnalite
      ref_id: '19'
      description: "La pr\xE9sente circulaire s\u2019applique fondamentalement \xE0\
        \ l\u2019ensemble de ses destinataires. Elle doit cependant \xEAtre mise en\
        \ \u0153uvre au cas par cas en fonction de la taille, de la complexit\xE9\
        , de la structure et du profil de risque de l\u2019\xE9tablissement. La FINMA\
        \ ordonne des all\xE8gements ou des renforcements au cas par cas."
      translations:
        en:
          description: This Circular applies to all addressees. However, the requirements
            are to be implemented on a case-by-case basis, depending on the size,
            complexity, structure and risk profile of each institution. FINMA can
            relax or tighten the rules in individual cases.
        it:
          description: "La presente circolare si applica fondamentalmente a tutti\
            \ i suoi destinatari, tuttavia i requisiti da adempiere nel singolo caso\
            \ si differenziano in funzione delle dimensioni, della complessit\xE0\
            , della struttura e del profilo di rischio dell\u2019istituto. Nel singolo\
            \ caso, la FINMA pu\xF2 ordinare facilitazioni o inasprimenti."
        de:
          description: "Dieses Rundschreiben gilt grunds\xE4tzlich f\xFCr alle seiner\
            \ Adressaten. Die Anforderungen sind jedoch im Einzelfall abh\xE4ngig\
            \ von der Gr\xF6sse, der Komplexit\xE4t, der Struktur und des Risikoprofils\
            \ des Instituts umzusetzen. Die FINMA ordnet im Einzelfall Erleichterungen\
            \ oder Versch\xE4rfungen an."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:20
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iii.-principe-de-proportionnalite
      ref_id: '20'
      description: "Les banques et les maisons de titres des cat\xE9gories FINMA 4\
        \ et 5 sont exempt\xE9es du respect des Cm 33 \xE0 38, 41 \xE0 46, 48, 51,\
        \ 57, 73, 74, 76 \xE0 78, 80, 87, 92, 93, 96, 103, 104 et 110 \xE0 112."
      translations:
        en:
          description: "Banks and securities firms in FINMA Categories 4 and 5 are\
            \ exempt from complying with margin nos. 33\u201338, 41\u201346, 48, 51,\
            \ 57, 73, 74, 76\u201378, 80, 87, 92, 93, 96, 103, 104 and 110\u2013112."
        it:
          description: "Le banche e le societ\xE0 di intermediazione mobiliare delle\
            \ categorie FINMA 4 e 5 sono esentate dall\u2019adempimento dei numeri\
            \ marginali 33\u201338, 41\u201346, 48, 51, 57, 73, 74, 76\u201378, 80,\
            \ 87, 92, 93, 96, 103, 104 e 110\u2013112."
        de:
          description: "Banken und Wertpapierh\xE4user der FINMA-Kategorien 4 und\
            \ 5 sind von der Erf\xFCllung der Rz 33\u201338, 41\u201346, 48, 51, 57,\
            \ 73, 74, 76\u201378, 80, 87, 92, 93, 96, 103, 104 und 110\u2013112 ausgenommen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:21
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iii.-principe-de-proportionnalite
      ref_id: '21'
      description: "Les \xE9tablissements selon les art. 47a \xE0 47e OFR, les personnes\
        \ selon l\u2019art. 1b LB ainsi que les maisons de titres qui ne g\xE8rent\
        \ pas de comptes sont en plus exempt\xE9s du respect des exigences des Cm\
        \ 72, 75, 79 ainsi que 105 \xE0 109."
      translations:
        en:
          description: "Institutions under Articles 47a\u201347e CAO, persons under\
            \ Article 1b BA, and investment firms (non-proprietarian trading) are\
            \ also exempt from complying with margin nos. 72, 75, 79 and 105\u2013\
            109."
        it:
          description: "Gli istituti di cui agli artt. 47a\u201347e OFoP, le persone\
            \ secondo l\u2019art. 1b LBCR e le societ\xE0 di intermediazione mobiliare\
            \ che non tengono conti sono inoltre esentate dall\u2019adempimento dei\
            \ numeri marginali 72, 75, 79 e 105\u2013109."
        de:
          description: "Institute nach Art. 47a\u201347e ERV, Personen gem\xE4ss Art.\
            \ 1b BankG, sowie nicht-kontof\xFChrende Wertpapierh\xE4user sind zus\xE4\
            tzlich von der Erf\xFCllung der Rz 72, 75, 79 und 105\u2013109 ausgenommen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels
      assessable: false
      depth: 1
      name: "IV. Gestion des risques op\xE9rationnels"
      translations:
        en:
          name: IV. Operational risk management
        it:
          name: IV. Gestione dei rischi operativi
        de:
          name: IV. Management der operationellen Risiken
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels
      name: "A. Gestion globale des risques op\xE9rationnels"
      translations:
        en:
          name: A. Overarching operational risk management
        it:
          name: A. Gestione trasversale dei rischi operativi
        de:
          name: "A. \xDCbergreifendes Management der operationellen Risiken"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:22
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '22'
      description: "La gestion des risques op\xE9rationnels fait partie de la gestion\
        \ des risques \xE0 l\u2019\xE9chelle de l\u2019\xE9tablissement conform\xE9\
        ment \xE0 la circulaire FINMA 2017/1 \xAB Gouvernance d\u2019entreprise \u2013\
        \ banques \xBB."
      translations:
        en:
          description: "Operational risk management forms part of institution-wide\
            \ risk management under FINMA Circular 2017/1 \u201CCorporate governance\
            \ \u2013 banks\u201D."
        it:
          description: "La gestione dei rischi operativi rientra nella gestione del\
            \ rischio a livello di istituto conformemente alla Circolare FINMA 17/1\
            \ \xABCorporate governance \u2013 banche\xBB."
        de:
          description: "Das Management der operationellen Risiken ist Teil des institutsweiten\
            \ Risikomanagements nach FINMA-Rundschreiben 2017/1 \u201ECorporate Governance\
            \ \u2013 Banken\u201C."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:23
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '23'
      description: "L\u2019organe responsable de la haute direction approuve l\u2019\
        approche pour la gestion des risques op\xE9rationnels pertinents pour l\u2019\
        \xE9tablissement et surveille son respect. Sont inclus notamment les risques\
        \ TIC, les cyberrisques, les risques des donn\xE9es critiques, les risques\
        \ d\xE9coulant de la conception et de la mise en \u0153uvre du BCM et, le\
        \ cas \xE9ch\xE9ant, les risques li\xE9s aux activit\xE9s de service transfronti\xE8\
        res. Il approuve au moins une fois par ann\xE9e la tol\xE9rance au risque\
        \ en mati\xE8re de risques op\xE9rationnels en fonction de la politique de\
        \ risque et compte tenu des objectifs strat\xE9giques et financiers de l\u2019\
        \xE9tablissement. Ce faisant, il tient compte des r\xE9sultats issus des \xE9\
        valuations de risques et de contr\xF4le selon le Cm 30. Soit il accepte le\
        \ degr\xE9 d\u2019exposition aux risques op\xE9rationnels de l\u2019\xE9tablissement,\
        \ soit il d\xE9cide d\u2019une adaptation de la tol\xE9rance au risque et\
        \ des modifications strat\xE9giques n\xE9cessaires \xE0 cet effet[5]."
      annotation: "[5] Par exemple un changement de mod\xE8le d\u2019affaires"
      translations:
        en:
          description: "The board of directors approves the basic principles for the\
            \ management of operational risks relevant for the institution and monitors\
            \ their application. Among others, these include the ICT risks, the cyber\
            \ risks, the risks relating to critical data, the risks resulting from\
            \ the design and implementation of BCM and, where applicable, the risks\
            \ from crossborder service business. At least once a year, the board of\
            \ directors approves the risk tolerance for operational risk in accordance\
            \ with the risk policy, taking the institution\u2019s strategic and financial\
            \ goals into account. In doing so it considers the results from the risk\
            \ and control assessments under margin no. 30. It accepts either the extent\
            \ to which the institution is exposed to operational risk, or decides\
            \ to adjust the risk tolerance and make the strategic changes necessary\
            \ for this[5]."
          annotation: '[5] For example, a change to the business model.'
        it:
          description: "L\u2019organo preposto all\u2019alta direzione approva i principi\
            \ della gestione dei rischi operativi rilevanti per l\u2019istituto e\
            \ vigila sulla loro osservanza. Vi rientrano, tra l\u2019altro, i rischi\
            \ TIC, i cyber-rischi, i rischi concernenti i dati critici, i rischi derivanti\
            \ dalla configurazione e dell\u2019implementazione del BCM ed eventualmente\
            \ i rischi afferenti alle prestazioni di servizio transfrontaliere. Almeno\
            \ una volta all\u2019anno approva la tolleranza al rischio per i rischi\
            \ operativi conformemente alla politica di rischio in considerazione degli\
            \ obiettivi strategici e finanziari dell\u2019istituto. Al riguardo considera\
            \ i risultati delle valutazioni del rischio e dei controlli secondo il\
            \ nm. 30. Accetta la misura dell\u2019esposizione ai rischi operativi\
            \ da parte dell\u2019istituto oppure decide un adeguamento della tolleranza\
            \ al rischio e i necessari cambiamenti a livello strategico[5]."
          annotation: '[5] Per esempio un cambiamento del modello commerciale.'
        de:
          description: "Das Oberleitungsorgan genehmigt die Grundz\xFCge des Managements\
            \ der operationellen Risiken, die f\xFCr das Institut relevant sind, und\
            \ \xFCberwacht deren Einhaltung. Darunter fallen unter anderem die IKT-Risiken,\
            \ die Cyber-Risiken, die Risiken hinsichtlich kritischer Daten, die Risiken\
            \ aus der Ausgestaltung und Implementierung des BCM und gegebenenfalls\
            \ die Risiken aus dem grenz\xFCberschreitenden Dienstleistungsgesch\xE4\
            ft. Es genehmigt mindestens j\xE4hrlich die Risikotoleranz f\xFCr operationelle\
            \ Risiken nach Massgabe der Risikopolitik in Anbetracht der strategischen\
            \ und finanziellen Ziele des Instituts. Dabei ber\xFCcksichtigt es die\
            \ Ergebnisse aus den Risiko- und Kontrollbeurteilungen nach Rz 30. Es\
            \ akzeptiert entweder das Ausmass, in dem das Institut den operationellen\
            \ Risiken ausgesetzt ist, oder entscheidet \xFCber eine Anpassung der\
            \ Risikotoleranz und die daf\xFCr notwendigen, strategischen \xC4nderungen[5]."
          annotation: "[5] Zum Beispiel eine \xC4nderung des Gesch\xE4ftsmodells"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:24
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '24'
      description: "L\u2019organe responsable de la haute direction approuve r\xE9\
        guli\xE8rement les strat\xE9gies de gestion des TIC, des cyberrisques, des\
        \ donn\xE9es critiques et du BCM, et surveille leur respect."
      translations:
        en:
          description: The board of directors regularly approves strategies for dealing
            with ICT, cyber risks, critical data and BCM, and monitors their application.
        it:
          description: "L\u2019organo preposto all\u2019alta direzione approva periodicamente\
            \ le strategie di gestione delle TIC, dei cyber-rischi, dei dati critici\
            \ e del BCM e vigila sulla loro osservanza."
        de:
          description: "Das Oberleitungsorgan genehmigt regelm\xE4ssig Strategien\
            \ f\xFCr den Umgang mit der IKT, den Cyber-Risiken, den kritischen Daten\
            \ und dem BCM, und \xFCberwacht deren Einhaltung."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:25
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '25'
      description: "La direction s\u2019assure de mani\xE8re compr\xE9hensible que\
        \ les risques op\xE9rationnels sont identifi\xE9s, \xE9valu\xE9s, limit\xE9\
        s et surveill\xE9s et que l\u2019efficacit\xE9 tant de la conception que de\
        \ la mise en \u0153uvre de cette gestion des risques op\xE9rationnels est\
        \ r\xE9guli\xE8rement v\xE9rifi\xE9e. Pour limiter les risques inh\xE9rents\
        \ jug\xE9s importants[6], elle prend, en fonction de la situation, des mesures\
        \ compl\xE9mentaires sp\xE9cifiques au risque ou renforce les mesures existantes."
      annotation: "[6] Appel\xE9s aussi risques principaux ou risques cl\xE9s (key\
        \ risks)"
      translations:
        en:
          description: The executive board ensures in a comprehensible way that the
            operational risks are identified, assessed, limited and monitored, and
            that the effectiveness of both the design and also of the implementation
            of this operational risk management is regularly reviewed. It takes risk-specific
            supplementary or intensified measures in order to limit the inherent risks
            deemed to be material[6] as the situation demands.
          annotation: '[6] Often called top risks or key risks.'
        it:
          description: "La direzione assicura in modo attendibile che i rischi operativi\
            \ siano identificati, valutati, limitati e monitorati e che l\u2019efficacia\
            \ sia della configurazione sia dell\u2019attuazione di tale gestione dei\
            \ rischi operativi sia periodicamente verificata. Per limitare i rischi\
            \ inerenti considerati essenziali[6] adotta misure integrative o inasprimenti\
            \ in funzione del rischio specifico."
          annotation: '[6] Spesso chiamati rischi chiave (key risks).'
        de:
          description: "Die Gesch\xE4ftsleitung stellt nachvollziehbar sicher, dass\
            \ die operationellen Risiken identifiziert, beurteilt, begrenzt und \xFC\
            berwacht werden, und dass die Effektivit\xE4t sowohl der Ausgestaltung\
            \ als auch der Implementierung dieses Managements der operationellen Risiken\
            \ regelm\xE4ssig \xFCberpr\xFCft wird. F\xFCr die Begrenzung der als wesentlich\
            \ beurteilten, inh\xE4renten Risiken[6] ergreift sie situativ risikospezifische\
            \ erg\xE4nzende oder versch\xE4rfende Massnahmen."
          annotation: "[6] H\xE4ufig Top-Risiken oder Schl\xFCsselrisiken (Key Risks)\
            \ genannt."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:26
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '26'
      description: "Des mesures doivent \xEAtre mises en \u0153uvre[7] pour sensibiliser\
        \ le personnel \xE0 la r\xE9duction des risques op\xE9rationnels pertinents,\
        \ en particulier les risques TIC, les cyberrisques, les risques des donn\xE9\
        es critiques et les risques d\xE9coulant de la conception et de la mise en\
        \ \u0153uvre du BCM, en tenant compte de ses t\xE2ches, comp\xE9tences et\
        \ responsabilit\xE9s."
      annotation: "[7] Cela inclut notamment la s\xE9lection rigoureuse et la qualification\
        \ du personnel pour ses t\xE2ches, comp\xE9tences et res- ponsabilit\xE9s,\
        \ et sa formation continue dans le cadre de ses activit\xE9s."
      translations:
        en:
          description: To raise awareness among employees for reducing relevant operational
            risks, particularly ICT risks, cyber risks, risks with regard to critical
            data and the risks resulting from the design and implementation of BCM,
            measures are to be implemented and carried out taking into account their
            tasks, competencies and responsibilities[7].
          annotation: '[7] Among other things, this includes carefully selecting employees,
            ensuring that they are suitably qualified for their tasks, competencies
            and responsibilities and providing them with continuing education within
            the context of their activities.'
        it:
          description: "Per rendere i collaboratori sempre pi\xF9 consapevoli dell\u2019\
            importanza di ridurre i rischi operativi rilevanti, in particolare i rischi\
            \ TIC, i cyber-rischi, i rischi concernenti i dati critici e i rischi\
            \ derivanti dalla configurazione e dall\u2019implementazione del BCM,\
            \ \xE8 necessario implementare misure tenendo in considerazione i loro\
            \ compiti, le competenze e le responsabilit\xE0 (CCR)[7]."
          annotation: "[7] Ci\xF2 implica, tra l\u2019altro, la selezione accurata\
            \ e la qualificazione del personale per i CCR e la formazione continua\
            \ nel quadro delle sue attivit\xE0."
        de:
          description: "Zur St\xE4rkung des Bewusstseins der Mitarbeitenden zur Reduktion\
            \ von relevanten operationellen Risiken, insbesondere der IKT-Risiken,\
            \ der Cyber-Risiken, der Risiken hinsichtlich kritischer Daten und der\
            \ Risiken aus der Ausgestaltung und Implementierung des BCM, sind unter\
            \ Ber\xFCcksichtigung ihrer Aufgaben, Kompetenzen und Verantwortlichkeiten\
            \ (AKV) Massnahmen zu implementieren[7]."
          annotation: "[7] Dies beinhaltet unter anderem die sorgf\xE4ltige Auswahl\
            \ und Qualifikation von Mitarbeitenden f\xFCr ihre AKV und ihre kontinuierliche\
            \ Weiterbildung im Rahmen ihrer Aktivit\xE4ten."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:27
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '27'
      description: "Si n\xE9cessaire, la FINMA d\xE9finit, dans le cadre de sa surveillance\
        \ courante, d\u2019autres exigences en mati\xE8re de gestion des risques op\xE9\
        rationnels pour des th\xE8mes sp\xE9cifiques. Elle le fait avec retenue et\
        \ en appliquant le principe de proportionnalit\xE9."
      translations:
        en:
          description: If necessary, FINMA will define more stringent requirements
            for operational risk management for specific topics as part of ongoing
            supervision. This will be done cautiously and in accordance with the proportionality
            principle.
        it:
          description: "Se necessario, nell\u2019ambito della vigilanza continua la\
            \ FINMA definisce ulteriori requisiti in materia di gestione dei rischi\
            \ operativi per temi specifici. Ci\xF2 avviene con moderazione e applicando\
            \ il principio di proporzionalit\xE0."
        de:
          description: "Falls notwendig, definiert die FINMA im Rahmen der laufenden\
            \ Aufsicht f\xFCr spezifische Themen weitergehende Anforderungen an das\
            \ Management der operationellen Risiken. Dies geschieht zur\xFCckhaltend\
            \ und unter Anwendung des Proportionalit\xE4tsprinzips."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:28
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '28'
      description: "Les risques op\xE9rationnels doivent \xEAtre cat\xE9goris\xE9\
        s de fa\xE7on uniforme \xE0 l\u2019\xE9chelle de l\u2019\xE9tablissement et\
        \ r\xE9pertori\xE9s dans un inventaire. Cette cat\xE9gorisation peut s\u2019\
        appuyer sur la cat\xE9gorisation des types d\u2019\xE9v\xE9nements utilis\xE9\
        e dans le cadre du calcul des fonds propres minimaux pour les risques op\xE9\
        rationnels ou sur une taxonomie interne. La cat\xE9gorisation doit \xEAtre\
        \ appliqu\xE9e de mani\xE8re coh\xE9rente dans tous les domaines de l\u2019\
        \xE9tablissement et dans toutes les composantes de la gestion des risques\
        \ op\xE9rationnels."
      translations:
        en:
          description: The operational risks must be categorised in a uniform manner
            across the institution and listed in an inventory. The categorisation
            may be performed based on the categorisation of event types used to calculate
            the minimum capital requirements for operational risk or based on an internal
            taxonomy. The categorisation must be applied consistently in all areas
            of the institution and in all components of operational risk management.
        it:
          description: "I rischi operativi devono essere categorizzati secondo criteri\
            \ unitari a livello di istituto e inventariati. Questa categorizzazione\
            \ pu\xF2 essere effettuata rifacendosi alla categorizzazione utilizzata\
            \ nel calcolo dei fondi propri minimi per i rischi operativi o mediante\
            \ una tassonomia interna. Essa deve essere applicata in modo sistematico\
            \ in tutti i settori dell\u2019istituto e in tutte le componenti della\
            \ gestione dei rischi operativi."
        de:
          description: "Die operationellen Risiken sind institutsweit einheitlich\
            \ zu kategorisieren und in einem Inventar aufzuf\xFChren. Diese Kategorisierung\
            \ kann in Anlehnung an die f\xFCr die Berechnung der Mindesteigenmittel\
            \ f\xFCr operationelle Risiken verwendete Kategorisierung der Ereignistypen\
            \ oder mittels einer internen Taxonomie erfolgen. Die Kategorisierung\
            \ ist in allen Bereichen des Instituts und in allen Komponenten des Managements\
            \ der operationellen Risiken konsistent anzuwenden."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:29
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '29'
      description: "Des facteurs internes[8] et externes[9] sont pris en compte dans\
        \ l\u2019identification des risques op\xE9rationnels. Les risques op\xE9rationnels\
        \ identifi\xE9s sont \xE9valu\xE9s de mani\xE8re compr\xE9hensible tant du\
        \ point de vue des risques inh\xE9rents que des risques r\xE9siduels."
      annotation: "[8] Sont consid\xE9r\xE9s comme facteurs internes par ex. les changements\
        \ apport\xE9s aux produits, aux activit\xE9s, aux proces- sus et aux syst\xE8\
        mes, les r\xE9sultats d\u2019audit et les pertes internes issues des risques\
        \ op\xE9rationnels.\n[9] Sont consid\xE9r\xE9s comme facteurs externes par\
        \ ex. les \xE9v\xE9nements de perte reconnus d\u2019autres \xE9tablissements,\
        \ les changements sur le plan de la s\xE9curit\xE9 (par ex. en raison d\u2019\
        influences environnementales, de cyberattaques ou du terrorisme) ou les changements\
        \ en mati\xE8re d\u2019exigences r\xE9glementaires."
      translations:
        en:
          description: Internal[8] and external[9] factors shall be taken into account
            for identifying operational risks. The identified operational risks shall
            be assessed in a comprehensible way both from the perspective of inherent
            as well as residual risks.
          annotation: '[8] Internal factors include, for example, changes to products,
            activities, processes and systems, review results and internal losses
            resulting from operational risks.

            [9] External factors include, for example, loss events at other institutions,
            changes in the security situation (e.g. as a result of environmental influences,
            cyber attacks or terrorism) or changes to the regulatory requirements.'
        it:
          description: "Per identificare i rischi operativi vengono considerati fattori\
            \ interni[8] ed esterni[9]. I rischi operativi individuati sono valutati\
            \ in modo attendibile nell\u2019ottica sia dei rischi inerenti sia di\
            \ quelli residui."
          annotation: "[8] Sono considerati fattori interni, per esempio, i cambiamenti\
            \ apportati ai prodotti, alle attivit\xE0, ai processi e ai sistemi, i\
            \ risultati dell\u2019audit e le perdite interne derivanti dai rischi\
            \ operativi.\n[9] Sono considerati fattori esterni, per esempio, gli eventi\
            \ che generano perdite in altri istituti, i cambiamenti sul piano della\
            \ sicurezza (p. es. dovuti a impatti ambientali, cyber-attacchi o terrorismo)\
            \ o gli adeguamenti ai requisiti normativi."
        de:
          description: "F\xFCr die Identifikation der operationellen Risiken werden\
            \ interne[8] und externe[9] Faktoren ber\xFCcksichtigt. Die identifizierten\
            \ operationellen Risiken werden sowohl aus Sicht der inh\xE4renten als\
            \ auch der residualen Risiken nachvollziehbar beurteilt."
          annotation: "[8] Interne Faktoren sind beispielsweise \xC4nderungen in den\
            \ Produkten, Aktivit\xE4ten, Prozessen und Systemen, Pr\xFCfer- gebnisse\
            \ und interne Verluste aus operationellen Risiken.\n[9] Externe Faktoren\
            \ sind beispielsweise erkannte Verlustereignisse anderer Institute, \xC4\
            nderungen in der Sicherheits- lage (bspw. durch Umwelteinfl\xFCsse, Cyber-Attacken\
            \ oder Terrorismus) oder \xC4nderungen in den regulatorischen An- forderungen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:30
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '30'
      description: "L\u2019identification et l\u2019\xE9valuation des risques op\xE9\
        rationnels s\u2019appuient au moins sur les r\xE9sultats d\u2019audit[10]\
        \ et les \xE9valuations des risques et des contr\xF4les \xE0 effectuer r\xE9\
        guli\xE8rement. Les \xE9valuations des risques et des contr\xF4les tiennent\
        \ compte des risques inh\xE9rents, de l\u2019efficacit\xE9 des mesures de\
        \ contr\xF4le et d\u2019att\xE9nuation existantes ainsi que des risques r\xE9\
        siduels."
      annotation: "[10] Les r\xE9sultats d\u2019audit comprennent ici les r\xE9sultats\
        \ des audits effectu\xE9s par la r\xE9vision interne et la soci\xE9t\xE9 d\u2019\
        audit externe, si disponibles, ainsi que les r\xE9sultats d\u2019examens effectu\xE9\
        s par ex. par les domaines d'activit\xE9 et d'organisa- tion, le contr\xF4\
        le des risques, la fonction de compliance ou les autorit\xE9s de surveillance."
      translations:
        en:
          description: The identification and assessment of operational risks shall
            be based on at least review results[10] and regularly conducted risk and
            control assessments. The risk and control assessments shall take into
            account the inherent risks, the effectiveness of the existing control
            and mitigation measures and the residual risks.
          annotation: '[10] Review results encompass here results of internal and
            external audits, where available, as well as results of reviews performed,
            for example, by the business and organisational areas, the risk control
            and compliance functions or supervisory authorities.'
        it:
          description: "L\u2019identificazione e la valutazione dei rischi operativi\
            \ si basano almeno sui risultati dell\u2019audit[10] e sulle valutazioni\
            \ dei rischi e dei controlli da effettuare regolarmente. Tali valutazioni\
            \ tengono conto dei rischi inerenti, dell\u2019efficacia delle misure\
            \ di controllo e di attenuazione esistenti e dei rischi residui."
          annotation: "[10] In questo caso i risultati dell\u2019audit comprendono\
            \ gli esiti della revisione interna e della societ\xE0 di audit esterna,\
            \ se disponibili, nonch\xE9 i risultati delle verifiche svolte, per esempio,\
            \ dalle divisioni commerciali e organizzative, dal con- trollo del rischio,\
            \ dalla funzione preposta alla compliance o dalle autorit\xE0 di vigilanza."
        de:
          description: "Die Identifikation und Beurteilung der operationellen Risiken\
            \ st\xFCtzt sich mindestens auf Pr\xFCfergebnisse[10] und regelm\xE4ssig\
            \ durchzuf\xFChrende Risiko- und Kontrollbeurteilungen. Die Risiko- und\
            \ Kontrollbeurteilungen ber\xFCcksichtigen die inh\xE4renten Risiken,\
            \ die Effektivit\xE4t der bestehenden Kontroll- und Minderungsmassnahmen\
            \ und die residualen Risiken."
          annotation: "[10] Pr\xFCfergebnisse umfassen hier Resultate der internen\
            \ Revision und der externen Pr\xFCfgesellschaft, sofern vorhanden, sowie\
            \ Ergebnisse von \xDCberpr\xFCfungen durch bspw. die Gesch\xE4fts- und\
            \ Organisationsbereiche, die Risikokontrolle, die Compliance-Funktion\
            \ oder Aufsichtsbeh\xF6rden."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:31
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '31'
      description: "Pour \xE9valuer les mesures de contr\xF4le et d\u2019att\xE9nuation\
        \ existantes, une instance de contr\xF4le ind\xE9pendante proc\xE8de \xE0\
        \ un examen r\xE9gulier de l\u2019efficacit\xE9 des contr\xF4les cl\xE9s et\
        \ le documente (design effectiveness et operating effectiveness testing).\
        \ Les contr\xF4les cl\xE9s sont les mesures de contr\xF4le et d\u2019att\xE9\
        nuation qui diminuent les risques inh\xE9rents consid\xE9r\xE9s comme principaux.\
        \ La s\xE9paration des t\xE2ches, comp\xE9tences et responsabilit\xE9s pour\
        \ garantir l\u2019ind\xE9pendance et pr\xE9venir les conflits d\u2019int\xE9\
        r\xEAts fait l\u2019objet d\u2019\xE9valuations r\xE9guli\xE8res."
      translations:
        en:
          description: To assess the existing control and mitigation measures, in
            particular a regular assessment of the effectiveness of key controls must
            be performed and documented by an independent control body (design effectiveness
            and operating effectiveness testing). Key controls are those control and
            mitigation measures that minimise the inherent risks deemed to be material.
            The separation of tasks, competencies and responsibilities to ensure independence
            and prevent conflicts of interests shall also be regularly assessed.
        it:
          description: "Per valutare le misure di controllo e di attenuazione esistenti\
            \ si procede in particolare a un esame regolare dell\u2019efficacia dei\
            \ controlli chiave da parte di un\u2019istanza di controllo indipendente\
            \ (design effectiveness e operating effectiveness testing), documentandone\
            \ i risultati. I controlli chiave sono le misure di controllo e di attenuazione\
            \ che minimizzano i rischi inerenti considerati essenziali. Anche la separazione\
            \ dei CCR per garantire l\u2019indipendenza e prevenire i conflitti di\
            \ interessi \xE8 oggetto di valutazioni periodiche."
        de:
          description: "F\xFCr die Beurteilung der bestehenden Kontroll- und Minderungsmassnahmen\
            \ wird insbesondere eine regelm\xE4ssige Beurteilung der Effektivit\xE4\
            t der Schl\xFCsselkontrollen durch eine unabh\xE4ngige Kontrollinstanz\
            \ vorgenommen und dokumentiert (Design Effectiveness und Operating Effectiveness\
            \ Testing). Dabei sind Schl\xFCsselkontrollen diejenigen Kontroll- und\
            \ Minderungsmassnahmen, die die als wesentlich beurteilten, inh\xE4renten\
            \ Risiken minimieren. Auch wird die Trennung der AKV zur Sicherstellung\
            \ der Unabh\xE4ngigkeit und Vorbeugung vor Interessenskonflikten regelm\xE4\
            ssig beurteilt."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:32
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '32'
      description: "Des \xE9valuations ad hoc des risques et des contr\xF4les doivent\
        \ \xEAtre effectu\xE9es avant des changements importants dans les produits,\
        \ les activit\xE9s, les proc\xE9dures et les syst\xE8mes. Celles-ci prennent\
        \ en compte les risques op\xE9rationnels d\xE9coulant du processus de changement\
        \ et les risques op\xE9rationnels de l\u2019\xE9tat cible. La tol\xE9rance\
        \ au risque est adapt\xE9e si besoin et des mesures de contr\xF4le et d\u2019\
        att\xE9nuation sont mises en \u0153uvre."
      translations:
        en:
          description: Ad hoc risk and control assessments shall be conducted prior
            to major changes in products, activities, processes and systems. These
            shall take into account the operational risks associated with the change
            process and the operational risks of the target state. If necessary, the
            risk tolerance should be adjusted and control and mitigation measures
            implemented.
        it:
          description: "Prima di apportare cambiamenti sostanziali a livello di prodotti,\
            \ attivit\xE0, processi e sistemi \xE8 necessario effettuare valutazioni\
            \ ad hoc dei rischi e dei controlli, che prendono in considerazione i\
            \ rischi operativi derivanti dal processo di cambiamento e i rischi operativi\
            \ delle condizioni target. Ove necessario, vengono adeguati i limiti di\
            \ tolleranza al rischio e attuate misure di controllo e di attenuazione."
        de:
          description: "Vor wesentlichen \xC4nderungen in den Produkten, Aktivit\xE4\
            ten, Prozessen und Systemen sind ad hoc Risiko- und Kontrollbeurteilungen\
            \ durchzuf\xFChren. Diese ber\xFCcksichtigen die mit dem \xC4nderungsprozess\
            \ einhergehenden operationellen Risiken und die operationellen Risiken\
            \ des Zielzustands. Bei Bedarf werden die Risikotoleranz angepasst und\
            \ Kontroll- und Minderungsmassnahmen implementiert."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:33
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '33'
      description: "En fonction de la nature, de l\u2019ampleur, de la complexit\xE9\
        \ et du risque des produits, activit\xE9s, proc\xE9dures et syst\xE8mes sp\xE9\
        cifiques \xE0 l\u2019\xE9tablissement, il s\u2019agit d\u2019appliquer les\
        \ instruments et m\xE9thodes suppl\xE9mentaires suivants :"
      translations:
        en:
          description: 'Depending on the type, scope, complexity and risk of institution-specific
            products, activities, processes and systems, the following tools and methods
            shall be applied:'
        it:
          description: "In funzione della natura, della portata, della complessit\xE0\
            \ e del rischio dei prodotti, delle attivit\xE0, dei processi e dei sistemi\
            \ specifici all\u2019istituto, devono essere applicati gli ulteriori strumenti\
            \ e metodi seguenti:"
        de:
          description: "In Abh\xE4ngigkeit von Art, Umfang, Komplexit\xE4t und Risiko\
            \ der institutsspezifischen Produkte, Aktivit\xE4ten, Prozesse und Systeme\
            \ sind folgende weiteren Instrumente und Methoden anzuwenden:"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:34
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:33
      ref_id: '34'
      description: "a. la collecte et l\u2019analyse syst\xE9matiques des donn\xE9\
        es de pertes internes et des \xE9v\xE9nements externes pertinents li\xE9s\
        \ \xE0 des risques op\xE9rationnels ;"
      translations:
        en:
          description: a. Systematic collection and analysis of internal loss data
            and relevant external events associated with operational risk;
        it:
          description: a. raccolta e analisi sistematiche dei dati interni di perdita
            e degli eventi esterni rilevanti correlati a rischi operativi;
        de:
          description: a. Systematische Erhebung und Analyse interner Verlustdaten
            und relevanter externer Ereignisse, die mit operationellen Risiken verbunden
            sind;
    - urn: urn:intuitem:risk:req_node:finma-2023-01:35
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:33
      ref_id: '35'
      description: "b. les indicateurs de risque et de contr\xF4le pour la surveillance\
        \ des risques op\xE9rationnels et l\u2019identification rapide des hausses\
        \ de risque pertinentes ;"
      translations:
        en:
          description: b. Risk and control indicators for monitoring operational risk
            and identifying relevant risk increases in a timely manner;
        it:
          description: b. indicatori di rischio e di controllo per il monitoraggio
            dei rischi operativi e la tempestiva identificazione degli aumenti rilevanti
            dei rischi;
        de:
          description: "b. Risiko- und Kontrollindikatoren f\xFCr die \xDCberwachung\
            \ der operationellen Risiken und zeitnahe Identifikation von relevanten\
            \ Risikoerh\xF6hungen;"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:36
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:33
      ref_id: '36'
      description: "c. les analyses de sc\xE9nario et/ou l\u2019estimation du potentiel\
        \ de perte compte tenu ou vis\xE0-vis des fonds propres minimaux pour les\
        \ risques op\xE9rationnels ;"
      translations:
        en:
          description: c. Scenario analyses and/or estimates of the loss potential
            in view of or in comparison with the minimum capital requirements for
            operational risk;
        it:
          description: c. analisi di scenario e/o stima del potenziale di perdita
            in considerazione dei o rispetto ai fondi propri minimi per i rischi operativi;
        de:
          description: "c. Szenarioanalysen und/oder Absch\xE4tzung des Verlustpotenzials\
            \ in Anbetracht der bzw. in Gegen\xFCberstellung mit den Mindesteigenmitteln\
            \ f\xFCr operationelle Risiken;"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:37
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:33
      ref_id: '37'
      description: "d. les analyses comparatives (read across), comme les analyses\
        \ de pertinence des r\xE9sultats d\u2019audit pour d\u2019autres domaines\
        \ de l\u2019\xE9tablissement ou des comparaisons crois\xE9es entre les r\xE9\
        sultats issus des \xE9valuations des risques et des contr\xF4les de diff\xE9\
        rents domaines."
      translations:
        en:
          description: d. Comparative analyses (read-across), for example, analyses
            of the relevance of review results for other areas of the institution
            or comparisons between the results of the risk and control assessments
            for various areas.
        it:
          description: "d. analisi comparative (read-across), per esempio analisi\
            \ della rilevanza dei risultati dell\u2019audit in altri settori dell\u2019\
            istituto o confronti tra i risultati delle valutazioni del rischio e dei\
            \ controlli di diversi settori."
        de:
          description: "d. Vergleichende Analysen (Read-across), beispielsweise Analysen\
            \ der Relevanz von Pr\xFCfergebnissen f\xFCr andere Bereiche des Instituts\
            \ oder Vergleiche zwischen den Ergebnissen der Risiko- und Kontrollbeurteilungen\
            \ verschiedener Bereiche."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:38
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '38'
      description: "La tol\xE9rance au risque pour les risques op\xE9rationnels tient\
        \ compte de la tol\xE9rance en lien tant avec les risques inh\xE9rents[11]\
        \ qu\u2019avec les risques op\xE9rationnels r\xE9siduels. Elle fait l\u2019\
        objet d\u2019une surveillance au moyen d\u2019indicateurs de risque ou de\
        \ contr\xF4le."
      annotation: "[11] La tol\xE9rance au risque par rapport aux risques inh\xE9\
        rents tient compte de d\xE9cisions strat\xE9giques en lien avec le mo- d\xE8\
        le d\u2019affaires ou d\u2019exploitation, par ex. la tol\xE9rance aux risques\
        \ inh\xE9rents, qui peuvent d\xE9couler d\u2019activit\xE9s avec certains\
        \ pays ou segments de client\xE8le, de l\u2019offre de certains produits,\
        \ de l\u2019application de processus majoritairement manuels, du recours \xE0\
        \ une infrastructure informatique complexe ou de certaines externalisations\
        \ (outsourcing)."
      translations:
        en:
          description: The risk tolerance for operational risk takes account of both
            the tolerance in relation to inherent[11] as well as residual operational
            risk and is monitored using risk or control indicators.
          annotation: '[11] The risk tolerance in relation to inherent risk takes
            account of strategic decisions in relation to the business or operating
            model, for example, tolerance for the inherent risks associated with serving
            certain client segments or countries, with offering certain products,
            with using primarily manual processes, with relying on a complex IT infrastructure
            or with outsourcing certain operations.'
        it:
          description: "La tolleranza al rischio per i rischi operativi tiene conto\
            \ della tolleranza in rapporto ai rischi operativi inerenti[11] e a quelli\
            \ residui ed \xE8 monitorata mediante indicatori di rischio o di controllo."
          annotation: "[11] La tolleranza al rischio in riferimento ai rischi inerenti\
            \ considera decisioni strategiche che concernono il modello com- merciale\
            \ o operativo, per esempio la tolleranza per i rischi inerenti implicati\
            \ dall\u2019erogazione di servizi a determinati segmenti di clientela\
            \ o Paesi, dall\u2019offerta di determinati prodotti, dall\u2019applicazione\
            \ di processi prevalentemente ma- nuali, dall\u2019utilizzo di un\u2019\
            infrastruttura informatica complessa o da determinate esternalizzazioni\
            \ (outsourcing)."
        de:
          description: "Die Risikotoleranz f\xFCr operationelle Risiken ber\xFCcksichtigt\
            \ sowohl die Toleranz in Bezug auf inh\xE4rente[11] als auch auf residuale\
            \ operationelle Risiken und wird anhand von Risikooder Kontrollindikatoren\
            \ \xFCberwacht."
          annotation: "[11] Die Risikotoleranz in Bezug auf inh\xE4rente Risiken ber\xFC\
            cksichtigt strategische Entscheidungen in Bezug auf das Ge- sch\xE4fts-\
            \ oder Betriebsmodell, bspw. Toleranz f\xFCr die inh\xE4renten Risiken,\
            \ die mit der Bedienung gewisser Kundenseg- mente oder L\xE4nder einhergehen,\
            \ mit dem Angebot gewisser Produkte, mit der Anwendung vorwiegend manueller\
            \ Prozesse, mit der Abst\xFCtzung auf eine komplexe IT-Infrastruktur oder\
            \ mit gewissen Auslagerungen (Outsourcing)."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:39
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '39'
      description: "Le rapport du contr\xF4le des risques remis au moins une fois\
        \ par ann\xE9e \xE0 l\u2019organe responsable de la haute direction et au\
        \ moins une fois par semestre \xE0 la direction selon les Cm 75 et 76 de la\
        \ Circ.-FINMA 17/1 rend compte des risques op\xE9rationnels selon le niveau\
        \ sup\xE9rieur[12] de leur cat\xE9gorisation d\xE9finie conform\xE9ment au\
        \ Cm 28, de leur comparaison avec la tol\xE9rance aux risques fix\xE9e ainsi\
        \ que des d\xE9tails concernant les pertes internes importantes."
      annotation: "[12] Le niveau sup\xE9rieur de la cat\xE9gorisation est souvent\
        \ appel\xE9 niveau 1 ou level 1. Le rapport peut aussi \xEAtre effectu\xE9\
        \ de fa\xE7on plus d\xE9taill\xE9e."
      translations:
        en:
          description: "The risk control function reports to the board of directors\
            \ at least annually and to the executive board at least every six months\
            \ in accordance with margin nos. 75\u201376 of FINMA Circ. 17/1 on the\
            \ operational risks at the top level[12] of the categorisation defined\
            \ in accordance with margin no. 28, on their comparison with the defined\
            \ risk tolerance, and on details of material internal losses."
          annotation: '[12] The top level of the categorisation is often referred
            to as level 1. The reporting can also take place on a more detailed level.'
        it:
          description: "Il controllo dei rischi presenta all\u2019organo preposto\
            \ all\u2019alta direzione almeno una volta all\u2019anno e alla direzione\
            \ almeno a ritmo semestrale in conformit\xE0 ai nm. 75\u201376 della Circolare\
            \ FINMA 17/1 un rapporto sui rischi operativi al massimo livello[12] della\
            \ categorizzazione definita secondo il nm. 28, sul loro confronto con\
            \ la tolleranza al rischio stabilita e sui dettagli concernenti le perdite\
            \ interne sostanziali."
          annotation: "[12] Il massimo livello della categorizzazione viene spesso\
            \ chiamato livello 1 o level 1. Il rapporto pu\xF2 essere effettuato anche\
            \ a un livello pi\xF9 dettagliato."
        de:
          description: "Die Risikokontrolle erstattet dem Oberleitungsorgan mindestens\
            \ j\xE4hrlich und der Gesch\xE4ftsleitung mindestens halbj\xE4hrlich nach\
            \ Rz 75\u201376 FINMA-RS 17/1 Bericht \xFCber die operationellen Risiken\
            \ entlang der obersten Stufe[12] der nach Rz 28 definierten Kategorisierung,\
            \ \xFCber deren Vergleich mit der festgelegten Risikotoleranz, sowie \xFC\
            ber Einzelheiten zu wesentlichen internen Verlusten."
          annotation: "[12] Die oberste Stufe der Kategorisierung wird h\xE4ufig Stufe\
            \ 1 oder Level 1 genannt. Die Berichterstattung kann auch auf einer detaillierteren\
            \ Stufe erfolgen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:40
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '40'
      description: "En ce qui concerne les risques TIC et les cyberrisques, le rapport\
        \ remis au moins une fois par ann\xE9e \xE0 la direction contient en outre\
        \ des informations sur l\u2019\xE9volution de ces risques, l\u2019efficacit\xE9\
        \ des contr\xF4les cl\xE9s correspondants et les \xE9v\xE9nements importants\
        \ internes et externes en lien avec ces risques."
      translations:
        en:
          description: In relation to the relevant ICT and cyber risks, the report
            for the executive board produced at least annually shall also contain
            information on the development of these risks, on the effectiveness of
            the corresponding key controls, and on material internal and external
            events in connection with these risks.
        it:
          description: "In riferimento ai rischi TIC e ai cyber-rischi rilevanti,\
            \ il rapporto da presentare alla direzione almeno una volta all\u2019\
            anno contiene inoltre informazioni sull\u2019evoluzione di tali rischi,\
            \ sull\u2019efficacia dei relativi controlli chiave e su importanti eventi\
            \ interni ed esterni in relazione a tali rischi."
        de:
          description: "In Bezug auf die relevanten IKT- und Cyber-Risiken beinhaltet\
            \ die mindestens j\xE4hrlich erfolgende Berichterstattung an die Gesch\xE4\
            ftsleitung zudem Informationen zur Entwicklung dieser Risiken, zur Effektivit\xE4\
            t der entsprechenden Schl\xFCsselkontrollen und zu wesentlichen internen\
            \ und externen Ereignissen im Zusammenhang mit diesen Risiken."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:41
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '41'
      description: "Le rapport interne au sens du Cm 39 contient \xE0 titre compl\xE9\
        mentaire les informations suivantes :"
      translations:
        en:
          description: 'The internal reporting in accordance with margin no. 39 shall
            contain in addition the following information:'
        it:
          description: 'Il rapporto interno di cui al nm. 39 contiene a titolo complementare
            le seguenti informazioni:'
        de:
          description: "Die interne Berichterstattung nach Rz 39 enth\xE4lt erg\xE4\
            nzend folgende Informationen:"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:42
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:41
      ref_id: '42'
      description: "\u2022 les facteurs externes pertinents selon la note de bas de\
        \ page 9,"
      translations:
        en:
          description: "\u2022 relevant, external factors in accordance with footnote\
            \ 9,"
        it:
          description: "\u2022 i fattori esterni rilevanti secondo la nota 9,"
        de:
          description: "\u2022 relevante, externe Faktoren nach Fussnote 9,"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:43
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:41
      ref_id: '43'
      description: "\u2022 la vue d\u2019ensemble r\xE9capitulative sur l\u2019efficacit\xE9\
        \ des contr\xF4les cl\xE9s selon le Cm 31,"
      translations:
        en:
          description: "\u2022 summary overview of the effectiveness of the key controls\
            \ in accordance with margin no. 31,"
        it:
          description: "\u2022 una panoramica ricapitolativa sull\u2019efficacia dei\
            \ controlli chiave secondo il nm. 31,"
        de:
          description: "\u2022 zusammenfassende Gesamt\xFCbersicht \xFCber die Effektivit\xE4\
            t der Schl\xFCsselkontrollen nach Rz 31,"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:44
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:41
      ref_id: '44'
      description: "\u2022 les risques op\xE9rationnels \xE9mergents,"
      translations:
        en:
          description: "\u2022 emerging operational risks;"
        it:
          description: "\u2022 i rischi operativi emergenti,"
        de:
          description: "\u2022 neu aufkommende operationelle Risiken,"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:45
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:41
      ref_id: '45'
      description: "\u2022 les r\xE9sultats d\xE9coulant de l\u2019application des\
        \ instruments et des m\xE9thodes suppl\xE9mentaires selon le Cm 33."
      translations:
        en:
          description: "\u2022 results from the application of additional tools and\
            \ methods in accordance with margin no. 33."
        it:
          description: "\u2022 i risultati derivanti dall\u2019applicazione degli\
            \ ulteriori strumenti e metodi secondo il nm. 33."
        de:
          description: "\u2022 Ergebnisse aus der Anwendung zus\xE4tzlicher Instrumente\
            \ und Methoden nach Rz 33."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:46
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:1
      ref_id: '46'
      description: "De plus, conform\xE9ment au principe de proportionnalit\xE9, les\
        \ banques d\u2019importance syst\xE9mique rendent compte r\xE9guli\xE8rement\
        \ des risques op\xE9rationnels au niveau des domaines d\u2019activit\xE9 et\
        \ d\u2019organisation expos\xE9s \xE0 des risques op\xE9rationnels pertinents\
        \ ou principaux."
      translations:
        en:
          description: In accordance with the principle of proportionality, for systemically
            important banks, regular reporting on operational risks shall also be
            conducted at the level of the business or organisational areas that are
            exposed to relevant or material operational risks.
        it:
          description: "Conformemente al principio di proporzionalit\xE0, per le banche\
            \ di rilevanza sistemica viene presentato un resoconto periodico sui rischi\
            \ operativi anche al livello delle divisioni commerciali e organizzative\
            \ esposte a rischi operativi rilevanti o essenziali."
        de:
          description: "Entsprechend dem Proportionalit\xE4tsprinzip wird f\xFCr die\
            \ systemrelevanten Banken auch auf Ebene der Gesch\xE4fts- oder Organisationsbereiche,\
            \ die relevanten oder wesentlichen operationellen Risiken ausgesetzt sind,\
            \ eine regelm\xE4ssige Berichterstattung zu den operationellen Risiken\
            \ vorgenommen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels
      name: B. Gestion des risques TIC
      translations:
        en:
          name: B. ICT risk management
        it:
          name: B. Gestione dei rischi TIC
        de:
          name: B. Management der IKT-Risiken
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2
      name: "a) Strat\xE9gie TIC et gouvernance"
      translations:
        en:
          name: a) ICT strategy and governance
        it:
          name: a) Strategia TIC e governance
        de:
          name: a) IKT-Strategie und Governance
    - urn: urn:intuitem:risk:req_node:finma-2023-01:47
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:1
      ref_id: '47'
      description: "Les attentes fondamentales \xE0 l\u2019\xE9gard de la strat\xE9\
        gie, de la gouvernance et de la sensibilisation aux TIC sont d\xE9finies aux\
        \ Cm 23 \xE0 26 et 40."
      translations:
        en:
          description: "The basic expectations for the strategy, governance and raising\
            \ of awareness in relation to ICT are set out in margin nos. 23\u2013\
            26 and 40."
        it:
          description: "Le aspettative fondamentali poste alla strategia, alla governance\
            \ e al rafforzamento della consapevolezza in riferimento alle TIC sono\
            \ enunciate nei nm. 23\u201326 e 40."
        de:
          description: "Die grunds\xE4tzlichen Erwartungen an die Strategie, Governance\
            \ und St\xE4rkung des Bewusstseins in Bezug auf die IKT sind in Rz 23\u2013\
            26 und 40 festgehalten."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:48
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:1
      ref_id: '48'
      description: "La gestion des risques TIC tient compte des normes pertinentes\
        \ et pratiques reconnues \xE0 l\u2019\xE9chelle internationale ainsi que de\
        \ l\u2019influence des nouvelles \xE9volutions technologiques sur les risques\
        \ TIC."
      translations:
        en:
          description: ICT risk management shall take into account relevant internationally
            recognised standards and practices as well as the influence of new technological
            developments on the ICT risks.
        it:
          description: "La gestione dei rischi TIC considera standard e pratiche rilevanti\
            \ riconosciuti a livello internazionale, nonch\xE9 l\u2019impatto di nuovi\
            \ sviluppi tecnologici sui rischi TIC."
        de:
          description: "Das Management der IKT-Risiken ber\xFCcksichtigt relevante\
            \ international anerkannte Standards und Practices sowie den Einfluss\
            \ von neuen technologischen Entwicklungen auf die IKT-Risiken."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:49
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:1
      ref_id: '49'
      description: "La direction s\u2019assure que des proc\xE9dures, des processus,\
        \ des contr\xF4les ainsi que des t\xE2ches, comp\xE9tences et responsabilit\xE9\
        s soient impl\xE9ment\xE9s et document\xE9s tant pour la gestion des changements\
        \ (change management) que pour l\u2019exploitation TIC (run, maintenance).\
        \ Ceux-ci sont dot\xE9s de ressources qualifi\xE9es et appropri\xE9es."
      translations:
        en:
          description: The executive board shall ensure that procedures, processes
            and controls as well as tasks, competencies and responsibilities are implemented
            and documented both for change management and for ICT operations (run,
            maintenance). These shall be adequately resourced with qualified staff.
        it:
          description: "La direzione assicura, sia per la gestione del cambiamento\
            \ (change management) sia per l\u2019esercizio delle TIC (run, maintenance),\
            \ l\u2019implementazione e la documentazione di procedure, processi, controlli\
            \ e CCR, a cui sono assegnate risorse qualificate e appropriate."
        de:
          description: "Die Gesch\xE4ftsleitung stellt sicher, dass sowohl f\xFCr\
            \ das \xC4nderungsmanagement (Change Management) als auch f\xFCr den IKT-Betrieb\
            \ (Run, Maintenance) Verfahren, Prozesse und Kontrollen sowie AKV implementiert\
            \ und dokumentiert sind. Diese sind mit qualifizierten und angemessenen\
            \ Ressourcen ausgestattet."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2
      name: b) Gestion des changements (change management)
      translations:
        en:
          name: b) Change management
        it:
          name: b) Gestione del cambiamento (change management)
        de:
          name: "b) \xC4nderungsmanagement (Change Management)"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:50
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:2
      ref_id: '50'
      description: "La gestion des changements d\xE9finit des proc\xE9dures, des processus\
        \ et des contr\xF4les pour toutes les phases de d\xE9veloppement ou d\u2019\
        acquisition de TIC. Elle prend en compte dans chaque phase les cons\xE9quences\
        \ du changement qui en d\xE9coulent pour les risques TIC. Ce faisant, l\u2019\
        accent est mis notamment sur les exigences concernant la confidentialit\xE9\
        , l\u2019int\xE9grit\xE9 et la disponibilit\xE9."
      translations:
        en:
          description: Change management shall define the procedures, processes and
            controls for all phases in the development or procurement of ICT. In each
            of these phases it shall consider the impact of the change on the ICT
            risks. It shall focus in particular on the requirements with regard to
            confidentiality, integrity and availability.
        it:
          description: "La gestione del cambiamento definisce procedure, processi\
            \ e controlli per tutte le fasi dello sviluppo o dell\u2019acquisto di\
            \ TIC e, in ognuna di queste fasi, considera l\u2019impatto del cambiamento\
            \ sui rischi TIC, focalizzandosi sui requisiti in materia di confidenzialit\xE0\
            , integrit\xE0 e disponibilit\xE0."
        de:
          description: "F\xFCr alle Phasen der Entwicklung oder Beschaffung von IKT\
            \ definiert das \xC4nderungsmanagement Verfahren, Prozesse, und Kontrollen.\
            \ In jeder dieser Phasen ber\xFCcksichtigt es die Auswirkungen der \xC4\
            nderung auf die IKT-Risiken. Dabei stehen insbesondere auch die Anforderungen\
            \ hinsichtlich Vertraulichkeit, Integrit\xE4t und Verf\xFCgbarkeit im\
            \ Fokus."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:51
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:2
      ref_id: '51'
      description: "Il faut garantir la s\xE9paration entre, d\u2019une part, les\
        \ environnements de d\xE9veloppement ou de test et, d\u2019autre part, l\u2019\
        environnement de production TIC. Cela comprend \xE9galement une attribution\
        \ claire de t\xE2ches, comp\xE9tences et responsabilit\xE9s ainsi qu\u2019\
        une r\xE9glementation des autorisations d\u2019acc\xE8s aff\xE9rentes."
      translations:
        en:
          description: It must be ensured that the development or test environments
            are separate from the ICT production environment. This also involves the
            clear allocation of tasks, competencies and responsibilities and laying
            down rules for the associated access rights.
        it:
          description: "Occorre garantire una separazione tra gli ambienti di sviluppo\
            \ o di test delle TIC e l\u2019ambiente della loro produzione. Ci\xF2\
            \ comprende anche una chiara attribuzione dei CCR e la regolamentazione\
            \ dei conseguenti diritti di accesso."
        de:
          description: "Es ist eine Trennung zwischen den Umgebungen f\xFCr die Entwicklung\
            \ oder das Testen und der Umgebung f\xFCr die IKT-Produktion sicherzustellen.\
            \ Dies umfasst auch eine eindeutige Zuweisung von AKV und eine Regelung\
            \ der damit einhergehenden Zugangsberechtigungen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:52
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:2
      ref_id: '52'
      description: "Lors du d\xE9veloppement et de l\u2019acquisition de TIC, les\
        \ exigences fonctionnelles et non fonctionnelles[13] sont clairement d\xE9\
        finies et approuv\xE9es, puis test\xE9es et valid\xE9es selon leur criticit\xE9\
        ."
      annotation: "[13] Par ex. en ce qui concerne l\u2019architecture ou les exigences\
        \ \xE0 l\u2019\xE9gard de la s\xE9curit\xE9 de l\u2019information"
      translations:
        en:
          description: When developing and procuring ICT, functional and non-functional
            requirements[13] shall be clearly defined and approved; they shall be
            tested and validated based on their criticality.
          annotation: '[13] E.g. with regard to architecture or information security
            requirements.'
        it:
          description: "Nelle fasi di sviluppo e di acquisto delle TIC le esigenze\
            \ funzionali e non funzionali[13] sono definite chiaramente e approvate,\
            \ quindi testate e convalidate in funzione della loro criticit\xE0."
          annotation: "[13] P. es. per quanto attiene all\u2019architettura o ai requisiti\
            \ di sicurezza delle informazioni."
        de:
          description: "Bei Entwicklung und Beschaffung von IKT werden funktionale\
            \ und nicht-funktionale Anforderungen[13] klar definiert und genehmigt\
            \ und gem\xE4ss ihrer Kritikalit\xE4t getestet und validiert."
          annotation: '[13] Bspw. im Hinblick auf die Architektur oder die Anforderungen
            an die Informationssicherheit.'
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:3
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2
      name: c) Exploitation TIC (run, maintenance)
      translations:
        en:
          name: c) ICT operations (run, maintenance)
        it:
          name: c) Esercizio delle TIC (run, maintenance)
        de:
          name: c) IKT-Betrieb (Run, Maintenance)
    - urn: urn:intuitem:risk:req_node:finma-2023-01:53
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:3
      ref_id: '53'
      description: "L\u2019\xE9tablissement dresse un ou plusieurs inventaire(s) des\
        \ composantes TIC. L\u2019inventaire inclut les composantes mat\xE9rielles\
        \ et logicielles ainsi que les lieux de sauvegarde des donn\xE9es critiques.\
        \ Il tient compte des d\xE9pendances au sein de l\u2019\xE9tablissement ainsi\
        \ que des interfaces avec les prestataires externes importants."
      translations:
        en:
          description: The institution shall keep one or more inventories of the ICT
            assets. The inventory shall include hardware and software assets as well
            as the storage locations of critical data. Both dependencies within the
            institution as well as interfaces to significant external service providers
            should be taken into account.
        it:
          description: "L\u2019istituto tiene uno o pi\xF9 inventari delle componenti\
            \ TIC. L\u2019inventario include componenti hardware e software nonch\xE9\
            \ i luoghi di archiviazione di dati critici. Tiene conto delle dipendenze\
            \ all\u2019interno dell\u2019istituto e delle interfacce con importanti\
            \ fornitori esterni di servizi."
        de:
          description: "Das Institut f\xFChrt ein oder mehrere Inventar(-e) der Bestandteile\
            \ der IKT. Das Inventar umfasst Hardware- und Software-Komponenten sowie\
            \ Ablageorte kritischer Daten. Dabei werden sowohl Abh\xE4ngigkeiten innerhalb\
            \ des Instituts als auch Schnittstellen zu wesentlichen externen Dienstleistern\
            \ ber\xFCcksichtigt."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:54
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:3
      ref_id: '54'
      description: "L\u2019inventaire est disponible rapidement et est r\xE9guli\xE8\
        rement revu et mis \xE0 jour en ce qui concerne son exhaustivit\xE9 et sa\
        \ v\xE9racit\xE9."
      translations:
        en:
          description: The inventory is available in real time and shall be reviewed
            and updated regularly with regard to its completeness and accuracy.
        it:
          description: "L\u2019inventario, disponibile in tempi brevi, viene regolarmente\
            \ verificato in termini di completezza ed esattezza e aggiornato."
        de:
          description: "Das Inventar ist zeitnah verf\xFCgbar und wird regelm\xE4\
            ssig hinsichtlich Vollst\xE4ndigkeit und Richtigkeit \xFCberpr\xFCft und\
            \ aktualisiert."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:55
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:3
      ref_id: '55'
      description: "L\u2019\xE9tablissement dispose de proc\xE9dures, de processus\
        \ et de contr\xF4les qui garantissent la confidentialit\xE9, l\u2019int\xE9\
        grit\xE9 et la disponibilit\xE9 de l\u2019environnement de production TIC\
        \ en tenant compte de la tol\xE9rance au risque correspondante."
      translations:
        en:
          description: The institution shall have procedures, processes and controls
            in place that ensure the confidentiality, integrity and availability of
            the ICT production environment, taking into account the respective risk
            tolerance.
        it:
          description: "L\u2019istituto dispone di procedure, processi e controlli\
            \ che garantiscono la confidenzialit\xE0, l\u2019integrit\xE0 e la disponibilit\xE0\
            \ dell\u2019ambiente di produzione delle TIC considerando la rispettiva\
            \ tolleranza al rischio."
        de:
          description: "Das Institut verf\xFCgt \xFCber Verfahren, Prozesse, und Kontrollen,\
            \ die die Vertraulichkeit, Integrit\xE4t und Verf\xFCgbarkeit der IKT-Produktionsumgebung\
            \ unter Ber\xFCcksichtigung der jeweiligen Risikotoleranz sicherstellen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:56
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:3
      ref_id: '56'
      description: "L\u2019\xE9tablissement garantit la transition irr\xE9prochable\
        \ entre la gestion op\xE9rationnelle TIC et les proc\xE9dures BCM et DRP en\
        \ cas d\u2019incidents ou interruptions majeurs. Il met en \u0153uvre des\
        \ proc\xE9dures de sauvegarde et de restauration appropri\xE9es qui sont r\xE9\
        guli\xE8rement test\xE9es et valid\xE9es."
      translations:
        en:
          description: The institution shall ensure that it can transition smoothly
            to its BCP and DRP processes in the event of significant disruptions to
            its ICT operations. It shall implement adequate back-up processes and
            recovery processes that are tested and validated regularly.
        it:
          description: "L\u2019istituto garantisce il passaggio senza difficolt\xE0\
            \ dall\u2019esercizio delle TIC ai suoi processi BCP e DRP in caso di\
            \ perturbazioni importanti o interruzioni. Implementa opportuni processi\
            \ di backup e di ripristino, che sono regolarmente testati e convalidati."
        de:
          description: "Das Institut stellt sicher, dass es bei bedeutenden St\xF6\
            rungen oder Unterbrechungen reibungslos vom IKT-Betrieb in seine BCP-\
            \ und DRP-Prozesse \xFCbergehen kann. Es implementiert angemessene Back-up-Prozesse\
            \ und Wiederherstellungsprozesse, die regelm\xE4ssig getestet und validiert\
            \ werden."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:57
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:3
      ref_id: '57'
      description: "L\u2019\xE9tablissement dispose de proc\xE9dures, de processus\
        \ et de contr\xF4les qui garantissent une gestion orient\xE9e vers le risque\
        \ des TIC dont la fin d\u2019exploitation approche ou dont la mise hors service\
        \ pr\xE9vue a \xE9t\xE9 d\xE9pass\xE9e."
      translations:
        en:
          description: The institution shall have procedures, processes and controls
            in place to ensure that ICT that its nearing the end of its operational
            life or whose planned decommissioning date has passed is dealt with in
            a risk-oriented way.
        it:
          description: "L\u2019istituto dispone di procedure, processi e controlli\
            \ che garantiscono una gestione orientata al rischio delle TIC la cui\
            \ vita operativa volge al termine o che hanno superato il periodo di disattivazione\
            \ previsto."
        de:
          description: "Das Institut verf\xFCgt \xFCber Verfahren, Prozesse und Kontrollen,\
            \ die einen risikoorientierten Umgang mit IKT, deren Betriebsende naht\
            \ oder deren geplante Dekommissionierung \xFCberschritten wurde, sicherstellt."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:4
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2
      name: d) Gestion des incidents (incident management)
      translations:
        en:
          name: d) Incident management
        it:
          name: d) Gestione degli incidenti (incident management)
        de:
          name: d) Vorfallmanagement (Incident Management)
    - urn: urn:intuitem:risk:req_node:finma-2023-01:58
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:4
      ref_id: '58'
      description: "L\u2019\xE9tablissement dispose de proc\xE9dures, de processus\
        \ et de contr\xF4les visant \xE0 traiter les incidents TIC importants, y compris\
        \ ceux qui sont dus \xE0 des d\xE9pendances vis-\xE0-vis de prestataires externes\
        \ importants ou \xE0 des externalisations au sein d\u2019un groupe. Il tient\
        \ compte de l\u2019ensemble du cycle de vie des incidents TIC importants et\
        \ d\xE9finit des t\xE2ches, comp\xE9tences et responsabilit\xE9s pour traiter\
        \ ces incidents."
      translations:
        en:
          description: The institution shall have procedures, processes and controls
            in place for dealing with significant ICT incidents, including those resulting
            from dependencies on external service providers and outsourcing operations
            within the group. In this regard, the full life-cycle of significant ICT
            incidents must be taken into account and tasks, competencies and responsibilities
            for dealing with these incidents must be defined.
        it:
          description: "L\u2019istituto dispone di procedure, processi e controlli\
            \ volti a trattare incidenti TIC rilevanti, inclusi quelli riconducibili\
            \ a dipendenze da importanti fornitori esterni di servizi e da esternalizzazioni\
            \ in seno al gruppo. Al riguardo \xE8 necessario considerare l\u2019intero\
            \ ciclo di vita degli incidenti TIC importanti e definire i CCR per trattare\
            \ questi incidenti."
        de:
          description: "Das Institut verf\xFCgt \xFCber Verfahren, Prozesse und Kontrollen\
            \ zur Behandlung wesentlicher IKT-Vorf\xE4lle, einschliesslich solcher,\
            \ die auf Abh\xE4ngigkeiten von wesentlichen externen Dienstleistern und\
            \ konzerninternen Auslagerungen zur\xFCckzuf\xFChren sind. Dabei ist der\
            \ gesamte Lebenszyklus von wesentlichen IKT-Vorf\xE4llen zu ber\xFCcksichtigen\
            \ und AKV zur Behandlung dieser Vorf\xE4lle sind zu definieren."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:59
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:4
      ref_id: '59'
      description: "Le traitement des incidents TIC importants doit \xEAtre coordonn\xE9\
        \ et rattach\xE9 aux processus BCM et DRP."
      translations:
        en:
          description: Dealing with significant ICT incidents must be coordinated
            and linked with the processes for BCM and the DRP.
        it:
          description: Il trattamento degli incidenti TIC importanti deve essere coordinato
            e collegato ai processi BCM e DRP.
        de:
          description: "Die Behandlung wesentlicher IKT-Vorf\xE4lle ist mit den Prozessen\
            \ zum BCM und dem DRP abzustimmen und zu verkn\xFCpfen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:60
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:2:4
      ref_id: '60'
      description: "Les \xE9tablissements renseignent sans d\xE9lai la FINMA sur les\
        \ incidents TIC qu\u2019ils consid\xE8rent comme des perturbations importantes\
        \ pour l\u2019ex\xE9cution de leurs processus critiques et qui sont susceptibles\
        \ de l\u2019int\xE9resser."
      translations:
        en:
          description: ICT incidents that are regarded by the institution as a significant
            disruption in the provision of its critical processes and are of material
            significance for supervision must be reported to FINMA without delay.
        it:
          description: "Gli incidenti TIC considerati dall\u2019istituto come una\
            \ perturbazione importante per lo svolgimento dei suoi processi critici\
            \ e rilevanti ai fini della vigilanza devono essere notificati senza indugio\
            \ alla FINMA."
        de:
          description: "IKT-Vorf\xE4lle, die vom Institut als wesentliche St\xF6rung\
            \ bei der Erbringung seiner kritischen Prozesse erachtet werden und f\xFC\
            r die Aufsicht von wesentlicher Bedeutung sind, m\xFCssen der FINMA unverz\xFC\
            glich gemeldet werden."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels
      name: C. Gestion des cyberrisques
      translations:
        en:
          name: C. Cyber risk management
        it:
          name: C. Gestione dei cyber-rischi
        de:
          name: C. Management der Cyber-Risiken
    - urn: urn:intuitem:risk:req_node:finma-2023-01:61
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:3
      ref_id: '61'
      description: "Les attentes fondamentales \xE0 l\u2019\xE9gard de la strat\xE9\
        gie, de la gouvernance et du renforcement de la prise de conscience en lien\
        \ avec les cyberrisques sont d\xE9finies aux Cm 23 \xE0 26 et 40."
      translations:
        en:
          description: "The basic expectations for the strategy, governance and raising\
            \ of awareness in relation to cyber risks are set out in margin nos. 23\u2013\
            26 and 40."
        it:
          description: "Le aspettative fondamentali poste alla strategia, alla governance\
            \ e al rafforzamento della consapevolezza in riferimento ai cyber-rischi\
            \ sono enunciate nei nm. 23\u201326 e 40."
        de:
          description: "Die grunds\xE4tzlichen Erwartungen an die Strategie, Governance\
            \ und St\xE4rkung des Bewusstseins in Bezug auf die Cyber-Risiken sind\
            \ in Rz 23\u201326 und 40 festgehalten."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:62
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:3
      ref_id: '62'
      description: "L\u2019\xE9tablissement d\xE9finit des t\xE2ches, comp\xE9tences\
        \ et responsabilit\xE9s claires. Il doit couvrir au moins les aspects suivants\
        \ selon les meilleures pratiques et normes internationalement reconnues et\
        \ garantir, d\xE9velopper et am\xE9liorer continuellement leur mise en \u0153\
        uvre effective au moyen de proc\xE9dures, de processus et de contr\xF4les\
        \ appropri\xE9s :"
      translations:
        en:
          description: 'The institution shall define clear tasks, competencies and
            responsibilities. It must cover at least the following aspects in accordance
            with internationally recognised standards and practices, and ensure their
            effective implementation through appropriate procedures, processes and
            controls and continuously develop and improve them:'
        it:
          description: "L\u2019istituto definisce chiari CCR. Deve coprire almeno\
            \ gli aspetti seguenti secondo standard e pratiche riconosciuti a livello\
            \ internazionale e garantire, sviluppare e migliorare conti- nuamente\
            \ la loro effettiva attuazione mediante procedure, processi e controlli\
            \ adeguati:"
        de:
          description: "Das Institut definiert eindeutige AKV. Es hat mindestens die\
            \ folgenden Aspekte nach international anerkannten Standards und Practices\
            \ abzudecken und deren effektive Umsetzung durch geeignete Verfahren,\
            \ Prozesse und Kontrollen zu gew\xE4hrleisten und kontinuierlich weiter\
            \ zu entwickeln und zu verbessern:"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:63
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:62
      ref_id: '63'
      description: "a. identification des menaces potentielles li\xE9es aux cyberattaques[14]\
        \ sp\xE9cifiques \xE0 l\u2019\xE9tablissement et \xE9valuation des cons\xE9\
        quences possibles li\xE9es \xE0 l\u2019exploitation des vuln\xE9rabilit\xE9\
        s relatives aux composantes TIC r\xE9pertori\xE9es et des donn\xE9es \xE9\
        lectroniques critiques (selon Cm 53, 54 et 7) ;"
      annotation: "[14] Attaques contre la confidentialit\xE9, l\u2019int\xE9grit\xE9\
        \ et la disponibilit\xE9 des TIC ainsi que les donn\xE9es \xE9lectroniques\
        \ critiques au moyen de l\u2019exploitation des vuln\xE9rabilit\xE9s ou du\
        \ contournement des mesures protectrices par des cybercriminels externes ou\
        \ internes."
      translations:
        en:
          description: a. Identification of the institution-specific threat landscape
            from cyber attacks[14] and assessment of the possible impacts of exploiting
            vulnerabilities with regard to the inventoried ICT assets and the electronic
            critical data (in accordance with margin nos. 53, 54 and 7);
          annotation: '[14] Attacks on the confidentiality, integrity and availability
            of ICT as well as the electronic critical data that take place as a result
            of external or internal attackers exploiting vulnerabilities or circumventing
            protective measures.'
        it:
          description: "a. identificazione delle potenziali minacce dovute a cyber-attacchi[14]\
            \ specifiche all\u2019istituto e valutazione delle possibili conseguenze\
            \ dello sfruttamento delle vulnerabilit\xE0 relative alle componenti inventariate\
            \ delle TIC e ai dati elettronici critici (in conformit\xE0 al nm. 53,\
            \ 54 e 7);"
          annotation: "[14] Attacchi alla confidenzialit\xE0, all\u2019integrit\xE0\
            \ e alla disponibilit\xE0 delle TIC, nonch\xE9 ai dati elettronici critici\
            \ che si verificano mediante lo sfruttamento delle vulnerabilit\xE0 o\
            \ l\u2019elusione delle misure di protezione da parte di aggressori esterni\
            \ o interni."
        de:
          description: "a. Identifikation der institutsspezifischen Bedrohungspotenziale\
            \ durch Cyber-Attacken[14] und Beurteilung der m\xF6glichen Auswirkungen\
            \ der Ausn\xFCtzung von Schwachstellen bez\xFCglich der inventarisierten\
            \ Bestandteile der IKT und der elektronischen kritischen Daten (gem\xE4\
            ss Rz 53, 54 und 7);"
          annotation: "[14] Angriffe auf die Vertraulichkeit, die Integrit\xE4t und\
            \ die Verf\xFCgbarkeit von IKT sowie auf die elektronischen kritischen\
            \ Daten, welche durch die Ausnutzung von Schwachstellen oder Umgehung\
            \ von Schutzmassnahmen durch externe oder interne Angreifende stattfinden."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:64
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:62
      ref_id: '64'
      description: "b. protection des composantes TIC r\xE9pertori\xE9es et des donn\xE9\
        es \xE9lectroniques critiques contre les cyberattaques par l\u2019impl\xE9\
        mentation de mesures de protection appropri\xE9es, en particulier en ce qui\
        \ concerne la confidentialit\xE9, l\u2019int\xE9grit\xE9 et la disponibilit\xE9\
        \ ;"
      translations:
        en:
          description: b. Protection of the inventoried ICT assets and the electronic
            critical data from cyber attacks by implementing appropriate protective
            measures, particularly with regard to the confidentiality, integrity and
            availability;
        it:
          description: "b. protezione delle componenti inventariate delle TIC e dei\
            \ dati elettronici critici contro i cyber-attacchi mediante l\u2019attuazione\
            \ di misure di protezione adeguate, in particolare in riferimento alla\
            \ confidenzialit\xE0, all\u2019integrit\xE0 e alla disponibilit\xE0;"
        de:
          description: "b. Schutz der inventarisierten Bestandteile der IKT und der\
            \ elektronischen kritischen Daten vor Cyber-Attacken durch die Implementierung\
            \ angemessener Schutzmassnahmen, insbesondere im Hinblick auf die Vertraulichkeit,\
            \ Integrit\xE4t und Verf\xFCgbarkeit;"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:65
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:62
      ref_id: '65'
      description: "c. enregistrement et d\xE9tection rapides des cyberattaques sur\
        \ la base d\u2019un processus de surveillance syst\xE9matique et constant\
        \ des composantes TIC r\xE9pertori\xE9es et des donn\xE9es \xE9lectroniques\
        \ critiques ;"
      translations:
        en:
          description: c. Timely logging and detection of cyber attacks on the basis
            of a process for the systematic and consistent monitoring of the inventoried
            ICT assets and the electronic critical data;
        it:
          description: c. individuazione e registrazione tempestive dei cyber-attacchi
            sulla base di un processo di monitoraggio sistematico e continuo delle
            componenti inventariate delle TIC e dei dati elettronici critici;
        de:
          description: "c. Zeitnahe Aufzeichnung und Erkennung von Cyber-Attacken\
            \ auf Basis eines Prozesses zur systematischen und durchg\xE4ngigen \xDC\
            berwachung der inventarisierten Bestandteile der IKT und der elektronischen\
            \ kritischen Daten;"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:66
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:62
      ref_id: '66'
      description: "d. r\xE9action aux vuln\xE9rabilit\xE9s et aux cyberattaques identifi\xE9\
        es par le d\xE9veloppement et l\u2019impl\xE9mentation de processus appropri\xE9\
        s afin de prendre rapidement des mesures d\u2019att\xE9nuation et de suppression\
        \ ; et"
      translations:
        en:
          description: d. Response to identified vulnerabilities and cyber attacks
            by developing and implementing appropriate processes for taking rapid
            containment and remediation measures; and
        it:
          description: "d. reazione alle vulnerabilit\xE0 identificate e ai cyber-attacchi\
            \ mediante lo sviluppo e l\u2019implementazione di processi appropriati,\
            \ che consentono di adottare tempestivamente misure di attenuazione e\
            \ di eliminazione; e"
        de:
          description: "d. Reaktion auf identifizierte Schwachstellen und Cyber-Attacken\
            \ durch die Entwicklung und Implementierung angemessener Prozesse, um\
            \ zeitnah Massnahmen f\xFCr die Eind\xE4mmung und Beseitigung einzuleiten;\
            \ und"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:67
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:62
      ref_id: '67'
      description: "e. garantie d\u2019un r\xE9tablissement rapide de la marche ordinaire\
        \ des affaires apr\xE8s des cyberattaques, gr\xE2ce \xE0 des mesures appropri\xE9\
        es."
      translations:
        en:
          description: e. Ensuring the prompt recovery of normal business operations
            after a cyber attack through appropriate measures.
        it:
          description: e. garanzia di un rapido ripristino del normale esercizio in
            seguito a cyber-attacchi con misure appropriate.
        de:
          description: "e. Sicherstellung einer zeitnahen Wiederherstellung des ordentlichen\
            \ Gesch\xE4ftsbetriebs nach Cyber-Attacken durch geeignete Massnahmen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:68
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:3
      ref_id: '68'
      description: "La gestion des cyberrisques doit garantir qu\u2019une cyberattaque,\
        \ qu\u2019elle ait atteint son but enti\xE8rement ou partiellement, soit analys\xE9\
        e selon son importance pour les composantes TIC r\xE9pertori\xE9es ainsi que\
        \ les donn\xE9es \xE9lectroniques critiques et les processus critiques (y\
        \ compris les fonctions et services externalis\xE9s) et que l\u2019obligation\
        \ d\u2019annoncer selon la LFINMA soit respect\xE9e. Apr\xE8s une premi\xE8\
        re \xE9valuation et une information pr\xE9alable au service comp\xE9tent de\
        \ la FINMA dans les 24 heures, l\u2019annonce doit \xEAtre transmise dans\
        \ les 72 heures, conform\xE9ment au cahier des charges de la plate-forme de\
        \ saisie EHP (champs obligatoires). Une fois que le cas a \xE9t\xE9 trait\xE9\
        \ par l\u2019\xE9tablissement, un rapport conclusif sur les causes conforme\
        \ au degr\xE9 de gravit\xE9 doit \xEAtre remis au service comp\xE9tent de\
        \ la FINMA."
      translations:
        en:
          description: Cyber risk management must ensure that a successful or partially
            successful cyber attack is analysed based on its materiality for critical
            inventoried ICT assets or electronic critical data and critical processes
            (including outsourced services and functions) and that the reporting obligation
            under the FINMASA is met. After an initial assessment and preliminary
            notification to the body responsible at FINMA within 24 hours, the report
            in accordance with the catalogue of requirements on the EHP survey and
            application platform (mandatory fields) must be submitted to FINMA within
            72 hours. Once the institution has finished processing the case, a conclusive
            root cause analysis corresponding to the degree of severity must be submitted
            to the body responsible at FINMA.
        it:
          description: "La gestione dei cyber-rischi deve garantire che un cyber-attacco\
            \ riuscito o parzialmente riuscito sia analizzato in base alla sua rilevanza\
            \ per le componenti critiche inventariate delle TIC e i dati elettronici\
            \ critici, nonch\xE9 i processi critici (incl. i servizi e le funzioni\
            \ esternalizzati) e che l\u2019obbligo di comunicazione secondo la LFINMA\
            \ sia rispettato. Dopo una prima valutazione e un\u2019informazione preliminare\
            \ al servizio competente della FINMA entro 24 ore, la comunicazione deve\
            \ essere trasmessa entro 72 ore in conformit\xE0 all\u2019elenco dei requisiti\
            \ della Piattaforma di rilevamento EHP (campi obbligatori). Una volta\
            \ che l\u2019istituto ha concluso la trattazione del caso, deve essere\
            \ presentato al servizio competente della FINMA un rapporto conclusivo\
            \ sulle cause commisurato al grado di gravit\xE0."
        de:
          description: "Das Management der Cyber-Risiken hat sicherzustellen, dass\
            \ eine erfolgreiche oder teilweise erfolgreiche Cyber-Attacke nach seiner\
            \ Wesentlichkeit f\xFCr kritische inventarisierte IKT-Bestandteile bzw.\
            \ elektronische kritische Daten sowie kritische Prozesse (inkl. ausgelagerte\
            \ Dienstleistungen und Funktionen) analysiert wird und die Meldepflicht\
            \ nach FINMAG eingehalten wird. Nach erfolgter Erstbeurteilung und der\
            \ Vororientierung an die zust\xE4ndige Stelle bei der FINMA innerhalb\
            \ von 24 Stunden ist die Meldung gem\xE4ss dem Anforderungskatalog der\
            \ Erhebungsplattform EHP (Pflichtfelder) innerhalb von 72 Stunden zu \xFC\
            bermitteln. Nach Abschluss der institutsseitigen Fallbearbeitung ist ein\
            \ dem Schweregrad entsprechender abschliessender Ursachenbericht an die\
            \ zust\xE4ndige Stelle bei der FINMA einzureichen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:69
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:3
      ref_id: '69'
      description: "La direction fait r\xE9guli\xE8rement proc\xE9der \xE0 des analyses\
        \ de vuln\xE9rabilit\xE9[15] et \xE0 des tests d\u2019intrusion[16]. Ces derniers\
        \ doivent \xEAtre effectu\xE9s par du personnel qualifi\xE9 disposant de ressources\
        \ ad\xE9quates. Ce faisant, toutes les composantes TIC r\xE9pertori\xE9es\
        \ et accessibles par Internet doivent \xEAtre prises en compte. En outre,\
        \ les composantes TIC r\xE9pertori\xE9es et non accessibles par Internet mais\
        \ qui sont n\xE9cessaires \xE0 l\u2019ex\xE9cution de processus critiques\
        \ ou qui contiennent des donn\xE9es \xE9lectroniques critiques, doivent \xEA\
        tre prises en compte."
      annotation: "[15] Analyse visant \xE0 identifier les vuln\xE9rabilit\xE9s actuelles\
        \ des logiciels ainsi que les failles de s\xE9curit\xE9 de l\u2019infrastructure\
        \ IT par rapport aux cyberattaques\n[16] \xC9valuation cibl\xE9e et exploitation\
        \ des vuln\xE9rabilit\xE9s des logiciels et des failles de s\xE9curit\xE9\
        \ des TIC"
      translations:
        en:
          description: The executive board shall arrange for vulnerability assessments[15]
            and penetration tests[16] to be conducted regularly. These must be performed
            by qualified staff with adequate resources. All inventoried ICT assets
            that are accessible over the internet must be taken into account. In addition,
            inventoried ICT assets that are not accessible over the internet, but
            that are necessary for the provision of critical processes, or that contain
            electronic critical data, must be included as well.
          annotation: '[15] Analysis used to identify existing software vulnerabilities
            and security gaps in the IT infrastructure towards cyber attacks.

            [16] Targeted audit and exploitation of software vulnerabilities and security
            gaps in the ICT.'
        it:
          description: "La direzione dispone regolarmente lo svolgimento di analisi\
            \ di vulnerabilit\xE0[15] e test di intrusione (penetration test)[16],\
            \ che devono essere eseguiti da personale qualificato con risorse adeguate.\
            \ In proposito occorre considerare tutte le componenti inventariate delle\
            \ TIC accessibili tramite internet. Inoltre, devono essere considerate\
            \ le componenti inventariate delle TIC non accessibili tramite internet,\
            \ ma necessarie per lo svolgimento di processi critici o contenenti dati\
            \ elettronici critici."
          annotation: "[15] Analisi volta a identificare le vulnerabilit\xE0 esistenti\
            \ a livello di software e le falle di sicurezza nell\u2019infrastruttura\
            \ IT nei confronti di cyber-attacchi.\n[16] Esame mirato e sfruttamento\
            \ delle vulnerabilit\xE0 a livello di software e delle falle di sicurezza\
            \ nelle TIC."
        de:
          description: "Die Gesch\xE4ftsleitung l\xE4sst regelm\xE4ssig Verwundbarkeitsanalysen[15]\
            \ und Penetrationstests[16] durchf\xFChren. Diese m\xFCssen durch qualifiziertes\
            \ Personal mit angemessenen Ressourcen ausgef\xFChrt werden. Dabei sind\
            \ alle inventarisierten Bestandteile der IKT, die \xFCber das Internet\
            \ erreichbar sind, zu ber\xFCcksichtigen. Zudem sind inventarisierte Bestandteile\
            \ der IKT, welche nicht \xFCber das Internet erreichbar, aber f\xFCr die\
            \ Erbringung von kritischen Prozessen notwendig sind, oder welche elektronische\
            \ kritische Daten beinhalten, zu ber\xFCcksichtigen."
          annotation: "[15] Analyse zur Identifikation von derzeit bestehenden Software-Schwachstellen\
            \ und Sicherheitsl\xFCcken in der IT-Infra- struktur gegen\xFCber Cyber-Attacken\n\
            [16] Gezielte Pr\xFCfung und das Ausn\xFCtzen von Software-Schwachstellen\
            \ und Sicherheitsl\xFCcken in der IKT"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:70
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:3
      ref_id: '70'
      description: "Sur la base des menaces potentielles sp\xE9cifiques \xE0 l\u2019\
        \xE9tablissement, il y a lieu d\u2019effectuer, en fonction des risques, des\
        \ cyberexercices[17] fond\xE9s sur des sc\xE9narios. Le r\xE9sultat des exercices\
        \ doit \xEAtre document\xE9 et rapport\xE9 en forme appropri\xE9e."
      annotation: '[17] En tenant compte du Cm 19, ces cyberexercices pourraient par
        ex. inclure des exercices table-top, red teaming, etc.'
      translations:
        en:
          description: Risk-based, threat intelligence-related scenario cyber exercises[17]
            must be conducted on the basis of the institution-specific threat landscape.
            The result of the exercises must be documented and reported in an appropriate
            form.
          annotation: '[17] Taking into account margin no. 19, such cyber exercises
            may include, for example, tabletop, red team exercises etc.'
        it:
          description: "Sulla base delle minacce potenziali specifiche all\u2019istituto,\
            \ devono essere svolti cyberesercizi in funzione dei rischi e riferiti\
            \ allo scenario in questione[17]. Il risultato degli esercizi deve essere\
            \ documentato facendone rapporto in forma adeguata."
          annotation: '[17] Considerando il nm. 19, questi cyber-esercizi potrebbero
            includere, per esempio, esercizi di simulazione (table-top exercises),
            red teaming ecc.'
        de:
          description: "Auf Basis der institutsspezifischen Bedrohungspotenziale m\xFC\
            ssen risikobasiert szenariobezogene Cyber-\xDCbungen[17] durchgef\xFC\
            hrt werden. Das Ergebnis der \xDCbungen ist in geeigneter Form zu dokumentieren\
            \ und zu rapportieren."
          annotation: "[17] Unter Ber\xFCcksichtigung der Rz 19 k\xF6nnten solche\
            \ Cyber-\xDCbungen beispielsweise beinhalten, Table-Top-, Red Teaming-\xDC\
            bungen usw."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels
      name: "D. Gestion des risques des donn\xE9es critiques"
      translations:
        en:
          name: D. Critical data risk management
        it:
          name: D. Gestione dei rischi dei dati critici
        de:
          name: D. Management der Risiken kritischer Daten
    - urn: urn:intuitem:risk:req_node:finma-2023-01:71
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '71'
      description: "Les attentes fondamentales \xE0 l\u2019\xE9gard de la strat\xE9\
        gie, de la gouvernance et du renforcement de la prise de conscience en lien\
        \ avec les risques des donn\xE9es critiques sont d\xE9finies aux Cm 23 \xE0\
        \ 26."
      translations:
        en:
          description: "The basic expectations for the strategy, governance and raising\
            \ of awareness in relation to the risks of critical data are set out in\
            \ margin nos. 23\u201326."
        it:
          description: "Le aspettative fondamentali poste alla strategia, alla governance\
            \ e al rafforzamento della consapevolezza in riferimento ai rischi dei\
            \ dati critici sono enunciate nei nm. 23\u201326."
        de:
          description: "Die grunds\xE4tzlichen Erwartungen an die Strategie, Governance\
            \ und St\xE4rkung des Bewusstseins in Bezug auf die Risiken kritischer\
            \ Daten sind in Rz 23\u201326 festgehalten."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:72
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '72'
      description: "La direction d\xE9finit des processus, des proc\xE9dures et des\
        \ contr\xF4les ad\xE9quats ainsi que des t\xE2ches, comp\xE9tences et responsabilit\xE9\
        s claires relatifs au traitement des donn\xE9es critiques identifi\xE9es par\
        \ l\u2019\xE9tablissement. Par ailleurs, la direction mandate une unit\xE9\
        \ pour cr\xE9er et maintenir les conditions-cadres permettant de garantir\
        \ la confidentialit\xE9, l\u2019int\xE9grit\xE9 et la disponibilit\xE9 des\
        \ donn\xE9es critiques et de surveiller leur respect."
      translations:
        en:
          description: The executive board shall define appropriate processes, procedures
            and controls as well as clear tasks, competencies and responsibilities
            for dealing with the data identified as critical by the institution. Furthermore,
            the executive board shall appoint a unit to establish the framework for
            ensuring the confidentiality, integrity and availability of critical data
            and to monitor its observance.
        it:
          description: "La direzione definisce processi, procedure e controlli adeguati\
            \ nonch\xE9 chiari CCR concernenti la gestione dei dati critici individuati\
            \ dall\u2019istituto. Inoltre, la direzione designa un\u2019unit\xE0 preposta\
            \ alla creazione di condizioni quadro che garantiscano la confidenzialit\xE0\
            , l\u2019integrit\xE0 e la disponibilit\xE0 di dati critici e al controllo\
            \ del loro rispetto."
        de:
          description: "Die Gesch\xE4ftsleitung definiert geeignete Prozesse, Verfahren\
            \ und Kontrollen sowie eindeutige AKV zum Umgang mit den vom Institut\
            \ identifizierten kritischen Daten. Dar\xFCber hinaus beauftragt die Gesch\xE4\
            ftsleitung eine Einheit, um Rahmenbedingungen zur Sicherstellung der Vertraulichkeit,\
            \ Integrit\xE4t und Verf\xFCgbarkeit von kritischen Daten zu schaffen\
            \ und ihre Einhaltung zu \xFCberwachen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:73
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '73'
      description: "L\u2019\xE9tablissement identifie ses donn\xE9es critiques de\
        \ mani\xE8re syst\xE9matique et exhaustive, les cat\xE9gorise selon leur criticit\xE9\
        \ et d\xE9finit des responsabilit\xE9s claires en mati\xE8re de donn\xE9es."
      translations:
        en:
          description: The institution shall identify its critical data in a systematic
            and comprehensive way, categorise it on the basis of its criticality and
            define clear responsibilities.
        it:
          description: "L\u2019istituto individua i suoi dati critici in modo sistematico\
            \ ed esaustivo, li categorizza in funzione del loro grado di criticit\xE0\
            \ e definisce chiare responsabilit\xE0 in materia di dati."
        de:
          description: "Das Institut identifiziert seine kritischen Daten systematisch\
            \ und vollst\xE4ndig, kategorisiert diese nach ihrer Kritikalit\xE4t und\
            \ definiert eindeutige Datenverantwortlichkeiten."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:74
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '74'
      description: "Les donn\xE9es critiques d\xE9finies par l\u2019\xE9tablissement\
        \ sont g\xE9r\xE9es tout au long de leur cycle de vie."
      translations:
        en:
          description: The critical data defined by the institution must be managed
            throughout its entire lifecycle.
        it:
          description: "I dati critici definiti dall\u2019istituto sono gestiti lungo\
            \ il loro intero ciclo di vita."
        de:
          description: Die vom Institut definierten kritischen Daten werden entlang
            ihres gesamten Lebenszyklus verwaltet.
    - urn: urn:intuitem:risk:req_node:finma-2023-01:75
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '75'
      description: "Dans ce cadre, des processus, des proc\xE9dures et des contr\xF4\
        les appropri\xE9s garantissent en particulier le respect de la confidentialit\xE9\
        , de l\u2019int\xE9grit\xE9 et de la disponibilit\xE9 lors de l\u2019administration\
        \ des donn\xE9es critiques."
      translations:
        en:
          description: In the management of critical data, in particular the confidentiality,
            integrity and availability of the critical data must be ensured through
            appropriate processes, procedures and controls.
        it:
          description: "Al riguardo, il rispetto della confidenzialit\xE0, dell\u2019\
            integrit\xE0 e della disponibilit\xE0 nella gestione di dati critici \xE8\
            \ garantito mediante processi, procedure e controlli adeguati."
        de:
          description: "Dabei wird insbesondere die Einhaltung der Vertraulichkeit,\
            \ Integrit\xE4t und Verf\xFCgbarkeit bei der Verwaltung von kritischen\
            \ Daten durch geeignete Prozesse, Verfahren und Kontrollen gew\xE4hrleistet."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:76
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '76'
      description: "Durant l\u2019exploitation et pendant le d\xE9veloppement, le\
        \ changement et la migration des TIC, l\u2019acc\xE8s et l\u2019utilisation\
        \ des donn\xE9es critiques doivent \xEAtre prot\xE9g\xE9s de mani\xE8re appropri\xE9\
        e vis-\xE0-vis des personnes non autoris\xE9es. Cela s\u2019applique \xE9\
        galement aux donn\xE9es critiques dans les environnements de test."
      translations:
        en:
          description: Critical data must be adequately protected from being accessed
            and used by unauthorised persons during operations and during the development,
            change and migration of ICT. This also applies to critical data in test
            environments.
        it:
          description: "Nell\u2019esercizio e durante lo sviluppo, il cambiamento\
            \ e la migrazione delle TIC, i dati critici devono essere protetti dall\u2019\
            accesso e dall\u2019utilizzo da parte di soggetti non autorizzati. Questo\
            \ vale anche per i dati critici in ambienti di test."
        de:
          description: "Kritische Daten sind im Betrieb und w\xE4hrend der Entwicklung,\
            \ Ver\xE4nderung und Migration von IKT vor dem Zugriff und der Nutzung\
            \ durch Unberechtigte angemessen zu sch\xFCtzen. Dies gilt auch f\xFC\
            r kritische Daten in Testumgebungen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:77
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '77'
      description: "Les composantes TIC, qui sauvegardent ou traitent des donn\xE9\
        es critiques, sont \xE0 prot\xE9ger en particulier. L\u2019acc\xE8s \xE0 ces\
        \ donn\xE9es doit \xEAtre r\xE9glement\xE9 syst\xE9matiquement et surveill\xE9\
        \ en permanence."
      translations:
        en:
          description: The ICT assets that store or process critical data must be
            afforded particular protection. Access to these data must be regulated
            systematically and monitored continuously.
        it:
          description: "In particolare devono essere protette le componenti delle\
            \ TIC in cui sono archiviati o trattati dati critici. \xC8 necessario\
            \ regolamentare sistematicamente e monitorare continuamente l\u2019accesso\
            \ a questi dati."
        de:
          description: "Die Bestandteile der IKT, die kritische Daten speichern oder\
            \ verarbeiten, sind besonders zu sch\xFCtzen. Dabei ist der Zugriff auf\
            \ diese Daten systematisch zu regeln und laufend zu \xFCberwachen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:78
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '78'
      description: "L\u2019acc\xE8s aux donn\xE9es critiques et aux fonctionnalit\xE9\
        s de traitement de ces donn\xE9es est limit\xE9 aux personnes qui en ont besoin\
        \ pour accomplir leurs t\xE2ches[18]. \xC0 cet \xE9gard, l\u2019\xE9tablissement\
        \ doit disposer d\u2019un syst\xE8me d\u2019autorisation. L\u2019acc\xE8s\
        \ \xE0 ce syst\xE8me doit \xEAtre particuli\xE8rement prot\xE9g\xE9 et r\xE9\
        guli\xE8rement v\xE9rifi\xE9. Les autorisations contenues dans ce syst\xE8\
        me doivent \xEAtre r\xE9guli\xE8rement contr\xF4l\xE9es."
      annotation: '[18] Par ex. principe du need-to-know et du least privilege'
      translations:
        en:
          description: Access to critical data and processing functionalities shall
            be restricted to persons who require this to carry out their tasks[18].
            The institution must have an authorisation system in place. Access to
            this authorisation system must be afforded particular protection and reviewed
            on a regular basis. The authorisations included in the authorisation system
            must be reviewed on a regular basis.
          annotation: '[18] For example, need-to-know and least privilege principles.'
        it:
          description: "L\u2019accesso ai dati critici e alle funzioni legate al trattamento\
            \ di questi dati \xE8 limitato alle persone che necessitano dei dati per\
            \ svolgere i propri compiti[18]. Al riguardo l\u2019istituto deve disporre\
            \ di un sistema di autorizzazione. L\u2019accesso a tale sistema di autorizzazione\
            \ deve essere protetto in modo particolare e verificato regolarmente.\
            \ Le autorizzazioni contenute nel sistema devono essere verificate regolarmente."
          annotation: '[18] P. es. principio del need-to-know e del privilegio minimo
            (least privilege).'
        de:
          description: "Der Zugriff auf kritische Daten und verarbeitende Funktionalit\xE4\
            ten ist auf Personen beschr\xE4nkt, welche diesen zur Erf\xFCllung ihrer\
            \ Aufgaben ben\xF6tigen[18]. Dabei muss das Institut \xFCber ein Autorisierungssystem\
            \ verf\xFCgen. Der Zugang zu diesem Autorisierungssystem ist besonders\
            \ zu sch\xFCtzen und regelm\xE4ssig zu \xFCberpr\xFCfen. Die im Autorisierungssystem\
            \ enthaltenen Berechtigungen sind regelm\xE4ssig zu \xFCberpr\xFCfen."
          annotation: '[18] Bspw. Need-to-know- und Least Privilege-Prinzip'
    - urn: urn:intuitem:risk:req_node:finma-2023-01:79
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '79'
      description: "Lorsque les donn\xE9es critiques sont stock\xE9es hors de Suisse[19]\
        \ ou qu\u2019elles sont accessibles depuis l\u2019\xE9tranger, les risques\
        \ accrus qui en r\xE9sultent doivent \xEAtre limit\xE9s de mani\xE8re appropri\xE9\
        e et surveill\xE9s au moyen de mesures appropri\xE9es et les donn\xE9es doivent\
        \ \xEAtre particuli\xE8rement prot\xE9g\xE9es."
      annotation: "[19] Par ex. \xE0 l\u2019aide de solutions de cloud ou de hosting"
      translations:
        en:
          description: If critical data is stored outside of Switzerland[19] or if
            it can be accessed from abroad, increased risks associated with this must
            be adequately mitigated and monitored via suitable means and the data
            afforded particular protection.
          annotation: '[19] For example, in the context of cloud or hosting solutions.'
        it:
          description: "Se i dati critici sono archiviati al di fuori della Svizzera[19]\
            \ o sono accessibili dall\u2019estero, \xE8 necessario limitare adeguatamente\
            \ i rischi superiori che ne derivano e monitorarli mediante misure adeguate,\
            \ nonch\xE9 proteggere i dati in modo particolare."
          annotation: '[19] P. es. mediante soluzioni di cloud o di hosting.'
        de:
          description: "Falls kritische Daten ausserhalb der Schweiz gespeichert werden[19]\
            \ oder vom Ausland aus auf sie zugegriffen werden kann, sind die damit\
            \ verbundenen erh\xF6hten Risiken angemessen zu begrenzen und mit geeigneten\
            \ Massnahmen zu \xFCberwachen sowie die Daten besonders zu sch\xFCtzen."
          annotation: "[19] Bspw. im Rahmen von Cloud- oder Hosting-L\xF6sungen"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:80
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '80'
      description: "Tant les personnes internes qu\u2019externes qui peuvent acc\xE9\
        der aux donn\xE9es critiques ou les modifier doivent \xEAtre soigneusement\
        \ s\xE9lectionn\xE9es. Ces personnes doivent \xEAtre surveill\xE9es \xE0 l\u2019\
        aide des mesures appropri\xE9es[20] et form\xE9es r\xE9guli\xE8rement sur\
        \ le traitement de ces donn\xE9es. Des exigences accrues en mati\xE8re de\
        \ s\xE9curit\xE9 s\u2019appliquent aux personnes b\xE9n\xE9ficiant de privil\xE8\
        ges accrus[21]. Il convient en outre de tenir une liste de ces personnes et\
        \ de la mettre continuellement \xE0 jour."
      annotation: "[20] Par ex. \xE9valuation des fichiers journaux, principe des\
        \ quatre yeux, etc.\n[21] Par ex. les personnes qui b\xE9n\xE9ficient de droits\
        \ d\u2019administration, les utilisatrices et utilisateurs qui disposent d\u2019\
        un ac- c\xE8s fonctionnel \xE0 une grande quantit\xE9 de donn\xE9es critiques,\
        \ etc."
      translations:
        en:
          description: Both internal and external persons who can access critical
            data or who can change these must be selected carefully. These persons
            must be monitored with the help of appropriate measures[20] and given
            regular training in the handling of these data. Increased security requirements
            shall apply to persons with increased privileges[21]. In addition, a list
            of all persons with privileged access rights must be kept and updated
            on a regular basis.
          annotation: "[20] For example, analysis of log files, \u201Cfour eyes principle\u201D\
            \ etc.\n[21] For example, persons with administrator rights, users with\
            \ functional access to a large quantity of critical data etc."
        it:
          description: "Occorre scegliere accuratamente le persone interne e quelle\
            \ esterne che possono accedere ai dati critici o modificarli. Tali persone\
            \ devono essere sorvegliate mediante misure appropriate[20] e formate\
            \ regolarmente sulla gestione di questi dati. Alle persone che beneficiano\
            \ di maggiori privilegi[21] si applicano requisiti di sicurezza pi\xF9\
            \ rigorosi. Inoltre, deve essere tenuto un elenco di tutte le persone\
            \ che beneficiano di maggiori privilegi e aggiornato continuamente."
          annotation: "[20] P. es. valutazione di file log, principio del doppio controllo\
            \ ecc.\n[21] P. es. persone con diritti di amministratore, utenti con\
            \ accesso funzionale a una grossa quantit\xE0 di dati critici ecc."
        de:
          description: "Sowohl interne wie externe Personen, die auf kritische Daten\
            \ zugreifen oder diese ver\xE4ndern k\xF6nnen, sind sorgf\xE4ltig auszuw\xE4\
            hlen. Diese Personen sind mit geeigneten Massnahmen zu \xFCberwachen[20]\
            \ und regelm\xE4ssig im Umgang mit diesen Daten zu schulen. F\xFCr Personen\
            \ mit erh\xF6hten Privilegien[21] gelten erh\xF6hte Sicherheitsanforderungen.\
            \ Es ist zudem eine Liste aller Personen mit erh\xF6hten Privilegien zu\
            \ f\xFChren und laufend zu aktualisieren."
          annotation: '[20] Bspw. Auswertung von Log-Dateien, Vier-Augen-Prinzip usw.

            [21] Bspw. Personen mit Administratorenrechten, Anwender mit funktionalem
            Zugriff auf eine grosse Menge an kritischen Daten usw.'
    - urn: urn:intuitem:risk:req_node:finma-2023-01:81
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '81'
      description: "Les incidents qui entravent de mani\xE8re importante la confidentialit\xE9\
        , l\u2019int\xE9grit\xE9 ou la disponibilit\xE9 des donn\xE9es critiques doivent\
        \ \xEAtre annonc\xE9s imm\xE9diatement \xE0 la FINMA."
      translations:
        en:
          description: Incidents that substantially impair the confidentiality, integrity
            or availability of critical data must be reported to FINMA without delay.
        it:
          description: "Gli incidenti che compromettono in misura significativa la\
            \ confidenzialit\xE0, l\u2019integrit\xE0 o la disponibilit\xE0 di dati\
            \ critici devono essere notificati senza indugio alla FINMA."
        de:
          description: "Vorf\xE4lle, die die Vertraulichkeit, Integrit\xE4t oder Verf\xFC\
            gbarkeit von kritischen Daten wesentlich beeintr\xE4chtigen, m\xFCssen\
            \ der FINMA unverz\xFCglich gemeldet werden."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:82
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:4
      ref_id: '82'
      description: "Une grande importance doit \xEAtre accord\xE9e \xE0 l\u2019examen\
        \ de diligence (due diligence) lors du choix des prestataires qui peuvent\
        \ acc\xE9der aux donn\xE9es critiques ou les traiter[22]. Il faut d\xE9finir\
        \ des crit\xE8res clairs pour \xE9valuer la mani\xE8re dont les prestataires\
        \ g\xE8rent les donn\xE9es critiques et les v\xE9rifier avant de signer des\
        \ contrats. En fonction du risque, les prestataires doivent \xEAtre soumis\
        \ \xE0 une surveillance et \xE0 un contr\xF4le p\xE9riodiques dans le cadre\
        \ du syst\xE8me de contr\xF4le interne de l\u2019\xE9tablissement."
      annotation: "[22] Traiter : toute op\xE9ration relative \xE0 des donn\xE9es\
        \ critiques, quels que soient les moyens et proc\xE9d\xE9s utilis\xE9s, notam-\
        \ ment la collecte, l\u2019enregistrement, la conservation, l\u2019utilisation,\
        \ la modification, la communication, l\u2019archivage, l\u2019efface- ment\
        \ ou la destruction de donn\xE9es"
      translations:
        en:
          description: "When selecting service providers that can process[22] or view\
            \ critical data, due diligence must be particularly thorough. Clear criteria\
            \ for assessing how service providers handle critical data must be defined\
            \ and checked before entering into a contractual agreement. The service\
            \ providers must be monitored and checked periodically as part of the\
            \ institution\u2019s internal control system."
          annotation: '[22] Processing: any handling of critical data, irrespective
            of the means and procedures used, in particular the collection, saving,
            storage, use, changing, disclosing, archiving, deletion or destruction
            of data.'
        it:
          description: "Nella scelta dei fornitori di servizi che trattano dati critici[22]\
            \ o possono consultarli deve essere attribuita una notevole importanza\
            \ alla verifica della diligenza (due diligence). Occorre definire criteri\
            \ chiari per valutare il modo in cui i fornitori di servizi gestiscono\
            \ dati critici ed esaminarlo prima di firmare i contratti. I fornitori\
            \ di servizi devono essere sottoposti a un monitoraggio e a un controllo\
            \ periodici nell\u2019ambito del sistema di controllo interno dell\u2019\
            istituto."
          annotation: "[22] Trattamento: qualunque modo di gestire dati critici, a\
            \ prescindere dai mezzi e dalle procedure impiegati, in particolare l\u2019\
            acquisizione, il salvataggio, la custodia, l\u2019utilizzo, la modifica,\
            \ la divulgazione, l\u2019archiviazione, la cancellazione o l\u2019eliminazione\
            \ dei dati."
        de:
          description: "Bei der Auswahl von Dienstleistern, die kritische Daten bearbeiten[22]\
            \ oder einsehen k\xF6nnen, ist der Sorgfaltspr\xFCfung (Due Diligence)\
            \ eine hohe Bedeutung beizumessen. Es sind klare Kriterien f\xFCr die\
            \ Beurteilung des Umgangs der Dienstleister mit kritischen Daten zu definieren\
            \ und vor Vertragsvereinbarung zu pr\xFCfen. Die Dienstleister sind im\
            \ Rahmen des internen Kontrollsystems des Instituts risikoorientiert periodisch\
            \ zu \xFCberwachen und zu kontrollieren."
          annotation: "[22] Bearbeiten: jeder Umgang mit kritischen Daten, unabh\xE4\
            ngig von den angewandten Mitteln und Verfahren, insbeson- dere das Beschaffen,\
            \ Speichern, Aufbewahren, Verwenden, Ver\xE4ndern, Bekanntgeben, Archivieren,\
            \ L\xF6schen oder Vernichten von Daten."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels
      name: E. Business continuity management (BCM)
      translations:
        en:
          name: E. Business continuity management (BCM)
        it:
          name: E. Business continuity management (BCM)
        de:
          name: E. Business Continuity Management (BCM)
    - urn: urn:intuitem:risk:req_node:finma-2023-01:83
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '83'
      description: "Les attentes fondamentales \xE0 l\u2019\xE9gard de la strat\xE9\
        gie, de la gouvernance et du renforcement de la prise de conscience en lien\
        \ avec les risques d\xE9coulant de la conception et de la mise en \u0153uvre\
        \ du BCM sont d\xE9finies aux Cm 23 \xE0 26."
      translations:
        en:
          description: "The basic expectations for the strategy, governance and raising\
            \ of awareness in relation to risks resulting from the design and implementation\
            \ of BCM are set out in margin nos. 23\u201326."
        it:
          description: "Le aspettative fondamentali poste alla strategia, alla governance\
            \ e al rafforzamento della consapevolezza in riferimento ai rischi che\
            \ derivano dalla configurazione e dall\u2019implementazione del BCM sono\
            \ enunciate nei nm. 23\u201326."
        de:
          description: "Die grunds\xE4tzlichen Erwartungen an die Strategie, Governance\
            \ und St\xE4rkung des Bewusstseins in Bezug auf Risiken aus der Ausgestaltung\
            \ und Implementierung des BCM sind in Rz 23\u201326 festgehalten."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:84
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '84'
      description: "Chaque domaine d\u2019activit\xE9 ou d\u2019organisation pertinent\
        \ doit identifier ses processus critiques et les ressources correspondantes\
        \ n\xE9cessaires[23] dans le cadre de la business impact analysis (BIA)."
      annotation: "[23] Personnel, infrastructure (par ex. immeubles, infrastructure\
        \ des postes de travail), syst\xE8mes IT ou infrastructure IT (y compris syst\xE8\
        mes de communication), d\xE9pendances vis-\xE0-vis d\u2019autres domaines\
        \ de l\u2019\xE9tablissement et de tiers, par ex. prestataires ou fournisseurs\
        \ externes (externalisation), banques centrales ou chambres de compensation."
      translations:
        en:
          description: Every relevant business and organisational area must identify
            its critical processes and the resources required for these[23] in a business
            impact analysis (BIA).
          annotation: '[23] Staff, facilities (e.g. building, workplace infrastructure),
            information, IT systems or IT infrastructure (including communication
            systems), dependencies on other areas of the institution and on third
            parties, e.g. external service providers and suppliers (outsourcing),
            central banks or clearing houses.'
        it:
          description: "Ogni divisione operativa e organizzativa rilevante deve individuare\
            \ i suoi processi critici e le risorse necessarie[23] nell\u2019ambito\
            \ della business impact analysis (BIA)."
          annotation: "[23] Personale, infrastrutture (p. es. immobili, infrastruttura\
            \ dei posti di lavoro), informazioni, sistemi IT o infrastruttura IT (compresi\
            \ i sistemi di comunicazione), dipendenze da altri settori dell\u2019\
            istituto e da terzi, p. es. erogatori di servizi e fornitori esterni (outsourcing),\
            \ banche centrali o stanze di compensazione."
        de:
          description: "Jeder relevante Gesch\xE4fts- und Organisationsbereich hat\
            \ im Rahmen der Business Impact Analyse (BIA) seine kritischen Prozesse\
            \ und die daf\xFCr ben\xF6tigten Ressourcen[23] zu identifizieren."
          annotation: "[23] Personal, Einrichtungen (bspw. Geb\xE4ude, Arbeitsplatzinfrastruktur),\
            \ Informationen, IT-Systeme oder IT-Infrastruktur (inkl. Kommunikationssysteme),\
            \ Abh\xE4ngigkeiten zu andern Bereichen des Instituts und zu Drittparteien,\
            \ bspw. exter- nen Dienstleistern und Lieferanten (Outsourcing), Zentralbanken\
            \ oder Clearingh\xE4usern."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:85
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '85'
      description: "Pour les processus critiques, l\u2019\xE9tablissement d\xE9finit\
        \ le RTO et le RPO conform\xE9ment au Cm 10. Ceux-ci sont coordonn\xE9s avec\
        \ les fournisseurs de prestations[24] requis \xE0 cet effet et leur respect\
        \ est r\xE9gi par des service level agreements ou des contrats, ou garantis\
        \ par d\u2019autres proc\xE9dures et contr\xF4les appropri\xE9s."
      annotation: "[24] Par ex. avec le d\xE9partement IT, d\u2019autres domaines\
        \ de l\u2019\xE9tablissement ou des externes."
      translations:
        en:
          description: The institution shall define the RTO and RPO for the critical
            processes in accordance with margin no. 10. These shall be coordinated
            with the necessary service providers[24] and adherence to the RTO and
            RPO shall be regulated by service level agreements or contracts or by
            other appropriate procedures, processes and controls.
          annotation: '[24] For example, with the IT department, other units of the
            institution or external parties.'
        it:
          description: "Per i processi critici, l\u2019istituto definisce il RTO e\
            \ il RPO secondo il nm. 10, coordinandoli con i necessari fornitori di\
            \ servizi[24]. La loro osservanza \xE8 disciplinata mediante service level\
            \ agreement o contratti, oppure \xE8 garantita mediante procedure, processi\
            \ e controlli appropriati."
          annotation: "[24] P. es. con la sezione IT, altre divisioni dell\u2019istituto\
            \ o esterni."
        de:
          description: "F\xFCr die kritischen Prozesse definiert das Institut die\
            \ RTO und RPO nach Rz 10. Diese sind mit den daf\xFCr erforderlichen Leistungserbringern[24]\
            \ abgestimmt und die Einhaltung der RTO und RPO wird durch Service Level\
            \ Agreements oder Vertr\xE4ge geregelt oder durch andere geeignete Verfahren,\
            \ Prozesse und Kontrollen sichergestellt."
          annotation: '[24] Bspw. mit der IT-Abteilung, anderen Bereichen des Instituts
            oder Externen'
    - urn: urn:intuitem:risk:req_node:finma-2023-01:86
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '86'
      description: "L\u2019\xE9tablissement d\xE9finit au moins un BCP selon le Cm\
        \ 11, qui d\xE9crit aussi les processus de d\xE9cision ainsi que les \xE9\
        v\xE9nements d\xE9clencheurs du plan et tient compte de la perte des ressources\
        \ selon le Cm 84. L\u2019acceptation des risques r\xE9siduels est document\xE9\
        e de mani\xE8re ad\xE9quate."
      translations:
        en:
          description: The institution shall define at least one BCP in accordance
            with margin no. 11 that also describes the conditions triggering the plan
            and the decision-making processes, and takes into account the loss of
            resources in accordance with margin no. 84. The acceptance of residual
            risks must be adequately documented.
        it:
          description: "L\u2019istituto definisce almeno un BCP secondo il nm. 11,\
            \ che descrive anche gli eventi che comportano l\u2019attivazione del\
            \ piano e i processi decisionali e tiene conto della perdita di risorse\
            \ secondo il nm. 84. I rischi residui accettati sono documentati in maniera\
            \ adeguata."
        de:
          description: "Das Institut definiert mindestens einen BCP nach Rz 11, der\
            \ auch die den Plan ausl\xF6senden Gegebenheiten und Entscheidungsprozesse\
            \ beschreibt und den Verlust der Ressourcen nach Rz 84 ber\xFCcksichtigt.\
            \ Die Akzeptanz von residualen Risiken wird angemessen dokumentiert."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:87
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '87'
      description: "La BIA et le BCP sont \xE9tablis et document\xE9s de mani\xE8\
        re coh\xE9rente selon une directive applicable \xE0 l\u2019\xE9chelle de l\u2019\
        \xE9tablissement. Ils doivent \xEAtre revus et mis \xE0 jour chaque ann\xE9\
        e ainsi qu\u2019en cas de changements majeurs dans l\u2019activit\xE9 (r\xE9\
        organisations, cr\xE9ation d\u2019un nouveau champ d\u2019activit\xE9, etc.)."
      translations:
        en:
          description: The BIA and BCP shall be prepared and documented in a consistent
            manner following institution-wide guidelines. They must be reviewed and
            updated annually and on an ad hoc basis in the event of significant changes
            to the business operations (reorganisations, development of a new business
            segment etc.).
        it:
          description: "La BIA e il BCP sono allestiti e documentati in modo sistematico\
            \ secondo una direttiva applicabile a tutto l\u2019istituto. Devono essere\
            \ verificati e aggiornati ogni anno e ad hoc in caso di cambiamenti sostanziali\
            \ nell\u2019attivit\xE0 (riorganizzazioni, creazione di un nuovo campo\
            \ di attivit\xE0 ecc.)."
        de:
          description: "Die BIA und BCP werden einer institutsweiten Vorgabe folgend\
            \ auf konsistente Art erstellt und dokumentiert. Sie sind j\xE4hrlich\
            \ sowie ad hoc im Falle wesentlicher \xC4nderungen im Gesch\xE4ftsbetrieb\
            \ (Reorganisationen, Aufbau eines neuen Gesch\xE4ftsfelds, usw.) zu \xFC\
            berpr\xFCfen und zu aktualisieren."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:88
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '88'
      description: "L\u2019\xE9tablissement d\xE9finit au moins un DRP en tant que\
        \ partie int\xE9grante du BCP. Lorsque des processus critiques ou des parties\
        \ de ceux-ci sont externalis\xE9s, le DRP tient compte des d\xE9pendances\
        \ externes et des dispositions contractuelles ainsi que des solutions alternatives.\
        \ Le DRP est revu et mis \xE0 jour en cas de changements majeurs, mais au\
        \ moins une fois par ann\xE9e."
      translations:
        en:
          description: The institution shall define at least one DRP as part of the
            BCP. If critical processes or parts thereof are outsourced, the DRP shall
            take into account the external dependencies and contractual provisions
            as well as alternative solutions. The DRP must be reviewed and updated
            on an ad hoc basis in the event of significant changes and at least annually.
        it:
          description: "L\u2019istituto definisce almeno un DRP come parte integrante\
            \ del BCP. Se vengono esternalizzati processi critici o singole parti\
            \ di essi, il DRP tiene conto delle dipendenze interne e delle disposizioni\
            \ contrattuali nonch\xE9 di soluzioni alternative. Il DRP \xE8 verificato\
            \ e aggiornato ad hoc in caso di cambiamenti sostanziali, ma almeno una\
            \ volta all\u2019anno."
        de:
          description: "Das Institut definiert als Teil des BCP mindestens einen DRP.\
            \ Wenn kritische Prozesse oder Teile davon ausgelagert sind, ber\xFCcksichtigt\
            \ der DRP die externen Abh\xE4ngigkeiten und vertraglichen Regelungen\
            \ sowie alternative L\xF6sungen. Der DRP wird ad hoc im Falle wesentlicher\
            \ \xC4nderungen und mindestens j\xE4hrlich \xFCberpr\xFCft und aktualisiert."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:89
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '89'
      description: "Dans les situations de crise, un \xE9tat-major de crise est charg\xE9\
        \ de g\xE9rer celle-ci jusqu\u2019au r\xE9tablissement de la situation. Les\
        \ \xE9v\xE9nements d\xE9clencheurs d\u2019une crise et les t\xE2ches, comp\xE9\
        tences et responsabilit\xE9s de l\u2019\xE9tat-major de crise doivent \xEA\
        tre r\xE9gl\xE9s au pr\xE9alable. L\u2019organisation de crise doit \xEAtre\
        \ ax\xE9e sur l\u2019activit\xE9 commerciale et la structure g\xE9ographique\
        \ de l\u2019\xE9tablissement. L\u2019accessibilit\xE9 des responsables en\
        \ situation de crise doit \xEAtre garantie."
      translations:
        en:
          description: In crisis situations, a crisis unit shall take on the task
            of crisis management until order is restored. The conditions triggering
            a crisis and the tasks, competencies and responsibilities of the crisis
            unit must be regulated in advance and the crisis organisation aligned
            to the business activities and geographical structure of the institution.
            The availability of responsible persons in crisis situations must be ensured.
        it:
          description: "Nelle situazioni di crisi, uno stato maggiore di crisi \xE8\
            \ incaricato di gestire la crisi fino al ripristino della situazione conforme.\
            \ Gli eventi che scatenano una crisi e i CCR dello stato maggiore di crisi\
            \ devono essere previamente regolamentati e l\u2019organizzazione di crisi\
            \ deve essere incentrata sull\u2019attivit\xE0 commerciale e la struttura\
            \ geografica dell\u2019istituto. Nelle situazioni di crisi deve essere\
            \ garantita la reperibilit\xE0 dei responsabili."
        de:
          description: "In Krisensituationen hat ein Krisenstab die Aufgabe der Krisenbew\xE4\
            ltigung bis zur Wiederherstellung eines ordnungsgem\xE4ssen Zustands zu\
            \ \xFCbernehmen. Die eine Krise ausl\xF6senden Gegebenheiten und die AKV\
            \ des Krisenstabs sind vorg\xE4ngig zu regeln, und die Krisenorganisation\
            \ auf die Gesch\xE4ftst\xE4tigkeit und geographische Struktur des Instituts\
            \ auszurichten. Die Erreichbarkeit der Verantwortungstr\xE4ger in Krisensituationen\
            \ ist sicherzustellen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:90
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '90'
      description: "L\u2019\xE9tablissement d\xE9finit une strat\xE9gie de communication\
        \ interne et externe en situation de crise."
      translations:
        en:
          description: The institution shall define a communication strategy for internal
            and external communication in crisis situations.
        it:
          description: "L\u2019istituto definisce una strategia di comunicazione interna\
            \ ed esterna nelle situazioni di crisi."
        de:
          description: "Das Institut definiert eine Kommunikationsstrategie f\xFC\
            r die interne und externe Kommunikation in Krisensituationen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:91
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '91'
      description: "La mise en \u0153uvre du BCP et du DRP ainsi que le bon fonctionnement\
        \ de l\u2019organisation de crise sont r\xE9guli\xE8rement soumis \xE0 des\
        \ tests. \xC0 cet effet, l\u2019\xE9tablissement met en \u0153uvre une planification\
        \ syst\xE9matique afin de garantir une couverture r\xE9guli\xE8re. Diff\xE9\
        rentes mani\xE8res de proc\xE9der au test avec des degr\xE9s d\u2019intensit\xE9\
        \ et d\u2019efficacit\xE9 variables peuvent \xEAtre choisies, comme des exercices\
        \ table-top."
      translations:
        en:
          description: The implementation of the BCP and DRP as well as the functioning
            of the crisis organisation must be regularly evaluated through tests.
            Systematic plans shall be drawn up for this, which ensure regular coverage.
            Various means of testing of varying intensity and effectiveness can be
            selected including, for example, tabletop exercises.
        it:
          description: "L\u2019attuazione del BCP e del DRP e la funzionalit\xE0 dell\u2019\
            organizzazione di crisi sono regolarmente valutate. A tal fine l\u2019\
            istituto appronta una pianificazione sistematica dei test che garantisce\
            \ la copertura regolare. \xC8 possibile scegliere diverse modalit\xE0\
            \ di test con gradi di intensit\xE0 e di efficacia variabile, per esempio\
            \ gli esercizi table-top."
        de:
          description: "Mit Tests wird die Umsetzung der BCP und des DRP sowie die\
            \ Funktionsf\xE4higkeit der Krisenorganisation regelm\xE4ssig beurteilt.\
            \ Daf\xFCr wird eine systematische Planung erstellt, die die regelm\xE4\
            ssige Abdeckung sicherstellt. Es k\xF6nnen verschiedene Vorgehen zum Testen\
            \ von unterschiedlicher Intensit\xE4t und Effektivit\xE4t gew\xE4hlt werden,\
            \ so auch bspw. Table-Top-\xDCbungen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:92
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '92'
      description: "Les principales mesures du BCP et du DRP ainsi que l\u2019organisation\
        \ de crise sont test\xE9es au moins une fois par ann\xE9e."
      translations:
        en:
          description: The most important measures according to the BCP and DRP and
            the crisis organisation must be tested at least once a year.
        it:
          description: "Le principali misure in conformit\xE0 al BCP e al DRP e l\u2019\
            organizzazione di crisi sono testate almeno una volta all\u2019anno."
        de:
          description: "Die gem\xE4ss BCP und DRP wichtigsten Massnahmen und die Krisenorganisation\
            \ werden mindestens einmal j\xE4hrlich getestet."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:93
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '93'
      description: "Les parties prenantes, y compris celles issues des fonctions IT\
        \ et des fonctions sp\xE9cialis\xE9es, participent aux tests pour se familiariser\
        \ aux processus de r\xE9tablissement."
      translations:
        en:
          description: Relevant stakeholder groups, including those in specialist
            and IT functions, shall take part in the tests in order to familiarise
            themselves with the recovery processes.
        it:
          description: I principali stakeholder, compresi quelli che svolgono funzioni
            specialistiche e IT, partecipano ai test per acquisire dimestichezza con
            i processi di ripristino.
        de:
          description: Relevante Anspruchsgruppen, einschliesslich diejenigen in Fach-
            und IT-Funktionen, nehmen an den Tests teil, um sich mit den Wiederherstellungsprozessen
            vertraut zu machen.
    - urn: urn:intuitem:risk:req_node:finma-2023-01:94
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '94'
      description: "Les tests comprennent diff\xE9rents sc\xE9narios graves mais plausibles,\
        \ et prennent en compte les d\xE9pendances en mati\xE8re de r\xE9tablissement,\
        \ y compris celles qui existent \xE0 l\u2019\xE9gard de tiers internes ou\
        \ externes."
      translations:
        en:
          description: The tests shall encompass various severe but plausible scenarios
            and take into account recovery dependencies, including those that exist
            with internal or external third parties.
        it:
          description: "I test comprendono scenari di diversa gravit\xE0, ma plausibili\
            \ e considerano le dipendenze ai fini del ripristino, comprese quelle\
            \ nei confronti di terzi interni o esterni."
        de:
          description: "Die Tests umfassen verschiedene schwerwiegende, aber plausible\
            \ Szenarien und ber\xFCcksichtigen Wiederherstellungsabh\xE4ngigkeiten,\
            \ einschliesslich solcher, die zu internen oder externen Drittparteien\
            \ bestehen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:95
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '95'
      description: "Des comptes rendus r\xE9guliers informent l\u2019organe responsable\
        \ de la haute direction et la direction des activit\xE9s de test et de v\xE9\
        rification effectu\xE9es ainsi que de leurs r\xE9sultats. Ils pr\xE9sentent\
        \ clairement les priorit\xE9s adopt\xE9es (par ex. priorisation des processus\
        \ critiques requis pour l\u2019ex\xE9cution des fonctions critiques selon\
        \ le Cm 14) et les lacunes identifi\xE9es dans la couverture d\u2019autres\
        \ processus critiques."
      translations:
        en:
          description: Regular reporting to the board of directors and the executive
            board shall include information about the testing and review activities
            carried out and their results. It shall clearly show prioritisations made
            (e.g. prioritisation of the critical processes necessary for the provision
            of the critical functions in accordance with margin no. 14) and recognised
            gaps in the coverage of other critical processes.
        it:
          description: "Resoconti periodici all\u2019organo preposto all\u2019alta\
            \ direzione e alla direzione informano in merito alle attivit\xE0 di test\
            \ e di verifica condotte e ai relativi risultati. Presentano chiaramente\
            \ le priorit\xE0 adottate (p. es. gerarchia delle priorit\xE0 dei processi\
            \ critici necessari per l\u2019esecuzione delle funzioni critiche secondo\
            \ il nm. 14) e le lacune individuate nella copertura di altri processi\
            \ critici."
        de:
          description: "Eine regelm\xE4ssige Berichterstattung an das Oberleitungsorgan\
            \ und die Gesch\xE4ftsleitung informiert \xFCber die durchgef\xFChrten\
            \ Test- und \xDCberpr\xFCfungsaktivit\xE4ten und deren Ergebnisse. Sie\
            \ zeigt vorgenommene Priorisierungen (bspw. Priorisierung der f\xFCr die\
            \ Erbringung der kritischen Funktionen nach Rz 14 ben\xF6tigten kritischen\
            \ Prozesse) und erkannte L\xFCcken in der Abdeckung anderer kritischer\
            \ Prozesse klar auf."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:96
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:5
      ref_id: '96'
      description: "Les collaborateurs ainsi que les membres de l\u2019organisation\
        \ de crise doivent \xEAtre suffisamment form\xE9s au sujet de leurs t\xE2\
        ches, comp\xE9tences et responsabilit\xE9s qui d\xE9coulent des diverses activit\xE9\
        s BCM. Cela s\u2019applique aussi bien lors de l\u2019entr\xE9e en fonction\
        \ de nouveaux membres du personnel qu\u2019en ce qui concerne les formations\
        \ r\xE9guli\xE8res."
      translations:
        en:
          description: The employees and members of the crisis organisation shall
            be adequately trained in their tasks, competencies and responsibilities
            resulting from the various BCM activities, both when new employees join
            the institution and as part of regular training.
        it:
          description: "I collaboratori e i membri dell\u2019organizzazione di crisi\
            \ sono adeguatamente preparati riguardo ai loro CCR riconducibili alle\
            \ diverse attivit\xE0 di BCM sia al momento dell\u2019entrata in servizio\
            \ sia nel corso delle formazioni periodiche."
        de:
          description: "Die Mitarbeitenden sowie die Mitglieder der Krisenorganisation\
            \ werden hinsichtlich ihrer AKV, die sich aus den diversen BCM Aktivit\xE4\
            ten ergeben, ausreichend geschult, sowohl bei Neueintritt von Mitarbeitenden\
            \ als auch als Teil regelm\xE4ssiger Schulungen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels
      name: "F. Gestion des risques li\xE9s aux activit\xE9s de service transfronti\xE8\
        res"
      translations:
        en:
          name: F. Management of risks from cross-border service business
        it:
          name: F. Gestione dei rischi afferenti alle prestazioni di servizio transfrontaliere
        de:
          name: "F. Management der Risiken aus dem grenz\xFCberschreitenden Dienstleistungsgesch\xE4\
            ft"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:97
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:6
      ref_id: '97'
      description: "Quand des \xE9tablissements ou leurs filiales fournissent des\
        \ services ou distribuent des produits financiers dans le cadre d\u2019op\xE9\
        rations transfronti\xE8res, les risques r\xE9sultant d\u2019une application\
        \ des l\xE9gislations \xE9trang\xE8res (droit fiscal, droit p\xE9nal, l\xE9\
        gislation en mati\xE8re de blanchiment d\u2019argent, etc.) doivent \xE9galement\
        \ \xEAtre identifi\xE9s, limit\xE9s et contr\xF4l\xE9s de fa\xE7on appropri\xE9\
        e."
      translations:
        en:
          description: If institutions or their group companies provide services or
            distribute financial products cross-border, then the risks resulting from
            the application of foreign legislation (tax, criminal, anti-money laundering
            legislation etc.) must also be adequately identified, limited and controlled.
        it:
          description: "Se gli istituti o le societ\xE0 del gruppo forniscono servizi\
            \ o distribuiscono prodotti finanziari oltrefrontiera, anche i rischi\
            \ risultanti dall\u2019applicazione delle normative estere (diritto fiscale,\
            \ penale, in materia di riciclaggio di denaro ecc.) devono essere adeguatamente\
            \ rilevati, limitati e controllati."
        de:
          description: "Wenn Institute oder ihre Gruppengesellschaften grenz\xFCberschreitend\
            \ Dienstleistungen erbringen oder Finanzprodukte vertreiben, sind auch\
            \ die aus einer Anwendung ausl\xE4ndischer Rechtsvorschriften (Steuer-,\
            \ Straf-, Geldw\xE4schereirecht usw.) resultierenden Risiken angemessen\
            \ zu erfassen, begrenzen und kontrollieren."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:98
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:6
      ref_id: '98'
      description: "Les \xE9tablissements soumettent leurs activit\xE9s de services\
        \ transfronti\xE8res ainsi que la distribution transfronti\xE8re de produits\
        \ financiers \xE0 une analyse approfondie des conditionscadres juridiques\
        \ et des risques correspondants. Sur la base de cette analyse, les \xE9tablissements\
        \ prennent les mesures strat\xE9giques et organisationnelles n\xE9cessaires\
        \ \xE0 l\u2019\xE9limination et \xE0 la minimisation des risques et les adaptent\
        \ au fur et \xE0 mesure \xE0 l\u2019\xE9volution de la situation. Ils poss\xE8\
        dent notamment les connaissances sp\xE9cialis\xE9es requises sp\xE9cifiques\
        \ aux pays en question, d\xE9finissent des mod\xE8les de prestations sp\xE9\
        cifiques aux pays desservis, forment le personnel et garantissent le respect\
        \ des prescriptions gr\xE2ce \xE0 des mesures organisationnelles, des directives\
        \ et des mod\xE8les de r\xE9mun\xE9ration et de sanction correspondants."
      translations:
        en:
          description: The institutions shall conduct a thorough analysis of their
            cross-border service business and cross-border distribution of financial
            products, examining the legal framework and associated risks. Based on
            this analysis, the institutions shall take the necessary strategic and
            organisational measures to eliminate and minimise risk, and continuously
            adapt these to changing conditions. In particular, they shall have the
            necessary country-specific specialist knowledge, define specific service
            models for the countries served, train employees and ensure compliance
            with the guidelines through appropriate organisational measures, directives,
            remuneration and sanctions models.
        it:
          description: "Gli istituti sottopongono le loro prestazioni di servizio\
            \ transfrontaliere e la distribuzione transfrontaliera di prodotti finanziari\
            \ a un\u2019analisi approfondita delle condizioni quadro giuridiche e\
            \ dei rischi correlati. Sulla base di questa analisi, gli istituti adottano\
            \ le necessarie misure strategiche e organizzative volte a eliminare e\
            \ minimizzare i rischi e le adeguano continuamente all\u2019evolversi\
            \ della situazione. In particolare dispongono delle necessarie competenze\
            \ specialistiche specifiche ai vari Paesi, definiscono specifici modelli\
            \ di servizi per i Paesi in cui li erogano, formano i collaboratori e\
            \ garantiscono l\u2019osservanza delle prescrizioni mediante misure organizzative,\
            \ direttive, modelli retributivi e sanzionatori."
        de:
          description: "Die Institute unterziehen ihr grenz\xFCberschreitendes Dienstleistungsgesch\xE4\
            ft sowie den grenz\xFCberschreitenden Vertrieb von Finanzprodukten einer\
            \ vertieften Analyse der rechtlichen Rahmenbedingungen und der damit verbundenen\
            \ Risiken. Gest\xFCtzt auf diese Analyse treffen die Institute die erforderlichen\
            \ strategischen und organisatorischen Massnahmen zur Risikoeliminierung\
            \ und -minimierung und passen diese laufend ge\xE4nderten Bedingungen\
            \ an. Insbesondere verf\xFCgen sie \xFCber das notwendige l\xE4nderspezifische\
            \ Fachwissen, definieren spezifische Dienstleistungsmodelle f\xFCr die\
            \ bedienten L\xE4nder, schulen die Mitarbeitenden und stellen durch entsprechende\
            \ organisatorische Massnahmen, Weisungen, Verg\xFCtungs- und Sanktionsmodelle\
            \ die Einhaltung der Vorgaben sicher."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:99
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:6
      ref_id: '99'
      description: "Les risques g\xE9n\xE9r\xE9s par les g\xE9rants de fortune ind\xE9\
        pendants, les interm\xE9diaires et autres prestataires doivent \xE9galement\
        \ \xEAtre pris en compte. En cons\xE9quence, ces partenaires doivent \xEA\
        tre choisis et instruits avec soin."
      translations:
        en:
          description: The risks generated by external asset managers, intermediaries
            and other service providers must also be taken into account. Accordingly,
            a diligent approach must be adopted in selecting and instructing these
            partners.
        it:
          description: "\xC8 necessario considerare anche i rischi generati da gestori\
            \ patrimoniali indipendenti, intermediari e altri fornitori di servizi.\
            \ I partner devono essere scelti e formati con l\u2019opportuna accuratezza."
        de:
          description: "Auch die durch externe Verm\xF6gensverwalter, Vermittler und\
            \ andere Dienstleister generierten Risiken sind zu ber\xFCcksichtigen.\
            \ Entsprechend ist bei der Auswahl und Instruktion dieser Partner sorgf\xE4\
            ltig vorzugehen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:100
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:iv.-gestion-des-risques-operationnels:6
      ref_id: '100'
      description: "Ce principe s\u2019applique \xE9galement aux cas dans lesquels\
        \ une filiale, une succursale ou une entit\xE9 similaire d\u2019un \xE9tablissement\
        \ financier suisse domicili\xE9e \xE0 l\u2019\xE9tranger offre des services\
        \ transfronti\xE8res \xE0 des clients."
      translations:
        en:
          description: This basic approach also covers situations where a foreign-based
            subsidiary, branch or similar serves clients of a Swiss financial institution
            cross-border.
        it:
          description: "Questo principio si applica pure alle situazioni in cui una\
            \ filiale, una succursale o un\u2019entit\xE0 simile con sede all\u2019\
            estero di un istituto finanziario svizzero fornisce servizi transfrontalieri\
            \ ai clienti."
        de:
          description: "Von diesem Grundsatz werden auch Konstellationen erfasst,\
            \ in denen eine im Ausland ans\xE4ssige Tochtergesellschaft, Zweigniederlassung\
            \ oder dergleichen eines Schweizer Finanzinstituts Kunden grenz\xFCberschreitend\
            \ bedient."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      assessable: false
      depth: 1
      name: "V. Garantie de la r\xE9silience op\xE9rationnelle"
      translations:
        en:
          name: V. Ensuring operational resilience
        it:
          name: V. Garanzia della resilienza operativa
        de:
          name: V. Sicherstellung der operationellen Resilienz
    - urn: urn:intuitem:risk:req_node:finma-2023-01:101
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '101'
      description: "L\u2019\xE9tablissement identifie ses fonctions critiques et leurs\
        \ tol\xE9rances aux interruptions. Celles-ci sont approuv\xE9es par l\u2019\
        organe responsable de la haute direction. En outre, l\u2019organe responsable\
        \ de la haute direction approuve et surveille r\xE9guli\xE8rement la proc\xE9\
        dure visant \xE0 garantir la r\xE9silience op\xE9rationnelle."
      translations:
        en:
          description: The institution shall identify its critical functions and their
            tolerances for disruption. These must be approved by the board of directors.
            The board of directors must also regularly approve and monitor the approach
            for ensuring operational resilience.
        it:
          description: "L\u2019istituto identifica le sue funzioni critiche e i rispettivi\
            \ limiti di tolleranza alle interruzioni, che sono approvati dall\u2019\
            organo preposto all\u2019alta direzione. Inoltre, l\u2019organo preposto\
            \ all\u2019alta direzione approva e sorveglia regolarmente la procedura\
            \ volta a garantire la resilienza operativa."
        de:
          description: "Das Institut identifiziert seine kritischen Funktionen und\
            \ deren Unterbrechungstoleranzen. Diese werden vom Oberleitungsorgan genehmigt.\
            \ Ausserdem genehmigt und \xFCberwacht das Oberleitungsorgan regelm\xE4\
            ssig das Vorgehen zur Sicherstellung der operationellen Resilienz."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:102
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '102'
      description: "L\u2019\xE9tablissement prend des mesures pour garantir la r\xE9\
        silience op\xE9rationnelle en tenant compte de sc\xE9narios graves, mais plausibles[25]."
      annotation: "[25] Il ne peut \xEAtre exclu que certains sc\xE9narios ne puissent\
        \ pas \xEAtre g\xE9r\xE9s sans intervention de l\u2019\xC9tat (par ex. pand\xE9\
        - mies, guerres, p\xE9nuries d\u2019\xE9lectricit\xE9 durables). Pour de tels\
        \ sc\xE9narios, l\u2019\xE9tablissement doit effectuer des travaux pr\xE9\
        - paratoires pour renforcer sa r\xE9silience op\xE9rationnelle dans le cadre\
        \ de ses possibilit\xE9s."
      translations:
        en:
          description: The institution shall take measures to ensure operational resilience,
            taking into account severe but plausible scenarios[25].
          annotation: '[25] It cannot be ruled out that some scenarios cannot be managed
            without state involvement (e.g. pandemics, wars, long-term power shortages).
            For such scenarios, preliminary work must be carried out by the institution
            for the purpose of strengthening its operational resilience to these scenarios
            in so far as its means allow.'
        it:
          description: "L\u2019istituto adotta misure per garantire la resilienza\
            \ operativa considerando scenari gravi, ma plausibili[25]."
          annotation: "[25] Non si pu\xF2 escludere che alcuni scenari non possano\
            \ essere fronteggiati senza il coinvolgimento dello Stato (p. es. pandemie,\
            \ guerre, persistente penuria di energia). In tali casi l\u2019istituto\
            \ deve svolgere lavori preliminari volti a raffor- zare la sua resilienza\
            \ operativa nei confronti di questi scenari nell\u2019ambito delle sue\
            \ possibilit\xE0."
        de:
          description: "Das Institut trifft Massnahmen zur Sicherstellung der operationellen\
            \ Resilienz unter Ber\xFCcksichtigung schwerwiegender, aber plausibler\
            \ Szenarien[25]."
          annotation: "[25] Es kann nicht ausgeschlossen werden, dass manche Szenarien\
            \ nicht ohne Einbezug des Staates bew\xE4ltigt werden k\xF6nnen (bspw.\
            \ Pandemien, Kriege, langanhaltende Strommangellage). F\xFCr solche Szenarien\
            \ sind durch das Institut Vorarbeiten zwecks St\xE4rkung seiner operationellen\
            \ Resilienz gegen\xFCber diesen Szenarien im Rahmen seiner M\xF6g- lichkeiten\
            \ zu leisten."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:103
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '103'
      description: "Les fonctions critiques et leurs tol\xE9rances aux interruptions\
        \ au sens du Cm 14 doivent \xEAtre approuv\xE9es par l\u2019organe responsable\
        \ de la haute direction au moins une fois par ann\xE9e."
      translations:
        en:
          description: The critical functions and the associated tolerances for disruption
            according to margin no. 14 must be approved at least annually by the board
            of directors.
        it:
          description: "Le funzioni critiche e i correlati limiti di tolleranza alle\
            \ interruzioni secondo il nm. 14 devono essere approvati dall\u2019organo\
            \ preposto all\u2019alta direzione almeno una volta all\u2019anno."
        de:
          description: "Die kritischen Funktionen und die damit verbundenen Unterbrechungstoleranzen\
            \ nach Rz 14 sind mindestens j\xE4hrlich durch das Oberleitungsorgan zu\
            \ genehmigen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:104
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '104'
      description: "L\u2019\xE9tablissement coordonne les composantes pertinentes\
        \ d\u2019une gestion des risques globale, comme la gestion des risques op\xE9\
        rationnels, y compris la gestion des risques TIC et des cyberrisques, le business\
        \ continuity management, la gestion des externalisations (outsourcing ; cf.\
        \ circulaire FINMA 2018/3 \xAB Outsourcing \xBB) et le plan d\u2019urgence\
        \ (chapitre VI), pour qu\u2019elles contribuent \xE0 renforcer la r\xE9silience\
        \ op\xE9rationnelle de l\u2019\xE9tablissement. Cela inclut un \xE9change\
        \ appropri\xE9 des informations pertinentes entre ces diff\xE9rents domaines."
      translations:
        en:
          description: "The institution shall coordinate the relevant components of\
            \ a comprehensive risk management framework, such as operational risk\
            \ management, including ICT and cyber risk management, business continuity\
            \ management, outsourcing management (cf. FINMA Circular 2018/3 \u201C\
            Outsourcing\u201D), and emergency planning (Chapter VI.) such that these\
            \ contribute to strengthening the institution\u2019s operational resilience.\
            \ This includes an appropriate exchange of relevant information between\
            \ these various areas."
        it:
          description: "L\u2019istituto coordina le principali componenti di una gestione\
            \ completa del rischio, per esempio la gestione dei rischi operativi,\
            \ inclusa la gestione del rischi TIC e dei cyber-rischi, il business continuity\
            \ management, la gestione delle esternalizzazioni (outsourcing; cfr. Circ.\
            \ FINMA 18/3 \xABOutsourcing\xBB) e la pianificazione d\u2019emergenza\
            \ (capitolo VI), affinch\xE9 contribuiscano a rafforzare la resilienza\
            \ operativa dell\u2019istituto. Ci\xF2 include uno scambio adeguato delle\
            \ informazioni rilevanti tra i diversi ambiti."
        de:
          description: "Das Institut koordiniert die relevanten Bestandteile eines\
            \ umfassenden Risikomanagements wie beispielsweise das Management der\
            \ operationellen Risiken, inklusive das Management der IKT- und Cyber-Risiken,\
            \ das Business Continuity Management, das Management von Auslagerungen\
            \ (Outsourcing; vgl. das FINMA-Rundschreiben 2018/3 \u201EOutsourcing\u201C\
            ), und die Notfallplanung (Kapitel VI) dahingehend, dass diese zu einer\
            \ St\xE4rkung der operationellen Resilienz des Instituts beitragen. Dies\
            \ beinhaltet einen angemessenen Austausch relevanter Informationen zwischen\
            \ diesen verschiedenen Bereichen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:105
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '105'
      description: "La direction et l\u2019organe responsable de la haute direction\
        \ doivent recevoir au moins une fois par ann\xE9e des rapports sur la r\xE9\
        silience op\xE9rationnelle ainsi qu\u2019en cas de faiblesses de contr\xF4\
        le importantes ou d\u2019incidents qui menacent la r\xE9silience op\xE9rationnelle."
      translations:
        en:
          description: Reporting to the board of directors and the executive board
            must take place annually and in the event of significant control weaknesses
            or incidents that jeopardise operational resilience.
        it:
          description: "L\u2019organo preposto all\u2019alta direzione e la direzione\
            \ devono ricevere almeno una volta all\u2019anno un resoconto sulla resilienza\
            \ operativa, nonch\xE9 in caso di lacune sostanziali nei controlli o di\
            \ incidenti che compromettono la resilienza operativa."
        de:
          description: "Zur operationellen Resilienz hat mindestens j\xE4hrlich eine\
            \ Berichterstattung an das Oberleitungsorgan und die Gesch\xE4ftsleitung\
            \ zu erfolgen, sowie bei wesentlichen Kontrollschw\xE4chen oder Vorf\xE4\
            llen, die die operationelle Resilienz gef\xE4hrden."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:106
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '106'
      description: "Pour les fonctions critiques, les menaces internes et externes\
        \ ainsi que l\u2019exploitation correspondante des vuln\xE9rabilit\xE9s sont\
        \ identifi\xE9es et \xE9valu\xE9es. Les risques op\xE9rationnels en r\xE9\
        sultant sont identifi\xE9s, \xE9valu\xE9s, limit\xE9s et surveill\xE9s dans\
        \ le cadre de la gestion des risques op\xE9rationnels."
      translations:
        en:
          description: Internal and external threats and the corresponding exploitation
            of vulnerabilities shall be identified and assessed for the critical functions.
            The resulting operational risks shall be identified, assessed, limited
            and monitored as part of operational risk management.
        it:
          description: "Per le funzioni critiche si procede a identificare e valutare\
            \ le minacce interne ed esterne come pure lo sfruttamento delle vulnerabilit\xE0\
            . I risultanti rischi operativi sono identificati, valutati, limitati\
            \ e monitorati nell\u2019ambito della loro gestione."
        de:
          description: "F\xFCr die kritischen Funktionen werden interne und externe\
            \ Bedrohungen sowie die entsprechende Ausn\xFCtzung von Verwundbarkeiten\
            \ identifiziert und beurteilt. Die daraus resultierenden operationellen\
            \ Risiken werden im Rahmen des Managements der operationellen Risiken\
            \ identifiziert, beurteilt, begrenzt und \xFCberwacht."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:107
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '107'
      description: "L\u2019\xE9tablissement constitue un inventaire de ses fonctions\
        \ critiques, qui doit \xEAtre revu et mis \xE0 jour au moins une fois par\
        \ ann\xE9e. Cet inventaire comporte les tol\xE9rances aux interruptions des\
        \ fonctions critiques ainsi que les connexions et les d\xE9pendances entre\
        \ les processus critiques n\xE9cessaires et leurs ressources[26] pour ex\xE9\
        cuter les fonctions critiques."
      annotation: "[26] Y compris les composantes de l\u2019inventaire pertinentes\
        \ pour les fonctions critiques selon le Cm 53"
      translations:
        en:
          description: The institution shall keep an inventory of its critical functions,
            which is reviewed and updated at least annually. This inventory shall
            contain the tolerances for disruption of the critical functions, as well
            as connections and dependencies between the necessary critical processes
            and their resources[26] for providing the critical functions.
          annotation: '[26] Including the ICT assets of the inventory in accordance
            with margin no. 53 relevant to the critical functions.'
        it:
          description: "L\u2019istituto tiene un inventario delle sue funzioni critiche\
            \ da verificare e aggiornare almeno una volta all\u2019anno. Tale inventario\
            \ contiene le tolleranze alle interruzioni delle funzioni critiche, nonch\xE9\
            \ i collegamenti e le dipendenze tra i processi critici necessari e le\
            \ relative risorse[26] per svolgere le funzioni critiche."
          annotation: "[26] Incluse le componenti dell\u2019inventario rilevanti per\
            \ le funzioni critiche secondo il nm. 53."
        de:
          description: "Das Institut f\xFChrt ein Inventar seiner kritischen Funktionen,\
            \ das mindestens j\xE4hrlich \xFCberpr\xFCft und aktualisiert wird. Dieses\
            \ Inventar beinhaltet die Unterbrechungstoleranzen der kritischen Funktionen,\
            \ sowie die Verbindungen und Abh\xE4ngigkeiten zwischen den ben\xF6tigten\
            \ kritischen Prozessen und deren Ressourcen[26] zur Erbringung der kritischen\
            \ Funktionen."
          annotation: "[26] Inklusive die f\xFCr die kritischen Funktionen relevanten\
            \ Bestandteile des Inventars nach Rz 53"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:108
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '108'
      description: "Pour les fonctions critiques, l\u2019\xE9tablissement documente\
        \ au minimum les risques op\xE9rationnels importants et les contr\xF4les cl\xE9\
        s."
      translations:
        en:
          description: As a minimum, the significant operational risks and the key
            controls must be documented for the critical functions.
        it:
          description: Per le funzioni critiche sono documentati almeno i rischi operativi
            essenziali e i controlli chiave.
        de:
          description: "F\xFCr die kritischen Funktionen werden mindestens die wesentlichen\
            \ operationellen Risiken und die Schl\xFCsselkontrollen dokumentiert."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:109
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '109'
      description: "Les fonctions critiques et les processus critiques et ressources\
        \ n\xE9cessaires \xE0 cet effet sont couverts par les BCP selon le chapitre\
        \ IV lettre E."
      translations:
        en:
          description: The critical functions and the critical processes and resources
            required for these shall be covered by BCPs pursuant to Chapter IV./E.
        it:
          description: "Le funzioni critiche nonch\xE9 le risorse e i processi critici\
            \ necessari alla loro esecuzione sono coperti dai BCP secondo il capitolo\
            \ IV. lettera e."
        de:
          description: "Die kritischen Funktionen und die daf\xFCr ben\xF6tigten kritischen\
            \ Prozesse und Ressourcen sind durch BCPs nach Kapitel IV Bst. E abgedeckt."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:110
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '110'
      description: "La capacit\xE9 \xE0 ex\xE9cuter des fonctions critiques dans les\
        \ limites de leurs tol\xE9rances aux interruptions en cas de sc\xE9narios\
        \ graves mais plausibles est r\xE9guli\xE8rement test\xE9e ou exerc\xE9e.\
        \ Il s\u2019agit notamment de sc\xE9narios qui se distinguent des interruptions\
        \ br\xE8ves et plut\xF4t limit\xE9es en se d\xE9marquant par des interruptions\
        \ de longue dur\xE9e (par ex. plusieurs mois) et la d\xE9faillance de ressources\
        \ fondamentales[27]. Les tests ou exercices sont con\xE7us de sorte \xE0 ne\
        \ pas menacer fondamentalement l\u2019\xE9tablissement."
      annotation: "[27] Par ex. pand\xE9mie, p\xE9nurie d\u2019\xE9lectricit\xE9,\
        \ d\xE9faillance prolong\xE9e en raison de l\u2019insolvabilit\xE9 d\u2019\
        un prestataire important (comme exemple de stressed exit d\u2019un prestataire)\
        \ ou interdiction persistante de la part de gouvernements \xE9trangers aux\
        \ fournisseurs de cloud ou d'autres prestataires bas\xE9s \xE0 l'\xE9tranger\
        \ de servir des entreprises suisses."
      translations:
        en:
          description: The ability to provide critical functions within their tolerance
            for disruption in severe but plausible scenarios shall be tested or exercised
            regularly. These also include scenarios that differ from shorter and more
            limited interruptions and that are characterised by a longer duration
            (e.g. over several months) and a lack of basic resources[27]. The tests
            or exercises must be designed in such a way that they do not fundamentally
            endanger the institution.
          annotation: '[27] Examples include a pandemic, a power shortage, a prolonged
            downtime resulting from the insolvency of a key service provider (as an
            example of a stressed exit by a service provider) or a long-term prohibition
            of foreign governments, according to which foreign-based cloud providers
            or other service providers are no longer permitted to serve Swiss firms.'
        it:
          description: "La capacit\xE0 di eseguire funzioni critiche entro i loro\
            \ limiti di tolleranza alle interruzioni in scenari gravi, ma plausibili\
            \ \xE8 regolarmente testata o esercitata. Ci\xF2 comprende anche gli scenari\
            \ che si differenziano dalle interruzioni brevi e con un effetto piuttosto\
            \ limitato e sono caratterizzati da una durata prolungata (p. es. diversi\
            \ mesi) e dall\u2019insufficienza delle risorse fondamentali[27]. I test\
            \ e gli esercizi sono configurati in modo tale da non costituire una minaccia\
            \ sostanziale per l\u2019istituto."
          annotation: "[27] Tra gli altri, una pandemia, una penuria di energia, un\u2019\
            insufficienza prolungata ascrivibile all\u2019insolvenza di un impor-\
            \ tante fornitore di servizi (p. es. con conseguente ritiro da un accordo\
            \ di outsourcing) o un divieto prolungato da parte di governi stranieri,\
            \ in base al quale i fornitori di servizi cloud o altri fornitori di servizi\
            \ con sede all\u2019estero non sono pi\xF9 autorizzati a erogare servizi\
            \ alle societ\xE0 svizzere."
        de:
          description: "Die F\xE4higkeit, kritische Funktionen innerhalb ihrer Unterbrechungstoleranz\
            \ unter schwerwiegenden, aber plausiblen Szenarien erbringen zu k\xF6\
            nnen, wird regelm\xE4ssig getestet oder ge\xFCbt. Dazu geh\xF6ren auch\
            \ Szenarien, die sich von k\xFCrzeren und eher begrenzt wirkenden Unterbrechungen\
            \ unterscheiden und sich durch eine l\xE4ngere Zeitdauer (bspw. \xFCber\
            \ Monate hinweg) und einen Ausfall grundlegender Ressourcen auszeichnen[27].\
            \ Die Tests bzw. \xDCbungen werden dabei so gestaltet sein, dass sie das\
            \ Institut nicht grundlegend gef\xE4hrden."
          annotation: "[27] Beispiele sind eine Pandemie, eine Strommangellage, ein\
            \ l\xE4ngerer Ausfall durch die Insolvenz eines wichtigen Dienstleisters\
            \ (als Beispiel f\xFCr einen Stressed Exit eines Dienstleisters) oder\
            \ ein l\xE4ngeranhaltendes Verbot ausl\xE4ndi- scher Regierungen, gem\xE4\
            ss dem auslandsbasierte Cloud-Anbieter oder andere Dienstleister schweizerische\
            \ Firmen nicht mehr bedienen d\xFCrfen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:111
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:v.-garantie-de-la-resilience-operationnelle
      ref_id: '111'
      description: "S\u2019agissant des banques d\u2019importance syst\xE9mique, le\
        \ BCP, le DRP et l\u2019organisation en cas de crise selon le chapitre IV\
        \ lettre E, pertinents pour la poursuite des fonctions critiques selon le\
        \ Cm 14, doivent \xEAtre coordonn\xE9s avec leur plan d\u2019urgence selon\
        \ le chapitre VI."
      translations:
        en:
          description: For systemically important banks, the BCP, DRP and the crisis
            organisation in accordance with Chapter IV./E. that are relevant for the
            continuation of the critical functions in accordance with margin no. 14
            must be coordinated with the emergency planning in accordance with Chapter
            VI.
        it:
          description: "Per le banche di rilevanza sistemica, il BCP, il DRP e l\u2019\
            organizzazione di crisi in conformit\xE0 al capitolo IV. lett. E., rilevanti\
            \ per il mantenimento delle funzioni critiche secondo il nm. 14, devono\
            \ essere coordinati con la pianificazione d\u2019emergenza in conformit\xE0\
            \ al capitolo VI."
        de:
          description: "F\xFCr systemrelevante Banken sind die f\xFCr die Weiterf\xFC\
            hrung der kritischen Funktionen nach Rz 14 relevanten BCP, DRP und die\
            \ Krisenorganisation nach Kapitel IV Bst. E. mit der Notfallplanung nach\
            \ Kapitel VI abzustimmen."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:vi.-maintien-des-prestations-critiques-lors-de-la-liquidation-et-de-lassainissement-des-banques-dimportance-systemique
      assessable: false
      depth: 1
      name: "VI. Maintien des prestations critiques lors de la liquidation et de l\u2019\
        assainissement des banques d\u2019importance syst\xE9mique"
      translations:
        en:
          name: VI. Continuation of critical services during the resolution and recovery
            of systemically important banks
        it:
          name: VI. Mantenimento dei servizi critici in caso di liquidazione o risanamento
            delle banche di rilevanza sistemica
        de:
          name: "VI. Weiterf\xFChrung von kritischen Dienstleistungen bei der Abwicklung\
            \ und Sanierung von systemrelevanten Banken"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:112
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:vi.-maintien-des-prestations-critiques-lors-de-la-liquidation-et-de-lassainissement-des-banques-dimportance-systemique
      ref_id: '112'
      description: "Dans le cadre de leur plan d\u2019urgence, les banques d\u2019\
        importance syst\xE9mique prennent les mesures requises pour que leurs fonctions\
        \ d\u2019importance syst\xE9mique puissent \xEAtre poursuivies sans interruption\
        \ (art. 9 al. 2 let. d LB en lien avec les art. 60 ss OB). Elles identifient\
        \ les prestations requises pour la poursuite des fonctions d\u2019importance\
        \ syst\xE9mique en cas de liquidation, d\u2019assainissement ou de restructuration\
        \ (\xAB prestations critiques \xBB) et prennent les mesures n\xE9cessaires\
        \ \xE0 leur poursuite. Elles tiennent compte \xE0 cet \xE9gard des prescriptions\
        \ des organismes \xE9dictant les standards internationaux."
      translations:
        en:
          description: "As part of their emergency planning, systemically important\
            \ banks shall take the necessary measures for the uninterrupted continuation\
            \ of systemically important functions (Art. 9 para. 2 let. d BA in conjunction\
            \ with Art. 60 ff. BO). They shall identify the services necessary to\
            \ continue the systemically important functions in the event of resolution,\
            \ recovery or restructuring (\u201Ccritical services\u201D) and take the\
            \ measures necessary for their continuation. In doing so they shall take\
            \ into account the requirements issued by international standard setters\
            \ in this context."
        it:
          description: "Nel quadro della loro pianificazione d\u2019emergenza, le\
            \ banche di rilevanza sistemica adottano le misure necessarie per garantire\
            \ il mantenimento senza interruzioni delle funzioni di rilevanza sistemica\
            \ (art. 9 cpv. 2 lett. d LBCR in combinato disposto con l\u2019art. 60\
            \ segg. OBCR). Identificano i servizi essenziali per il mantenimento delle\
            \ funzioni di rilevanza sistemica in caso di liquidazione, risanamento\
            \ o ristrutturazione (\xABservizi critici\xBB) e adottano le misure necessarie\
            \ a tale scopo. Al riguardo tengono conto delle disposizioni emanate in\
            \ materia dagli organismi internazionali di standardizzazione."
        de:
          description: "Systemrelevante Banken treffen im Rahmen ihrer Notfallplanung\
            \ die f\xFCr die unterbruchsfreie Weiterf\xFChrung von systemrelevanten\
            \ Funktionen n\xF6tigen Massnahmen (Art. 9 Abs. 2 Bst. d BankG i.V.m.\
            \ Art. 60 ff. BankV). Sie identifizieren die zur Fortf\xFChrung der systemrelevanten\
            \ Funktionen im Fall der Abwicklung, Sanierung oder Restrukturierung notwendigen\
            \ Dienstleistungen (\u201Ekritische Dienstleistungen\u201C) und ergreifen\
            \ die f\xFCr deren Weiterf\xFChrung n\xF6tigen Massnahmen. Dabei ber\xFC\
            cksichtigen sie die in diesem Zusammenhang von internationalen Standardsettern\
            \ erlassenen Vorgaben."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:vii.-dispositions-transitoires
      assessable: false
      depth: 1
      name: VII. Dispositions transitoires
      translations:
        en:
          name: VII. Transitional provisions
        it:
          name: VII. Disposizioni transitorie
        de:
          name: "VII. \xDCbergangsbestimmungen"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:vii.-dispositions-transitoires:1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:vii.-dispositions-transitoires
      name: "A. \xC0 propos de la garantie de la r\xE9silience op\xE9rationnelle"
      translations:
        en:
          name: A. Concerning ensuring operational resilience
        it:
          name: A. Concernenti la garanzia della resilienza operativa
        de:
          name: A. Betreffend die Sicherstellung der operationellen Resilienz
    - urn: urn:intuitem:risk:req_node:finma-2023-01:113
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:vii.-dispositions-transitoires:1
      ref_id: '113'
      description: "L\u2019identification des fonctions critiques, la d\xE9finition\
        \ des tol\xE9rances aux interruptions et les premi\xE8res approbations selon\
        \ les Cm 101 et 103 ainsi que le premier rapport selon le Cm 105 sont attendus\
        \ d\xE8s l\u2019entr\xE9e en vigueur de la pr\xE9sente circulaire. Un d\xE9\
        lai transitoire d\u2019une ann\xE9e \xE0 compter de l\u2019entr\xE9e en vigueur\
        \ est applicable pour satisfaire aux exigences selon les Cm 106 \xE0 109 ainsi\
        \ qu\u2019effectuer les premiers tests selon le Cm 110. La garantie de la\
        \ r\xE9silience op\xE9rationnelle selon le Cm 102 ainsi que la satisfaction\
        \ des exigences selon les Cm 104 et 111 sont attendues dans un d\xE9lai transitoire\
        \ de deux ans."
      translations:
        en:
          description: "The identification of critical functions, the definition of\
            \ tolerances for disruption and initial approvals in accordance with margin\
            \ nos. 101 and 103, as well as initial reporting in accordance with margin\
            \ no. 105, will be expected following the Circular\u2019s entry into force.\
            \ A transitional period of one year from the entry into force shall apply\
            \ for fulfilling the requirements in accordance with margin nos. 106\u2013\
            109 and the first tests in accordance with margin no. 110. It is expected\
            \ that operational resilience will be ensured in accordance with margin\
            \ no. 102 and the requirements met in accordance with margin nos. 104\
            \ and 111 within a transitional period of two years."
        it:
          description: "L\u2019identificazione delle funzioni critiche, la definizione\
            \ della tolleranza alle interruzioni e le prime approvazioni in conformit\xE0\
            \ ai nm. 101 e 103, nonch\xE9 un primo resoconto secondo il nm. 105 sono\
            \ attesi a partire dall\u2019entrata in vigore della presente circolare.\
            \ Per l\u2019adempimento dei requisiti di cui ai nm. 106\u2013109 e i\
            \ primi test secondo il nm. 110 \xE8 accordato un termine transitorio\
            \ di un anno dall\u2019entrata in vigore. La garanzia della resilienza\
            \ operativa in conformit\xE0 al nm. 102 e l\u2019adempimento dei requisiti\
            \ di cui ai nm. 104 e 111 sono attesi entro un termine transitorio di\
            \ due anni."
        de:
          description: "Die Identifikation der kritischen Funktionen, die Definition\
            \ der Unterbrechungstoleranzen und erste Genehmigungen nach Rz 101 und\
            \ 103, sowie eine erste Berichterstattung nach Rz 105, werden ab Inkrafttreten\
            \ des Rundschreibens erwartet. F\xFCr die Erf\xFCllung der Anforderungen\
            \ nach den Rz 106\u2013109 sowie erste Tests nach Rz 110 gilt eine \xDC\
            bergangsfrist von einem Jahr ab Inkrafttreten. Die Sicherstellung der\
            \ operationellen Resilienz nach Rz 102 sowie die Erf\xFCllung der Anforderungen\
            \ nach den Rz 104 und 111 werden innert einer \xDCbergangsfrist von zwei\
            \ Jahren erwartet."
    - urn: urn:intuitem:risk:req_node:finma-2023-01:vii.-dispositions-transitoires:2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:vii.-dispositions-transitoires
      name: "B. \xC0 propos des exigences de fonds propres pour les risques op\xE9\
        rationnels"
      translations:
        en:
          name: B. Concerning the capital requirements for operational risk
        it:
          name: B. Concernenti le esigenze in materia di fondi propri per la copertura
            dei rischi operativi
        de:
          name: "B. Betreffend die Eigenmittelanforderungen f\xFCr operationelle Risiken"
    - urn: urn:intuitem:risk:req_node:finma-2023-01:114
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:finma-2023-01:vii.-dispositions-transitoires:2
      ref_id: '114'
      description: "Les exigences de fonds propres pour les risques op\xE9rationnels\
        \ au sens des art. 89 ss OFR s\u2019appuient sur les Cm 3 \xE0 116 de la circulaire\
        \ FINMA 2008/21 \xAB Risques op\xE9rationnels \u2013 banques \xBB jusqu\u2019\
        \xE0 l\u2019entr\xE9e en vigueur de l\u2019OFR r\xE9vis\xE9e dans le cadre\
        \ du paquet de r\xE9visions des normes finales de B\xE2le III et de l\u2019\
        ordonnance d\u2019ex\xE9cution FINMA correspondante."
      translations:
        en:
          description: "The capital requirements for operational risk in accordance\
            \ with Article 89 ff. CAO shall be based on margin nos. 3\u2013116 of\
            \ FINMA Circular 2008/21 \u201COperational risk \u2013 banks\u201D until\
            \ the entry into force of the CAO revised as part of the final Basel III\
            \ revision package and the implementing FINMA ordinance."
        it:
          description: "Le esigenze in materia di fondi propri per i rischi operativi\
            \ ai sensi degli artt. 89 segg. OFoP sono rette dai nm. 3\u2013116 della\
            \ Circolare FINMA 08/21 \xABRischi operativi \u2013 banche\xBB sino all\u2019\
            entrata in vigore dell\u2019OFoP riveduta nel quadro del pacchetto di\
            \ revisioni \xABBasilea III finale\xBB e della relativa ordinanza esecutiva\
            \ della FINMA."
        de:
          description: "Die Eigenmittelanforderungen f\xFCr operationelle Risiken\
            \ nach Art. 89 ff. ERV richten sich bis zum Inkrafttreten der im Rahmen\
            \ des Revisionspakets \u201EBasel III final\u201C revidierten ERV und\
            \ der ausf\xFChrenden FINMA-Verordnung dazu nach den Rz 3\u2013116 des\
            \ FINMA-Rundschreibens 2008/21 \u201EOperationelle Risiken \u2013 Banken\u201C\
            ."
