外包、运营韧性与网络安全

瑞士金融市场监管局关于外包的第2018/3号通函

卢加诺金融机构所使用的人工智能大多由第三方提供，其中很大一部分在云端运行。因此，其使用受瑞士金融市场监管局（FINMA）第2018/3号通函《外包》（“Outsourcing”）的规管，该通函适用于银行、证券公司和保险公司。投资组合管理人和受托人则受《金融机构条例》（FinIO）中关于任务委托的类似规则约束：这些规则禁止委托专属于管理机构的决策，并要求机构保留挑选、指示和监督第三方所需的人员、专业知识以及指示权和控制权。¹ 该通函于2017年9月21日发布，自2018年4月1日起生效。通函将外包定义为委托服务提供商独立且持续地履行机构的一项重要职能，并规定了机构外包此类职能时必须满足的要求。² 如果某项职能对遵守金融市场监管的目标和规则具有实质性影响，即属重要职能。交易监控、客户筛查、风险管理和客户数据管理均属此意义上的重要职能；在大多数情况下，支撑这些职能运行的IT系统亦然。通函的要求可归纳为六点。机构必须保存一份外包职能清单。机构必须审慎挑选提供商，考虑其专业能力、财务和人力资源以及该安排的风险。外包必须以书面合同加以规范，合同应界定服务内容、责任、安全要求和终止权。机构仍对外包职能承担责任，并须将其纳入内部控制体系。机构、其审计公司和FINMA必须能够检查提供商的活动，并能够获取相关信息；这一要求对境外提供商尤为适用。最后，外包不得妨碍机构的重组或处置：就银行而言，关键服务在危机中必须保持可用。³ 只要满足上述条件，且机构能够证明其审计公司和FINMA的访问权得到保障，并在涉及具有系统重要性的职能时证明重组能力得到保障，即允许向境外外包。

就人工智能而言，该通函引发了一些特定问题。语言模型的提供商本身可能依赖其他分包商，例如数据中心运营商和模型开发商，而机构必须了解并控制这一链条。提供商可能在不事先通知的情况下更新其模型，从而以影响机构结果的方式改变模型行为，这与FINMA关于测试和监控的期望相冲突。针对大型科技公司，合同约定的审计权难以行使，相关机构通常依赖认证和审计报告。FINMA的人工智能调查发现，小型机构完全依赖外部提供商，这使得上述问题恰恰集中在主导卢加诺市场的那类机构身上。⁴

注释

1. FINMA第2018/3号通函“Outsourcing”，2017年9月21日，经修订（通函的适用范围和日期）；2019年11月6日《金融机构条例》（FinIO），SR 954.11，第15–17条（“Übertragung von Aufgaben”），尤其是第16条第1–3款，文本见 https://www.droit-bilingue.ch/de-fr/9/95/954.11-16-19.html。 ↩
2. FINMA第2018/3号通函（同上），边码2–5（外包和重要职能的定义）。 ↩
3. FINMA第2018/3号通函（同上），边码13–35（清单、挑选、责任、安全、审计与监管、境外外包、重组与处置、合同）。 ↩
4. FINMA调查（2025年4月，同上）。 ↩

仅供一般参考。本文不构成法律或税务意见，不能替代针对个案的咨询，亦不建立律师与客户之间的委托关系。本文反映截至 十月 2026 的法律状况。