FINMA第08/2024號指引

下載PDF（3頁）

2024年12月18日，瑞士金融市場監管局（FINMA）發佈了關於使用人工智能時的治理與風險管理的第08/2024號監管指引。該指引並不創設新規則，而是闡述FINMA在監管中的觀察，並說明現行有關治理、風險管理和內部控制的要求如何適用於人工智能。FINMA識別出的風險包括操作風險，尤其是模型風險，例如缺乏穩健性、正確性、可解釋性或存在偏差；此外還有數據風險、IT和網絡風險、對第三方日益加深的依賴，以及法律和聲譽風險。¹FINMA認為，“大多數金融機構仍處於發展的早期階段”，治理架構“仍在建立之中”。²該指引隨後在七個方面闡述了其觀察和期望：

● 治理：各機構“主要關注數據保護風險，而較少關注模型風險”。FINMA期望機構具備集中的總體概覽、明確的職責以及全機構統一的標準。

● 清單與風險分類：部分機構“對人工智能的定義過於狹窄”。FINMA期望機構採用足夠寬泛的定義，建立完整的清單，並按重要性及風險發生的可能性對各項應用進行分類。

● 數據質素：各機構往往缺乏相應控制，以確保數據完整、正確、具備完整性，並確保數據的可用性和訪問安全。

● 測試與持續監控：應對各項應用的準確性、穩健性和穩定性進行測試，設定績效指標和閾值，並檢測“數據漂移”。

● 文檔記錄：文檔記錄往往“不夠詳盡，也未針對受眾”。對於重要應用，文檔應涵蓋目的、數據選擇、模型選擇、績效衡量、侷限性以及後備方案。

● 可解釋性：結果“往往無法被理解、解釋或復現”。凡須向客戶、投資者或監管機構說明決定理由的，機構必須能夠加以解釋。

● 獨立審查：“只有少數受監管機構”由合格人員對重要應用進行了獨立審查。³該指引適用比例原則。盧加諾一家使用聊天機器人進行起草的小型資產管理人，並不需要大型銀行那樣的模型治理。但它確實需要了解自己使用了哪些人工智能應用，評估其中哪些是重要的，並確保其結果在用於影響客戶或合規的決定之前，由具備必要能力的人員進行核查。⁴就銀行而言，這些期望的法律依據在於《銀行法》（BankA）和《銀行條例》（BankO）中的組織要求，即要求具備與業務相適應的組織架構和有效的內部控制制度；就投資組合管理人和受託人而言，法律依據在於《金融機構法》（FinIA）的相應規定。⁵

註釋

1. FINMA, “FINMA publishes guidance on governance and risk management when using artificial intelligence”（2024年12月18日），https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/。 ↩
2. FINMA 2024年12月18日新聞稿（同上）。 ↩
3. FINMA第08/2024號監管指引（同上），第2.1–2.7節（引文依據官方英文譯本）。 ↩
4. FINMA第08/2024號監管指引（同上）（FINMA採取“技術中立、合乎比例且標準化的方法”，並提及“所用人工智能應用的重要性以及風險……發生的可能性”）。關於小型資產管理人的示例系作者對該指引的適用。 ↩
5. 1934年11月8日《聯邦銀行與儲蓄銀行法》（《銀行法》，BankA），SR 952.0，第3條第2款a項（業務範圍及與業務相適應的管理組織），https://www.droit-bilingue.ch/de-fr/9/95/952.0-3-10.html；2014年4月30日《銀行條例》（BankO），SR 952.02，第12條（“Funktionentrennung und Risikomanagement”），https://www.droit-bilingue.ch/de-fr/9/95/952.02-12-20.html；2018年6月15日《聯邦金融機構法》（FinIA），SR 954.1，第9條（“Organisation”）及第21條（投資組合管理人和受託人必須具備“ein angemessen ausgestattetes Risikomanagement und eine wirksame interne Kontrolle”），https://www.droit-bilingue.ch/de-fr/9/95/954.1-21-24.html。 ↩

僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。