外包、運營韌性與網絡安全

瑞士金融市場監管局關於外包的第2018/3號通函

盧加諾金融機構所使用的人工智能大多由第三方提供，其中很大一部分在雲端運行。因此，其使用受瑞士金融市場監管局（FINMA）第2018/3號通函《外包》（“Outsourcing”）的規管，該通函適用於銀行、證券公司和保險公司。投資組合管理人和受託人則受《金融機構條例》（FinIO）中關於任務委託的類似規則約束：這些規則禁止委託專屬於管理機構的決策，並要求機構保留挑選、指示和監督第三方所需的人員、專業知識以及指示權和控制權。¹ 該通函於2017年9月21日發佈，自2018年4月1日起生效。通函將外包定義為委託服務提供商獨立且持續地履行機構的一項重要職能，並規定了機構外包此類職能時必須滿足的要求。² 如果某項職能對遵守金融市場監管的目標和規則具有實質性影響，即屬重要職能。交易監控、客戶篩查、風險管理和客戶數據管理均屬此意義上的重要職能；在大多數情況下，支撐這些職能運行的IT系統亦然。通函的要求可歸納為六點。機構必須保存一份外包職能清單。機構必須審慎挑選提供商，考慮其專業能力、財務和人力資源以及該安排的風險。外包必須以書面合同加以規範，合同應界定服務內容、責任、安全要求和終止權。機構仍對外包職能承擔責任，並須將其納入內部控制體系。機構、其審計公司和FINMA必須能夠檢查提供商的活動，並能夠獲取相關資訊；這一要求對境外提供商尤為適用。最後，外包不得妨礙機構的重組或處置：就銀行而言，關鍵服務在危機中必須保持可用。³ 只要滿足上述條件，且機構能夠證明其審計公司和FINMA的訪問權得到保障，並在涉及具有系統重要性的職能時證明重組能力得到保障，即允許向境外外包。

就人工智能而言，該通函引發了一些特定問題。語言模型的提供商本身可能依賴其他分包商，例如數據中心運營商和模型開發商，而機構必須了解並控制這一鏈條。提供商可能在不事先通知的情況下更新其模型，從而以影響機構結果的方式改變模型行為，這與FINMA關於測試和監控的期望相沖突。針對大型科技公司，合同約定的審計權難以行使，相關機構通常依賴認證和審計報告。FINMA的人工智能調查發現，小型機構完全依賴外部提供商，這使得上述問題恰恰集中在主導盧加諾市場的那類機構身上。⁴

註釋

1. FINMA第2018/3號通函“Outsourcing”，2017年9月21日，經修訂（通函的適用範圍和日期）；2019年11月6日《金融機構條例》（FinIO），SR 954.11，第15–17條（“Übertragung von Aufgaben”），尤其是第16條第1–3款，文本見 https://www.droit-bilingue.ch/de-fr/9/95/954.11-16-19.html。 ↩
2. FINMA第2018/3號通函（同上），邊碼2–5（外包和重要職能的定義）。 ↩
3. FINMA第2018/3號通函（同上），邊碼13–35（清單、挑選、責任、安全、審計與監管、境外外包、重組與處置、合同）。 ↩
4. FINMA調查（2025年4月，同上）。 ↩

僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。