運營韌性與網絡風險
FINMA第2023/1號通函
人工智能系統是機構資訊和通信技術（ICT）的組成部分，其失靈或遭操縱屬於操作風險。瑞士金融市場監管局（FINMA）於2022年12月發佈的第2023/1號通函《操作風險與韌性——銀行》已於2024年1月1日生效。該通函吸納了巴塞爾銀行監管委員會於2021年3月發佈的操作風險與操作韌性原則。通函設有專門章節，涉及ICT風險、網絡風險和關鍵數據的管理，並取代了此前經FINMA認可的瑞士銀行家協會關於業務連續性的建議。有關操作韌性的要求設有過渡期，該過渡期已於2026年1月1日結束。1
操作韌性是指銀行必須能夠在嚴重中斷期間，於既定容忍度範圍內持續履行其關鍵職能。一旦人工智能工具被用於支付監控或客戶准入等關鍵流程，機構就必須能夠在模型失靈、產生不可靠結果或因提供商發生故障而無法使用時，繼續運行這些流程。在實踐中，這需要備用程序、有書面記錄的人工流程以及對中斷情景的測試。通函引入的“關鍵數據”類別同樣影響人工智能項目。若以關鍵數據訓練或運行模型，機構須將通函關於保密性、完整性和可用性的控制措施適用於人工智能環境。
向FINMA報告網絡事件
網絡風險與此密切相關。根據《金融市場監管法》（FINMASA）第29條第2款，FINMA要求受監管機構報告針對關鍵職能的重大網絡攻擊。第05/2020號監管通告確立了兩階段程序：在24小時內作出初步通知，在72小時內提交完整報告。第03/2024號監管通告總結了FINMA在網絡監管中的觀察，澄清了此前的通告，並要求開展基於情景的網絡演練。FINMA將網絡風險列為瑞士金融中心的首要風險之一。2
人工智能從兩個方向改變著威脅格局。攻擊者利用生成式模型製作令人信服的網絡釣魚資訊、偽造文件以及模仿高管或客戶的合成語音。如前所述，瑞士銀行家協會將深度偽造和虛假高管通訊列為生成式人工智能的主要風險。部署人工智能系統的機構也會形成新的攻擊點，例如針對聊天機器人的提示注入、訓練數據投毒以及模型竊取。第三節所述Check Point收購蘇黎世公司Lakera一事表明，人工智能系統的防禦本身已成為一個專門領域。
關鍵基礎設施向NCSC報告的義務
自2025年4月1日起，根據經修訂的《資訊安全法》（ISG）和《網絡安全條例》，關鍵基礎設施運營者須在發現網絡攻擊後24小時內向國家網絡安全中心（NCSC）報告。該義務涵蓋危及基礎設施運行、導致資訊遭操縱或洩露，或涉及勒索、威脅或脅迫的攻擊。初步報告可在14天內補充完整。對未履行報告義務的制裁，只有在2025年10月1日結束的過渡期屆滿後方可施加。3其法律依據為《資訊安全法》第74a條及以下各條。4
《資訊安全法》將銀行、保險公司和金融市場基礎設施，與能源供應商、運輸公司和公共行政機關一併列入負有報告義務的組織。5對受監管的金融機構而言，這形成了兩條平行的報告路線：一條通向FINMA，另一條通向NCSC。儘管兩項義務在內容上相互重疊，但其法律依據不同，目的也不同。審慎監管機構評估的是機構的韌性，而NCSC則構建全國性的威脅態勢。對於與人工智能相關的事件，例如針對面向客戶的聊天機器人的成功攻擊導致客戶數據洩露，機構可能還須根據《聯邦數據保護法》（FADP）關於數據洩露的規定，通知聯邦數據保護和資訊公開專員（FDPIC）。在這種情況下，機構還須同時與客戶處理銀行保密問題。
註釋
- FINMA，“FINMA publishes Circular ‘Operational risks and resilience – banks’”，2022年12月13日，https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/。↩
- FINMA，“New cyber supervisory approach and guidance”（網絡風險專題），https://www.finma.ch/en/documentation/dossier/dossier-cyberrisiken/new-cyber-supervisory-approach-and-guidance/（2026年9月訪問）。↩
- 國家網絡安全中心，“Obligation to report cyberattacks on critical infrastructure comes into force on 1 April”，https://www.bacs.admin.ch/en/25-mp2-en（2026年9月訪問）。↩
- 國家網絡安全中心，“Legal basis for the reporting obligation”，https://www.bacs.admin.ch/en/legal-basis-for-the-reporting-obligation（2026年9月訪問）。↩
- Célian Hirsch，“Die neue Meldepflicht wird konkreter”，cdbf.ch，2024年5月27日，https://cdbf.ch/de/1351/（“Zu diesen Infrastrukturen gehören insbesondere Banken, Versicherungen, Finanzmarktinfrastrukturen oder auch Cloud-Anbieter (Art. 74b ISG).”）；國家網絡安全中心，“Legal basis for the reporting obligation”（見上文），關於能源供應商、運輸公司以及州和市鎮行政機關。↩
僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。