Mangelhafte Corporate Governance

Die Art und Weise der Planung und Durchführung der Observationstätigkeit zeigte erhebliche Mängel in der Corporate Governance der Bank auf. So waren Observationen in den Weisungen der Credit Suisse zwar nicht verboten, aber auch nicht spezifisch geregelt. Entsprechende Risikomanagementprozesse und damit die Einbettung in das interne Kontrollsystem fehlten. In den meisten Fällen wurde formlos und ohne nachvollziehbare Begründung über die Observationen entschieden. Es wurden keine dokumentierten Abwägungen der mit der Observation zusammenhängenden Risiken vorgenommen. Schliesslich wurden die Observationen oder deren Hintergründe verschleiert. Entgegen den bankinternen Weisungen wurden etwa externe Kommunikationsmittel (Text-Messaging-Dienste) eingesetzt. Sodann wurden Drittanbieter dazwischengeschaltet oder rudimentär gehaltene Rechnungen für angefallene Kosten gestellt und beglichen. In einem Fall wurde eine Rechnung nachträglich abgeändert, um die Kosten für eine Observation zu kaschieren.

In die beschriebenen Vorgänge war der Sicherheitsdienst der Bank massgeblich involviert. Innerhalb der Bank herrschten uneinheitliche Ansichten zu physischen Observationen vor und auch die Kenntnisse zur tatsächlichen Observationstätigkeit der Bank wichen voneinander ab. Kenntnisse und Beschlüsse zur Planung oder Durchführung von einzelnen Observationen liessen sich in unterschiedlicher Ausprägung und jeweils wechselnden Besetzungen bis auf Stufe der Geschäftsleitung feststellen. So waren zum Beispiel mehrere Mitglieder der damaligen Geschäftsleitung über die Planung einer Observation einer angestellten Person in Asien im August 2019 informiert.

Die Observationen, insbesondere die Art und Weise wie sie durchgeführt, geheim gehalten und teils verschleiert wurden, zeugen von einer unangemessenen Unternehmenskultur bei Teilen der damaligen operativen Führung der Credit Suisse. Zudem haben einzelne Mitglieder der damaligen Geschäftsleitung teilweise bankexterne Kommunikationsmittel verwendet, womit die Nachrichten nicht mehr vollständig nachverfolgt werden konnten. Dies stand im Widerspruch zu internen Weisungen und zu der von Führungskräften erwarteten Vorbildfunktion (“right tone from the top”).

Organisatorische Mängel und Verfehlungen in der Aufarbeitung

Die mit der beschriebenen Observationstätigkeit verbundenen erheblichen Reputationsrisiken der Credit Suisse realisierten sich schliesslich. So löste das Bekanntwerden von bestimmten Observationen ein grosses, die Bank kritisierendes nationales und internationales Medienecho aus. Der Credit Suisse war es im Rahmen der internen Aufarbeitung der Vorgänge über längere Zeit nicht möglich, das gesamte Ausmass der Observationstätigkeit zu erfassen. Öffentlich und gegenüber der FINMA gemachte Aussagen der Bank erwiesen sich in der Folge als teilweise unvollständig oder gar unzutreffend.

Die FINMA stellte im Kontext der untersuchten Observationstätigkeiten bei der Credit Suisse somit organisatorische Mängel fest, welche die Weisungsebene, das Verhalten von Teilen der Geschäftsleitung, die Dokumentation, die Aufarbeitung von risikorelevanten Ereignissen sowie die bankinterne Kommunikation umfassen. Die Bank führte diverse mit erheblichen Reputationsrisiken verbundene Observationstätigkeiten aus, ohne dass diese Tätigkeit auch nur ansatzweise in ordnungsgemässe und dokumentierte Entscheidungsprozesse und ein angemessenes Kontrollumfeld eingebettet gewesen wäre.

Im Ergebnis verfügte die Credit Suisse damit im betroffenen Sicherheitsbereich über keine angemessene Organisation im Sinne des Schweizer Bankengesetzes. Sie bot hier im massgeblichen Zeitraum auch keine Gewähr für eine einwandfreie Geschäftstätigkeit.

Massnahmen und Abklärung individueller Verantwortlichkeit

Die Credit Suisse hat bereits diverse organisatorische und operationelle Massnahmen in den Bereichen der Sicherheit und der Kommunikationsmittel getroffen, die für stufengerechte Zuständigkeiten und klare Entscheidungs- und Überwachungsprozesse sorgen sollen. Die FINMA betrachtet diese Massnahmen grundsätzlich als geeignet, viele der festgestellten Mängel zu beheben, hat aber zusätzliche Massnahmen angeordnet. So verpflichtet sie die Bank, ein neues internes Reporting aufzubauen, mit dem die Geschäftsleitung den Verwaltungsrat oder einen seiner Ausschüsse kontinuierlich über wichtige Governance-Themen informiert. Zudem müssen allfällige Observationen von der obersten Führungsebene (CEO und VR-Präsidium) genehmigt werden, womit künftig die Verantwortung klar, schnell und dokumentiert zugeordnet werden kann. Weiter muss die Bank Massnahmen ergreifen, um geschäftsrelevante Kommunikation nachvollziehbar zu dokumentieren. Die FINMA wird überprüfen lassen, ob die Massnahmen umgesetzt und die Mängel so behoben werden.

Ausserdem hat die FINMA zwei Personen schriftlich gerügt sowie gegen drei weitere Personen Enforcementverfahren eröffnet. Die FINMA wird in diesen Verfahren den Wissensstand, das Verhalten, inklusive Auskunftsverhalten gegenüber der FINMA, sowie die individuelle Verantwortlichkeit dieser Personen im Zusammenhang mit den festgestellten Gesetzesverletzungen der Bank vertieft untersuchen.