So bewerten Sie eine Partnerschaft zwischen einem Finanzinstitut und einem Fintech

Eine Partnerschaft zwischen einem Finanzinstitut und einem Fintech kann den Zugang zu neuen Technologien, Produkten und Fähigkeiten erleichtern. Sie kann auch dazu beitragen, Kosten zu senken oder bestimmte Kontrollen zu verbessern. Diese Vorteile hängen jedoch davon ab, dass beide Seiten verstehen, welche Risiken sie gemeinsam tragen, wer bei Problemen verantwortlich ist und wie überprüft wird, ob die Kontrollen funktionieren.

Deshalb sollte sich die Bewertung nicht auf die Prüfung des Produkts oder der Plattform beschränken. Sie sollte den Partner, die Geschäftsbeziehung, die beteiligten Systeme und die Fähigkeit umfassen, den Dienst bei Veränderungen oder Unterbrechungen aufrechtzuerhalten. Uday Gulvadi und Scott Rosenbaum von Stout weisen auf die Bedeutung der Due-Diligence-Prüfung und der laufenden Überwachung Dritter hin; Marissa Tartarini von Elliott Davis hebt darüber hinaus Governance, operative Bereitschaft, Verträge und Verbraucherschutz hervor.

1. Prüfen Sie, ob die Partnerschaft einem konkreten Ziel dient

Legen Sie vor dem Vergleich von Anbietern fest, welches Problem die Zusammenarbeit lösen soll: etwa die Bereitstellung einer digitalen Funktion, die Verbesserung eines Prozesses oder die Erweiterung des Dienstleistungsangebots. Klären Sie, welchen Beitrag jede Seite leistet und wie das Vorhaben zur Strategie, Risikotoleranz und den verfügbaren Ressourcen des Instituts passt.

Bewerten Sie auch die Erfahrung und Fähigkeiten des Partners: seine Struktur, Governance, Führungsmannschaft, bisherige Erfolgsbilanz und Produktkenntnis. Ein attraktives Angebot ersetzt weder die Fähigkeit, den Dienst zu betreiben, noch die Verfügbarkeit qualifizierter Mitarbeitender zur Steuerung seiner Risiken. Prüfen Sie außerdem, ob das Institut über ausreichende Ressourcen verfügt, um die Lösung zu integrieren und zu überwachen.

2. Analysieren Sie die finanzielle Stabilität und Kontinuität des Partners

Die finanzielle Bewertung sollte erkennen lassen, ob der Anbieter den Betrieb aufrechterhalten kann und was geschehen würde, wenn sich seine Lage änderte. Zu den prüfbaren Elementen zählen Jahresabschlüsse, Jahresberichte, Finanzierungsquellen, Kundenstamm und Marktposition des Unternehmens.

Die Kontinuität ist ebenso wichtig wie die anfängliche Tragfähigkeit. Überlegen Sie, wie die Dienstleistungen fortgeführt und Kunden, Daten und Prozesse geschützt würden, wenn das Fintech eine Unterbrechung erlebte oder den Betrieb einstellte. Prüfen Sie seine Pläne für Geschäftskontinuität, Notfallwiederherstellung und Reaktion auf Vorfälle; kontrollieren Sie auch, wie Backups erstellt werden und welche Maßnahmen zur Wiederherstellung der Systeme vorgesehen sind.

3. Führen Sie eine Due-Diligence-Prüfung zu Compliance und Kontrollen durch

Die Prüfung sollte die Rechtslage des Anbieters, die für seine Tätigkeit und seinen Zuständigkeitsbereich geltenden Lizenzen sowie seine Compliance-Richtlinien und -Verfahren abdecken. Wenn das Produkt Risiken im Zusammenhang mit Finanzkriminalität birgt, ist es wichtig zu verstehen, wie die Geschäftsbeziehung in die BSA/AML-Kontrollen — die US-amerikanischen Vorschriften zur Bankgeheimhaltung und zur Bekämpfung der Geldwäsche — und in die Richtlinien des Instituts eingebunden ist.

Es reicht nicht aus, eine Beschreibung der Kontrollen zu erhalten. Fordern Sie Unterlagen an, anhand derer sich ihre Anwendung beurteilen lässt: Risikobewertungen, frühere Audits, Leistungskennzahlen und Berichte an die Geschäftsleitung oder den Verwaltungsrat. Prüfen Sie, wer Warnmeldungen überprüft, wie Probleme eskaliert werden und über welche Kapazitäten jede Seite verfügt, um ihren Pflichten nachzukommen, wenn die Geschäftstätigkeit wächst.

Bei Partnerschaften, die Zahlungen oder FBO-Konten (for benefit of) betreffen, sollte geklärt werden, wie Transaktionen erfasst und abgeglichen werden, wer die relevanten Bücher oder Aufzeichnungen einsehen kann und wie Unstimmigkeiten erkannt werden. Tartarini hebt den Nutzen täglicher Abstimmungen, von Zugriffsprotokollen und klaren Berichten sowie von Plänen für den Umgang mit Zahlungsunterbrechungen oder Buchhaltungsabweichungen hervor.

4. Prüfen Sie Informationssicherheit und technische Integration

Stellen Sie fest, welche Daten erhoben werden, wo sie gespeichert sind, wer darauf zugreifen kann und wie lange sie aufbewahrt werden. Die Prüfung sollte Sicherheitskontrollen, Vorfallsberichte, verfügbare Bewertungen und das Verfahren zur Löschung von Informationen umfassen, wenn diese nicht mehr aufbewahrt werden müssen.

Ermitteln Sie auf technischer Ebene die Abhängigkeiten zwischen Plattformen, die Systeme, die Informationen austauschen müssen, und die Folgen eines Ausfalls oder einer Verzögerung. Die Integration muss für beide Seiten praktikabel sein, nicht nur für den Anbieter. Es empfiehlt sich außerdem festzulegen, wie Produktänderungen, Schwachstellen und Dienstunterbrechungen gehandhabt werden.

5. Legen Sie Zuständigkeiten im Vertrag fest

Der Vertrag sollte die Risikobewertung in überprüfbare Pflichten übertragen. Legen Sie Aufgaben, Liefergegenstände, Service-Level sowie Mechanismen zur Meldung und Eskalation von Vorfällen fest. Nehmen Sie Bestimmungen zu Datensicherheit und Datenschutz, zur Reaktion auf Datenpannen, zum Zugang Dritter, zu Audits und zum Management von Unterauftragnehmern auf.

Wenn das Fintech an Mitteilungen oder Werbemaßnahmen für Kunden beteiligt ist, legen Sie fest, wer die Materialien vor ihrer Veröffentlichung prüft und genehmigt und wer Beschwerden bearbeitet oder unklare Informationen korrigiert. Es ist auch sinnvoll, zu vereinbaren, was bei Beendigung der Beziehung geschieht, einschließlich der Rückgabe oder Löschung von Daten und der Entfernung von Verweisen auf das Finanzinstitut aus den Kanälen des Partners.

Freistellungs- und Verlustzuweisungsklauseln erfordern eine spezifische rechtliche Prüfung: Ihr Umfang hängt vom Vertrag, vom Produkt und von den geltenden Vorschriften ab. Sie ersetzen keine Kontrollen und beseitigen nicht die Verantwortlichkeiten, die den einzelnen Parteien zukommen.

6. Richten Sie eine Überwachung während der gesamten Geschäftsbeziehung ein

Die Due-Diligence-Prüfung endet nicht mit der Unterzeichnung. Legen Sie einen Überprüfungsrhythmus fest und aktualisieren Sie die Bewertung, wenn sich Produkt, Prozesse, Umfang oder Risikoprofil ändern. Bewahren Sie Nachweise zu Entscheidungen, Überprüfungen, genehmigten Ausnahmen, Vorfällen und Korrekturmaßnahmen auf; die Dokumentation ermöglicht es nachzuvollziehen, was überwacht und wie reagiert wurde.

Die Überwachung kann operative und kontrollbezogene Kennzahlen, Beschwerdetrends, Auditergebnisse, Sicherheitsvorfälle und die Einhaltung vertraglicher Verpflichtungen kombinieren. Stellen Sie sicher, dass für Feststellungen Verantwortliche und Fristen zur Behebung festgelegt sind und dass relevante Angelegenheiten die zuständige Governance-Ebene erreichen.

Regulatorischer Geltungsbereich

Die regulatorischen Verweise in den Dokumenten beziehen sich auf die Vereinigten Staaten. Der von Gulvadi und Rosenbaum erwähnte gemeinsame Leitfaden zur Due-Diligence-Prüfung von Finanztechnologieunternehmen wurde von der Federal Reserve, der FDIC und der OCC herausgegeben und 2023 aktualisiert. Tartarini verweist in ihrem Artikel außerdem auf US-amerikanische Bestimmungen zu Zahlungen, Betrugsprävention, Verbraucherschutz und Meldungen verdächtiger Aktivitäten.

Diese Verweise sollten nicht automatisch auf andere Länder übertragen oder als vollständige Liste von Pflichten verstanden werden. Die Anwendbarkeit hängt von der Rechtsordnung, dem Produkt, dem Kooperationsmodell und den Aufgaben der einzelnen Beteiligten ab. Vor dem Abschluss einer Partnerschaft sollte das Institut auf den konkreten Fall zugeschnittene rechtliche Beratung und Compliance-Beratung einholen.