Risikorahmenwerk für Family Offices: Maßnahmen für das Board in 90 Tagen

Implementieren Sie ein integriertes, vom Board verantwortetes Risikorahmenwerk, das alle Risikobereiche abdeckt. Beginnen Sie damit, innerhalb von 30 Tagen eine Analyse der wechselseitigen Abhängigkeiten in Auftrag zu geben und Ihr Risikoregister zu aktualisieren. Dies orientiert sich an den Prinzipien des Basler Ausschusses für Drittparteien, den Schweizer Erwartungen an die operationelle Resilienz sowie den Cyber-Erkenntnissen von Deloitte darüber, wie exponiert Family Offices nach wie vor sind.

Kurz gefasst:

• Boards sollten vierteljährlich Risikoberichte und Heatmaps erhalten, die Risikobereitschaft sowie Abhängigkeitskarten jährlich aktualisieren und nach jedem Vorfall eine Nachbesprechung durchführen.
• Überwachen Sie Dienstleister über alle sechs Lebenszyklusphasen hinweg, erfassen Sie Kritikalität, Austauschbarkeit, Datenstandorte und Subunternehmer, führen Sie Stresstests für gemeinsame Abhängigkeiten durch und etablieren Sie Ausweichanbieter.
• Laut Deloitte verfügen etwa 31 % der Family Offices über keinen Notfallplan, während rund die Hälfte keine Pläne zur Wiederherstellung nach Katastrophen besitzt; führen Sie für beides jährliche Übungen durch.
• Das Schweizer Recht schreibt eine Datenschutz-Folgenabschätzung (DSFA) vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der betroffenen Personen mit sich bringt; sensible Daten und grenzüberschreitende Übermittlungen sind häufige Auslöser.

Marmot Finance

Fundierte Investitionsentscheidungen treffen

Marmot Finance unterstützt Frauen und Familien in der Schweiz mit maßgeschneiderten Anlagestrategien, persönlicher Beratung und digitalen Tools.

Besuchen Sie Marmot Finance

Was umfasst ein integriertes Risikorahmenwerk für Family Offices?

Ein praktikables Rahmenwerk betrachtet Risiken als ein zusammenhängendes System und nicht als eine Ansammlung separater Checklisten. Für ein Family Office sind die zentralen Bereiche:

• Strategisch: Entscheidungen zur Vermögensallokation, Nachfolge und neuen Unternehmungen.
• Markt, Kredit und Liquidität: Preisbewegungen, Ausfall von Gegenparteien und die Fähigkeit, Verpflichtungen zu finanzieren.
• Operativ: Menschen, Prozesse und Systeme, die den täglichen Betrieb aufrechterhalten.
• Cyber und IKT: Angriffe auf sowie Ausfälle von Technologie und Daten.
• Recht und Compliance: regulatorische Pflichten und vertragliche Verpflichtungen.
• Reputation: wie die Familie und das Office wahrgenommen werden.
• Drittparteien und Lieferkette: Verwahrstellen, Administratoren, Berater und Softwareanbieter.
• ESG: ökologische, soziale und unternehmensführungsbezogene Risiken im Portfolio.

Der Wert liegt in der Vernetzung dieser Bereiche. Nehmen wir einen Phishing-Angriff, der Ihren E-Mail-Zugang sperrt: Der Betrieb kommt zum Erliegen, eine Zahlung verzögert sich, ein Geschäftspartner bemerkt dies und die Presse erfährt davon. Aus einem Cyber-Ereignis ist ein operatives und reputatives Problem geworden. Oder nehmen wir den Ausfall einer Verwahrstelle: Sie können kein Kapital bewegen, ein Kapitalabruf kann nicht bedient werden, und was als Versagen eines Dienstleisters begann, entwickelt sich zu einem Liquiditätsproblem.

Mehrere Dokumente bilden das Fundament dieses Rahmens; Sie sollten Ihr Managementteam um jedes einzelne davon bitten:

• Ein schriftliches Risikoappetit-Statement , das festlegt, wie viel Verlust oder Störung die Familie zu akzeptieren bereit ist.
• EineRisikoregister , das jedes Risiko, den Verantwortlichen, die Bewertung und die Minderungsmaßnahmen benennt.
• EineAbhängigkeitskarte das aufzeigt, von welchen Personen, Systemen und Anbietern jeder kritische Dienst abhängt.
• Notfallpläne die festlegen, wer in den ersten Stunden einer Krise welche Aufgaben übernimmt.

Wer sollte die Verantwortung für Risiken tragen und wie oft sollte das Board darüber informiert werden?

Das Board – oder der Familienrat als dessen Vertretung – trägt die Verantwortung für Risiken. Es genehmigt die Risikobereitschaft und überwacht das Management bei deren Einhaltung. Dies entspricht den BIS-Leitlinien, die dem Board empfehlen, die Strategie für Drittparteienrisiken zu genehmigen und diese mit der Governance und der Risikobereitschaft in Einklang zu bringen.

Das Management führt anschließend das operative Tagesgeschäft im Rahmen dieses Regelwerks. Wir empfehlen ein kleines, funktionsübergreifendes Risikokomitee aus den Bereichen Investment, Operations, Recht und Technologie, das vor jedem Board-Zyklus tagt. Die Berichterstattung sollte einem festen Rhythmus folgen:

1. Vierteljährlich: ein Risikobericht an das Board, der das Risikoregister, Änderungen in der Bewertung sowie offene Maßnahmen umfasst.
2. Vierteljährlich: eine Überprüfung der Heatmap durch das Risikokomitee, wobei Ausnahmen eskaliert werden.
3. Jährlich: eine Aktualisierung der Risikobereitschaft sowie eine vollständige Überprüfung der Abhängigkeitskarte.
4. Nach jedem Vorfall: ein kurzes schriftliches Protokoll mit den gewonnenen Erkenntnissen für das Board.

Drei Instrumente machen diese Sitzungen effektiv: eine Heatmap, die Risiken nach Eintrittswahrscheinlichkeit und Auswirkung einstuft, ein Ausnahmebericht für alle Punkte außerhalb der Risikobereitschaft sowie eine RACI-Matrix, die für jedes wesentliche Risiko aufzeigt, wer verantwortlich, rechenschaftspflichtig, zu konsultieren und zu informieren ist.

Profi-Tipp: Verlangen Sie jedes Quartal dieselbe einseitige Heatmap, damit das Board Entwicklungen erkennt, anstatt sich jedes Mal auf ein neues Format einstellen zu müssen.

Wie sollte ein Family Office Risiken durch Drittanbieter managen?

Die meisten Family Offices lagern einen Großteil ihrer Tätigkeiten aus: Verwahrung, Reporting, Steuern, IT und sogar die Gehaltsabrechnung. Das macht das Management von Drittparteienrisiken zu einer zentralen Disziplin. Der Basler Ausschuss empfiehlt, dass dies den gesamten Lebenszyklus einer Anbieterbeziehung abdecken und in den breiteren Rahmen des operationellen Risikomanagements eingebettet sein sollte, da nur so Schwachstellen bei Konzentrationen und in der Lieferkette aufgedeckt werden können.

Der Lebenszyklus umfasst sechs Schritte: Risikobewertung, Due Diligence, Vertragsabschluss, Onboarding, laufende Überwachung und Beendigung. In jedem Schritt stellen Sie eine andere Frage – von „Brauchen wir diesen Anbieter überhaupt?“ bis hin zu „Wie beenden wir die Zusammenarbeit, ohne Daten oder Dienstleistungen zu verlieren?“.

Die BIZ bezeichnet zudem Register für Drittanbietervereinbarungen als zentrales Instrument. Ein nützliches Register erfasst:

• Wie kritisch der jeweilige Dienst für das Büro ist.
• Wie einfach der Anbieter ersetzt werden könnte.
• Wo sich die Daten und der Dienst physisch befinden.
• Alle nachgelagerten Anbieter, auf die der Dienstleister selbst angewiesen ist.
• Eine Rechtsträgerkennung (LEI), sofern der Anbieter über eine solche verfügt.

Konzentrationsrisiken entstehen, wenn mehrere kritische Dienste vom selben Anbieter abhängen, oft ohne dass dies bemerkt wird. Um dies zu steuern, sollten Sie diese gemeinsamen Abhängigkeiten abbilden, den Ausfall eines Anbieters mittels Stresstests simulieren und für Ihre kritischsten Dienste einen Ersatzanbieter bereithalten, bevor Sie ihn tatsächlich benötigen.

Welche Cybersicherheitsmaßnahmen sollte ein Family Office zuerst ergreifen?

Family Offices verwalten große Vermögen und sensible Familieninformationen, verfügen jedoch oft nur über kleine Sicherheitsteams, was sie zu attraktiven Zielen macht. Die Sicherheitslücken sind gut dokumentiert. Die Cybersicherheitsstudie von Deloitte für Family Offices zeigt, dass vielen Büros fortgeschrittene Schutzmaßnahmen fehlen. Während Multi-Faktor-Authentifizierung und Backups weit verbreitet sind, hinken die Notfallplanung und die Überprüfung von Anbietern hinterher. Phishing ist die häufigste Angriffsform, und ein Drittel der betroffenen Büros erlitt Verluste oder Schäden.

Die Studie von Deloitte zeigt, dass etwa 31 % der Family Offices über keinen Plan zur Reaktion auf Cybervorfälle verfügen und rund die Hälfte keinen Plan zur Wiederherstellung nach Katastrophen hat. Gerade die Pläne, die den Schaden begrenzen würden, fehlen häufig.

Prioritäten in grober Reihenfolge:

• Multi-Faktor-Authentifizierung für jedes Konto, das Zugriff auf Gelder oder Daten hat.
• Identitäts- und Zugriffsmanagement, damit Mitarbeiter nur das sehen, was sie für ihre Arbeit benötigen.
• Getestete Backups, die außerhalb Ihrer Hauptsysteme gespeichert sind.
• Regelmäßige Mitarbeiterschulungen mit simulierten Phishing-Angriffen.
• Penetrationstests kritischer Systeme.
• Ein schriftlicher Notfallplan, der mindestens einmal jährlich geübt wird.

Führen Sie zur regelmäßigen Überprüfung jährlich eine Bewertung der Cyber-Reife durch und kontrollieren Sie kritische Systeme in kürzeren Abständen. Wenn Sie über kein internes Sicherheitsexpertise verfügen, kann ein Managed Security Service Provider die Überwachung rund um die Uhr übernehmen. Behandeln Sie diesen Anbieter als Drittpartei mit einem eigenen Eintrag in Ihrem Register.

Wie baut man operationelle Resilienz und Geschäftskontinuität auf?

Operationelle Resilienz ist die Fähigkeit, kritische Dienstleistungen auch bei Störungen aufrechtzuerhalten. Sie umfasst die Bereiche IKT, Business Continuity Management (BCM) und Drittparteienmanagement, weshalb wir sie als eine zusammenhängende Aufgabe betrachten. Die Erwartungen der Schweizer Aufsichtsbehörden gehen in dieselbe Richtung. Ab 2026 müssen Institute der Aufsichtskategorien 1 bis 3 ihr Resilienz-Framework mit dem operationellen Risiko, IKT- und Cyberrisiken, dem BCM sowie dem Drittparteienmanagement koordinieren. Diese Vorgaben behandeln auch die Meldepflicht bei Vorfällen, die Kundenvermögen oder die Marktintegrität beeinträchtigen. Ein Family Office mag zwar nicht in diese Kategorien fallen, doch die Logik dahinter dient als sinnvoller Maßstab.

Zwei Wiederherstellungsziele machen dieses Konzept überprüfbar:

• Recovery Time Objective (RTO): wie lange ein Dienst ausfallen darf, bevor der Schaden inakzeptabel wird.
• Recovery Point Objective (RPO): wie viel aktueller Datenverlust tolerierbar ist.

Legen Sie beide Werte für jeden kritischen Dienst fest, indem Sie die tatsächlichen Nutzer befragen. Je nach Dienst und Anwender kann für die Zahlungsfreigabe eine kürzere RTO erforderlich sein als für das Berichtswesen. Testen Sie anschließend den Plan, denn ein ungeprüfter Kontinuitätsplan ist lediglich eine Vermutung.

Wann ist eine DSFA erforderlich und was sollte sie beinhalten?

Eine Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Untersuchung der Risiken, die eine Datenverarbeitung für die betroffenen Personen mit sich bringt. Seit dem 1. September 2023 schreibt das revidierte Schweizer Datenschutzgesetz eine solche vor, wenn die Bearbeitung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte einer Person führtDie Bewertung muss die geplante Verarbeitung beschreiben, die Risiken evaluieren und Schutzmaßnahmen festlegen.

Ein kurzer Test hilft Ihnen bei der Entscheidung, ob Sie eine solche benötigen:

1. Beinhaltet die Tätigkeit sensible Daten, wie etwa Gesundheitsdaten, finanzielle Angelegenheiten von Familienmitgliedern oder Minderjährigen?
2. Ist die Verarbeitung neu, findet sie in großem Umfang statt oder basiert sie auf neuen Technologien?
3. Werden die Daten an einen externen Anbieter weitergegeben, von diesem gehostet oder grenzüberschreitend übermittelt?
4. Könnte eine Verletzung des Schutzes personenbezogener Daten eine Einzelperson oder deren Familie ernsthaft schädigen?

Wenn Sie eine dieser Fragen mit Ja beantworten, führen Sie eine Datenschutz-Folgenabschätzung (DSFA) durch. Nutzen Sie anschließend die Ergebnisse: Protokollieren Sie die Risiken in Ihrem Verzeichnis, integrieren Sie die Minderungsmaßnahmen in technische Kontrollen und nehmen Sie diese in Verträge mit Drittanbietern auf. Beachten Sie, dass einige Kantone strengere Pflichten vorsehen, weshalb die Einhaltung der Bundesvorgaben allein möglicherweise nicht ausreicht, insbesondere bei grenzüberschreitenden Übermittlungen.

Wie sieht eine praktische 90-Tage-Umsetzung aus?

Fangen Sie klein an und strukturieren Sie die Arbeit. Hier ist ein Plan, dem die meisten Büros folgen können:

1. Tag 1 bis 30: Führen Sie eine Interdependenzanalyse durch, erstellen oder aktualisieren Sie das Risikoregister, benennen Sie einen Verantwortlichen für das Risikomanagement und führen Sie einen schnellen Check zur Cyber-Reife durch.
2. Tag 31 bis 60: Etablieren Sie grundlegende Prozesse für Drittanbieter, beginnend mit Ihren fünf wichtigsten Dienstleistern, und führen Sie DSFA durch, wo der obige Test dies erfordert.
3. Tag 61 bis 90: Testen Sie den Plan für die Reaktion auf Sicherheitsvorfälle sowie ein Szenario zur Geschäftskontinuität und beginnen Sie dann mit der Behebung der kritischsten Lücken.
4. Nach 90 Tagen: Gehen Sie zu einem vierteljährlichen Berichtszyklus und einer jährlichen Aktualisierung über.

Wägen Sie bei der Ressourcenplanung drei Optionen ab: interner Aufwand durch bestehendes Personal, befristete Einstellung von Spezialisten für die Einrichtungsphase und die Beauftragung externer Dienstleister für laufende Aufgaben wie Überwachung oder Tests. Die wesentlichen Kostentreiber sind die Größe und Komplexität Ihrer Struktur, die Anzahl der kritischen Anbieter, der Umfang der selbst betriebenen Technologie sowie die Häufigkeit Ihrer Tests.

Profi-Tipp: Geben Sie dem Risikoverantwortlichen einen festen Platz in der Agenda des Principals. Die Dynamik lässt am schnellsten nach, wenn niemand nach dem Fortschritt fragt.

Wie steuern Sie finanzielle Risiken über CHF, EUR und USD hinweg?

Viele Familienportfolios halten Vermögenswerte und Verbindlichkeiten in Schweizer Franken, Euro und US-Dollar, wodurch Währungen zu einem eigenständigen Risiko werden. Ein starker Franken kann den Wert ausländischer Bestände mindern, wenn Sie in CHF bilanzieren. Gleichzeitig trägt eine Familie, die in Euro ausgibt, aber hauptsächlich Dollar-Vermögenswerte hält, ein Ungleichgewicht, das durch keine einzelne Investitionsentscheidung allein sichtbar wird.

Beginnen Sie damit, Ihre Basiswährung sowie die Währungen Ihrer zukünftigen Ausgaben und Verbindlichkeiten zu definieren. Vergleichen Sie diese anschließend mit der Währung Ihrer Vermögenswerte. Die Differenzen stellen Ihr tatsächliches Risiko dar. Legen Sie darauf basierend eine schriftliche Absicherungsstrategie fest: Welche Währungen werden in welchem Umfang mit welchen Instrumenten abgesichert und wer darf Änderungen genehmigen? Ohne eine solche Richtlinie erfolgt die Absicherung meist ad hoc, in der Regel erst, nachdem eine Währungsbewegung bereits Kosten verursacht hat.

Auch die Liquidität erfordert Aufmerksamkeit. Halten Sie in jeder Währung ausreichend Bargeld oder liquide Mittel bereit, um Verpflichtungen wie Kapitalabrufe, Steuerzahlungen und Immobilienkosten zu decken, damit Sie nie in einem ungünstigen Moment konvertieren müssen. Achten Sie schließlich auf das Kontrahentenrisiko. Das Halten von Bargeld und Absicherungen bei einer einzigen Bank konzentriert das Kreditrisiko und steht in direktem Zusammenhang mit Ihrem Register für Drittparteien. Überprüfen Sie das Währungsbild bei jedem Quartalstreffen und erfassen Sie jede Überschreitung der Risikotoleranz als Ausnahme.

Welche Compliance- und Regulierungsrisiken sind für Schweizer und europäische Family Offices relevant?

Compliance-Risiko ist die Gefahr, gegen eine Regel zu verstoßen, von deren Anwendbarkeit man nichts wusste oder deren Einhaltung man trotz Kenntnis nicht überwacht hat. Für Family Offices, die in der Schweiz und der EU tätig sind, ist das Bild vielschichtig: Schweizer Bundesrecht, kantonale Unterschiede und EU-Vorschriften, die Sie über dort ansässige Familienmitglieder, Vermögenswerte oder Dienstleister erreichen können.

Einige Bereiche sollten einen festen Platz in Ihrem Register haben. Datenschutz steht an erster Stelle, da sowohl das Schweizer Gesetz als auch EU-Regeln auf dieselbe Aktivität anwendbar sein können und grenzüberschreitende Übermittlungen zusätzliche Pflichten mit sich bringen. Finanzregulierung folgt als Nächstes: Ob Ihre Struktur oder eine von Ihnen erbrachte Dienstleistung eine Lizenz erfordert oder unter Aufsicht fällt, hängt davon ab, was Sie tatsächlich tun und für wen – lassen Sie sich daher fachkundig beraten, anstatt Vermutungen anzustellen. Steuer- und Meldepflichten schließen sich an, insbesondere für Familien mit Mitgliedern in mehreren Ländern.

Praktische Gewohnheiten sind wichtiger als ausgeklügelte Strukturen. Führen Sie einen Regulierungskalender mit Verantwortlichkeiten und Fristen. Beauftragen Sie eine Person damit, Änderungen in jeder Jurisdiktion zu verfolgen, in der Sie präsent sind. Erfassen Sie jede Verpflichtung im Register zusammen mit der Kontrollmaßnahme, die sie erfüllt. Wenn Sie einen Dienstleister an Bord holen, fragen Sie, wie dieser mit den für Sie relevanten Regeln umgeht, da ein Verstoß des Dienstleisters zu Ihrem eigenen werden kann. Wo das Gesetz von Ihren spezifischen Fakten abhängt, lassen Sie die Rechtslage von einem qualifizierten Berater im jeweiligen Land bestätigen.

Wie kann ein Family Office seinen Ruf schützen?

Reputation wird langsam aufgebaut und schnell verloren, und für ein Family Office ist sie eine persönliche Angelegenheit. Ein Datenleck, eine umstrittene Investition oder eine unbedachte öffentliche Äußerung können das Ansehen der Familie und das Vertrauen von Partnern schädigen, lange bevor ein finanzieller Verlust sichtbar wird.

Der beste Schutz ist Prävention durch die anderen Bereiche. Starke Cyber-Kontrollen, eine sorgfältige Auswahl von Anbietern und klare Verhaltensstandards beseitigen die meisten Reputationsrisiken. Ergänzen Sie dies durch spezifische Maßnahmen. Legen Sie fest, wer für die Familie und das Office sprechen darf und wer nicht. Erstellen Sie Social-Media-Richtlinien für Familienmitglieder und Mitarbeiter, insbesondere in Bezug auf Reisen, Immobilien und Vermögen. Überprüfen Sie Kontrahenten, Investitionsobjekte und philanthropische Partner, bevor Sie den Familiennamen mit ihnen in Verbindung bringen.

Bereiten Sie sich auch auf den Ernstfall vor. Erstellen Sie einen kurzen Krisenkommunikationsplan, der die Entscheidungsträger, die Sofortmaßnahmen in der ersten Stunde und ein anpassbares Standard-Statement enthält. Üben Sie dies im Rahmen Ihrer Notfallübungen, da ein Datenleck meist gleichzeitig ein Cyber-, Rechts- und Reputationsereignis ist. Führen Sie danach eine Nachbesprechung durch und aktualisieren Sie das Register. Reputationsrisiken sind schwer zu quantifizieren; verwenden Sie daher einfache Bewertungen und verfolgen Sie Beinahe-Vorfälle, wie etwa unerwünschte Presseanfragen, als Frühwarnsignale.

Wie sollte ein Family Office Szenarioanalysen und Stresstests durchführen?

Ein Family Office benötigt selten die Modelle einer Großbank, muss aber wissen, was passiert, wenn mehrere Dinge gleichzeitig schiefgehen. Szenarioanalysen stellen die Frage „Was wäre wenn?“ in einfachen Worten und messen die Auswirkungen auf Barmittel, Liquidität und die Fähigkeit der Familie, ihren Verpflichtungen nachzukommen.

Wählen Sie Szenarien, die Ihre tatsächlichen Risiken widerspiegeln. Gute Kandidaten sind ein starker Einbruch der Aktienkurse in Kombination mit einem stärkeren Franken, ein mehrtägiger Ausfall eines Verwahrers, ein erfolgreicher Phishing-Angriff auf Zahlungsfreigaben oder der Ausfall einer Schlüsselperson. Verfolgen Sie für jedes Szenario die Kette: Was bricht zuerst, was löst es aus, wie lange dauert die Wiederherstellung und was kostet sie? Ihre Abhängigkeitskarte und Ihr Register für Drittparteien machen dies wesentlich einfacher, da sie zeigen, wo sich ein Ausfall ausbreitet.

Fügen Sie einen Reverse-Stresstest hinzu: Gehen Sie von einem Ergebnis aus, das Sie nicht akzeptieren können, wie etwa die Unfähigkeit, Verpflichtungen über einen längeren Zeitraum zu finanzieren, und arbeiten Sie rückwärts zu den Kombinationen, die dies verursachen würden. Dies bringt oft Risiken ans Licht, die eine zukunftsorientierte Liste nicht offenbart.

Halten Sie die Ergebnisse kurz und entscheidungsorientiert. Zeigen Sie dem Board die geschätzten Verluste oder Störungen, ob diese innerhalb der Risikotoleranz liegen und welche Maßnahmen Sie vorschlagen. Aktualisieren Sie die Szenarien jährlich sowie immer dann, wenn sich die Struktur, das Portfolio oder das Bedrohungsbild wesentlich ändern.

Ein Priorisierungshinweis zu den wichtigsten Aspekten

Meiner Ansicht nach verlieren Führungskräfte mehr durch das Erstellen endloser Checklisten, als durch das Übersehen eines einzelnen Punktes. Konzentrieren Sie sich auf gegenseitige Abhängigkeiten: die Stellen, an denen sich ein Ausfall ausbreitet. Behandeln Sie Cyber-Themen nicht als IT-Angelegenheit, da sie neben allen anderen Themen in die Governance auf Board-Ebene gehören. Streben Sie einen stufenweisen Fortschritt mit messbaren Meilensteinen an und binden Sie das Board von Anfang an ein.

So unterstützen wir Ihre Risikogovernance

Wir arbeiten mit Frauen und Familien in der Schweiz und in Europa zusammen und bieten eine diskrete Alternative zum internen Aufbau sämtlicher Strukturen. Im Rahmen unserer Vermögensverwaltungs- und Coaching-Dienstleistungen helfen wir Ihnen bei der Einrichtung von Governance-Routinen, der Pflege Ihres Risikoregisters und der Gestaltung regelmäßiger Berichte. Entdecken Sie unsere Vermögensverwaltungsdienste und Preise, oder kontaktieren Sie uns, um zu besprechen, was zu Ihrem Office passt.

• Governance- und Reporting-Unterstützung, abgestimmt auf Ihr Vermögensverwaltungsmandat.
• Finanz-Coaching für Entscheidungsträger und Familienmitglieder.
• Bildungs-Webinare und Community-Events zum Kompetenzaufbau.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Beratung durch einen qualifizierten Finanzberater. Bitte konsultieren Sie einen qualifizierten Finanzexperten bezüglich Ihrer persönlichen Situation, bevor Sie aufgrund dieser Informationen handeln.

FAQ

Was ist ein Risikorahmenwerk für Family Offices?

Es handelt sich um einen strukturierten Ansatz zur Identifizierung, Bewertung und Steuerung der Risiken, denen ein Family Office ausgesetzt ist – etwa in den Bereichen Markt, Cyber, Betrieb und Reputation. Es basiert auf einer Risikobereitschaft, einem Risikoregister sowie einer Abhängigkeitsmatrix und untersteht der Aufsicht des Boards.

Wer ist im Family Office für Risiken verantwortlich?

Das Board oder der Familienrat trägt die Verantwortung für Risiken und genehmigt die Risikobereitschaft gemäß den Erwartungen der BIZ. Das Management führt das Rahmenwerk im Tagesgeschäft aus, in der Regel durch ein kleines, funktionsübergreifendes Risikokomitee.

Wann benötigt ein Family Office eine Datenschutz-Folgenabschätzung (DSFA)?

Eine DSFA ist gemäß dem revidierten Schweizer Datenschutzgesetz erforderlich, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte von Personen mit sich bringt. Sensible Daten, neue Technologien und grenzüberschreitender Datenaustausch sind häufige Auslöser.

Wie oft sollte ein Family Office seine Risiken überprüfen?

Berichten Sie dem Board vierteljährlich, überprüfen Sie die Risikobereitschaft und die Abhängigkeitsmatrix jährlich und aktualisieren Sie das Register nach jedem Vorfall oder wesentlichen Änderungen. Kritische Systeme erfordern häufigere Kontrollen.

Quellen

• Rpcs
• Orx
• Factsheet zur Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 22 und 23 DSG (August 2023)

‍