Compliance-Aufzeichnungssoftware erfasst und archiviert geschäftliche Gespräche, damit regulierte Unternehmen ihre Pflichten erfüllen können. In der Praxis wird dieses scheinbar einfache Unterfangen allerdings oft durch Plattformgrenzen und Konfigurationsfehler erschwert.
Dieser Leitfaden zeigt, was Regulierungsbehörden von Finanzdienstleistern verlangen, worauf Sie bei einem Anbieter von Compliance-Aufzeichnungssoftware achten sollten und wo Aufzeichnungssoftware am häufigsten versagt. Am Ende sollen Sie beurteilen können, ob Ihre Plattformkonfiguration nur optimiert oder ganz ersetzt werden sollte.
Compliance-Aufzeichnungssoftware erfasst Gespräche, bewahrt sie nach einer definierten Aufbewahrungsfrist auf und stellt sie auf Anfrage bereit. Sie wird von Unternehmen in regulierten Branchen eingesetzt, um zu belegen, was gesagt wurde. Dies beispielsweise im Streitfall oder während einer regulatorischen Untersuchung.
Erfassen: jedes Gespräch im definierten Umfang über alle genutzten Geschäftskanäle hinweg. Dazu gehören Weiterleitungen, Halten, Konferenzen, Chats und mobile Interaktionen.
Aufbewahren: nach einem Zeitplan mit definierten Auslösern, wobei ein Legal Hold die geplante Löschung überschreibt.
Bereitstellen: ein vollständiges Set an Aufzeichnungen für benannte Benutzende über einen definierten Zeitraum.
Welche Regulierungen eine Anrufaufzeichnung vorschreiben, hängt davon ab, wo Ihr Unternehmen tätig ist und welche Aktivitäten Ihre Mitarbeitenden ausüben. Die folgende Tabelle fasst die wichtigsten Regelungen für Finanzdienstleister zusammen.
| Region | Regel | Aufzeichnungsanforderung |
| Schweiz | FINMA Rundschreiben 2013/8 | Sämtliche Kundenberatungskommunikation |
| EU | MiFID II | Interaktionen im Zusammenhang mit Handel und Kundenaufträgen |
| GB | FCA SYSC 10A.1 | Aufzeichnung relevanter Gespräche auf firmeneigenen oder firmenzugelassenen Geräten |
| USA | SEC Rule 17a-4 | Aufbewahrung der Kommunikation in nicht überschreibbarem Speicher oder in einem System mit vollständigem Audit-Trail |
Ein Prüfer kann Folgendes anfordern: bestimmte Anrufaufzeichnungen, einen Nachweis, dass diese nicht verändert wurden, sowie einen Legal Hold, um weitere Löschungen zu stoppen. Aufsichtsbehörden prüfen die Aufzeichnungen eines Unternehmens in der Regel nicht routinemässig, sondern erst dann, wenn eine Untersuchung eröffnet wird.
Ein Beispiel: Über drei Finanzinstitute hinweg wird eine Untersuchung wegen mutmasslichen Insiderhandels eröffnet. Jedes Unternehmen wird kontaktiert und aufgefordert, sämtliche Aufzeichnungen für eine benannte Personengruppe über einen Zeitraum von zwei Jahren bereitzustellen. Die Finanzinstitute werden angewiesen, einen Legal Hold auf alle aufgezeichneten Gespräche aufzuerlegen, falls die Interaktionen weiterer Parteien im Verlauf der Untersuchung relevant werden.
Regulierungsbehörden verlangen von regulierten Unternehmen also nicht nur, dass sie die Einhaltung der Aufzeichnungspflichten überwachen. Ihre Aufzeichnungssoftware spielt eine entscheidende Rolle bei der Bereitstellung von Beweismitteln, indem sie Gespräche aufzeichnet und speichert und auf Anfrage einen Legal Hold durchsetzt:
| Was Behörden verlangen können | Was erforderlich ist | Anzeichen auf Misserfolg |
| Alle Aufzeichnungen für benannte Benutzende innerhalb eines bestimmten Zeitraums | Ein vollständiges, abrufbares Set über sämtliche Kommunikationskanäle, die diese Mitarbeitenden genutzt haben | Verschiedene Kanäle lassen sich nicht abgleichen; fehlende Interaktionen |
| Automatische Löschungen der Interaktionen dieser Benutzenden deaktivieren | Sofortige Durchsetzung eines Legal Hold | Der Legal Hold existiert lediglich in einem Ticketsystem oder wird erst nach Tagen wirksam |
Ein Hinweis zur Unveränderlichkeit: Ein Bericht darüber, wer eine Aufzeichnung abgerufen hat, wird von Prüfern in der Regel nicht verlangt. Dies ist eher eine interne Kontrolle: Sie hilft, den Missbrauch des Archivs durch Personen mit Zugriff zu verhindern.
Ein Beispiel: Jemand mit Systemzugriff hört die Gespräche eines Händlers ab und handelt privat auf Basis dessen, was er hört. Ein Compliance Officer, der den Audit-Trail prüft, bemerkt wiederholte Wiedergaben ohne Fallreferenz und meldet dies.
Die Evaluierung von Aufzeichnungssoftware sollte in drei Stufen erfolgen: nicht verhandelbare Kriterien wie Zertifizierungen; die Überprüfung von Standardfunktionen wie Verschlüsselung und Schlüsselverwaltung; und sowie individuelle Kriterien wie Exportanforderungen, die speziell auf die Bedürfnisse Ihrer Organisation zugeschnitten sind.
Wie Daniel Steinmann, Product Owner Realtime Communication Services bei Swiss Re, sagte:
Jede Aufzeichnungssoftware für Finanzunternehmen muss SOC 2 Typ II attestiert sein, um sicherzustellen, dass die richtigen Sicherheitskontrollen vorhanden sind. Je nachdem, welche Kommunikationskanäle Ihr Unternehmen einsetzt, sind spezifische Bescheinigungen wie eine Microsoft 365-Zertifizierung unerlässlich. Diese Nachweise sollten sich stets auf das Produkt beziehen, das Sie erwerben möchten, und nicht nur auf den Anbieter.
Jede zuverlässige Compliance-Aufzeichnungssoftware bringt in der Regel einen Satz an Funktionen mit, der auf Compliance-Anwendungsfälle zugeschnitten ist. Nachfolgend die häufigsten Merkmale und wie Sie diese verifizieren:
Erfassungszuverlässigkeit und -abdeckung: Für wie viele Kommunikationskanäle eine Software zur Aufzeichnung zertifiziert ist. Fragen Sie: Wie weisen Sie nach, dass jedes Gespräch im definierten Umfang erfasst wurde? Können Sie uns einen Abgleichbericht gegenüber einem Telefonie-Log oder Switch-Record zeigen?
Audioqualität, Transkriptionsmöglichkeit und Durchsuchbarkeit: entscheidet darüber, ob eine Aufzeichnung als Beweis anerkannt wird und bildet die Grundlage der meisten Speech-Analytics-Anwendungsfälle in der Finanzdienstleistungs-Compliance. Fragen Sie: Welche Transkriptionsgenauigkeit messen Sie für unsere Sprachen und Akzente? Verfügen Sie über erweiterte Suchfunktionen und wie lange dauert eine Suche?
Aufbewahrungssteuerung und Legal Hold: ein Zeitplan mit Auslösern, bei dem die rechtliche Aufbewahrungspflicht Vorrang vor der zeitgesteuerten Löschung innerhalb der Plattform hat. Fragen Sie: Wie schnell wird ein Legal Hold wirksam? Wird dadurch eine für diesen Tag bereits geplante Löschung verhindert? Kann dieser unternehmensweit auf einmal angewendet werden?
Rollenbasierte Zugriffskontrolle, Unveränderbarkeit und Audit-Trail: wichtig für interne Richtlinien, um die Einhaltung von Regulierungen sicherzustellen und Missbrauch zu verhindern. Fragen Sie: Bieten Sie nicht überschreibbaren Speicher an? Erfasst der Audit-Trail auch Lesezugriffe oder nur Änderungen? Können Sie einen Beispielexport für eine einzelne Aufzeichnung bereitstellen?
Verschlüsselung und Schlüsselverwaltung: die Verschlüsselung schützt das Archiv; die Schlüsselverwaltung entscheidet, wer diesen Schutz aufheben kann. Fragen Sie: Können wir unsere eigenen Schlüssel verwenden? Kann jemand in Ihrem Unternehmen eine Aufzeichnung ohne unser Mitwirken entschlüsseln, und welche Spuren hinterlässt dieser Vorgang im Log?
Redaktion und Umgang mit sensiblen Daten: eine harte Anforderung überall dort, wo Kartendaten telefonisch entgegengenommen werden. Fragen Sie: Wird die Redaktion auf die gespeicherte Datei angewendet oder nur auf die Wiedergabe? An welcher Stelle im Erfassungspfad werden Kartendaten unterdrückt?
Anhand der folgenden Kriterien lässt sich feststellen, ob Ihre Lösung zur Anrufaufzeichnung wirklich den Anforderungen Ihres Unternehmens entspricht oder ob Sie letztendlich eine zweite Lösung einführen müssen. (Alle weiteren spezifischen Anforderungen Ihres Unternehmens sollten ebenfalls in dieser Kategorie berücksichtigt werden.)
Breite der Erfassungsabdeckung: Für wie viele Plattformen, Kanäle und Modalitäten der Anbieter zertifiziert ist, einschliesslich Trading-Terminals, Mobilgeräten, Meetings und Chats. Fragen Sie: Für welche Plattformen sind Sie aktuell zertifiziert, welche sind mit konkreten Terminen in der Roadmap vorgesehen, und was geschieht, wenn wir eine Plattform einführen, die Sie nicht unterstützen?
Datenresidenz, -souveränität und Exportoptionen: wo Aufzeichnungen physisch gespeichert werden, welchem Rechtsraum sie unterliegen und ob Sie diese in einem nutzbaren Format exportieren können. Fragen Sie: Welche Exportformate unterstützen Sie, welche Metadaten werden mit der Datei mitgeliefert und können Sie uns einen Beispielexport zeigen?
Regulatorische Unterstützung: welche Anforderungen der Anbieter aktiv unterstützt, wie schnell er auf regulatorische Änderungen reagiert und ob seine Software Sie dabei unterstützt, Nachweise für eine Auskunft an Ihre Aufsichtsbehörde bereitzustellen. Fragen Sie: Welche Regulierungen unterstützen Sie? Aktualisieren Sie die Software regelmässig, um neue Vorschriften einzuhalten?
Ruf unter Branchenkollegen: Fragen Sie Unternehmen ähnlicher Grösse und mit vergleichbarem regulatorischem Profil, welche Compliance-Aufzeichnungssoftware sie einsetzen, was ihnen die Arbeit einfacher macht und was sie erschwert.
So hat KBC beispielsweise Luware Recording eingeführt, Luware plattformübergreifende Compliance-Aufzeichnungslösung. Christoph Ruys, Product Owner bei der KBC, beschrieb, wie Luwares langjährige Partnerschaften einen entscheidenden Vorteil für sein Unternehmen darstellten:
Compliance-Aufzeichnungssoftware versagt am häufigsten aufgrund von Plattformgrenzen oder einer Abweichung vom ursprünglichen Anwendungsbereich. Im ersten Fall ist der Wechsel zu einer besser geeigneten Plattform in der Regel die beste Lösung. Im zweiten Fall lässt sich das Problem oft durch eine Anpassung der Konfiguration beheben.
Die Plattformgrenze: ein Kanal, den Ihr Recorder nicht erfassen kann. Die meisten Unternehmen führen in einer solchen Situation eine zweite Compliance-Aufzeichnungssoftware ein. Die Folge dieser Entscheidung sind nicht nur Kosten. Zwei Plattformen bedeuten in der Regel zwei separate Benutzeroberflächen sowie zwei unterschiedliche Workflow-Systeme für Compliance-Beauftragte. Zudem müssen Mitarbeitende wissen, dass ein Gespräch über die Telefonzentrale im einen System gespeichert ist, während ein Teams-Gespräch im anderen liegt. Wenn eine Untersuchungsanfrage eingeht, bedeutet dies zwei Portale, die durchsucht werden müssen, zwei Exporte, die abgeglichen werden müssen, und zwei Orte, an denen ein Legal Hold angewendet werden muss.
Der Konfigurationsfehler: Abweichung vom Erfassungsumfang. Unternehmen legen normalerweise bei der Erstimplementierung einer Aufzeichnungssoftware fest, welche Benutzenden erfasst werden sollen. Mit der Zeit kann der Erfassungsumfang jedoch hinter den geschäftlichen Anforderungen zurückbleiben. Dies bedeutet, dass ein Kanal in Betrieb genommen werden könnte, ohne dass er in den Erfassungsbereich der Software aufgenommen wurde. Die Folge ist eine Erfassungslücke, die niemand bemerkt.
Bevor Sie verschiedene Aufzeichnungslösungen evaluieren, sollten Sie herausfinden, was Ihr aktuelles System leistet. Ziel ist es, festzustellen, ob Sie ein Plattform- oder ein Konfigurationsproblem haben. Im ersten Fall sollten Sie Ihre Lücken erfassen und prüfen, welche anderen Lösungen diese schliessen können.
Wenn Sie erfahren möchten, was unsere Multi-Plattform-Compliance-Aufzeichnungssoftware Luware Recording zu bieten hat, finden Sie hier mehr Informationen. Gerne können Sie auch direkt mit uns sprechen.