Parallel dazu verändert die neue europäische Anti-Money Laundering Authority (AMLA) auch die Aufsichtsarchitektur. Die Behörde bereitet bereits die Auswahl von bis zu 40 besonders risikoreichen grenzüberschreitend tätigen Finanzinstituten vor, die ab 2028 direkt beaufsichtigt werden sollen. Vorstände und Geschäftsführer werden jedoch schon früher mit einschlägigen Herausforderungen konfrontiert. Die Umstellung betrifft immerhin nicht nur Rechtsabteilungen und Compliance-Funktionen, sondern auch Daten, Prozesse, IT-Systeme und letztlich die Governance des gesamten Instituts.
Das EU Single Rulebook verändert die Art, wie Geldwäsche bekämpft wird
Bislang basiert die europäische Geldwäschebekämpfung vor allem auf Richtlinien, die von den Mitgliedstaaten in nationales Recht umgesetzt werden. Mit der Einführung der AMLR gelten künftig unmittelbar in den EU-Mitgliedstaaten zentrale Vorgaben.
Für Finanzinstitute bedeutet dieser Paradigmenwechsel, dass bestehende Prozesse nicht nur auf einzelne neue Pflichten hin überprüft werden müssen. Vielmehr ist es in Zukunft wichtig, festzustellen, ob die jeweiligen Strukturen insgesamt mit den künftig stärker vereinheitlichten europäischen Vorgaben übereinstimmen.
Dies betrifft unter anderem:
- die Risikobewertung
- Customer Due Diligence
- die Feststellung wirtschaftlich Berechtigter
- die laufende Überwachung von Geschäftsbeziehungen.
Gleichzeitig wird auch eine neue Aufsichtsstruktur relevant. AMLA entwickelt gemeinsame Methoden zur Bewertung von Geldwäsche- und Terrorismusfinanzierungsrisiken. Schon im Jahr 2026 werden hierfür Daten erhoben und standardisierte Reporting-Templates getestet. 2027 erfolgt dann die Auswahl der Institute, die ab 2028 unmittelbar unter die Aufsicht der europäischen Behörde fallen.
Auch Banken stehen unter einem erheblichen operativen Druck
Die Herausforderung für den Bankensektor liegt weniger darin, einzelne Richtlinien oder Arbeitsanweisungen umzuschreiben. Für Finanzinstitute stellt der Bereich der Geldwäscheprävention einen datenintensiven Prozess dar, in dem zahlreiche Systeme und Verantwortlichkeiten ineinandergreifen.
Hierbei gilt unter anderem, dass KYC-Daten vollständig, aktuell und auswertbar sein müssen. Zudem ist es wichtig, Kundenrisiken nachvollziehbar zu klassifizieren und wirtschaftlich Berechtigte korrekt zu ermitteln. Gleichzeitig müssen Monitoring-Systeme dazu in der Lage sein, auffällige Transaktionen zu erkennen. Etwaige Alerts müssen dann zeitnah und nachvollziehbar bearbeitet werden.
Gerade bei einer großen Anzahl an Kunden kann bereits eine Änderung der regulatorischen Anforderungen erhebliche operative Folgen mit sich bringen. Müssen beispielsweise Kundendaten überprüft oder Risikoklassifizierungen angepasst werden, entstehen schnell umfangreiche Review-Bestände. Hinzu kommen Dokumentationsanforderungen und die Vorgabe, gegenüber der Aufsicht belegen zu können, dass Kontrollen nicht nur formal existieren, sondern auch tatsächlich funktionieren.
Für die Führungsebene wird die AMLR-Umsetzung deshalb auch zu einer Frage nach den nötigen Ressourcen. Daher werden auch Fragen, wie zum Beispiel „Reichen Personal, Datenqualität, Prozesse und technische Infrastruktur aus, um die Anforderungen dauerhaft zu erfüllen?“ aktuell.
Der Readiness-Check: Gibt es noch Lücken?
Bis zum 10. Juli 2027 bleibt Instituten nicht mehr allzu viel Zeit, um bestehende Strukturen auf ihre AMLR-Tauglichkeit zu prüfen. Hier kann eine systematische Gap-Analyse beziehungsweise ein Readiness-Check hilfreich sein. Bei dieser Art von Kontrollen werden bestehende Prozesse den neuen regulatorischen Anforderungen gegenübergestellt.
Im Fokus stehen beispielsweise:
- KYC-Prozesse
- Datenbestände und Datenqualität
- Risikoklassifizierungen
- Transaktionsmonitoring
- Governance
- Dokumentation
- interne Verantwortlichkeiten.
Auf Grundlage der entsprechenden Faktoren ist es möglich, zu erkennen, an welchen Stellen tatsächlich Anpassungsbedarf besteht und welche Maßnahmen aufgrund ihrer Bedeutung oder ihres Umsetzungsaufwands priorisiert werden sollten.
Eine strukturierte AMLA & AMLR Readiness kann damit die Basis für eine belastbare Umsetzungsplanung und fundierte Entscheidungen bilden. Für die Managementebene ist es hierbei wichtig, aus der regulatorischen Bestandsaufnahme konkrete Verantwortlichkeiten, Ressourcenentscheidungen und zeitliche Vorgaben abzuleiten und die nötigen Maßnahmen umzusetzen.
Mängel im Zusammenhang mit KYC und Monitoring können zu einem unternehmerischen Risiko werden
Dass Defizite bei der Geldwäscheprävention umfassende Konsequenzen nach sich ziehen können, zeigen die Maßnahmen der BaFin. Werden zum Beispiel aufsichtsrechtliche Anforderungen nicht erfüllt, kann die Behörde unter anderem Bußgelder verhängen oder anordnen, dass festgestellte Mängel innerhalb bestimmter Fristen beseitigt werden.
Fehlerhafte (oder unzureichende) Prozesse entwickeln sich damit schnell von einem operativen Problem zu einem Risiko für das gesamte Institut. Und natürlich ist diese Entwicklung auch für den Vorstand und für Geschäftsführer relevant. Die Verantwortung rund um eine verlässliche Geschäftsorganisation endet nicht bei der Entscheidung, eine Compliance-Abteilung ins Leben zu rufen. Vielmehr ist es die Aufgabe des Managements, dafür zu sorgen, dass die Geldwäscheprävention angemessen organisiert wird und mit den erforderlichen Ressourcen aufwarten kann.
Vor allem Schwachstellen im Zusammenhang mit KYC- oder Monitoring-Prozessen sind es daher definitiv wert, genau beobachtet zu werden. Werden Pflichten verletzt, sind (natürlich abhängig vom jeweiligen Sachverhalt) unter anderem auch persönliche aufsichts- und zivilrechtliche Folgen für die jeweiligen Verantwortlichen möglich.
1st Line Services können operative Engpässe reduzieren
Eine besondere Herausforderung stellen immer wieder stark standardisierte und zugleich personal- und datenintensive Compliance-Aufgaben dar. Typische Beispiele hierfür sind umfangreiche KYC-Reviews oder die Bearbeitung hoher Alert-Bestände. Finanzunternehmen haben die Möglichkeit, zu prüfen, ob solche operativen Tätigkeiten im Rahmen sogenannter „1st Line Services“ an externe Spezialisten ausgelagert werden können. Vor allem dann, wenn das Arbeitsaufkommen temporär erhöht ist, kann ein solches Vorgehen interne Ressourcen entlasten und dabei helfen, Rückstände kontrolliert abzuarbeiten.
Damit all das gelingen kann, braucht es eine klare Trennung zwischen der Durchführung einzelner Tätigkeiten und der regulatorischen Verantwortung. Es gilt allerdings, zu berücksichtigen, dass die Inanspruchnahme der Dienste eines externen Dienstleisters das Institut nicht von seiner Verantwortung entbindet. Vielmehr bleiben die Anforderungen an Steuerung, Kontrolle, Qualität und Dokumentation bestehen. Daher kann Outsourcing nie eine Alternative zu einer funktionierenden Governance darstellen. Richtig eingesetzt können die Maßnahmen allerdings ein wichtiges Instrument sein, wenn es darum geht, standardisierbare operative Lasten zu bewältigen, während interne Fach- und Führungskräfte ihre Ressourcen auf Steuerung, Risikobewertung und komplexere Sachverhalte konzentrieren.
Ab dem 10. Juli 2027 ergeben sich für Verantwortliche neue Herausforderungen
Die AMLR und die neue europäische Aufsichtsarchitektur sorgen dafür, dass Finanzinstitute mit einem stärker harmonisierten System konfrontiert werden, in dem auch Risikobewertung und Aufsicht zunehmend nach gemeinsamen europäischen Maßstäben erfolgen.
Dass AMLA bereits standardisierte Datenabfragen und Risikomodelle vorbereitet, zeigt, wie konkret dieser Wandel inzwischen ist. Für Vorstände und Geschäftsführer ist es daher jetzt wichtig, frühzeitig Transparenz zu schaffen und ausreichende Ressourcen bereitzustellen.
Wer erst kurz vor dem Stichtag mit der operativen Umsetzung beginnt, riskiert, dass aus eventuellen regulatorischen Defiziten außerdem noch Daten-, Personal- und Prozessprobleme werden. Die entscheidende Frage, mit der sich das Management auseinandersetzen sollte, lautet daher nicht mehr, ob sich die europäische Geldwäscheaufsicht verändert, sondern ob das eigene Institut rechtzeitig auf die kommenden Veränderungen vorbereitet ist.
