AML Norm · Bekämpfung der Geldwäsche und Kundenidentifizierung (KYC)

Das Dispositiv zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung beruht auf einer präzisen Kette von Pflichten: ein dokumentierter risikobasierter Ansatz, eine aktualisierte Risikoklassifizierung, Sorgfaltsmaßnahmen bei Geschäftsanbahnung und während der gesamten Geschäftsbeziehung, die Identifizierung wirtschaftlich Berechtigter, das Filtern von Sanktionslisten und politisch exponierten Personen, die Transaktionsüberwachung, die Verdachtsmeldung an die zentrale Meldestelle, die Aufbewahrung von Unterlagen und die Schulung der Mitarbeitenden. Das europäische Paket von 2024 macht daraus ein unmittelbar anwendbares Fundament, mit einer einheitlichen Verordnung und einer europäischen Aufsichtsbehörde.

In der Praxis lässt sich dieses Dispositiv schwer steuern. Die Pflichten verteilen sich auf Compliance, Fachbereiche, Operations und IT, und niemand verfügt über eine konsolidierte Sicht auf den Beherrschungsgrad. Wird die Risikoklassifizierung tatsächlich genutzt, um die Sorgfaltsintensität zu steuern, oder bleibt sie ein Jahresdokument? Werden ältere Kundendossiers nach einer eingehaltenen Frequenz aktualisiert, oder nur anlässlich einer Warnmeldung? Werden Alarme aus der Transaktionsüberwachung innerhalb einer beherrschten Frist bearbeitet, mit Nachvollziehbarkeit der Entscheidung? Sind mehrere Einheiten und mehrere Länder betroffen, wird Uneinheitlichkeit zur Regel.

Die Verordnung (EU) 2024/1624 harmonisiert Punkte, die bislang den nationalen Umsetzungen überlassen waren: Schwellenwerte, verstärkte Sorgfaltsmaßnahmen, Anwendungsbereich der verpflichteten Einheiten, Zugang zu den Registern wirtschaftlich Berechtigter. Die AMLA, mit Sitz in Frankfurt, übt eine direkte Aufsicht über bestimmte Akteure und eine indirekte Aufsicht über die übrigen aus. Ein häufiges Missverständnis verdient Klärung: KYC ist nicht gleich das AML-Dispositiv. Die Kundenidentifizierung bildet dessen dokumentarisches Fundament, doch die Transaktionsüberwachung, die Filterung, die Verdachtsmeldung und die Governance bilden die andere Hälfte, oft die am wenigsten ausgestattete.

Das Compliance-Audit schließt mit einer Abweichung oder einer Konformität: Das Verfahren existiert, ist dokumentiert, wird angewendet. Die Reifegrad-Analyse stellt eine andere Frage: Auf welchem Beherrschungsniveau befindet sich jede Praxis, und welche konkrete Maßnahme führt zum nächsten Niveau. Eine interne Kontrolle, die die Existenz einer Risikoklassifizierung prüft, sagt nicht, ob diese tatsächlich die Sorgfaltsintensität steuert. Die Analyse sagt es, und beziffert den nötigen Aufwand, um dorthin zu gelangen.

In Datamensio ist der Referenzrahmen einsatzbereit und anpassbar. Die KI passt Themenfelder, Fragen und Niveaus an Ihre Branche an (Bank, Versicherung, Zahlungsverkehr, digitale Vermögenswerte, verpflichtete nichtfinanzielle Berufe), oder erstellt eine Ausprägung ausgehend von Ihren Verfahren und Ihrer bestehenden Risikoklassifizierung.