Ausgangslage: § 5 GwG
§ 5 Abs. 1 GwG verpflichtet Verpflichtete, die Risiken der Geldwäsche und Terrorismusfinanzierung zu ermitteln und zu bewerten, die aus den von ihnen betriebenen Geschäften folgen. Dabei sind insbesondere die Risikofaktoren der Anlagen 1 und 2 zum GwG sowie die Informationen aus der nationalen Risikoanalyse zu berücksichtigen. Umfang und Detailtiefe richten sich nach Art und Umfang der Geschäftstätigkeit.
Die Risikoanalyse ist damit kein bloßes Grundlagenpapier für Prüfungen, sondern der Ausgangspunkt der gesamten geldwäscherechtlichen Steuerung. Sie begründet insbesondere:
-
die Ausgestaltung der internen Sicherungsmaßnahmen nach § 6 GwG,
-
die Kundensegmentierung und Risikoklassifizierung,
-
den Umfang allgemeiner und verstärkter Sorgfaltspflichten,
-
das Monitoring und die Transaktionsüberwachung,
-
die Ausrichtung von Schulung, Compliance-Überwachung und Interner Revision,
-
die risikoorientierte Ressourcen- und Personalplanung.
§ 5 Abs. 2 GwG verlangt zudem Dokumentation, regelmäßige Überprüfung und anlassbezogene Aktualisierung sowie die Vorlage der aktuellen Fassung auf Verlangen der Aufsicht. Für Mutterunternehmen gilt die Pflicht auch auf Gruppenebene. Unter engen Voraussetzungen kann die Aufsicht von der Dokumentation befreien; das zugrundeliegende Risikoverständnis entfällt dadurch nicht.
Für BaFin-beaufsichtigte Verpflichtete konkretisieren die AuA die Erwartung: Risiken sind umfassend zu identifizieren, zu kategorisieren und zu gewichten; aus dem Ergebnis müssen angemessene Sicherungsmaßnahmen folgen.
Was künftig konkret anders zu machen ist
Inhärentes Risiko und Restrisiko trennen
In vielen bestehenden Risikoanalysen werden Risikofaktoren, Kontrollen und Gesamturteile vermischt. Der AMLA-Entwurf verlangt eine saubere Bewertungskette:
Ein hohes inhärentes Risiko wird nicht automatisch „niedrig“, nur weil ein Kontrollkatalog existiert. Die Bewertung muss erklären, welche Kontrolle welches Risiko adressiert, wie ihre Wirksamkeit nachgewiesen wurde und warum dennoch ein bestimmtes Restrisiko verbleibt. Bestimmte inhärent risikoreiche Faktoren können ihrer Natur nach nicht vollständig wegkontrolliert werden.
Kontrollwirksamkeit beweisen
Der Entwurf verlangt eine evidenzbasierte Beurteilung der Kontrollqualität. Heranzuziehen sind insbesondere Ergebnisse aus Compliance-Tests, interner und externer Revision sowie aufsichtsrechtlichen Maßnahmen. Für die Praxis sollte deshalb jede wesentliche Kontrolle mindestens mit folgenden Informationen verknüpft werden:
Damit wächst die Verzahnung zwischen Risikoanalyse, Compliance-Risikoanalyse, Kontrollplan, IKS, Interner Revision, Maßnahmenmanagement und Management Reporting deutlich.
TFS-/Sanktionsrisiko bewerten
Der Entwurf lässt eine verhältnismäßige Wahl: TFS-Risiken können in die allgemeine ML/TF-Risikoanalyse integriert oder – etwa bei komplexen, stark grenzüberschreitenden Geschäftsmodellen – in einer ergänzenden separaten Bewertung behandelt werden. Entscheidend ist nicht die Dokumentenform, sondern die begründete, dokumentierte und vollständige Analyse. Eine getrennte TFS-Risikoanalyse ist insbesondere naheliegend bei:
Governance wird verbindlicher
Nach dem Entwurf soll der Compliance-Beauftragte die BWRA erstellen; das Leitungsorgan in seiner Leitungsfunktion soll sie genehmigen. Besteht ein Organ mit Aufsichtsfunktion, ist dieses zu informieren. Außerdem müssen relevante Mitarbeitende, Vertreter und Vertriebspartner die für ihre Tätigkeit bedeutsamen Auswirkungen der BWRA kennen und verstehen.
Damit wird die Risikoanalyse deutlich stärker zum Steuerungs- und Verantwortungsinstrument der Geschäftsleitung. Empfehlenswert sind daher ein klarer jährlicher Genehmigungsprozess, ein dokumentiertes Management-Statement zu wesentlichen Restrisiken sowie ein nachverfolgbares Maßnahmenportfolio.
Quellenbasis erweitern
§ 5 GwG verweist insbesondere auf die Anlagen 1 und 2 sowie die nationale Risikoanalyse. Der AMLA-Entwurf verlangt daneben eine breitere und dokumentierte Informationsbasis. Genannt werden unter anderem Informationen öffentlicher Stellen, Sanktions- und Beobachtungslisten, FATF- und andere internationale Evaluierungen, Branchen- und Berufsverbände, öffentlich-private Partnerschaften, Typologien, glaubwürdige Presse- und Investigativquellen, Zivilgesellschaftsquellen sowie belastbare kommerzielle Risiko- und Informationsanbieter. Zusätzlich sind interne Erkenntnisse aus Verdachtsmeldungen, FIU-Rückmeldungen, Behördenanfragen, Compliance-Prüfungen, Revision und Aufsicht einzubeziehen.
Seminare & Lehrgänge
Plattform & Methodik
Über S+P
