Eine AML-Risikoanalyse, die Entscheidungen steuert
Ein Prüfer kann mit einer Frage beginnen: Nennen Sie einen Kunden, dessen Sorgfaltspflichten sich nach der letzten Aktualisierung Ihrer Risikoanalyse geändert haben. Lautet die ehrliche Antwort „keiner“, beschreibt die Analyse Risiken und steuert nichts, und jedes weitere Dokument der Akte wird in diesem Licht gelesen. Eine unternehmensweite Risikoanalyse verdient ihren Platz in Entscheidungen: wen Sie aufnehmen, was Sie prüfen, wann Sie eskalieren, welches Geschäft Sie ablehnen.
Drei Wege, auf denen eine Analyse stirbt
Die Jahresmatrix für den Prüfungsordner. Jemand frischt einmal im Jahr die Farben auf, die Geschäftsleitung genehmigt das Dokument in fünf Minuten, und nichts bewegt sich. Das Dokument existiert, um gezeigt zu werden, und mehr leistet es nicht.
Bewertungen ohne Daten. Die Geografie bekommt eine Drei, die Produkte eine Zwei, und niemand kann die Transaktionen, Korridore oder Kundensegmente hinter den Zahlen benennen. Hat eine Bewertung keine Quelle, wird jeder Streit darüber zu einem Streit über Meinungen, und die lauteste gewinnt.
Die fehlende Verbindung zum Onboarding. Die Analyse stuft einen Korridor als hochriskant ein, während das Onboarding Kunden aus diesem Korridor weiter mit Standard-Sorgfaltspflichten aufnimmt, weil beide Systeme von verschiedenen Teams in verschiedenen Jahren gebaut wurden. Die Lücke sieht man auch von außen. Stellen Sie sich die E-Mail Ihrer Partnerbank vor: Das Korrespondenzbanken-Team bittet um die unternehmensweite Risikoanalyse und um Belege, dass sie die Sorgfaltspflichten steuert. Eine Matrix mit dem Datum des Vorjahres erledigt die erste Bitte und scheitert an der zweiten.
Verdrahten Sie die Analyse mit den Entscheidungen
Drei Verbindungen machen sie wirksam. Bewertungen führen zu Maßnahmen: Ein Kunde oder Produkt im obersten Band löst verstärkte Sorgfaltspflichten aus, und die Zuordnung ist schriftlich fixiert, sodass Analysten sie nicht von Fall zu Fall verhandeln. Schwellenwerte lösen Eskalation aus: Überschreitet die Exposition in einem bewerteten Segment ein festgelegtes Niveau, zeichnet der Geldwäschebeauftragte gegen, und der Risikoappetit steht in Zahlen: was das Haus gar nicht eröffnet, was es begrenzt, was es beobachtet. Ereignisse öffnen die Analyse neu: Ein schwerer Vorfall, ein neues Produkt oder ein neuer Korridor öffnet den betroffenen Teil innerhalb einer definierten Zahl von Tagen, sodass der Jahreszyklus ein Bild bestätigt, das das Haus bereits kennt.
Daten schließen den Kreis. Jeder Risikofaktor braucht einen benannten Verantwortlichen und eine benannte Quelle: Transaktionsdaten, Alert-Statistiken, Ablehnungsquoten, Vorfallsberichte. Eine so gebaute Analyse hält Fragen stand, weil an jeder Zahl eine Antwort hängt.
Was die AMLR ändert und wann
Die AMLR (Verordnung (EU) 2024/1624) gilt ab dem 10. Juli 2027 und bindet Verpflichtete unmittelbar, EU-weit. Die AMLA, die neue Behörde mit Sitz in Frankfurt, konsultiert 2026 Entwürfe technischer Regulierungsstandards, darunter Standards zu Sorgfaltspflichten nach Artikel 28 Absatz 1; das Konsultationspapier datiert vom 9. Februar 2026. Es sind Entwürfe, sie können sich ändern: Lesen Sie sie als Richtung und bauen Sie Ihre Formulare noch nicht um. Ab 2028 übernimmt die AMLA die direkte Aufsicht über ausgewählte Verpflichtete.
Bis zum 10. Juli 2027 bleibt weniger als ein Jahr: ein voller Überprüfungszyklus. Fahren Sie die diesjährige Analyse als Generalprobe, auf Daten gebaut und mit Entscheidungen verdrahtet, und sie wird zur Basis, die Sie unter dem neuen Regelwerk verteidigen.
Was wir jetzt empfehlen
Fünf Schritte passen in die nächsten zwei Wochen.
- Markieren Sie jede Bewertung ohne benannte Datenquelle. Diese Liste ist das erste Arbeitspaket.
- Ziehen Sie zehn aktuelle Onboardings und vergleichen Sie die angewandten Sorgfaltspflichten mit denen, die die Analyse nahelegt. Jede Abweichung ist eine gerissene Verbindung oder eine falsche Bewertung; entscheiden Sie schriftlich, was von beidem.
- Schreiben Sie die einseitige Zuordnung: Bewertungsband, Umfang der Sorgfaltspflichten, Monitoring-Intensität. Der Geldwäschebeauftragte genehmigt.
- Definieren Sie drei Auslöser für eine Überprüfung außerhalb des Zyklus (Vorfall ab definierter Schwere, neues Produkt, neuer Korridor), jeweils mit Frist in Tagen.
- Benennen Sie eine Person, die die AMLA-Konsultationen verfolgt, mit dem stehenden Vermerk: Entwurf, kann sich ändern.
Quellen: Verordnung (EU) 2024/1624 (AMLR), EUR-Lex · Öffentliche Konsultationen der AMLA