AML-Risikoanalyse

Eine institutsweite Risikoanalyse untersucht die Gefährdung durch die Tätigkeiten und den Kundenbestand des Instituts. Artikel 10 der Verordnung (EU) 2024/1624 behandelt diese Bewertung, einschließlich Produkten, Vertriebskanälen und geografischer Gefährdung. Ein Institut muss diese Risiken auf seinen tatsächlichen Betrieb und dessen Komplexität beziehen. Die AMLR-Bewertung umfasst auch das Risiko, dass gezielte Finanzsanktionen nicht umgesetzt oder umgangen werden.

Eine Kundenrisikobewertung untersucht eine einzelne Geschäftsbeziehung innerhalb dieses weitergehenden Zusammenhangs. Kundensorgfaltspflichten liefern Informationen über den Kunden und die beabsichtigte Geschäftsbeziehung. Ein Transaktionsalarm kennzeichnet prüfbedürftige Aktivitäten, weshalb die Alarmzahl allein das Gesamtrisiko des Instituts nicht beschreiben kann.

Die Methodik beginnt mit dem inhärenten Risiko, bevor die Wirkung bestehender Kontrollen berücksichtigt wird. Teams bewerten anschließend die Gestaltung und tatsächliche Durchführung der Kontrollen, bevor sie das verbleibende Risiko beschreiben. Das FFIEC-Prüfungshandbuch verdeutlicht, warum ähnliche Transaktionsvolumina unterschiedliche Kunden- und Zahlungsmuster verdecken können, innerhalb seines eigenständigen US-Aufsichtskontexts.

Eine Vorlage zur Geldwäsche-Risikoanalyse kann Nachweise ordnen, doch jede Einstufung benötigt eine institutsspezifische Begründung. Ein Zahlungsdienstleister sollte prüfen, wie Onboarding, Transaktionsprüfung und Eskalation für seine eigenen Zahlungsströme funktionieren. Jede Bewertungsskala benötigt zudem offengelegte Annahmen, damit Prüfer die Entstehung der abschließenden Einstufung nachvollziehen können.

Eine automatisierte Risikobewertung erfordert die Verbindung verlässlicher Kundendaten mit den betreffenden Finanzaktivitäten. Die Datenherkunft dokumentiert, woher ein Attribut stammt, wann es sich änderte und welche Verarbeitung die Modelleingabe erzeugte. Ein Team kann dadurch eine Länderklassifizierung oder Eigentumsangabe auf die verwendeten Bewertungsnachweise zurückführen.

Fehlende Angaben zu wirtschaftlich Berechtigten und doppelte Kundenkennungen können die scheinbare Risikoverteilung verzerren. Einkaufsteams sollten testen, wie Software fehlende Werte erfasst und unsichere Daten von überprüften Fakten trennt. Der IFC-Leitfaden zu Technologie und Analytik verbindet AML-Kontrollen mit Technologieauswahl, Einführung und Wartung für Finanzinstitute.

Graphanalysen können Beziehungen zwischen Kunden, wirtschaftlich Berechtigten und finanziellen Gegenparteien im Institut abbilden. Die Entitätsauflösung muss feststellen, ob Datensätze dieselbe Person oder dasselbe Unternehmen betreffen, bevor Beziehungen eine Risikofolgerung stützen. Eine gemeinsame Anschrift oder ähnliche Namen erfordern eine Prüfung des Zusammenhangs, bevor ein Analyst die vorgeschlagene Verbindung akzeptiert.

Ein Graph kann dem Institut helfen, gebündelte Gefährdungen durch verbundene Unternehmen oder Zahlungswege zu untersuchen. Die zugrunde liegenden Nachweise benötigen weiterhin eine rechtmäßige Verarbeitungsgrundlage und geeignete Zugriffskontrollen für Finanzkundendaten. Die Unternehmensprüfung liefert den Eigentumskontext, während eine Verbindung allein keine kriminelle Tätigkeit belegt.

Maschinelles Lernen kann Kombinationen von Kundenmerkmalen erkennen, die eine feste Bewertungsmatrix übersieht. Eine Erklärung sollte die Nachweise und Faktoren hinter einer vorgeschlagenen Einstufung nennen, damit ein Analyst das Ergebnis hinterfragen kann. FATF untersucht neue Technologien für AML gemeinsam mit den Bedingungen ihres verantwortlichen Einsatzes.

Die Validierung sollte Trainingsdaten, übersehene Risiken und Leistungsunterschiede zwischen relevanten Kundengruppen untersuchen. Teams sollten auch Modelldrift überwachen, wenn sich Zahlungsverhalten oder Kundenbestand nach der Einführung verändern. Die Modellvalidierung im Bankwesen liefert den weitergehenden Kontrollrahmen, während verantwortliche Mitarbeitende Einstufungsänderungen und Übersteuerungen dokumentieren.

Die AMLR gilt grundsätzlich ab dem 10. Juli 2027, einschließlich ihres Rahmens für die institutsweite Risikoanalyse. Artikel 10 verlangt eine dokumentierte, aktuelle und regelmäßig überprüfte Bewertung bei veränderten relevanten Umständen. Die Einführung eines neuen Zahlungsdienstes oder der Eintritt in einen weiteren Markt erfordern deshalb Berücksichtigung im Risikobewertungsprozess des Instituts. Der Compliance-Beauftragte erstellt die Bewertung, die das Leitungsorgan in seiner Leitungsfunktion genehmigen muss.

AMLA konsultierte Leitlinienentwürfe zur institutsweiten Risikoanalyse nach Artikel 10(4), wobei die Konsultation am 15. Juli 2026 endete. Eine geschlossene Konsultation belegt nicht, dass die vorgeschlagenen Leitlinien endgültig geworden sind. Teams sollten das anwendbare Instrument und dessen Status bei Aktualisierungen ihrer Methodik und Governance-Unterlagen prüfen.

Finanzinstitute sollten testen, ob Software eine Einstufung anhand der am Entscheidungsdatum verfügbaren Nachweise rekonstruieren kann. Der Test sollte geänderte Eigentumsangaben, ein fehlendes Attribut und eine begründete Übersteuerung durch einen Analysten umfassen. Versionierte Eingaben und Methoden helfen Prüfern, tatsächliche Risikoänderungen von veränderten Berechnungen zu unterscheiden.

Ergebnisse sollten die für Kundenkontrollen und Mängelbehebung zuständigen Teams erreichen. Eine höhere Kundeneinstufung kann eine Prüfung verstärkter Sorgfaltspflichten anhand der geltenden Regeln und Tatsachen erfordern. Das Transaktionsmonitoring untersucht anschließend Finanzaktivitäten, wobei relevante Erkenntnisse in die Bewertung und Überprüfung des Instituts zurückfließen.