AML/CFT-Pflichten für VASPs · Lektion 4 von 5
Kernelemente eines AML/CFT-Programms
7 Min. Lesezeit
Aufsichtsbehörden, Prüfer und Bankpartner bewerten das AML/CFT-Programm eines VASP anhand einer anerkannten Checkliste mit verschiedenen Elementen. Jedes Element muss vorhanden und den Risiken des Unternehmens angemessen sein sowie Belege dafür liefern, dass es funktioniert. Diese Lektion gibt einen Überblick; spätere Module behandeln jedes Element ausführlich, und Modul 8 zeigt, wie das gesamte Programm von Grund auf aufgebaut wird.
Die internationale Grundlage
Die FATF-Empfehlungen schreiben kein Organigramm vor, definieren aber die Bausteine. Empfehlung 18 verpflichtet Finanzinstitute und über R.15 auch VASPs, Programme zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung umzusetzen. In der Interpretativen Anmerkung heißt es, dass diese Programme Folgendes umfassen sollten:
- interne Richtlinien, Verfahren und Kontrollen, einschließlich geeigneter Compliance-Management-Regelungen (mit einem Compliance-Beauftragten auf Managementebene) und angemessener Überprüfungsverfahren, um bei der Einstellung von Mitarbeitern hohe Standards sicherzustellen;
- ein laufendes Mitarbeiterschulungsprogramm;
- eine unabhängige Prüfungsfunktion, die das System testet.
Die Maßnahmen müssen den Risiken und der Größe des Unternehmens angemessen sein. Unternehmensgruppen müssen gruppenweite Programme durchführen, einschließlich des Informationsaustauschs zu AML/CFT-Zwecken, und zwar über Niederlassungen und mehrheitlich gehaltene Tochtergesellschaften hinweg. Weitere Empfehlungen geben die operativen Inhalte vor: Sorgfaltspflichten gegenüber Kunden (R.10), Aufbewahrung von Aufzeichnungen (R.11), politisch exponierte Personen (R.12), die Travel Rule (R.16), Meldung verdächtiger Transaktionen und Verbot des Hinweises an Betroffene (R.20 und R.21) sowie gezielte finanzielle Sanktionen (R.6 und R.7). Die Leitlinien des Basler Ausschusses für Bankenaufsicht zum soliden Management von Risiken im Zusammenhang mit Geldwäsche und Terrorismusfinanzierung (erstmals im Januar 2014 veröffentlicht und zuletzt im Juli 2020 aktualisiert) beschreiben dieselben Elemente für Banken und dienen auch Nichtbanken weithin als Referenz.
Governance und Rechenschaftspflicht der Geschäftsleitung
Ein Programm liegt in der Verantwortung der Unternehmensleitung, nicht des Compliance-Teams. Governance bedeutet, dass der Vorstand oder ein entsprechendes Gremium:
- die unternehmensweite Risikobewertung, die Risikobereitschaft und die AML/CFT-Richtlinie genehmigt;
- einen Compliance-Beauftragten bestellt, der über die nötigen Befugnisse und Ressourcen zur Erfüllung seiner Aufgaben verfügt;
- regelmäßig Managementinformationen erhält (Alarmvolumen und Rückstände, eingereichte Meldungen, Hochrisikokunden, Ausnahmen bei der Travel Rule, Prüfungsfeststellungen) und entsprechend handelt;
- sicherstellt, dass geschäftliche Entscheidungen, etwa die Listung eines neuen Tokens oder der Eintritt in ein neues Land, einer dokumentierten Risikoprüfung unterzogen werden.
Für bestimmte Teile des Programms sollten leitende Führungskräfte ausdrücklich als rechenschaftspflichtig benannt werden. Öffentliche Durchsetzungsmaßnahmen gegen Börsen haben wiederholt Führungskräfte angeführt, die Compliance als zu minimierende Kosten behandelten, die Compliance-Funktion überstimmten oder den Kundenstamm deutlich schneller ausbauten, als die Kontrollen Schritt halten konnten.
Der Compliance-Beauftragte und der MLRO
Der Compliance-Beauftragte (in vielen Unternehmen als Money Laundering Reporting Officer, MLRO, bezeichnet und mitunter auf zwei Funktionen aufgeteilt) führt das Programm im Tagesgeschäft. INR.18 ordnet die Funktion auf Managementebene an. In der Praxis benötigt sie:
- Unabhängigkeit von den Geschäftsbereichen, deren Aktivitäten sie kontrolliert, sowie einen direkten Berichtsweg an den Vorstand oder einen Ausschuss des Vorstands;
- Zugang zu sämtlichen Kunden-, Transaktions- und On-Chain-Daten, ohne dafür um Erlaubnis bitten zu müssen;
- Befugnis, Sachverhalte zu eskalieren, Kunden abzulehnen oder die Geschäftsbeziehung zu beenden und über Meldungen verdächtiger Transaktionen ohne Genehmigung des Geschäftsbereichs zu entscheiden;
- Ressourcen, die dem Umfang der Aktivitäten angemessen sind, einschließlich Analysten mit Kenntnissen in Blockchain-Analytik;
- eine geschulte Stellvertretung, damit die Meldetätigkeit bei Abwesenheit einer Person nicht unterbrochen wird.
Eine häufige Schwäche junger VASPs ist ein Compliance-Beauftragter, der zugleich den Betrieb leitet oder an den Leiter des Wachstumsbereichs berichtet. Die Lektion Aufbau der Compliance-Funktion behandelt die Organisationsgestaltung ausführlich.
Die operativen Elemente
Die Tabelle führt die übrigen Kernelemente, ihre jeweiligen Ziele und die Belege auf, nach denen Prüfer typischerweise fragen.
| Element | Was es erreichen muss | Typische Belege |
|---|---|---|
| Richtlinien und Verfahren | Die Risikobewertung in Regeln übersetzen, die Mitarbeiter befolgen können | Genehmigte Richtlinie, Verfahren mit Verantwortlichen und Überprüfungsterminen, Versionsverlauf |
| Sorgfaltspflichten gegenüber Kunden | Feststellen, wer der Kunde und der wirtschaftliche Eigentümer sind sowie welchen Zweck und welche erwarteten Aktivitäten es gibt | Unterlagen zur Aufnahme von Kunden, Risikobewertungen, EDD-Vermerke, Aufzeichnungen regelmäßiger Überprüfungen |
| Sanktionsscreening | Geschäfte mit gelisteten Personen und Adressen verhindern | Screening-Protokolle, Aufzeichnungen zu Listenaktualisierungen, Entscheidungen zu Treffern |
| Transaktionsüberwachung | Ungewöhnliche Aktivitäten bei Fiat- und On-Chain-Zahlungsströmen erkennen | Regelverzeichnis, Aufzeichnungen zur Abstimmung der Regeln, Alarm- und Fallakten |
| Travel Rule | Daten zum Auftraggeber und Begünstigten übermitteln, empfangen und überprüfen | Nachrichtenprotokolle, Entscheidungen zu Ausnahmen, Akten zur Sorgfaltsprüfung von Gegenparteien |
| Meldungen | Meldungen verdächtiger Transaktionen zeitnah einreichen, ohne Betroffene darauf hinzuweisen | Eingereichte Meldungen, Begründungen für nicht eingereichte Meldungen, Statistiken zur Rechtzeitigkeit |
| Aufbewahrung von Aufzeichnungen | Jede Transaktion und Entscheidung rekonstruieren können | Aufbewahrungsplan, Abrufprüfungen |
| Überprüfung von Mitarbeitern | Mitarbeiter mit hohen Integritätsstandards einstellen | Hintergrundüberprüfungen für sensible Funktionen |
| Schulungen | Mitarbeiter befähigen, Risiken zu erkennen und zu eskalieren | Schulungsplan, Teilnahme, Testergebnisse |
| Unabhängige Prüfung | Überprüfen, ob das Programm funktioniert | Prüfungsberichte, Verzeichnis der Feststellungen, Nachweise zur Behebung |
Jedes Element wird in späteren Lektionen behandelt, von Identifizierung und Überprüfung von Kunden bis zu Meldepflichten bei verdächtigen Transaktionen.
Aufbewahrung von Aufzeichnungen zu Krypto-Transaktionen
Empfehlung 11 verpflichtet Unternehmen, alle erforderlichen Transaktionsaufzeichnungen mindestens fünf Jahre lang aufzubewahren. Aufzeichnungen zur Sorgfaltsprüfung gegenüber Kunden, Kontounterlagen, Geschäftskorrespondenz und Ergebnisse jeder Analyse sind mindestens fünf Jahre nach Beendigung der Geschäftsbeziehung oder nach dem Datum einer gelegentlichen Transaktion aufzubewahren. Die Aufzeichnungen müssen ausreichen, um einzelne Transaktionen zu rekonstruieren und als Beweismittel zu dienen, und den zuständigen Behörden unverzüglich zur Verfügung gestellt werden können. Nationale Vorschriften können längere Fristen vorsehen.
Für einen VASP geht „ausreichend, um zu rekonstruieren“ über ein Fiat-Hauptbuch hinaus. Eine vollständige Aufzeichnung verknüpft in der Regel:
- die Kennungen des Kunden und des Kontos sowie die zum betreffenden Zeitpunkt geltenden Unterlagen zur Sorgfaltsprüfung gegenüber dem Kunden;
- den Transaktions-Hash, die Blockchain, den Vermögenswert, den Betrag, die Adressen, die Blockhöhe und den Zeitstempel;
- die übermittelten oder empfangenen Daten gemäß Travel Rule sowie den VASP der Gegenpartei;
- die Ergebnisse des Screenings und der Analyse zum Zeitpunkt der Entscheidung, da sich Labels und Risikobewertungen später ändern;
- den Alarm, Fallnotizen und die endgültige Entscheidung, einschließlich der Begründung, weshalb keine Meldung eingereicht wurde.
Es ist wichtig, eine Momentaufnahme des Analyseergebnisses aufzubewahren. Wird eine Adresse sechs Monate, nachdem Sie eine Einzahlung angenommen haben, als Hochrisikoadresse eingestuft, wird ein Prüfer fragen, was Sie zu diesem Zeitpunkt wussten. Nur eine gespeicherte Momentaufnahme kann diese Frage beantworten. Die Lektion Aufbewahrung von Aufzeichnungen, Datenschutz und Informationsaustausch bringt diese Pflichten mit dem Datenschutzrecht in Einklang.
Schulungen und unabhängige Prüfungen
Schulungen müssen fortlaufend und auf die jeweilige Funktion zugeschnitten sein. Mitarbeiter des Kundendienstes müssen Betrugsopfer erkennen und vermeiden, Betroffene auf eine Meldung hinzuweisen; OTC-Händler benötigen Kenntnisse zu Warnsignalen bei der Mittelherkunft; Ingenieure, die Screening-Code ändern, müssen wissen, was ein übersehener Alarm bedeutet. Erfassen Sie den Abschluss der Schulungen und überprüfen Sie das Verständnis.
Unabhängige Prüfungen stellen fest, ob das Programm funktioniert, und nicht nur, ob Dokumente vorhanden sind. Sie können von der internen Revision oder einer qualifizierten externen Stelle durchgeführt werden. Die Prüfer müssen jedoch unabhängig von den Personen sein, die die Kontrollen entworfen haben und betreiben. Gute Prüfungsumfänge ziehen Stichproben aus echten Alarmen und Kundenaufnahmen, führen das Screening anhand historischer Listen erneut durch und testen, ob Aufzeichnungen abgerufen werden können. Feststellungen werden dem Vorstand mit Verantwortlichen und Fristen vorgelegt. Die Lektion Schulungen, Kultur und unabhängige Prüfungen behandelt Umfang und Häufigkeit.
Das Drei-Linien-Modell
Die meisten Unternehmen organisieren ihre Zuständigkeiten nach dem Drei-Linien-Modell, das das Institute of Internal Auditors (2020) veröffentlicht hat. Es ist der Nachfolger des „Drei-Verteidigungslinien-Modells“, das auch in den AML-Leitlinien des Basler Ausschusses für Bankenaufsicht verwendet wird.
| Linie | Wer in einem VASP | AML/CFT-Rolle |
|---|---|---|
| Erste Linie | Kundenaufnahme, Betrieb, OTC-Schalter, Kundendienst, Produkt und Technik | Verantwortung für die selbst verursachten Risiken übernehmen; Sorgfaltspflichten gegenüber Kunden anwenden, ungewöhnliche Aktivitäten melden, Verfahren befolgen |
| Zweite Linie | Compliance-Beauftragter/MLRO und das Team für Finanzkriminalität, Risikomanagement | Richtlinien festlegen, die EWRA durchführen, überwachen und hinterfragen, über Meldungen entscheiden, dem Vorstand berichten |
| Dritte Linie | Interne Revision oder ein unabhängiger externer Prüfer | Dem Vorstand unabhängige Sicherheit hinsichtlich Gestaltung und Wirksamkeit geben |
Der Vorstand steht als Leitungsorgan über allen drei Linien. In kleinen Unternehmen treten zwei Fehlermuster immer wieder auf: Die zweite Linie übernimmt Aufgaben der ersten Linie (Compliance-Mitarbeiter nehmen jeden Kunden auf, sodass niemand die Kundenaufnahme hinterfragt), und die dritte Linie wird an dieselben Berater ausgelagert, die das Programm entworfen haben, sodass niemand unabhängig ist.
Prüfungsschwerpunkt: die drei Komponenten, die INR.18 verlangt (Richtlinien, Verfahren und Kontrollen einschließlich eines Compliance-Beauftragten auf Managementebene und Überprüfung von Mitarbeitern; laufende Schulungen; unabhängige Prüfung), sowie die Verhältnismäßigkeit zu Risiko und Größe; die FATF-Pflichten hinter jedem operativen Element; die Zuständigkeiten des Vorstands und der Geschäftsleitung; was Unabhängigkeit, Zugang, Befugnisse und Ressourcen für den Compliance-Beauftragten/MLRO bedeuten; die Aufbewahrung gemäß R.11 für mindestens fünf Jahre und die Bestandteile einer rekonstruierbaren Krypto-Aufzeichnung, einschließlich Momentaufnahmen von Analyseergebnissen; das Drei-Linien-Modell und seine häufigen Fehlermuster.