Was ist wahrscheinlich der schnellste Weg zur Umsetzung der neuen GWVO?
Nach mehr als 15 Jahren Umsetzung des risikobasierten Ansatzes unter der 3., 4. und 5. EU-Geldwäscherichtlinie ist eine Erkenntnis eindeutig:
Das GW/TF-Framework funktioniert nur, wenn zuerst das Risiko kommt, darauf die Entscheidungen folgen und erst am Ende die operative Umsetzung erfolgt.
Die neue EU-Geldwäscheverordnung (Verordnung (EU) 2024/1624, kurz GWVO) ändert diese Logik nicht.
Sie verstärkt sie.
Der schnellste Weg zur Umsetzung der GWVO besteht daher nicht darin, mit Richtlinien, Verfahren oder IT-Tools zu beginnen, sondern derselben bewährten Abfolge zu folgen, die sich seit der AMLD III bewährt hat.
Der risikobasierte Ansatz ist der Ausgangspunkt – nicht das Ziel
Ein risikobasierter Ansatz bedeutet nicht, „einen Risikoabschnitt in einer Richtlinie zu haben“.
Er bedeutet, inhärente Risiken bewerten und Restrisiken transparent und reproduzierbar berechnen zu können.
Erst auf dieser Grundlage kann ein Institut fundierte Entscheidungen zu Kontrollen, Richtlinien und operativer Umsetzung treffen.
Schritt 1: Inhärente Risiken bewerten und Restrisiken berechnen
Der erste Schritt ist die institutsspezifische Risikoanalyse.
Dabei bestimmt das Institut:
- das inhärente Geldwäsche-/Terrorismusfinanzierungsrisiko seines Geschäftsmodells und
- das Restrisiko unter Berücksichtigung der Wirksamkeit bestehender GW/TF-Kontrollen.
Dieser Schritt beantwortet zwei grundlegende Fragen:
- Welche Risiken erzeugt unser Geschäftsmodell?
- Wie viel von diesem Risiko verbleibt nach Risikominderung?
In dieser Phase werden keine neuen Richtlinien entworfen.
Ziel ist Risikotransparenz, nicht Remediation.
Schritt 2: Akzeptanz des Restrisikos durch das Management
Sobald das Restrisiko berechnet ist, muss das Leitungsorgan – und insbesondere der Compliance-Beauftragte – entscheiden:
Welches Restrisikoniveau ist akzeptabel und welches nicht?
Diese Entscheidung ist der strategische Wendepunkt der AML-Umsetzung.
Ohne eine explizite Entscheidung zur Restrisikoakzeptanz:
- fehlt Richtlinien die Verankerung,
- verlieren Verfahren ihre Proportionalität,
- lassen sich aufsichtsrechtliche Erwartungen nicht konsistent erfüllen.
Dies ist keine technische Übung, sondern eine Risikotragfähigkeits- und Akzeptanzentscheidung auf Managementebene.
Schritt 3: Ausgestaltung von Richtlinien und Verfahren (2. Verteidigungslinie)
Erst nach der Entscheidung zur Restrisikoakzeptanz ist es sinnvoll, dass Compliance-Manager:
- GW/TF-Richtlinien ausarbeiten,
- Verfahren definieren,
- Kontrollen kalibrieren,
- Eskalationsschwellen festlegen.
In dieser Phase sind Richtlinien nicht mehr generisch, sondern:
- risikospezifisch,
- verhältnismäßig,
- und auf das akzeptierte Restrisiko abgestimmt.
Hier sollten GWVO-Richtlinien geschrieben werden – nicht vorher.
Schritt 4: Umsetzung und Ausführung in der 1. Verteidigungslinie
Nach Genehmigung von Richtlinien und Verfahren erfolgt die Umsetzung in der 1. Verteidigungslinie.
Der zentrale operative Baustein ist dabei die Kunden-Sorgfaltspflicht (Customer Due Diligence, CDD).
CDD ist der Punkt, an dem:
- Risikoanalysen operativ werden,
- Richtlinien ausführbar werden,
- und AMLR-Compliance prüfbar wird.
Ohne korrekte und vollständige CDD-Daten kann kein AML-Framework verlässlich funktionieren.
Schritt 5: Aufbau der übrigen GWVO-Pflichten auf Basis von CDD-Daten
Sobald belastbare CDD-Daten vorliegen, können:
- Transaktionsmonitoring-Systeme kalibriert werden,
- Verdachtsmeldungen getestet werden,
- laufende Überwachungsprozesse stabilisiert werden,
- Outsourcing-, Reliance- und Gruppenkontrollen überprüft werden,
- Aufbewahrungs- und Meldeprozesse validiert werden.
An diesem Punkt verlagert sich die GWVO-Umsetzung von Design zu Test und Feinjustierung.
Erst dann ist ein kontrolliertes „Go-Live“ sinnvoll.
Warum dies der schnellste Weg ist
Dieser Ansatz ist nicht theoretisch.
Er basiert auf:
- 15 Jahren Umsetzungspraxis der GW/TF-Richtlinien,
- der Logik aufsichtsrechtlicher Prüfungen,
- und den praktischen Gegebenheiten des Three-Lines-of-Defence-Modells.
Er vermeidet:
- mehrfaches Umschreiben von Richtlinien,
- nachträgliche Systemneubauten nach dem Go-Live,
- und das spätere „Nachrüsten“ von Kontrollen aufgrund von Datenproblemen.
Kurz gesagt: Risiko zuerst. Entscheidungen danach. Umsetzung zuletzt.
Ausblick
Der schnellste Weg zur Umsetzung der neuen EU-Geldwäscheverordnung (GWVO) besteht darin, derselben bewährten Logik zu folgen, die die GW/TF-Umsetzung seit der 3. Geldwäscherichtlinie bestimmt:
- Inhärente Risiken bewerten und Restrisiken berechnen
- Festlegen, welches Restrisiko akzeptabel ist
- Richtlinien und Verfahren entsprechend ausgestalten
- CDD in der 1. Verteidigungslinie umsetzen
- Die übrigen GWVO-Pflichten vor dem Go-Live aufbauen, testen und feinjustieren
Die GWVO erhöht die Anforderungen – sie erfindet den risikobasierten Ansatz jedoch nicht neu.