Neue unternehmensweite Risikoanalyse (BWRA) nach Artikel 10 GWVO
Die Europäische Union gestaltet die Governance zur Bekämpfung von Geldwäsche grundlegend neu. Eine der wichtigsten Änderungen unter der Verordnung (EU) 2024/1624 (GWVO) ist der neue Rahmen für die unternehmensweite Risikoanalyse, die sogenannte Business-Wide Risk Assessment (BWRA), nach Artikel 10 AMLR.
Für viele Verpflichtete wurde die BWRA bislang häufig behandelt als:
- statisches Compliance-Dokument,
- periodischer Risikobericht,
- oder regulatorische Formalität.
Diese Zeit geht zu Ende.
Mit der Veröffentlichung der AMLA-„Consultation on the draft Guidelines on business-wide risk assessment“ wird die künftige aufsichtliche Richtung sichtbar. Die neue BWRA entwickelt sich zu einem vollständig operativen GW/TF-Risiko-Governance-Rahmenwerk, das zu einem der zentralen Prüfungsgegenstände der künftigen GW/TF-Aufsicht in der EU werden wird.
Die Auswirkungen für Banken, Zahlungsinstitute, Kryptounternehmen, Versicherer, Wertpapierfirmen und andere Verpflichtete sind erheblich.
Was ist die unternehmensweite Risikoanalyse (BWRA)?
Die unternehmensweite Risikoanalyse ist die institutsweite Bewertung von Risiken im Zusammenhang mit Geldwäsche, Terrorismusfinanzierung und gezielten finanziellen Sanktionen, die sich ergeben aus:
- Kunden,
- Produkten,
- Dienstleistungen,
- Transaktionen,
- Vertriebskanälen,
- und geografischer Exponierung.
Nach Artikel 10 GWVO müssen Verpflichtete ihre Risiken identifizieren, bewerten, verstehen und dokumentieren sowie angemessene risikomindernde Kontrollen implementieren.
Die BWRA bildet das Fundament des gesamten GW/TF-Rahmenwerks, da sie bestimmt:
- Kundenrisikomodelle,
- Intensität der Überwachung,
- Sorgfaltspflichten,
- Kontrollprioritäten,
- Ressourcenzuweisung,
- und Governance-Maßnahmen.
AMLA beschreibt die BWRA ausdrücklich als „zentrales Element des risikobasierten Ansatzes“.
Warum die neue BWRA nach Artikel 10 GWVO so wichtig ist
Der neue GWVO-Rahmen erweitert die aufsichtlichen Erwartungen erheblich.
Das Konsultationspapier der AMLA macht deutlich, dass die BWRA künftig nicht mehr sein darf:
- eine generische Darstellung,
- ein dokumentenbasiertes Muster,
- oder eine bloße „Box-Ticking“-Übung.
Stattdessen muss die BWRA werden:
- evidenzbasiert,
- methodikgetrieben,
- operativ verankert,
- prüfbar,
- und verhältnismäßig zur tatsächlichen Risikoexponierung des Instituts.
Dies markiert einen wesentlichen Wandel von dokumentenzentrierter GW/TF-Compliance hin zu operativer GW/TF-Risikogovernance.
Die vier Kernanforderungen der neuen BWRA
Die Entwürfe der AMLA-Leitlinien legen vier Mindestanforderungen für alle Verpflichteten fest.
1. Institutioneller Kontext
Das Institut muss verstehen und dokumentieren:
- sein Geschäftsmodell,
- Produkte und Dienstleistungen,
- Kundentypen,
- Transaktionsflüsse,
- Vertriebskanäle,
- und geografische Präsenz.
Dies schafft die strukturelle Grundlage für die Risikoanalyse.
2. Identifizierung des inhärenten Risikos
Institute müssen ihre rohe beziehungsweise „inhärente“ ML/TF-Exponierung identifizieren, bevor Kontrollen berücksichtigt werden.
Dies umfasst Risiken aus:
- Hochrisikokunden,
- komplexen rechtlichen Strukturen,
- grenzüberschreitenden Aktivitäten,
- bargeldintensiven Branchen,
- Kryptowerten,
- Korrespondenzbankbeziehungen,
- und Hochrisikostaaten.
Dieser Schritt ist entscheidend, da AMLA nun formal unterscheidet zwischen:
- inhärentem Risiko,
- Wirksamkeit der Kontrollen,
- und Restrisiko.
3. Bewertung der Kontrollwirksamkeit
Eine der wichtigsten Entwicklungen in der AMLA-Konsultation ist die Anforderung, Kontrollen sowohl aus einer:
- Design-Perspektive,
- als auch aus einer Wirksamkeitsperspektive
zu bewerten.
Das bedeutet, Institute müssen beurteilen, ob Kontrollen:
- angemessen ausgestaltet sind,
- in der Praxis wirksam funktionieren,
- verhältnismäßig sind,
- und die identifizierten Risiken angemessen mindern.
Dies führt eine Governance-Logik ein, die sehr ähnlich ist zu:
- internen Kontrollsystemen,
- operationellem Risikomanagement,
- DORA-Governance,
- und internen Revisionsmethodiken.
4. Bestimmung des Restrisikos
Nach der Bewertung der Kontrollen müssen Institute das verbleibende beziehungsweise „residuale“ Risiko bestimmen.
Dies ist das Risiko, das nach Anwendung der Minderungsmaßnahmen weiterhin besteht.
Die Restrisikobewertung wird zu einem zentralen aufsichtlichen Fokus, da sie zeigt, ob:
- Kontrollen ausreichend sind,
- Governance wirksam ist,
- und GW/TF-Risiken innerhalb akzeptabler Grenzen verbleiben.
AMLA macht die BWRA zu einer aufsichtlichen Risiko-Engine
Eine der wichtigsten Botschaften des Konsultationspapiers ist, dass die BWRA zu einem aufsichtsreifen Risikorahmenwerk wird.
Aufsichtsbehörden werden zunehmend prüfen:
- Methodiken,
- Scoring-Logiken,
- Gewichtungsmodelle,
- Aggregationsmechanismen,
- Override-Prozesse,
- Qualität der Nachweise,
- und Governance-Dokumentation.
Die Methodik selbst wird prüfbar.
Dies ist ein fundamentaler Wandel in der EU-GW/TF-Aufsicht.
Institute müssen künftig erklären können:
- warum Risiken auf eine bestimmte Weise gewichtet werden,
- wie Restrisiken berechnet werden,
- wie Kontrollen validiert werden,
- und wie Managemententscheidungen dokumentiert werden.
Formalistische GW/TF-Compliance reicht nicht mehr aus
AMLA kritisiert wiederholt:
- „formalistische Übungen“,
- „rein prozessuale Compliance“,
- und unwirksame, vorlagengetriebene Ansätze.
Dies signalisiert eine klare aufsichtliche Richtung:
Die künftige GW/TF-Aufsicht wird stärker auf Substanz als auf äußere Form achten.
Institute, die sich verlassen auf:
- statische PDF-Dokumente,
- undokumentierte Scoring-Systeme,
- kopierte Branchenvorlagen,
- oder generische Risikodarstellungen,
könnten zunehmend regulatorischer Prüfung ausgesetzt sein.
Die Erwartung lautet nun:
- nachweisbares Risikoverständnis,
- evidenzbasierte Governance,
- und operativ wirksame Kontrollen.
Interne Revision und Testing werden zentral
Der neue BWRA-Rahmen stärkt die Bedeutung von:
- interner Revision,
- Compliance Testing,
- Nachverfolgung von Maßnahmen,
- und Governance-Validierung
erheblich.
AMLA verweist ausdrücklich auf:
- Prüfungsfeststellungen,
- aufsichtliche Feststellungen,
- Lessons Learned,
- und Ergebnisse von Kontrolltests
als wichtige Informationsquellen für die BWRA.
Das bedeutet, künftige GW/TF-Governance-Rahmenwerke werden voraussichtlich erfordern:
- wiederkehrende Validierungszyklen,
- formelle Kontrolltests,
- strukturierte Maßnahmenprozesse,
- und dokumentierte Nachweis-Repositories.
Verhältnismäßigkeit nach Artikel 10 GWVO
Ein wichtiger Aspekt des AMLA-Ansatzes ist die Verhältnismäßigkeit.
AMLA erkennt an, dass:
- kleine Unternehmen,
- nicht-komplexe Firmen,
- und DNFBPs
nicht dieselben anspruchsvollen Rahmenwerke implementieren können wie große, grenzüberschreitende Finanzinstitute.
Daher erlauben die Leitlinien ausdrücklich:
- qualitative Ansätze,
- vereinfachte Methodiken,
- und sektorale BWRAs.
Verhältnismäßigkeit beseitigt jedoch nicht die Verantwortlichkeit.
Auch kleinere Verpflichtete müssen weiterhin:
- ihre Risiken verstehen,
- ihre Methodik dokumentieren,
- ihre Schlussfolgerungen begründen,
- und wirksame Kontrollen aufrechterhalten.
Integration von Sanktionen und gezielten finanziellen Sanktionen (TFS)
Eine weitere wesentliche Entwicklung ist die Integration von:
- Verhinderung von Geldwäsche,
- Verhinderung von Terrorismusfinanzierung
- und gezielten finanziellen Sanktionen (TFS).
AMLA macht deutlich, dass Sanktionsrisiken und Risiken der Sanktionsumgehung in die BWRA integriert werden müssen.
Dies ist besonders bedeutsam, da Sanktions-Governance in vielen Instituten historisch getrennt von GW/TF-Governance behandelt wurde.
Der künftige EU-Rahmen führt zunehmend zusammen:
- GW/TF-Risikomanagement,
- Sanktions-Compliance,
- und Financial-Crime-Governance.
Gruppenweite Risiko-Governance unter der GWVO
Grenzüberschreitende Gruppen stehen vor besonders erheblichen Veränderungen.
AMLA erwartet:
- koordinierte Methodiken,
- konsolidierte gruppenweite Risikosichten,
- Bewertungen auf Ebene von Zweigniederlassungen,
- und einheitliche Governance-Standards.
Dies ähnelt aufsichtsrechtlicher Konsolidierung und Enterprise-Risk-Management-Rahmenwerken.
Internationale Gruppen werden voraussichtlich benötigen:
- harmonisierte Taxonomien,
- gemeinsame Scoring-Methodiken,
- gruppenweite Governance-Gremien,
- und zentrale Überwachungsmechanismen.
Praktische Herausforderungen für Verpflichtete
Der neue BWRA-Rahmen wird im Finanzsektor umfangreiche Umsetzungsprojekte auslösen.
Zu den zentralen Herausforderungen gehören:
Methodik-Governance
Institute müssen dokumentieren:
- Scoring-Logik,
- Begründung der Gewichtungen,
- Aggregationsmethoden,
- und Override-Prozesse.
Datenqualität
Verlässliche und nachvollziehbare Daten werden kritisch.
Kontrollvalidierung
Kontrollen müssen getestet werden auf:
- Angemessenheit des Designs,
- operative Wirksamkeit,
- und Verhältnismäßigkeit.
Dokumentation
Institute werden benötigen:
- Nachweis-Repositories,
- Governance-Dokumentation,
- Audit Trails,
- und versionierte Methodiken.
Dynamische Aktualisierungen
Die BWRA muss sich weiterentwickeln mit:
- Änderungen im Geschäftsmodell,
- neuen Produkten,
- Entwicklungen im Sanktionsbereich,
- neuen Typologien,
- und aufsichtlichen Erwartungen.
Worauf Aufsichtsbehörden voraussichtlich achten werden
Künftige aufsichtliche Prüfungen werden voraussichtlich fokussieren auf:
- methodische Robustheit,
- Qualität der Nachweise,
- Wirksamkeit der Governance,
- Restrisiko-Logik,
- Kontrolltesting,
- Einbindung des Managements,
- und Fähigkeit zur Maßnahmenumsetzung.
Aufsichtsbehörden könnten zunehmend hinterfragen:
- undokumentierte Annahmen,
- vereinfachte Scoring-Ansätze,
- unverhältnismäßige Gewichtungen,
- und unwirksame Kontrollen.
Die BWRA entwickelt sich zu einem der wichtigsten Governance-Dokumente in der AMLR-Ära.
Key Takeaways
Die neue unternehmensweite Risikoanalyse nach Artikel 10 GWVO stellt eine der bedeutendsten Transformationen der GW/TF-Governance in Europa dar.
AMLA bewegt den Markt eindeutig weg von:
- statischer Compliance-Dokumentation
hin zu:
- operativer Risikogovernance,
- evidenzbasierten Methodiken,
- Prüfung der Kontrollwirksamkeit,
- und prüfbaren AML-Rahmenwerken.
Die BWRA ist nicht länger lediglich eine Compliance-Übung.
Sie wird zu:
- der zentralen Governance-Engine des GW/TF-Rahmenwerks,
- einem zentralen aufsichtlichen Prüfungsgegenstand,
- und einem wichtigen Indikator für die GW/TF-Reife eines Instituts.
Institute, die frühzeitig mit der Vorbereitung beginnen, werden für das neue AMLA-Aufsichtsumfeld deutlich besser positioniert sein.