Wie funktioniert ein risikobasierter Ansatz bei der Einhaltung der Geldwäschebestimmungen?

Der Verkauf eines Luxuswagens in einer Stadt, deren Bewohner ums Überleben kämpfen, ist reine Zeitverschwendung. Ähnliches geschieht bei der Geldwäschebekämpfung, wenn ein Unternehmen einen risikoarmen Angestellten und einen hochriskanten Beamten gleichermaßen prüft. Der risikoarme Kunde stößt auf unnötige Hürden, während der risikoreichere Kunde durch Kontrollen schlüpfen kann, die nie optimal auf sein Risiko ausgelegt waren. Einheitliche Standards klingen zwar fair, doch im Risikomanagement ist die Gleichbehandlung aller Risiken keine effektive Strategie. 

Die zur Einhaltung der KYC/AML-Vorschriften implementierten Kontrollmaßnahmen müssen dem jeweiligen Risiko angemessen sein. Dies ist der Kern des risikobasierten Ansatzes der RBA zur Bekämpfung von Geldwäsche.

Was versteht man unter einem risikobasierten Ansatz bei der Einhaltung der Geldwäschebestimmungen?

Ein risikobasierter Ansatz (RBA) bedeutet, dass Unternehmen die Bereiche identifizieren, in denen Geldwäsche- und Terrorismusfinanzierungsrisiken (ML/TF-Risiken) am höchsten sind, und angemessene Kontrollmaßnahmen anwenden. Verhältnismäßigkeit bedeutet strengere Kontrollen bei hohem Risiko und weniger strenge bei niedrigem Risiko. Dieser Gedanke, der den globalen AML-Standards zugrunde liegt, hat seinen Ursprung in der modernen Regulierung der britischen Finanzdienstleistungsaufsicht (Financial Services Authority, FCA). Im Januar 2000 veröffentlichte die FCA ein entsprechendes Dokument. Ein neuer Regler für das neue Jahrtausend ein risikoorientiertes Modell zur Verteilung des Aufsichtsaufwands entwickelt.

Ein paar Jahre später, die Financial Action Task Force (FATF) Die risikobasierte Geldpolitik (RBA) wurde auf globaler Ebene formalisiert. Die FATF veröffentlichte 2007 übergeordnete RBA-Prinzipien, gefolgt von branchenspezifischen Leitlinien, beispielsweise für Casinos im Jahr 2008 und für den Bankensektor im Jahr 2014. Die RBA wurde 2012 als Eckpfeiler der Strategie für risikobasierte Geldpolitik (RBA) verankert. FATF-Empfehlungen.

Welche Bedeutung hat ein risikobasierter Ansatz bei der Einhaltung der AML-Vorschriften?

Unternehmen müssen begrenzte Ressourcen mit raschen regulatorischen Änderungen und sich wandelnden Marktanforderungen in Einklang bringen. In diesem volatilen Umfeld ist das Risiko nicht einheitlich; es variiert je nach Kunde, Produkt und Region.

Ein risikobasierter Ansatz (RBA) begegnet diesem Problem, indem er begrenzte personelle, technologische und zeitliche Ressourcen gezielt auf die größten Risiken konzentriert. Diese Strategie gewährleistet effektive und effiziente Kontrollen und ermöglicht die Anpassung der Compliance an neue Standards ohne signifikante Mehrkosten. Genau diese zielgerichtete Fokussierung erwarten Vorgesetzte bei risikoorientierten Audits.

Die RBA ist für größere Institutionen wie Banken, die in mehreren Jurisdiktionen mit unterschiedlichen Vorschriften tätig sind und einen beträchtlichen Teil ihres Budgets für die Einhaltung dieser Vorschriften aufwenden, von noch größerer Bedeutung.

Die Bedeutung dieser Vorgehensweise liegt darin begründet, dass pauschale Kontrollmaßnahmen Institute zu einer umfassenden Risikoreduzierung verleiten und ganze Kundengruppen ausschließen können. Dieser Ansatz ist nicht nur ineffektiv für die Umsetzung von Geldwäschegesetzen, sondern führt auch dazu, dass Kunden, deren Risiko reduziert wurde, dem Überwachungsnetz entgehen und sich illegalen Finanzquellen zuwenden. Darüber hinaus beeinträchtigt er das übergeordnete Ziel der finanziellen Inklusion. Jüngste Empfehlungen des US-Finanzministeriums und FinCEN Die Materialien betonen, dass AML-Programme risikobasiert und nicht kategorisch sein sollten, um diese Schäden zu vermeiden.

Welcher Zusammenhang besteht zwischen einem risikobasierten Ansatz, De-Risking und finanzieller Inklusion?

Verhältnismäßigkeit ist das Grundprinzip der risikobasierten Finanzpolitik (RBA), die durch gezielte Kontrollen die finanzielle Inklusion fördern soll. In der Vergangenheit wurde die RBA jedoch nicht in ihrem eigentlichen Sinne umgesetzt, was dazu führte, dass marginalisierten Bevölkerungsgruppen der Zugang zu Finanzdienstleistungen verwehrt blieb. Dies umfasste auch die Benachteiligung von Nichtregierungsorganisationen (NPOs) und behinderte die Durchführung humanitärer Hilfsprojekte.

In 2014 stellte das FATF-Plenarsitzung Die FATF erörterte diese Konsequenzen und stellte klar, dass Risikominderung niemals als Vorwand für die Anwendung des risikobasierten Ansatzes dienen dürfe. Sie merkte zudem an, dass der risikobasierte Ansatz nicht bedeute, ganzen Kundengruppen aufgrund höherer Risiken Dienstleistungen zu verweigern, sondern dass Entscheidungen im Einzelfall getroffen werden müssten. Risikominderung steht im krassen Gegensatz zum risikobasierten Ansatz.

Höhere Compliance-Kosten, geringere Rentabilität oder andere Gründe rechtfertigen kein De-Risking. Die 2024 von FinCEN vorgeschlagene Regelung empfiehlt Unternehmen, innovative Techniken und künstliche Intelligenz einzusetzen, um Compliance-Kosten zu senken und die Effizienz zu steigern. Dies ist ein weiterer Schritt zur Verwirklichung der politischen Ziele von FinCEN, die finanzielle Inklusion durch die Ausweitung des Zugangs zu Bankdienstleistungen für unterversorgte Bevölkerungsgruppen zu fördern.

So sollten Unternehmen auch eine „No-De-Risking“-Strategie umsetzen und eine Geschäftsbeziehung nur dann beenden, wenn die Risiken nicht im Einzelfall gemindert werden können.

Was sind die grundlegenden Elemente eines risikobasierten Ansatzes?

Risikobewertung

Das Risikobewertung Der Prozess ist die Grundlage eines risikobasierten Ansatzes. Nur wenn ein Unternehmen versteht, wo sich Risiken konzentrieren, kann es angemessene Kontrollmaßnahmen anwenden und deren Wirksamkeit überwachen.

Bestimmte Produkte/Dienstleistungen, Kundengruppen, Vertriebskanäle und Regionen bergen möglicherweise höhere Risiken im Zusammenhang mit Geldwäsche und Terrorismusfinanzierung als andere. Unternehmen sollten die inhärenten Risiken in Kategorien, die ihrer Größe und Komplexität entsprechen, sorgfältig ermitteln und jedes identifizierte Risiko kategorienübergreifend nach seinem Schweregrad bewerten. Beispielsweise ist das Risiko einer Bank mit einer signifikanten Anzahl grenzüberschreitender Überweisungen höher als das einer kleinen Bank, die inländische Kunden ohne internationale Überweisungen betreut.

Unternehmen sollten auch die Ergebnisse nationaler oder branchenspezifischer Risikoanalysen in ihre unternehmensweite Risikobewertung einbeziehen. Eine Risikobewertung sollte aktualisiert werden, sobald sich wesentliche Änderungen bei den Produkten, dem Kundenstamm oder der geografischen Reichweite ergeben.

Risk Mitigation

Nachdem die relevanten Geldwäscherisiken für ein Unternehmen identifiziert wurden, besteht der nächste Schritt darin, verhältnismäßige Kontrollmaßnahmen auszuwählen, die diese Risiken tatsächlich auf ein akzeptables Niveau reduzieren, das auch als Risikoappetit des Unternehmens bezeichnet wird.

Ein Unternehmen, das voraussichtlich Zahlungen an oder von sanktionierten Stellen erhalten wird, muss ein Echtzeit-System implementieren. Sanktionsscreening Prozesse für Kunden, Geschäftspartner und Risikokorridore sind erforderlich. Ebenso benötigt eine Fintech-Plattform, die Remote-Onboarding ermöglicht, Kontrollmechanismen wie biometrische Verifizierung, Lebenderkennung und Dokumentenvalidierung, um Risiken wie Betrug durch eigene Kunden, Deepfakes, synthetische Identitäten, Identitätsdiebstahl und Präsentationsangriffe zu minimieren. Dies sind einige Beispiele für risikobasierte Ansätze zur Risikominderung.

Unternehmen sollten Kennzahlen zur Messung der Wirksamkeit von Risikominderungsmaßnahmen erfassen, um festzustellen, ob der risikobasierte Ansatz zur Bekämpfung von Geldwäsche tatsächlich wie beabsichtigt funktioniert. Je nach Funktion lassen sich die Kontrollen in zwei Kategorien einteilen:

• Präventionsmaßnahmen: Diese Kontrollmaßnahmen verhindern, dass ein Risiko überhaupt erst entsteht. Zu den präventiven Kontrollmaßnahmen gehören Identitätsprüfung, KYC und Kennen Sie Ihr Geschäft Verfahren bei der Einstellung, Sanktionen, PEP und Screening negativer Medien bei der Einstellung, Biometrie und Lebenderkennung bei der Ferneinstellung, einschließlich risikobasierter Sorgfaltsprüfung.
• Detektionssteuerung: Zur Erkennung von Risiken, die trotz präventiver Kontrollen unentdeckt geblieben sind oder erst später auftreten, werden Kontrollmechanismen eingesetzt. Dazu gehören Maßnahmen wie die kontinuierliche Überwachung von Transaktionen, die Beobachtung negativer Medienberichte, Sanktions- und PEP-Screenings in Echtzeit (Reaktion auf Änderungen in der Liste) sowie regelmäßige Aktualisierungen der KYC-Daten.

Unternehmen sollten messbare Ziele für Kontrollmaßnahmen festlegen, um die Wirksamkeit eines risikobasierten Ansatzes zur Bekämpfung von Geldwäsche zu überwachen. Beispielsweise sollten bei Remote-Zugriffen bestimmte Kriterien berücksichtigt werden. Kunden-Onboarding wurde mit Lebendigkeits- und Dokumentenauthentizitätsprüfung kombiniert; messbare Ziele können sein:

• 95 % der Onboarding-Entscheidungen sollten in weniger als 30 Sekunden getroffen werden. 
• Alle Kunden, die zu 100 % remote onboarding-fähig sind, müssen Lebendigkeits- und Dokumentenauthentizitätsprüfungen bestehen.

Interne Kontrollen, Unternehmensführung und Überwachung

Unternehmen sollten Richtlinien, Funktionstrennung, Qualitätssicherung/Validierung von Modellen, Schwellenwertüberprüfungen und ein Ausnahmeregister in schriftlicher Form mit Ablaufdaten führen. Die Leistung des risikobasierten Business Assessments (RBA) sollte anhand von Alarmergebnissen, Berichten über verdächtige Aktivitäten und der Gesamtalarmquote überwacht werden, einschließlich regelmäßiger und ereignisgesteuerter Überprüfungen von Kunden mit höherem Risiko.

Vorteile eines risikobasierten Ansatzes bei der Geldwäschebekämpfung/Identitätsprüfung

• Bessere KundenerfahrungDie Anwendung verhältnismäßiger Kontrollen bedeutet, dass Benutzer mit geringem Risiko weniger Schritte durchlaufen müssen, wodurch die tatsächliche Akzeptanzrate (TAR) steigt, während die Fehlalarmrate (FRR) niedrig bleibt.

• Schärfere RisikokontrolleStrengere Kontrollen für Fälle mit höherem Risiko verbessern die Falschakzeptanzrate (FAR), ohne die vielen legitimen Kunden auszuschließen.
• Effiziente AbläufeWeniger Fehlalarme reduzieren den Arbeitsaufwand und setzen Ressourcen für die Bearbeitung komplexerer Eskalationsfälle frei, was zu schnelleren Entscheidungen führt. Schnellere Entscheidungen und weniger fälschliche Ablehnungen bedeuten zudem weniger Kundenabwanderung und höhere Umsätze.
• Regulatorisches VertrauenRisikobasiert AML-Konformität ist ein evidenzbasierter Ansatz, bei dem die Prüfer den Weg vom Risiko über die Kontrollmaßnahmen bis zum Ergebnis nachvollziehen können.

Wie lässt sich Regtech intelligent nutzen, um einen risikobasierten Ansatz umzusetzen?

Die Identitätsprüfung ist ein zentraler Bestandteil jedes KYC-Prozesses (Know Your Customer). Daher ist das richtige KYC-Tool, das Ihnen die Einhaltung des risikobasierten Ansatzes ermöglicht, eines, mit dem Sie Ihren Identitätsprüfungsprozess an Ihr Risikoprofil und Ihre Risikobereitschaft anpassen können. Dieser Ansatz schützt nicht nur vor Bedrohungen wie Identitätsdiebstahl und Betrug durch Identitätsdiebstahl, sondern ermöglicht auch die reibungslose Registrierung legitimer Nutzer und trägt so zur finanziellen Inklusion Ihres Unternehmens bei.

Bei der Umsetzung eines risikobasierten Ansatzes sollten Institutionen Folgendes vermeiden:

• Datenlücken, da fragmentierte Daten zu Identität, Transaktionen und Geräten die Wirksamkeit der Kontrollen verringern.
• Einheitliche Vorgehensweisen, wie die Anwendung eines einheitlichen Transaktionsschwellenwerts für alle Kunden, führen zu Rückständen, schlechten Ergebnissen und unnötigen Reibungsverlusten.
• Das Risiko für das gesamte Kundensegment sollte minimiert werden, da dies im Widerspruch zu den RBA-Intentionen der FATF steht und zu finanziellem Ausschluss führt.
• Die Leistung wird anhand von Aktivitäten wie Warnmeldungen und Überprüfungen verfolgt, ohne SAR-Konvertierung, SLA-Schwellenwertüberschreitungen, Restrisiko sowie Treffsicherheit und Präzision von Screening-Systemen zu berücksichtigen.

Verfolgen Sie die folgenden Kennzahlen, um festzustellen, ob Ihr risikobasierter Ansatz wie beabsichtigt funktioniert:

• Überprüfen Sie die Ergebnisse des Screenings, um festzustellen, ob das System tatsächliche Risiken erkennt, ohne in falsch-positiven Ergebnissen unterzugehen.
  • Erinnern (Prozentsatz der vom System identifizierten korrekten Übereinstimmungen)
  • Präzision (Anteil der tatsächlichen Treffer an allen vom System erfassten Warnmeldungen) (nach Segment)
  • Zur Verbesserung sollten diese Kennzahlen in verschiedenen Segmenten separat erfasst werden.
• Führen Warnmeldungen zu qualitativ hochwertigen Fällen und zeitnahen Verdachtsmeldungen?
  • Alarm-zu-SAR Konvertierung & Zeit bis zur Datei
• Werden Hochrisikoprüfungen gründlich und schnell durchgeführt?
  • Bestellung ansehen Erweiterte Due Diligence (EDD) Zykluszeit und Fertigstellungsrate
• Bestellung ansehen Abdeckung & SLA für vorbeugende Kontrollen
  •  z. B. Aktualisierung der Sanktionsliste innerhalb von 2 Stunden und 100% Delta-Screening (nur Änderungen in den Listen) bei allen aktiven Kunden.
• Sind die größten Risiken nach den Kontrolländerungen rückläufig?
  • Bestellung ansehen Restrisiko Trend
• Bestellung ansehen FAR / FRR und TAR getrennt für Kunden mit höherem und niedrigerem Risiko:
  • Passen Sie die Steuerungselemente so an, dass sie den richtigen FAR/FRR- und TAR-Wert für die Kundensegmente erreichen.
  • Einheitliche Kontrollmechanismen führen zu höheren Fehlalarm- bzw. -ablehnungsraten, was Umsatzeinbußen und erhöhte Betrugsrisiken zur Folge hat.
  • Zeigen Sie, dass Kunden mit niedrigem Risiko hohe Akzeptanzraten erzielen, während Kunden mit hohem Risiko mit entsprechenden Reibungsverlusten konfrontiert sind.

Wie Shufti Unternehmen dabei hilft, die Ziele eines risikobasierten Ansatzes, Compliance und Effizienz zu erreichen

Die Implementierung eines risikobasierten Ansatzes dient nicht nur der Einhaltung von Vorschriften, sondern auch der Präzision. Er gewährleistet, dass echte Kunden ein reibungsloses Onboarding erleben, während risikoreichere Aktivitäten einer angemessenen Prüfung unterzogen werden.

Shufti ermöglicht es Finanzinstituten, dieses Gleichgewicht durch konfigurierbare Kennen Sie Ihren Kunden Reisen, länderspezifisch Identitätsprüfung Logik und fortschrittliche Screening-Tools. Das No-Code-Design und der adaptive Verifizierungsablauf ermöglichen es Compliance-Teams, jede Kontrollmaßnahme präzise dem jeweiligen Risiko zuzuordnen und so sowohl Compliance als auch Kundenzufriedenheit zu gewährleisten.

Erfahren Sie, wie Shufti Finanzinstitute bei der Umsetzung von RBA unterstützt, um messbare Compliance und Effizienz zu erreichen. Demo anfordern!