Programm zur Kundenidentifizierung

Finanzinstitute in den Vereinigten Staaten sind gesetzlich verpflichtet, die Identität ihrer Kunden zu überprüfen, die Finanzprodukte oder -dienstleistungen in Anspruch nehmen möchten. Die im Rahmen von Abschnitt 326 des Patriot Act eingeführten Kundenidentifizierungsprogramme (Customer Identification Programs, CIPs) sind verpflichtend und dienen der Stärkung der Abwehrmechanismen des US-Finanzsystems gegen Terrorismusfinanzierung und andere Finanzkriminalität. CIPs gelten nicht nur für traditionelle Banken, sondern auch für Institutionen wie Kreditgenossenschaften, Wertpapierfirmen, Geldtransferunternehmen, Fintech-Plattformen und seit Kurzem auch für Kryptowährungsbörsen und Wallet-Anbieter. 

CIP dient als erste Verteidigungslinie bei den Sorgfaltsprüfungen von Finanzinstituten und stellt sicher, dass Unternehmen, die in das Finanzsystem eintreten, ordnungsgemäß identifiziert, geprüft und verifiziert werden. Indem es die Grundlage für weiterführende Prüfungen bildet, … KYC Verfahren wie Customer Due Diligence (CDD) und Enhanced Due Diligence (EDD) sind für CIP unerlässlich, um Transparenz bei Finanztransaktionen zu gewährleisten, Identitätsbetrug zu verhindern und Finanzverbrechen wie Geldwäsche und Terrorismusfinanzierung vorzubeugen.

Was ist ein Kundenidentifizierungsprogramm?

Ein Kundenidentifizierungsprogramm (CIP) ist ein formalisiertes, standardisiertes Verfahren zur Identitätsprüfung im Rahmen des Kundenregistrierungsprozesses für Privatpersonen und Unternehmen, die mit Finanzinstituten in Kontakt treten möchten. Gemäß dem Bankgeheimnisgesetz (Bank Secrecy Act, BSA) und unter der Aufsicht des Financial Crimes Enforcement Network (FinCEN) sind Institute verpflichtet, personenbezogene Daten (Name und Geburtsdatum) sowie sensible Daten (Adressen und amtliche Ausweisnummern) zu erheben, zu überprüfen und zu speichern. Diese Informationen werden anschließend anhand von Dokumenten oder nicht-dokumentarischen Methoden (Reisepass/Führerschein oder Datenbankabfragen/Kreditauskünfte) validiert.

CIPs verfolgen bei der Verifizierung keinen einheitlichen Ansatz, sondern setzen auf ein risikobasiertes Verfahren, das Kontotyp, Transaktionsarten und das Gesamtrisikoprofil des Kunden berücksichtigt. Mithilfe von maschinellem Lernen, KI und Echtzeit-Datenvalidierung lassen sich CIPs mit geringem Risiko problemlos automatisieren, sodass sich Compliance-Beauftragte verstärkt auf risikoreichere Fälle konzentrieren können. 

Warum ist CIP wichtig?

Das CIP wurde zwar im Jahr 2003 eingeführt, um speziell die Finanzierung des Terrorismus zu bekämpfen, seine Bedeutung reicht jedoch über seine Ursprünge hinaus und bildet heute die Grundlage für ein breites Spektrum von Strategien zur Verhinderung von Finanzkriminalität. 

Im Einzelnen: CIP:

• Erkennt und verhindert Finanzkriminalität Bevor sie überhaupt entstehen, indem anonymer Zugang zum Finanzsystem verhindert wird, was eine wesentliche Taktik bei Geldwäsche, Betrug und der Umgehung von Sanktionen darstellt.
• Schafft eine Grundlage für die Risikoprofilierung und die laufende Überwachung damit Institutionen potenzielle Kontoübernahmen erkennen und bei Kunden mit hohem Risiko, die signifikante Veränderungen in der Aktivität aufweisen, eingehendere Überprüfungen veranlassen können.
• Ermöglicht es Institutionen, eine verteidigungsfähige Position aufzubauen. im Falle einer rechtlichen Untersuchung, indem sie nachweisen, dass sie angemessene Maßnahmen zur Überprüfung ihrer Kunden ergriffen haben.
• Hilft Finanzdienstleistern bei der Anpassung in der neuen und sich ständig verändernden digitalen Finanzlandschaft, da es noch nie so einfach war, Vermögenswerte global zu transferieren, was jedoch mit vielen potenziellen Risiken verbunden ist.
• Stärkt die globale Zusammenarbeit und die Finanzstabilität durch die Harmonisierung der AML/CTF-Standards über verschiedene Rechtsordnungen hinweg, sodass die Handlungsmöglichkeiten von Kriminellen eingeschränkt werden.

Da Finanzprodukte immer zugänglicher, schneller und komplexer werden, ist ein gut konzipiertes Kundenbindungsprogramm die erste und wichtigste Schutzebene.

CIP-Anforderungen

Für neue Privatkunden

Bei der Registrierung von Einzelpersonen müssen Finanzinstitute eine Reihe von Kernidentitätsmerkmalen erfassen, um ein minimales Kundenprofil zu erstellen, darunter:

• Vollständiger rechtlicher Name
• Geburtsdatum
• Wohn- oder Geschäftsadresse
• Identifikationsnummer (z. B. Sozialversicherungsnummer [SSN], individuelle Steueridentifikationsnummer [ITIN] oder eine im Ausland ausgestellte Passnummer für Nicht-US-Bürger)

Die Institutionen müssen anschließend die Richtigkeit und Rechtmäßigkeit dieser Informationen überprüfen, was beispielsweise durch Folgendes erfolgen kann:

• Von der Regierung ausgestellter Lichtbildausweis (z. B. Reisepass, Führerschein, Militärausweis)
• Adressnachweis (z. B. Mietvertrag, Stromrechnung)
• Elektronische Datenbank (z. B. Kreditauskunfteien, öffentliche Register)

In einer digitalen Onboarding-Umgebung können Institutionen auch biometrische Verifizierung, Geolokalisierung und IP-Analyse sowie Geräte-Fingerprinting einsetzen. Diese Maßnahmen sind besonders wichtig bei der Einrichtung von Fernkonten und in hohem Tempo, wenn persönliche Kontakte nicht möglich sind.

Für neue Geschäftskunden

Die Aufnahme von Firmenkunden erfordert einen umfassenderen und komplexeren Verifizierungsprozess, um die Legitimität des Unternehmens zu bestätigen und die letztendlichen Eigentümer oder Kontrollinhaber zu ermitteln. Zu den wichtigsten Informationen gehören:

• Offizieller Firmenname
• Hauptsitz und Betriebsstätte
• Gründungsdatum und Gerichtsstand
• Arbeitgeberidentifikationsnummer (EIN) oder gleichwertige Nummer
• Daten zum wirtschaftlich Berechtigten (Ultimate Beneficial Ownership, UBO) – typischerweise Angaben zur Identifizierung jeder Person, die 25 % oder mehr des Unternehmens besitzt oder anderweitig maßgeblichen Einfluss ausübt.

Zu den typischen CIP-Verifizierungsmethoden gehören:

• Gründungsurkunde oder Gründungsdokumente zum Nachweis, dass das Unternehmen existiert und ordnungsgemäß geführt wird
• Geschäftslizenzen oder behördliche Registrierungen, um zu bestätigen, dass das Unternehmen zum Betrieb berechtigt ist
• Vom IRS ausgestelltes Bestätigungsschreiben der EIN-Nummer, das die Steueridentität des Unternehmens bestätigt.
• Unternehmenssatzung oder Gesellschaftsvertrag zur Klärung der Eigentümerstruktur und der Entscheidungsbefugnisse

Es ist üblich, dass Institutionen regelmäßige Aktualisierungen anfordern, insbesondere wenn es Änderungen in der Unternehmensstruktur, den Eigentumsverhältnissen oder den Geschäftsabläufen gibt.

Für Institutionen ist es wichtig, interne CIP-Richtlinien festzulegen, die definieren, welche Dokumente oder Quellen akzeptabel sind, wie mit Ausnahmen umgegangen wird und welche zusätzlichen Verifizierungsschritte bei Bedarf hinzugefügt werden können, da alle Kunden unterschiedlich sind und einige ein höheres Risiko darstellen als andere.

Wichtige Bestandteile eines effektiven CIP

1. Risikobasierte Bewertung 

Es ist entscheidend, risikobasierte Methoden einzusetzen, um die Identitätsprüfung auf die spezifischen Risiken jedes einzelnen Kunden abzustimmen und sie so effizient und effektiv wie möglich zu gestalten. 

Zu den wichtigsten Risikofaktoren gehören:

• Kundentyp: Ob Privatperson, Kleinunternehmen, Großkonzern, Stiftung oder ausländisches Unternehmen – jeder Kunde birgt seine eigenen Risiken.
• Art und Umfang der Transaktionen: Hochwertige, häufige oder grenzüberschreitende Transaktionen erfordern in der Regel verstärkte Verifizierungsanforderungen.
• Geografisches Risiko: Kunden aus Ländern, die von der FATF als Hochrisikogebiete eingestuft werden, unterliegen einer verstärkten Überprüfung.
• Onboarding-Kanal: Online-Verifizierungen, insbesondere solche ohne persönlichen Kontakt, erfordern strengere digitale Verifizierungskontrollen.

Die CIP-Regeln sollten Risikoschwellenwerte klar definieren, festlegen, wann EDD ausgelöst wird, und gestaffelte Verfahren für den Umgang mit unterschiedlichen Kundenrisiken etablieren.

2. Verifizierungsmethoden

Der Verifizierungsprozess sollte flexibel und mehrstufig sein, damit die Institutionen so genau wie möglich auf den Kundenkontext eingehen können. 

Zu den Methoden der Dokumentenprüfung gehören:

• Physischer, von der Regierung ausgestellter Lichtbildausweis
• Gewerbegründungsurkunden
• Regulierungslizenzen für professionelle Organisationen 

Zu den nichtdokumentarischen Verifizierungsmethoden gehören:

• Elektronische Identitätsdatenbanken (z. B. Kreditauskunfteien, öffentliche Register)
• Biometrische Authentifizierung (z. B. Gesichtserkennung, Stimmabdrücke, Fingerabdrücke)
• Geräteintelligenz und IP-Analyse 
• E-Mail- oder Telefonnummernverifizierung

Es zeichnet sich ein zunehmender Trend ab, KI und maschinelles Lernen einzusetzen, um die Verifizierungsschritte während des Onboardings dynamisch und in Echtzeit auf Basis von Risikosignalen anzupassen.

3. Laufende Überwachung und erweiterte Sorgfaltsprüfung (EDD)

CIP ist kein einmaliges Ereignis, und es ist unerlässlich, regelmäßige erneute Überprüfungen für Kunden mit erhöhtem Risiko durchzuführen. 

Erweiterte Due Diligence kann Folgendes umfassen:

• Überprüfung von Sanktionen und Watchlists, einschließlich Abgleich mit UN-, OFAC- und PEP-Datenbanken
• Negative Medienanalyse zur Aufdeckung von Reputations- oder Rechtsrisiken
• Echtzeit-Transaktionsüberwachung, um ungewöhnliche Muster zu erkennen, die nicht mit dem bekannten Kundenverhalten übereinstimmen.
• UBO-Revalidierung, insbesondere nach Fusionen, Übernahmen oder Eigentümerwechseln

4. Aufzeichnung und Aufbewahrung

Die Institutionen müssen in der Lage sein, die Einhaltung der Vorschriften nachzuweisen und auf Anfrage Untersuchungen zu unterstützen.

Regulatorische Standards erfordern typischerweise:

• Aufbewahrung von Identifikationsdaten und Verifizierungsunterlagen für mindestens fünf Jahre nach Kontoeröffnung
• Aufbewahrung transaktionsbezogener Daten für fünf Jahre nach Kontoschließung

Institutionen müssen sicherstellen, dass die Aufzeichnungen:

• Sicher gespeichert und für Audits oder behördliche Überprüfungen verfügbar.
• Organisiert und durchsuchbar
• Kann zeitgestempelte Prüfprotokolle unterstützen, einschließlich Anmerkungen zu Risikobewertungen, Verifizierungsergebnissen und Compliance-Entscheidungen.

Unternehmen, die eine sorgfältige Dokumentation gewährleisten, können sich besser gegen Betrug verteidigen und sich vor rechtlicher Haftung schützen.

5. Interne Kontrollen und Prüfungen

Die Einrichtung von Verfahren zur Kundenidentifizierung ist zwar wichtig, aber interne Governance und robuste interne Kontrollen tragen dazu bei, eine einheitliche Umsetzung zu gewährleisten, Abweichungen von den Verfahren zu erkennen und schnell auf regulatorische Änderungen reagieren zu können.

Zu den Kernsteuerungsmechanismen gehören:

• Ernennung eines Compliance-Beauftragten zur Verwaltung des CIP-Rahmenwerks und zur Sicherstellung der Einhaltung der AML/CTF-Richtlinien
• Entwicklung schriftlicher Richtlinien und Verfahren, die regelmäßig aktualisiert und an die relevanten Mitarbeiter verteilt werden.
• Schulungsprogramme zur Aufrechterhaltung der Einheitlichkeit des regulatorischen Bewusstseins
• Laufende Kontrollbewertungen zur Sicherstellung der Wirksamkeit von Verifizierungsinstrumenten, der Datenqualität und der Prozessleistung
• Lückenanalyse zur Identifizierung und Behebung von Mängeln in der Compliance-Bereitschaft

Eine starke Unternehmensführung verringert gleichzeitig das Risiko von Verstößen gegen regulatorische Bestimmungen und demonstriert gleichzeitig ein proaktives Risikomanagement (ein wichtiger Aspekt für Investoren, Kunden und Aufsichtsbehörden).

Jüngste Entwicklungen

Krypto- und Fintech-Inklusion

Die regulatorische Landschaft verschärft sich nun für Unternehmen im Bereich digitaler Vermögenswerte, insbesondere in den Krypto-Industrie Neue Maßnahmen zielen darauf ab, Schwachstellen bei Kryptotransaktionen zu beseitigen, indem bisher unregulierte Akteure formalen Compliance-Vorgaben unterworfen werden. Nach vollständiger Umsetzung müssen Anbieter von Dienstleistungen für virtuelle Vermögenswerte (VASPs) strenge CIP-Verfahren einführen, die denen traditioneller Finanzinstitute entsprechen, ähnlich der EU-Verordnung über Märkte für Krypto-Assets (MiCA).

Erweiterung der FATF-Reiseregeln

Um den aktualisierten FATF-Richtlinien zu entsprechen, gelten in den USA nun strengere Anforderungen an die Travel Rule. Diese verpflichten VASPs (Virtual Asset Service Provider) zum Austausch von Absender- und Empfängerinformationen bei Überweisungen über 1,000 US-Dollar. Durch die verstärkte Durchsetzung müssen CIP-Daten (Certificate of In-Property) nun sowohl zum Zeitpunkt der Überweisung als auch bei der Kontoeröffnung dynamisch erfasst und validiert werden. Dies erhöht die Anforderungen an die Echtzeit-Compliance bei Peer-to-Peer- und plattformübergreifenden Überweisungen.

Leitfaden zur digitalen Identität 

Bundesbehörden fördern zunehmend digitale Identifizierungsrahmen, die risikobasierte digitale Identitätsprüfung und kontinuierliche Authentifizierungsmechanismen in den Vordergrund stellen, um die Effektivität von Kundenintegrationsprozessen (CIP) für das Remote-Onboarding zu verbessern. Unternehmen werden ermutigt, bundesweit anerkannte Anbieter digitaler Identitäten, biometrische Prüfverfahren und dezentrale ID-Modelle zu integrieren, um die Kundengewinnung zu optimieren und gleichzeitig Sicherheit und Compliance zu gewährleisten.

Erweiterte Regeln zur wirtschaftlichen Eigentümerschaft

 Der Corporate Transparency Act (CTA) verpflichtet die meisten Kapitalgesellschaften, LLCs und ähnliche Unternehmen, ihre Informationen über wirtschaftliche Eigentümer (Besserkennzeichen) an FinCEN zu melden. Die Einbeziehung dieser Daten in den CIP-Prozess und der Abgleich der Meldungen mit internen Aufzeichnungen stärken die institutionelle Aufsicht über Briefkastenfirmen und verschleierte Eigentümerstrukturen, insbesondere in risikoreichen Sektoren oder Regionen.

Fazit

Da sich Finanzsysteme stetig weiterentwickeln, bleibt das Kundenidentitätsprogramm (CIP) ein grundlegendes Element für die Einhaltung regulatorischer Vorgaben und das institutionelle Risikomanagement. Durch die Fokussierung auf präzise Identitätsprüfung, risikobasierte Entscheidungsfindung und kontinuierliche Überwachung erfüllt das CIP nicht nur rechtliche Verpflichtungen, sondern stärkt auch die gesamte Finanzlandschaft. Es dient als primäre Kontrollinstanz, die es Instituten ermöglicht, unberechtigten Zugriff zu verhindern, das Risiko von Finanzkriminalität zu reduzieren und das Vertrauen von Aufsichtsbehörden und Stakeholdern gleichermaßen zu wahren. 

CIP ist heute mehr als nur eine regulatorische Notwendigkeit – es ist ein strategischer Vorteil. Unternehmen, die dynamische, datengestützte Rahmenwerke implementieren, werden in einem von Innovation, regulatorischer Kontrolle und zunehmender globaler Vernetzung geprägten Umfeld besser aufgestellt sein, um erfolgreich zu sein.