So entwickeln Sie eine Methodik zur AML-Kundenrisikobewertung

Eine Methode zur AML-Kundenrisikobewertung erklärt, wie ein Unternehmen Kunden- und Beziehungsinformationen in eine kontrollierte Risikoklassifizierung umwandelt. Es definiert, welche Faktoren wichtig sind, wie Daten interpretiert werden, ob Bewertungen oder Regeln verwendet werden, was sich in jeder Kategorie ändert, wer Urteile fällen darf, wann die Beurteilung wieder aufgenommen werden muss und welche Nachweise verfügbar bleiben müssen.

Der schwierige Teil besteht nicht darin, eine Reihe sauberer Punkte auszuwählen. Es wird eine Methode entwickelt, die das tatsächliche Geldwäsche- und Terrorismusfinanzierungsrisiko der Organisation, die geltenden Anforderungen und das Betriebsmodell widerspiegelt. Die FATF bietet eine internationale risikobasierte Basislinie für Kunden-, Geografie-, Produkt- oder Service-, Transaktions- und Vertriebskanalfaktoren, schreibt jedoch keine einheitliche Kundenbewertungsformel vor¹²³

Das praktische Ziel ist daher:

Relevante Informationen → kontrollierte Faktorbehandlung → ggf. obligatorische Eskalation → Bewertungs- oder Regelergebnis → Risikoklasse → autorisierte Überprüfung und Behandlung → aufbewahrte Nachweise → Neubewertung, wenn sich die Fakten ändern.

Was eine AML-Kundenrisikobewertung ist

Eine AML-Kundenrisikobewertung ist eine strukturierte Bewertung des Geldwäsche- und Terrorismusfinanzierungsrisikos, das von einem einzelnen Kunden, potenziellen Kunden oder einer Geschäftsbeziehung ausgeht. AUSTRAC beschreibt die Kundenrisikobewertung als eine Einzelfallprüfung und unterscheidet sie von der umfassenderen Bewertung der eigenen GW/TF-Risiken des berichtenden Unternehmens. FINTRAC unterscheidet in ähnlicher Weise die geschäftsbasierte Risikobewertung von der beziehungsbasierten Risikobewertung.⁴⁵

In dieser Anleitung bezeichnet Kundenrisikobewertung die Anwendung einer Methodik auf eine konkrete Geschäftsbeziehung. Die Risikoanalyse nach § 5 GwG ist davon zu unterscheiden: Sie ermittelt und bewertet die für die Geschäftstätigkeit des Verpflichteten bestehenden Geldwäsche- und Terrorismusfinanzierungsrisiken.⁶

Die Begriffe rund um die Bewertung sollten in der Richtlinie genau definiert werden:

Dieses Vokabular verhindert falsche Präzision. Ein Kunde kann über eine Systembewertung, ein systemseitig abgeleitete Risikoklasse und eine abschließend überprüfte Klassifizierung verfügen. Diese Werte mögen zwar zusammenhängen, sind aber nicht austauschbar.

Kundenrisikobewertung im Vergleich zur unternehmensweiten Risikobewertung

Bei einer unternehmensweiten oder unternehmensweiten AML-Risikobewertung wird gefragt: Welchen ML/TF-Risiken ist die Organisation durch ihre Kunden, Regionen, Produkte, Dienstleistungen, Transaktionen und Vertriebskanäle ausgesetzt? Bei einer Kundenrisikobewertung wird gefragt: Welches Risiko stellt dieser bestimmte Kunde oder diese bestimmte Beziehung in dieser Umgebung dar?

Nach deutschem Recht ermittelt die Risikoanalyse nach § 5 GwG die geschäftsweiten Risiken des Verpflichteten und bildet zusammen mit den internen Sicherungsmaßnahmen das Risikomanagement. Die Kundenrisikobewertung wendet den genehmigten Rahmen auf die konkrete Beziehung an. Die Zustimmung der Leitungsebene zur Risikoanalyse betrifft diese institutionelle Governance; daraus folgt nicht, dass jede Kundenbewertung oder Übersteuerung dieselbe Genehmigung benötigt.⁶

Die unternehmensweite Bewertung sollte in die Kundenmethodik einfließen. Es sollte nicht mechanisch kopiert werden. Beispielsweise kann ein Produkt, bei dem auf Portfolioebene ein höheres Risiko festgestellt wurde, Fragen auf Kundenebene oder eine stärkere Faktorbehandlung rechtfertigen, die Methodik muss jedoch dennoch widerspiegeln, welches Produkt der Kunde tatsächlich verwendet und welche Kontrollen gelten.

Halten Sie CRA von KYC, CDD, EDD, Screening und Überwachung getrennt

Diese Steuerelemente tauschen Informationen aus, aber jedes beantwortet eine andere Frage.

Informationen zum weiteren Lebenszyklus finden Sie unter KYC, KYB und Kunden-Due-Diligence und wie sich CDD und EDD unterscheiden. Informationen zur Aktivitätskontrollgrenze finden Sie unter Transaktionsüberprüfung versus Transaktionsüberwachung.

Definieren Sie die Methodik, bevor Sie eine Bewertung auswählen

Beginnen Sie mit den Entscheidungen, die die Methodik unterstützen muss, nicht mit Punkten. Dokumentieren:

1. Rechtlicher und richtlinienbezogener Geltungsbereich: welche Unternehmen, Sektoren, Gerichtsbarkeiten, Kundengruppen und Produkte in den Geltungsbereich fallen.
2. Risikouniversum: welche Kunden-, geografischen, Produkt-, Service-, Transaktions- und Kanalrisiken für das Unternehmen wesentlich sind.
3. Nachgelagerte Behandlung: Was ändert sich, wenn ein Kunde zwischen den Kategorien wechselt, einschließlich CDD, EDD, Überwachung, Genehmigung und Überprüfung?
4. Daten und Nachweise: welche Quellen jeden Faktor unterstützen und wie fehlende, veraltete oder widersprüchliche Informationen dargestellt werden.
5. Entscheidungsarchitektur: ob die Methode qualitative Kategorien, numerische Bewertungen, Regeln oder eine Hybridmethode verwendet.
6. Governance: wer die Methodik besitzt, genehmigt, betreibt, außer Kraft setzt, testet und ändert.

FATF ist ein internationaler Standard, den Gerichtsbarkeiten umsetzen. Bei den EBA ML/TF Risk Factors Guidelines handelt es sich um EU-Aufsichtsrichtlinien für Institute in ihrem Geltungsbereich, nicht um Gesetze, die für jedes Unternehmen gleichermaßen gelten. Bei den FCA-Ergebnissen handelt es sich um Beobachtungen der britischen Aufsichtsbehörden und nicht um ein allgemeingültiges Bewertungsmandat. JMLSG ist eine Richtlinie für den britischen Finanzsektor, kein Gesetz. Der zitierte Text vom August 2025 stammt aus der Zeit vor den britischen Änderungen, die am 30. Juni 2026 in Kraft traten. Daher sollten Benutzer die aktuellen Leitlinien von JMLSG prüfen, bevor sie sich darauf verlassen.¹⁷⁸²

Ebenso ist die Verordnung (EU) 2024/1624 verbindliches EU-Recht, gilt im Wesentlichen jedoch erst ab dem 10. Juli 2027. Sie darf 2026 nicht als bereits geltende EU-weite Pflicht behandelt werden.⁹

Wählen Sie relevante Kundenrisikofaktoren aus

Gemeinsame offizielle Rahmenwerke unterstützen breite Faktorkategorien, aber Relevanz und Behandlung hängen von der Organisation und Beziehung ab. Ein Faktor gehört in die Methodik, weil er dabei hilft, die GW/TF-Gefährdung der Organisation einzuschätzen – und nicht nur, weil er in einer generischen Vorlage erscheint.

FATF unterstützt Überlegungen zu Kunden, Ländern oder Geografien, Produkten, Dienstleistungen, Transaktionen und Vertriebskanälen und stellt anschauliche – nicht allgemein verbindliche – Risikobeispiele bereit¹⁴⁵

Für Deutschland nennt Anlage 2 zum GwG unter anderem ungewöhnliche Umstände der Geschäftsbeziehung, ungewöhnliche oder übermäßig komplexe Eigentumsstrukturen, bargeldintensive Tätigkeiten sowie produkt-, dienstleistungs-, kanal- und geografische Faktoren. Diese Umstände sind kontextbezogen zu beurteilen; das GwG weist ihnen keine universellen Punkte oder Gewichte zu.¹⁰

Verwenden Sie ein Methodenregister, kein generisches Punkteblatt

Die folgende Struktur macht das Faktordesign überprüfbar, ohne den Anspruch zu erheben, dass die Einträge universell sind:

Bei den Reihen handelt es sich um Strukturbeispiele, nicht um eine vorgeschriebene Wertung. Eine Methodik sollte erklären, warum jeder Faktor existiert, wem seine Daten gehören und welche Maßnahmen sich daraus ergeben.

Entscheiden Sie, ob das inhärente Risiko und das Restrisiko modelliert werden sollen

Inhärentes Kundenrisiko kann eine Gefährdung bedeuten, bevor die Methodik definierte Abhilfemaßnahmen berücksichtigt. Kundenrestrisiko kann das verbleibende Risiko bedeuten, nachdem diese Kontrollen erkannt wurden. In den Ergebnissen der FCA werden das inhärente Risiko, die Wirksamkeit der Kontrolle und das Restrisiko in Rahmenwerken zur Bekämpfung von Finanzkriminalität erörtert, die überprüften Quellen legen jedoch keine weltweit erforderliche Einzelkundenformel fest.⁸

Zwei Architekturen können vertretbar sein:

• Direkte Klassifizierung: Relevante Faktoren führen zu einer Kundenkategorie, und diese Kategorie bestimmt die Kontrollintensität.
• Inherent-to-Residual: Faktoren ermitteln das inhärente Kundenrisiko, definierte Kontrollen werden bewertet und die Methode berechnet oder bestimmt das Restrisiko.

Wenn die zweite Architektur verwendet wird, benennen Sie die Kontrollen, die einen Faktor reduzieren können, erläutern Sie, wie die Wirksamkeit bewertet wird, und verhindern Sie Doppelzählungen. Der normale Abschluss von CDD sollte nicht automatisch das inhärente Risiko jedes Kunden verringern. Die Methodik muss klar machen, ob eine Kontrolle die Klassifizierung ändert, das klassifizierte Risiko verwaltet oder beides.

Wählen Sie Bewertungs-, Gewichtungs- und Schwellenwertmechanismen aus

Eine praktische Methode kann Folgendes verwenden:

• qualitative Kategorien für Kontextfaktoren;
• Ordinalzustände wie 1–3, bei denen die Reihenfolge sinnvoll ist;
• quantitative Bewertungen, bei denen Daten und Regeln eine konsistente Berechnung unterstützen;
• gewichtete Faktorgruppen, bei denen die relative Bedeutung dokumentiert ist;
• binäre Regeln für Bedingungen, die eine definierte Behandlung bewirken sollten;
• eine Mischung aus Regeln, Wertung und autorisiertem Urteil.

Die Entwurfsreihenfolge sollte sein:

Richtlinienuniversum → Faktoren → Datendefinitionen → Faktorzustände → obligatorische Auslöser → Gewichtung → Aggregation → Schwellenwerte → Überprüfungsregeln → Autorität außer Kraft setzen → Nachweise → Tests.

Beginnen Sie nicht mit „Wie viele Punkte sollte ein PEP erhalten?“ Die britischen Branchenleitlinien von JMLSG erkennen ausdrücklich an, dass die Gewichtungen je nach Unternehmen, Produkt und Kunde variieren können. Die offiziellen US-FAQ von FinCEN gehen noch weiter: Für abgedeckte Institute unter der CDD-Regel kann ein Kundenrisikoprofil eine formelle Bewertung oder Kategorie enthalten, muss dies aber nicht.²³

Halten Sie harte Trigger außerhalb der gewichteten Arithmetik

Einige Umstände erfordern eine gesonderte rechtliche Analyse oder eine vorgeschriebene Kontrollreaktion. Gegebenenfalls sollten ein Sanktionsverbot, ein erforderlicher EDD-Umstand, eine PEP-Genehmigungspflicht, die Unfähigkeit, die erforderliche CDD zu erfüllen, oder eine von der Organisation definierte verbotene Bedingung nicht durch unabhängige Faktoren mit geringerem Risiko aufgehoben werden.

Das bedeutet nicht, dass jeder Risikoindikator einen harten Stopp darstellt. Die Methodik sollte unterscheiden:

• rechtlicher Auslöser: Maßnahmen, die gemäß einer geltenden Regel erforderlich sind;
• Richtlinienauslöser: Maßnahmen, die durch die genehmigte Risikobereitschaft oder den Kontrollstandard der Organisation erforderlich sind;
• Risikoindikator: Informationen, die die Bewertung ändern, aber einen Kontext erfordern;
• Workflow-Trigger: ein Ereignis, das den Fall an einen Prüfer sendet, ohne über das Ergebnis zu entscheiden.

Legen Sie Schwellenwerte nach Behandlung fest

Fragen Sie für jede Grenze, was sich ändert, wenn sie überschritten wird. Ein Band ist nur dann sinnvoll, wenn es zu einem definierten Maß an Due Diligence, Genehmigung, Überwachung oder Überprüfung führt. Testen Sie, ob die höchste Kategorie tatsächlich erreicht werden kann, ob ein Faktor absichtlich dominiert und ob Schwellenwerte zur Risikobeschreibung und nicht zur Reduzierung der betrieblichen Arbeitsbelastung gewählt wurden.

Stellen Sie Datenzustände explizit dar: bekannt, nicht anwendbar, fehlend, widersprüchlich, ungelöst und verifiziert, wo relevant. Leer darf nicht bedeuten, dass das Risiko gering ist. Materielle Widersprüche sollten beide Werte und ihre Herkunft bewahren, bis sie gelöst werden.

Verbinden Sie die Überprüfung, ohne Alerten als Urteile zu behandeln

Ein Screening-Ergebnis kann die für die Risikobewertung des Kunden verfügbaren Informationen ändern, die Alert selbst stellt jedoch nicht die endgültige Risikokategorie des Kunden dar.

| Screening-Status | Angemessene CRA-Behandlung | Es sollte nicht automatisch | bedeuten |---|---|---| | Keine Übereinstimmung zurückgegeben | Notieren Sie, dass die konfigurierte Prüfung zu diesem Zeitpunkt keinen Kandidaten gefunden hat. | Der Kunde hat ein geringes Risiko oder die CDD ist abgeschlossen. | | Potenzielle Übereinstimmung | Klären Sie Identität, Quelle und Relevanz im Rahmen des Screening-Prozesses. | Bestätigter Status, Ablehnung oder Einstufung als Hochrisiko. | | Falsch positiv | Behalten Sie die Auflösung bei und schließen Sie den nicht verwandten Quelldatensatz von der nachteiligen Behandlung aus. | Ein anhaltender negativer Faktor, einfach weil eine Alert vorlag. | | Bestätigter PEP | Wenden Sie die relevanten PEP-Maßnahmen an und bewerten Sie die Auswirkungen auf das Kundenrisiko. | Automatische Ablehnung oder Ausstieg. | | Potenzielle Sanktionen stimmen überein | Führen Sie umgehend Identitäts-, Eigentums-/Kontrollanalysen und rechtliche Kontextanalysen durch. | Eine abschließende Schlussfolgerung zu den Sanktionen. | | Bestätigte Sanktionsgefahr | Wenden Sie die gesonderten gesetzlichen Verpflichtungen und Beschränkungen an, die für den jeweiligen Fall gelten. | Gewöhnliche Extrapunkte, die in einer Gesamtpunktzahl verrechnet werden können. | | Adverse-Media-Indikator | Bewerten Sie Identität, Glaubwürdigkeit der Quelle, Relevanz, Seriosität und Aktualität. | Schuldgefühle, Misstrauen, Ablehnung oder automatisch hohes Risiko. | | Ungelöstes Ergebnis | Zeigen Sie die Unsicherheit auf und leiten Sie sie zur Lösung oder autorisierten Maßnahme weiter. | Stille Freigabe. |

In den offiziellen US-FAQs von FinCEN heißt es, dass die CDD-Regel nicht kategorisch eine Mediensuche für jeden Kunden oder jede verbundene Partei vorschreibt.³¹

Verbinden Sie die Risikokategorie mit CDD, EDD und Überwachung

Der korrekte Betriebsablauf ist nicht „Punktzahl → automatische Ablehnung“. Ein vertretbarer Ablauf ist:

Kundeninformationen und -faktoren → bewertetes Risiko → CDD, EDD, Überwachungs- und Genehmigungsbehandlung → qualifizierte Überprüfung → Beziehungsentscheidung.

Die FATF erwartet verstärkte Maßnahmen für Situationen mit höherem Risiko und erlaubt vereinfachte Maßnahmen, wenn ein geringeres Risiko angemessen festgestellt wurde. Die britischen Verordnungen 28 und 33 enthalten verbindliche risikosensitive CDD- und spezifische EDD-Bestimmungen des Vereinigten Königreichs für Unternehmen im Geltungsbereich.¹¹²¹³

In Deutschland richten sich die allgemeinen Sorgfaltspflichten nach § 10 GwG. Dazu gehören unter anderem die Feststellung des wirtschaftlich Berechtigten, Informationen über Zweck und angestrebte Art der Geschäftsbeziehung, die Prüfung eines PEP-Status und die kontinuierliche Überwachung. § 15 GwG verlangt bei höherem Risiko verstärkte Sorgfaltspflichten. Eine hohe interne Risikoklasse bedeutet dennoch nicht automatisch Ablehnung oder Beendigung; die Unmöglichkeit, gesetzlich erforderliche Sorgfaltspflichten zu erfüllen, ist eine gesonderte Rechtsfrage.¹¹¹⁴

Bei bestätigtem PEP-Status verlangt § 15 GwG insbesondere die Zustimmung eines Mitglieds der Führungsebene, angemessene Maßnahmen zur Bestimmung der Herkunft der Vermögenswerte und des Vermögens sowie eine verstärkte kontinuierliche Überwachung. Ein Screening-Kandidat muss zuerst aufgelöst werden und ist weder ein bestätigter PEP noch eine automatische Ablehnungsregel.¹⁴ Siehe dazu den Leitfaden zum PEP-Screening.

Ein hohes Kundenrisiko ist nicht immer gleichbedeutend mit einem Ausstieg. Die geltenden Regeln, die Fähigkeit zum Risikomanagement, der Abschluss erforderlicher Maßnahmen und die genehmigte Risikobereitschaft bestimmen, ob die Organisation die Beziehung eingeht, fortsetzt, einschränkt, ablehnt oder beendet. Die offiziellen australischen EDD-Leitlinien von AUSTRAC sehen ausdrücklich die Fortsetzung einer Beziehung mit höherem Risiko vor, bei der das Risiko im Rahmen dieses Rahmenwerks angemessen gemanagt werden kann.¹⁵

Das Kundenrisiko kann die Segmentierung der Verhaltensüberwachung, die Alarmpriorisierung oder die Untersuchungstiefe beeinflussen, sofern das Design der Organisation dies unterstützt. Überwachungsergebnisse können wiederum eine Neubewertung auslösen, wenn sie den bekannten Kundenkontext verändern. Die Kontrollen bleiben unterschiedlich: CRA klassifiziert das Kundenrisiko; Die Verhaltenstransaktionsüberwachung bewertet die Aktivität. Die von Checklynx konfigurierte laufende erneute Überprüfung sollte nicht als autonome Verhaltenstransaktionsüberwachungs-Engine beschrieben werden.

Die kontinuierliche Überwachung nach § 10 GwG umfasst die Geschäftsbeziehung und die in ihrem Verlauf durchgeführten Transaktionen. Sie soll deren Übereinstimmung mit den vorhandenen Informationen über Vertragspartner, wirtschaftlich Berechtigte, Geschäftstätigkeit und Kundenprofil sowie gegebenenfalls die Herkunft der Vermögenswerte sicherstellen. Komplexe, ungewöhnlich große oder ohne erkennbaren wirtschaftlichen oder rechtmäßigen Zweck erfolgende Transaktionen können nach § 15 eine gesonderte Untersuchung und gegebenenfalls eine Neubewertung auslösen; die Kundenrisikobewertung ersetzt diese Kontrolle nicht.¹¹¹⁴

Definieren Sie Auslöser für eine Neubewertung

Vermeiden Sie die allgemeine Aussage, dass jeder Kunde jährlich neu bewertet werden muss. FATF verwendet Risiko- und Wesentlichkeitskonzepte, während AUSTRAC und FINTRAC laufende Informationen und Aktivitätsänderungen mit der Kundenrisikoüberprüfung verknüpfen.¹⁴⁵

Ab dem 10. Juli 2027 kombiniert AMLR Artikel 26 grundsätzlich ereignisgesteuerte Aktualisierungen mit maximalen Intervallen von einem Jahr für Kunden, die den in Kapitel III Abschnitt 4 geregelten Maßnahmen für höheres Risiko unterliegen, und fünf Jahren für andere Kunden. Dies sind zukünftige EU-Vorschriften, keine bereits 2026 geltenden deutschen oder globalen Pflichten.⁹

Regeln von Prüferentscheidungen, Außerkraftsetzungen und Ausnahmen

Definieren Sie diese separat:

• Eine Prüferentscheidung ist die autorisierte Entscheidung, die nach Anwendung der Methodik auf die Nachweise getroffen wird.
• Eine Übersteuerung ändert eine vom System abgeleitete Punktzahl oder Band.
• Eine Ausnahme ist eine genehmigte Abweichung von der normalen Methode oder dem normalen Prozess, oft für eine begrenzte Bedingung oder einen begrenzten Zeitraum.

Hierbei handelt es sich um Betriebsmodellbegriffe und nicht um allgemein standardisierte gesetzliche Definitionen zur Bekämpfung der Geldwäsche. Die aufsichtsrechtlichen Erkenntnisse der FCA unterstützen dokumentierte Methoden, Genehmigungen, Änderungskontrollen, Begründungen, Managementinformationen und Überprüfungen oder Tests. Die JMLSG-Branchenrichtlinien legen außerdem Wert auf die Dokumentation von Risikobewertungen und Fallbegründungen.⁸²

Ein kontrollierter Override-Datensatz sollte Folgendes enthalten:

Abwärtskorrekturen verdienen eine besonders deutliche Herausforderung, da sie die durch die Methodik erzeugte Behandlung verringern. Die Vier-Augen-Genehmigung kann eine vertretbare interne Kontrolle für wesentliche Außerkraftsetzungen oder Ausnahmen sein, sie sollte jedoch nicht als allgemein verbindlich bezeichnet werden, es sei denn, eine geltende Regel erfordert dies.

Bewahren Sie eine rekonstruierbare Kundenrisikoaufzeichnung auf

Ein anderer qualifizierter Prüfer sollte in der Lage sein, Folgendes zu rekonstruieren:

Was war bekannt → welche Methodik angewendet wurde → welche Faktoren und Regeln wirkten → welches Ergebnis erzielt wurde → welches Urteil sich änderte → warum und von wem → welche Behandlung folgte → was sich später änderte.

Behalten Sie ggf. Folgendes bei:

• Kunden- und Bewertungskennungen sowie effektive Zeitstempel;
• Quelldaten, Herkunft, Abrufdatum und bekannte Einschränkungen;
• Methodikprofil und -version;
• Faktordefinitionen, Werte und Zustände;
• zu diesem Zeitpunkt geltende Regeln, Gewichte und Schwellenwerte;
• Rohscore und systemseitig abgeleitete Risikoklasse, falls verwendet;
• Screening-Alarm und gelöster Status, nicht nur das endgültige Etikett;
• bereitgestellter UBO und Kontext der verbundenen Parteien, der bei der Bewertung verwendet wurde;
• fehlende, widersprüchliche oder ungelöste Informationen;
• Notizen des Prüfers, Gründe für Übersteuerungen oder Ausnahmen und Genehmigungen;
• endgültige Kategorie, Auslöser für Behandlung und Neubewertung;
• frühere und neue Bewertungsversionen.

Die Aufbewahrungsdauer von Datensätzen ist je nach Gerichtsbarkeit unterschiedlich. Die FATF-Empfehlung 11 bietet eine internationale Fünf-Jahres-Basislinie für bestimmte Aufzeichnungen, und die UK-Verordnung 40 enthält britische Anforderungen in ihrem Geltungsbereich; Keiner von beiden erstellt einen universellen globalen CRA-Aufbewahrungszeitraum.¹¹⁶

Für Deutschland verlangt § 8 GwG Aufzeichnungen, die unter anderem die Durchführung und Ergebnisse von Risikobewertungen sowie die Angemessenheit der darauf beruhenden Maßnahmen nachvollziehbar machen. Das stützt die Rekonstruierbarkeit, schreibt aber nicht das in dieser Anleitung vorgeschlagene Datenschema vor.¹⁷

Testen und ändern Sie die Methodik

Das Testen sollte in einem angemessenen Verhältnis zur Komplexität stehen. Eine regelbasierte Methode mit drei Risikoklassen erfordert immer noch Sicherheit, ist aber nicht automatisch ein statistisch geschätztes Modell, das eine quantitative Validierung im Bankstil erfordert.

Prüfen:

• ob jeder Faktor für das Geschäftsrisiko weiterhin relevant bleibt;
• Vollständigkeit, Genauigkeit, Aktualität und Quellenzuordnung der Daten;
• Null-, Grenz- und Konfliktwertverhalten;
• ob die Faktorlogik die genehmigte Richtlinie umsetzt;
• ob Gewichte erklärbar sind und einen beabsichtigten Einfluss hervorrufen;
• Bevölkerungsverteilung und Fälle um jeden Schwellenwert herum;
• Proben aus jeder Risikoklasse, einschließlich bekannter Fälle mit höherem Risiko und Grenzfällen;
• falsch hohe und falsch niedrige Ergebnisse;
• wiederholte Übersteuerungen, die eine schlechte Kalibrierung aufdecken können;
• Screening-Status-Mapping und Neubewertungs-Trigger-Operation;
• historische oder aktuelle Populationen vor wesentlichen Änderungen der Methodik;
• Vergleich, Migration und Korrektur der alten mit der neuen Version;
• unabhängige Herausforderung, die der Größe und Komplexität der Organisation angemessen ist.

Die britischen Aufsichtsergebnisse der FCA identifizieren stärkere Praktiken in Bezug auf die Dokumentation der Methodik, regelmäßige Überprüfungen, Tests nach Automatisierung oder Verbesserungen, kontrollierte Änderungen und nützliche Managementinformationen. Bei diesen Ergebnissen handelt es sich um wertvolle aufsichtliche Erkenntnisse und nicht um eine globale statistische Validierungsregel.⁸

Nutzen Sie Managementinformationen, um Ergebnisse zu hinterfragen

Managementinformationen sollen den Eigentümern helfen zu entscheiden, ob die Methode plausibel ist und wie beabsichtigt funktioniert. Sinnvolle Maßnahmen können sein:

Eine ungewöhnlich kleine Hochrisikopopulation, konzentrierte Abwärtsüberschreibungen oder eine plötzliche versionierte Migration sind ein Grund für eine Untersuchung. Es handelt sich nicht automatisch um einen Beweis für einen Verstoß.

Checkliste für die Implementierung der AML-Kundenrisikomethodik

Wie Checklynx das Betriebsmodell unterstützt

Checklynx kann Teams dabei unterstützen, ihre genehmigte Kundenrisikomethodik zu konfigurieren, zu betreiben, zu überprüfen und nachzuweisen. Checklynx Customer Risk Assessment unterstützt konfigurierbare Faktoren, Gewichtungen, Schwellenwerte und Risikoklassen sowie gespeicherte Bewertungsnachweise und Schnappschüsse der Methodikversion, Eingaben, Bewertung, Band, Notizen und Überprüfungshistorie.

Verbinden Sie Kunden-, Unternehmens-, UBO- und verbundene Parteienkontext mit Screening, Fallüberprüfung, Prüfungsnachweisen und Integrationen. Eine konfigurierte Neuprüfung kann neue Sanktions-, PEP-, Adverse-Media- und Watchlist-Signale zur Überprüfung und Neubewertung zurückgeben.

Ihre Organisation behält die Kontrolle über die Methodik, die rechtliche Auslegung und die endgültige Beziehungsentscheidung.

Häufig gestellte Fragen

Verlangen die Aufsichtsbehörden einen AML-Kundenrisiko-Score?

Keine universelle Regel erfordert eine numerische Punktzahl. FinCEN sagt außerdem, dass eine formelle Einstufung oder Kategorie gemäß der US-amerikanischen CDD-Regel nicht unbedingt erforderlich ist; Wenden Sie die für Ihre Organisation relevante Regelung an.³

Stellt ein PEP für einen Kunden automatisch ein hohes Risiko dar oder erfordert er eine Ablehnung?

Nein. Lösen Sie das Treffer und wenden Sie dann die PEP-Maßnahmen und die Risikoanalyse an, die von der jeweiligen Regelung gefordert werden. Der PEP-Status ist keine universelle Ablehnungsregel.

Macht eine Sanktionswarnung einen Kunden automatisch zu einem hohen Risiko?

Nein. Beheben Sie zuerst die Alert. Bestätigte Engagements können gesonderte rechtliche Verpflichtungen oder Beschränkungen nach sich ziehen, die nicht innerhalb einer gewöhnlichen gewichteten Bewertung verwässert werden dürfen.

Wie oft sollte das Kundenrisiko neu bewertet werden?

Befolgen Sie geltendes Recht und risikobasierte Richtlinien und öffnen Sie die Bewertung erneut, wenn sich wesentliche Fakten ändern. Eine allgemeingültige Jahresregel gibt es nicht.

Kann ein Kunde mit hohem Risiko trotzdem aufgenommen oder gehalten werden?

Wenn das Gesetz dies zulässt, sind die erforderlichen Maßnahmen möglicherweise abgeschlossen, das Risiko kann gemanagt werden und die genehmigte Risikobereitschaft erlaubt dies.

Kann Software die endgültige Entscheidung über das Kundenrisiko treffen?

Software kann Nachweise berechnen, weiterleiten und sichern. Die Organisation bleibt für die Methodik, die rechtlichen Verpflichtungen und die endgültige Beziehungsentscheidung verantwortlich.

Abschlussperspektive

Die stärkste CRA-Methodik ist nicht die mathematischste. Es ist diejenige, die Ihr Team erklären, steuern, reproduzieren und aktualisieren kann, wenn sich Kundendaten ändern.