AML-Dokumentation im Vereinigten Königreich: Nachweise, Aufbewahrung und Entscheidungen

Zur AML-Dokumentation im Vereinigten Königreich gehören unternehmensweite Risikoanalysen, Richtlinien, Schulungsnachweise, Unterlagen zu Kundensorgfaltspflichten, Transaktionsunterlagen sowie Nachweise zu Prüfungen und Meldeentscheidungen. Sie sollte erkennen lassen, welche Informationen dem Unternehmen vorlagen, welche Kontrollen galten und warum eine Aktivität freigegeben, eskaliert oder gestoppt wurde. Ausweisdokumente allein beantworten diese Fragen nicht. Auch ein als „geprüft“ gekennzeichneter Fall braucht abrufbare Nachweise.

Dieser Leitfaden behandelt die Kategorien von AML-Nachweisen im Vereinigten Königreich, ihren Bezug zu Entscheidungen und die unterschiedlichen Aufbewahrungsregeln. Er ergänzt den allgemeinen AML-Compliance-Leitfaden, der den Aufbau des gesamten Compliance-Programms erklärt.

Zunächst die anwendbaren Vorgaben klären

Die Money Laundering Regulations 2017 (MLR) verpflichten Unternehmen in ihrem Anwendungsbereich, die dort als „relevant persons“ bezeichnet werden. Branche, Tätigkeit und aufsichtsrechtliche Vorgaben sind dabei maßgeblich. Ein Unternehmen außerhalb dieses Anwendungsbereichs sollte nicht davon ausgehen, dass jede nachfolgend genannte Vorgabe für es gilt. Britische Sanktionspflichten sind gesondert zu prüfen und beschränken sich nicht auf Unternehmen, die den MLR unterliegen.¹²

Zu unterscheiden sind gesetzliche Pflichten, aufsichtsbehördliche Leitlinien und die hier empfohlenen praktischen Verfahren. Vorgeschlagene Datenfelder sind nicht automatisch gesetzlich vorgeschrieben. Branchenspezifische Regeln können weitere Vorgaben enthalten.

Jedem Nachweis die zugehörige Kontrolle zuordnen

Für jede Kategorie sollte eine zuständige Person benannt sein, die Zweck und Aufbewahrungsgrundlage erläutern kann.

Regulations 18, 19, 21 und 24 betreffen unterschiedliche Aspekte der Unternehmensorganisation. Insbesondere hängen die Vorgaben zu internen Kontrollen und unabhängigen Prüfungen nach Regulation 21 davon ab, was angesichts der Größe und Art des Unternehmens angemessen ist. Welche Prüfstrukturen angemessen sind, unterscheidet sich daher von Unternehmen zu Unternehmen.³⁴⁵⁶

Richtlinienversionen mit Entscheidungen zu Kunden verknüpfen

Datierte Richtlinienversionen einschließlich ihrer Freigabehistorie aufbewahren. Eine wesentliche Entscheidung zu einem Kunden sollte mit dem damals verwendeten Verfahren und der damaligen Konfiguration verknüpft bleiben. Ihr damaliger Kontext sollte auch nach einer Richtlinienänderung erhalten bleiben.

Für die Erfüllung der Kundensorgfaltspflichten (Customer Due Diligence, CDD) sind die hierfür erhobenen Unterlagen und Informationen sowie ausreichende ergänzende Transaktionsnachweise aufzubewahren. Herkunft und Datum festhalten, damit später zwischen Kundenangaben, unabhängigen Prüfungen und nachträglichen Korrekturen unterschieden werden kann.⁷⁸

Eine nachvollziehbare Kundenrisikobewertung verbindet die relevanten Tatsachen mit der Bewertungsmethode, der endgültigen Risikokategorie, etwaigen Abweichungen vom Bewertungsergebnis und der zuständigen Person. Die Bewertung selbst erläutert der Leitfaden zur Methodik der Kundenrisikobewertung. Bei der Dokumentation kommt es darauf an, ob eine andere Person die Begründung nachvollziehen kann, ohne auf die Erinnerung des ursprünglichen Analysten angewiesen zu sein.

Kunden-, Fall- und Transaktionsunterlagen über stabile Referenzen verknüpfen. Unnötige Kopien personenbezogener Daten in E-Mails und auf lokalen Laufwerken vermeiden.

PEP- und Sanktionsbewertungen getrennt begründen

Bei einer möglichen politisch exponierten Person (PEP) zunächst die Identitätsklärung, die maßgebliche Funktion oder Beziehung und die zugehörigen Zeitangaben dokumentieren. Hinzu kommen Risikobewertung, Maßnahmen und Freigaben.

Regulation 35 verlangt eine Risikobewertung und verhältnismäßige verstärkte Maßnahmen. Für inländische PEPs – hier bezogen auf das Vereinigte Königreich – sowie ihre erfassten Familienmitglieder oder bekanntermaßen nahestehenden Personen sieht das Gesetz grundsätzlich ein geringeres Risiko als bei nicht inländischen PEPs vor. Ohne risikoerhöhende Faktoren fällt der Umfang der verstärkten Sorgfaltsmaßnahmen geringer aus. Die anwendbaren Maßnahmen entfallen dadurch nicht; ebenso wenig ist jede PEP gleichermaßen als Hochrisikofall zu behandeln.⁹ Der Leitfaden zur PEP-Prüfung erläutert den Prüfprozess genauer.

Bei Sanktionsprüfungen die eingegebenen Angaben zur geprüften Partei, den möglichen Listentreffer, die anwendbare Rechtsgrundlage, den Quellenkontext sowie die für oder gegen eine Identitätsübereinstimmung sprechenden Nachweise aufbewahren. Fragen zu Eigentum oder Kontrolle getrennt vom direkten Namensabgleich dokumentieren. Anschließend die relevante Beschränkung und die daraus folgende Maßnahme erläutern. Ein möglicher Treffer ist kein bestätigter Treffer mit einer sanktionierten Partei. Eine interne Unterbrechung eines Vorgangs ist auch nicht mit dem gesetzlich vorgeschriebenen Einfrieren von Vermögenswerten gleichzusetzen.²

Ist eine Genehmigung relevant, sind Referenz, Anwendungsbereich, Bedingungen und die Prüfung ihres Bezugs zur geplanten Aktivität aufzubewahren. Eine Defence Against Money Laundering (DAML) ist keine OFSI-Genehmigung. Weder eine interne Freigabe noch ein Rechtsgutachten setzt ein Verbot außer Kraft. Welche Nachweise im jeweiligen Fall aufzubewahren sind, erläutert der Leitfaden zur Dokumentation von Sanktionstreffern.

Meldeentscheidungen mit angemessenen Zugriffsbeschränkungen dokumentieren

Interne Eskalation, Bewertung interner Verdachtsfälle durch die für Verdachtsmeldungen zuständige Person („nominated officer“), externe Verdachtsmeldung (Suspicious Activity Report, SAR) und einen etwaigen DAML-Antrag auseinanderhalten. Die Kennzeichnung „gemeldet“ sollte die tatsächliche Übermittlung und deren Referenz bezeichnen, nicht lediglich das Anlegen eines internen Falls durch einen Analysten.

Entscheidet der „nominated officer“, keine SAR abzugeben, sind die berücksichtigten Informationen und die Begründung anhand der maßgeblichen Meldeschwelle aufzubewahren. Allein fehlende externe Bestätigung genügt nicht als Begründung: Ein Verdacht setzt keinen Beweis voraus. Die HMRC-Leitlinien für die von ihr beaufsichtigten Unternehmen behandeln sowohl abgegebene Meldungen als auch Entscheidungen gegen eine Meldung.¹⁰

Der Zugriff auf Meldeunterlagen ist angemessen zu beschränken. Die Straftatbestände des Tipping-off und der Beeinträchtigung von Ermittlungen haben nach POCA und der Terrorismusgesetzgebung bestimmte Voraussetzungen und Anwendungsbereiche. Ob eine konkrete Offenlegung verboten ist, hängt von diesen Voraussetzungen ab. Auskunftsersuchen und Mitteilungen sollten nach dem dafür vorgesehenen rechtlichen Verfahren und Meldeprozess bearbeitet werden.¹¹

Den richtigen Beginn der Aufbewahrungsfrist bestimmen

Ausgangspunkt sind die Kategorie und das fristauslösende Ereignis, nicht eine pauschale Einstellung „Erstellungsdatum plus fünf Jahre“.

Regulation 40(5) verlangt nach Ablauf der jeweiligen Frist die Löschung der betreffenden personenbezogenen Daten, sofern keine Ausnahme greift: Aufbewahrung aufgrund einer Rechtsvorschrift oder für ein Gerichtsverfahren, Einwilligung oder begründete Annahme, dass die Aufbewahrung für ein Gerichtsverfahren erforderlich ist. Die tatsächlich einschlägige Grundlage dokumentieren. Eine Einwilligung ist keine pauschale Erlaubnis, sämtliche Daten unbegrenzt zu speichern.⁸

Die ICO-Leitlinien zur Speicherbegrenzung verlangen begründete Aufbewahrungsfristen und regelmäßige Überprüfungen. Festlegen, wer eine Ausnahme oder eine vorübergehende Löschsperre genehmigen darf, wann diese überprüft wird und wie die Löschung kontrolliert wird. „Könnte irgendwann nützlich sein“ ist keine geeignete Aufbewahrungsrichtlinie.¹²

Abrufbarkeit, Migration und Löschung prüfen

Einen abgeschlossenen Fall auswählen und eine Person außerhalb des ursprünglichen Prüfteams bitten, die Entscheidung mit ihren zulässigen Zugriffsrechten nachzuvollziehen. Findet sie die Nachweise? Erkennt sie, wer geprüft hat? Kann sie den ursprünglichen Datensatz von einer späteren Änderung unterscheiden?

Den Test mit einer alten Richtlinie, einem Schulungsnachweis und zugriffsbeschränkten Meldeunterlagen wiederholen. Die Abrufbarkeit auch nach Kontoschließung, Personalwechsel und Anbieterwechsel prüfen. Fehler und Abhilfemaßnahmen dokumentieren.

Löschauslöser, Ausnahmen und zugehörige Kopien kontrollieren. Eine Löschung ist nicht vollständig, wenn unverwaltete Exporte unbegrenzt bestehen bleiben.

Software anhand der benötigten Nachweise bewerten

Einen Anbieter bitten, eine frühere Prüfentscheidung abzurufen und zu erklären, welche Informationen bei Daten- oder Konfigurationsänderungen erhalten bleiben. Eingaben, Quellenkontext, Zuordnung zur prüfenden Person, Änderungen, Aufbewahrung, Zugriffsrechte und Exportmöglichkeiten überprüfen. Dabei auch die vertraglichen und technischen Grenzen hinter der Bezeichnung „Audit Trail“ klären.

Checklynx bündelt mögliche Treffer in Profilen mit verfügbaren strukturierten Identitätsangaben und Quellenkontext. So können Analysten die eingegebenen Angaben zur geprüften Partei besser mit möglichen Treffern vergleichen. Das unterstützt die Untersuchung, stellt aber weder die Identität fest noch bestimmt es rechtliche Folgen. Auch die Archive für Richtlinien, Schulungen und Meldungen des Unternehmens ersetzt es nicht. Die Checklynx-Funktionen für Prüfspuren und Nachweise an den tatsächlichen Abrufanforderungen messen und die benötigten Bedingungen vor der Beschaffung bestätigen lassen.

Drei praktische Beispiele

Diese hypothetischen Beispiele zeigen, was ein Entscheidungsnachweis erklären sollte.

Ein Kunde trägt denselben Namen wie eine PEP. Die eingegebenen Identitätsangaben und den Kontext des möglichen Treffers aufbewahren, die Identitätsklärung erläutern und verbleibende Unsicherheiten dokumentieren. Wird die Person als PEP eingestuft, sind Risiko- und Maßnahmenbewertung festzuhalten, statt automatisch jeder PEP dieselbe Risikokategorie zuzuweisen.

Ein möglicher Sanktionstreffer betrifft eine geplante Zahlung. Die Identitäts- und Beschränkungsprüfung aufbewahren. Hängt die Durchführung von einer Genehmigung ab, ist zu dokumentieren, dass die Aktivität von deren Umfang und Bedingungen erfasst ist. Ein Aktenvermerk „vom MLRO freigegeben“ ersetzt nicht die erforderliche rechtliche Erlaubnis.

Eine interne Meldung führt nicht zu einer SAR. Die berücksichtigten Tatsachen, die Prüfung der Meldeschwelle, die entscheidende Person und das Datum unter angemessenen Zugriffsbeschränkungen aufbewahren. Erforderliche weitere Schritte dokumentieren. „Keine externen Nachweise gefunden“ beantwortet nicht die Frage, ob die Meldeschwelle erreicht war.

Häufig gestellte Fragen

Müssen alle AML-Unterlagen fünf Jahre aufbewahrt werden?

Nein. Regulation 40 betrifft bestimmte CDD- und Transaktionsunterlagen mit festgelegten Fristauslösern und Löschungsregeln. Leitlinien zu Meldungen haben ihren eigenen Kontext. Für Richtlinien, Schulungs- und Prüfungsnachweise ist eine angemessene Aufbewahrungsgrundlage erforderlich.

Reicht ein Prüfergebnis zur Dokumentation einer Entscheidung aus?

Ein Ergebnis zeigt, was das System zurückgegeben hat. Die Entscheidung braucht außerdem relevante Identitätsnachweise, Analyse, Maßnahmen und eine Zuordnung zur verantwortlichen Person. Genügend Kontext aufbewahren, um das Ergebnis zu erklären, ohne aus einem möglichen Treffer bereits ein abschließendes Ergebnis abzuleiten.

Kann ein Anbieter Unterlagen für uns aufbewahren?

Eine Speichervereinbarung allein belegt nicht, dass die eigenen Pflichten erfüllt sind. Fortlaufenden Zugriff, Abrufbarkeit, Aufbewahrung, Migration und Löschung prüfen – einschließlich der Regelungen bei Vertragsende.