Unternehmensverifizierung und AML-Screening: Ihre Aufgaben im KYB-Prozess

Vor der Gestaltung eines KYB-Prozesses sollten Compliance-Teams eine konkrete Frage beantworten: Welche Angaben müssen verifiziert, welche Parteien geprüft, welche Risiken bewertet, welche Entscheidungen getroffen und welche Nachweise aufbewahrt werden?

Unternehmensverifizierung und AML-Screening sind unterschiedliche Kontrollen. Sie können zum selben Prozess der Sorgfaltspflichten gegenüber Unternehmen gehören, beantworten jedoch verschiedene Fragen. Werden sie als ein nicht näher bestimmter „KYB-Check“ behandelt, entstehen leicht Lücken zwischen Unternehmensdaten, Beteiligungsstrukturen, Prüfergebnissen und der abschließenden Onboarding-Entscheidung.

Dieser Beitrag ordnet die einzelnen Kontrollen ein. Er enthält allgemeine Informationen und keine Rechtsberatung. Welche Maßnahmen erforderlich sind, hängt vom Unternehmen, von der Geschäftsbeziehung, der Rechtsordnung und dem anwendbaren regulatorischen Rahmen ab.

Unternehmensverifizierung und AML-Screening beantworten verschiedene Fragen

Die Bezeichnungen der Anbieter unterscheiden sich. Aussagekräftiger sind die operativen Fragen, die eine Kontrolle beantworten soll.

Dieses Modell beschreibt einen praxistauglichen Ablauf, keine weltweit einheitliche gesetzliche Reihenfolge. Die FATF-Standards sehen vor, dass Staaten AML/CFT-Kontrollen in ihren jeweiligen rechtlichen, administrativen und operativen Rahmen überführen. Eine als „KYB-Software“ bezeichnete Anwendung kann daher eine oder mehrere Ebenen abdecken.

Den übergeordneten Rahmen erläutert unser Leitfaden zu KYC, KYB und Kundensorgfaltspflichten.

Was eine Unternehmensverifizierung tatsächlich belegt

Bei der Unternehmensverifizierung geht es in der Regel um die juristische Person selbst: Name, Rechtsform, Existenz, Registerangaben, Anschrift, Leitung oder Vertretungsbefugnis sowie weitere Angaben, die ein Unternehmen belegen muss.

Die FATF-Empfehlung 10 beschreibt die Sorgfaltspflichten gegenüber juristischen Personen als Identifizierung und Verifizierung des Kunden anhand verlässlicher, unabhängiger Dokumente, Daten oder Informationen. Die Auslegungshinweise nennen unter anderem Existenznachweise, die Befugnisse zur Bindung des Unternehmens, relevante Leitungsorgane und Angaben zum eingetragenen Sitz.

Daraus folgt nicht, dass jede Geschäftsbeziehung weltweit identische Registerprüfungen verlangt. Der geltende EU-Rahmen, die britischen Money Laundering Regulations und die CDD Rule von FinCEN in den USA erfassen jeweils bestimmte Verpflichtete und Sachverhalte. Quelle, Nachweise und Umfang der Verifizierung müssen zu den anwendbaren Pflichten und der risikobasierten Richtlinie des Unternehmens passen.

Ein Unternehmensregister kann eine wichtige Quelle sein. Ein Registertreffer ist jedoch keine AML-Freigabe. Auch bei bestätigten Registerangaben können Sorgfaltspflichten zu Eigentum und Kontrolle, AML-Prüfungen, eine Risikobewertung und eine dokumentierte Entscheidung erforderlich sein.

Außerdem ist zwischen Nachweisen zur juristischen Person und der umfassenderen geschäftlichen Beurteilung einer Beziehung zu unterscheiden. Ein Registereintrag, eine Gründungsurkunde oder ein verifiziertes Unternehmensmerkmal kann belegen, dass die angegebene juristische Person existiert. Daraus ergibt sich allein weder, ob die Beziehung innerhalb der Risikotoleranz liegt, noch ob alle relevanten verbundenen Personen beurteilt wurden oder genügend Informationen für eine Entscheidung vorliegen.

Ein sauber gestalteter Prozess hält deshalb fest, welche Angaben bestätigt wurden, welche Quelle verwendet wurde, welche Punkte noch offen sind und wer den nächsten Schritt verantwortet. Die konkreten Daten unterscheiden sich je nach Produkt, Land und regulatorischem Anwendungsbereich. Maßgeblich ist, eine Unternehmensabfrage nicht mit dem Abschluss der Sorgfaltspflichten gleichzusetzen.

Die Rolle von Eigentum und Kontrolle

Eigentums- und Kontrollverhältnisse verbinden die juristische Person mit den dahinterstehenden Menschen. FATF definiert wirtschaftlich Berechtigte einer juristischen Person als die natürlichen Personen, die letztlich Eigentum oder Kontrolle ausüben, einschließlich durch letztendliche wirksame Kontrolle.

In der Praxis sind zwei Abgrenzungen wichtig:

• Eigentümer zu ermitteln ist nicht dasselbe, wie sie zu prüfen. Sobald ein wirtschaftlich Berechtigter identifiziert ist, steht fest, welche Person berücksichtigt werden muss. Erst die AML-Prüfung klärt, ob diese bekannte Person mit relevanten Risikoinformationen übereinstimmt.
• Beziehungsdaten darzustellen ist nicht dasselbe, wie sie zu belegen. Das Unternehmen benötigt weiterhin eine Datenherkunft und einen Verifizierungsansatz, die zu seinem Compliance-Programm passen.

Unternehmens- und Beteiligungsdaten können in der Praxis vom Kunden, aus internen Systemen, aus Registerquellen oder von vorgelagerten Anbietern stammen. Sobald die relevanten Personen und Beziehungen bekannt sind, können sie in die AML-Prüfung und Risikobewertung des Unternehmens einfließen.

Eigentum lässt sich nicht immer durch eine einzige Beteiligungsquote erfassen. Strukturen können direkte und indirekte Beteiligungen, Kontrolle über Stimmrechte oder andere Vereinbarungen, Geschäftsleiter und Zeichnungsberechtigte umfassen. Mitunter muss das Team auch klären, wer für das Unternehmen handelt. Die rechtlichen Kriterien und erforderlichen Nachweise hängen von Rechtsordnung und Compliance-Programm ab. Operativ bleibt die Aufgabe dieselbe: Beziehungen müssen so sichtbar sein, dass Analysten verstehen, wessen Risiko zusammen mit dem Unternehmen zu berücksichtigen ist.

Checklynx hält wirtschaftlich Berechtigte, kontrollierende Personen, Geschäftsleiter, Zeichnungsberechtigte und weitere verbundene Parteien in dem Kontext zusammen, den Compliance-Teams für ihre Prüfung benötigen. Mehr dazu unter wirtschaftlich Berechtigte und verbundene Parteien.

Was das AML-Screening ergänzt

Das Screening beantwortet eine andere Frage: Stimmt eine vorliegende Kennung mit konfigurierten Risikoinformationen überein, die näher geprüft werden müssen?

Bei Sanktionen können je nach Anwendungsbereich Kunden, Gegenparteien, Intermediäre, Transaktionen und weitere relevante Parteien geprüft werden. Ein möglicher Treffer ist noch keine abschließende rechtliche oder geschäftliche Entscheidung. Die Einführung von OFAC beschreibt das Screening als Kontrolle zur Erkennung eines möglichen Sanktionsbezugs. Anschließend sind die konkreten Tatsachen und die anwendbaren Sanktionsvorgaben zu bewerten.

PEP- und Sanktionsergebnisse dürfen nicht gleichgesetzt werden. Ein PEP-Status kann nach dem anwendbaren Rahmen risikobasierte Maßnahmen auslösen. Sanktionen können dagegen eine bestimmte rechtliche Reaktion verlangen. Auch Informationen aus negativen Medien bilden eine eigene Risikokategorie, deren Relevanz und Behandlung sich nach dem Compliance-Programm und den geltenden Vorgaben richten.

Eine belastbare Trefferprüfung beginnt üblicherweise mit der Identitätsklärung, bevor ein Ergebnis bewertet wird. Analysten können Namen, Aliasse, Geburtsdaten, Länder, Unternehmenskennungen, Beteiligungsbeziehungen und die Rolle der Person oder des Unternehmens in der Geschäftsbeziehung vergleichen. Eine ähnliche Namensschreibweise allein belegt keinen echten Treffer. Umgekehrt darf ein scheinbar unauffälliges Ergebnis widersprüchliche Identitätsangaben oder andere Risikosignale nicht verdrängen.

Deshalb sollte das Screening mit dem Kunden- oder Unternehmensdatensatz verbunden sein und nicht als isolierte Suche erfolgen. Der Kontext zeigt, ob ein Ergebnis den Kunden, einen wirtschaftlich Berechtigten, einen Geschäftsleiter, eine Gegenpartei oder eine Person ohne relevanten Bezug zur Geschäftsbeziehung betrifft.

Ein sinnvoller Ablauf lautet:

Bekanntes Unternehmen oder bekannte Person → Prüfergebnis → Identitäts- und Kontextprüfung → Risikobewertung → geregelte Entscheidung.

Diese Reihenfolge verhindert zwei typische Fehler: einen möglichen Treffer als bestätigtes Ergebnis zu behandeln oder aus einem unauffälligen Prüfergebnis abzuleiten, dass die zugrunde liegenden Unternehmensangaben echt sind.

Vertiefende Informationen bieten unsere Leitfäden zur Sanktionsprüfung und zur PEP-Prüfung.

Warum die Risikobewertung auf den Prüfungen aufbaut

Die Verifizierung klärt, ob Angaben belegt sind. Das Screening kann einen Risikohinweis liefern. Die Risikobewertung verbindet diese Erkenntnisse mit der gesamten Geschäftsbeziehung.

Je nach Rahmenwerk des Unternehmens können unter anderem Geschäftstätigkeit, geografischer Bezug, Produkte, erwartete Aktivität, Eigentum und Kontrolle, PEP-Bezug, Prüfergebnisse und die Verlässlichkeit der verfügbaren Angaben relevant sein. Keiner dieser Faktoren sollte als weltweit gültige automatische Entscheidung dargestellt werden.

Die Kundenrisikobewertung muss die Richtlinie, Methodik, Freigaben und Ausnahmen des Unternehmens abbilden. Sie ist keine allgemeingültige Punktzahl aus einer Datenquelle. Weitere Informationen finden Sie unter Kundenrisikobewertung.

Vom möglichen Treffer zur belegten Entscheidung

Ein AML-Prozess soll nicht möglichst viele Hinweise sammeln. Relevante Trefferhinweise, fehlende Angaben und Geschäftsbeziehungen mit erhöhtem Risiko müssen vielmehr in klar zugewiesene Prüfvorgänge überführt werden.

Ein wirksamer Prüfprozess stellt Analysten die Informationen bereit, die sie für die Identitätsklärung, die Einordnung der Verbindung zum Unternehmen, die Bewertung der anwendbaren Risikofaktoren und die Dokumentation des Ergebnisses benötigen. Auch Eskalationen müssen sichtbar bleiben, wenn weitere Sorgfaltsmaßnahmen, eine Freigabe durch die Leitung oder eine andere in der Richtlinie vorgesehene Maßnahme erforderlich sind.

Das Prüfverfahren sollte zwischen einem möglichen Treffer, einem bestätigten Ergebnis und der daraus folgenden Maßnahme unterscheiden. Der mögliche Treffer ist zunächst eine Prüffrage. Ein bestätigtes Ergebnis kann die Risikobewertung verändern oder einen festgelegten Richtlinienprozess auslösen. Die abschließende Maßnahme richtet sich nach der internen Richtlinie und, soweit relevant, nach fachlicher oder rechtlicher Beratung. Diese Trennung verhindert sowohl unnötige Ablehnungen als auch undokumentierte Ausnahmen.

Der Entscheidungsnachweis sollte eine spätere Rekonstruktion folgender Punkte ermöglichen:

• die zum jeweiligen Zeitpunkt verwendeten Angaben zum Unternehmen, zur Person und zur Beziehung;
• Quellenkontext, Prüfergebnisse und relevante Kennungen;
• Prüfschritte, Notizen, Anlagen und Freigaben;
• Ergebnis und Begründung; sowie
• Änderungen oder spätere Neubewertungen, die sich auf die Geschäftsbeziehung ausgewirkt haben.

Hier zeigt sich der Wert eines definierten Fall- und Nachweisprozesses. Checklynx verbindet AML-Prüfungen und den Kontext verbundener Parteien mit geregelter Fallbearbeitung, Entscheidungsnachweisen und Fallhistorie innerhalb eines KYC/KYB-Onboarding-Prozesses.

Die KYB-Kontrollkette im Überblick

Die Kontrollkette kann modular aufgebaut sein. Ein System stellt beispielsweise Unternehmensdaten bereit, ein anderes übernimmt einen Verifizierungsschritt. Der AML-Prozess verbindet anschließend Screening, Risikobewertung, Prüfung und Nachweisführung mit dem daraus entstehenden Kundenkontext.

Für Umsetzungsteams ist nicht maßgeblich, ob alle Schritte von einem Anbieter stammen. Entscheidend sind kontrollierte Übergaben: Sieht das nachgelagerte Compliance-Team den relevanten Quellenkontext? Lassen sich Ausnahmen zuweisen? Erreicht das Ergebnis den Onboarding-Prozess? Kann das Unternehmen die Entscheidung später rekonstruieren? Diese Fragen gelten sowohl für integrierte als auch für modulare Systemlandschaften.

Was laufendes KYB-Monitoring erkennen sollte

KYB endet nicht mit der Kontoeröffnung. Die FATF-Empfehlung 10 und der geltende EU-Rahmen enthalten laufende, risikobasierte Sorgfaltspflichten. Der CDD-Rahmen von FinCEN umfasst ein risikobasiertes laufendes Monitoring für bestimmte erfasste Finanzinstitute.

Daraus ergibt sich kein weltweit vorgeschriebener jährlicher Aktualisierungszyklus. Häufigkeit und Prüfanlässe richten sich nach den anwendbaren Vorgaben und risikobasierten Verfahren. Praktische Anlässe können wesentliche Änderungen bei Eigentum oder Kontrolle, neue Prüfinformationen, Veränderungen bei Ländern oder Tätigkeiten, Zweifel an früheren Angaben oder eine geänderte Risikobewertung der Geschäftsbeziehung sein.

Regelmäßige und anlassbezogene Prüfungen erfüllen unterschiedliche Aufgaben. Eine turnusmäßige Prüfung bietet nach Maßgabe der internen Richtlinie wiederkehrend Gelegenheit, eine Geschäftsbeziehung neu zu betrachten. Eine anlassbezogene Prüfung reagiert auf wesentliche Änderungen vor dem nächsten geplanten Termin. Ein ausgereifter KYB-Prozess kann beides unterstützen, ohne daraus einen weltweit einheitlichen rechtlichen Zeitplan abzuleiten.

Die operative Frage ist einfach: Kann das Unternehmen die Änderung erkennen, die Prüfung zuweisen, die Nachweise aufbewahren und den weiteren Verlauf belegen? Erfahren Sie mehr über das laufende Monitoring mit Checklynx.

Nutzen für die Anbieterauswahl

Sobald die erforderlichen Kontrollen feststehen, beginnt eine eigenständige Beschaffungsentscheidung. Mit der Checkliste zur Bewertung von KYB-Software lassen sich Datenquellen, Screening, Risiko, Prüfung, Nachweise, Monitoring, Integration und kommerzielle Bedingungen vergleichen.

Häufig gestellte Fragen

Sind Unternehmensverifizierung und AML-Screening dasselbe?

Nein. Bei der Unternehmensverifizierung werden Unternehmensangaben belegt. Das AML-Screening prüft, ob ein vorliegendes Unternehmen oder eine Person mit relevanten Risikoinformationen übereinstimmt. Beide Kontrollen können zu einem KYB-Prozess gehören, beantworten aber verschiedene Fragen.

Ist KYB abgeschlossen, wenn ein Unternehmen in einem amtlichen Register gefunden wurde?

Das lässt sich nicht allgemeingültig sagen. Ein Registerergebnis kann ein wichtiger Unternehmensnachweis sein. Unternehmen im Anwendungsbereich von Kundensorgfaltspflichten benötigen je nach geltendem Rahmen möglicherweise zusätzlich Beteiligungsangaben, Risikobewertung, AML-Prüfungen und laufende Überwachung.

Sind die Ermittlung und die Prüfung wirtschaftlich Berechtigter dasselbe?

Nein. Bei der Ermittlung oder Identifizierung wird festgestellt, wer Eigentum oder Kontrolle ausübt. Die AML-Prüfung gleicht eine bekannte oder angegebene Person mit relevanten Risikoinformationen ab. Keine der beiden Kontrollen ersetzt automatisch die andere.

Muss ein Unternehmen bei einem Sanktions- oder PEP-Hinweis abgelehnt werden?

Nicht automatisch. Ein möglicher Treffer erfordert eine Identitäts- und Kontextprüfung. Welche Maßnahme ein Sanktionssachverhalt verlangt, richtet sich nach den anwendbaren Sanktionsvorgaben. Die Behandlung von PEP ist davon zu unterscheiden und darf nicht mit einem Sanktionsverbot gleichgesetzt werden.

Müssen Unternehmen KYB jedes Jahr wiederholen?

Es gibt keinen weltweit einheitlichen jährlichen Aktualisierungszyklus. Die laufende Prüfung richtet sich nach den anwendbaren Pflichten, der internen Richtlinie und wesentlichen Änderungen der Kundenangaben oder des Risikos.

Den KYC/KYB-Prüfprozess in der Praxis ansehen

Nach der Zuordnung von Datenquellen und Verifizierungsschritten zeigt sich bei vielen Teams eine operative Lücke in den nachgelagerten Kontrollen: Prüfergebnisse, Kundenrisiko, Beteiligungskontext, Fallbearbeitung und Nachweise verteilen sich auf unterschiedliche Systeme.

Checklynx führt Screening, Kundenrisiko, Beteiligungskontext, geregelte Prüfung und Entscheidungsnachweise in einem KYC/KYB-Prozess zusammen. Mit der kostenlosen 30-Tage-Testversion lässt sich das Produkt direkt erproben. Preise sind transparent einsehbar, und der Einstieg ist ohne langes Verkaufsgespräch möglich.