KYC vs. CDD vs. EDD: Was ist der Unterschied?

Customer Due Diligence (CDD) bezeichnet den Prozess, einen Kunden und das Risiko der Geschäftsbeziehung zu verstehen. Enhanced Due Diligence (EDD) bedeutet, zusätzliche beziehungsweise verstärkte Sorgfaltspflichten anzuwenden, wenn das einschlägige Recht, ein festgestelltes Risiko oder die interne Richtlinie eine vertiefte Prüfung verlangt. EDD ist weder eine eigenständige Identitätsprüfung noch eine weltweit einheitliche Checkliste oder ein automatischer Grund, einen Kunden abzulehnen.

KYC, CDD, vereinfachte Sorgfaltspflichten und EDD sind miteinander verbunden. Ihre genaue rechtliche Bedeutung richtet sich jedoch nach dem Rahmenwerk, das für das Unternehmen und die Geschäftsbeziehung gilt.

CDD vs. EDD: der Unterschied auf einen Blick

Der Unterschied besteht nicht einfach in „weniger Dokumenten gegenüber mehr Dokumenten“. Die grundlegenden CDD-Maßnahmen schaffen das Verständnis der Geschäftsbeziehung, das der einschlägige Rechtsrahmen verlangt. EDD ergänzt oder verstärkt diese Maßnahmen aus einem klar bestimmten Grund.

Wie KYC, CDD und EDD zusammenhängen

Unternehmen verwenden „KYC“ mitunter als Oberbegriff für den gesamten Aufnahmeprozess. Wichtiger als die Bezeichnung ist, dass jede erforderliche Kontrolle einen klaren Zweck, belastbare Nachweise und eine zuständige Stelle hat. Den vollständigen Lebenszyklus einschließlich KYB, Eigentumsverhältnissen von Unternehmen und Entscheidungen über Geschäftsbeziehungen behandelt der Leitfaden zu KYC, KYB und Kundensorgfaltspflichten.

Was Kundensorgfaltspflichten umfassen

Je nach Kunde, Produkt und einschlägigen Vorschriften kann CDD Folgendes umfassen:

• den Kunden identifizieren und relevante Angaben überprüfen;
• wirtschaftlich Berechtigte oder kontrollierende Personen feststellen und gegebenenfalls die Eigentumsstruktur verstehen;
• Zweck und angestrebte Art der Geschäftsbeziehung verstehen;
• relevante Risiken mit Bezug zum Kunden, Produkt, Vertriebskanal und geografischen Kontext bewerten;
• die diesem Risiko angemessenen Maßnahmen, Genehmigungen und Beschränkungen festlegen;
• relevante Angaben aktuell halten und Aktivitäten im Verlauf der Geschäftsbeziehung überprüfen; und
• ausreichende Nachweise aufbewahren, um die durchgeführten Schritte und ihre Gründe erklären zu können.

CDD geht damit über das Einholen von Identitätsdokumenten hinaus. Sie verbindet verlässliche Kundeninformationen mit einer Risikobewertung und einer autorisierten Entscheidung über die Geschäftsbeziehung.

Was sich durch verstärkte Sorgfaltspflichten ändert

EDD ergänzt die Prüfung als Reaktion auf einen konkreten Grund. Abhängig vom geltenden Rahmenwerk und Sachverhalt können zusätzliche Maßnahmen beispielsweise Folgendes umfassen:

• weitere Informationen über den Kunden, die Eigentumsverhältnisse oder den Zweck der Geschäftsbeziehung einholen;
• vorgelegte Angaben anhand verlässlicher und unabhängiger Quellen bestätigen;
• soweit relevant die Herkunft der Gelder oder des Vermögens feststellen oder untersuchen;
• eine zusätzliche Genehmigung der Leitung einholen;
• die Begründung für eine Transaktion, Struktur, geografische Verbindung oder einen Vertriebskanal untersuchen; oder
• eine intensivere oder anders ausgelöste laufende Überprüfung anwenden.

Dies sind mögliche Maßnahmen und kein weltweit einheitliches Paket. Eine belastbare EDD-Dokumentation verbindet den Auslöser mit der untersuchten Frage, den zusätzlich vorgenommenen Schritten und der daraus resultierenden Entscheidung.

Wann können verstärkte Sorgfaltspflichten erforderlich sein?

Es gibt keine weltweit einheitliche Liste von Auslösern. Drei Fragen sind voneinander zu trennen:

1. Gesetzlicher Auslöser: Verlangt das für das Unternehmen und die Geschäftsbeziehung geltende Recht in diesem Fall verstärkte Maßnahmen?
2. Risikoindikator: Deuten die vorliegenden Informationen auf ein höheres oder weniger gut verstandenes Risiko der Geldwäsche oder Terrorismusfinanzierung hin, das weitere Prüfung erfordert?
3. Interner Auslöser: Verlangt die genehmigte Methodik oder Richtlinie des Unternehmens eine Eskalation, zusätzliche Nachweise oder eine Genehmigung über das gesetzliche Mindestmaß hinaus?

Die britischen Money Laundering Regulations enthalten beispielsweise getrennte Bestimmungen zu allgemeinen Sorgfaltspflichten, verstärkten Sorgfaltspflichten und PEPs für relevante Personen in ihrem Anwendungsbereich.¹ Dies ist ein Beispiel aus dem Vereinigten Königreich und kein weltweit geltendes Rahmenwerk für Auslöser.

Die FATF-Empfehlungen bilden einen internationalen Standard, der durch nationale Systeme umgesetzt wird. Die FATF erkennt an, dass Länder unterschiedliche rechtliche, administrative und operative Rahmenbedingungen haben. Ihre Empfehlungen sind daher keine unmittelbar bindende weltweite Checkliste.²

Die FATF stellt außerdem klar, dass die Aufnahme in ihre Liste der Länder unter verstärkter Beobachtung – die „graue Liste“ – allein nicht bedeutet, dass auf sämtliche Geschäftsbeziehungen mit einem entsprechenden Bezug automatisch verstärkte Sorgfaltspflichten anzuwenden sind.³

Wo vereinfachte Sorgfaltspflichten einzuordnen sind

Einige Rechtsrahmen erlauben vereinfachte Sorgfaltspflichten (Simplified Due Diligence, SDD), wenn die geltenden Voraussetzungen erfüllt sind und ein geringeres Risiko festgestellt wurde. Vereinfacht bedeutet nicht, dass keine Sorgfaltspflichten bestehen. Die Einstufung sollte auch nicht als dauerhafte Kundenkennzeichnung verstanden werden.

Die Begriffe unterscheiden sich je nach Rechtsordnung. Das spanische Gesetz Ley 10/2010 verwendet beispielsweise medidas normales, medidas simplificadas und medidas reforzadas de diligencia debida. Es ordnet die laufende Überwachung außerdem gesondert den normalen Sorgfaltspflichten zu.⁴ Die spanische Terminologie sollte nicht auf englische Abkürzungen reduziert werden.

PEPs und verstärkte Sorgfaltspflichten

Ein möglicher Treffer zu einer politisch exponierten Person (PEP) löst zunächst eine Prüfung von Identität und Status aus. Er belegt für sich genommen weder, dass der Kunde ein hohes Risiko darstellt, noch dass er verdächtig oder nicht akzeptabel ist. Die geltenden PEP-Definitionen und Maßnahmen unterscheiden sich je nach Rechtsordnung und Kategorie.

PEP-Kandidat → Klärung von Identität und Funktion → einschlägige PEP-Einstufung → Kundenrisikobewertung → erforderliche Genehmigung und Maßnahmen → Entscheidung über die Geschäftsbeziehung

Die FATF versteht PEP-Maßnahmen als präventiv und weist darauf hin, dass der PEP-Status nicht als Hinweis auf kriminelle Tätigkeit ausgelegt werden sollte.⁵ Die Anleitung zur PEP-Prüfung behandelt die operative und rechtsordnungsspezifische Anwendung ausführlich.

Kundenrisikobewertung und EDD

Eine Kundenrisikobewertung kann dabei helfen, die Intensität der Sorgfaltspflichten festzulegen. Eine Punktzahl darf jedoch nicht zum rechtlichen Urteil werden. Die Bewertung sollte die ausschlaggebenden Faktoren erkennen und sie einer angemessenen Behandlung, einer qualifizierten Prüfung und einer autorisierten Entscheidung zuordnen.

„Hohes Risiko“ sollte nicht bei jedem Kunden automatisch dieselben fünf Dokumente auslösen. Die zusätzlichen Maßnahmen sollten die konkrete Risiko- oder Rechtsfrage beantworten. Der Leitfaden zur Methodik der AML-Kundenrisikobewertung erläutert, wie Faktoren, Regeln, Übersteuerungen und Behandlung miteinander verbunden werden können, ohne die Entscheidungshoheit aufzugeben.

Was geschieht nach EDD?

EDD ist nicht zwangsläufig das Ende des Prozesses. Das Unternehmen muss Kundenangaben möglicherweise aktuell halten, Veränderungen des Auslösers oder Risikos prüfen, relevante Aktivitäten untersuchen und die Geschäftsbeziehung nach dem geltenden Rahmenwerk und seiner Richtlinie erneut bewerten.

• Laufende CDD hält die Kenntnisse über den Kunden und die Geschäftsbeziehung aktuell.
• Erneute Sanktions- und PEP-Prüfungen gleichen konfigurierte Datensätze mit relevanten Datenänderungen ab.
• Transaktionsüberwachung untersucht Verhaltens- oder Transaktionsaktivitäten auf Grundlage eines getrennten Kontrolldesigns.

Das laufende Monitoring von Checklynx unterstützt konfigurierte erneute Prüfungen gegen Sanktions-, PEP- und andere Watchlists. Es ist keine verhaltensbasierte Transaktionsüberwachung und entscheidet nicht, ob EDD rechtlich erforderlich ist.

Wie Technologie CDD- und EDD-Prozesse unterstützen kann

Technologie kann einzelne Kontrollen unterstützen, ohne den gesamten CDD- oder EDD-Prozess auszuführen.

Checklynx prüft Identitätsdokumente nicht eigenständig, ermittelt oder verifiziert nicht sämtliche wirtschaftlich Berechtigten, verifiziert nicht die Herkunft von Geldern oder Vermögen, führt keine vollständige CDD oder EDD durch, entscheidet nicht über die rechtliche Erforderlichkeit von EDD, genehmigt keine Kunden und garantiert keine Compliance.

Häufig gestellte Fragen

Was ist der wichtigste Unterschied zwischen CDD und EDD?

CDD schafft und erhält das risikoorientierte Verständnis, das für eine Kundenbeziehung erforderlich ist. EDD ergänzt dies um zusätzliche Maßnahmen, die auf einen gesetzlichen Auslöser, ein höheres Risiko oder eine ungeklärte Frage reagieren. Welche Maßnahmen erforderlich sind, hängt vom Rahmenwerk und vom Sachverhalt ab.

Ist EDD für jeden Hochrisikokunden erforderlich?

Das lässt sich nicht weltweit einheitlich beantworten. Das Unternehmen muss zwischen bindenden gesetzlichen Auslösern, Risikoindikatoren und eigenen internen Auslösern unterscheiden. Wo EDD vorgeschrieben oder gewählt wird, sollten die Maßnahmen auf den Grund für die Verstärkung reagieren.

Ist EDD dasselbe wie laufendes Monitoring?

Nein. Eine verstärkte Überwachung kann unter bestimmten Umständen Teil von EDD sein. Laufende CDD kann jedoch auch außerhalb von EDD gelten. Erneute Sanktions- oder PEP-Prüfungen und verhaltensbasierte Transaktionsüberwachung sind getrennte Kontrollen.

Erfordert ein PEP-Treffer automatisch EDD?

Ein Datenbanktreffer tut dies nicht. Zunächst sind Identität, Funktion und die einschlägige PEP-Definition zu klären. Anschließend sind die Maßnahmen anzuwenden, die das geltende Rahmenwerk und die Risikomethodik des Unternehmens vorsehen. Der PEP-Status ist keine automatische Ablehnungsregel.

Ist die Sanktionsprüfung Teil von EDD?

Die Sanktionsprüfung kann innerhalb eines umfassenderen Kontrollprozesses für Kunden eingesetzt werden, beantwortet aber eine eigenständige rechtliche Frage. Ein möglicher Sanktionstreffer belegt weder die Identität noch die rechtliche Wirkung. Weitere Informationen enthält der Praxisleitfaden zur Sanktionsprüfung.

Kann Software EDD automatisieren?

Technologie in einem umfassenderen CDD-System kann die Datenerhebung, konfigurierte Risikobewertung, Prüfung, erneute Prüfung, Fallweiterleitung und Nachweisführung unterstützen. Sie sollte nicht so beschrieben werden, als würde sie jede Untersuchung abschließen oder rechtliche Entscheidungen beziehungsweise Entscheidungen über Geschäftsbeziehungen für das Unternehmen treffen.