Hintergrund

Die FINMA hat seit Publikation ihrer Aufsichtsmitteilung 05/2023 die Geldwäschereirisikoanalysen von über 30 Banken erneut sowie zahlreicher weiterer Institute erstmals untersucht. Sie stellt zwar Fortschritte fest, identifiziert jedoch weiterhin erhebliches Verbesserungspotential. Die neue Mitteilung präzisiert die Erwartungen der FINMA in vier Bereichen.

Key Takeaways

1. Die Risikotoleranz muss explizite, dokumentierte Ausschlüsse (z.b: bestimmte Länder, Kundenbeziehungen oder Dienstleistungen) enthalten - die blosse Beschreibung risikomindernder Massnahmen genügt nicht.
2. Ausnahmen von der definierten Risikotoleranz (exceptions to policy) sind restriktiv zu handhaben und dem Verwaltungsrat regelmässig zu rapportieren. 
3. Schlüsselrisikoindikatoren dienen zur regelmässigen Kontrolle der Einhaltung der Risikotoleranz. Sie müssen die inhärenten Risiken des Instituts messen — nicht nur die Kontrollrisiken.
4. Die Risikoanalyse muss alle Risikokategorien nach Art. 25 Abs. 2 GwV-FINMA vollständig abdecken, einschliesslich Risiken mit tiefer oder mittlerer Kritikalität.
5. Das Nettorisiko ist zwingend nach Anhang 3 der Aufsichtsprüfverordnung FINMA herzuleiten und auf Einzel- wie Gesamtebene mit der Risikotoleranz abzugleichen. 
6. Geldwäscherei-Risikoanalyse und Compliance-Risikoanalyse verfolgen unterschiedliche Zwecke und erfordern unterschiedliche Methodologien — eine klare Trennung ist erforderlich.

1. Geldwäschereirisikotoleranz

Institute müssen bewusst und explizit festlegen, welche Risiken sie nicht eingehen wollen. Der alleinige Ausschluss regulatorisch verbotener Gegenparteien (wie Nordkorea oder Iran) genügt nicht. Erwartet wird eine dokumentierte Einschätzung der Risikotoleranz (tief / mittel / hoch) sowie darüber hinausgehende, geschäftsmodellbezogene Ausschlüsse — beispielsweise keine ausländischen politisch exponierten Personen, keine komplexen Strukturen oder keine Krypto-Dienstleistungen.

Beim Prozess für Ausnahmen von der Risikotoleranz (exception to policy) hat die FINMA festgestellt, dass eine systematisch hohe Anzahl von Ausnahmen die definierte Risikotoleranz faktisch aushöhlt. Soll dauerhaft ein höheres Risikoniveau akzeptiert werden, ist dies durch eine formelle Anpassung der Risikotoleranz durch das Oberleitungsorgan abzubilden — nicht durch den Ausnahmeprozess. Alle Ausnahmen sind zentral zu erfassen, quantitativ und qualitativ zu überwachen und dem Verwaltungsrat regelmässig zu rapportieren.

Die Schlüsselrisikoindikatoren zur Überwachung der Risikotoleranz müssen auf die inhärenten Risiken ausgerichtet sein. Relative Kennzahlen, die lediglich auf die Veränderung gegenüber dem Vorjahr abstellen, sind ungeeignet, da sie eine schleichende Ausweitung der Risikotoleranz ohne formelle Genehmigung bewirken können. Jeder Indikator sollte mindestens die Anzahl der Geschäftsbeziehungen sowie die verwalteten Vermögen — jeweils in absoluten Zahlen und im Verhältnis zum Gesamtportfolio — umfassen.

2. Geldwäschereirisikoanalyse

Die Risikoanalyse muss alle zwingenden Risikokategorien nach Art. 25 Abs. 2 GwV-FINMA abdecken (Kundensegmente, Sitz bzw. Wohnsitz, Produkte und Dienstleistungen) — einschliesslich Kriterien mit tiefem oder mittlerem inhärentem Risiko. Risiken mit unterschiedlicher Kritikalität dürfen nicht in einer Gruppe zusammengefasst werden, da dies keinen klaren Rückschluss auf das tatsächliche Risiko einzelner Kriterien erlaubt.

Komplexe Strukturen, politisch exponierte Personen und Krypto-Dienstleistungen werden von der FINMA als inhärent hohes Risiko eingestuft; eine Klassifikation als «mittel» entspricht nicht den Erwartungen. Ein häufiger Methodikfehler besteht darin, dass risikomindernde Massnahmen bereits bei der Beurteilung des inhärenten Risikos berücksichtigt werden, obwohl sie zum Kontrollrisiko gehören.

Das Nettorisiko ist korrekt nach Anhang 3 der Aufsichtsprüfverordnung FINMA herzuleiten. Sehr hohe inhärente Risiken können selbst durch wirksame Massnahmen nicht unter die Stufe «hoch» gesenkt werden. Das aggregierte Gesamtnettorisiko ist mit der definierten Risikotoleranz abzugleichen; bei einer Überschreitung sind risikomindernde Massnahmen zu ergreifen — nicht Ausnahmen zu erteilen.

3. Abgrenzung zur Compliance-Risikoanalyse

Die FINMA stellt klar, dass die Geldwäscherei-Risikoanalyse und die Compliance-Risikoanalyse nach Rz 78 des FINMA-Rundschreibens 2017/1 unterschiedlichen Zwecken dienen: Während die Compliance-Risikoanalyse das Risiko der Verletzung gesetzlicher und regulatorischer Vorgaben bewertet, beurteilt die Geldwäscherei-Risikoanalyse das Risiko, dass das Institut für Geldwäscherei oder Terrorismusfinanzierung missbraucht wird. Beide Instrumente erfordern eine eigene Methodologie; eine konzeptionelle Vermischung entspricht nicht den aufsichtsrechtlichen Anforderungen.

4. FINIG-Institute

Für FINIG-Institute (Wertpapierhäuser, Fondsleitungen, Verwalter von Kollektivvermögen, Vermögensverwalter und Trustees) gelten die Erkenntnisse dieser Mitteilung sinngemäss. Detaillierungsgrad und Ausgestaltung der Risikoanalyse richten sich nach Art, Umfang und Risikogehalt der Geschäftstätigkeit. Institute mit höchstens fünf Vollzeitstellen oder einem Bruttoertrag unter CHF 2 Mio. und ohne erhöhte Risiken sind von der Pflicht zur Erstellung einer Risikoanalyse ausgenommen (Art. 75 Abs. 1 GwV-FINMA).

5. Handlungsempfehlungen

Wir empfehlen Banken und FINIG-Instituten, ihre Geldwäscherei-Risikoanalyse auf folgende Punkte hin zu überprüfen:

1. Enthält die Risikotoleranz explizite, dokumentierte Ausschlüsse, die über die gesetzlichen Mindestanforderungen hinausgehen? 
2. Ist der Ausnahmeprozess ausreichend restriktiv ausgestaltet, und werden alle Ausnahmen dem Verwaltungsrat rapportiert?
3. Messen die Schlüsselrisikoindikatoren die inhärenten Risiken des Instituts, und werden die Limiten regelmässig kritisch hinterfragt?
4. Deckt die Risikoanalyse alle Kategorien nach Art. 25 Abs. 2 GwV-FINMA vollständig ab — einschliesslich tiefer und mittlerer Risiken?
5. Wird das Nettorisiko korrekt hergeleitet und auf Einzel- wie Gesamtebene mit der Risikotoleranz abgeglichen?
6. Sind Geldwäscherei-Risikoanalyse und Compliance-Risikoanalyse konzeptionell klar voneinander getrennt?

Für Fragen stehen wir Ihnen gerne zur Verfügung.