Praxisleitfaden zur Implementierung von AML/KYC-Compliance-Kontrollen bei grenzüberschreitenden Zahlungen

Die Ausweitung internationaler Zahlungen hat die Einhaltung regulatorischer Vorgaben zu einer strategischen Säule für Finanzunternehmen gemacht. Grenzüberschreitende Zahlungsströme sind aufgrund unterschiedlicher Rechtsordnungen naturgemäß komplex und erfordern mehr als grundlegende Kontrollen. Dieser Leitfaden bietet einen praxisorientierten Ansatz zur Implementierung eines robusten AML/KYC-Compliance-Systems, das auf die betrieblichen Gegebenheiten von Finanz-KMU und Zahlungsinstituten zugeschnitten ist.

Grundlagen des Compliance-Rahmens

Für einen sicheren Geschäftsbetrieb ist es wichtig, die beiden Säulen der Kontrolle finanzieller Risiken zu unterscheiden:

• KYC (Know Your Customer): Der Prozess zur Identifizierung und Überprüfung der Identität von Kunden. Ziel ist sicherzustellen, dass Personen oder Unternehmen tatsächlich diejenigen sind, für die sie sich ausgeben, und dass ihre Gelder aus einer legitimen Quelle stammen.
• AML (Anti-Money Laundering): Gesamtheit der Vorschriften und Verfahren zur Verhinderung von Geldwäsche und Terrorismusfinanzierung. Dazu gehört die kontinuierliche Überwachung der Zahlungsströme, um illegale Aktivitäten zu erkennen.

Auch wenn die Begriffe häufig gemeinsam genannt werden, ist KYC der Einstiegspunkt und AML die fortlaufende Überwachung. Verstöße gegen diese Vorschriften können zu erheblichen Geldbußen, dem Verlust von Lizenzen und irreparablen Reputationsschäden führen.

Erstidentifizierung und Identitätsprüfung

Der erste Schritt bei jeder grenzüberschreitenden Zahlung ist eine zuverlässige Identitätsprüfung. Im Gegensatz zu Inlandstransaktionen erfordern internationale Zahlungen aufgrund der Vielfalt amtlicher Dokumente und rechtlicher Rahmenbedingungen einen differenzierteren Ansatz.

Phasen des KYC-Prozesses

1. Erfassung von Informationen: Erhebung personenbezogener oder unternehmensbezogener Daten, Ausweisdokumente (Personalausweis, Reisepass, Urkunden) und Nachweise über die wirtschaftliche Tätigkeit.
2. Dokumentenprüfung: Einsatz von Technologien wie OCR (optische Zeichenerkennung) und Validierung von behördlich ausgestellten Dokumenten, um Fälschungen zu erkennen.
3. Screening (Überprüfung): Abgleich in Echtzeit mit internationalen Sanktionslisten (UN, EU, OFAC), PEP-Listen (politisch exponierte Personen) und lokalen schwarzen Listen.
4. Risikoklassifizierung: Zuweisung eines Risikoprofils an den Kunden, anhand dessen Transaktionslimits und Umfang der Überwachung festgelegt werden.

Kontinuierliche Überwachung und Risikomanagement

Mit der Aufnahme eines Kunden ist die Compliance nicht abgeschlossen. Die Transaktionsüberwachung ist entscheidend, um verdächtige Muster zu erkennen, etwa Layering (Transaktionsschichten, die den Ursprung von Geldern verschleiern sollen) oder die Nutzung von Geldkurierkonten.

Technologische Kontrollinstrumente

Moderne Kernbankensysteme und Zahlungsplattformen ermöglichen es, einen großen Teil dieses Prozesses zu automatisieren:

• Konfigurierbare Warnregeln: Festlegung von Filtern nach Betrag, Herkunfts- oder Zielland, Zahlungshäufigkeit oder Schlüsselwörtern in Beschreibungen.
• Dynamische Risikobewertung: Echtzeitberechnung des Risikos jeder Transaktion auf Grundlage der AML-Richtlinien des Unternehmens.
• Listenintegration: Regelmäßige automatische Aktualisierung der Sanktionslisten, um die fortlaufende Compliance sicherzustellen.

Für Finanz-KMU ist die Flexibilität dieser Instrumente entscheidend. Sie ermöglichen es, Auslöser (Trigger) an das Geschäftsprofil anzupassen und so übermäßig viele Fehlalarme zu vermeiden, die das Compliance-Team überlasten könnten.

Eskalation von Warnmeldungen und Meldungen

Wenn das System eine Unregelmäßigkeit erkennt, wird das Eskalationsprotokoll aktiviert. Dieser Prozess muss klar definiert sein, um die Nachvollziehbarkeit sicherzustellen:

1. Automatische Warnmeldung: Eine Benachrichtigung wird an den Compliance-Beauftragten gesendet.
2. Vorläufige Untersuchung: Prüfung des Transaktionskontexts und der Kundenhistorie.
3. Entscheidung: Einstufung des Vorgangs als legitim (mit dokumentierter Begründung) oder verdächtig.
4. Meldung: Bei Verdacht Einreichung einer ROS (Meldung einer verdächtigen Transaktion) bei der zuständigen Behörde (etwa SENACLAFT in Uruguay oder den entsprechenden Behörden in anderen Ländern).

Es ist entscheidend, Aufzeichnungen über sämtliche Entscheidungen und Mitteilungen aufzubewahren, da die Dokumentationsfristen streng sind und je nach Rechtsordnung variieren.

Interne Prüfung und kontinuierliche Verbesserung

Compliance ist ein Kreislauf, kein einmaliges Ereignis. Durch regelmäßige interne Prüfungen lässt sich die Wirksamkeit der Kontrollen bewerten und lassen sich Schwachstellen erkennen.

• Überprüfung der Richtlinien: Sicherstellen, dass die Risikoregeln weiterhin zum aktuellen Kundenprofil passen.
• Schulung des Personals: Operative Teams und Kundendienstteams darin schulen, Warnsignale zu erkennen.
• Bewertung von Dienstleistern: Prüfen, ob externe Verifizierungs- und Datendienste Datenschutz- und Sicherheitsstandards erfüllen.

Häufig gestellte Fragen

Worin unterscheiden sich die Compliance-Anforderungen für Bankzahlungen und Zahlungsdienstleister?

Bei Bankzahlungen (Zahlungskonten, E-Geld) liegt der KYC-Schwerpunkt auf der Identität des endgültigen Kontoinhabers. Bei Zahlungsdienstleistern (PSPs oder Zahlungsaggregatoren) verlagert sich der Schwerpunkt auf KYB (Know Your Business) des Händlers. Dabei werden dessen Geschäftstätigkeit, MCC-Code und Transaktionsvolumen geprüft, um Händlerbetrug zu verhindern.

Ist Biometrie für die Identitätsprüfung vorgeschrieben?

Nicht immer, sie zählt jedoch zu den bewährten Verfahren für die Fernverifizierung. Damit lässt sich sicherstellen, dass die überprüfte Person mit der Inhaberin oder dem Inhaber des Dokuments übereinstimmt, wodurch das Risiko eines Identitätsdiebstahls in digitalen Kanälen sinkt.

Wie sollten KMU die Kosten für die Einführung solcher Systeme handhaben?

Viele Compliance-Lösungen bieten Servicemodelle oder die Integration mit externen Anbietern an, sodass die Kosten entsprechend dem Transaktionsvolumen skaliert werden können. Dadurch wird die Einführung von Kontrollen auf Bankenniveau auch für kleinere Unternehmen machbar, ohne dass eine eigene Infrastruktur entwickelt werden muss.