AMLA Anforderungen: Gruppenweite Risikoanalyse. Interview mit Andreas Marbeiter

Business Circle:  Sehr geehrter Herr Marbeiter, Sie haben bereits in unserem früheren Interview betont, dass Compliance vom reinen Kostenfaktor zum Werttreiber werden muss. Seitens (über)staatlicher Stellen nimmt die Regulierung weiter zu. Ist das nicht eher ein Schritt in die falsche Richtung?

Andreas Marbeiter: Mehr Regulierung bedeutet zunächst tatsächlich mehr Aufwand. Die entscheidende Frage ist aber nicht, ob Regulierung kostet, sondern ob ein Institut aus diesem Aufwand ausschließlich Pflichterfüllung oder zugleich bessere Unternehmenssteuerung erzeugt. Werden regulatorische Anforderungen in effiziente Prozesse, belastbare Daten und frühzeitige Risikoerkennung übersetzt, stabilisiert Compliance das Geschäftsmodell. Sie ermöglicht sichere Kundenbeziehungen, beschleunigt tragfähige Geschäftsentscheidungen und schützt vor kostspieliger Fehlsteuerung. Deshalb bleibe ich bei meiner Aussage: Compliance kann ein Werttreiber sein. Aber nicht durch mehr Regeln, Berichte und Kontrollen, sondern durch bessere Prozesse. Oder zugespitzt:
„Regulierung erzeugt Kosten. Schlechte Compliance vervielfacht sie.“

BC: Ein zentraler Punkt des aktuellen AMLA-Ansatzes ist die gruppenweite Risikoanalyse. Was bedeutet das? Reicht es, bestehende nationale Risikoanalysen auf Konzernebene zusammenzuführen, oder muss Compliance dafür organisatorisch und technisch in einem neuen Rahmen gedacht werden?

Marbeiter: Eine bloße Addition nationaler Risikoanalysen reicht nicht. Nach dem aktuellen AMLA-Konsultationsentwurf sollen Zweigniederlassungen und Tochterunternehmen weiterhin eigene Risikoanalysen erstellen, die ihre individuellen Geschäftsmodelle und Risiken abbilden. Sie sollen aber auf einem koordinierten Ansatz und einer gemeinsamen Methodik beruhen. Die Muttergesellschaft muss daraus ein konsolidiertes Gruppenbild entwickeln, das auch die gruppenweiten Restrisiken erkennen lässt.
Und genau das ist die wesentliche Herausforderung: Konsolidierung bedeutet nicht, verschiedene Dokumente hintereinander zuheften. Die Gruppe muss Risiken, Kundenstrukturen, Produkte, Regionen, Vertriebswege, Kontrollen und Restrisiken vergleichbar machen. Sie muss zudem grenzüberschreitende Wechselwirkungen, Risikokonzentrationen und Verlagerungseffekte erkennen können. Und dies im Rahmen einer jederzeitigen und zeitnahen Steuerung – also gegebenenfalls auf täglicher Bewertungsbasis. Die aktuell gesetzlich geforderte Risikoanalyse darf nicht erklären, was gestern passiert ist. Es geht hierbei um präventive und nach vorne gerichtete, wirksame Sicherungsmaßnahmen zur Risikomitigation. Immerhin ist das teuerste Compliance-Risiko häufig nicht das unkontrollierte Risiko, sondern das zu spät erkannte.
Dafür braucht es einen neuen organisatorischen und technischen Rahmen: gemeinsame Risikodefinitionen, einheitliche Mindestdaten, abgestimmte Bewertungsmaßstäbe, klare Verantwortlichkeiten und eine nachvollziehbare, qualitativ gesicherte und einheitliche Datenherkunft. Lokale Besonderheiten dürfen nicht verschwinden – sie müssen innerhalb eines gemeinsamen Modells sichtbar werden.
„Eine gruppenweite Risikoanalyse ist keine Sammlung lokaler Wahrheiten. Sie ist die Fähigkeit, aus ihnen ein belastbares Gesamtbild zu erzeugen.“

Das Problem mit der Datenqualität

BC: Bei Risikoanalysen wird viel über Methodik gesprochen. In der Praxis scheitert es aber häufig an der Datenqualität. Was sind aus Ihrer Erfahrung die größten Datenprobleme, mit denen AML-Verantwortliche konfrontiert sind?

Marbeiter: Das größte Problem ist selten, dass überhaupt keine Daten vorhanden sind. Im Gegenteil. Meist gibt es zu viele Daten, die unterschiedlich definiert, unvollständig, veraltet oder nicht miteinander verbunden sind. Das resultiert unter anderem daher, dass noch immer viele Häuser ihre Non-Financial-Risk-Steuerungen durch verschiedene Einheiten verantworten lassen, die unabhängig voneinander ihrer Aufgaben nachgehen. Damit entstehen nicht nur fachliche, sondern auch datentechnische Silos. Aber leider schützen Silos i. d. R. Zuständigkeiten und selten das gesamte Institut.
Als typische Schwachstellen erweisen sich immer wieder uneinheitliche Kunden- und Produktklassifikationen, fehlende wirtschaftlich Berechtigte, unvollständige Länderbezüge, nicht konsolidierte Konzernverbindungen und widersprüchliche Risikomerkmale in KYC-, Zahlungsverkehrs- und Monitoring-Systemen. Hinzu kommen unklare Datenverantwortung, fehlende Herkunftsnachweise und manuelle Korrekturen außerhalb der führenden Systeme.
Besonders kritisch wird es, wenn dieselben Daten dann, wie oben bereits angemerkt, in verschiedenen Compliance-Funktionen unterschiedlich interpretiert werden. Dann bewertet Geldwäscheprävention einen Kunden, ein Produkt oder einen Dienstleister auf einer anderen Tatsachengrundlage als WpHG-Compliance, DORA oder Datenschutz.
Eine methodisch perfekte Risikoanalyse auf schlechten Daten bleibt eine schlechte Risikoanalyse. Deshalb lautet meine einfache Regel:
„Datenqualität ist nicht nur eine technische Voraussetzung für die Risikoanalyse. Sie kann selbst ein wesentlicher Risikofaktor sein und sollte entsprechend berücksichtigt werden.“

BC: Wie beurteilen Sie die Gefahr, dass Banken jetzt Ressourcen in Systeme und Prozesse investieren, die sie in zwei Jahren aufgrund neuer AMLA-Vorgaben wieder umbauen müssen?

Marbeiter: Diese Gefahr besteht, wenn Institute heute versuchen, jeden erwarteten AMLA-Datenpunkt in eine starre technische Lösung zu gießen. Wer dagegen auf dieser Basis eine anpassungsfähige Architektur setzt, kann bereits jetzt sinnvoll investieren.
Stabil sind folgende Grundprinzipien: Risiken müssen nach Kunden, Produkten, Dienstleistungen, Transaktionen, Vertriebswegen und geografischen Bezügen erkennbar sein. Inhärente Risiken, Sicherungsmaßnahmen und Restrisiken müssen zweifelsfrei miteinander verknüpft werden. Datenquellen, Methodik und Entscheidungen müssen nachvollziehbar bleiben.
Deshalb sollte man nicht mit dem Tool beginnen, sondern mit dem fachlichen Daten- und Prozessmodell. Systeme müssen neue Risikofaktoren, Gewichtungen, Schwellenwerte und regulatorische Datenanforderungen aufnehmen können, ohne dass jedes Mal die gesamte Architektur neu gebaut wird. Viele aktuelle Systeme sind hier entweder zu statisch oder starten bei den regulatorischen Rechtsnormen. Das steht dem geforderten operativen Daten- und Prozessmodell entgegen.
„Zukunftssicherheit entsteht nicht dadurch, dass wir jede kommende Vorgabe erraten. Sie entsteht durch die Fähigkeit, Veränderungen und ihre Zusammenhänge für das Institut selbst schnell und kontrolliert umzusetzen.“

BC: Wie wichtig „Tone from the Top“ ist, hört man immer wieder. Auf der Compliance now haben wir letztes Jahr über „Action from the Top“ gesprochen. Woran erkennt man im Compliance-Team konkret, dass das Management Compliance wirklich ernst nimmt und nicht nur schöne Präsentationen sehen möchte?

Marbeiter: „Action from the Top“ wird nicht an Reden, sondern an Entscheidungen sichtbar. Das Management nimmt Compliance ernst, wenn es für die Funktion ausreichende personelle, fachliche und technische Ressourcen bereitstellt, Datenqualitätsmängel nicht dauerhaft akzeptiert und vereinbarte Maßnahmen konsequent nachverfolgt.
Es zeigt sich auch daran, wie die Führung mit schlechten Nachrichten umgeht. Werden kritische Feststellungen frühzeitig adressiert oder zunächst durch linguistische Kosmetik relativiert? Wird Compliance rechtzeitig in Produkt- und Geschäftsentscheidungen eingebunden oder erst kurz vor der Freigabe? Haben Fachverantwortliche Zugang zum Vorstand – und müssen sie ihre Bedenken ohne politische Rücksichtnahme äußern können?
Der stärkste Beweis ist jedoch der Verzicht auf ein profitables Geschäft, wenn dessen Risiken nicht beherrschbar sind. Genau dann wird aus „Tone from the Top“ gelebte Verantwortung.
„Eine Compliance-Kultur erkennt man nicht daran, was ein Vorstand sagt, sondern daran, welchen Preis er für seine Haltung zu zahlen bereit ist.“

BC: Was passiert, wenn ein hochprofitables Geschäft regulatorisch gerade noch zulässig ist, das Compliance-Team aber erhebliche Reputationsrisiken sieht? Marbeiter: Wer sollte am Ende entscheiden: Compliance, Vorstand, Business oder ein gemeinsames Gremium?

Marbeiter: Zunächst muss sauber zwischen Rechtswidrigkeit, Compliance-Risiko und unternehmerischer Risikoentscheidung unterschieden werden. Ist ein Geschäft unzulässig, darf es nicht durchgeführt werden. Hier gibt es keinen geschäftlichen Abwägungsspielraum.
Ist es rechtlich zulässig, aber mit erheblichen Reputations-, Conduct- oder Folgerisiken verbunden, sollte Compliance das Risiko unabhängig bewerten, transparent beschreiben und eine klare Empfehlung abgeben. Grundsätzlich muss ein Grundsatz zur Bewertung lauten, dass nicht alles, was legal ist, auch legitim sein sollte. Die wirtschaftliche Entscheidung darf jedoch weder Compliance allein noch das Business in eigener Sache treffen.
Bei wesentlichen Risiken sollte ein geeignetes Gremium die Entscheidung vorbereiten; die Verantwortung verbleibt aber letztlich beim zuständigen Vorstand. Dabei sind Ertrag, Risikowirkung, Präzedenzfälle, Kunden- und Aufsichtserwartungen sowie die Vereinbarkeit mit Risikoappetit und Unternehmenswerten zu berücksichtigen. Abweichende Voten von Compliance müssen dokumentiert und dem Entscheidungsträger vollständig vorgelegt werden.
„Compliance entscheidet nicht über den Ertrag. Sie sorgt dafür, dass der Vorstand weiß, welchen Preis dieser Ertrag tatsächlich haben kann.“

BC: Abschließend ein Blick nach vorne: Was müsste sich innerhalb der nächsten Jahre zum Positiven ändern, damit man 2030 sagen kann, dass die AMLA einen guten Job macht?

Marbeiter: Die AMLA wäre erfolgreich, wenn sie bis 2030 drei Dinge erreicht.
Erstens braucht Europa ein vergleichbares Verständnis von Risiken. Derselbe Sachverhalt darf nicht allein aufgrund unterschiedlicher nationaler Aufsichtstraditionen zu völlig verschiedenen Risikobeurteilungen führen.
Zweitens muss die AMLA Harmonisierung schaffen, ohne eine neue Bürokratieschicht aufzubauen. Einheitliche Methoden, Begriffe und Mindestdaten sind sinnvoll. Eine europäische Standardisierung von Formularen ohne erkennbaren Steuerungsnutzen wäre es nicht.
Drittens sollte AMLA ihren Erfolg an Ergebnissen messen: Werden Risiken früher erkannt? Verbessert sich die Qualität von Verdachtsmeldungen? Werden grenzüberschreitende Strukturen schneller durchschaut? Sinkt die Zahl wiederkehrender Feststellungen? Und können Institute ihre Ressourcen stärker auf wesentliche Risiken konzentrieren?
Eine gute europäische Aufsicht muss außerdem selbst silofrei arbeiten und nationale Behörden, FIUs, EZB und weitere europäische Aufsichtsstellen wirksam verbinden. Sie sollte für die Institute das vorleben, was sie von ihnen erwartet: konsistente Daten, gemeinsame Methoden, klare Verantwortlichkeiten und rechtzeitige Entscheidungen.
„AMLA hat 2030 dann einen guten Job gemacht, wenn Europa nicht nur einheitlicher reguliert, sondern Risiken früher, besser und gemeinsam erkennt und dadurch die Effektivität in der Geldwäschebekämpfung und der Terrorismusfinanzierung wirksam erhöht wurde. Gerade hier bescheinigen aktuelle Analysen den Staaten noch erhebliche Defizite.“

BC: Sehr geehrter Herr Marbeiter, Danke für das spannende Gespräch. Es wird nicht darauf ankommen, noch mehr Regeln zu schaffen, sondern die richtigen. Wir freuen uns darauf, diese Diskussion auf der „Compliance now!“ zu vertiefen.

‍