Europäische Finanzmarktregulierung & Compliance. Barbara Bayer im Gespräch

Business Circle: Ist die europäische Finanzmarktregulierung klarer oder komplexer geworden?

Barbara Bayer: Die ehrliche Antwort lautet: beides zugleich – aber die Komplexität überwiegt derzeit noch. Mit der AMLA, den neuen EU-Sanktionsregimen und der Vielzahl technischer Regulierungsstandards ist zweifellos ein ambitionierter Rechtsrahmen entstanden, der auf mehr Kohärenz zielt. Die politische Absicht ist klar: ein einheitlicher europäischer Aufsichtsraum, weniger Aufsichtsarbitrage, mehr Rechtssicherheit über Grenzen hinweg.
In der Praxis bedeutet das: Mehrere Regulierungsschichten greifen gleichzeitig, technische Standards werden nachgebessert und stehen teils im Spannungsverhältnis zur bisherigen nationalen Umsetzung. Hinzu kommt ein methodischer Paradigmenwechsel, den viele Marktteilnehmer noch verinnerlichen müssen: Im europäischen Rechtsrahmen tritt die Wortlautfixierung hinter den Grundsatz des effet utile zurück – maßgeblich ist nicht allein der Buchstabe der Norm, sondern ihre praktische Wirksamkeit im Sinne der Regelungsziele. Das erfordert sowohl von Finanzmarktteilnehmern als auch von Aufsichtsbehörden ein Umdenken in der Rechtsanwendung. Compliance-Teams müssen daher gleichzeitig mehrere Rechtslagen im Blick halten – die geltende, die bald geltende und die möglicherweise noch korrigierte. Das ist anspruchsvoll, aber beherrschbar.
Klarheit wird dann entstehen, wenn die AMLA ihre Aufsichtstätigkeit tatsächlich aufnimmt und durch konsistente Verwaltungspraxis Orientierungspunkte setzt. Bis dahin sind Banken gut beraten, die regulatorischen Entwicklungen eng zu verfolgen und ihre Compliance-Architektur flexibel zu halten.

BC: Gibt es einen Punkt, an dem mehr Compliance-Aufwand keinen Schutz mehr bringt?

Bayer: Ja, diesen Punkt gibt es. Compliance muss sitzen wie ein Maßanzug. Es gibt einen gewissen Spielraum, aber wird dieser über- oder unterschritten, passt das Gesamtgefüge nicht mehr. Entscheidend ist die konsequente Verzahnung von Geschäftsmodell, Risikoprofil und Sicherungsmaßnahmen.
Wenn Institute Policies aufrechterhalten, die längst nicht mehr zu ihrem Geschäftsmodell passen, oder Findings mit Maßnahmen adressieren, die keinen erkennbaren Mehrwert für die Risikosteuerung liefern, allein um Diskussionen mit Prüfern zu vermeiden, wird die Prüfung zum Selbstzweck. Man optimiert dann nicht mehr auf tatsächliche Risikomitigierung, sondern auf ein reibungsloses Prüfungsergebnis. Das sind zwei grundlegend unterschiedliche Zielfunktionen.
Institute sollten den Mut haben, Feststellungen kritisch zu hinterfragen und Maßnahmen an ihrem tatsächlichen Schutzwert zu messen. Compliance muss dem Risiko des Geschäftsmodells gerecht werden, nicht dem Prüfungsbericht. Ist die Prüfung sorgfältig vorbereitet, das Geschäftsmodell nachvollziehbar erläutert und das Risikoprofil klar dargestellt, wird sich das regelmäßig auch im Prüfungsergebnis widerspiegeln. Wo das nicht der Fall ist, muss ein Institut die Bereitschaft mitbringen, die fachliche Auseinandersetzung mit dem Prüfer auf genau dieser Grundlage zu führen.

BC: Wie richtet man sich auf die AMLA aus, wenn noch so viele Detailregelungen fehlen?

Bayer: Das ist eine der zentralen strategischen Fragen, die Compliance-Verantwortliche derzeit beschäftigt. Die Antwort liegt in einer zweistufigen Vorbereitung.
Es gibt es Grundprinzipien, die unabhängig von ausstehenden Detailregelungen bereits jetzt handlungsleitend sind: risikobasierter Ansatz, gruppenweite Konsistenz, klare Governance-Strukturen, robuste Datenbasis. Wer hier investiert, wird von künftigen Konkretisierungen nicht überrascht werden.
In den operativen Prozessen, IT-Systemen und spezifischen Schwellenwerten – empfehle ich bewusste Modularität. Prozesse sollten so dokumentiert und implementiert werden, dass Anpassungen zielgerichtet möglich sind, ohne das gesamte System neu aufsetzen zu müssen. Das klingt trivial, ist aber in der Praxis eine echte architektonische Herausforderung. Insbesondere weil es erforderlich ist den jeweils gültigen Gesetzesstand einzuhalten.
Gleichzeitig ist es auch wichtig, aktiv an den Konsultationsprozessen der AMLA teilzunehmen – sei es direkt oder über Verbände. Wer die Regelwerke mitgestaltet, versteht ihre Intention besser und kann sich früher und präziser ausrichten.
Das Risiko, Prozesse mehrfach anzupassen, lässt sich nie ganz eliminieren. Aber es ist beherrschbar, wenn man zwischen stabilen Grundpfeilern und anpassungsfähigen Modulen unterscheidet.

BC: Wie kann KI in der Banken-Compliance verantwortungsvoll eingesetzt werden?

Bayer: Das Spannungsfeld zwischen Effizienz und Nachvollziehbarkeit ist real – aber es ist lösbar, wenn man es ernst nimmt.

Zunächst sollte man sich von der Vorstellung verabschieden, dass jede KI eine Black Box ist. Zwischen regelbasierten Systemen, statistischen Modellen und generativer KI bestehen erhebliche Unterschiede. Gerade im Bereich Transaktionsmonitoring oder Sanktionsscreening stehen heute Lösungen zur Verfügung, die ein hohes Maß an Transparenz und Nachvollziehbarkeit ermöglichen.
Aus meiner Sicht sind vier Voraussetzungen entscheidend:

• Die Verantwortung bleibt beim Menschen. KI kann Entscheidungen vorbereiten und priorisieren, sollte sie aber nicht autonom treffen.

• Modelle müssen validiert, dokumentiert und kontinuierlich überwacht werden. Ein Institut muss erklären können, wie Ergebnisse zustande kommen und wo die Grenzen des Modells liegen.

• Modelle müssen regelmäßig auf Verzerrungen und Fehlsteuerungen überprüft werden. Schlechte Daten führen sonst zu schlechten Ergebnissen, unabhängig davon, wie leistungsfähig die Technologie ist.

• Datenschutz und Vertraulichkeit bleiben zentrale Leitplanken. Im Bankensektor ist das Vertrauen der Kunden in den Schutz ihrer Daten ein wesentlicher Bestandteil der Geschäftsbeziehung. Der Einsatz von KI darf dieses Vertrauen nicht gefährden.

Die Frage ist nicht, ob Banken KI einsetzen sollten, sondern ob sie die Governance geschaffen haben, KI verantwortungsvoll einzusetzen.

BC: Wie viel Harmonisierung ist realistisch?

Bayer: Vollständige Harmonisierung ist eine Illusion – und das ist auch gut so. Nationale Rechtssysteme, unterschiedliche Kriminalitätsstrukturen und abweichende Risikoprofile lassen sich nicht einfach nivellieren.
Hinzu kommt ein häufig übersehener Aspekt: Finanzprodukte entstehen nicht allein aus Regulierung, sondern auch aus nationalen steuer- und gesellschaftsrechtlichen Rahmenbedingungen. Diese prägen Produktstrukturen seit Jahrzehnten und werden dies auch künftig tun. Deshalb führt selbst eine weitgehende Harmonisierung des Aufsichtsrechts nicht automatisch zu einer vollständigen Harmonisierung der Finanzmärkte.
Selbst wenn die aufsichtsrechtliche Regulatorik vollständig harmonisiert würde, blieben diese national geprägten Produktlandschaften bestehen – und mit ihnen die Notwendigkeit, Compliance-Anforderungen differenziert zu denken.
Was realistisch und anstrebenswert ist, nenne ich strukturelle Harmonisierung bei inhaltlicher Flexibilität: einheitliche Mindeststandards, vergleichbare Methodologien, konsistente Aufsichtserwartungen auf europäischer Ebene – verbunden mit dem Spielraum, nationale Besonderheiten sachgerecht zu berücksichtigen.
Die AMLA bietet hier eine echte Chance. Zwar steht die vollständige nationale Umsetzung der AMLD6 noch aus und zahlreiche technische Standards müssen erst noch entwickelt werden. Dennoch kann die AMLA bereits durch Leitlinien, Aufsichtsdialog und Verwaltungspraxis zu einer stärkeren europäischen Konvergenz beitragen, als es Gesetzgebung allein vermag.
Für international tätige Bankkonzerne bedeutet das pragmatisch: eine starke Konzern-Compliance-Plattform mit klar definierten Mindestanforderungen, kombiniert mit lokalen Compliance-Funktionen, die die nationalen Besonderheiten kennen und vertreten. Das ist aufwendig – aber es ist die einzige ehrliche Antwort auf das Spannungsfeld zwischen globalem Anspruch und lokaler Realität.

Verdachtsmeldepflichten neu ausrichten

BC: Welche regulatorische Vorgabe würden Sie vereinfachen oder abschaffen wollen?

Bayer: Ich würde mir eine grundlegende Neuausrichtung der Verdachtsmeldepflichten wünschen: weg von einer quantitativen Logik, hin zu einem risikoorientierten und qualitativ ausgerichteten Verdachtsmeldesystem.
Das heutige System setzt teilweise Anreize, im Zweifel zu melden. Das ist aus Sicht einzelner Verpflichteter nachvollziehbar, führt aber dazu, dass die Zahl der Verdachtsmeldungen kontinuierlich steigt, ohne dass jede Meldung einen entsprechenden Mehrwert für die Strafverfolgung oder die FIU bietet.
Aus meiner Sicht sollte der Fokus stärker auf der Qualität und Verwertbarkeit von Meldungen liegen. Dabei muss berücksichtigt werden, dass nicht jedes Geschäftsmodell dieselben Anforderungen stellt. Im Zahlungsverkehr ist Schnelligkeit oft entscheidend, weil die FIU-Hinweise verschiedener Verpflichteter frühzeitig zusammenführen kann. Im Kryptobereich hingegen ist eine Meldung ohne hinreichende Kontextinformationen häufig nur eingeschränkt nutzbar – hier kann analytische Tiefe wichtiger sein als maximale Geschwindigkeit. Eine solche Differenzierung würde allerdings eine grundlegende Überprüfung bestehender Safe-Harbour-Regelungen, Meldeanreize und Schwellenwerte erfordern. Das wäre keine einfache Reform, könnte aber die Effektivität des Systems deutlich erhöhen.

BC: Mentalitätsunterschiede zwischen Deutschland und Österreich in der Compliance

Bayer: Das ist eine Frage, die sich weniger über Mentalitäten beantworten lässt als über Historie und die Wirtschaftstätigkeit der beiden Länder. Aus beidem ergeben sich strukturelle Unterschiede im Geschäft beider Länder und daraus folgend sehr unterschiedliche Compliance-Herausforderungen.
Im Firmenkundengeschäft ist Deutschland untrennbar mit dem Mittelstand und der Exportindustrie verbunden. Die Hausbank-Beziehung hat spezifische Produktfelder hervorgebracht: das Schuldscheindarlehen als typisch deutsches Kapitalmarktinstrument, ein dichtes Ökosystem aus Förderbank-Produkten und staatlich gestützten Exportkreditgarantien sowie eine starke Stellung im internationalen Konsortialkreditgeschäft. Hinzu kommt ein Förderbankwesen von weltweiter Bedeutung, das integraler Bestandteil der Wirtschafts- und Energiepolitik ist. Am Kapitalmarkt bietet Frankfurt eine international konkurrenzfähige Infrastruktur und der Pfandbrief gilt als Benchmark für gedeckte Schuldverschreibungen weltweit.
Österreichische Banken bieten dagegen etwas, das kein deutscher Wettbewerber in vergleichbarer Tiefe replizieren kann, nämlich ein echtes operatives Netzwerk in Zentral- und Osteuropa mit lokalen Niederlassungen, lokaler Währungsexpertise und lokalen Kundenbeziehungen. Wien hat sich über Jahrzehnte als natürliches Finanzierungszentrum für den CEE-Raum positioniert – sowohl im Firmenkundengeschäft als auch am Kapitalmarkt, wo die Wiener Börse als Marktführer für CEE-Notierungen fungiert. Im Private Banking profitiert Wien von seiner imperialen Geschichte als diskreter, auf langfristige Vermögenserhaltung ausgerichteter Standort mit grenzüberschreitender Klientel aus CEE und dem Balkan.
Aus diesen unterschiedlichen Geschäftsmodellen ergeben sich unterschiedliche Risikoprofile: Das Fremdwährungskredit-Phänomen – in Österreich und über österreichische Banken in CEE historisch weit verbreitet, in Deutschland marginal – ist ein Beispiel dafür, wie geographische Ausrichtung spezifische regulatorische Herausforderungen erzeugt. Umgekehrt bringt die deutsche Exportfinanzierung eigene Compliance-Komplexität mit sich, etwa bei Sanktionsprüfungen in internationalen Lieferketten oder bei der Einhaltung von Dual-Use-Vorschriften.
Was mich aber wirklich beeindruckt: In beiden Märkten gibt es ein stetig wachsendes Selbstverständnis der strategischen Relevanz von Compliance. Das ist die entscheidende Entwicklung – und da sehe ich Deutschland und Österreich auf einem sehr ähnlichen, sehr erfreulichen Weg.

BC: Sehr geehrte Frau Bayer, Vielen Dank für das offene Gespräch. Besonders spannend bleibt die Frage, ob Europas neue Regulierungsarchitektur am Ende tatsächlich für mehr Sicherheit und Rechtssicherheit sorgt. Wir freuen uns, auf der „Compliance now!“ mehr davon zu hören.

‍