Hartmut T. Renz: AMLA, die neue europäische Behörde im Fokus

Business Circle: Sehr geehrter Herr Renz, in unserem Gespräch 2024 haben Sie das Spannungsfeld zwischen Compliance und Business als eine Frage des aktiven Stakeholder-Managements beschrieben. Wenn man sich die aktuelle regulatorische Entwicklung rund um die AMLA ansieht: Kippt dieses Spannungsfeld zunehmend in Richtung regulatorischer Dominanz?

Hartmut T. Renz: Dies ist gut beobachtet – aber ich würde die Verschiebung nicht als „Kippen" beschreiben, sondern als strukturelle Repositionierung, die längst überfällig war. Mit dem Tätigkeitsbeginn der AMLA und dem Inkrafttreten des EU-AML-Pakets markiert der europäische Gesetzgeber einen Wendepunkt im Kampf gegen Geldwäsche und Terrorismusfinanzierung. Was wir sehen, ist keine regulatorische Dominanz um ihrer selbst willen, sondern die regulatorische Antwort auf jahrelange Versäumnisse: Unterschiedliche nationale Auslegungen, uneinheitliche Aufsichtspraktiken, grenzüberschreitende Schlupflöcher.
Dennoch wäre es unehrlich, die Bedrohungsdimension wegzudiskutieren – und ich tue das ausdrücklich nicht. Die Bedrohung, die ich sehe, ist allerdings keine regulatorische, sondern eine institutionelle und kulturelle. Sie entsteht dort, wo Institute die AMLA primär als externen Kontrollmechanismus wahrnehmen und nicht als strukturellen Anlass zur Selbstreflexion. Konkret: Die AMLA verfügt über eine eigenständige Sanktionskompetenz mit Bezug zum Jahresumsatz des Verpflichteten – das ist keine abstrakte Zahl, das ist eine existenzielle Größenordnung für viele Häuser. Wer bis 2027 seine Risikoarchitektur nicht grundlegend überprüft, seine Datenbasis nicht konsolidiert und seine Compliance-Funktion nicht als strategischen Partner des Managements positioniert hat, dem drohen nicht nur empfindliche Sanktionen – es droht vielmehr ein Kontrollverlust über die eigene regulatorische Positionierung. Hinzu kommt: Auch das Reputationsrisiko steigt, da Geldwäscheprävention stärker als strategische Aufgabe auf Managementebene wahrgenommen wird. Reputationsschäden durch aufsichtliche Maßnahmen sind in einem datengetriebenen, EU-weit vernetzten Aufsichtssystem schwerer zu begrenzen als in einer national fragmentierten Struktur.
Die eigentliche Bedrohung ist also nicht die AMLA selbst. Wer regulatorische Anforderungen konsequent in belastbare, wirtschaftlich sinnvolle Prozesse übersetzt und die Compliance-Funktion frühzeitig und vollumfänglich einbindet, wird das Spannungsfeld produktiv gestalten. Stakeholder-Management bedeutet deshalb jetzt mehr denn je: nicht abwarten, sondern antizipieren – und proaktiv gestalten.

BC: Mit der AMLA entsteht erstmals eine paneuropäische Aufsichtsbehörde für Geldwäscheprävention. Ist das aus Ihrer Sicht ein notwendiger Schritt zur Harmonisierung, Effizienz und Einheitlichkeit oder zu noch mehr Bürokratie und Doppelstrukturen EU vs. Einzelstaaten?

Renz: Beides ist denkbar und genau das ist die eigentliche Herausforderung. Mit der AMLA verändert sich die institutionelle Beziehung zur Aufsicht nochmals. An die Stelle primär nationaler Behörden tritt ein stärker zentral organisiertes europäisches Aufsichtssystem – Bewertungsmaßstäbe, Prüfmethoden und Risikoeinschätzungen werden zunehmend harmonisiert. Das ist strukturell richtig und notwendig. Aber der Nutzen der AMLA wird sich nicht durch ihre bloße Existenz entfalten, sondern durch die Qualität ihrer Arbeit und die Konsistenz ihrer Standards. Finanzinstitute, die nicht für eine direkte Aufsicht ausgewählt werden, werden weiterhin von ihren bisherigen nationalen Aufsichtsbehörden beaufsichtigt – die AMLA übt hier eine indirekte Aufsicht durch harmonisierte Standards, Peer Reviews und Koordination aus. Das Risiko einer Doppelstruktur ist real, wenn AMLA und nationale Behörden keine klare, aufeinander abgestimmte Arbeitsteilung entwickeln. Effizienz entsteht nicht durch mehr Ebenen, sondern durch methodisch konsistente, komplementäre Zuständigkeiten. Insofern: ja, notwendiger Schritt – aber kein Selbstläufer.

BC: Daran anschließend: Wie lassen sich am besten Reibungsverluste und Zuständigkeitskonflikte zwischen der AMLA und nationalen Aufsichtsbehörden vermeiden?

Renz: Die Antwort liegt im Design, nicht im Goodwill. Ein zentrales Element ist der Aufbau von Supervisory Colleges, in denen AMLA und nationale Behörden gemeinsam für relevante Verpflichtete koordinieren – verbunden mit einer gemeinsamen IT-Plattform für den Informationsaustausch. Das ist der richtige Ansatz, weil er Zuständigkeiten nicht aufhebt, sondern strukturiert verbindet. Darüber hinaus wird die AMLA eine zentrale AML/CFT-Datenbank aufbauen, die Informationen über Verpflichtete, Risikobewertungen, Sanktionen und Zulassungswiderrufe bündelt. Damit wird eine gemeinsame Informationsbasis geschaffen – und genau das ist der eigentliche Hebel gegen Zuständigkeitskonflikte: nicht Abgrenzung durch Kompetenzstreitigkeiten, sondern Integration durch gemeinsame Datenlage. Institute müssen für sich daraus eine Konsequenz ziehen: konsistente, jurisdiktionsübergreifend abgestimmte Darstellungen gegenüber allen Behörden. Wer z.B. in Frankfurt, Wien und Amsterdam unterschiedliche Risikoeinschätzungen pflegt, wird künftig datenbankgestützt damit konfrontiert.

BC: Die Rolle der Aufsichtsbehörden verschiebt sich zunehmend in Richtung aktiver Sanktionsüberwachung. Was bedeutet das für die tägliche Arbeit von Compliance in Banken konkret?

Renz: Es bedeutet vor allem eines: Der Fokus verlagert sich von der formalen Regelkonformität zur nachgewiesenen Wirksamkeit. Im Mittelpunkt steht nicht mehr nur die formale Einhaltung von Regeln, sondern deren tatsächliche Wirksamkeit. Schwachstellen können direkt adressiert werden, etwa durch Anpassungen von Kontroll- und Überwachungssystemen oder Governance-Strukturen. Auch finanzielle Sanktionen sind möglich, womit nicht nur der regulatorische Druck steigt, sondern auch das Reputationsrisiko. Die AMLA verfügt dabei über eine eigenständige Sanktionskompetenz. Für die tägliche Compliance-Arbeit heißt das konkret: Dokumentation, Datenqualität und Nachvollziehbarkeit sind keine Nebenpflichten mehr, sondern Kernfunktionen. Das Risikoanalysedokument muss regelmäßig, auch unterjährig, quasi realtime, aktualisiert, schriftlich dokumentiert und der zuständigen Aufsicht auf Anforderung vorlegbar sein. Damit wird es zu einem quasi lebendigen Dokument bzw. Prozess, der u.a. jederzeit die Risikolage des Verpflichteten aufzeigen können muss. Institute, die dies noch mit manuellen Prozessen abbilden wollen, werden an die Grenzen ihrer Leistungsfähigkeit stoßen. Die Compliance-Funktion muss sich deshalb als operative Steuerungseinheit verstehen – nicht als reaktive Dokumentationsstelle.

Weg vom Alarmismus, hin zu aktivem Risikomanagement

BC: In der Geldwäsche-Praxis kämpfen Institute mit Datenqualität, False Positives und operativer Überlastung. Produzieren wir Compliance-Systeme, die formal perfekt sind, aber operativ kaum weiterhelfen?

Renz: Diese Frage trifft einen wunden Punkt, und die ehrliche Antwort ist: Ja, in zu vielen Instituten ist genau das der Fall. Systeme werden gebaut, um regulatorische Anforderungen abzubilden – nicht, um Risiken tatsächlich zu erkennen und vor allem zu steuern und zu mitigieren. Übervolle Alert-Queues verringern dort  die Ermittlungskapazitäten und lenken den Fokus von echten Bedrohungen ab. Ein Problem, das durch präzisere, risikoorientierte Systeme angegangen werden muss. Das ist kein technisches, sondern ein konzeptionelles Versagen: Wenn ein System hohe Anzahlen von False Positives produziert, schützt es niemanden. Es beschäftigt nur Mitarbeiter. Die Lösung liegt in einer integrierten, risikodatenbasierten Gesamtarchitektur: KYC, Customer Due Diligence, Transaktionsmonitoring und Screening müssen in einem kohärenten und holistischen Rahmen zusammenwachsen und nicht als bereichsisolierte Silos nebeneinander existieren. Nur damit wird von der Geldwäschebekämpfung als datengetriebenes Fundament kommend eine integrierte Compliance-Architektur möglich, die künftig alle relevanten Risikofelder methodologisch zusammenführen kann. Gute Compliance bedeutet, Risiken zu verstehen und aktiv zu managen. Nicht, Alerts zu produzieren.

BC: In Ihrer Einschätzung: Was erwarten Aufsichtsbehörden von Banken und damit indirekt auch von deren Kunden? Wie gelingt eine möglichst harmonische und Compliance-konforme Zusammenarbeit?

Renz: Aufsichtsbehörden erwarten heute im Kern drei Dinge: Nachvollziehbarkeit, Konsistenz und Wirksamkeitsnachweise. Die Aufsicht wird stärker datengetrieben und analytisch: Institute müssen Risiken nachvollziehbar begründen und zunehmend quantitativ untermauern. Das hat unmittelbare Auswirkungen auf die Kundenbeziehung: Strengere Sorgfaltspflichten gelten auch bei geringeren Risiken, vereinfachte Sorgfaltspflichten sind nur noch bei klar begrenztem Risiko und unter Monitoringvorbehalt möglich, und Dokumentations- sowie Aktualisierungspflichten im Rahmen der laufenden Customer Due Diligence werden ausgedehnt. Kunden werden das spüren in Form häufigerer Datenanfragen, strukturierter Re-KYC-Prozesse und strengerer Onboarding-Prüfungen. Die harmonische Zusammenarbeit gelingt nur, wenn Banken in der Kundenkommunikation Transparenz über diese regulatorischen Anforderungen herstellen: Nicht als Bürde erklären, sondern als Vertrauensanker positionieren. Compliance, die dem Kunden gegenüber nicht kommuniziert wird, wird als Misstrauen empfunden. Compliance, die erklärt wird, stärkt die Beziehung.

BC: Und zum Abschluss etwas Allgemeineres: Aus Ihrer Erfahrung als Dozent an der Frankfurt School of Finance and Management, der Universität Zürich und der Universität in Vaduz, welche Tipps hätten Sie für eine junge Studentin oder einen jungen Studenten, die eine Karriere in der Geldwäschebekämpfung anstrebt?

Renz: Drei Dinge sind aus meiner Sicht conditio sine qua non. Erstens: Verstehen Sie das Recht in seiner regulatorischen Tiefe – AMLR, FATF-Standards, AMLA-RTSs – aber bleiben Sie kein Regelleser. Werden Sie ein prozessual orientierter Risikodenker. Der Unterschied ist entscheidend. Zweitens: Entwickeln Sie eine echte Datenkompetenz. Die neuen Anforderungen können ohne den Einsatz fortschrittlicher Technologien wie Datenanalysen wahrscheinlich nicht effektiv bewältigt werden. Wer künftig in der Geldwäschebekämpfung wirksam sein will, muss Systeme verstehen, Datenarchitekturen beurteilen und mögliche KI-gestützte Prozesse hinterfragen können. Drittens, und das ist mir persönlich das Wichtigste: Bewahren Sie sich ein unabhängiges Urteil. Die Versuchung, sich hinter Regelwerken zu verstecken, ist groß. Falsch verstandene Compliance verfehlt ihren Zweck. Mein Motto für alle, die diesen Beruf ernsthaft antreten wollen: Gute Compliance bedeutet, Risiken zu verstehen und aktiv zu managen – nicht, sie zu fürchten. Und vor allem: Nicht, sie nur zu dokumentieren, ohne sie zu begreifen.

BC: Sehr geehrter Herr Renz, vielen Dank für Ihre interessanten Einblicke und das angenehme Gespräch. Wir freuen uns schon auf Ihren neuen Vortrag und die Diskussionen bei der Compliance now!.

‍