AML-Kontrollplan: Wie lassen sich Geldwäschekontrollen strukturiert organisieren?

Kontrollen gehören zu den Themen, die in der Geldwäscheprävention regelmäßig zu kurz kommen. Prozesse werden beschrieben, Schulungen durchgeführt, Screening eingerichtet – aber ob all das im Alltag tatsächlich so funktioniert, wird selten systematisch überprüft.

Dabei ist genau das der Punkt, an dem sich zeigt, ob ein AML-System wirksam ist. Ein Kontrollplan sorgt dafür, dass diese Überprüfung planbar stattfindet und nicht erst dann, wenn eine Prüfung angekündigt wird.

Was ein Kontrollplan leisten soll

Ein Kontrollplan beantwortet vier einfache Fragen: Was wird geprüft, wie oft, von wem – und was geschieht mit dem Ergebnis?

Er ersetzt damit die verbreitete Praxis, Kontrollen anlassbezogen und aus dem Gedächtnis durchzuführen. Gleichzeitig schafft er eine Grundlage, um gegenüber der Geschäftsleitung und der Aufsicht darzustellen, welche Themen wann betrachtet wurden.

Kontrollen aus der Risikoanalyse ableiten

Ein Kontrollplan sollte nicht unabhängig entstehen. Welche Themen kontrolliert werden und wie häufig, sollte sich aus den Ergebnissen der Risikoanalyse ergeben.

Wurde etwa ein erhöhtes Risiko bei bestimmten Kundengruppen festgestellt, sollte es dazu eine Kontrolle geben. Gilt das Screening als zentrale Sicherungsmaßnahme, gehört es regelmäßig auf den Prüfstand. Bereiche mit geringem Risiko können dagegen in größeren Abständen betrachtet werden.

Die Bestandteile einer einzelnen Kontrolle

• Kontrollgegenstand – was genau wird geprüft
• Prüffrage – welche konkrete Frage soll beantwortet werden
• Frequenz – in welchem Abstand die Kontrolle stattfindet
• Verantwortlicher – wer sie durchführt
• Grundgesamtheit und Stichprobengröße
• Prüfmethode und herangezogene Nachweise
• Ergebnis und festgestellte Abweichungen
• Maßnahme, Verantwortlicher und Frist
• Nachkontrolle und Status

Die Prüffrage ist dabei wichtiger, als sie zunächst wirkt. „Screening prüfen“ lässt offen, was betrachtet wird. „Wurden im Quartal alle neuen Kunden vor Begründung der Geschäftsbeziehung gescreent und alle angezeigten Treffer begründet geschlossen?“ ist beantwortbar.

Ein Praxisbeispiel

Kontrolle: PEP- und Sanktionsscreening beim Onboarding

• Prüffrage: Wurden alle im Berichtszeitraum neu aufgenommenen Kunden vor Begründung der Geschäftsbeziehung geprüft?
• Frequenz: quartalsweise
• Stichprobe: 20 Neukunden bzw. alle, sofern weniger
• Nachweis: Screening-Protokoll je Kunde mit Datum und Ergebnis
• Zusätzlich: Wurden angezeigte Treffer nachvollziehbar bewertet und dokumentiert?

Kontrolle: Aktualität der Kundendaten bei Risikokunden

• Prüffrage: Wurden die Daten der als erhöht eingestuften Kunden innerhalb des vorgesehenen Intervalls überprüft?
• Frequenz: halbjährlich
• Stichprobe: alle Kunden der höchsten Risikoklasse
• Nachweis: dokumentierte Wiedervorlage mit Ergebnis

Zwei bis zehn solcher Kontrollen ergeben für viele kleinere Verpflichtete bereits einen vollständigen Jahresplan.

Feststellungen konsequent nachverfolgen

Der wertvollste Teil einer Kontrolle ist nicht das Ergebnis, sondern das, was daraus folgt.

Wird eine Abweichung festgestellt, sollte sie mit einer konkreten Maßnahme, einem Verantwortlichen und einer Frist versehen werden. Bei der nächsten Kontrolle wird dann geprüft, ob die Maßnahme umgesetzt wurde und ob sie gewirkt hat.

Eine Feststellung ohne Nachkontrolle bleibt eine Notiz. Erst die Nachverfolgung macht daraus eine Verbesserung.

Auch ein Kontrollplan ohne Befunde ist ein Ergebnis

Gelegentlich besteht die Sorge, dass Kontrollen ohne Feststellungen den Eindruck erwecken, nicht ernsthaft geprüft worden zu sein.

Entscheidend ist die Nachvollziehbarkeit: Wenn dokumentiert ist, welche Grundgesamtheit betrachtet, welche Stichprobe gezogen und welche Nachweise herangezogen wurden, ist ein Ergebnis ohne Beanstandung ein belastbares Ergebnis.

Typische Schwachstellen

• Der Kontrollplan existiert, wurde aber im laufenden Jahr nicht abgearbeitet
• Kontrollen sind so allgemein formuliert, dass sie nicht beantwortbar sind
• Stichproben werden nicht dokumentiert, nur das Ergebnis
• Feststellungen werden notiert, aber nie nachkontrolliert
• Die Kontrollthemen haben keinen erkennbaren Bezug zur Risikoanalyse

Fazit

Ein Kontrollplan muss nicht umfangreich sein. Eine übersichtliche Tabelle mit klar formulierten Prüffragen, festen Frequenzen, benannten Verantwortlichen und einer konsequenten Nachverfolgung von Feststellungen reicht in vielen Fällen vollständig aus.

Wichtig ist, dass er tatsächlich abgearbeitet wird. Ein einfacher, gelebter Kontrollplan ist jedem ausgefeilten Konzept überlegen, das im Laufe des Jahres liegen bleibt.

Die Inhalte dieses Beitrags dienen der allgemeinen Information und stellen keine Rechtsberatung dar. Die konkrete Umsetzung geldwäscherechtlicher Anforderungen ist stets anhand des jeweiligen Geschäftsmodells und der anwendbaren regulatorischen Vorgaben zu beurteilen.