Das AML-Programm an einem Ort geführt und so belegt, wie die Aufsicht es liest.

Die Verordnung (EU) 2024/1624, die AMLR, ist das einheitliche Regelwerk zur Verhinderung von Geldwäsche und Terrorismusfinanzierung, das die Pflichten der Verpflichteten aus der Richtlinie (EU) 2015/849 in der gesamten Union ersetzt. Sie gilt ab dem 10. Juli 2027. Bis dahin bestehen dieselben Pflichten nach der von jedem Mitgliedstaat umgesetzten Richtlinie, weshalb jede AMLR-Anforderung in Venvera, die eine Pflicht der Richtlinie ersetzt, den entsprechenden Artikel nennt, den Sie heute zitieren. Die drei EBA-Leitlinienpakete im Modul gelten bereits jetzt: die Leitlinien zu Risikofaktoren für Geldwäsche und Terrorismusfinanzierung seit dem 26. Oktober 2021, die Leitlinien zum Compliance-Beauftragten seit dem 1. Dezember 2022 und die Leitlinien zu restriktiven Maßnahmen seit dem 30. Dezember 2025.

Artikel 3 zählt sie auf: Kreditinstitute und Finanzinstitute, darunter Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Fondsverwalter und Versicherer mit Lebens- oder anlagebezogenen Produkten, Anbieter von Krypto-Dienstleistungen, Schwarmfinanzierungsdienstleister, Abschlussprüfer, externe Buchhalter und Steuerberater, Notare, Rechtsanwälte und andere unabhängige Angehörige von Rechtsberufen, Trust- und Gesellschaftsdienstleister, Immobilienmakler, Händler von Edelmetallen, Edelsteinen und anderen hochwertigen Gütern, Glücksspielanbieter und mehrere weitere Kategorien. Wo die Verordnung eine Pflicht auf eine Klasse eingrenzt, etwa Korrespondenzbankbeziehungen für Kredit- und Finanzinstitute oder Transfers mit selbst gehosteten Adressen für Anbieter von Krypto-Dienstleistungen, sagt die Anforderung in Venvera das ausdrücklich, und ein Unternehmen außerhalb dieser Klasse markiert sie mit Begründung als nicht anwendbar.

Aus acht Dingen, und Venvera verfolgt sie alle: Strategien, Verfahren und Kontrollen, auf der richtigen Ebene genehmigt und auf dem aktuellen Stand gehalten; eine unternehmensweite Risikoanalyse aus den eigenen Daten des Unternehmens, regelmäßig aktualisiert; ein Compliance-Manager im Leitungsorgan und ein Compliance-Beauftragter mit Unabhängigkeit, Ressourcen und direkter Berichtslinie zum Leitungsorgan; Standards der Sorgfaltspflichten zu Identifizierung, Überprüfung, wirtschaftlichen Eigentümern, Zweck, Aktualisierungszyklen sowie vereinfachten und verstärkten Maßnahmen; laufendes Monitoring und die daraus folgenden Pflichten zu Untersuchung, Meldung und Unterlassen; Auslagerung, Rückgriff auf Dritte und Gruppenregelungen, wobei die Aufsicht informiert wird, bevor ein Anbieter beginnt; Aufzeichnungen, Aufbewahrung, Datenschutz und Schulungen; sowie die Strategie zu restriktiven Maßnahmen, die Expositionsanalyse und die Screening-Nachweise, die die EBA-Leitlinien seit dem 30. Dezember 2025 erwarten.

Nein, und dieser Unterschied ist wichtig. Venvera verwaltet das AML/CFT-Programm und seine Nachweise: die Risikoanalyse, die Strategien, die Rollen, die Standards der Sorgfaltspflichten, den Meldeprozess, die Schulungsnachweise und den Prüfpfad. Es ist kein Transaktionsmonitoring-System, kein Sanktions-Screening-System und kein KYC-Verifizierungsdienst, und es hält keine Kundendaten. Die Anforderungen zu Monitoring und Screening im Modul sind Pflichten für den Prozess und seine Aufzeichnungen, also das, was eine Aufsichtsbehörde prüft: die Abdeckungskarte, die Designentscheidungen hinter den Szenarien, wer die Erkennungskriterien freigegeben hat, die Zeitnähe der Alarmbearbeitung, die Ex-post-Stichproben und die Kalibrierungsbegründung hinter den Abgleichschwellen. Das sind die Unterlagen, die fehlen, wenn ein Unternehmen mit einem teuren Monitoring-System trotzdem eine Feststellung erhält.

Die meisten Pflichten werden mit schärferen Konturen übernommen: ein benanntes Mitglied des Leitungsorgans als Compliance-Manager, der jährliche Tätigkeitsbericht des Compliance-Beauftragten, die Höchstfrist von einem Jahr für die Aktualisierung bei Kunden mit höherem Risiko und von fünf Jahren für alle anderen, die Meldung an die Aufsicht vor Beginn einer Auslagerung und eine Liste von Aufgaben, die nie ausgelagert werden dürfen, eine schriftliche Begründung hinter jeder Entscheidung zu Sorgfaltspflichten. Einige Pflichten sind neu: die Identifizierung der Nutzer virtueller IBANs innerhalb von 5 Arbeitstagen nach einer Anfrage, die Meldung von Unstimmigkeiten im Register der wirtschaftlichen Eigentümer innerhalb von 14 Tagen nach Feststellung, verstärkte Maßnahmen für sehr vermögende Kunden, Schwellenwertmeldungen zu hochwertigen Kraftfahrzeugen, Wasserfahrzeugen und Luftfahrzeugen, die Meldung an die Aufsicht vor dem Beitritt zu einer Partnerschaft für den Informationsaustausch sowie eine menschliche Überprüfung mit Erklärungsweg bei automatisierten Entscheidungen zu Sorgfaltspflichten. Die Anforderungen ohne Entsprechung in der Richtlinie sagen das in ihrem Text, und so finden Sie die neue Arbeit.

Jede AMLR-Anforderung, die eine Pflicht der Richtlinie ersetzt, endet mit dem Satz „bis zum 10. Juli 2027 ist die entsprechende Pflicht Artikel X der Richtlinie (EU) 2015/849 in der umgesetzten Fassung“. Verwenden Sie dieses Zitat heute gegenüber Ihrer nationalen Aufsichtsbehörde und ab 2027 den AMLR-Artikel; die Nachweise, die Sie jetzt sammeln, werden neu beschriftet, nicht neu aufgebaut. Die Anforderungen aus den EBA-Leitlinien gelten bereits jetzt und brauchen keinen Übergang. Die fünfzehn wiederkehrenden Pflichten im Compliance-Kalender und die ereignisgesteuerten Fristen (die FIU-Meldung, die Antwort auf ein FIU-Ersuchen binnen 5 Arbeitstagen, die Sperre von 3 Arbeitstagen, die Meldung von Unstimmigkeiten binnen 14 Tagen, die aufgeschobene Überprüfung binnen 60 Tagen, das Screening bei jeder Listenänderung) sind vor und nach dem Stichtag dieselben.

Die 137 Anforderungen halten fest, ob jede Pflicht umgesetzt ist. Die Gap-Analyse mit 48 Fragen misst, wie gut das Programm geführt wird, und darauf kommt es in einer Prüfung an: an wen der Compliance-Beauftragte berichtet und ob ein Geschäftsbereich eine Meldung blockieren könnte, ob die unternehmensweite Risikoanalyse die eigenen Kunden-, Korridor- und Kanaldaten des Unternehmens nutzt, ob sich das Kundenrisikomodell durch Gewichtung verwässern lässt, wie alt die älteste Akte mit höherem Risiko ist, wer die Erkennungsszenarien und Schwellenwerte freigegeben hat, wie viele Tage zwischen einem Verdacht und der Meldung vergehen, welche Entscheidungen ein Anbieter ohne das Unternehmen trifft und was in der ersten Stunde nach einem echten Sanktionstreffer geschieht. Die Antworten werden gewichtet von 0 bis 4 bewertet, und unbeantwortete Fragen zählen als Lücken.

Drei Pakete, alle in Kraft. EBA/GL/2021/02, die Leitlinien zu Risikofaktoren für Geldwäsche und Terrorismusfinanzierung in der durch EBA/GL/2024/01 für Anbieter von Krypto-Dienstleistungen geänderten Fassung, liefern die Methode der Risikoanalyse, die Standards der Sorgfaltspflichten, die Erwartungen an das Design des Monitorings, die Schulungsinhalte und die sektorspezifischen Leitlinien für E-Geld-Emittenten, Finanztransferdienstleister sowie Zahlungsauslöse- und Kontoinformationsdienste. EBA/GL/2022/05 definiert die Rollen des Leitungsorgans, des für AML/CFT zuständigen Mitglieds, des Compliance-Beauftragten und der Compliance-Funktion der Gruppe. EBA/GL/2024/14 und 2024/15 legen die internen Strategien, Verfahren und Kontrollen für restriktive Maßnahmen fest, einschließlich der Expositionsanalyse, der Listenpflege, des Screening-Umfangs, der Kalibrierungsnachweise und des Umgangs mit echten Treffern. Der Block zu restriktiven Maßnahmen ist in sich geschlossen, sodass ein Unternehmen außerhalb seines Anwendungsbereichs ihn als nicht anwendbar markieren kann.

Venvera bringt das Programm in einen Arbeitsbereich statt in einen Richtlinienordner, eine Tabelle für die Risikoanalyse, einen Schulungs-Tracker und eine E-Mail-Kette mit dem Screening-Anbieter. Die 137 Anforderungen tragen jeweils Verantwortliche, einen Status, eigene Nachweise und eigens verfasste Hinweise dazu, was ein Prüfer akzeptiert und was zurückgewiesen wird. Die Gap-Analyse mit 48 Fragen bewertet die Ermessensentscheidungen, die eine Prüfung testet. Fünfzehn wiederkehrende Pflichten landen mit Verantwortlichen und Terminen im Compliance-Kalender, darunter die Aktualisierung der Risikoanalyse, der Tätigkeitsbericht, die unabhängige Prüfung, der Schulungsplan, die Aktualisierungszyklen, die Stichprobenprüfung des Monitorings und die Überprüfung der Sanktionsexposition. Ein Dokument, das tatsächlich auch eine Anforderung eines anderen Rahmenwerks beantwortet, kann an jede dieser Anforderungen angehängt werden, und ein Vorstandsbericht führt Abdeckung, Reife und offene Lücken für das Leitungsorgan zusammen, das Artikel 11 in die Verantwortung nimmt.