19 Nov 2017

FMA Rundschreiben Risikoanalyse zur Geldwäscheprävention

Die FMA hat kürzlich den Entwurf eines Rundschreibens veröffentlicht, auf den der Markt schon mit Spannung gewartet hat: das Rundschreiben Risikoanalyse zur Prävention von Geldwäsche und Terrorismusfinanzierung. Den Entwurf können Sie direkt von der FMA-Website downloaden. Es handelt sich um die nach der Umsetzung der 4. Geldwäscherichtlinie (4. GWRL) mit dem Finanzmarkt-Geldwäschegesetz (FM-GwG) notwendig gewordene Aktualisieung des bestehenden Rundschreibens zur Risikoanalyse. Zu dem Konsultationsentwurf kann bis 15. Dezember 2017 an Stellung genommen werden.

Wir wollen Ihnen hier kurz und prägnant, ohne Anspruch auf Vollständigkeit, die wichtigsten Neuerungen zusammenfassen.

Zusammenfassung Entwurf Rundschreiben

Nach erster Sichtung des Entwurfs sind mit dem Entwurf des Rundschreibens zur Risikoanalyse aus unserer Sicht keine großen Überraschungen verbunden. Es knüpft an das bisherige FMA-Rundschreiben an und aktualisiert es vor dem Hintergrund der neuen Rechtslage (4. GWRL bzw. dem FM-GwG).

Interessant ist die anfängliche Feststellung, dass der risikoorientierte Ansatz keinen „zero failure“-Ansatz darstellt. Es ist der FMA bewusst, dass Verpflichtete angemessene Maßnahmen der Risikoidentifizierung und -minimierung ergreifen können und trotzdem für die Zwecke der Geldwäscherei und Terrorismusfinanzierung missbraucht werden können. Die Konsequenz dieses Gedankens ist unseres Erachtens, dass einem Unternehmen auch keine (insbesondere verwaltungsstrafrechtlichen) Vorwürfe gemacht werden dürfen, wenn angemessene Maßnahmen getroffen wurden, und es trotz dieser Sorgfaltspflichten zu einem Missbrauchsfall kommt.

Hingewiesen wird auch auf die von den Europäischen Aufsichtsbehörden (ESAs) veröffentlichten „Joint Guidelines under Article 17 and 18(4) of Directive (EU) 2015/849 on simplified and enhanced customer due diligence and the factors financial institutions should consider when assessing the money laundering and terrorist financing risk associated with individual business relationships and occasional transactions“ (The Risk Factors Guidelines).

Nationale Risikoanalyse

Dann geht das Rundschreiben kurz auf die "Nationale Risikoanalyse" (derzeitiger Stand 2015) ein, die die Verpflichteten bei der Erstellung der Risikoanalyse auf Unternehmensebene gemäß § 4 Abs. 1 FM-GwG genauso wie den Bericht der Europäischen Kommission über die Risiken der Geldwäscherei und Terrorismusfinanzierung im Binnenmarkt gemäß Art. 6 Abs. 1 der 4. Geldwäsche-RL (Supranationale Risikoanalyse) zu berücksichtigen haben.

Risikoanalyse auf Unternehmensebene

In weiterer Folge soll das Rundschreiben als praktischer Leitfaden zur Erstellung der Risikoanalyse auf Unternehmensebene verstanden werden:

Grundsätzlich ist in der Risikoanalyse darauf einzugehen, welche Risikofaktoren im Hinblick auf die Geschäftsstrategie und die institutsspezifische Situation des Verpflichteten relevant sind, welches Risiko die identifizierten Risikofaktoren für den Verpflichteten konkret darstellen und welche Maßnahmen auf Unternehmensebene gesetzt werden können, um das Risiko entsprechend zu mitigieren.
Einleitend sind hinsichtlich der institutsspezifischen Situation etwa allgemeine Unternehmenskennzahlen, Geschäftsstrategie (z.B. Geschäftspolitik und -bereiche) sowie Geschäftsumfeld und Zielmarkt darzustellen.
In weiterer Folge lässt sich die Erstellung der Risikoanalyse laut FMA in fünf Arbeitsschritte unterteilen: 1. Definition sämtlicher relevantaer Risikofaktoren, 2. abstrakte Analyse dieser ermittelten Faktoren, 3. Bewertung anhand institutsspezifischer Kennzahlen, 4. Ableitung eines Gesamtrisikos auf Unternehmensebene, 5. Definition risikomindernder Maßnahmen.

Risikoanalyse auf Einzelkundenebene

Als nächstes geht das Rundschreiben auf die Risikoanalyse auf Einzelkundenebene gemäß § 6 Abs. 5 FM-GwG ein, wonach die Verpflichteten den Umfang der in § 6 Abs. 1 bis 3 FM-GwG genannten Sorgfaltspflichten auf risikoorientierter Grundlage zu bestimmen haben:

Zunächst wird klargestellt, dass bei der Risikoanalyse auf Einzelkundenebene zumindest die in Anlage I und III des FM-GwG aufgeführten Variablen zu berücksichtigen sind. Als Ergebnis dieser Bewertung ist jeder Kunde in eine Risikoklasse einzustufen. Die Verpflichteten müssen der FMA gegenüber nachweisen können, dass die von ihnen getroffenen Maßnahmen angesichts der ermittelten Risiken von Geldwäscherei und Terrorismusfinanzierung angemessen sind.
Das Risikoprofil eines jeden Kunden ist basierend auf den im Rahmen der Customer Due Diligence eingeholten Know-Your-Customer-Informationen zu erstellen. Dieses Prüfil soll die Verpflichteten bei der Entscheidung, ob eine Geschäftsbeziehung begründet bzw. fortgeführt oder beendet werden soll, und in welchem Umfang Maßnahmen zu setzen sind, unterstützen.
Um sicherstellen zu können, dass das Ausmaß der Anwendung der Sorgfaltspflichten angemessen ist, sind Risikoprofile zu Beginn einer Geschäftsbeziehung zu erstellen und periodisch bzw. jedenfalls anlassbezogen zu aktualisieren.
Hinsichtlich der Risikogewichtung veweist die FMA auf die verbreitete Praxis in Unternehmen, Risikovariablen bestimmte Scorepunkte zuzuordnen. Dabei sollte sichergestellt werden, dass die Gewichtung nicht übermäßig durch einzelne Risikofaktoren beeinflusst wird, die Überlegungen sowie Erwägungen betreffend Profit das Risikorating nicht beeinflussen, gesetzlich vorgegebene Anwendungsfälle erhöhten/hohen Risikos durch unternehmenseigene Gewichtung nicht aufgehoben werden können und es möglich ist, im Anlassfall automatisch generierte Risikoklassifizierungen zu überschreiben. Weiters darf eine Scorecard nicht zu einer Situation führen, in der die Risikoklassifizierung einer Geschäftsbeziehung/Transaktion als hohes Risiko nicht möglich ist.
Werden für die Risikoklassifizierung von Geschäftsbeziehungen/gelegentlichen Transaktionen automationsunterstützte IT-Systeme zugekauft, müssen die Verpflichteten über ausreichend Kenntnis verfügen, wie das System funktioniert und auf welche Art und Weise die unterschiedlichen Risikofaktoren kombiniert bzw. zur gesamthaften Risikoklassifizierung zusammengeführt werden. Es muss zudem möglich sein, die IT-Systeme den Institutsspezifika entsprechend zu kalibrieren.

Wie können wir Ihnen helfen?

Sollten Sie zur nach dem FM-GwG notwendigen Risikoanalyse bzw. zum Entwurf des FMA-Rundschreibens Fragen haben, stehen wir Ihnen gerne zur Verfügung.

Ansprechpartner: Dr. Bernd Fletzberger