Der lange Weg zur 4. Richtlinie
Insbesondere in Europa und den USA haben sich in jüngster Vergangenheit die Aufsichtsbehörden mit den Risiken von Geldwäsche und Terrorismusfinanzierung auseinandergesetzt: Fehlende Kontrollmechanismen und unzureichende Risikobewertung von Kunden und Transaktionen haben zu beträchtlichen Geldstrafen für zahlreiche international tätige Finanzinstitutionen geführt.
Das mit Geldwäsche und Terrorismusfinanzierung einhergehende Risiko wurde auch von der „Financial Action Task Force“ (FATF) festgestellt, die 2012 ihre Empfehlungen überarbeitet hat. Kurz nach der Veröffentlichung im Februar 2013 stellte die Kommission ihren ersten Entwurf einer neuen Geldwäsche-Richtlinie vor, wenn auch die Finalisierung des Gesetzgebungsverfahrens länger als zwei Jahre andauerte und es Trilogverhandlungen zwischen der Kommission, dem Rat und dem Parlament bedurfte. Während des Beratungsprozesses veröffentlichte zudem der Basler Ausschuss für Bankenaufsicht 2014 ein Dokument [1], das bereits die überarbeiteten FATF-Empfehlungen enthielt und somit Einfluss auf den Beratungsfortschritt nahm.
Die neue Richtlinie nimmt nicht nur die Verpflichteten in die Pflicht
Die 4. Richtlinie fordert Verpflichtete auf, die bestehenden Verfahren anzupassen und gleichzeitig neue Prozesse einzuführen. Zudem schließt die Richtlinie die Europäischen Aufsichtsbehörden[2] in das Gesetzgebungsverfahren mit ein und erlaubt ihnen dadurch, eine Reihe an Vorschlägen für Leitlinien und Standards zu entwickeln.
Ein Schlüsselelement der Strategien zur Verhinderung von Geldwäsche und Terrorismusfinanzierung stellt der risikobasierte Ansatz dar, der die Bewertung von Risiken auf allen Ebenen erforderlich macht: Gemäß Artikel 6 der 4. Richtlinie soll die Risikobewertung durch die Kommission auf europäischer Ebene bis Juni 2017 durchgeführt werden. Das Ergebnis sollte die Grundlage für nationale Risikobewertungen bilden und „Empfehlungen für geeignete Maßnahmen zur Begegnung der ermittelten Risiken an die Mitgliedstaaten“ richten und zudem einer regelmäßigen Prüfung unterliegen. Außerdem sind die Europäischen Aufsichtsbehörden beauftragt, einen regelmäßigen Bericht „zu den Risiken der Geldwäsche und Terrorismusfinanzierung für den Finanzsektor der Union“ zu erstellen.
Gemäß Artikel 7 der 4. Richtlinie ist jeder Mitgliedsstaat dazu aufgefordert, „angemessene Schritte [zu unternehmen], um die für ihn bestehenden Risiken der Geldwäsche und Terrorismusfinanzierung sowie alle Datenschutzprobleme in diesem Zusammenhang zu ermitteln, zu bewerten, zu verstehen und zu mindern“. Diese Bewertung soll auf aktuellem Stand gehalten und der Kommission und den Europäischen Aufsichtsbehörden mitgeteilt werden.
Das Ziel dieses umfassenden risikobasierten Ansatzes soll das Risiko von Geldwäsche und Terrorismusfinanzierung in der gesamten Europäischen Union mindern.
Zusätzlich fordert Artikel 30 der 4. Richtlinie die Einrichtung eines zentralen Registers durch die Mitgliedsstaaten, das Informationen über eingetragene Gesellschaften oder sonstige juristische Personen in ihrem zuständigen Gebiet sammelt und somit „angemessene, präzise und aktuelle Angaben zu ihren wirtschaftlichen Eigentümern, einschließlich genauer Angaben zum wirtschaftlichen Interesse“ aufbewahrt. Dieses zentrale Register soll für alle zentralen Meldestellen und Verpflichteten zugänglich sein, da sie die Informationen für Sorgfaltspflichten gegenüber Kunden benötigen, sowie auch „allen Personen oder Organisationen, die ein berechtigtes Interesse nachweisen können“. Diese nationalen Register sollen langfristig auf europäischer Ebene vereinheitlicht und miteinander verbunden werden.
Die Europäischen Aufsichtsbehörden werden nicht nur im Risikobewertungsprozess eine entscheidende Rolle spielen, sondern auch Standards entwickeln müssen, z.B. Leitlinien für die Anwendung vereinfachter Verpflichtungen (Artikel 17) oder verstärkter Pflichten (Artikel 18) hinsichtlich der Sorgfaltspflicht gegenüber Kunden und zahlreicher regulatorischer technischer Standards.[3] Ein Beispiel beinhaltet die Spezifizierung der Anforderungen, für den Fall dass die Umsetzung bestimmter Maßnahmen in Drittländern gemäß der 4. Richtlinie (Artikel 45) laut Gesetz nicht zulässig ist. Dies zeigt den steigenden Einfluss der Europäischen Aufsichtsbehörden auf das Gesetzgebungsverfahren, der bereits während der Umsetzung des CRR/CRD IV-Pakets zu beobachten war. So wurde die Europäische Bankenaufsichtsbehörde (EBA) beauftragt, weitere Leitlinien und Standards zu entwickeln – ein noch immer andauernder Prozess.
Zusätzlich zu den allumfassenden Änderungen im Umgang mit Geldwäsche und Terrorismusfinanzierung werden die Verpflichteten aufgerufen, die neue Richtlinie bei ihrer Geschäftstätigkeit zu berücksichtigen.
Die Hauptaspekte für Verpflichtete können folgendermaßen zusammengefasst werden: Risikobewertung, Sorgfaltspflicht gegenüber Kunden und relevante Schwellenwerte.
Risikobewertung
Artikel 8 (1) fordert die Mitgliedsstaaten auf, „dass die Verpflichteten angemessene Schritte unternehmen, um die für sie bestehenden Risiken […] unter Berücksichtigung von Risikofaktoren, einschließlich in Bezug auf ihre Kunden, Länder oder geografische Gebiete, Produkte, Dienstleistungen, Transaktionen oder Vertriebskanäle zu ermitteln und zu bewerten“. Da dieses Risikobewertungsschema nicht nur auf Ebene der Verpflichteten gilt, sondern auch auf Ebene der EU und deren Mitgliedsstaaten, kann es als Schlüsselelement des neuen Ansatzes der Aufsicht angesehen werden.
Abbildung 2: Risikobasierter AnsatzJedoch wird die Entwicklung eines Risikobewertungsberichts nicht ausreichend sein. Die Verpflichteten müssen sicherstellen, dass jedes Einzelgeschäft gemäß der spezifischen Risikoeigenschaften analysiert wird. Deswegen werden die Verpflichteten aufgefordert, Strategien, Prozesse und Kontrollmechanismen zu entwickeln, um nicht nur zu gewährleisten, dass die Transaktionen angemessen bewertet werden, sondern auch, dass sie geeignet sind, alle potenziellen Risiken einer Transaktion zu erfassen. Das erfordert auch ein hohes Maß an Sensibilisierung der Mitarbeiter, da sie diesen risikobasierten Ansatz in ihre tägliche Arbeit integrieren müssen.
Sorgfaltspflicht
Das Konzept einer Sorgfaltspflicht gegenüber dem Kunden („know-your-customer – KYC“, zu deutsch: kenne deinen Kunden) ist kein neues Konzept, nichtsdestotrotz wird die 4. Richtlinie einen großen Einfluss auf die Verpflichteten haben. Zusätzlich zu einer Aktualisierung der Schwellenwerte für bestimmte Transaktionen, die zu allgemeinen Sorgfaltspflichtanforderungen gegenüber dem Kunden führen, prägt die 4. Richtlinie den Begriff der „politisch exponierten Personen (PEP)“.
Im Rahmen der 3. Richtlinie wurde dieser Begriff in Artikel 3 (8) als „diejenigen natürlichen Personen, die wichtige öffentliche Ämter ausüben oder ausgeübt haben, und deren unmittelbare Familienmitglieder oder ihnen bekanntermaßen nahe stehende Personen“ definiert. Da dieses Konzept zu vage war und es kein zentrales Register gibt, das eine vollständige Liste an potenziellen PEP beinhaltet, konkretisiert die 4. Richtlinie die Definition durch die Nennung von Positionen. Der Begriff ist definiert als „natürliche(n) Personen, die wichtige öffentliche Ämter ausüben oder ausgeübt haben“ und wird von einer Liste an Funktionen ergänzt, die diese natürlichen Personen aufweisen sollte.
Abbildung 3: Definition von PEPDie Konsequenzen für Transaktionen mit PEP sind im Artikel 20 und 21 der Richtlinie definiert. Sie fordert Verpflichtete auf, ein Risikomanagementsystem aufzusetzen, um potenzielle PEP zu identifizieren und bestimmte Maßnahmen beim Eintritt in eine Geschäftsbeziehung mit PEP zu ergreifen, inklusive der Genehmigung des Senior Managements, der Identifizierung des Ursprungs von Reichtum ebenso wie laufender Beobachtung der Beziehung. Diese bestimmten Verpflichtungen gelten auch für „Familienmitglieder oder Personen, die politisch exponierten Personen bekanntermaßen nahestehen“ (Artikel 23). Anders als in der 3. Richtlinie, werden die beiden Begriffe in der 4. Richtlinie spezifiziert.
Abbildung 4: Definition von Familienmitgliedern und Personen, die ihnen bekanntermaßen nahestehenVerpflichtete sollten daher ihre bestehenden Strategien und Vorgehen zur Identifizierung von PEP, ihren Familienmitgliedern und Personen, die ihnen bekanntermaßen nahestehen, überprüfen. Dies sollte nicht nur für neue Kundenbeziehungen gelten, sondern es ist zu empfehlen auch die aktuell bestehenden Kunden zu prüfen.
Relevante Schwellenwerte
Gemäß Artikel 7 der 3. Richtlinie war eine Sorgfaltspflicht gegenüber dem Kunden bei Begründung einer Geschäftsbeziehung erforderlich, bei der Ausführung gelegentlicher Transaktionen bis zu 15.000,- € für Einzelgeschäfte oder bei mehreren Vorgängen, zwischen denen eine Verbindung zu bestehen scheint, beim Verdacht auf Geldwäsche oder Terrorismusfinanzierung oder bei Zweifeln an der Eignung zuvor erhaltener Kundeninformationen.
Die neue Richtlinie ändert diese Anforderungen nicht völlig, differenziert sie jedoch mit Blick auf den Transaktionsschwellenwert. Für Geldtransfers im Sinne des Artikels 3 (9) der EU-Richtlinie 2015/847 ist der Schwellenwert auf 1.000,- € festgesetzt, inklusive Überweisungen, Lastschriften und grenzüberschreitenden Geldtransfers, „die mit einer Zahlungskarte, einem E-Geld-Instrument oder einem Mobiltelefon oder anderen im Voraus oder im Nachhinein bezahlten digitalen oder IT-Geräten mit ähnlichen Merkmalen durchgeführt werden“. Ein Schwellenwert von 10.000,- € gilt für Personen, „die mit Gütern handeln, bei Abwicklung gelegentlicher Transaktionen“ in bar und ein spezifischer Schwellenwert von 2.000,- € gilt für „Anbieter(n) von Glücksspieldiensten im Zusammenhang mit Gewinnen oder Einsätzen bei Glücksspielen oder mit beidem“.
Exkurs: Die schwedische Lösung
Das schwedische Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung (2009:62) baut auf der 3. Richtlinie auf und trat 2009 in Kraft. Die Arbeit zur Umsetzung dauerte länger und stellt immer noch eine Herausforderung für die Verpflichteten dar. Dies wird beispielsweise an den jüngsten Geldstrafen der schwedischen FSA (Financial Services Authority) für zwei der größten Bankengruppen in Schweden ersichtlich[4].
Die schwedische Aufsichtsbehörde strebt das Ziel an, hinsichtlich ergriffener Maßnahmen zur Bekämpfung von Geldwäsche eine Spitzenposition einzunehmen. Angesichts dieses Zieles und der Tatsache, dass Schweden 2016 von der FATF überprüft wird, ist Schweden den Anforderungen aus der 4. Richtlinie bereits einen Schritt voraus.
In diesem Zusammenhang bilden die aktualisierten Empfehlungen der FATF die Grundlage der 4. Richtlinie, auch wenn die 4. Richtlinie in manchen Aspekten strenger als die Standards ist. Da Schweden den FATF-Standard so schnell wie möglich erfüllen möchte, hat die Aufsichtsbehörde bereits zeitgleich mit der EU-Arbeit mit der 4. Richtlinie einige der Standards vorab implementiert.
Dies läuft in zwei parallelen Prozessen ab:
- Der Vorschlag von 2014/15:80 zur Übernahme bestimmter internationaler Standards (den FATF-Standards) in das Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung und
- Die Richtlinie des Gremiums von 2014:140, eine Untersuchung zur Implementierung der 4. Richtlinie in schwedische Gesetzgebung.
Der Vorschlag trat am 1. August 2015 in Kraft und führte teilweise einige der FATF-Standards von 2012 ein, damit zugleich Teile der 4. Richtlinie. Die geänderte Gesetzgebung implementierte den risikobasierten Ansatz und eine Anforderung für eine dokumentierte Risikobewertung. Ebenso implementierte sie die Spezifizierung der Definition von PEP und stellt sicher, dass im Gegensatz zur Vergangenheit schwedische Personen auch PEP genannt werden dürfen. Eine PEP kann eine Person in Führungsposition in einer internationalen Organisation wie der UN oder ähnliches sein. Die Verpflichteten sind auch aufgefordert, eine PEP als Person anzusehen, was mit einem hohen Risiko einhergeht, was zuvor nur eine Vermutung war.
Außerdem entwarfen schwedische Gesetzgeber ein völlig neues Kapitel zum Datengeheimnis und führten eine Anforderung für die Verpflichteten ein, spezifische Informationen fünf Jahre lang aufzubewahren, z.B. über Transaktionen. Eine weitere neue Anforderung ist, dass Verpflichtete – bei der Bewertung der Situation, die Einfluss auf das Risikopotenziel des Unternehmens hat – den Einsatz von für das Unternehmen neuer Technik beachten.
Diese Beispiele zeigen auf, dass einige Aspekte der 4. Richtlinie bereits in der schwedischen Gesetzgebung implementiert sind. Jedoch sollte die Richtlinie des Gremiums von 2014:140 im Sommer 2015 vorgestellt werden. Dieser Termin wurde jedoch voraussichtlich auf Dezember 2015 verschoben. Deswegen ist größtenteils noch unklar, wie Schweden mit der Implementierung der 4. Richtlinie weiter vorgeht. Da die 4. Richtlinie eine Mindestrichtlinie ist, d.h. ein Mitgliedsstaat kann zusätzliche oder strengere Anforderungen wählen, sollten die Verpflichteten die Entwicklungen im Herbst 2015 genauestens beobachten.
Schlussfolgerungen
Die 4. Richtlinie und folgenden Rechtsakte werden einen hohen Einfluss auf die Verpflichteten ausüben. Den Verpflichteten wird empfohlen zu überprüfen, ob die derzeitigen Strategien, Prozesse und Vorgehen den neuen Anforderungen gerecht werden. Zudem sind die Verpflichteten aufgefordert, Methodiken zur Ausführung einer Risikobewertung zu entwickeln, die alle potenziellen Risikofaktoren abdeckt.
Die Verpflichteten sollen die Methodik und Verantwortlichkeit für die Risikobewertung von Risiken, denen sie ausgesetzt sind, definieren ebenso wie die Zuverlässigkeit der Identifizierung von PEP im Rahmen der Sorgfaltspflicht gegenüber Kunden. Zusätzlich werden sich die derzeit gültigen Transaktionsschwellenwerte ändern und damit Einfluss auf die Sorgfaltspflicht und die Anzahl der Transaktionen haben. Außerdem muss die bestehende Dokumentation überprüft werden, ebenso wie die Schulungen der Mitarbeiter, die für den Prozess der Sorgfaltspflicht verantwortlich sind.
Internationale Aufsichtsbehörden haben kürzlich hohe Geldstrafen für die Nicht-Einhaltung der AML-Vorschriften erlassen. Vor dem Hintergrund, dass die Risikobewertung ein wichtiges Element der Ausgestaltung der Sorgfaltspflicht, Überwachung und Berichterstattung ist, die wiederum Grundbausteine eines umfänglichem AML-Rahmenwerks sind, wird den Verpflichteten empfohlen, eine ganzheitliche Überprüfung ihres Rahmenwerks einzuleiten.
