Die Gap-Analyse ist das erste, was die meisten Verpflichteten in Angriff nehmen, wenn sie sich mit der neuen EU-Geldwäscheverordnung (AML-VO) auseinandersetzen. Zu Recht, denn sie ist der notwendige Ausgangspunkt jeder strukturierten Vorbereitung auf die AML-VO. In der Praxis gibt es allerdings klassische Fallstricke, die entstehen, wenn rechtliche Anforderungen und operative Umsetzung nicht von Anfang an zusammen gedacht werden. Wir zeigen, welche das sind und wie man sie vermeidet.
Inhaltsverzeichnis
Drei Fallstricke, die wir aus der Praxis kennen
1) Die Gap-Analyse basiert auf falschen Annahmen.
Bei vielen Verpflichteten erstellen die Rechts- oder Compliance-Abteilungen eine Gap-Analyse und starten mit der schriftlich fixierten Ordnung. Oft bildet die schriftlich fixierte Ordnung nicht das ab, was in der Praxis tatsächlich “gelebt“ wird, weswegen die Analyse unter falschen Annahmen erfolgt.
2) Das Projekt bleibt auf Policy-Level stehen.
Die Umsetzung der AML-VO wird oft als reine Dokumentationsaufgabe verstanden. Das AML-Handbuch und andere schriftlich fixierte Ordnungen werden zwar aktualisiert; jedoch bleiben die operativen Prozesse teilweise unangetastet. Beim Internal Audit testen Prüfer aber nicht nur, ob die schriftlich fixierten Ordnungen aktuell sind, sondern auch, ob die dokumentierten Prozesse tatsächlich gelebt werden und ob diese funktionieren, wie beschrieben.
3) Umsetzung ohne Zielbild.
Wenn „Operations“ mit der Anpassung und Umsetzung neuer regulatorischer Vorgaben loslegt, bevor die Zuständigen aus den Compliance-/Rechtsabteilungen die entscheidenden Leitplanken definiert haben, entstehen Zwischenlösungen, die kurzfristig pragmatisch wirken, aber später zu neuen Lücken führen – etwa wenn Prozesse, Systeme oder Verantwortlichkeiten nicht zum regulatorischen Zielbild passen.
Woran es liegt, wenn die Analyse schief geht
Die beschriebenen Fallstricke haben eine gemeinsame Ursache: Rechtliche Anforderungen und operative Umsetzung sind nicht ausreichend verzahnt. Häufig steht dahinter ein sequenzielles Projektverständnis:
- Erst wird rechtlich bewertet, dann operativ umgesetzt:
Idealerweise setzt die rechtliche Bewertung auf der tatsächlich gelebten Praxis auf; dazu muss „Operations“ die notwendigen Informationen und Prozessabläufe zuliefern. - Es wird operativ losgelegt, bevor die rechtlichen Leitplanken stehen:
Wird mit der operativen Umsetzung begonnen, bevor die regulatorischen Leitplanken definiert sind, muss die Compliance- bzw. Rechtsabteilung eng in die Umsetzung eingebunden werden, um eine rechtssichere Ausgestaltung sicherzustellen und gemeinsam mit „Operations“ praktikable und angemessene Prozesse auf Grundlage des risikobasierten Ansatzes zu entwickeln.
Wenn Auslegung und Umsetzung nicht ausreichend miteinander verzahnt sind, droht die Gap-Analyse zu einer theoretischen Abhandlung ohne Unternehmensbezug und realen Nutzen zu werden.
Die AML-VO ist keine Checkliste
Die AML-VO verschärft dieses Problem – sie erschöpft sich nicht in punktuellen Prozessanpassungen, sondern erfordert an vielen Stellen eine Neubewertung bestehender Umsetzungsentscheidungen.
Viele ihrer Anforderungen lassen sich nicht schematisch über Checklisten abarbeiten: So stellt sich etwa die Frage, unter welchen Voraussetzungen künftig auf Dritte im KYC-Prozess zurückgegriffen werden darf, ob bestehende Identifizierungsverfahren den neuen Anforderungen genügen oder wie bestehende Auslagerungsmodelle künftig zu bewerten sind. Dabei geht es häufig nicht um einzelne zusätzliche Prüfschritte, sondern um Grundsatzentscheidungen, die sich auf Prozesse, Systeme, Verantwortlichkeiten und Kontrollen auswirken. Diese Fragen müssen daher frühzeitig geklärt werden, bevor sie in Prozesse, Arbeitsanweisungen und Kontrollen übersetzt werden können. Erfolgt dies zu spät, sind nachgelagerte Anpassungen mit entsprechendem Umsetzungsaufwand und potenziellen aufsichtsrechtlichen Risiken häufig die Folge.
Hinzu kommt, dass noch nicht alle technischen Regulierungsstandards (RTS) zur AML-VO final vorliegen. Wer sich mit der Umsetzung Zeit lässt, bis alle Spezifikationen vorliegen, startet allerdings zu spät. Verpflichtete müssen bereits jetzt Entscheidungen treffen, auch wenn einzelne Detailfragen noch offen sind, und Prozesse so ausgestalten, dass spätere Anpassungen möglich bleiben.
Was eine belastbare Gap-Analyse leisten muss
Eine belastbare Gap-Analyse ist kein rein juristisches Projekt und auch kein ausschließlich operatives Prozess-Mapping. Sie muss drei Ebenen zusammenbringen: die rechtlichen Anforderungen der AML-VO, die tatsächlich gelebte Praxis beim Verpflichteten und die Frage, welche Umsetzungsschritte regulatorisch notwendig (Stichwort: risikobasierter Ansatz) und operativ praktikabel sind.
Konkret bedeutet das:
Projektsetup und Zuständigkeiten klären, bevor die inhaltliche Arbeit beginnt.
Wer nimmt das Zielbild ab? Wer ist für welche Entscheidung intern verantwortlich? In vielen Projekten werden diese Fragen erst dann sichtbar, wenn es bereits Probleme gibt. Eine strukturierte Klärung zu Beginn spart erheblichen Aufwand im weiteren Verlauf.
Ist-Aufnahme, die die gelebte Praxis erfasst.
Nicht (nur) Dokumentationen, sondern Prozesse, Datenmodell, Systemschnittstellen und Governance-Strukturen. Nur auf dieser Basis lässt sich ein belastbares Zielbild entwickeln.
Rechtlich fundierte Priorisierung.
Was ist kurzfristig aufsichtsrelevant, was kann mittelfristig nachjustiert werden, wo gibt es risikobasierte Gestaltungsspielräume? Diese Einschätzung erfordert rechtliche Expertise. Sie sorgt dafür, dass aus der Gap-Analyse nicht nur eine vollständige Maßnahmenliste entsteht, sondern ein Plan mit klaren Prioritäten. Prüfungsfeststellungen, die bereits vorliegen, geben dabei häufig eine erste Priorisierung.
Operative Übersetzung des Zielbilds.
Anforderungen müssen in konkrete Prozess- und Systemanforderungen übersetzt werden, die beim jeweiligen Verpflichteten tatsächlich umsetzbar sind. Das ist nicht Aufgabe von Compliance/Legal allein, sondern erfordert das iterative Zusammenspiel von Legal, Compliance und „Operations“.
Der nächste Schritt: Von der Gap-Analyse zur AML-VO-Umsetzung
An der Verzahnung von rechtlichen Vorgaben und operativer Umsetzung entscheidet sich, ob aus der AML-VO-Vorbereitung ein tragfähiger Maßnahmenplan entsteht oder nur eine weitere Dokumentationsschicht, die für eine wirksame und prüfungssichere Compliance-Architektur nicht ausreicht.
Genau hier setzt das gemeinsame Angebot von ANNERTON und consalty an: eine AML-VO-Gap- und Umsetzungsanalyse, die rechtliche Bewertung und operative Ist-Aufnahme von Beginn an verbindet.
- ANNERTON ordnet die AML-VO entlang der tatsächlich gelebten Praxis beim Verpflichteten rechtlich ein und entwickelt daraus belastbare Leitplanken;
- consalty bringt die operative Gap-Analyse, das Prozessverständnis und die Implementierungsperspektive mit und übersetzt die Leitplanken in konkrete Prozess-, System- und Umsetzungsschritte.
Die Analyse schafft die Grundlage für die weitere Umsetzung, von der Priorisierung der Maßnahmen über die Übersetzung in Prozesse, Systeme und Verantwortlichkeiten bis zur Begleitung der Implementierung. So wird sichtbar, wo konkreter Handlungsbedarf besteht, welche Themen zuerst angegangen werden sollten und welche Umsetzungsschritte für den Verpflichteten realistisch sind – alles aus einer Hand.
Wer die Vorbereitung auf die AML-VO strukturiert angehen oder eine bestehende Gap-Analyse kritisch überprüfen möchte, kann mit uns besprechen, welche regulatorischen Anforderungen tatsächlich Handlungsbedarf auslösen und wie daraus ein realistischer Umsetzungsplan entsteht. Ein unverbindliches Gespräch hier vereinbaren:
