Im Geldwäschereirecht gibt es zwei Ebenen der Risikobetrachtung, die oft verwechselt werden. Die Einstufung einer einzelnen Geschäftsbeziehung beantwortet, wie riskant dieser Kunde ist. Die institutsweite Risikoanalyse beantwortet, welchen Risiken das ganze Unternehmen ausgesetzt ist und wie es sich dagegen organisiert. Die zweite ist die Voraussetzung für die erste: Ohne sie fehlt den Kriterien für die Kundeneinstufung die Begründung.
Was hineingehört
Die Geldwäschereiverordnung der FINMA verlangt von beaufsichtigten Instituten eine Risikoanalyse, die mindestens Sitz oder Wohnsitz der Kunden, das Kundensegment sowie die angebotenen Produkte und Dienstleistungen berücksichtigt. Die Reglemente der Selbstregulierungsorganisationen enthalten vergleichbare Anforderungen. In der Praxis gehören dazu auch Vertriebswege, etwa Kunden ohne persönlichen Kontakt, die Herkunft der Vermögenswerte, Bargeldnähe und die Rolle von Intermediären.
Von der Analyse zu den Kontrollen
Eine Risikoanalyse ist nur so gut wie ihre Folgen. Aus ihr leiten sich die Kriterien für erhöhte Risiken ab, die Häufigkeit der periodischen Überprüfung, die Schwellen der Transaktionsüberwachung und der Umfang der Schulungen. Wer eine neue Kundengruppe erschliesst oder ein neues Produkt anbietet, muss die Analyse vorher anpassen, nicht erst bei der nächsten Prüfung.
Häufige Mängel
Prüfer finden immer wieder dieselben Schwächen: eine Vorlage, die nicht zum eigenen Geschäft passt; eine Analyse, die seit Jahren nicht aktualisiert wurde; Risikokriterien, die in der Analyse stehen, aber im Onboarding nicht abgefragt werden; und keine Zahlen zum eigenen Bestand, etwa wie viele Kunden aus welchen Ländern stammen. Eine glaubwürdige Analyse beginnt mit dem eigenen Kundenbestand und nicht mit einer allgemeinen Liste von Risiken.
Verantwortung und Rhythmus
Die Risikoanalyse wird vom obersten Leitungsorgan verabschiedet und periodisch aktualisiert. Zusammen mit dem risikobasierten Ansatz ist sie das Dokument, an dem eine Prüfung ablesen kann, ob das Institut seine Risiken versteht. Bei Beratenden, die seit dem 1. Oktober 2026 neu unterstellt sind, gehört sie zu den ersten Dokumenten, die eine SRO sehen will.