Kundenrisikoprofil und Geldwäsche-Risikoscoring

Es ist die Einstufung – normalerweise niedrig, mittel oder hoch –, die sich aus der Anwendung des Scoring-Modells des Unternehmens auf die Daten der jeweiligen Geschäftsbeziehung ergibt. Davon hängen die Sorgfaltsmaßnahmen, die Überprüfungshäufigkeit und die anwendbaren Alert-Schwellenwerte ab.

Die Vorschriften schreiben kein bestimmtes Werkzeug vor, verlangen aber einen risikobasierten Ansatz – und damit, dass die Maßnahmen dem Risiko jedes Kunden angemessen sind. In der Praxis lässt sich diese Verhältnismäßigkeit in einem Kundenbestand gewisser Größe nur mit einem dokumentierten Modell konsistent nachweisen.

Drei sind üblich und reichen in der Regel aus. Mehr Stufen bringen nur dann einen Mehrwert, wenn jeder Stufe tatsächlich andere Maßnahmen zugeordnet sind. Ein Modell mit fünf Stufen, in dem die drei mittleren gleich behandelt werden, ist ein Modell mit drei Stufen und längeren Namen.

Ja, aber das ist die Entscheidung, die am genauesten geprüft wird. Sie muss im Verfahren vorgesehen sein, auf einer objektiven Änderung der Umstände beruhen, von der zuständigen Person genehmigt und mit ihrer Begründung dokumentiert werden. Eine Herabstufung ohne Nachweis wirkt wie eine geschäftliche Entscheidung, die als Risikoentscheidung getarnt ist.

Der Status als politisch exponierte Person – und der ihrer Familienangehörigen und nahestehenden Personen – ist ein erhöhter Risikofaktor, der verstärkte Maßnahmen auslöst. Der häufigste Fehler ist nicht, die PEP zu übersehen, sondern die nahestehende Person: Sie steht auf keiner Liste und fällt nur auf, wenn man nachfragt. Mehr dazu auf unserer Seite zu PEP.

So oft, wie es Ihr Verfahren je nach Stufe festlegt, und immer dann, wenn ein relevantes Ereignis eintritt: Wechsel des wirtschaftlich Berechtigten, der Tätigkeit oder der Rechtsordnung, ein Monitoring-Alert oder ein Listentreffer. Die anlassbezogene Überprüfung ist wichtiger als die regelmäßige, denn das Risiko ändert sich nicht am Jahrestag des Onboardings.

Eine richtige Zahl gibt es nicht: Sie hängt von Ihrem Geschäft ab. Ein Alarmsignal ist aber eine extreme Konzentration auf der niedrigen Stufe. Erzielt praktisch der gesamte Kundenbestand dieselbe Punktzahl, differenziert das Modell nicht – und das erkennt man in einer Minute, ohne eine einzige Akte zu öffnen.

Indem drei Dinge geprüft werden: dass die resultierende Verteilung zu Ihrem Geschäft passt, dass die zugewiesene Stufe mit den tatsächlich in der Akte angewandten Maßnahmen übereinstimmt und dass die Kunden, die später zu Verdachtsmeldungen geführt haben, vernünftig eingestuft waren. Diese letzte Übung ist die nützlichste – und die, die fast niemand macht.

Die unternehmensweite Risikobewertung ist die übergeordnete Ebene: Sie analysiert das Risiko Ihres Geschäfts insgesamt – Produkte, Kanäle, Länder, Kundschaft. Das Scoring ist ihre Anwendung auf den einzelnen Kunden. Ein Scoring, das nicht aus der Risikobewertung abgeleitet ist, ist ein Modell ohne Grundlage; eine Risikobewertung ohne Scoring ist ein Dokument ohne Folgen.

Die Verordnung (EU) 2024/1624 behält den risikobasierten Ansatz bei und stärkt ihn; die neue europäische Behörde erarbeitet technische Vorgaben zu Risikofaktoren und deren Bewertung. Zu erwarten ist eine stärkere Standardisierung der verpflichtenden Mindestfaktoren. Deshalb empfiehlt es sich, das Modell parametrierbar zu halten, statt es fest im Code zu verankern. Mehr dazu auf unserer Seite zur AMLR.