Deutsch CCAS Certified Cryptoasset AFC Specialist Certification Exam Practice Test Two

Richtig: In einer robusten Governance-Struktur für Finanzkriminalität müssen Entscheidungen über hochriskante Kundenbeziehungen, die potenziell die Risikobereitschaft der Institution überschreiten, auf einer Ebene getroffen werden, die sowohl die Compliance- als auch die Geschäftsrisiken abwägen kann. Die Vorlage eines detaillierten Berichts beim Risikoausschuss stellt sicher, dass die Entscheidungsträger über alle notwendigen Fakten verfügen, um eine fundierte, risikobasierte Entscheidung zu treffen. Dies entspricht den Anforderungen an eine klare Eskalationshierarchie und dokumentiert den Entscheidungsprozess für Aufsichtsbehörden, wobei verstärkte Kontrollmaßnahmen (Enhanced Due Diligence) als notwendige Bedingung für eine etwaige Fortführung gelten.

Falsch: Die Anpassung von Überwachungsschwellenwerten nach oben, nur um das Arbeitsaufkommen zu reduzieren, stellt eine bewusste Schwächung der Kontrollinstanzen dar und widerspricht dem risikobasierten Ansatz. Eine isolierte Entscheidung zur Kontenschließung durch den Geldwäschebeauftragten ohne Einbindung der festgelegten Governance-Strukturen oder des Senior Managements kann rechtliche und operative Risiken für das Institut bergen und ignoriert die notwendige interne Abstimmung bei strategisch relevanten Kunden. Eine Herabstufung des Risikoprofils trotz unklarer Mittelherkunft und Transaktionen mit Hochrisikogebieten ist fachlich nicht vertretbar und deutet auf eine mangelhafte Risikobewertung hin, die regulatorische Sanktionen nach sich ziehen kann.

Kernaussage: Komplexe Entscheidungen über die Fortführung von Kundenbeziehungen mit hohem Risiko müssen über formelle Eskalationswege an den Risikoausschuss oder den Vorstand kommuniziert werden, um eine strategisch fundierte und dokumentierte Entscheidung zu gewährleisten.

Richtig: Die Anpassung von Überwachungssystemen im Rahmen eines FCI-Programms erfordert eine sorgfältige Abwägung zwischen der Risikoabdeckung und der operativen Kapazität. Ein risikobasierter Ansatz verlangt, dass das Tuning so kalibriert wird, dass neue Bedrohungen effektiv erkannt werden, während gleichzeitig sichergestellt wird, dass die Anzahl der generierten Warnmeldungen (Alerts) mit den verfügbaren Ermittlungsressourcen bewältigt werden kann. Eine Überlastung der Ermittler durch zu viele Fehlalarme (False Positives) führt zwangsläufig zu einer verminderten Qualität der Untersuchungen und erhöht das Risiko, dass tatsächliche kriminelle Aktivitäten aufgrund von Zeitdruck oder Ermüdung übersehen werden.

Falsch: Die Maximierung der Sensitivität ohne Rücksicht auf die Fehlalarmquote ist ineffizient, da sie die Ressourcen des Instituts bindet, ohne den tatsächlichen Nutzen für die Kriminalitätsbekämpfung proportional zu steigern. Die ausschließliche Orientierung an nationalen Prioritäten der FIU vernachlässigt die institutsspezifische Risikobewertung und die individuelle Risikobereitschaft, was zu Lücken bei produktspezifischen Risiken führen kann. Das Aufschieben von notwendigen Kontrollanpassungen bis zum nächsten Audit-Zyklus ist regulatorisch nicht vertretbar, da erkannte Lücken in der Überwachung unverzüglich adressiert werden müssen, um das Institut vor Missbrauch zu schützen.

Kernaussage: Ein effektives Tuning der Überwachungssysteme muss die Balance zwischen der Identifizierung neuer Risikomuster und der Aufrechterhaltung einer hohen Ermittlungsqualität durch angemessene Ressourcenallokation wahren.

Richtig: Die Neukalibrierung der Überwachungssysteme (Tuning) ist ein zentraler Bestandteil eines risikobasierten Ansatzes, um die Effizienz der Ermittlungsressourcen zu steigern. Da sich sowohl die betrieblichen Daten (hohe Fehlalarmrate) als auch die externe Bedrohungslage (nationale Risikoanalyse zu DeFi) geändert haben, ist eine Anpassung der Kontrollen zwingend erforderlich. Die Einbindung des Risikoausschusses zur Genehmigung der neuen Schwellenwerte und zur Akzeptanz des verbleibenden Restrisikos entspricht den Best Practices der Governance. Dies stellt sicher, dass die Institution ihre Ressourcen gezielt dort einsetzt, wo das Risiko am höchsten ist, während die Verantwortlichkeit auf der Führungsebene verankert bleibt.

Falsch: Eine pauschale Erhöhung der Schwellenwerte ohne vorherige detaillierte Risikoanalyse und Validierung ist riskant, da sie dazu führen kann, dass tatsächliche Geldwäscheaktivitäten unentdeckt bleiben. Die rein manuelle Vorfilterung von Alarmen durch Ermittler vor der Systemerfassung untergräbt die Revisionssicherheit und verstößt gegen grundlegende Archivierungs- und Qualitätskontrollstandards des FCI-Programms. Die Entscheidung, die Schwellenwerte trotz bekannter Ineffizienzen unverändert zu lassen und neue Risiken lediglich in Schulungen zu behandeln, vernachlässigt die Pflicht zur dynamischen Anpassung der Überwachungskontrollen an neue Typologien und nationale Prioritäten.

Kernaussage: Ein effektives FCI-Programm erfordert die kontinuierliche Abstimmung zwischen operativer Überwachung, aktualisierter Risikobewertung und formalen Governance-Entscheidungen durch die Geschäftsführung.

Richtig: In einer effektiven Governance-Struktur für das Programm zur Bekämpfung von Finanzkriminalität (FCI) sollten Entscheidungen über hochriskante Kundenbeziehungen nicht isoliert getroffen werden. Die Einbindung eines Risikoausschusses oder eines spezialisierten Governance-Gremiums stellt sicher, dass die Entscheidung im Einklang mit der allgemeinen Risikobereitschaft (Risk Appetite) der Institution steht. Dies ermöglicht eine ausgewogene Betrachtung von Compliance-Risiken, geschäftlichen Interessen und regulatorischen Verpflichtungen, wobei die Compliance-Funktion die objektive Risikobewertung liefert und das Management die Verantwortung für das Restrisiko übernimmt.

Falsch: Eine sofortige Kündigung ohne Abstimmung mit den relevanten Gremien ignoriert die etablierten internen Governance-Prozesse und kann zu rechtlichen oder operativen Komplikationen führen, da die Institution die Auswirkungen auf das Gesamtportfolio bewerten muss. Die Übertragung der Entscheidungsgewalt auf den Kundenbetreuer stellt einen schwerwiegenden Interessenkonflikt dar und untergräbt die Unabhängigkeit der Compliance-Funktion sowie die regulatorischen Anforderungen an die Risikosteuerung. Das bloße Abwarten nach einer SAR-Meldung ohne eine klare Managemententscheidung über die Risikotoleranz ist rein reaktiv und vernachlässigt die Pflicht zur aktiven Steuerung von Kundenbeziehungen, die das Risikoprofil der Institution überschreiten.

Kernaussage: Entscheidungen über den Fortbestand hochriskanter Geschäftsbeziehungen müssen über formelle Governance-Strukturen wie Risikoausschüsse erfolgen, um eine objektive und risikobasierte Steuerung sicherzustellen.

Richtig: Die Durchführung einer fundierten Schwellenwert-Analyse (Tuning) ist der regulatorisch vorgesehene Weg, um die Effektivität eines Transaktionsüberwachungssystems sicherzustellen. Da wesentliche Änderungen an den Überwachungsparametern und die Zuweisung von Ermittlungsressourcen direkte Auswirkungen auf das Restrisiko der Institution haben, müssen diese Entscheidungen innerhalb der Governance-Struktur (z. B. durch den Risikoausschuss oder den Vorstand) validiert werden. Dies stellt sicher, dass die operativen Kontrollen mit der festgelegten Risikobereitschaft der Institution übereinstimmen und die Qualitätskontrolle in den Optimierungsprozess integriert ist.

Falsch: Eine pauschale Erhöhung der Schwellenwerte ohne vorherige Analyse der Datenqualität führt dazu, dass potenziell echte Verdachtsfälle übersehen werden, was die regulatorische Compliance gefährdet. Die bloße Auslagerung der Warnmeldungsbearbeitung an externe Dienstleister behebt nicht die Ursache der ineffizienten Systemkonfiguration und vernachlässigt die notwendige interne Governance über den Überwachungsprozess. Ein sofortiges De-Risking durch den Abbruch aller Geschäftsbeziehungen in einer Jurisdiktion ist oft eine unverhältnismäßige Reaktion, die dem risikobasierten Ansatz widerspricht, da sie keine differenzierte Bewertung der tatsächlichen Bedrohungslage vornimmt.

Kernaussage: Ein effektives FCI-Programm erfordert die kontinuierliche Abstimmung zwischen technischer Systemoptimierung und der strategischen Governance durch die Geschäftsführung, um Ressourcen risikoorientiert einzusetzen.

Richtig: Die Durchführung einer Ursachenanalyse in Verbindung mit einem gezielten Tuning der Überwachungsparameter ist der regulatorisch korrekte Weg, um die Effektivität eines FCI-Programms zu steigern. Durch die Analyse des übersehenen Musters wird die spezifische Kontrolllücke identifiziert, während das Tuning die Effizienz verbessert, indem Ressourcen von unbedeutenden Fehlalarmen abgezogen werden. Die Einbindung des Risikoausschusses stellt sicher, dass die Anpassungen der Governance-Struktur entsprechen und die Risikobereitschaft der Institution gewahrt bleibt, was eine zentrale Anforderung an ein risikobasiertes Programm darstellt.

Falsch: Die Erhöhung der Mitarbeiterzahl zur Bearbeitung von Fehlalarmen bekämpft lediglich die Symptome, korrigiert aber nicht die fehlerhafte Kalibrierung des Systems und ist daher langfristig ineffizient. Die sofortige Beendigung der Geschäftsbeziehung ohne den Versuch einer Risikominderung durch verbesserte Kontrollen widerspricht dem Grundsatz des risikobasierten Ansatzes, der eine differenzierte Bewertung fordert. Die Einrichtung isolierter manueller Prozesse außerhalb des Standard-Programms führt zu Informationssilos, schwächt die einheitliche Berichterstattung und erschwert die Qualitätskontrolle sowie die Archivierung, was die regulatorische Compliance gefährdet.

Kernaussage: Ein effektives FCI-Programm muss technische Überwachungsmechanismen kontinuierlich durch Ursachenanalysen und Tuning an neue Risikomuster anpassen und diese Änderungen über formale Governance-Kanäle legitimieren.

Richtig: Die empfohlene Vorgehensweise spiegelt einen fundierten risikobasierten Ansatz wider, der sowohl die operative Ebene als auch die Governance-Struktur berücksichtigt. Durch die Durchführung einer vertieften Due Diligence (EDD) wird das spezifische Risiko, das von den Transaktionen mit nicht-gehosteten Wallets ausgeht, präzise bewertet. Die Anpassung der Risikokategorisierung stellt sicher, dass das Profil des Kunden aktuell bleibt. Das gezielte Tuning der Überwachungsparameter ist notwendig, um die Relevanz der Warnmeldungen zu steigern und die Ressourcen der Ermittler auf die tatsächlichen Risiken zu konzentrieren. Schließlich entspricht die Vorlage beim Risikoausschuss den Anforderungen an eine ordnungsgemäße Governance, da wesentliche Änderungen des Risikoprofils und der Kontrollmechanismen auf Führungsebene bestätigt werden müssen.

Falsch: Die pauschale Erhöhung der Schwellenwerte für ein gesamtes Portfolio ist unzulässig, da sie das Risiko birgt, tatsächliche Geldwäscheaktivitäten zu übersehen, nur um die Arbeitslast zu senken. Eine sofortige Kündigung der Geschäftsbeziehung ohne detaillierte Analyse und interne Eskalation widerspricht dem Grundsatz des risikobasierten Ansatzes, der eine Einzelfallprüfung verlangt. Zudem würde dies die Governance-Struktur umgehen, die eine Einbindung des Risikoausschusses bei strategisch bedeutsamen Kundenentscheidungen vorsieht. Der Einsatz von fachfremdem Personal aus anderen Abteilungen zur Bearbeitung von Compliance-Warnmeldungen ist aufgrund mangelnder Fachkenntnisse und potenzieller Interessenkonflikte regulatorisch nicht vertretbar und löst das strukturelle Problem der ineffizienten Überwachung nicht.

Kernaussage: Ein effektives AML-Programm erfordert die kontinuierliche Abstimmung zwischen technischem System-Tuning, aktualisierter Risikobewertung und der formalen Eskalation an die Governance-Gremien bei signifikanten Änderungen des Kundenverhaltens.

Richtig: Die Wirksamkeit eines Programms zur Bekämpfung von Finanzkriminalität (FCI) hängt maßgeblich von der synergetischen Zusammenarbeit seiner Komponenten ab. Ein geschlossener Feedback-Mechanismus stellt sicher, dass Erkenntnisse aus tatsächlichen Untersuchungen (z. B. identifizierte neue Typologien oder die Qualität von Verdachtsmeldungen) genutzt werden, um die Überwachungssysteme (Tuning) und die allgemeine Risikobewertung des Instituts kontinuierlich zu verfeinern. Die Einbindung des Risikoausschusses gewährleistet dabei die notwendige Governance und stellt sicher, dass die Risikobereitschaft des Instituts mit den operativen Kontrollen im Einklang steht, was den Kern eines risikobasierten Ansatzes gemäß den regulatorischen Erwartungen darstellt.

Falsch: Die bloße Aufstockung des Personals ohne Anpassung der Überwachungslogik ist ineffizient, da sie die Ursache für potenziell irrelevante Warnmeldungen nicht behebt und die spezifischen Risiken neuer Produkte wie Krypto-Assets ignoriert. Eine maximale Sensibilisierung der Systeme zur Vermeidung jeglicher False Negatives führt in der Praxis zu einer Überlastung der Ermittler (Alert Fatigue) und verhindert eine effektive Priorisierung der wirklich werthaltigen Fälle. Die vollständige Auslagerung der Risikokategorisierung an externe Anbieter ist regulatorisch bedenklich, da das Finanzinstitut die Verantwortung für seine Governance-Struktur und das Verständnis seiner eigenen Risiken nicht delegieren kann; die interne Kontrolle und das Fachwissen müssen gewahrt bleiben.

Kernaussage: Ein robustes FCI-Programm erfordert eine dynamische Integration von Ermittlungsergebnissen in die Systemsteuerung unter einer aktiven internen Governance, um Ressourcen risikoorientiert einzusetzen.

Richtig: Ein effektives Programm zur Bekämpfung von Finanzkriminalität (FCI) erfordert eine dynamische Rückkopplungsschleife zwischen der operativen Überwachung und der strategischen Governance. Die regulatorischen Erwartungen fordern, dass die Risikobereitschaft (Risk Appetite) nicht nur theoretisch definiert, sondern durch reale Daten aus dem Transaktionsmonitoring und der Qualität der Ermittlungsergebnisse validiert wird. Indem die Ergebnisse der Verdachtsmeldungen (SARs) und die Effektivität der Kontrollen in die jährliche Risikobewertung einfließen, kann das Institut nachweisen, dass Ressourcen dort eingesetzt werden, wo die höchsten Risiken bestehen. Die Verwendung quantifizierter Metriken für den Vorstand ermöglicht zudem eine fundierte Aufsicht über die Angemessenheit des Programms.

Falsch: Der Ansatz, lediglich Schwellenwerte über den Branchendurchschnitt zu heben, ist unzureichend, da dies ohne vorheriges Tuning zu einer hohen Anzahl von ‘False Negatives’ führen kann und keine strategische Verknüpfung zur Risikobewertung herstellt. Eine einmalige externe Analyse als statisches Referenzdokument zu verwenden, widerspricht dem Prinzip des kontinuierlichen Risikomanagements, da sich Bedrohungslagen im Kryptosektor extrem schnell ändern. Die ausschließliche Konzentration auf nationale Prioritäten unter Vernachlässigung interner Untersuchungsergebnisse führt dazu, dass institutsspezifische Risiken, die sich aus dem konkreten Kundenstamm oder den genutzten Kanälen ergeben, systematisch übersehen werden.

Kernaussage: Eine wirksame FCI-Governance zeichnet sich durch die kontinuierliche Integration operativer Überwachungsergebnisse in die strategische Risikobewertung und eine datengestützte Berichterstattung an die Geschäftsführung aus.

Richtig: In einem effektiven Programm zur Bekämpfung von Finanzkriminalität (FCI) müssen Entscheidungen über hochriskante Kundenbeziehungen, die potenziell die Risikobereitschaft des Instituts überschreiten, über die etablierte Governance-Struktur eskaliert werden. Die Einbindung des Risikoausschusses oder des Vorstands stellt sicher, dass die Geschäftsleitung über die spezifischen Bedrohungen informiert ist und die Verantwortung für die Annahme oder Beibehaltung des Restrisikos übernimmt. Dies entspricht den regulatorischen Erwartungen an eine angemessene Aufsicht und eine fundierte risikobasierte Entscheidungsfindung.

Falsch: Eine sofortige Beendigung der Geschäftsbeziehung ohne Einbindung der Geschäftsleitung vernachlässigt die notwendigen Governance-Prozesse und beraubt das Institut der Möglichkeit, das Risiko strategisch zu bewerten. Die bloße Anpassung von Überwachungsschwellenwerten, um die Anzahl der Warnmeldungen zu verringern, stellt eine unsachgemäße Manipulation des Systems dar und verschleiert das tatsächliche Risiko, anstatt es zu mindern. Das Vertrauen auf eine einfache Selbsterklärung des Kunden bei hochriskanten Aktivitäten wie der Nutzung von Mixern ist unzureichend, da es keine unabhängige Verifizierung der Mittelherkunft bietet und somit die Anforderungen an die verstärkte Sorgfaltspflicht (EDD) verfehlt.

Kernaussage: Hochriskante Entscheidungen über Kundenbeziehungen müssen durch formelle Eskalationswege an die Geschäftsleitung unterstützt werden, um eine transparente und verantwortungsvolle Risikosteuerung zu gewährleisten.

Richtig: Die Abstimmung (Tuning) der Überwachungssysteme ist ein dynamischer Prozess, der eine enge Verzahnung zwischen den verschiedenen Elementen des FCI-Programms erfordert. Durch die Nutzung von Ergebnissen aus der Qualitätskontrolle und den Erkenntnissen aus tatsächlichen Ermittlungen kann die Institution nachweisen, dass sie ihre Ressourcen gezielt auf die Bereiche mit dem höchsten Risiko konzentriert. Dies entspricht dem risikobasierten Ansatz, da es die Effektivität der Erkennung steigert und gleichzeitig die Belastung durch Fehlalarme (False Positives) reduziert, was gegenüber dem Senior Management eine fundierte Governance-Struktur belegt.

Falsch: Die Konzentration auf die reine Anzahl der eingereichten Verdachtsmeldungen (SARs) ist unzureichend, da diese Metrik keine Aussage über die Qualität der Meldungen oder die Effizienz des Überwachungssystems trifft. Eine rein manuelle Überprüfung aller Transaktionen widerspricht dem Prinzip der Verhältnismäßigkeit und ist in einem skalierbaren Krypto-Umfeld operativ nicht tragbar, zudem ignoriert sie die Vorteile einer risikobasierten Automatisierung. Die pauschale Beendigung von Kundenbeziehungen ohne individuelle Risikoprüfung (De-Risking) stellt keine effektive Risikosteuerung dar, sondern umgeht die regulatorische Anforderung, komplexe Sachverhalte differenziert zu untersuchen und zu bewerten.

Kernaussage: Ein effektives FCI-Programm zeichnet sich durch einen geschlossenen Feedback-Mechanismus aus, bei dem Ermittlungsergebnisse und Qualitätskontrollen direkt zur Optimierung der Überwachungsparameter genutzt werden.

Richtig: Die Neukalibrierung von Überwachungssystemen erfordert eine fundierte statistische Validierung der historischen Daten, um sicherzustellen, dass Änderungen an den Schwellenwerten keine kritischen Risiken übersehen. Da solche Anpassungen das Restrisiko der Institution direkt beeinflussen, ist es im Rahmen einer soliden Governance-Struktur unerlässlich, die Ergebnisse und die damit verbundene Risikoabwägung dem Risikoausschuss oder dem Vorstand vorzulegen. Dies stellt sicher, dass die Entscheidung im Einklang mit der festgelegten Risikobereitschaft steht und regulatorische Anforderungen an die Transparenz erfüllt werden.

Falsch: Eine pauschale Erhöhung der Schwellenwerte zur reinen Arbeitslastreduzierung ohne vorherige Analyse vernachlässigt den risikobasierten Ansatz und könnte dazu führen, dass signifikante Verdachtsfälle unentdeckt bleiben. Die manuelle Vorfilterung von Warnmeldungen vor der Systemprotokollierung verstößt gegen die Grundsätze der Revisionssicherheit und untergräbt die Integrität des Überwachungsprozesses. Die bloße Auslagerung der Erstprüfung an externe Dienstleister adressiert nicht die Ursache der ineffizienten Systemkonfiguration und entbindet die Institution nicht von ihrer Verantwortung für eine angemessene Risikosteuerung.

Kernaussage: Ein effektives Tuning von Überwachungssystemen muss stets auf einer datengestützten Analyse basieren und durch formale Governance-Prozesse legitimiert werden, um das Gleichgewicht zwischen Effizienz und Risikokontrolle zu wahren.

Richtig: In einem ausgereiften FCI-Programm (Financial Crime Investigation) ist es entscheidend, dass Entscheidungen über hochriskante Kundenbeziehungen nicht isoliert getroffen werden. Die Einbindung des Vorstands oder eines spezialisierten Risikoausschusses stellt sicher, dass die Entscheidung im Einklang mit dem definierten Risikoappetit des Instituts steht. Dies gewährleistet eine angemessene Governance, bei der die Ergebnisse der Ermittlungen und der Überwachung (Monitoring) in einen strukturierten Eskalationsprozess einfließen, der sowohl regulatorische Anforderungen als auch das Reputationsrisiko des Finanzinstituts berücksichtigt.

Falsch: Die Übertragung der alleinigen Entscheidungsgewalt an das Ermittlungsteam vernachlässigt die notwendige strategische Aufsicht und die Einbindung der Geschäftsleitung in wesentliche Risikentscheidungen. Eine rein automatisierte Entscheidungsfindung durch Systeme ist unzureichend, da sie die für komplexe Finanzkriminalitätsfälle erforderliche qualitative Analyse und menschliche Urteilskraft vermissen lässt. Die Delegation der Entscheidung an das Front-Office ist aufgrund inhärenter Interessenkonflikte zwischen Geschäftswachstum und Compliance-Kontrolle fachlich nicht vertretbar und widerspricht den Prinzipien der Unabhängigkeit der Kontrollfunktionen.

Kernaussage: Eine wirksame FCI-Governance erfordert die Eskalation von Entscheidungen über hochriskante Kundenbeziehungen an das Senior Management oder Risikoausschüsse, um die Übereinstimmung mit dem institutionellen Risikoappetit sicherzustellen.

Richtig: Die Anpassung von Schwellenwerten in einem Transaktionsüberwachungssystem (TMS) stellt eine wesentliche Änderung der Kontrollumgebung dar, die das Restrisiko der Institution unmittelbar beeinflusst. Ein effektives FCI-Programm erfordert, dass solche Tuning-Maßnahmen auf einer fundierten Auswirkungsanalyse basieren, um sicherzustellen, dass keine echten Verdachtsfälle durch die Raster fallen. Da diese Änderungen die Übereinstimmung mit der festgelegten Risikobereitschaft (Risk Appetite) berühren, ist eine formale Eskalation und Genehmigung durch den Risikoausschuss oder den Vorstand im Rahmen der Governance-Struktur zwingend erforderlich. Dies stellt sicher, dass die Geschäftsführung die Verantwortung für das verbleibende Risiko übernimmt und die Ressourcenallokation strategisch begründet ist.

Falsch: Ein rein technisches Vorgehen durch die IT-Abteilung ohne Einbeziehung der Compliance-Governance vernachlässigt die regulatorische Verantwortung der Geschäftsleitung für das Risikomanagement. Die isolierte Anpassung von Schwellenwerten für Kunden mit niedrigem Risiko ohne Berücksichtigung des gesamten Risikobereitschaftsrahmens ist unzureichend, da auch hier systemische Lücken entstehen können, die nicht strategisch bewertet wurden. Die bloße Einstellung von zusätzlichem Personal zur Bearbeitung ineffizienter Alarme bekämpft lediglich die Symptome, anstatt die Ursache der Fehlkonfiguration zu beheben, und widerspricht dem Ziel einer risikobasierten und technologisch optimierten Überwachung.

Kernaussage: Wesentliche Änderungen an Überwachungsparametern müssen durch datengestützte Analysen validiert und über die etablierten Governance-Instanzen genehmigt werden, um die Kohärenz mit der Risikobereitschaft der Institution zu wahren.

Richtig: Die Durchfuehrung einer statistischen Segmentierungsanalyse in Verbindung mit einem Below-the-Threshold-Test (BTT) ist der regulatorische Goldstandard fuer das Tuning von Transaktionsueberwachungssystemen. Dieser Prozess stellt sicher, dass Anpassungen an den Schwellenwerten nicht dazu fuehren, dass tatsaechlich verdaechtige Aktivitaeten unentdeckt bleiben. Durch die Analyse von Transaktionen, die knapp unter den vorgeschlagenen neuen Grenzwerten liegen, kann das Institut empirisch nachweisen, dass die Effektivitaet der Erkennung gewahrt bleibt, waehrend die Effizienz durch die Reduzierung von False Positives gesteigert wird. Dies entspricht den Erwartungen der Aufsichtsbehoerden an ein risikobasiertes und wissenschaftlich fundiertes Governance-Modell.

Falsch: Die sofortige Erhoehung der Schwellenwerte ohne vorherige Validierung stellt ein erhebliches Compliance-Risiko dar, da sie willkuerlich wirkt und die Gefahr birgt, Geldwaescheaktivitaeten zu uebersehen. Die Delegation der Entscheidung an die IT-Abteilung ist falsch, da die Verantwortung fuer das Risikomanagement und die regulatorische Konformitaet beim Compliance-Bereich bzw. dem MLRO liegt; technische Optimierung darf nicht ohne fachliche Aufsicht erfolgen. Die reine Aufstockung von Personal zur manuellen Bearbeitung ist keine nachhaltige Loesung fuer ein systemisches Problem der Fehlkalibrierung und ignoriert die Notwendigkeit eines effizienten, risikobasierten Programm-Feeds.

Kernaussage: Ein effektives Tuning von Ueberwachungssystemen erfordert zwingend eine datengestuetzte Validierung durch Below-the-Threshold-Tests, um die Angemessenheit der Risikodeckung gegenueber Regulierungsbehoerden zu belegen.

Richtig: In einem effektiven FCI-Programm (Financial Crime Investigation) müssen identifizierte Kontrolllücken und signifikante Risiken, die über die festgelegte Risikobereitschaft hinausgehen, formal über die Governance-Struktur eskaliert werden. Die Entscheidung über die Fortführung einer risikoreichen Geschäftsbeziehung liegt nicht allein beim Ermittler, sondern erfordert eine fundierte Analyse, die dem Risikoausschuss oder dem Vorstand vorgelegt wird. Dies stellt sicher, dass die Institution eine ganzheitliche Entscheidung trifft, die sowohl die regulatorischen Anforderungen als auch das strategische Risikomanagement berücksichtigt. Die Dokumentation der Untersuchung und die Prüfung einer Verdachtsmeldung (SAR) sind dabei essenzielle Bestandteile des Prozesses.

Falsch: Ein rein technischer Fokus auf das System-Tuning vernachlässigt die notwendige risikobasierte Bewertung des Kunden und die rechtliche Verpflichtung zur Untersuchung potenzieller Geldwäsche. Das bloße Abwarten der nächsten regulären Überprüfung ist bei konkreten Verdachtsmomenten unzureichend und kann als Verletzung der Sorgfaltspflichten gewertet werden. Eine sofortige Kündigung ohne vorherige Eskalation an die entsprechenden Gremien und ohne Berücksichtigung der internen Governance-Prozesse verhindert eine strategische Risikobewertung und könnte zudem das Risiko eines ‘Tipping-off’ erhöhen, falls keine ordnungsgemäße Meldung erfolgt.

Kernaussage: Ein robustes FCI-Programm erfordert die Integration von Untersuchungsergebnissen in die Governance-Struktur, um risikobasierte Entscheidungen über Kundenbeziehungen auf Führungsebene zu legitimieren.

Richtig: Die Identifizierung einer Kontrolllücke im Transaktionsüberwachungssystem erfordert ein mehrstufiges Vorgehen nach dem risikobasierten Ansatz. Zunächst müssen die technischen Parameter (Tuning) korrigiert werden, um das laufende Risiko zu mindern. Parallel dazu ist eine rückwirkende Untersuchung der nicht erfassten Aktivitäten notwendig, um potenzielle Geldwäscheverdachtsmomente zu identifizieren. Da es sich um einen risikoreichen Kunden (VASP) handelt und die Kontrollwirksamkeit beeinträchtigt war, muss dieser Vorfall gemäß der Governance-Struktur dem Risikoausschuss oder dem Vorstand gemeldet werden. Dies stellt sicher, dass die Entscheidung über die Fortführung der Geschäftsbeziehung auf einer umfassenden Bewertung des Restrisikos und der institutionellen Risikobereitschaft basiert.

Falsch: Ein Ansatz, der sich nur auf die technische Rücksetzung und die Meldung konzentriert, vernachlässigt die notwendige Einbindung der Governance-Ebene, die bei signifikanten Kontrolllücken für die Risikobewertung zuständig ist. Eine sofortige Kündigung der Kundenbeziehung ohne vorherige detaillierte Untersuchung der betroffenen Transaktionen widerspricht dem Prinzip der fundierten Entscheidungsfindung und könnte zudem als ‘Tipping-off’ wirken oder wertvolle Informationen für die Strafverfolgung vorenthalten. Das Aufschieben von Maßnahmen bis zur nächsten regulären jährlichen Risikobewertung ist bei einer bereits identifizierten Lücke in der Überwachung hochgradig riskant und verstößt gegen die regulatorische Pflicht zur zeitnahen Behebung von Kontrollmängeln.

Kernaussage: Effektives Risikomanagement erfordert die Integration von technischer Überwachung, investigativer Analyse und formaler Governance-Eskalation, sobald Kontrolllücken bei Hochrisikokunden identifiziert werden.

Richtig: In einem ausgereiften Governance-Rahmen für Finanzkriminalität (FCI) müssen Entscheidungen über die Beibehaltung oder Beendigung von Geschäftsbeziehungen mit hohem Risiko, die die festgelegte Risikobereitschaft der Institution überschreiten könnten, auf einer Ebene getroffen werden, die sowohl die Compliance-Risiken als auch die strategischen Ziele überblickt. Die Vorlage beim Risikoausschuss oder dem Vorstand stellt sicher, dass die Entscheidungsträger über die notwendigen Informationen verfügen, um die potenziellen Auswirkungen auf die Institution ganzheitlich zu bewerten. Dies entspricht den regulatorischen Erwartungen an eine starke Governance-Struktur, in der die Geschäftsleitung die letztendliche Verantwortung für das Risikomanagement trägt und komplexe Eskalationspfade klar definiert sind.

Falsch: Die sofortige Beendigung der Beziehung ohne Einbeziehung der Governance-Strukturen vernachlässigt den risikobasierten Ansatz und die notwendige interne Abstimmung zwischen den Geschäftsbereichen und der Compliance-Funktion. Die Übertragung der alleinigen Entscheidungsgewalt an den Geschäftsbereich aufgrund der Rentabilität stellt einen klassischen Interessenkonflikt dar und untergräbt die Unabhängigkeit der Kontrollfunktionen, was zu erheblichen regulatorischen Mängeln führen kann. Eine bloße Aktualisierung der KYC-Unterlagen ohne formelle Eskalation bei Vorliegen signifikanter Warnsignale wie der Nutzung von Mixern ist unzureichend, da sie das zugrunde liegende Risiko nicht adressiert und die Führungsebene über potenzielle Verstöße gegen die Risikobereitschaft im Unklaren lässt.

Kernaussage: Eine effektive FCI-Governance erfordert die Eskalation komplexer Hochrisikofälle an den Vorstand oder Risikoausschuss, um eine dokumentierte Entscheidung im Einklang mit der institutionellen Risikobereitschaft sicherzustellen.

Richtig: In einem effektiven Programm zur Bekämpfung von Finanzkriminalität (FCI) müssen Entscheidungen über hochriskante Geschäftsbeziehungen, die über die Standardrisikotoleranz hinausgehen, durch die etablierte Governance-Struktur abgesichert sein. Da die letztliche Verantwortung für die Risikobereitschaft beim Senior Management liegt, ist eine umfassende Dokumentation und die Vorlage des Falls beim Risikoausschuss oder dem Vorstand zwingend erforderlich. Dies stellt sicher, dass das Institut eine bewusste, risikobasierte Entscheidung trifft, die über die rein technische Compliance hinausgeht und die strategische Ausrichtung sowie die Reputation des Hauses berücksichtigt.

Falsch: Die bloße Einreichung von Verdachtsmeldungen (SARs) ohne interne Eskalation ist unzureichend, da sie das operative Risiko der Fortführung einer potenziell kriminellen Beziehung nicht adressiert. Eine sofortige Kündigung ohne Einbeziehung der Governance-Gremien ist zwar sicherheitsorientiert, umgeht jedoch den vorgeschriebenen Entscheidungsprozess und verhindert, dass die Geschäftsleitung über signifikante Risikoveränderungen im Portfolio informiert wird. Die Anpassung von Überwachungsparametern (Tuning) zur Reduzierung der Alarmquote ist eine rein technische Maßnahme, die in diesem Kontext das Risiko eher verschleiert als steuert und somit die Sorgfaltspflichten verletzt.

Kernaussage: Entscheidungen über den Verbleib von Hochrisikokunden müssen auf einer fundierten Analyse basieren und zwingend über die internen Governance-Strukturen an die Geschäftsleitung eskaliert werden.

Richtig: In einer robusten Governance-Struktur für Finanzkriminalität müssen Entscheidungen über die Beibehaltung oder Beendigung von Kundenbeziehungen, die das Risikoprofil der Institution wesentlich beeinflussen, auf einer Ebene getroffen werden, die sowohl die Compliance-Risiken als auch die strategischen Ziele abwägt. Wenn eine Untersuchung signifikante Abweichungen vom Kundenprofil und unzureichende Nachweise zur Herkunft der Mittel (Source of Funds) aufzeigt, die Compliance-Abteilung und die Geschäftsleitung jedoch uneins sind, ist die Eskalation an den Risikoausschuss oder den Vorstand zwingend. Dies stellt sicher, dass die Entscheidung im Einklang mit der dokumentierten Risikobereitschaft (Risk Appetite) der Institution steht und die Verantwortlichkeit klar zugewiesen ist.

Falsch: Die bloße Fortsetzung der Überwachung ohne Eskalation bei bereits identifizierten, schwerwiegenden Mängeln in der Dokumentation der Mittelherkunft vernachlässigt die Risikosteuerungsfunktion und setzt die Institution potenziellen regulatorischen Sanktionen aus. Eine eigenmächtige Kontoschließung durch die Compliance-Abteilung ohne Einbeziehung der festgelegten Governance-Gremien umgeht den internen Abstimmungsprozess und kann die strategische Ausrichtung der Institution ignorieren. Die Anpassung von Überwachungsschwellenwerten zur Reduzierung von Warnmeldungen bei einem Kunden mit ungeklärter Aktivität stellt eine bewusste Schwächung der Kontrollinstanzen dar und widerspricht den Grundsätzen eines risikobasierten Ansatzes.

Kernaussage: Eine effektive FCI-Governance erfordert die Eskalation von Konflikten zwischen Geschäftsnutzen und Geldwäsche-Risiken an das Senior Management oder spezialisierte Risikoausschüsse, um Entscheidungen auf Basis der institutionellen Risikobereitschaft zu treffen.

Richtig: Die Einbeziehung der Governance-Struktur, wie des Risikoausschusses oder des Vorstands, ist bei komplexen Fällen mit hohem Risiko und potenziellen Auswirkungen auf die Risikobereitschaft des Instituts unerlässlich. Eine fundierte Entscheidung über die Fortführung oder Beendigung einer Kundenbeziehung muss auf einer aktualisierten Risikobewertung basieren, die alle Untersuchungsergebnisse berücksichtigt. Dieser Prozess stellt sicher, dass das Institut eine ganzheitliche Entscheidung trifft, die sowohl regulatorische Anforderungen als auch das strategische Risikomanagement widerspiegelt.

Falsch: Eine sofortige Kündigung ohne interne Abstimmung mit den Entscheidungsgremien vernachlässigt die etablierten Governance-Prozesse und kann zu rechtlichen oder operativen Komplikationen führen. Die bloße Verschärfung der Überwachung ohne eine formale Änderung der Risikokategorie oder die Information des Managements ist unzureichend, da sie das zugrunde liegende Risiko nicht adressiert und die Transparenz gegenüber der Führungsebene fehlt. Die Übertragung der alleinigen Entscheidungsgewalt auf den Geldwäschebeauftragten ohne Einbeziehung des Risikoausschusses bei signifikanten Risiken widerspricht den Best Practices für die institutionelle Verantwortlichkeit in komplexen Fällen.

Kernaussage: Entscheidungen über risikoreiche Kundenbeziehungen müssen über die formale Governance-Struktur des Instituts gesteuert werden, wobei eine aktualisierte Risikobewertung als Grundlage für die Entscheidung des Vorstands dient.

Richtig: Die Einbindung des Risikoausschusses und die detaillierte Dokumentation der Ressourcenplanung sind zentrale Bestandteile einer robusten Governance-Struktur. Ein risikobasierter Ansatz erfordert, dass die Kalibrierung von Überwachungssystemen (Tuning) nicht nur technische Parameter berücksichtigt, sondern auch die operativen Kapazitäten zur Untersuchung dieser Warnmeldungen. Durch die Vorlage beim Risikoausschuss wird sichergestellt, dass die verbleibenden Restrisiken explizit von der Geschäftsführung im Rahmen der festgelegten Risikobereitschaft akzeptiert werden. Dies entspricht den Anforderungen an ein integriertes FCI-Programm, in dem Überwachung, Untersuchung und Governance nahtlos zusammenwirken.

Falsch: Der Ansatz, Schwellenwerte rein nach der Personalkapazität festzulegen, ist unzulässig, da er das tatsächliche Risiko ignoriert und lediglich die Arbeitslast optimiert, was zu erheblichen Kontrolllücken führen kann. Eine rein technische Delegation an die IT-Abteilung ohne fachliche Steuerung durch die Compliance-Funktion vernachlässigt die notwendige regulatorische Expertise bei der Risikobewertung. Die bloße Priorisierung bestimmter Kundengruppen bei gleichbleibenden, ineffektiven Systemparametern löst nicht das Problem der Modell-Validität und führt dazu, dass potenzielle Risiken in anderen Segmenten systematisch übersehen werden.

Kernaussage: Eine wirksame FCI-Governance erfordert die formale Abstimmung zwischen technischer Systemkalibrierung, personellen Ermittlungsressourcen und der strategischen Risikobereitschaft durch die Geschäftsleitung.

Richtig: Die Neukalibrierung der Überwachungssysteme (Tuning) ist ein zentraler Bestandteil eines risikobasierten Ansatzes, um die Effizienz der Ermittlungsressourcen zu steigern. Da sich sowohl die betrieblichen Daten (hohe Fehlalarmrate) als auch die externe Bedrohungslage (nationale Risikoanalyse zu DeFi) geändert haben, ist eine Anpassung der Kontrollen zwingend erforderlich. Die Einbindung des Risikoausschusses zur Genehmigung der neuen Schwellenwerte und zur Akzeptanz des verbleibenden Restrisikos entspricht den Best Practices der Governance. Dies stellt sicher, dass die Institution ihre Ressourcen gezielt dort einsetzt, wo das Risiko am höchsten ist, während die Verantwortlichkeit auf der Führungsebene verankert bleibt.

Falsch: Eine pauschale Erhöhung der Schwellenwerte ohne vorherige detaillierte Risikoanalyse und Validierung ist riskant, da sie dazu führen kann, dass tatsächliche Geldwäscheaktivitäten unentdeckt bleiben. Die rein manuelle Vorfilterung von Alarmen durch Ermittler vor der Systemerfassung untergräbt die Revisionssicherheit und verstößt gegen grundlegende Archivierungs- und Qualitätskontrollstandards des FCI-Programms. Die Entscheidung, die Schwellenwerte trotz bekannter Ineffizienzen unverändert zu lassen und neue Risiken lediglich in Schulungen zu behandeln, vernachlässigt die Pflicht zur dynamischen Anpassung der Überwachungskontrollen an neue Typologien und nationale Prioritäten.

Kernaussage: Ein effektives FCI-Programm erfordert die kontinuierliche Abstimmung zwischen operativer Überwachung, aktualisierter Risikobewertung und formalen Governance-Entscheidungen durch die Geschäftsführung.

Richtig: Die Etablierung eines Feedback-Mechanismus zwischen der Ermittlungsabteilung und dem Monitoring-Team ist entscheidend für einen risikobasierten Ansatz. Durch die Analyse von Untersuchungsergebnissen (z. B. Konversionsraten von Warnmeldungen zu Verdachtsmeldungen) kann das System präziser auf tatsächliche Bedrohungen abgestimmt werden. Die Einbindung eines Risikoausschusses stellt sicher, dass diese technischen Anpassungen nicht isoliert erfolgen, sondern im Einklang mit der allgemeinen Governance-Struktur und der Risikobereitschaft des Instituts stehen, was eine wesentliche Anforderung an ein wirksames FCI-Programm ist.

Falsch: Eine ausschließliche Orientierung an externen Benchmarks oder nationalen Risikobewertungen vernachlässigt die institutsspezifischen Risiken und führt oft zu ineffektiven Kontrollen, die nicht auf das individuelle Kundenprofil zugeschnitten sind. Die Priorisierung von Ressourcen allein auf Basis des Transaktionsvolumens ist riskant, da sie typische Geldwäschemuster wie das Structuring oder Smurfing im Kleinkundensegment ignoriert. Die Delegation des Tunings an eine rein technische IT-Abteilung ohne fachliche Compliance-Aufsicht führt zu einem Mangel an regulatorischem Verständnis bei der Schwellenwertfestlegung und schwächt die notwendige Governance-Struktur.

Kernaussage: Ein effektives FCI-Programm erfordert eine integrierte Governance, bei der operative Ermittlungsergebnisse kontinuierlich zur risikobasierten Verfeinerung der Überwachungssysteme genutzt und strategisch durch Risikoausschüsse überwacht werden.

Richtig: Die Optimierung von Schwellenwerten (Tuning) ist ein zentraler Bestandteil eines effektiven FCI-Programms, um die Relevanz von Warnmeldungen zu erhöhen. Da solche Anpassungen jedoch das Entdeckungsrisiko und somit das Gesamtrisikoprofil des Instituts beeinflussen, müssen sie auf einer fundierten statistischen Analyse basieren und formell durch die Governance-Instanzen (wie den Risikoausschuss oder den Vorstand) genehmigt werden. Dies stellt sicher, dass die operativen Änderungen im Einklang mit der strategischen Risikobereitschaft des Unternehmens stehen und regulatorische Anforderungen an die Überwachung erfüllt bleiben.

Falsch: Eine rein technische Anpassung durch die IT-Abteilung ohne Einbeziehung der Compliance-Governance vernachlässigt die regulatorische Verantwortung der Geschäftsleitung und birgt das Risiko, dass wesentliche Bedrohungen unbemerkt bleiben. Die Umverteilung von Ressourcen aus der Qualitätskontrolle schwächt die notwendige Überprüfung der Ermittlungsqualität und untergräbt die Integrität des Programms. Eine pauschale Erhöhung der Risikokategorisierung für alle Kunden löst nicht das Problem ineffizienter Überwachungssysteme, sondern führt lediglich zu einer weiteren Überlastung der Ressourcen durch erhöhte Due-Diligence-Anforderungen, ohne die Präzision der Erkennung zu verbessern.

Kernaussage: Systemanpassungen im FCI-Programm müssen stets datengestützt erfolgen und durch die formelle Governance-Struktur legitimiert werden, um die Balance zwischen operativer Effizienz und Risikobereitschaft zu wahren.

Richtig: In einem ausgereiften FCI-Programm (Financial Crime Investigation) ist es entscheidend, dass Entscheidungen über hochriskante Kundenbeziehungen nicht isoliert getroffen werden. Die Einbindung des Vorstands oder eines spezialisierten Risikoausschusses stellt sicher, dass die Entscheidung im Einklang mit dem definierten Risikoappetit des Instituts steht. Dies gewährleistet eine angemessene Governance, bei der die Ergebnisse der Ermittlungen und der Überwachung (Monitoring) in einen strukturierten Eskalationsprozess einfließen, der sowohl regulatorische Anforderungen als auch das Reputationsrisiko des Finanzinstituts berücksichtigt.

Falsch: Die Übertragung der alleinigen Entscheidungsgewalt an das Ermittlungsteam vernachlässigt die notwendige strategische Aufsicht und die Einbindung der Geschäftsleitung in wesentliche Risikentscheidungen. Eine rein automatisierte Entscheidungsfindung durch Systeme ist unzureichend, da sie die für komplexe Finanzkriminalitätsfälle erforderliche qualitative Analyse und menschliche Urteilskraft vermissen lässt. Die Delegation der Entscheidung an das Front-Office ist aufgrund inhärenter Interessenkonflikte zwischen Geschäftswachstum und Compliance-Kontrolle fachlich nicht vertretbar und widerspricht den Prinzipien der Unabhängigkeit der Kontrollfunktionen.

Kernaussage: Eine wirksame FCI-Governance erfordert die Eskalation von Entscheidungen über hochriskante Kundenbeziehungen an das Senior Management oder Risikoausschüsse, um die Übereinstimmung mit dem institutionellen Risikoappetit sicherzustellen.

Richtig: In einer effektiven Governance-Struktur für Finanzkriminalität (FCI) müssen Entscheidungen über risikoreiche Kundenbeziehungen, insbesondere bei komplexen Sachverhalten wie der Nutzung von Krypto-Mixern, auf einer angemessenen Hierarchieebene getroffen werden. Die Einbindung eines Risikoausschusses oder eines vergleichbaren Gremiums stellt sicher, dass die Entscheidung unter Berücksichtigung der allgemeinen Risikobereitschaft der Institution und nicht isoliert durch einzelne Abteilungen erfolgt. Dies entspricht den regulatorischen Erwartungen an eine ganzheitliche Risikobewertung, bei der Compliance-Erkenntnisse und geschäftliche Interessen objektiv abgewogen und die Ergebnisse revisionssicher dokumentiert werden.

Falsch: Ein Vorgehen, bei dem das Ermittlungsteam oder der Kundenbetreuer isoliert über den Fortbestand der Beziehung entscheidet, vernachlässigt die notwendige Trennung von Funktionen und die strategische Risikosteuerung. Die bloße Erhöhung von Überwachungsschwellen zur Reduzierung von Alarmen stellt eine Umgehung der Kontrollmechanismen dar und erhöht das Risiko, tatsächliche Geldwäscheaktivitäten zu übersehen. Eine sofortige Beendigung der Geschäftsbeziehung ohne internen Governance-Prozess oder vorherige Analyse kann zudem das Risiko des Tipping-off erhöhen und verhindert eine fundierte Dokumentation, die für spätere regulatorische Prüfungen oder strafrechtliche Ermittlungen essenziell ist.

Kernaussage: Entscheidungen über den Umgang mit Hochrisikokunden müssen über formelle Governance-Strukturen wie Risikoausschüsse gesteuert werden, um eine objektive, risikobasierte und dokumentierte Entscheidungsfindung zu gewährleisten.

Richtig: Die empfohlene Vorgehensweise spiegelt einen fundierten risikobasierten Ansatz wider, der sowohl die operative Ebene als auch die Governance-Struktur berücksichtigt. Durch die Durchführung einer vertieften Due Diligence (EDD) wird das spezifische Risiko, das von den Transaktionen mit nicht-gehosteten Wallets ausgeht, präzise bewertet. Die Anpassung der Risikokategorisierung stellt sicher, dass das Profil des Kunden aktuell bleibt. Das gezielte Tuning der Überwachungsparameter ist notwendig, um die Relevanz der Warnmeldungen zu steigern und die Ressourcen der Ermittler auf die tatsächlichen Risiken zu konzentrieren. Schließlich entspricht die Vorlage beim Risikoausschuss den Anforderungen an eine ordnungsgemäße Governance, da wesentliche Änderungen des Risikoprofils und der Kontrollmechanismen auf Führungsebene bestätigt werden müssen.

Falsch: Die pauschale Erhöhung der Schwellenwerte für ein gesamtes Portfolio ist unzulässig, da sie das Risiko birgt, tatsächliche Geldwäscheaktivitäten zu übersehen, nur um die Arbeitslast zu senken. Eine sofortige Kündigung der Geschäftsbeziehung ohne detaillierte Analyse und interne Eskalation widerspricht dem Grundsatz des risikobasierten Ansatzes, der eine Einzelfallprüfung verlangt. Zudem würde dies die Governance-Struktur umgehen, die eine Einbindung des Risikoausschusses bei strategisch bedeutsamen Kundenentscheidungen vorsieht. Der Einsatz von fachfremdem Personal aus anderen Abteilungen zur Bearbeitung von Compliance-Warnmeldungen ist aufgrund mangelnder Fachkenntnisse und potenzieller Interessenkonflikte regulatorisch nicht vertretbar und löst das strukturelle Problem der ineffizienten Überwachung nicht.

Kernaussage: Ein effektives AML-Programm erfordert die kontinuierliche Abstimmung zwischen technischem System-Tuning, aktualisierter Risikobewertung und der formalen Eskalation an die Governance-Gremien bei signifikanten Änderungen des Kundenverhaltens.

Richtig: Bei Anzeichen für komplexe Geldwäschemuster wie Peeling Chains und die Nutzung von Mixern ohne plausible Erklärung der Mittelherkunft ist eine Verdachtsmeldung (SAR) gesetzlich geboten. Da die Entscheidung über die Beendigung einer Geschäftsbeziehung weitreichende regulatorische und Reputationsrisiken für das Institut mit sich bringt, muss dieser Prozess über die etablierte Governance-Struktur, wie den Risikoausschuss, gesteuert werden. Dies stellt sicher, dass die Entscheidung auf einer umfassenden Bewertung der Risikobereitschaft der Institution basiert und dokumentiert ist.

Falsch: Die bloße Aktualisierung des Risikoprofils ohne sofortige restriktive Maßnahmen oder Meldungen vernachlässigt die akute Bedrohung durch potenzielle Geldwäsche. Eine sofortige Kontenschließung ohne Einbindung des Senior Managements oder des Risikoausschusses umgeht wichtige interne Kontrollinstanzen und kann zudem das Risiko eines Tipping-off erhöhen, wenn sie nicht mit den Ermittlungsbehörden abgestimmt ist. Die ausschließliche Information der internen Revision ist unzureichend, da sie die externe Meldepflicht und die notwendige Entscheidung über das Kundenverhältnis ignoriert.

Kernaussage: Entscheidungen über risikoreiche Geschäftsbeziehungen müssen eine Brücke zwischen operativer Ermittlung, gesetzlicher Meldepflicht und der internen Governance-Struktur schlagen, um institutionelle Risiken ganzheitlich zu steuern.

Richtig: In einem effektiven Programm zur Bekämpfung von Finanzkriminalität (FCI) müssen Entscheidungen über die Fortführung oder Beendigung von Hochrisiko-Geschäftsbeziehungen, insbesondere bei internen Meinungsverschiedenheiten, über die etablierte Governance-Struktur erfolgen. Der Risikoausschuss oder der Vorstand ist dafür verantwortlich, das Restrisiko im Verhältnis zur festgelegten Risikobereitschaft (Risk Appetite) des Instituts zu bewerten. Eine detaillierte Vorlage durch die FCI-Einheit stellt sicher, dass die Entscheidungsträger alle relevanten Fakten, einschliesslich der Historie der Verdachtsmeldungen und der potenziellen regulatorischen Auswirkungen, kennen und die Verantwortung für die Entscheidung auf institutioneller Ebene tragen.

Falsch: Die Übertragung der endgültigen Entscheidungsgewalt an den Geschäftsbereich ist falsch, da dies einen Interessenkonflikt darstellt und die Unabhängigkeit der Compliance-Funktion untergräbt. Eine sofortige Kontoschließung ohne Einhaltung der internen Governance-Prozesse ist ebenfalls nicht korrekt, da sie die strategische Bedeutung des Kunden ignoriert und potenzielle Risiken wie eine unzulässige Vorabinformation (Tipping-off) nicht ausreichend berücksichtigt. Die bloße Anpassung von Überwachungsschwellen ohne eine grundlegende Entscheidung über die Tragbarkeit des Risikos durch die Führungsebene verschleiert das eigentliche Problem und entspricht nicht den Anforderungen an ein risikobasiertes Management von Finanzkriminalität.

Kernaussage: Entscheidungen über komplexe Kundenbeziehungen mit hohem Risiko müssen durch die formale Governance-Struktur eskaliert werden, um eine objektive Abwägung zwischen Geschäftsinteressen und der Risikobereitschaft des Instituts zu gewährleisten.