Für die Institute ist es daher unverzichtbar, einen risikoorientierten Ansatz zu verfolgen, der sich an ihrem individuellen Gefährdungspotenzial orientiert. Nur so gelingt es, die knappen Ressourcen zu schonen, den Geldwäsche-Risiken dennoch effektiv zu begegnen und zugleich die neuen aufsichtsrechtlichen Anforderungen in vollem Umfang zu erfüllen.
In ihrem Rundschreiben 17/2009 (GW) vom 23. September 2009 verlangt BaFin die „gruppenweite Umsetzung von Präventionsmaßnahmen gemäß § 25g KWG“. BaFin geht darin auf den globalen Charakter des Geldwäsche-Risikos ein und präzisiert die Forderung nach effektiven Sicherungsmaßnahmen auch für alle nachgeordneten Unternehmen einer Gruppe. Bereits Mitte 2008, im Zuge der Umsetzung der 3. EU-Geldwäsche-Richtlinie durch das Geldwäsche-Bekämpfungs-Ergänzungsgesetz (GwBekErG) hatte BaFin die gruppenweite Einhaltung von Sicherungsmaßnahmen zur Verhinderung von Geldwäsche, Terrorismusfinanzierung und Betrug neu definiert. Mit den konkretisierenden Anforderungen durch das Rundschreiben begegnet die Aufsicht noch entschiedener den wachsenden Gefahren. Damit erhöhen sich für alle Kreditinstitute, Finanzdienstleister, Kapitalanlagegesellschaften und Finanzholdinggesellschaften, die als Muttergesellschaften nachgeordnete Unternehmen, Zweigstellen oder Zweigniederlassungen im In- und Ausland haben, die organisatorischen Anforderungen an eine gruppenweite Geldwäsche-Prävention. Zugleich steigt die Verantwortung der Geldwäsche-Beauftragten im Konzern, einheitliche Standards zur Verhinderung von Geldwäsche und Terrorismusfinanzierung zu etablieren und je nach Risikolage der Konzerneinheit individuelle Sicherungsmaßnahmen zu ergreifen. Der Gruppen-Geldwäsche-Beauftragte ist verpflichtet, „im Rahmen des globalen Risikomanagements für die gesamte Gruppe eine einheitliche Politik zur Verhinderung von Geldwäsche und Terrorismusfinanzierung zu schaffen und deren Umsetzung zu koordinieren und gruppenweit zu überwachen“. Verantwortlich für die Erfüllung der Geldwäsche-Präventionspflichten gemäß § 25g Abs. 1 KWG, die die internen Sicherungsmaßnahmen, die Einhaltung der Sorgfaltspflichten und die Aufzeichnungs- und Aufbewahrungspflichten umfassen, sind für BaFin letztlich „die Geschäftsleiter des Mutterunternehmens oder übergeordneten Unternehmens“. In vielen Fällen hat sich der Wirkungsbereich von Kreditinstituten durch die Gründung neuer Gesellschaften, den Erwerb von Beteiligungen oder die Ausweitung der Geschäftstätigkeit auf neue Märkte vervielfältigt. Aber auch die durch die Finanzkrise zu Tage getretenen Risikopositionen in einzelnen Instituten erhöhen den Fusionsdruck in der Bankenlandschaft. Je höher die Zahl an Tochtergesellschaften, Zweigniederlassungen oder Beteiligungen, desto größer ist die Gefahr, zu wirtschaftskriminellen Aktivitäten missbraucht zu werden. Die Größe eines Finanzkonzerns sowie die Dynamik im Beteiligungsportfolio erschweren eine gruppenweite Übersicht. Häufig fehlt ein tiefer Einblick des Geldwäsche-Beauftragten in die einzelnen Geschäftsmodelle von Konzerneinheiten.
Kommt es zu einem Geldwäschefall, ergeben sich für die Institute daraus rechtliche, finanzielle, operationelle und Reputationsrisiken. Die rechtlichen Konsequenzen von Geldwäsche-Vorfällen können aufsichtsrechtliche Sonderprüfungen sein, Sanktionen aufgrund organisatorischer Mängel und sogar strafrechtliche Verfahren gegen die Bank und das Management selbst. Als finanzielle Risiken eines Geldwäsche-Falls sind die Konfiszierung von Geldern mit kriminellem Hintergrund zu sehen, Kreditausfälle und die Kosten für interne Ermittlungen. Operationelle Nachteile ergeben sich etwa aus der Bindung von Ressourcen in internen Untersuchungen. Besonders empfindlich wird ein Institut nach einem Geldwäsche-Fall oft durch den Reputationsverlust getroffen: Kunden und Mitarbeiter wandern ab, der Vertrauensverlust führt zu Umsatzrückgängen, Kursverluste und Ratingverschlechterungen reduzieren den Unternehmenswert.
Ein gruppenweiter Ansatz ist für das Management von Geldwäsche-Risiken unerlässlich. Es gilt, die Transparenz im Konzern zu erhöhen und Maßnahmen zu ergreifen, die auf die konkreten Risikopotenziale der einzelnen Konzerneinheiten und der gesamten Institutsgruppe abgestimmt sind. Dieser risikoorientierte Ansatz ist es, den auch BaFin erwartet. In ihrem Rundschreiben zur Geldwäscheprävention fordert sie darüber hinaus ausdrücklich, eine „Gefährdungsanalyse für die gesamte Gruppe“ anzufertigen und die Geschäftsleitung über die identifizierten Risiken zu informieren. Aufbauend auf einer strukturierten Analyse lassen sich Maßnahmen ergreifen, die auf die spezifischen Risiken in der Gruppe eine ebenso effiziente wie ressourcenschonende Antwort geben. Die fünf Phasen eines erfolgreichen Geldwäschepräventionskonzepts erhalten auch elementare Bestandteile des klassischen Risikomanagements und gewährleisten somit ein risikobasiertes und praxisbewährtes Vorgehen.
▷Phase 1 – Risikoidentifikation: Unter Beachtung der gesetzlichen Restriktionen werden in einem ersten Schritt die Konzerneinheiten identifiziert, die zwingend in eine konsolidierte Betrachtung von Geldwäsche-Risiken einzubinden sind. Die Klassifizierung der Unternemenseinheiten nach ihrer „Geldwäsche-Relevanz“ erhöht die gruppenspezifische Effektivität der späteren Maßnahmen und schont die Ressourcen, die die notwendigen Folgeaktivitäten in Anspruch nehmen.
▷Phase 2 – Risikoanalyse: Im Weiteren werden mittels definierter Fragebögen die sich je nach Geschäftszweck des nachgeordneten Unternehmens unterscheiden können von den jeweiligen Konzerneinheiten in einem Self-Assessment Aussagen darüber erhoben, in welchem Grad sie aktuelle aufsichtsrechtliche Vorgaben erfüllen und Präventions- und Sicherungsinstrumente bereits anwenden.
▷Phase 3 – Risikobewertung: In einem dritten Schritt werden aus den gewonnenen Erkenntnissen Rückschlüsse auf potenzielle Geldwäsche-Risiken gezogen und zu einem aussagekräftigen Risikoprofil für jede einzelne Konzerneinheit zusammengefasst. Die Gegenüberstellung einzelner Risikoprofile ermöglicht die Sicht auf die Geldwäsche-Risiken der einzelnen gruppenangehörigen Unternehmen und erfüllt somit die Informationsanforderungen des Topmanagements des Konzerns.
▷Phase 4 – Risikosteuerung: Eingehend auf das jeweilige Risikoprofil lassen sich in einem vierten Schritt Präventionsmaßnahmen definieren, um den identifizierten Gefahren direkt entgegenzuwirken. Die Fokussierung auf die Unternehmenseinheiten mit einem hohen Geldwäsche-Risiko steht dabei im Vordergrund – wie auch die Anwendung individueller Sicherungsmaßnahmen zur Reduzierung von Geldwäsche-Risiken.
▷Phase 5 – Risikoüberwachung: In einem letzten Schritt wird sichergestellt, dass definierte Konzernstandards in der Geldwäsche-Bekämpfung in der gesamten Gruppe umgesetzt werden. Ein abgestimmtes Kontrollkonzept schließt zentrale Prüfungen der Konzernmutter ebenso wie lokale Kontrollvorgänge innerhalb der Einheit ein und ermöglicht damit eine nachvollziehbare Überwachung von Geldwäsche-Risiken.
Die beschriebene Vorgehensweise verschafft mit ihrem risikobasierten Ansatz den vollen Überblick über die tatsächliche Risikosituation in der Gruppe. Anhand der gewonnenen Risikoprofile lassen sich individuelle Sicherungsmaßnahmen definieren, die dazu dienen, auch jene Risiken, die bisher in Konzerneinheiten verborgen waren, wirksam zu steuern und zu überwachen. Vermögensverluste und Imageschäden, die aus Geldwäsche-Delikten resultieren, werden so bereits im Vorfeld verhindert. Darüber hinaus können die durch die individuelle Analyse gewonnenen Erkenntnisse auch herangezogen werden, um zusätzliche aufsichtsrechtliche Anforderungen zu erfüllen. So unterstützen diese Erkenntnisse die Erstellung einer konzernweiten Gefährdungsanalyse oder die Optimierung interner Verfahren, wie beispielsweise die „Customer-Due-Dilligence-Prüfung“.