Der überwiegende Teil der Finanzwelt hat in den letzten Jahren und Jahrzehnten enorme Summen investiert, um den regulatorischen Anforderungen im Bereich Compliance vollumfänglich gerecht zu werden. Dieses fängt bei der Gewinnung und Ausbildung von qualifiziertem Personal an und endet bei der Umsetzung der regulatorischen Erfordernisse, die aufgrund neuer Services, Produkte und Prozesse einem ständigen Wandel unterzogen sind. Mit großem Aufwand sind Screening- und Monitoring-Softwaresysteme implementiert worden, um Transaktionen auf Anhaltspunkte für Geldwäsche und Terrorismusfinanzierung zu überprüfen.

Was aber oftmals nicht im Fokus stand, war die notwendige Analyse der Qualität der zu verarbeitenden Daten. Sie bildet die Basis, um die Systeme adäquat betreiben zu können. Der Umgang mit fehlenden bzw. falschen Daten hat enorme Auswirkungen auf die Effektivität der Compliance und stellt ein hohes Risiko dar, im Rahmen von internen oder externen Prüfungen die regulatorischen Anforderungen nicht zu erfüllen.

Falsche bzw. fehlende Daten haben zur Folge, dass die in den Systemen hinterlegten Parameter nicht wirken können, wie es aus der Sicht der Compliance und aus regulatorischer Sicht notwendig wäre. Dies kann einerseits zu einer Vielzahl von falschen Treffern in den Systemen führen, die dann automatisiert oder manuell geschlossen werden müssen − unter Berücksichtigung der notwendigen Anforderungen an die Qualität der Dokumentation. Auf der anderen Seite können Transaktionen nicht auffällig werden oder die vorgeschriebene Kundenrisikoklassifizierung kann nicht wie erforderlich und gesetzlich vorgeschrieben erfolgen.

Um die Auswirkungen der Erfassung von falschen Daten einmal zu skizzieren, betrachten wir den folgenden Sachverhalt beispielhaft:

• Es kommt zur Begründung einer Geschäftsbeziehung mit einem MSB (Money Service Business).
• Basierend auf der Empfehlung 14 der FATF sollte geprüft werden, ob es sich um einen lizensierten Provider handelt.
• Dieses gilt für natürliche und juristische Personen ohne jegliche Einschränkung.
• Wenn im Rahmen des Kundenannahmeprozesses der „Sector of Activity“ nicht richtig erfasst wird, können alle weiteren definierten Maßnahmen ihre Wirkung nicht entfalten, wie
  • Approval bei der Kundenannahme
  • Adäquate Kundenrisikoklassifizierung
  • Zuordnung zur richtigen Risikoklasse
  • Zeitraum der Datenaktualisierung
  • Überleitung in das Monitoringsystem
  • Angemessene Überwachung in den Zahlungssystemen
  • U.U. falsches / unvollständiges Reporting

Neben der Erfassung solcher Daten zählt die Pflege der kundenbezogenen Stammdaten zur elementaren Basis einer sachgerechten Compliance. Nur mit vollständigen, aktuellen und richtigen Daten ist eine Analyse der Aktivitäten eines Kunden überhaupt erst möglich. Sollte es im Rahmen der Recherchen dazu kommen, dass die Compliance-Abteilung sich dazu entschließt, eine Meldung an die FIU zu erstatten, ist die Behörde nur dann in der Lage, Fälle zu analysieren und die notwendigen Maßnahmen einzuleiten, wenn ihr vollständige und korrekte Daten übermittelt wurden.

Nur vollständige und korrekte Daten erlauben es den Verpflichteten, die Empfehlung 16 der FATF bei Auslandsüberweisungen zu erfüllen. Nur mit vollständigen und korrekten Daten sind darüber hinaus die kontinuierlichen Prüfungen des Kundenbestands gegen die Sanktions- bzw. PEP-Listen möglich.

In diesem Jahr und in den nächsten Jahren wird eine Vielzahl von Financial Intelligence Units (FIUs) die Software goAML des UNODC für eine effektivere Verfolgung von Meldungen grenzüberschreitend einsetzen. Diese Anstrengungen können aber nur dann von Erfolg gekrönt sein, wenn die an die FIU elektronisch übermittelten Daten korrekt und vollständig sind.

In einem ersten Schritt ist daher von Finanzinstituten zunächst zu ermitteln, ob Kundenstammdatensätze mehrfach in den Kernbankensystemen hinterlegt sind. Sollte dieses der Fall sein, wird dringend empfohlen, gleiche Kundendatensätze zu verschmelzen, um ein einheitliches Bild über das Gesamtengagement zu bekommen.

Weitere Schritte sind die Prüfung einzelner Informationen wie

• Nachname
• Vorname
• Geburtsdatum
• Geburtsort
• Anschrift
• Passdaten

auf ihre Vollständigkeit und Richtigkeit.

Die Vollständigkeit der Daten beschränkt sich aber nicht nur auf die Stammdaten des Kunden. Wichtig ist darüber hinaus regelmäßig zu prüfen, ob die an die Research-Systeme übergebenen Transaktionsdaten vollständig und korrekt übergeben und verarbeitet werden. So kann beispielsweise das fehlende Länderkennzeichen bei einer Auslandstransaktion dazu führen, dass in einem Monitoringsystem wichtige Sachverhalte nicht auffällig werden, obwohl diese Daten vorhanden sind. Denn ohne das entsprechende Länderkennzeichen können grenzüberschreitende Transaktionen im SWIFT-Netz nicht verarbeitet werden. 

Insofern stehen die Verpflichteten vor der ständigen Herausforderung, sich nicht nur mit den regulatorischen Anforderungen auseinanderzusetzen. Sie haben auch dafür Sorge zu tragen, dass ein in seiner Gesamtheit geschlossenes System sicherstellt, alle regulatorischen Anforderungen erfüllen zu können.