In diesem Blogbeitrag möchte ich einen Ausblick auf 2023 und Folgejahre geben, also die nahe Zukunft unserer Domäne, die sich der Bekämpfung der Finanzkriminalität verschreibt. Wie immer in solchen Ausblicken erheben diese keinen Anspruch auf Vollständigkeit, sondern stellen eine Mischung aus subjektiver Wahrnehmung und Beobachtung sowie objektiver Analyse dar.

Da es unterschiedliche Sichtweisen auf den Bereich „Anti-Financial Crime Compliance“ gibt, möchte ich zunächst einmal darstellen, was hierunter zu verstehen ist, ohne auf allzu viele Details einzugehen. Daran anknüpfend kann die Bewertung des Jahres 2022 und der Ausblick auf die nahe Zukunft erfolgen. Wir bei msg Rethink Compliance fassen die nachfolgenden Bereiche unter dem Begriff Anti-Financial Crime (AFC) zusammen. Dabei ist jeder Bereich eigenständig zu sehen, auch wenn es Schnittmengen untereinander gibt. Siehe hierzu auch unser Glossar.

• AML/CFT-Compliance. Ausgeschrieben steht das englische Akronym für die Geldwäschebekämpfung (Anti-Money Laundering) sowie die Identifizierung von Terrorfinanzierung (Combating the Financing of Terrorism), welcher manchmal auch CTF abgekürzt wird (Counter-Terrorist Financing).
• KYC-Compliance. Dieses Akronym steht für Know Your Customer, wobei wir das weiter definieren und das „C“ auf „Counterparty“ umdeuten, also gemeinhin den Geschäftspartner meinen, gleich, ob Zulieferer, Entwicklungspartner, Sponsoringpartner, Vertriebsmittler oder Kunde.
• ABC-Compliance. In unserem Kontext ist das ein gebräuchliches Akronym für die Bekämpfung von Korruption und Bestechung (Anti-Bribery & Corruption).
• Fraud Prevention. Für den englischen Begriff der Betrugsprävention scheint es interessanterweise kein übergreifendes Akronym zu geben. Man könnte aus Fraud Prevention & Detection allerdings FPD ableiten.
• ESG-Compliance. Implizit ergibt sich die Abdeckung von ESG-Compliance aus den Punkten KYC, ABC und Betrugsprävention. Da dies den wenigsten klar ist, führe ich den Themenbereich, der auch den Block Corporate Social Responsibility (CRS) einbezieht, hier einzeln auf.
• Sanktionen. Auch der Bereich der Finanzembargoüberwachung, der eigentlich über die Bereiche AML/CFT und KYC abgedeckt ist, soll hier einzeln aufgeführt werden.

Explizit ausgenommen sind in dieser Betrachtung die Bereiche Tax Evasion, also die Steuerhinterziehung, die Schnittmengen zu AML und KYC hat, sowie der Bereich Anti-Cybercrime, der im weiteren Sinne zur Betrugsprävention gehört, aber zum Beispiel in den Bereichen der Industriespionage ein eigenes Themenfeld darstellt. Diesem Sachverhalt tragen wir in der msg Gruppe Rechnung und bieten mit den msg security advisors Spezialkompetenz an.

Zum Jahr 2022 liefert die Plattform Financial Crimes News eine meines Erachtens sehr gute und strukturierte Übersicht und Analyse der Ereignisse samt interessanter Fragestellungen (Fighting Financial Crime in 2022 – Dashboard by FCN). Da auch nahezu jeder Softwareanbieter in dem Bereich nicht müde wird, die Geschehnisse des Jahres mal mehr, mal weniger zu kommentieren, möchte ich mich nicht in diesen Reigen einreihen.

Wir untersuchen fortlaufend und systematisch den Markt. Dafür haben wir unser AFC-Radar entwickelt, in dem wir alle Beteiligten genauer betrachten, Beobachtungen sammeln, Trends identifizieren und dann prüfen, inwieweit diese nachhaltige Auswirkungen für die AFC-Compliance haben. Hierzu gehören Politik, Regulatoren, Überwachungsorganisationen oder die betroffenen Branchen wie Banken, Versicherungen und andere. Wir berücksichtigen aber auch Veränderungen in der Art der Arbeit, Technologieverfügbarkeiten, Systemlieferanten und Softwareanbieter sowie die Einsatzmöglichkeiten der Anwendungen. Diese Beobachtungen versuchen wir über vier Betrachtungsperspektiven zu erhärten. Die nachfolgende Darstellung gibt einen groben Eindruck von der Vielzahl der betrachteten Treiber.

Grundsätzlich darf man annehmen, dass diesen Treibern die generelle Motivation zu Grunde liegt, eine Verbesserung der Bekämpfung von Wirtschaftskriminalität herbeizuführen. Einer aktuellen Diskussion um die künstliche Intelligenz (KI) folgend habe ich kürzlich ChatGPT, einen fortschrittlichen Prototyp eines Chatbots des US-amerikanischen Unternehmens OpenAI ausprobiert. Auf die Frage „Hast Du Ideen für die Verbesserung zur Bekämpfung von Wirtschaftskriminalität?“ lieferte der KI-gesteuerte Bot folgende Antwort^[1]:

1. Verbesserte Erkennungs- und Überwachungssysteme: Durch den Einsatz fortschrittlicher Analyse- und maschineller Lernverfahren können Finanzinstitute verdächtige Aktivitäten effektiver erkennen und überwachen.
2. Bessere Zusammenarbeit und Informationsaustausch: Finanzinstitute können zusammenarbeiten und Informationen über potenzielle Finanzstraftaten austauschen, wodurch sie diese Straftaten besser aufdecken und verhindern können.
3. Verstärkte regulatorische Aufsicht: Ein strengerer Regulierungsrahmen und eine striktere Durchsetzung der Vorschriften können dazu beitragen, Finanzkriminalität abzuschrecken, indem sie das Risiko der Aufdeckung und Bestrafung erhöhen.
4. Bessere Aufklärung und Sensibilisierung: Durch Aufklärung der Öffentlichkeit über Finanzkriminalität und darüber, wie man sich schützen kann, lässt sich die Zahl der Opfer dieser Straftaten möglicherweise verringern.
5. Bessere internationale Zusammenarbeit: Finanzkriminalität überschreitet häufig nationale Grenzen, so dass internationale Zusammenarbeit für eine wirksame Bekämpfung unerlässlich ist. Dies kann den Austausch von Informationen und die Koordinierung der Strafverfolgungsbemühungen beinhalten.
6. Einsatz von Technologie: Der Einsatz von Blockchain- und anderen Distributed-Ledger-Technologien kann dazu beitragen, die Transparenz und Rückverfolgbarkeit von Finanztransaktionen zu erhöhen, was es für Kriminelle schwieriger macht zu operieren.

Das dahinterstehende Transformer-basierte Machine-Learning-Modell^[2] wurde auf einem großen Datensatz von Konversationen trainiert. Mainstream dominiert hier, nicht zwingend Fakten. So können diese sechs von ChatGPT genannten Punkte nicht wirklich überraschen. Dies bleibt auch so, wenn man jeden einzelnen Aspekt der obigen Antworten weiter hinterfragt. Selbst auf die Frage, wie das umgesetzt werden kann, liefert das Modell Hinweise. Auf die besondere Bedeutung von Transformer-Modellen, inklusive der neueren Feedback-Transformer-Architekturen^[3], für die regulatorische Compliance haben wir auf diversen Konferenzen bereits hingewiesen, ebenso wie auf die Probleme, vor allem in Bezug auf Wahrnehmungsverzerrungen („Bias“) von KI/ML. ChatGPT hat große Aufmerksamkeit geweckt und viel Zuspruch erfahren, jedoch sind für diese spezifische künstliche Intelligenz noch gänzlich andere Fragen kritisch zu stellen, die hier jetzt nicht verfolgt werden sollen. Aber sicherlich kann man voraussagen, dass im Bereich der AFC-Compliance der Technologieeinsatz − dazu gehört letztlich auch KI/ML − weiter zunehmen wird, um die Effektivität und Effizienz zu erhöhen.

Für die nähere Zukunft der AFC-Compliance sehen wir unter anderen auch die folgenden weiteren Themen, Signale und Trends:

Regulation & Aufsicht. Hierunter habe ich versucht, unsere wesentlichen Beobachtungen zu den Anforderungen und Verhaltensweisen der Regulatoren und Aufsichtsbehörden darzustellen, ohne hierbei auf neue oder Anpassungen bestehender Gesetze (AMLA, LkSG, EU Supply Chain Directive, EU AI Act und viele andere mehr) einzugehen. Ebenso habe ich spezielle Industriethemen unberücksichtigt gelassen wie Target2 im Zahlungsverkehr, welches in der EU dieses Jahr erfolgreich gelingen sollte, den Immobiliensektor, der sich einer verschärften Regulation und Aufsicht stellen darf, die sogenannten DNFBPs („Designated Non-Financial Businesses & Professions”), für die gleiches gelten wird, oder die Herausforderungen im Payments-Bereich und im eCommerce. Vielmehr behandele ich nachfolgend die allgemein gültigen Themen.

• Policy & Control Management. Ethisches Fehlverhalten von Mitarbeitern zu verhindern, ohne zusätzliche Regeln und Kontrollen einführen zu müssen und dabei zu berücksichtigen, dass Menschen nicht zwingend in allen Situationen rational handeln, bedarf eines Risikomanagementansatzes, der verhaltensbasiert funktioniert („Behavioral Risk Management“). Hiermit können sogenannte „Nudges“, also Denkanstöße und Erinnerungshilfen, ausgelöst werden, um dem Mitarbeiter Hilfestellung zu geben, sich im Rahmen der Regeln und Vorgaben zu verhalten. Dies ist ein weiterer Ansatz zur Prävention, der verhindern kann, dass überhaupt Probleme entstehen. Hier gibt es bereits die ersten Umsetzungserfahrungen, allerdings noch keine Best Practices.
• Compliance Resilience. Resilienz in diesem Verständnis folgt dem Konzept resilienter Gesellschaften von Markus Brunnermeier.^[4] Es besagt, dass es nicht nur um Widerstandsfähigkeit gehe, sondern um eine flexible Anpassungsfähigkeit an neue Bedingungen in einer Art, dass Gesellschaften dabei nicht dauerhaft und langfristig geschädigt werden. Wir sehen bei internationalen Aufsichtsbehörden, aber zunehmend auch innerhalb der EU, einen verstärkten Fokus bei Verpflichteten, eine solche Resilienz einzufordern und sie auch zu überprüfen. Dies geht einher mit einer deutlich abgesenkten Reaktionszeit für die Verpflichteten. Backtesting, Stress Testing und Ad-hoc-Simulationen der eingesetzten Monitoring- und Screening-Lösungen, sowie der Angemessenheit der Risikoanalysen stellen hier die großen Herausforderungen dar.
• Risk Assessment & Analysis. Die genannten Anforderungen der Regulation gegenüber Unternehmen, resilienter und agiler auch hinsichtlich der Compliance zu werden, führt zu einer deutlichen Betonung des regulatorischen Risikomodells und damit auch den Bereichen der Risikobewertung und der Risikoanalyse. Ich möchte es mal so formulieren: War ein jährlicher Blick auf die Risikobewertung in der Compliance bislang noch ausreichend, wird das in absehbarer Zeit nicht mehr so sein. Zwar sehen wir keine Indikation für eine wöchentliche Auseinandersetzung mit dem Thema, wohl aber quartalsweise, wenn nicht sogar monatlich, von Ad-hoc-Anfragen ganz zu schweigen. Das wird Compliance-Abteilungen in eine andere Form der Umsetzungsplanung und Kontrolle zwingen, die in anderen Bereichen längst Standard und sehr eng mit dem Bereich des „Enterprise Performance Management“ verbunden ist. Das aber wird in naher Zukunft noch eher in der Kür zu verorten sein. Zur Pflicht indes wird das Backtesting werden, welches in einigen Ländern und Regionen bislang eher als Randthema in der regulatorischen Compliance behandelt wurde. Was rechtfertigt genau jene Schwellwerte, genau jene Verhältniszahlen und genau diese gewählten Ausschlusskriterien? Auf diese Fragen haben Beauftragte besser Antworten parat und können auf ein systematisches Vorgehen verweisen. Ebenfalls Teil dieses Themenblocks sind die Eigentumsanalysen bei juristischen Personen, um gesetzeskonform den oder die wirtschaftlich Berechtigten zu identifizieren. Hier haben wir 2022 an den FATF-Konsultationen zur Empfehlung 24 teilgenommen. Die unabgestimmte und löchrige Umsetzung der Transparenzregister innerhalb der EU und die fehlende Governance seitens der Behörden führen dazu, dass auch im Jahr 2023 und der nahen Zukunft dieses Thema als Schwerpunktthema und Herausforderung für die Beauftragten anzusehen ist. Besserung ist derzeit nicht in Sicht. Siehe hierzu gerne auch unseren Blogbeitrag. [👉 Selina Trotno & Natalie Hürler: Vom Auffangregister zum Vollregister – Gehen die Neuerungen durch das TraFinG weit genug?] Allerdings gibt es immer mehr Marktintermediäre, die Lösungen in der Regel mit einem regionalen Fokus (zum Beispiel Russland und Ukraine oder Afrika) für qualitative Automatisierung anbieten. In diesem Bereich wird auch der Einsatz von Technologie im Einklang mit den verschärften Sanktionsregimen weiterhin stark zunehmen. Aus dem Bereich ESG („Environment, Social, Governance“) kommen ebenfalls neue Herausforderungen, die in die instituts- bzw. unternehmensspezifischen Risikomodelle und die Risikoanalysen aus unterschiedlichen Regulationen heraus ausstrahlen.
• Public-Private Partnerships & Private-Private Partnerships. Beides wird unserer Meinung nach zukünftig Beachtung finden und notwendig sein, um zu einer Besserung der Situation in der Bekämpfung von inkriminierter Geldern zu kommen. Es ist bei den öffentlich-öffentlichen Partnerschaften aber schon anzufangen. Man sollte meinen, den Financial Intelligence Units (FIUs) dieser Welt fällt es einfach, Daten so zu teilen, dass daraus konkrete Ansatzpunkte für die Strafverfolgung und für die Prävention effizient ableitbar sind. Dass dem nur bedingt zuzustimmen ist, hat vielerlei Gründe. Ein wesentlicher Grund sind unterschiedliche Datenschutzbestimmungen und natürlich unterschiedlich politisch motivierte Systeme. Da letzteres schwierig zu beeinflussen sein wird, sei im Bereich des Datenschutzes auf den technologischen Fortschritt verwiesen, der den Austausch unter Verwendung sogenannter „Privacy Enhancing Technologies“, kurz PET genannt, vereinfacht. Gerne verweise ich hierzu auch auf unseren Blogbeitrag zu dem Thema. [👉Natalie Hürler: Privacy-Enhancing Technologies (PETs) in the Fight Against Financial Crime]. Das ist dann auch ein Ansatz für die anderen Formen der Partnerschaften. Rein privatwirtschaftliche Partnerschaften werden am seltensten als probates Mittel für eine bessere Bekämpfung von Wirtschaftskriminalität gesehen. Zu groß ist hier die Angst vor Ablehnung durch die Aufsicht und zu groß die Angst vor Datenschutzproblemen. Doch wie soll in Zukunft die KYC-Compliance sichergestellt und effektiver werden, ohne dass dabei die Kosten und/oder die damit verbundenen Risiken exorbitant steigen? Unseres Erachtens ist das nur im unternehmensübergreifenden Austausch und in Zusammenarbeit möglich.

Im Bereich der Industrietreiber möchte ich aus der Summe der identifizierten Beobachtungen die nachfolgenden erwähnen:

• Metaverse & Web3. Die ersten Schritte im Metaverse für Banken und Finanzdienstleister und erst recht für die Consumer Brands sind gegangen. Vielmehr ist trotz milliardenschwerer Investitionen bislang nicht geschehen, obgleich das Metaverse der Gamer mit Roblox und Fortnite klar auf dem Vormarsch ist. Die nüchterne Bilanz des Metaverse mag auch mit dem schwellenden Streit begründet sein, wie Identitäten festgestellt und geschützt werden können, wem welche Daten gehören und welche Regulation wie zum Einsatz kommen kann/wird. Das Web3 fußt auf der Idee, dass das Eigentum an den Daten zwischen den Erstellern und Nutzern geteilt wird und so keine Dominanz großer Konzerne auftritt. Es soll die dezentrale Fortsetzung des Web2 sein, also des Internets, wie wir es heute kennen und erleben. Soweit die Theorie. Faktisch soll eine komplette digitale Ökonomie entstehen. Die ersten Geldautomaten im Metaverse gibt es schon, die Zahlungsdienstleister bereiten sich vor. Dennoch sehen wir die kommenden Monate hier noch eher als eine Spielwiese für das Bewerben und die Vermarktung. Beachtet man, dass es 15-20 Jahre gebraucht hat, bis das Internet die Bankenwelt getroffen hat, es aber nur 5-6 Jahre waren für das App-gestützte Mobile Banking, darf man annehmen, dass es mit dem Metaverse zumindest nicht länger dauern wird, vor allem wenn man bedenkt, dass auch die meisten Bereiche der Smart Cities das Web3 als Basis benötigen werden. Je näher man sich mit seinem Geschäftsmodell bereits an Kryptowährungen, NFTs und Smart Contracts befindet, umso schneller wird das Metaverse samt Web3 an Relevanz gewinnen, auch im AFC-Umfeld.
• Smart Contracts & NFTs. Fangen wir mit dem Einfacheren an, den Non-Fungible Tokens (NFTs). Diese eindeutigen Eigentumsnachweise sind ein Kernbestandteil des Web3, allerdings in ihrer Breitenadaption bereits deutlich vorangeschritten. Abseits ihres Daseins im Bereich digitaler Kunst stellen Handel und Tokenisierung interessante Features dar, die ein Wachstum von NFTs auch in naher Zukunft erwarten lassen. Ähnlich wie im Metaverse ist hier die Konsumgüterindustrie Vorreiter. Man sollte daher NFTs nicht nur auf eine Asset-Klasse reduzieren, sondern als interessante Technologie wahrnehmen. Dies gilt umso mehr für Smart Contracts. Das sind digitale Verträge in Form einer Anwendung, die auf der Blockchain-Technologie aufbaut. Diese intelligenten Verträge können durch ihre eigene Anwendung handeln, wenn bestimmte Bedingungen erfüllt werden, und bedürfen keiner menschlichen Überwachung. Die Vertragsparteien werden durch Token definiert. Es gibt die ersten Finanzprodukte, die auf Smart Contracts basieren und die Handelsfinanzierung erleichtern sollen. Auch in den Lieferketten von Handels- und Industrieunternehmen finden Smart Contracts zunehmend ihren Einsatz. Wir gehen davon aus, dass in Zukunft komplexere Handelskonstrukte, die einer gewissen Volatilität unterliegen und daher auch smarte Anpassungen dieser selbstausführenden Verträge benötigen, möglich sein werden. Wie weit das die handelsbezogene Geldwäsche hilft zu bekämpfen, hängt aber von der Akzeptanz und der zunehmenden Adaption der Technologie ab.
• Crypto Currencies. Abseits der Sichtweise als Spekulationsobjekt und weniger als Ersatz für Fiatwährungen wird diese Asset-Klasse weiterhin Bestand haben. Ob man den Kryptowinter als strukturellen Einbruch oder kontrollierten Crash bezeichnen mag, wird nichts daran ändern, dass Kryptowährungen uns erhalten bleiben werden. Aus Sicht der AFC-Compliance stellen sie ein risikobehaftetes Asset dar. Dies sollte zwingend Niederschlag im Risikomodell und der Risikoanalyse finden und wird so manchen Geldwäschebeauftragten vor Fragezeichen stellen. Nach dem Kollaps der Handelsplattform FTX und nun auch angeblichen Transparenzproblemen bei Binance sehen sich die Kryptobörsen einer gesteigerten Aufmerksamkeit der Aufsicht gegenüber. In diesen Fällen allerdings eher in Bezug auf das Aufklären möglicher Betrugsszenarien, konkret im Bereich der Finanzberichterstattung. So oder so steht den Kryptobörsen in den kommenden Monaten nach dem Kryptowinter zumindest noch ein frostiger Frühling bevor.

Effektivität & Effizienz. Man ist geneigt, diesen Punkt immer als technologisch motiviert zu betrachten. Dem ist nicht so! Zwar nehmen in diesem Bereich die Themen Automatisierung und KI/ML einen großen Raum in der Diskussion ein, doch wäre es fatal anzunehmen, dass ausschließlich mittels Technologie eine Besserung der Situation herbeigeführt werden könne. Technologie – ob neu oder geändert – sollte immer auch eine Adaption der Prozesse und gegebenenfalls der Aufbauorganisation nach sich ziehen oder dies der Technologie gar vorausgehen.

• Compliance Resilience adressiert die Effektivitätsperspektive und stellt eine zunehmende Herausforderung für Verpflichtete dar. Um das effizient zu bewerkstelligen, bedarf es Konzepte. Technologien und Techniken sind vorhanden. Ein solches Konzept stellen wir im Rahmen unserer AFC-Governance-Initiative in Kürze vor. Dies sehen wir als einen langfristigsten Schwerpunkt, dem sich Verpflichtete, Systemanbieter und -integratoren in den kommenden Jahren stellen müssen.
• Technologie-Einsatz. In der gleichen Ecke würde ich die zunehmende Nutzung von Automatisierungstechniken sowie die KI-Adoption sehen. Neben der weiteren Verwendung von robotergestützter Prozessautomatisierung („Robotic Process Automation” (RPA)) sei auch das Thema der „Entity Resolution“ (ER) erwähnt, welches zu einer Qualitätsverbesserung und damit zu einer Automatisierung von Entscheidungen im Bereich der KYC-Prozesse verstärkt beitragen wird. Bezogen auf die KI sei auf das bunq-Urteil^[5] verwiesen, welches sicherlich eine weitere KI-Adaption in der regulatorischen Compliance nach sich ziehen wird. An den Anwendungsfällen ändert sich unserer Meinung nach wenig. Diese sind bekannt und sollten – unter Berücksichtigung der Anwendungsrichtlinien der Regulatoren, aber auch der spezifischen Regulation (Stichwort hier unter anderem der EU AI Act oder der New York AI Bias Act) – wohl überlegt implementiert werden. Die KI ist Ergänzung und nicht zwingend Ersatz für bestehende regelbasierte Systeme. Auch hier zeigen unsere Untersuchungen in der Anbieterlandschaft (AML/KYC-Anwendungsanbieter) eine zunehmende Offenheit, die von existierenden Schnittstellen zu KI-Modellen bis hin zur Einbettung dieser Modelle reichen. Kooperation und Koexistenz statt Wettbewerb und Ersatz also. Als Schlüsseltechnologie würde man hier aber bei einer (Teil-) Ablösung von regelbasierten Systemen zwingend den Bereich der erklärbaren KI („Explainable AI“) nennen müssen. Aufgrund der Tatsache, dass es kaum verlässliche Trainingsdaten gibt − von den unscharfen FIU-Reports und deren zugrunde liegenden Daten einmal abgesehen − ist es umso wichtiger, Modellverzerrungen zu erkennen und die Ergebnisfindung verstehen zu können. Darüber hinaus seien „Digital Twins“ für die Abarbeitung von Spitzen in der Fallbearbeitung sowie der Bereich des „Natural Language Processing“ (siehe hierzu den oben erwähnten ChatGPT) für die Falldisposition und/oder die Vorbewertung von aufgeworfenen Fällen genannt. Je stärker KI/ML im AFC-Bereich Einzug halten, umso wichtiger werden dann auch die Themen des Betriebs und der zuverlässigen und effizienten Bereitstellung („Machine Learning Operations” (MLOps)).
• Datenintegration, Datenqualität & Datenschutz. Datenqualität ist ein müßiges Thema, welches mindestens so alt ist wie meine bisherige Berufslaufbahn. Zum einen wird von einigen Regulatoren, dazu zählt u. a. die Bafin, eingefordert, im Bedarfsfall Maßnahmen zur Verbesserung der Datenqualität herbeizuführen. Zum anderen kommt der Qualität der Daten eine ungleich höhere Bedeutung zu, wenn man mit KI/ML-Methoden arbeiten möchte. Insofern bestehen in der AFC-Compliance zwei Motivationen, aktiv zu werden, so unliebsam das Thema auch sein mag. Eine Bewertung der entsprechenden Anwendungshinweise der Bafin zu diesem Punkt kann man hier finden: 👉Mirko Janyga: Ziffer 6 der AuA BT – BaFin Konkretisierungen zu Monitoringsystemen hilfreich, 👉Uwe Weber: Die Auswirkungen mangelhafter Datenqualität auf die Compliance. Datenintegration ist ein Teil der Datenqualität, stellt aber speziell im traditionellen Bankenumfeld eine ganz eigene Herausforderung bei der digitalen Transformation dar, auch im AFC-Bereich. Für Neobanken gilt das weniger aufgrund des Fehlens einer IT-Systemhistorie. Dass das Thema strategisch relevant ist, ist seit geraumer Zeit bekannt. Ob das in dem aktuellen wirtschaftlichen Umfeld angegangen wird, bleibt fraglich. Das Thema Datenschutz ist auch kein neues. Aber im Zusammenhang mit den oben genannten Punkten der Public-Public, Public-Private und Private-Private Partnerships wird das zwangsweise bei FIUs, Beauftragten, aber auch bei Industrieunternehmen in der Compliance ein dringendes Thema im Jahr 2023 und in Folgejahren darstellen. Ich möchte auch die Synthetisierung von Daten in Zusammenhang mit den oben erwähnten KI/ML-Techniken erwähnen, die sehr vorteilhaft zum Beispiel für das Backtesting ist. Gerade letzteres wird dieses Jahr, wie oben im Bereich der Regulation beschrieben, für die Überwachung der Risikomodelle, neudeutsch Model Governance, eine große Bedeutung haben.
• Total Cost of Ownership. Bei all den IT-Initiativen, der Vielzahl der Systeme, Systemkomponenten und der hohen Integrationspunkte im Bereich AFC rücken in der aktuellen wirtschaftlichen Situation auch die Kosten von AFC-Compliance verstärkt in den Blickpunkt. Neben der Standardisierung der Systeme, der Homogenisierung der Systemlandschaft und der verbesserten Integration der Daten stellt sich vermehrt die Frage, ob eine simple Reduzierung auf eine One-Vendor-Strategie nicht ebenso problematisch ist wie das andere Extrem, die Best-in-Class-Strategie. Komplettiert wird die Diskussion um das Outsourcing auf der einen und das Insourcing auf der anderen Seite. Beides auch getrieben von der ein oder anderen Regulation, zum Beispiel AMLA. So kommen in der AFC-Compliance neben den eigentlichen Softwaresystemen auch die Betriebsmodelle auf den Prüfstand.

Man könnte sehr viel mehr schreiben, doch stellen die oben angeführten Punkte meines Erachtens eine gute Mischung aus aktuell diskutierten und für die nahe Zukunft zu erwartenden Herausforderungen dar. AFC-Compliance bleibt, wenig überraschend, auch im Jahr 2023 ein anspruchsvolles Thema sowohl in Punkto Effektivität als auch notwendiger Effizienzverbesserung und Verhältnismäßigkeit der Mittel.

^[1] ChatGPT Dec 15 Version in a Free Research Preview; Original Question: “Got any ideas to improve combatting financial crime?”

^[2] Transformer bezeichnet ein Deep-Learning-Modell, welches auf sequentiellem Dateninput basiert, der aber parallelisiert werden kann und damit hilft, die Trainingszeit deutlich zu reduzieren.

^[3] Der Begriff „Feedback Transformer“ entstammt einem Forschungspapier vom 25.01.2021 der Autoren Angela Fan, Thibaut Lavril, Edouard Grave, Armand Joulin, Sainbayar Sukhbaatar, sämtlich von Facebook AI Research, in dem Limitationen von herkömmlichen Transformer-Modellen ebenso aufgezeigt wurden wie die mögliche Beseitigung dieser Einschränkungen. Wir empfinden den Begriff tendenziell irreführend und verwenden in der Regel den Begriff „rekursiver Transformer. Hierbei werden alle Layer in einem Vektor pro Zeitschritt dem Modell-Gedächtnis zugeführt, nicht nur die Repräsentationen der niedrigeren Ebenen. Daraus entstehen deutlich leistungsfähigere Modelle.

^[4] Vgl. Brunnermeier, M. K. (2021), The Resilient Society, 2^nd Edition.

^[5] Am 18.10.2022 urteilte das zuständige Gericht in Amsterdam, dass die Neobank bunq zur Bekämpfung von Geldwäsche sehr wohl auf Methoden der künstlichen Intelligenz zurückgreifen könne. Unter anderem das wurde von der niederländischen Zentralbank bislang abgelehnt. In dem Urteil werden allerdings auch Mängel der Bank in der Effektivität des Monitorings vor allem im Bereich der Kundenrisikoklassifizierung bestätigt. Sowohl die DNB als auch bunq sehen ihre Meinungen in dem Urteil bestätigt. In Bezug auf den Einsatz moderner Technologie zur Bekämpfung der Geldwäsche hat die DNB auf Basis des Urteils angekündigt, in den Dialog mit dem Finanzsektor zu gehen.