Noch fünf Tage: AMLAs RTS zur Risikoeinstufung für den Nichtfinanzsektor

Die meiste Aufmerksamkeit rund um die Arbeit der AMLA an der aufsichtlichen Risikoeinstufung galt bisher dem Finanzsektor und der Auswahl der Institute für die direkte Aufsicht. Für den Nichtfinanzsektor entsteht ein eigenes Instrument, und dessen Konsultation steht kurz vor dem Abschluss. Die Konsultation der AMLA zum Entwurf einer RTS zur Bewertung des inhärenten und des Restrisikoprofils von Verpflichteten im Nichtfinanzsektor wurde am 13. Juli 2026 eröffnet, die öffentliche Anhörung fand am 10. September 2026 statt, und die Konsultation endet am Sonntag, 27. September 2026. Status auf der Liste des AMLR Monitor: In Konsultation. Dieser Artikel erläutert, was der Entwurf vorsieht, warum er Rechtsanwälte, Notare, Wirtschaftsprüfer, Steuerberater, Dienstleister für Trusts und Gesellschaften, Immobilienmakler, Güterhändler und Glücksspielanbieter betrifft, obwohl er sich an deren Aufsichtsbehörden richtet, und worauf sich eine Stellungnahme konzentrieren sollte.

Woher das Mandat stammt

Rechtsgrundlage ist Artikel 40 Absatz 2 AMLD6 (Richtlinie (EU) 2024/1640). Artikel 40 verpflichtet die Aufsichtsbehörden, einen risikobasierten Ansatz anzuwenden und Häufigkeit und Intensität ihrer Vor-Ort- und Fernaufsicht anhand des inhärenten und des Restrisikoprofils jedes Verpflichteten in Bezug auf Geldwäsche und Terrorismusfinanzierung festzulegen. Artikel 40 Absatz 2 beauftragt die AMLA, technische Regulierungsstandards zu entwerfen, die die Benchmarks und die Methodik für diese Bewertung und Einstufung festlegen.

Die AMLA erfüllt das Mandat mit zwei Instrumenten unter demselben Artikel:

• Die RTS für den Finanzsektor, ursprünglich von der EBA entworfen, deren Zuständigkeit den Nichtfinanzsektor nicht umfasste. Die AMLA veröffentlichte den Abschlussbericht am 16. Dezember 2025; der Juristische Dienst der Kommission bat um Klarstellungen, und die AMLA strebt eine Finalisierung vor Ende 2026 an. Status: Endgültiger Text, Veröffentlichung ausstehend.
• Die RTS für den Nichtfinanzsektor, Gegenstand dieser Konsultation. Endgültiger Entwurf für Q4 2026 geplant. Status: In Konsultation.

Verpflichtete des Nichtfinanzsektors werden von Behörden oder, nach Artikel 37 AMLD6, von Selbstverwaltungseinrichtungen wie Rechtsanwaltskammern, Notarkammern und Wirtschaftsprüferkammern beaufsichtigt. Die Methodik wird für beide verbindlich sein.

Was der Entwurf vorschlägt

Laut Pressemitteilung und Konsultationspapier legt der Entwurf eine gemeinsame Methodik fest, die jede Aufsichtsbehörde in der EU zur Bewertung und Einstufung des Geldwäsche- und Terrorismusfinanzierungsrisikoprofils der von ihr beaufsichtigten Verpflichteten anwenden würde. Die wesentlichen Gestaltungsentscheidungen:

• Zwei Ebenen: inhärentes Risiko (die Exposition, die sich aus Tätigkeit, Kunden, Geografie, Produkten und Vertriebskanälen ergibt) und Restrisiko (was nach den Kontrollen verbleibt). Das Ergebnis ist eine Einstufung in Risikokategorien, die Häufigkeit und Intensität der Aufsicht bestimmt.
• Tätigkeitsspezifische Datenpunkte. Eine kleine Anwaltskanzlei, ein Immobilienmaklerbüro und ein Fußballverein sind unterschiedlichen Risiken ausgesetzt, daher definiert der Entwurf je Tätigkeit eigene Sätze von Datenpunkten statt eines einzigen Fragebogens für den gesamten Sektor.
• Ein reduzierter Satz von Datenpunkten für kleinere Verpflichtete sowie die Anweisung an die Aufsichtsbehörden, soweit möglich auf bereits vorhandene Daten zurückzugreifen, um die Meldekosten zu begrenzen.
• Ein Anwendungsbeginn am 31. Dezember 2028, deutlich nach dem Geltungsbeginn von AMLR und AMLD6 am 10. Juli 2027.

Die AMLA fragt nach der Methodik selbst, der Relevanz und Verhältnismäßigkeit der Datenpunkte, der Behandlung kleiner Verpflichteter, der operativen Umsetzbarkeit des Melderahmens und den erwarteten Umsetzungskosten. Weitere Vorschläge zur Verringerung der Belastung kleiner Verpflichteter und nationaler Aufsichtsbehörden sind willkommen. Die Konsultation verwendet sektorspezifische Umfragen: Ein Teilnehmer beantwortet nur die Umfrage für seine eigene Tätigkeit.

Alles Vorstehende ist ein Vorschlag. Die AMLA hat noch keinen endgültigen Entwurf veröffentlicht, die Kommission muss den Standard noch annehmen, und die Datenpunkte und Schwellenwerte können sich ändern.

Warum ein Verpflichteter sich um einen Standard kümmern sollte, der sich an Aufsichtsbehörden richtet

Vier Gründe, diese RTS nicht als Problem der Aufsichtsbehörde abzutun:

1. Sie entscheidet, wie oft Sie Ihre Aufsichtsbehörde sehen. Nach Artikel 40 AMLD6 bestimmt die Risikokategorie Häufigkeit und Intensität der Prüfungen. Ein Verpflichteter, der wegen unvollständiger oder ungünstiger Datenpunkte in einer höheren Kategorie landet, wird mehr aufsichtliche Aufmerksamkeit erhalten.
2. Die Datenpunkte werden zu Ihrer Meldepflicht. In der Praxis bedeutet die Methodik regelmäßige Datenanforderungen an die Verpflichteten: Anzahl und Art der Kunden, Anteil gebietsfremder Kunden oder Kunden aus Hochrisikoländern, Bargeldvolumen, Transaktionen mit hohem Wert, Mitarbeiterzahlen, Schulungen und Stand der Kontrollen. Viele kleine Unternehmen verfügen über diese Informationen, aber nicht in einer Form, die sich jedes Jahr zuverlässig extrahieren lässt.
3. Das Restrisiko ist eine Bewertung Ihres Kontrollrahmens. Die Kontrollen, die die Methodik betrachten wird, sind diejenigen, die die AMLR ohnehin verlangt: interne Grundsätze, Verfahren und Kontrollen, die Ihrer Größe und Ihrem Risiko angemessen sind (Artikel 9 AMLR), die unternehmensweite Risikobewertung (Artikel 10 AMLR), die Compliance-Funktionen (Artikel 11 AMLR), Schulung und Sensibilisierung (Artikel 12 AMLR) und Integritätsprüfungen der Mitarbeiter (Artikel 13 AMLR). Sind diese dokumentiert, ergibt sich die Restrisikobewertung daraus; existieren sie nur in der Praxis, nicht.
4. Sie ist mit der Durchsetzung verknüpft. Die RTS zu Geldbußen, verwaltungsrechtlichen Maßnahmen und Zwangsgeldern (Status: Endgültiger Text, Veröffentlichung ausstehend) gibt den Aufsichtsbehörden ein harmonisiertes Raster zur Einstufung von Verstößen; die Risikokategorie eines Verpflichteten wird beeinflussen, wie eine Aufsichtsbehörde auf eine Feststellung reagiert.

Es gibt auch einen Vorteil: Derselbe Berufsstand wird in jedem Mitgliedstaat nach denselben Maßstäben bewertet, was grenzüberschreitende Wirtschaftsprüfungsnetzwerke und Anwaltskanzleien seit langem fordern.

Zwei Punkte, die Sie in Ihrer Stellungnahme prüfen sollten

Die Definition und Behandlung kleiner Verpflichteter. Die Verhältnismäßigkeit des Entwurfs beruht auf einem reduzierten Datensatz für kleine Verpflichtete. Prüfen Sie, ob das Größenkriterium zu Ihrem Berufsstand passt: Ein Notariat mit zwei Partnern und ein Dienstleister für Trusts und Gesellschaften mit zwei Personen sind beide klein, doch ihr inhärentes Risiko und die Daten, die etwas Aussagekräftiges über sie sagen, unterscheiden sich. Legen Sie dar, ob der Schwellenwert für "klein" so gemessen wird, dass Sie ihn nachweisen können.

Umsetzbarkeit der Datenpunkte für Ihre Tätigkeit. Kennzeichnen Sie jeden für Ihren Sektor vorgeschlagenen Datenpunkt als jetzt verfügbar, mit Aufwand verfügbar oder nicht verfügbar. Eine Stellungnahme, die das fehlende Systemfeld benennt und einen praktikablen Ersatzindikator anbietet, ist für die AMLA weit nützlicher als eine allgemeine Beschwerde über die Belastung. Weisen Sie außerdem darauf hin, wo die Aufsichtsbehörde oder Selbstverwaltungseinrichtung die Daten bereits über Mitgliederverzeichnisse oder Jahresmeldungen erhält, denn der Entwurf fordert die Aufsichtsbehörden auf, zuerst vorhandene Daten zu nutzen.

Abstimmung mit Ihrer eigenen Risikobewertung

Die Leitlinien zur unternehmensweiten Risikobewertung (Status: Konsultation abgeschlossen, in Finalisierung; endgültiger Entwurf für Q4 2026 geplant) legen fest, wie Verpflichtete ihr eigenes inhärentes Risiko und ihre Kontrollen nach Artikel 10 AMLR bewerten. Es ist zu erwarten, dass die von den Aufsichtsbehörden verwendeten Dimensionen des inhärenten Risikos denen in der eigenen Bewertung des Verpflichteten entsprechen. Wird die unternehmensweite Risikobewertung entlang derselben Achsen aufgebaut (Kunden, Geografie, Produkte und Dienstleistungen, Vertriebskanäle sowie das von der AMLR hinzugefügte Risiko der Sanktionsumgehung), stammen die gemeldeten Zahlen und die Zahlen in Ihrer eigenen Bewertung aus einer Quelle. Abweichungen zwischen beiden sind das Erste, wonach ein Prüfer fragen wird.

Zeitplan

• 27. September 2026: Ende der Konsultation.
• Q4 2026: geplante Übermittlung des endgültigen Entwurfs an die Kommission.
• 2027: Annahme durch die Kommission als delegierte Verordnung, Prüfung durch Parlament und Rat, Veröffentlichung im Amtsblatt; noch keine Termine festgelegt.
• 10. Juli 2027: Geltungsbeginn der AMLR, Umsetzungsfrist der AMLD6.
• 31. Dezember 2028: vorgesehener Anwendungsbeginn der Methodik.

Die ersten harmonisierten Einstufungen werden höchstwahrscheinlich auf Daten aus dem ersten vollen Jahr unter der AMLR beruhen, sodass sich die Datenerhebungsgewohnheiten, die ein Verpflichteter 2027 entwickelt, in seiner ersten Risikokategorie niederschlagen werden.

Was jetzt zu tun ist

• Wenn Ihr Unternehmen oder Ihre Berufsorganisation noch nicht geantwortet hat, beantworten Sie die sektorspezifische Umfrage vor dem 27. September 2026 und konzentrieren Sie sich auf die beiden oben genannten Punkte: die Behandlung kleiner Verpflichteter und die Umsetzbarkeit jedes Datenpunkts für Ihre Tätigkeit.
• Stimmen Sie sich mit Ihrer Selbstverwaltungseinrichtung oder Ihrem Berufsverband ab; eine konsolidierte Stellungnahme mit konkreten Beispielen hat mehr Gewicht als ein Dutzend einzelner.
• Lesen Sie den Abschlussbericht für den Finanzsektor vom 16. Dezember 2025, um die Richtung zu erkennen; die Struktur wird sich voraussichtlich nicht grundlegend unterscheiden.
• Beginnen Sie mit einer Datenbestandsaufnahme: Halten Sie für jeden wahrscheinlichen Datenpunkt fest, wo die Information liegt, wer dafür verantwortlich ist und wie sie extrahiert wird. Schließen Sie die Lücken 2027, nicht 2028.
• Machen Sie die Kontrollen hinter der Restrisikobewertung nachweisbar: eine genehmigte unternehmensweite Risikobewertung, schriftliche Grundsätze, ein namentlich benannter Compliance-Beauftragter und Compliance-Manager, Schulungsnachweise und Integritätsprüfungen, jeweils mit Datum und Verantwortlichem.
• Verfolgen Sie den endgültigen Entwurf in Q4 2026, damit der Aufbau des Meldewesens 2027 auf die angenommenen Datenpunkte zielt, nicht auf die konsultierten.

Das Dashboard des AMLR Monitor verfolgt diese RTS, ihr Gegenstück für den Finanzsektor, die Sanktions-RTS und die Leitlinien zur unternehmensweiten Risikobewertung, mit Statusänderungen, sobald AMLA und Kommission sie veröffentlichen.