Die Leitlinien zur unternehmensweiten Risikoanalyse: was die Konsultation von Ihnen verlangt
AMLA hat bis zum 15. Juli 2026 Leitlinien zur unternehmensweiten Risikoanalyse nach Artikel 10 AMLR konsultiert und stellt sie derzeit fertig. Die erwartete Struktur, die Verbindung zur Aufsichtsmethodik und was sich für Institute mit einer SIRA ändert.
21. September 2026. Correction: the consultation had closed on 15 July 2026 when this article appeared; AMLA is finalising the guidelines for the fourth quarter of 2026. Statuses and dates in this article were aligned with AMLA's publications (regulatory instruments overview of 4 September 2026, Single Programming Document 2026-2028). AMLA has published no final guideline yet; where an EBA guideline exists on a topic it continues to apply until AMLA replaces it.
Artikel 10 AMLR verpflichtet jeden Verpflichteten, die Risiken der Geldwäsche und Terrorismusfinanzierung, denen er ausgesetzt ist, zu ermitteln und zu bewerten, die Bewertung zu dokumentieren, sie aktuell zu halten und der Aufsichtsbehörde zur Verfügung zu stellen. Der Entwurf der AMLA-Leitlinien zur unternehmensweiten Risikoanalyse, der bis zum 15. Juli 2026 konsultiert wurde und nun für das vierte Quartal 2026 fertiggestellt wird, beschreibt, wie dies erwartungsgemäß zu geschehen hat. Für niederländische Institute ist dies der Nachfolger der SIRA, die die DNB seit 2015 verlangt; für Institute anderswo kann es neu sein.
Die Struktur, die die Leitlinien erwarten
Der Entwurf folgt einer vertrauten Logik: inhärentes Risiko je Risikofaktor, die Kontrollen, die es adressieren, und das verbleibende Restrisiko. Die Risikofaktoren sind die in der AMLR genannten: Kunden, Länder und geografische Gebiete, Produkte und Dienstleistungen, Transaktionen und Vertriebskanäle sowie die Ergebnisse der supranationalen und nationalen Risikobewertungen. Was die Leitlinien hinzufügen, ist Präzision bei der Granularität (je Geschäftsbereich, je Einheit einer Gruppe, je Land) und bei den Nachweisen: welche Daten jede Einstufung stützen und wer sie genehmigt hat.
Die Verbindung zur Aufsicht
Die RTS zur Risikobewertung für Finanzaufsichtsbehörden, im Dezember 2025 an die Kommission übermittelt, legt die Methodik fest, mit der Aufsichtsbehörden Verpflichtete einstufen; ein separater Entwurf für den Nichtfinanzsektor befindet sich bis zum 27. September 2026 in Konsultation. Die Leitlinien sind deren Spiegelbild auf Seiten des Verpflichteten. Wo Ihre eigene Analyse und das Risikoprofil der Aufsichtsbehörde voneinander abweichen, sind Fragen zu erwarten. Eine gut dokumentierte unternehmensweite Risikoanalyse ist daher auch Ihr bestes Argument im Dialog mit der Aufsicht.
Was sich für Institute ändert, die bereits eine SIRA haben
- Die Frequenz wird ereignisgesteuert. Eine jährliche Aktualisierung bleibt das Minimum, aber ein neues Produkt, ein neuer Markt oder eine wesentliche Veränderung des Kundenstamms löst eine Aktualisierung aus.
- Gruppenperspektive. Mutterunternehmen müssen neben den Sichten der einzelnen Einheiten eine gruppenweite Sicht darlegen können.
- Rückverfolgbarkeit zu Kontrollen. Jedes Restrisiko muss auf die Grundsätze, Verfahren und Kontrollen nach Artikel 9 verweisen, die es mindern, sowie auf die Überwachung, die belegt, dass die Kontrollen wirken.
- Einbindung des Leitungsorgans. Der Compliance-Manager stellt die Analyse vor; die Genehmigung wird festgehalten.
Was jetzt zu tun ist
- Vergleichen Sie Ihre aktuelle SIRA-Struktur mit dem Entwurf: dieselben Risikofaktoren, dieselbe Granularität, dieselben Nachweise?
- Erstellen Sie die Verknüpfungstabelle zwischen Restrisiken und Kontrollen, falls Sie noch keine haben; sie ist das Element, das Aufsichtsbehörden zuerst anfordern.
- Legen Sie die Sicht auf Gruppenebene jetzt fest, wenn Sie ein Mutterunternehmen sind; sie bestimmt die Berichtslinien der Compliance-Funktion.
- Die Konsultation ist abgeschlossen; wenn Sie ein kleiner Verpflichteter sind, prüfen Sie den endgültigen Text zur Verhältnismäßigkeit, da der Entwurf dieselbe Logik bei jeder Größe erwartet, mit geringerer Tiefe.
Das Dashboard verfolgt diese Leitlinien unter Strategy & Risk; im Workspace können Sie festhalten, wo die Analyse steht.