Auslagerung und Rückgriff auf Dritte nach der AMLR: Was das Haus verlassen darf und was bleiben muss
Artikel 18 setzt der Auslagerung von AML-Aufgaben harte Grenzen; die Artikel 48 und 49 regeln den Rückgriff auf andere Verpflichtete. Welche Aufgaben im Haus bleiben, was Verträge enthalten müssen und was die geplanten Leitlinien der AMLA ergänzen werden.
21. September 2026. Correction: the AMLA guidelines on outsourcing and on reliance are due by 10 July 2027 and have not been consulted yet. Statuses and dates in this article were aligned with AMLA's publications (regulatory instruments overview of 4 September 2026, Single Programming Document 2026-2028). AMLA has published no final guideline yet; where an EBA guideline exists on a topic it continues to apply until AMLA replaces it.
Viele Institute wickeln Teile ihres AML-Programms über Konzern-Servicecenter oder Dienstleister ab: Identitätsprüfung, Screening, Transaktionsmonitoring, sogar Fallbearbeitung. Die AMLR erlaubt die Auslagerung, aber Artikel 18 zieht Grenzen, die manche bestehenden Vereinbarungen überschreiten.
Aufgaben, die nicht ausgelagert werden dürfen
Die unternehmensweite Risikobewertung, die Compliance-Funktionen (Compliance-Manager und Compliance-Beauftragter), die Genehmigung von Strategien und Verfahren sowie die Entscheidung, ob eine Transaktion verdächtig ist und gemeldet werden muss, verbleiben beim Verpflichteten. Ein Dienstleister darf die Analyse vorbereiten; die Entscheidung und die Meldung liegen bei Ihnen.
Bedingungen für das, was ausgelagert werden darf
- Eine schriftliche Vereinbarung, die die Aufgaben, die Standards, das Prüfungsrecht und den Zugang der Aufsichtsbehörde festlegt.
- Der Verpflichtete bleibt verantwortlich und muss die Kontrolle nachweisen können: Leistungsüberwachung, Meldung von Vorfällen, Ausstiegspläne.
- Die Auslagerung an einen Anbieter in einem Drittland erfordert Aufmerksamkeit für den Datenschutz und für die Möglichkeit der Aufsichtsbehörde, Informationen zu erhalten.
- Die Aufsichtsbehörde muss informiert werden, wo das nationale Recht dies verlangt.
Rückgriff ist etwas anderes als Auslagerung
Nach den Artikeln 48 und 49 AMLR darf ein Verpflichteter auf die von einem anderen Verpflichteten durchgeführte Sorgfaltsprüfung gegenüber Kunden zurückgreifen, zum Beispiel eine Bank auf die von einer anderen Bank vorgenommene Identifizierung. Der Rückgriff ist eine Beziehung zwischen zwei Verpflichteten, die beide der AMLR unterliegen; die Auslagerung ist eine Beziehung zu einem Dienstleister, der in Ihrem Auftrag handelt. In beiden Fällen bleibt der zurückgreifende oder auslagernde Verpflichtete verantwortlich, aber die Dokumentation unterscheidet sich: Für den Rückgriff werden die Leitlinien zum Rückgriff festlegen, was Sie erhalten müssen und wann.
Die Leitlinien-Entwürfe der AMLA
Die Leitlinien zur Auslagerung (Artikel 18 Absatz 8) und zum Rückgriff (Artikel 50), beide bis zum 10. Juli 2027 fällig und noch nicht konsultiert, werden voraussichtlich Erwartungen festlegen an die Sorgfaltsprüfung vor Eingehen der Vereinbarung, an das Konzentrationsrisiko, wenn viele Institute denselben Anbieter nutzen, und an die Aufbewahrung einer Kopie der Kundenakte durch den zurückgreifenden Verpflichteten.
Was jetzt zu tun ist
- Erfassen Sie jede AML-Aufgabe, die von einer Konzerngesellschaft oder einem Dienstleister wahrgenommen wird, und klassifizieren Sie sie: verboten, Auslagerung, Rückgriff oder bloße Technologie.
- Überarbeiten Sie Vereinbarungen, denen Prüfungsrechte oder der Zugang der Aufsichtsbehörde fehlen.
- Stellen Sie sicher, dass die Entscheidung, eine verdächtige Transaktion zu melden, nachweislich von Ihren eigenen Mitarbeitern getroffen wird.
Das Dashboard verfolgt beide Leitlinien unter Governance; der Readiness-Tracker enthält Blöcke für Auslagerung und Rückgriff auf Dritte.