Datum: 2026-10-29
Ab dem 10. Juli 2027 gilt die EU-AML-Verordnung unmittelbar (Art. 90 EU-AML-VO). Wie Ihre unternehmensweite Risikoanalyse dann aussehen muss, prägen zwei Texte der AMLA: eine Leitlinie, die sich an Sie als Verpflichtete richtet, und technische Regulierungsstandards (RTS), nach denen Ihre Aufsicht Ihr Risikoprofil berechnet. Beide denken in denselben drei Stufen – inhärentes Risiko, Sicherungsmaßnahmen (Kontrollen), Restrisiko –, kommen methodisch aber nicht zur Deckung.
Wie bewertet die Aufsicht künftig Ihr Risiko?
Die Aufsicht bewertet Sie künftig im Kern nach festen Rechenregeln. Die Methodik dafür legt die AMLA in RTS fest (Art. 40 Abs. 2 AMLD6). Ihr Unternehmen liefert vorgegebene Datenpunkte, aus denen die Aufsicht ein inhärentes Risiko und eine Bewertung Ihrer Kontrollqualität errechnet, jeweils auf einer Skala von 1 bis 4. Aus beiden Werten ergibt sich Ihr Restrisiko, das einer von vier Klassen zugeordnet wird: gering, mittel, erheblich oder hoch.
Was gute Maßnahmen dabei bewirken, zeigt ein bewusst extremes Beispiel aus dem Finanzsektor: Angenommen, die Aufsicht setzt Ihr inhärentes Risiko mit 4 an und bewertet Ihre Maßnahmen mit 1, der bestmöglichen Note. Das arithmetische Mittel ergibt 2,50 – und genau dort beginnt die Klasse „erheblich". Selbst perfekte Kontrollen senken das Ergebnis in diesem Fall also nur um eine Stufe. Im Nichtfinanzsektor wirken Maßnahmen nach dem aktuellen Entwurf noch schwächer, weil dort ein gewichtetes Mittel zugunsten des inhärenten Risikos gelten soll.
Aus diesem Risikoprofil leitet die Aufsicht ab, wie oft und wie intensiv sie Sie prüft. Wann das greift, ist gestaffelt: Für den Finanzsektor liegt der Abschlussbericht der AMLA seit Dezember 2025 vor. Angenommen ist der Standard noch nicht, gelten soll er ab dem 31.12.2027. Für den Nichtfinanzsektor sieht der Entwurf grundsätzlich den 31.12.2028 vor, für Profifußballvereine und Spielervermittler ein Jahr später.
Was verlangt die Leitlinie von Ihrer eigenen Risikoanalyse?
Die Leitlinie nach Art. 10 Abs. 4 EU-AML-VO legt Mindestinhalte fest, schreibt aber keine Rechenmethode vor. Der Konsultationsentwurf vom 16.04.2026 – die finale Fassung wird bis Jahresende erwartet – verlangt vier Bausteine:
einen Überblick über Ihr Geschäft – Struktur, Kunden, Produkte, Vertriebswege, Geografie und Auslagerungen,
die Ermittlung und Bewertung der inhärenten Risiken über Kunden, Produkte, Vertriebswege und Geografie hinweg,
die Bewertung Ihrer Sicherungsmaßnahmen nach Angemessenheit und Wirksamkeit,
das Restrisiko je Einzelrisiko und als Gesamtexposition.
Anspruchsvoll ist vor allem der dritte Baustein: Es genügt nicht, dass eine Maßnahme existiert – Sie müssen belegen, dass sie wirkt, etwa mit Berichten der Revision, des Wirtschaftsprüfers oder eines externen Audits. Neu ist zudem das Sanktionsrisiko: Nach Art. 10 Abs. 1 EU-AML-VO bewerten Sie auch das Risiko, dass gezielte finanzielle Sanktionen nicht umgesetzt oder umgangen werden – nach dem Leitlinienentwurf entweder als Teil der Risikoanalyse oder in einer eigenen Bewertung.
Bei Skala, Klassen und Gewichtung haben Sie Spielraum: Wichtigere Faktoren erhalten mehr Gewicht, aber keiner darf das Ergebnis unverhältnismäßig bestimmen, und die Begründung gehört in Ihre Methodik (Rn. 15 f. der Leitlinie). Formal ist die Leitlinie kein Gesetz, doch Verpflichtete sollen alle erforderlichen Anstrengungen unternehmen, ihr nachzukommen (Art. 54 Abs. 3 AMLA-VO). Wer abweicht, muss das gut begründen.
Wo passen Leitlinie und RTS nicht zusammen?
Verbunden sind beide Texte über die Daten, nicht über die Berechnung: Nach Rn. 23 der Leitlinie sollen Sie mindestens die Datenpunkte der RTS heranziehen. Deren Skala, Gewichte und Formel übernimmt die Leitlinie aber nicht. Daraus ergeben sich drei Bruchstellen:
Gewichtung: Die RTS geben Risikokategorien mit höherer Bewertung mehr Gewicht. Die Leitlinie will dagegen verhindern, dass ein einzelner Faktor das Ergebnis dominiert. Zwar setzen beide auf unterschiedlichen Ebenen an – die RTS bei Risikokategorien, die Leitlinie bei einzelnen Faktoren –, die Richtung ist aber gegenläufig.
Restrisiko: Die Aufsicht rechnet mit fester Formel, die Leitlinie verlangt eine begründete Wertung – und betont, dass sich hohe Risiken nie vollständig wegkontrollieren lassen.
Kalibrierung: Die Gewichte der einzelnen Datenpunkte sind noch nicht bekannt, Ihr aufsichtliches Profil lässt sich also heute nicht nachrechnen.
Sollten Sie die Methodik der Aufsicht einfach übernehmen?
Eins zu eins geht das nicht, ohne der Leitlinie zu widersprechen – und es fehlen schlicht die Gewichte. Abweichende Ergebnisse haben trotzdem Folgen: Kommt Ihre Analyse auf ein geringes Restrisiko, die Aufsicht dagegen auf ein erhebliches, wird der Prüfer wissen wollen, wie Sie zu Ihrer Einstufung kommen. Wir empfehlen einen Mittelweg: Übernehmen Sie die vierstufige Skala der RTS und bewerten Sie quantitativ. So denken Sie in derselben Logik wie die Aufsicht, statt aus einem drei-, fünf- oder sechsstufigen System übersetzen zu müssen – auch wenn Ihr „mittel" damit noch nicht das der Aufsicht ist. Die eigentliche Brücke ist Ihre Gewichtungsdokumentation, denn nur sie erklärt, warum Ihr Ergebnis vom Zahlenbild der Aufsicht abweicht.
Trennen Sie außerdem zwei Rhythmen: Die RTS regeln, wann die Aufsicht Sie bewertet, nicht, wann Sie aktualisieren. Art. 10 Abs. 2 EU-AML-VO verlangt regelmäßige Überprüfungen und zusätzliche bei erheblichen Ereignissen. Wir raten zu einem jährlichen Turnus und zu einer Ad-hoc-Prüfung, etwa bei neuen Produkten.
Checkliste: Risikoanalyse 2027 vorbereiten
Klären Sie, welche RTS für Sie gelten: der vorgelegte Standard für den Finanzsektor oder der Entwurf für den Nichtfinanzsektor.
Richten Sie Datenstruktur und Skala an den RTS aus.
Begründen und dokumentieren Sie jede Gewichtungsentscheidung.
Belegen Sie die Wirksamkeit Ihrer Maßnahmen mit Revisions-, Prüfer- oder Audit-Berichten.
Bewerten Sie Ihr Sanktionsrisiko (Art. 10 Abs. 1 EU-AML-VO).
Wie wir Sie unterstützen
Ihre Risiken zu ermitteln und zu bewerten, ist schon heute Pflicht (§ 5 Abs. 1 GwG). Unsere Expert:innen unterstützen Sie bei der Erstellung Ihrer AMLR-konformen Risikoanalyse – im AML desk über einen Fragebogen über den datenbasiert und plausibilitätsgeprüft wird – oder eng begleitet und persönlich als extern bestellte Geldwäschebeauftragte. Welches Modell für Sie am besten passt, klären wir gerne in einem unverbindlichen Beratungsgespräch.
Schicken Sie uns gerne eine unverbindliche Anfrage über das Kontaktformular.
Fazit
Ab Juli 2027 bewerten Sie sich nach neuen Regeln selbst. Zusätzlich bewertet Sie voraussichtlich die Aufsicht: im Finanzsektor ab Ende 2027, im Nichtfinanzsektor ab Ende 2028. Beide Ergebnisse müssen nebeneinander bestehen können. Warten Sie nicht auf die finalen Texte – die Gewichtungsdokumentation ist der aufwendigste Teil und wird in jedem Fall gebraucht. Der 10. Juli 2027 ist der natürliche Stichtag, Ihre Risikoanalyse neu aufzusetzen.
Quellen:
Kontakt aufnehmen
