KYC-Onboarding bindet Ressourcen und verlangt präzise Prüfungen, vollständige Nachweise und klare Zuständigkeiten. Erfahren Sie, welche Aufgaben BaFin-regulierte Institute auslagern können, wie GwG, MaRisk und ZAG-MaRisk den Rahmen prägen und welche Kontrollen externe KYC-Prozesse steuerbar machen.
First Line of Defense: So lagern BaFin-regulierte Institute ihr KYC-Onboarding rechtssicher aus
Das KYC-Onboarding stellt BaFin-regulierte Institute in Deutschland vor operative und aufsichtsrechtliche Anforderungen. Wer Identitätsprüfungen, Screening und Dokumentation auslagert, braucht klare Entscheidungsrechte, belastbare Qualitätskontrollen und nachvollziehbare Nachweise. Für Vorstände und Compliance-Verantwortliche zählt, wie sich externe Bearbeitung in die Risikosteuerung des Instituts einfügt.
Was bedeutet First Line of Defense im KYC?
Die First Line of Defense übernimmt operative Aufgaben im Tagesgeschäft. Dazu gehören die Erfassung und Prüfung von Kundendaten, die Einholung von Unterlagen, das Sanktionsscreening und die Pflege von KYC-Akten. Die Second Line steuert und überwacht die Einhaltung interner und regulatorischer Vorgaben. Die Third Line, die Interne Revision, prüft das Kontrollsystem unabhängig.
Eine Auslagerung kann interne Teams bei wiederkehrenden, dokumentationsintensiven Vorgängen entlasten. Das Institut behält die Verantwortung für seine Organisation, Risikosteuerung und die Kontrolle des Dienstleisters. Deshalb müssen operative Bearbeitung, fachliche Bewertung und interne Entscheidungsbefugnisse klar voneinander abgegrenzt sein.
Was gehört zu den First Line Services bei regulierten Instituten?
First Line Services umfassen das operative KYC-Tagesgeschäft: Identitätsprüfungen, etwa per Video-Legitimation, Sanktionslisten-, Embargo- und PEP-Screening sowie die Anlage und Pflege von KYC-Profilen. Hinzu kommen die Einholung erforderlicher Unterlagen, die Dokumentation der Prüfschritte und das Fristenmanagement. Auffällige Ergebnisse werden nach festgelegten Kriterien an die zuständigen internen Stellen eskaliert.
Welche KYC-Aufgaben lassen sich auslagern?
Ein externer Dienstleister kann Kundendaten erfassen, Unterlagen auf Vollständigkeit prüfen, wirtschaftlich Berechtigte recherchieren und Eigentums- sowie Kontrollstrukturen dokumentieren. Auch periodische KYC-Reviews, Datenaktualisierungen, Screening-Fallbearbeitung und die Nachverfolgung fehlender Dokumente können zum vereinbarten Leistungsumfang gehören.
Die fachliche Bewertung komplexer Sachverhalte und wesentliche Entscheidungen brauchen eindeutig geregelte Zuständigkeiten. Bei auffälligen Treffern, widersprüchlichen Angaben oder unvollständigen Nachweisen muss der Prozess eine nachvollziehbare Eskalation ermöglichen.
Welche aufsichtsrechtlichen Anforderungen gelten?
Das Geldwäschegesetz (GwG) regelt die geldwäscherechtlichen Sorgfaltspflichten. Dazu zählen die Identifizierung des Vertragspartners, die Prüfung seiner Vertretungsbefugnis sowie die Ermittlung und Überprüfung wirtschaftlich Berechtigter. Bei juristischen Personen gehört auch die Betrachtung ihrer Eigentums- und Kontrollstruktur dazu.
Die Anforderungen an die Auslagerungssteuerung richten sich nach dem Institutstyp und dem einschlägigen Aufsichtsrecht. Für Kreditinstitute sind insbesondere die MaRisk, darunter AT 9 zur Auslagerung, relevant. Für Zahlungsinstitute und E-Geld-Institute konkretisieren die ZAG-MaRisk die Anforderungen an die Geschäftsorganisation und Auslagerung. Bei weiteren Finanzdienstleistungsinstituten ist der jeweils geltende aufsichtsrechtliche Rahmen zu prüfen.
Vor einer Auslagerung bewertet das Institut die damit verbundenen Risiken und bestimmt deren Bedeutung für seine Organisation. Verträge regeln Leistungsumfang, Zuständigkeiten, Informationsrechte, Qualitätsanforderungen und Kontrollmöglichkeiten. Das Institut überwacht die vereinbarten Leistungen und hält die erforderlichen Nachweise aktuell. Seine Steuerungs- und Kontrollfähigkeit bleibt dabei erhalten.
Video-Legitimation: Verfahren und Nachweise
Die Video-Legitimation ermöglicht die Identifizierung natürlicher Personen im direkten Videoverfahren. Maßgeblich sind die geltenden geldwäscherechtlichen Anforderungen und die einschlägigen Vorgaben der BaFin. Der Prozess umfasst unter anderem die Prüfung des Ausweisdokuments, seiner Sicherheitsmerkmale und der Identität der Person. Durchführung und Ergebnis müssen nachvollziehbar dokumentiert werden.
Institute sollten außerdem festlegen, wie Mitarbeitende mit Zweifeln, technischen Störungen und auffälligen Dokumenten umgehen. Bei juristischen Personen betrifft die Video-Legitimation gegebenenfalls deren vertretungsberechtigte oder bevollmächtigte natürliche Personen. Die Prüfung der juristischen Person und ihrer wirtschaftlich Berechtigten erfordert die jeweils passenden zusätzlichen Verfahren.
Fünf Prüfpunkte für ein kontrolliertes KYC-Outsourcing
Vor Vertragsabschluss und während der Zusammenarbeit sollten Vorstände und Compliance-Verantwortliche fünf Punkte prüfen:
Risikoanalyse: Welche operationellen, rechtlichen und technischen Risiken entstehen durch die Auslagerung?
Entscheidungsrechte: Welche Arbeitsschritte übernimmt der Dienstleister, welche Bewertungen und Freigaben verbleiben beim Institut?
Vertrag: Sind Leistungsumfang, Datenzugriff, Qualitätsmaßstäbe, Berichtswege und Bedingungen für Unterauslagerungen geregelt?
Kontrolle: Wie prüft das Institut Bearbeitungsqualität, Fehlerquoten, offene Fälle, überfällige Reviews und die Behebung festgestellter Mängel?
Eskalation: Wie gelangen Treffer, fehlende Unterlagen und kritische Abweichungen an die zuständigen internen Verantwortlichen?
Diese Prüfpunkte verbinden die vertragliche Gestaltung mit dem laufenden Betrieb. Das Institut kann anhand von Stichproben, vereinbarten Kennzahlen und regelmäßigen Berichten beurteilen, ob der Dienstleister die vereinbarten Aufgaben erfüllt. Abweichungen lassen sich dadurch gezielt nachverfolgen und in die laufende Steuerung einbeziehen.
Woran erkennen Institute einen geeigneten Dienstleister?
Ein geeigneter Partner weist fachliche Qualifikation, dokumentierte Arbeitsanweisungen und belastbare Qualitätskontrollen nach. Ebenso wichtig sind klare Vertretungsregeln, sichere Datenverarbeitung, transparente Berichte und definierte Eskalationswege. Die Zusammenarbeit sollte anhand vereinbarter Kennzahlen und regelmäßiger Qualitätsprüfungen steuerbar bleiben.
S+P Compliance Services unterstützt Institute mit operativen First Line Services für KYC-Onboarding, Reviews und Screening. Der konkrete Leistungsumfang lässt sich anhand der Prozesse, Fallvolumina und internen Zuständigkeiten festlegen. Für die Steuerung bleiben klare Kompetenzgrenzen und eine nachvollziehbare Dokumentation entscheidend.
Eine kontrollierte Auslagerung verbindet operative Kapazität mit wirksamer Aufsicht über die ausgelagerten Tätigkeiten. Welche Aufgaben extern bearbeitet werden, wie die Qualität geprüft wird und wo Entscheidungen verbleiben, muss für das Institut jederzeit nachvollziehbar sein. Weitere Informationen zu S+P Compliance Services bietet die Unternehmenswebsite.