Risikoanalyse nach GwG und FM-GwG: Die unternehmenseigene Gefährdungsanalyse

Die unternehmenseigene Risikoanalyse ist für Verpflichtete nach GwG (Deutschland) und FM-GwG (Österreich) verpflichtend. Sie ist schriftlich zu erstellen, regelmäßig zu aktualisieren und auf Verlangen der Aufsichtsbehörde vorzulegen. Sie ist damit kein internes Arbeitspapier, sondern ein prüfungsrelevantes Dokument — und in der Praxis der erste Punkt, den eine Behörde anfordert.

Viele Verpflichtete führen Einzelprüfungen sauber durch, haben aber keine dokumentierte Risikoanalyse. Das ist ein eigenständiger Verstoß, unabhängig davon, wie gut die operative Prüfpraxis ist.

Was ist eine Risikoanalyse im AML-Kontext?

Die Risikoanalyse ist die systematische Bewertung der Geldwäsche- und Terrorismusfinanzierungsrisiken, denen Ihr Unternehmen durch seine konkrete Geschäftstätigkeit ausgesetzt ist. Sie beantwortet die Frage: Wo genau in unserem Geschäftsmodell entstehen Risiken, wie hoch sind sie, und welche Maßnahmen setzen wir dagegen ein?

Sie ist ausdrücklich unternehmensspezifisch. Eine übernommene Mustervorlage ohne Bezug auf die eigene Kundenstruktur, Produkte und Regionen erfüllt die Anforderung nicht.

Die vier Risikofaktoren, die abgebildet werden müssen

• Kundenrisiko: Welche Kundentypen betreuen Sie? Anteil juristischer Personen, Treuhandkonstruktionen, PEP-Exposure, Nichtansässige.

• Produkt- und Dienstleistungsrisiko: Welche Leistungen bieten Sie an? Transaktionsvolumina, Bargeldnähe, Anonymitätspotenzial.

• Transaktionsrisiko: Wie laufen Zahlungen? Drittzahlungen, ungewöhnliche Strukturen, Barzahlungsanteile.

• Geografisches Risiko: In welchen Ländern sind Sie oder Ihre Kunden tätig? Drittländer mit hohem Risiko nach EU-Liste.

Wie oft muss die Risikoanalyse aktualisiert werden?

Eine feste gesetzliche Frist gibt es nicht. Die Aufsichtspraxis erwartet eine jährliche Überprüfung sowie eine anlassbezogene Aktualisierung. Anlässe sind unter anderem: neue Geschäftsfelder oder Produkte, wesentliche Änderungen der Kundenstruktur, Eintritt in neue Märkte, Änderungen der Rechtslage — etwa das Wirksamwerden der EU-Geldwäscheverordnung AMLR im Juli 2027.

Was passiert bei einer Aufsichtsprüfung?

Die Behörde prüft typischerweise drei Dinge: ob die Risikoanalyse überhaupt existiert und schriftlich dokumentiert ist, ob sie die vier Risikofaktoren nachvollziehbar für Ihr konkretes Geschäftsmodell bewertet, und ob die daraus abgeleiteten Maßnahmen in der operativen Praxis tatsächlich umgesetzt werden.

Der dritte Punkt ist der häufigste Befund. Eine Risikoanalyse, die verstärkte Sorgfaltspflichten für bestimmte Kundengruppen vorsieht, ohne dass diese im Tagesgeschäft nachweisbar angewendet werden, erzeugt ein größeres Problem als gar keine Analyse.

Häufige Fragen

Gilt die Risikoanalyse auch für kleine Unternehmen? Ja. Umfang und Detailtiefe dürfen dem Geschäftsumfang angemessen sein, die Pflicht selbst besteht unabhängig von der Unternehmensgröße.

Muss die Risikoanalyse veröffentlicht werden? Nein. Sie ist ein internes Dokument, das der Aufsichtsbehörde auf Verlangen vorzulegen ist.

Wer ist verantwortlich? Die Geschäftsleitung. Die Erstellung kann delegiert werden, die Verantwortung nicht.

Von der Analyse zur Praxis

Eine Risikoanalyse entfaltet ihren Wert erst, wenn die abgeleitete Prüftiefe im Tagesgeschäft konsistent angewendet und dokumentiert wird. Autracon setzt genau hier an: strukturierte KYC-, PEP-, UBO- und Sanktionsprüfungen mit revisionssicherem Audit-Trail — in unter drei Minuten pro Fall, für jeden Mitarbeitenden identisch.

Autracon kostenlos testen auf autracon.com.