Neuerungen im Geldwäschereigesetz (GwG)

Einordnung der Neuerungen¹

_{¹Es handelt sich um eine stark vereinfachte Darstellung, welche eine rasche erste Einordnung der Thematik ermöglichen soll. Jedes Institut sollte die Relevanz und den konkreten Handlungsbedarf individuell-konkret bestimmen.}

Verifizierung des wirtschaftlich Berechtigten

Bisher musste ein Institut die Identität der wirtschaftlich berechtigten Person grundsätzlich nur feststellen. Lediglich bei Zweifeln an der Korrektheit der Angaben oder im Kontext von besonderen Abklärungen zum Hintergrund einer Geschäftsbeziehung mit erhöhten Risiken waren zusätzliche Abklärungen durchzuführen, um die erhaltenen Angaben zur wirtschaftlichen Berechtigung zu plausibilisieren.

Ab 2023 verlangt das GwG jedoch in grundsätzlicher Weise, dass die Angaben zur wirtschaftlichen Berechtigung, bzw. zu den Kontrollinhabern von juristischen Personen überprüft werden und dies angemessen dokumentiert wird. Es handelt sich hierbei um eine Plausibilitätskontrolle. Das bedeutet, dass die Identität des wirtschaftlich Berechtigten bzw. des Kontrollinhabers nicht notwendigerweise bewiesen werden muss. Die Abklärungen müssen aber dazu führen, dass begründetermassen von der Korrektheit der Angaben ausgegangen werden kann. Umfang und Tiefe der Abklärungen sind vom jeweiligen Risiko und somit vom Einzelfall abhängig. Bei Kunden mit normalem oder niedrigem Risiko werden weniger umfangreiche Abklärungen erwartet als bei Kunden mit erhöhtem Risiko.

Der Gesetzgeber hat die genaue Vorgehensweise zur Wahrnehmung der Verifizierung nicht näher spezifiziert. Im Allgemeinen können die in Art. 16 GwV-FINMA aufgeführten Abklärungsmittel analog angewendet werden, also beispielsweise die Konsultation öffentlich zugänglicher Quellen und Datenbanken.

Bei Kunden (natürlichen Personen) mit normalem Risiko kann aber grundsätzlich davon ausgegangen werden, dass die Verifizierung durch den Abgleich mit anderen über den Kunden vorhandenen Informationen durchgeführt werden kann. Bei solchen Kunden müssen für eine angemessene Verifizierung lediglich die Angaben zum wirtschaftlich Berechtigten konsistent zu den weiteren vorhandenen Informationen sein. Bei Kunden mit erhöhtem Risiko hingegen sollte man sich an den zusätzlichen Abklärungsmitteln gemäss Art. 16 GwV-FINMA orientieren.

Institute, welche bereits über eine ausführliche KYC-Dokumentation zu allen Kunden verfügen, werden zur Dokumentation der Verifizierung des wirtschaftlich Berechtigten regelmässig auf das bestehende KYC verweisen können. Im Verhältnis zwischen Depot führenden Banken/Wertpapierhäusern einerseits und externen Vermögensverwaltern oder Trustees andererseits gilt, dass jedes involvierte Institut – auch wenn es sich um gemeinsam betreute Kunden handelt – eigenständig für die angemessene Wahrnehmung und Dokumentation der Verifizierung verantwortlich ist.

In der Praxis kann die Dokumentation auf verschiedene Weise erfolgen, solange sie für einen aussenstehenden Dritten (z.B. Prüfer, Behörde) nachvollziehbar darlegt, wie die Plausibilität geprüft wurde. Dies kann je nach Institut in einer schlichten physischen Aktennotiz, direkt auf entsprechend angepassten Formularen oder digital in einem geeigneten CRM-System erfolgen.

Bei juristischen Personen ist darauf hinzuweisen, dass neben der wirtschaftlichen Berechtigung auch die Inhaberschaft bzw. die Kontrollinhaber verifiziert werden müssen. Dies kann beispielsweise durch Einsichtnahme in Aktienregister, Gesellschaftsverträge o.ä. erfolgen.

Die Verifizierungspflicht betrifft zunächst nur die ab dem 1. Januar 2023 neu eröffneten Geschäftsbeziehungen, bei bestehenden Kunden wird jedoch im Rahmen der periodischen Aktualisierung früher oder später eine entsprechende Verifizierung nachdokumentiert werden müssen.

Regelmässige Aktualisierung der Kundenangaben 

Neu wird für sämtliche Geschäftsbeziehungen eine regelmässige Prüfung und Aktualisierung der Kundendaten verlangt. Die Periodizität und Prüftiefe kann dem jeweiligen Risiko angepasst werden, d.h. bei Kunden mit erhöhtem Risiko wird eine höhere Häufigkeit und Prüftiefe erwartet als bei Kunden mit normalem oder geringem Risiko. Bei Letzteren sehen viele Institute zukünftig in ihren internen GwG-Weisungen 5-jährige oder noch längere Review-Zyklen vor.

Die Aktualisierungspflicht umfasst sämtliche über den Kunden im Rahmen der Sorgfaltspflichten erhobenen Informationen. Das sind sowohl einfache Personendaten wie Name, Adresse, Wohnort, etc. wie auch KYC-typische Hintergrundinformationen zur Herkunft der Vermögenswerte, zum wirtschaftlich Berechtigten oder zum Status als politisch exponierte Person (PEP).

Es ist darauf hinzuweisen, dass die Prüfung der Kundendaten auch ergeben kann, dass keine Aktualisierung erforderlich ist. D.h. tatsächlich aktualisiert werden müssen nur jene Informationen und Dokumente, bei denen ein Änderungsbedarf identifiziert wird. So ist es insbesondere nicht erforderlich, bei jeder Aktualisierung eine bereits in Übereinstimmung mit geltendem Recht erfolgte Identifikation zu wiederholen. Speziell zu beachten sind aber dennoch ältere Geschäftsbeziehungen. Bei jenen, die zu einem Zeitpunkt eröffnet wurden als spezifische Sorgfaltspflichten noch nicht in Kraft waren (z.B. vor der 2016 eingeführten Pflicht zur Feststellung der Kontrollinhaber bei operativ tätigen Gesellschaften), müssen die aktuellen Sorgfaltspflichten anlässlich der Aktualisierung umgesetzt werden.

Für die Aktualisierung kann auf Informationen aus verlässlichen Quellen zurückgegriffen werden. Es empfiehlt sich, den direkten Kundenkontakt zur Aktualisierung der Kundeninformationen zu nutzen. Sowohl im Geschäft mit Privatpersonen als auch mit juristischen Personen kann eine standardisierte Rückfrage möglich sein, um abzuklären, ob sich wesentliche Umstände des Kunden (Domizil, Einkommensverhältnisse etc.) seit der letzten Aktualisierung verändert haben. Diese kann beispielweise mittels e-Formular oder Briefversand vorgenommen werden.

Zuerst sollen Finanzintermediäre die Kundeninformationen zu denjenigen Geschäftsbeziehungen aktualisieren, die die höchsten Risiken aufweisen. Es empfiehlt sich daher, ihre Geschäftsbeziehungen je nach Risiko, welches diese gemäss Risikoklassifizierung aufweisen, in unterschiedliche Risikogruppen einzuteilen und diese Risikogruppen entsprechend ihrem Risiko häufiger oder weniger häufig zu aktualisieren. Die Häufigkeit der Aktualisierung ist in den internen Weisungen zu regeln. Je nach Kundenstruktur und Institut kann es ausserdem von Vorteil sein, die Wahrnehmung dieser Pflicht zu «staffeln», sodass nicht in einem Jahr eine Flut von Aktualisierungsabfragen zu bewältigen ist.

Fazit und möglicher Handlungsbedarf

Es bleibt nicht mehr viel Zeit bis zum Inkrafttreten des revidierten GwG. Die meisten Institute dürften die Folgen der Neuerungen für ihr Geschäftsmodell bereits abgeschätzt und entsprechende Massnahmen zur Umsetzung getroffen haben. Während für konkrete Fragen der Implementierung jedenfalls bei der Kundendaten-Aktualisierungspflicht noch etwas Zeit bleibt, sollte das interne Weisungswesen per 1. Januar 2023 die neuen Pflichten generisch abdecken. Zudem sind ab diesem Zeitpunkt der Prozess für Neueröffnungen und gegebenenfalls die dabei verwendeten Tools und Formulare zur Wahrnehmung der Verifizierungspflicht anzupassen. Involvierte Mitarbeiter sollten angemessen zur Wahrnehmung der neuen Pflichten instruiert werden. Gerne beraten wir Sie bei allen Fragen rund um das Inkrafttreten des revidierten GwG, wir freuen uns auf Ihre Kontaktaufnahme!