Was muss ein AML-Programm für ein Krypto-Unternehmen enthalten?

1. Zuerst die Risikobeurteilung

Die FATF verlangt einen risikobasierten Ansatz (Empfehlung 1). Die unternehmensweite Risikobeurteilung identifiziert Risiken nach Kundentyp, Geografie, Produkten (Verwahrung, Swaps, Privacy Coins, DeFi-Zugang), Vertriebskanälen und On-Chain-Exposure, bewertet die bestehenden Kontrollen und legt die Risikotoleranz fest. Aktualisieren Sie sie mindestens einmal jährlich und bei jeder Änderung des Geschäfts. Die Kundenrisikobewertung wendet dann dieselben Kriterien auf jede Geschäftsbeziehung an.

2. Sorgfaltspflichten gegenüber Kunden

Die Sorgfaltspflichten gegenüber Kunden (Empfehlung 10) bedeuten, den Kunden zu identifizieren und zu verifizieren, die wirtschaftlich Berechtigten von Gesellschaften festzustellen, den Zweck der Geschäftsbeziehung zu verstehen und sie laufend zu überwachen. Verstärkte Sorgfaltspflichten gelten bei höheren Risiken: politisch exponierte Personen (Empfehlung 12), Hochrisikoländer, komplexe Strukturen und grosse oder ungewöhnliche Geldflüsse, bei denen Herkunft der Mittel und Herkunft des Vermögens dokumentiert werden müssen. Nationale Regeln bestimmen Einzelheiten wie die akzeptierten Dokumente oder, in der Schweiz, die Formulare zur Feststellung der wirtschaftlich Berechtigten.

3. Überwachung, Sanktionen und die Travel Rule

• Transaktionsüberwachung: On-Chain-KYT bei Ein- und Auszahlungen sowie Verhaltensüberwachung des Kontos, mit dokumentierten Regeln und Alarmbearbeitung.
• Sanktions-Screening von Kunden und Wallet-Adressen beim Onboarding und laufend, anhand der Listen, die für Sie gelten, und derjenigen, die Ihre Banken und Gegenparteien erwarten.
• Travel-Rule-Verfahren (Empfehlung 16), einschliesslich Sorgfaltsprüfung der Gegenpartei und Prüfung selbstverwahrter Wallets.

4. Meldungen und Aufbewahrung

Die Mitarbeitenden brauchen einen klaren Weg, um ungewöhnliche Aktivitäten zu eskalieren, und der Compliance Officer entscheidet, ob eine Verdachtsmeldung an die zentrale Meldestelle (Financial Intelligence Unit) erstattet wird (Empfehlung 20), zum Beispiel an die MROS in der Schweiz oder die UIF in Italien. Aufzeichnungen zu Identifikation, Transaktionen und Analysen müssen nach dem FATF-Standard mindestens fünf Jahre aufbewahrt werden (Empfehlung 11); einige Länder verlangen mehr, etwa zehn Jahre in der Schweiz.

5. Governance, Schulung und unabhängige Prüfung

Der Verwaltungsrat oder die Geschäftsleitung genehmigt das Programm und erhält regelmässige Berichte (Empfehlung 18). Alle Mitarbeitenden erhalten eine auf ihre Funktion zugeschnittene Schulung, mit Teilnahmenachweisen. Auslagerungen an KYC- oder Analyseanbieter sind erlaubt, die Verantwortung bleibt aber beim Unternehmen. Eine unabhängige Prüfung testet das Programm, und die Prüfer suchen Nachweise: Dossiers, die zeigen, dass die Verfahren angewendet wurden, begründet abgeschlossene Alarme und eine Risikobeurteilung, die dem tatsächlichen Kundenstamm entspricht. Ein Musterprogramm ohne solche Nachweise ist die häufigste Feststellung.

Wie Advisorn hilft

Advisorn erstellt AML-Richtlinien, Risikobeurteilungen und Verfahren auf Grundlage der FATF-Standards, zugeschnitten auf Ihr Geschäft und die Länder, in denen Sie tätig sind. Advisorn prüft zudem bestehende Programme vor Audits, Bewilligungsgesuchen oder der Due Diligence durch Banken.