FINMA verschärft Anforderungen an die Geldwäschereirisikoanalyse

01

FINMA Geldwäschereirisikoanalyse: Das Wichtigste in Kürze

• Die FINMA hat am 4. Juni 2026 mit der Aufsichtsmitteilung 04/2026 ihre Erwartungen an die Geldwäschereirisikoanalyse nach Art. 25 Abs. 2 GwV-FINMA präzisiert und verschärft.
• Erstmals gelten die Vorgaben ausdrücklich auch für FINIG-Institute (Wertpapierhäuser, Fondsleitungen, Verwalter von Kollektivvermögen, Vermögensverwalter und Trustees).
• Häufigste Mängel: unklare Risikotoleranz, zu grosszügige Ausnahmeprozesse (ETP), fehlende oder ungeeignete Schlüsselrisikoindikatoren und ein nicht nachvollziehbarer Abgleich des Nettorisikos mit der Toleranz.
• Institute mit Lücken riskieren aufsichtsrechtliche Beanstandungen bei der nächsten Prüfung – eine Überarbeitung der bestehenden Risikoanalyse ist jetzt angezeigt.

02

Was ist neu an der Aufsichtsmitteilung 04/2026?

Die FINMA hatte bereits 2023 mit der Aufsichtsmitteilung 05/2023 Mindeststandards für die Geldwäschereirisikoanalyse skizziert. Seither hat sie einen Teil der damals geprüften Banken erneut kontrolliert und zusätzlich zahlreiche weitere Banken sowie FINIG-Institute analysiert. Das Ergebnis: Fortschritte sind sichtbar, aber die Lücken bleiben substanziell – bei Banken wie bei FINIG-Instituten.

Die Aufsichtsmitteilung 04/2026 ist deshalb keine Kurskorrektur, sondern eine Konkretisierung mit deutlich schärferem Ton. Sie liefert zu praktisch jedem Kritikpunkt aus 2023 konkrete Beispiele dafür, was die FINMA in der Praxis als ungenügend einstuft – und was sie stattdessen erwartet. Neu ist zudem ein eigenes Kapitel, das die Anwendung auf FINIG-Institute regelt (Art. 9 Abs. 2 FINIG, Art. 8 GwG, Art. 23 ff. GwV-FINMA).

03

Warum reicht eine "weiche" Risikotoleranz nicht mehr?

Die FINMA verlangt einen bewussten Ausschluss bestimmter Länder, Kundensegmente, Produkte oder Dienstleistungen – nicht nur die Beschreibung risikomindernder Massnahmen. Eine Formulierung wie "ausländische PEP werden nur nach Bewilligung der Geschäftsleitung angenommen" genügt nicht als Definition der Risikotoleranz; das ist eine Kontrollmassnahme, keine Grenze.

Auch der blosse Ausschluss von ohnehin zwingend zu meidenden Fällen (Nordkorea, Iran, Drogen- und Menschenhandel) reicht nicht aus. Erwartet werden institutsspezifische, geschäftsmodellbezogene Ausschlüsse – etwa keine komplexen Strukturen, kein Krypto-Geschäft oder kein Trade Finance, je nachdem, was zum eigenen Geschäftsmodell passt. Zusätzlich muss die Risikotoleranz insgesamt dokumentiert und als tief, mittel oder hoch eingestuft werden.

04

Wie streng darf der Ausnahmeprozess (ETP) sein?

Ein "Exception to Policy"-Prozess (ETP) ist zulässig, aber die FINMA hat Institute identifiziert, die ihre definierte Risikotoleranz durch eine sehr hohe Zahl bewilligter Ausnahmen faktisch ausgehebelt haben. Das ist unzulässig: Der ETP-Prozess darf keine dauerhafte oder systematische Überschreitung der Risikolimiten ermöglichen. Wer ein höheres Risiko bewusst tragen will, muss die Risikotoleranz selbst formell anpassen lassen – durch das Oberleitungsorgan, nicht durch eine Häufung von Einzelausnahmen.

Institute müssen ETP-Fälle zentral erfassen und sowohl quantitativ (Anzahl, Volumen, Entwicklung) als auch qualitativ (Gründe, Risikoprofile, Wirksamkeit der Massnahmen) überwachen sowie regelmässig an das Oberleitungsorgan rapportieren. Institute ohne jeden ETP-Prozess, die ihre Toleranz strikt einhalten, wurden von der FINMA ausdrücklich positiv hervorgehoben.

05

Welche Schlüsselrisikoindikatoren erwartet die FINMA?

Ein zentraler Kritikpunkt: Viele Institute setzen Schlüsselrisikoindikatoren mit den ohnehin bestehenden Risikolimiten gleich, statt gezielte Kennzahlen für die wesentlichen Risiken zu definieren. Zwei Konstruktionsfehler treten laut FINMA besonders häufig auf: relative Indikatoren im Vorjahresvergleich, die zu einer schleichenden, nie formell genehmigten Ausweitung der Risikotoleranz führen, sowie vermischte Kritikalitätsstufen in einem Indikator – etwa Kunden aus Ländern mit tiefem, mittlerem und hohem Risiko in einer gemeinsamen Quote.

Sinnvolle Indikatoren für inhärente Risiken sind laut FINMA beispielsweise die Anzahl und das verwaltete Vermögen (AuM) von Geschäftsbeziehungen mit PEP-Bezug, die Anzahl bewilligter ETPs oder die Exposition in Hochrisikoländern ausserhalb der Zielmärkte. Für ein aussagekräftiges Bild sollten mehrere Kennzahlen kombiniert werden – typischerweise Anzahl Geschäftsbeziehungen und AuM.

06

Was muss bei der Bewertung von inhärentem Risiko, Kontrollrisiko und Nettorisiko stimmen?

Die FINMA verlangt, dass alle drei gesetzlich genannten Risikokategorien – Kundensegmente, Sitz/Wohnsitz, Produkte und Dienstleistungen – vollständig und einzeln bewertet werden, inklusive Kriterien mit mittlerem oder tiefem inhärentem Risiko. Eine Zusammenfassung unterschiedlicher Kritikalitätsstufen in einer Gruppe (z.B. Retail-, Affluent- und vermögende Kunden in einer Kategorie) ist unzulässig, weil sie das tatsächliche Risiko verschleiert.

Konkret beanstandet die FINMA auch systematisch zu tiefe Einstufungen: komplexe Strukturen, PEP-Beziehungen oder Krypto-Dienstleistungen wurden teils als "mittel" statt korrekt als "hoch" eingeschätzt. Und: sehr hohe inhärente Risiken können durch Kontrollmassnahmen nie unter "hoch" gesenkt werden – ein Punkt, der laut FINMA nicht allen Instituten bewusst ist. Risikomindernde Massnahmen gehören zudem konsequent ins Kontrollrisiko, nicht in die Einschätzung des inhärenten Risikos.

07

Was bedeutet der fehlende Abgleich mit der Risikotoleranz konkret?

Viele Institute berechnen zwar für jedes einzelne Risikokriterium ein Nettorisiko, aggregieren dieses aber nicht zu einem Gesamtnettorisiko, das mit der definierten Risikotoleranz verglichen wird. Ohne diesen Abgleich bleibt unklar, ob das Institut insgesamt innerhalb seiner selbst gesetzten Grenzen operiert. Wird die Toleranz überschritten, sind zwingend risikomindernde Massnahmen zu ergreifen – eine nachträgliche ETP-Bewilligung für eine Limitenüberschreitung ist dafür nicht das richtige Instrument.

08

Gelten die Vorgaben auch für kleinere Vermögensverwalter und Trustees?

Ja, aber verhältnismässig. Für FINIG-Institute gelten dieselben rechtlichen Grundpfeiler (Art. 9 Abs. 2 FINIG, Art. 8 GwG, Art. 23 ff. GwV-FINMA), doch Detaillierungsgrad und Ausgestaltung der Risikoanalyse richten sich nach Art, Umfang, Komplexität und Risikogehalt der jeweiligen Geschäftstätigkeit. Ein Institut ohne erhöhte Risiken muss Länder- oder Branchenrisiken nicht zwingend bis auf Einzelländerebene herunterbrechen. Eine Ausnahme von der Pflicht zur Risikoanalyse besteht nur für sehr kleine Finanzintermediäre (max. fünf Vollzeitstellen oder unter CHF 2 Mio. Bruttoertrag) ohne erhöhte Risiken – und selbst dann kann die FINMA im Einzelfall die volle Risikoanalyse verlangen.

09

Häufig gestellte Fragen

Muss unsere bestehende Risikoanalyse jetzt komplett neu geschrieben werden? Nicht zwingend von Grund auf, aber die meisten bestehenden Analysen weisen mindestens eine der genannten Lücken auf. Eine strukturierte Prüfung anhand der FINMA-Kriterien ist der richtige erste Schritt.

Reicht es, unsere ETP-Fälle künftig einfach zu zählen? Nein. Die FINMA verlangt eine zentrale Erfassung mit quantitativer und qualitativer Auswertung sowie regelmässige Berichterstattung an das Oberleitungsorgan – blosses Zählen genügt nicht.

Was passiert, wenn wir die Vorgaben bei der nächsten Prüfung nicht erfüllen? Die FINMA hat mit zwei Aufsichtsmitteilungen innerhalb von drei Jahren klar signalisiert, dass sie Risikoanalysen aktiv prüft. Mängel können zu aufsichtsrechtlichen Beanstandungen und Auflagen führen.

Betrifft das auch reine Vermögensverwalter ohne PEP- oder Krypto-Geschäft? Ja, aber mit reduziertem Detaillierungsgrad. Auch ein risikoarmes Geschäftsmodell braucht eine dokumentierte, nachvollziehbare Risikoanalyse – nur die Granularität darf geringer ausfallen.

Ab wann sollten wir handeln? Sofort. Die FINMA prüft laufend, und eine Überarbeitung der Risikoanalyse, der Risikotoleranz-Definition und der Schlüsselrisikoindikatoren braucht Zeit für interne Abstimmung und Genehmigung durch das Oberleitungsorgan.