4.2 Durchführung einer Risikobewertung in Bezug auf restriktive Maßnahmen

Die internen Verfahren der Finanzinstitute sollten eine Risikobewertung in Bezug auf restriktive Maßnahmen umfassen, um zu verstehen, inwieweit die einzelnen Geschäftsbereiche von restriktiven Maßnahmen betroffen und anfällig für die Umgehung restriktiver Maßnahmen sind.

Die Risikobewertung in Bezug auf restriktive Maßnahmen sollte es den Finanzinstituten ermöglichen, Folgendes zu ermitteln und zu bewerten:

• a. welche Regelungen für restriktive Maßnahmen für sie gelten;
• b. die Wahrscheinlichkeit, dass restriktive Maßnahmen nicht umgesetzt werden;
• c. die Wahrscheinlichkeit, dass restriktive Maßnahmen umgangen werden;
• d. die Auswirkungen etwaiger Verstöße gegen restriktive Maßnahmen und
• e. die folgenden Risikofaktoren:
• a) geografisches Risiko, einschließlich:
• i. der Standorte der Geschäftstätigkeit des Finanzinstituts, d. h. die Rechtsordnungen und Gebiete, in denen das Finanzinstitut niedergelassen oder tätig ist;
• ii. des Ausmaßes, in dem diese Rechtsordnungen und Gebiete restriktiven Maßnahmen unterliegen oder bekanntermaßen dazu genutzt werden, restriktive Maßnahmen zu umgehen;
• iii. des Ursprungs- und Bestimmungsorts der Transaktionen.
• b) Kundenrisiko, einschließlich:
• i. Verbindungen der Kunden und gegebenenfalls ihrer wirtschaftlichen Eigentümer und der herrschenden Anteilseigner zu Ländern, gegen die aufgrund der Lage in diesen Ländern restriktive Maßnahmen verhängt wurden oder von denen bekannt ist, dass sie zur Umgehung restriktiver Maßnahmen genutzt werden;
• ii. der Zahl der Kunden, die Art der Kunden und die Komplexität dieser Kunden, wie
• z. B. Schwierigkeiten bei der Feststellung der Identität des wirtschaftlichen Eigentümers;
• iii. der Geschäftstätigkeit des Kundenstamms und die Komplexität der Geschäftstätigkeit, einschließlich etwaiger Verbindungen zu Wirtschaftszweigen oder Sektoren, die Gegenstand wirtschaftlicher oder sonstiger restriktiver Maßnahmen sein können, sowie die Häufigkeit und die Art der Transaktionen.
• c) Produkt- und Dienstleistungsrisiko, einschließlich:
• i. der Art der Produkte und Dienstleistungen des Finanzinstituts;
• ii. des Ausmaßes, in dem das Finanzinstitut durch die Bereitstellung dieser Produkte und Dienstleistungen dem Risiko von Verstößen gegen restriktive Maßnahmen und der Umgehung dieser Maßnahmen ausgesetzt ist;
• d) Vertriebskanalrisiko, einschließlich der Frage, ob der Einsatz von Vermittlern, Agenten, Dritten, Korrespondenzbankbeziehungen oder anderen Vertriebskanälen zu Schwachstellen führt, unter anderem durch:
• i. Beschränkung der Sichtbarkeit von beteiligten Parteien für das Finanzinstitut;
• ii. Abhängigkeit des Finanzinstituts von durch Dritten durchgeführten Überprüfungsverfahren;
• iii. Erhöhung der Anfälligkeit des Finanzinstituts für geografische Risiken, weil es in Ländern tätig ist oder seinen Sitz hat, gegen die aufgrund der Lage in diesen Ländern restriktive Maßnahmen verhängt wurden oder von denen bekannt ist, dass sie zur Umgehung restriktiver Maßnahmen genutzt werden.

Die in Absatz 22 genannte Bewertung sollte sich auf ein ausreichend breites Spektrum von Informationsquellen stützen, darunter mindestens die Folgenden:

• a. Informationen, die das Finanzinstitut im Rahmen der Anwendung der Sorgfaltspflichten gegenüber Kunden in Übereinstimmung mit den Regelungen des Artikels 13 der Richtlinie (EU) 2015/849 erlangt hat;
• b. Informationen von internationalen Stellen, staatlichen Stellen, zuständigen nationalen Behörden, einschließlich der für die Bekämpfung von Geldwäsche und Terrorismusfinanzierung zuständigen Finanzaufsichtsbehörden, zentralen Meldestellen für Finanztransaktionsuntersuchungen und Strafverfolgungsbehörden, wie z. B. aktuelle Typologien zur Umgehung restriktiver Maßnahmen;
• c. Informationen aus glaubwürdigen und zuverlässigen öffentlichen Quellen, z. B. Berichte in angesehenen Zeitungen und sonstigen renommierten Medien;
• d. Informationen von glaubwürdigen und zuverlässigen gewerblichen Einrichtungen, z. B. Risikoberichte;
• e. falls verfügbar, eine Analyse früherer Warnmeldungen bezüglich restriktiver Maßnahmen mit Blick auf echt-positive und falsch-positive Treffer, um Situationen zu ermitteln, in denen echt-positive Treffer am wahrscheinlichsten sind.

Bei der Risikobewertung in Bezug auf restriktive Maßnahmen sollten die Finanzinstitute prüfen, ob eine rückwirkende Überprüfung ihrer Kundendatenbank und der Aufzeichnungen über frühere Transaktionen sinnvoll und verhältnismäßig sein könnte. Dies kann der Fall sein, wenn das Finanzinstitut festgestellt hat oder berechtigten Grund zu der Annahme hat, dass sein bisheriges Überprüfungsverfahren unzureichend oder unwirksam war.

Die Finanzinstitute sollten sicherstellen, dass ihre Risikobewertung in Bezug auf restriktive Maßnahmen aktuell und relevant bleibt. Um dieses Ziel zu erreichen, sollten die Finanzinstitute sie mindestens einmal jährlich überprüfen und gegebenenfalls aktualisieren. Darüber hinaus sollten die Finanzinstitute ihre Risikobewertung in Bezug auf restriktive Maßnahmen gegebenenfalls in folgenden Fällen überprüfen:

• a. Annahme neuer restriktiver Maßnahmen und wesentliche Änderungen bestehender restriktiver Maßnahmen;
• b. vor der Einführung neuer Produkte, dem Angebot neuer Produktvertriebskanäle, der Bedienung neuer Kundengruppen und dem Eintritt in neue geografische Gebiete;
• c. wesentliche Änderungen des Tätigkeitsprofils, des Kundenstamms, der Organisationsstruktur oder des Geschäftsmodells des Instituts;
• d. die Feststellung, dass restriktive Maßnahmen nicht umgesetzt oder umgangen wurden, was die Unangemessenheit der Risikobewertung in Bezug auf restriktive Maßnahmen deutlich macht;
• e. Mängel bei der Risikobewertung bestehender restriktiver Maßnahmen, die von dem Finanzinstitut oder der zuständigen Behörde festgestellt wurden, die für die Beaufsichtigung der internen Strategien, Verfahren und Kontrollen zur Sicherstellung der Umsetzung der restriktiven Maßnahmen der Union und der Mitgliedstaaten verantwortlich ist.

Die Finanzinstitute sollten ihre Methodik zur Durchführung und Überprüfung ihrer Risikobewertung in Bezug auf restriktive Maßnahmen sowie die Ergebnisse dieser Bewertung dokumentieren und sie ihrer zuständigen Behörde auf Anfrage zur Verfügung stellen.

Handelt es sich bei dem Finanzinstitut um das Mutterunternehmen einer Gruppe, so sollte das Leitungsorgan der Gruppe sicherstellen, dass die Tochterunternehmen der Gruppe ihre eigene Risikobewertung in Bezug auf restriktive Maßnahmen koordiniert und auf der Grundlage einer gemeinsamen Methodik unter Berücksichtigung ihrer jeweiligen Besonderheiten durchführt.