Sanktions-Durchsetzungs-Digest — Juli 2026

Anmerkung der Redaktion: Diese Ausgabe weicht von unserem üblichen Format aus Designations- und Durchsetzungs-Rückblicken ab. Statt einer überfliegbaren Tabelle der Listenänderungen des Monats bietet die Juli-Ausgabe eine vollständige statistische und narrative Analyse der im Monat öffentlich bekannt gegebenen AML-Durchsetzungsmaßnahmen — 12 Maßnahmen bei vier Regulierungsbehörden, wobei die Strafen zu den zum Analysezeitpunkt geltenden Wechselkursen in USD umgerechnet wurden. Das Standard-Rückblick-Format finden Sie in der Ausgabe Juni 2026.

Zusammenfassung

Der Juli 2026 brachte zwölf Durchsetzungsmaßnahmen in vier Rechtsordnungen hervor — dem Vereinigten Königreich, Singapur, Kanada und den Niederlanden — mit Gesamtstrafen von $13,734,921.58 auf Basis von 32 einzelnen Feststellungen. Diese Gesamtzahl verschleiert jedoch eine ungewöhnlich scharfe geografische Trennlinie in der Durchsetzungsphilosophie. Auf die niederländische Regulierungsbehörde DNB entfielen $13,560,218.75 der Strafen des Zeitraums — 98.7% der Gesamtsumme — verteilt auf nur drei Maßnahmen gegen zwei Unternehmen, während die FCA (vier Maßnahmen), die MAS (zwei Maßnahmen) und MAS/SPF (eine Maßnahme) gemeinsam keine Geldstrafen verhängten, obwohl sie Verhaltensweisen feststellten, die von systemischem Versagen des Finanzkriminalitäts-Rahmenwerks bis zu offenem Betrug reichten. Kanadas FINTRAC war die einzige weitere Regulierungsbehörde, die Strafen verhängte, und das in bescheidenem Umfang: $174,702.82 auf zwei administrative Geldstrafen gegen Atlantic Lottery Corporation ($151,173.82) und VIP Realty/Royal LePage Integrity Realty ($23,529). Keine Maßnahme in diesem Zeitraum beinhaltete eine freiwillige Selbstanzeige — ein Nullergebnis über alle zwölf Fälle hinweg, das Compliance-Verantwortliche beunruhigen sollte, die sich auf Selbstanzeige-Anrechnung als mildernden Umstand verlassen.

Die Maßnahmen des Vereinigten Königreichs und Singapurs veranschaulichen eine Haltung von „kontrollieren, nicht nur bestrafen". Der First Supervisory Notice der FCA gegen Euro Exchange Securities UK Ltd verhängte keine Strafe, fror jedoch die Fähigkeit des Unternehmens ein, Kunden aufzunehmen oder Gelder entgegenzunehmen, stellte treuhänderisch verwahrte Gelder bis zur unabhängigen Sanierung jeder einzelnen Kundenakte unter Sicherungsverwahrung und ordnete eine wöchentliche Berichterstattung an — eine Reaktion auf Feststellungen, wonach alle zehn geprüften Kundenakten unzureichend waren und dass 4,968 Transaktionsüberwachungs-Alarme in einer einzigen Akte als nicht verdächtig geschlossen worden waren (3,294 davon ohne dokumentierte Begründung, nur einer jemals eskaliert, und alle von ein und derselben Person geprüft). Singapurs MAS ergriff im Berichtszeitraum drei Durchsetzungsmaßnahmen — zwei Tätigkeitsverbote (Prohibition Orders) nach dem FSM Act 2022 (Andrew Tiew Siew Ing, 10-jähriges Tätigkeitsverbot wegen Betrugs; Li Jinbo, 3-jähriges Tätigkeitsverbot wegen Marktmanipulation) und eine vollständige strafrechtliche Verfolgung von Samlit Moneychanger und zwei seiner Verantwortlichen (19 Anklagepunkte, jeweils mit Geldstrafen von bis zu S$1 million im Verurteilungsfall, noch nicht verhängt) — auch hier ohne eine einzige Geldstrafe in diesem Berichtsfenster. Die übrigen drei Maßnahmen des Vereinigten Königreichs waren individuelle Tätigkeitsverbote: der ehemalige MLRO Dharmendra Solanki (unerlaubte Geldverleihtätigkeit und Geldwäsche, GBP 169,941.89 Einziehungsanordnung, jedoch keine FCA-Geldstrafe), sowie Alec Finch und sein Sohn Robert Finch von AFL Insurance Brokers, deren Integritätsverstöße auf Level 5 (höchster Schweregrad) — einem „schweren Betrug", bei dem £3.51m an Kundengeldern zweckentfremdet wurden — mit veranschlagten Strafen von £121,200 beziehungsweise £169,800 belegt wurden, die beide um 100% auf £0 reduziert wurden aufgrund nachgewiesener finanzieller Notlage und durch vollständige Tätigkeitsverbote ersetzt wurden. Der Fall Robert Finch ist einer von nur zwei Fällen, die der Datensatz als egregious kennzeichnet.

Die inhaltlichen Feststellungen deuten auf Governance- und Prozessversagen, nicht auf technologische Lücken, als die entscheidende Schwäche des Zeitraums hin. Governance Failure (34.4%, 11 von 32 Feststellungen) und Process Design Flaw (31.3%, 10 von 32) machen zusammen fast zwei Drittel aller Feststellungen aus, während Insufficient Technology bei null liegt — kein Institut wurde in diesem Zeitraum dafür beanstandet, dass es an Überwachungstools fehlte, sondern lediglich dafür, die vorhandenen nicht richtig zu betreiben, zu besetzen oder zu steuern. Process-Design-Flaw-Feststellungen trugen zudem das größte Strafgewicht ($6,550,379.08), vor Governance Failure ($3,069,717.50), was den Schwerpunkt der DNB auf die strukturellen Gatekeeper-Versäumnisse der ABN AMRO Bank N.V. widerspiegelt: eine zweimonatige Verzögerung bei der Erkennung eines EUR 500,000+ Cash-Durchlaufmusters, das auch nach einer Risikoeinstufung als „nicht akzeptabel" fortbestand, Risikoindikatoren (Anzeichen für Russland-Sanktionsumgehung, Dual-Use-Güter, undurchsichtige Endnutzer), die nie in Kombination bewertet wurden, sowie eine unbelegte Herabstufung von „nicht akzeptabel" auf „mittleres" Risiko — Feststellungen, die zu der Strafe von EUR 8.5 million ($9,783,500) führten, der größten des Zeitraums. Nach Bereich betrachtet war Investigations & Reporting sowohl die am häufigsten genannte Kategorie (14 Feststellungen bei 9 Entitäten) als auch die Kategorie mit der höchsten Priorität (5 High-priority-Feststellungen, gegenüber 2 bei Transaction Monitoring, 1 bei KYC & Onboarding und keiner bei Sanctions Screening) — im Einklang mit einem Muster, wonach Unternehmen Red Flags intern erkennen oder erzeugen, sie dann aber nicht eskalieren, dokumentieren oder melden.

Das Risiko von Wiederholungstätern ist das schärfste Signal in den niederländischen Daten. Die CCV Group B.V. wurde allein in diesem Zeitraum zweimal von der DNB mit einer Geldstrafe belegt: EUR 2,656,250 ($3,057,343.75) für Lücken in der Transaktionsüberwachung, durch die ein „erheblicher" Anteil der Händler fast zwei Jahre lang unüberwacht blieb (die Kennzeichnungsfehler „Ecom-gap" und „PF7-gap"), verschärft durch einen Schuldzuschlag von 25%, da die DNB CCV bereits 2019–2020 wegen derselben Überwachungsnorm sanktioniert hatte; sowie separat EUR 625,000 ($719,375) dafür, rund sieben Jahre lang ohne eine systematische Integritätsrisikoanalyse (SIRA) operiert zu haben — ein Versäumnis, das die DNB als „sehr schwerwiegenden Verstoß" bezeichnete, das niederländische aufsichtsrechtliche Äquivalent zu egregious, und die zweite egregious-Maßnahme des Datensatzes. Cultural/Tone Issues (15.6%, 5 Feststellungen, ausschließlich konzentriert bei Investigations & Reporting) und Data Quality Issues (12.5%, 4 Feststellungen) runden das Bild der Grundursachen ab, wobei Letztere mit $1,478,715.28 an zugehörigen Strafen verbunden sind.

Für Compliance-Verantwortliche stechen drei Implikationen hervor. Erstens deutet das Fehlen jeglicher freiwilliger Selbstanzeige über alle zwölf Maßnahmen hinweg — die Betrug, Anzeichen für Sanktionsumgehung und mehrjährige Überwachungslücken umfassen — darauf hin, dass Entdeckung, nicht nur Sanierung, weiterhin die Schwachstelle der Branche ist; Institute sollten intern gekennzeichnete, aber nicht eskalierte Risikoindikatoren (wie bei ABN AMRO und Euro Exchange) als das Muster behandeln, das am ehesten regulatorische Aufmerksamkeit auf sich zieht. Zweitens sind Regulierungsbehörden zunehmend bereit, gegen Einzelpersonen vorzugehen, selbst wenn die Strafen auf Unternehmensebene null sind oder erlassen wurden: Die drei britischen Tätigkeitsverbote der FCA und die zwei Tätigkeitsverbote der MAS in Singapur — zusätzlich zu den strafrechtlichen Anklagen gegen die beiden Verantwortlichen von Samlit — zeigen, dass persönliche Rechenschaftspflicht unabhängig von der finanziellen Zahlungsfähigkeit eines Unternehmens fortbesteht. Drittens ist der CCV-Präzedenzfall eine Warnung davor, Sanierung in dem Moment als abgeschlossen zu betrachten, in dem eine Strafe bezahlt wird — eine frühere Durchsetzungsmaßnahme wegen einer ungelösten Kontrolllücke wird im nächsten Zyklus zu einem erschwerenden, nicht zu einem mildernden Faktor.

Strafenanalyse

Alle nachstehenden Zahlen entsprechen den zugrunde liegenden Durchsetzungsdokumenten ohne manuelle Neuberechnung. Bei keiner der Strafen der zwölf Maßnahmen war ein Vorbehalt wegen nicht umgerechneter Währung erforderlich; die drei Regulierungsbehörden mit Nullwert (FCA, MAS, MAS/SPF) spiegeln tatsächlich verhängte Geldstrafen von $0 wider, nicht einen Umrechnungsfehler.

Strafen nach Land

Strafen nach Regulierungsbehörde

Strafen nach Branche

Regulatorische und geografische Muster

Die zwölf Maßnahmen dieses Monats teilen sich in zwei grundverschiedene Durchsetzungsphilosophien auf, und diese Trennung verläuft fast ausschließlich entlang jurisdiktioneller Grenzen und nicht entlang der Schwere der Verstöße. Auf die niederländische DNB entfallen nur drei der zwölf Maßnahmen, jedoch $13.56 million der in diesem Zeitraum verzeichneten Gesamtstrafen von $13.73 million — 98.7% der gesamten Geldstrafen im Datensatz — während die britische FCA (vier Maßnahmen) und Singapurs MAS/MAS-SPF (drei Maßnahmen), zusammen 58% des Durchsetzungsvolumens, null Dollar an Geldstrafen zwischen sich hervorbrachten. Compliance-Teams, die das jurisdiktionelle Risiko in erster Linie anhand der Schlagzeilen-Strafsummen benchmarken, werden die Daten dieses Monats gründlich fehlinterpretieren: Die Maßnahmen in Großbritannien und Singapur waren nicht milde, sie drücken Schwere lediglich durch andere Instrumente aus.

Die niederländischen Strafen sind konzentriert und umsatzskaliert. Die DNB verhängte gegen die ABN AMRO Bank N.V. eine Geldstrafe von EUR 8.5 million ($9.78 million) wegen unzureichender laufender Sorgfaltspflichtprüfung bei Hochrisikokunden — ein Fall, in dem die gesetzliche Obergrenze von EUR 5 million ausdrücklich zugunsten einer umsatzgebundenen Regelung beiseitegelegt wurde, angesichts des Netto-Umsatzes der Bank von EUR 8.7 billion, wobei die Strafe im vereinfachten Vergleichsverfahren nur um 15% reduziert wurde, nachdem ABN AMRO den Sachverhalt eingeräumt hatte. Die DNB verhängte im selben Veröffentlichungszyklus zudem zweimal eine Geldstrafe gegen die CCV Group B.V. — EUR 2.66 million ($3.06 million) für Lücken in der Transaktionsüberwachung zwischen 2021–2024, sowie EUR 625,000 ($719,375) dafür, sieben Jahre lang ohne eine systematische Integritätsrisikoanalyse operiert zu haben; Letzteres wurde ausdrücklich als „sehr schwerwiegender Verstoß" (zeer ernstige overtreding) bezeichnet, wobei die Basisstrafe von EUR 500,000 wegen der Schwere und der langen (siebenjährigen) Dauer des Verstoßes um 25% erhöht wurde. Die DNB ist die einzige Regulierungsbehörde in diesem Datensatz, die bereit ist, Verhalten sowohl in ihrer höchsten Schweregradstufe zu kennzeichnen und eine entsprechende Geldstrafe zu verhängen — der SIRA-Fall von CCV ist eine von nur zwei „egregious"-Einstufungen im gesamten Datensatz, und es ist diejenige, bei der tatsächlich Geld floss.

Die Nullstrafen-Maßnahmen der FCA sind keine milden Ergebnisse. Robert Finch und Alec Finch, ehemaliger Direktor/CEO beziehungsweise Direktor von AFL Insurance Brokers, wurden beide auf Level 5 eingestuft — der höchsten Schweregradstufe der FCA — wegen eines „schweren Betrugs", bei dem £3.51 million an Kundengeldern zweckentfremdet wurden; ihre individuellen Strafen wurden mit £169,800 beziehungsweise £121,200 berechnet, bevor sie aufgrund nachgewiesener finanzieller Notlage um 100% auf £0 reduziert wurden, wobei die materielle Sanktion stattdessen aus einer öffentlichen Fehlverhaltensfeststellung sowie einem vollständigen Tätigkeitsverbot bestand. Der Fall Robert Finch ist die andere „egregious"-Einstufung dieses Datensatzes — ein Beleg dafür, dass Schweregrad und Strafhöhe entkoppelt sind, sobald individuelle Zahlungsunfähigkeit in die Berechnung einfließt. Die institutionelle Maßnahme der FCA erzählt dieselbe Geschichte in einem anderen Register: Ihr First Supervisory Notice gegen die Euro Exchange Securities UK Ltd verhängte überhaupt keine Geldstrafe, fror jedoch die Fähigkeit des Unternehmens ein, Kunden aufzunehmen oder neue Gelder entgegenzunehmen, und stellte treuhänderisch verwahrte Gelder bis zur unabhängigen Bestätigung durch Dritte über die CDD/EDD-Sanierung jeder einzelnen Kundenakte unter Sicherungsverwahrung — eine Reaktion auf Feststellungen, wonach alle zehn geprüften Kundenakten unzureichend waren und 4,968 Alarme als nicht verdächtig geschlossen worden waren, wobei 3,294 davon keine dokumentierte Begründung trugen. Für ein EMI ist ein Betriebsstopp eine existenziellere Folge als die meisten in diesem Datensatz erfassten Geldstrafen.

Die MAS folgt demselben nicht-monetären Muster, gestützt durch strafrechtliche Verfahren. Alle drei Maßnahmen Singapurs — das 10-jährige Tätigkeitsverbot gegen Andrew Tiew Siew Ing (32 Monate Haft wegen Betrugs), das 3-jährige Tätigkeitsverbot gegen Li Jinbo (Verschwörung zur Marktmanipulation) und die anhängige strafrechtliche Verfolgung von Samlit Moneychanger Pte. Ltd. sowie dessen Director und Compliance Manager (19 Anklagepunkte wegen Nichtbefolgung einer MAS-Anordnung zur Beschwerdebearbeitung, zuzüglich Behinderungsvorwürfen) — tragen keine Geldstrafe seitens der MAS selbst, doch jede beruht entweder auf einer rechtskräftigen strafrechtlichen Verurteilung oder einer laufenden Strafverfolgung mit Geldstrafen von bis zu S$1 million pro Anklagepunkt, die noch im Raum stehen. Kanadas FINTRAC steht am entgegengesetzten Ende der monetären Skala im Vergleich zur DNB: administrative Geldstrafen von CAD 212,025 ($151,174) gegen Atlantic Lottery Corporation wegen einer versäumten STR und unzureichender Risikobewertung, sowie CAD 33,000 ($23,529) gegen VIP Realty Inc. wegen einer versäumten zweijährigen Überprüfung der Programmwirksamkeit — echte Geldstrafen, jedoch um eine Größenordnung unter den niederländischen Maßnahmen, selbst auf Basis pro Verstoß.

Die Aufschlüsselung nach Branche bestätigt, dass Geografie, nicht der Sektor, die Strafenexposition bestimmt. FinTech-Unternehmen in diesem Datensatz reichten von Euro Exchange Securities ($0, systemisches Kontrollversagen) und Samlit Moneychanger ($0, anhängige Strafverfolgung) bis zur CCV Group ($3.78 million kombiniert über zwei niederländische Maßnahmen) — vergleichbare zugrunde liegende Schwere, radikal unterschiedliche Preisschilder, fast ausschließlich bestimmt davon, welche Regulierungsbehörde den Fall führte. Dasselbe gilt für Banking, wo die gesamte Strafsumme des Sektors von $9.78 million auf eine einzige niederländische Maßnahme (ABN AMRO) gegenüber einer einzigen $0-Maßnahme im Vereinigten Königreich (dem Tätigkeitsverbot von Dharmendra Solanki) zurückgeht. Für Programme mit mehreren Rechtsordnungen ist die Implikation eindeutig: lokale Tochtergesellschaften, die unter der Aufsicht der DNB tätig sind, sind einem Strafrisiko ausgesetzt, das gegen den Konzern-Umsatz berechnet und durch einen Wiederholungstäter-Zuschlag verschärft wird (wie die Vorgeschichte von CCV zeigt), während Tochtergesellschaften unter FCA oder MAS mit betrieblichen Beschränkungen, Tätigkeitsverboten oder strafrechtlicher Überweisung als primärem Hebel rechnen sollten — Konsequenzen, die eine Geschäftssparte schneller zum Erliegen bringen können als jede Geldstrafe, und die ein Compliance-Programm, das nur anhand jurisdiktioneller Strafdurchschnitte benchmarkt, systematisch unterschätzen wird. Programme sollten die regulatorische Haltung nach Instrumententyp (Geldstrafen vs. Beschränkungen vs. Tätigkeitsverbot vs. strafrechtliche Überweisung) neben der Strafhöhe verfolgen und die Sanierungshistorie einer niederländischen Einheit als lebendigen Multiplikator für künftige Exposition behandeln, statt als abgeschlossenes Kapitel.

Analyse der Compliance-Themen

Wo sich der Durchsetzungsdruck konzentriert

Untersuchungen & Berichterstattung war in diesem Zyklus die am stärksten betroffene Compliance-Domäne: Sie erzeugte 14 der insgesamt 32 Befunde (43.8%) und betraf 9 der 11 verschiedenen Einheiten (10 der 12 Maßnahmen) — über 80% des Datensatzes. Sie weist zudem das schärfste Schweregradprofil auf: 5 ihrer 14 Befunde wurden mit der Priorität „Hoch" bewertet, das heißt, allein diese Domäne macht 5 der 8 im gesamten Durchlauf erfassten Befunde mit Priorität „Hoch" aus (62.5%). Ebenso bemerkenswert: Jeder der fünf Kultur-/Tone-Probleme-Ursachenbefunde des Zyklus liegt innerhalb von Untersuchungen & Berichterstattung — keiner findet sich bei KYC & Onboarding, Transaktionsüberwachung oder Sanktionsscreening. Diese Konzentration ist nicht abstrakt: Es ist die Domäne, in der festgestellt wurde, dass Robert Finch und Alec Finch (AFL Insurance Brokers) einen „schwerwiegenden Betrug" orchestriert hatten, der falsche Rückstellungen und den Missbrauch von Kundengeldern umfasste — von der FCA mit Stufe 5, ihrem höchsten Schweregrad, bewertet, wobei Robert Finchs Verhalten ausdrücklich als gravierend eingestuft wurde — und in der festgestellt wurde, dass Dharmendra Solanki, ein zugelassener MLRO, nebenbei ein nicht genehmigtes, mit Drohungen verbundenes Geldverleihgeschäft betrieb. Wenn Untersuchungen und Berichterstattung in diesem Datensatz versagen, handelt es sich überproportional häufig um ein Versagen der Führungsintegrität, nicht um eine Dokumentationslücke.

KYC & Onboarding erzählt eine andere Geschichte. Die Domäne erzeugte das zweithöchste Befundvolumen (10, über 5 Einheiten hinweg), aber kaum Schweregrad: Nur 1 wurde mit „Hoch" bewertet, 9 von 10 mit „Mittel". Governance-Versagen dominiert die Ursachenmischung (6 von 10 Befunden), exemplarisch bei Euro Exchange Securities UK Ltd, wo die FCA alle zehn geprüften Kundenakten als unzureichend einstufte — fehlende CDD, EDD/Herkunftsnachweis der Mittel sowie PEP-/Sanktions-/Adverse-Media-Screening, einschließlich eines übersehenen FBI-Ermittlungstreffers in Open-Source-Medien — sowie bei ABN AMRO, wo die DNB feststellte, dass die laufende Sorgfaltspflichtprüfung sich „entscheidend" auf unverifizierte Kundenangaben stützte, sowie auf eine unbegründete Herabstufung von „inakzeptabel" auf „mittleres" Risiko. KYC-Schwächen sind in diesem Zyklus breit gestreut und struktureller Natur, waren jedoch nach bisheriger Erkenntnislage seltener allein der Haupttreiber eines gravierenden Befunds.

Transaktionsüberwachung liegt zwischen den beiden: 6 Befunde über 5 Einheiten, aber 2 von 6 mit „Hoch" bewertet (33%) — eine höhere Schweregradquote als bei KYC trotz des geringeren Volumens — und sie ist die Domäne, die am stärksten mit Datenqualitätsproblemen assoziiert ist (2 der 4 derartigen Befunde im Datensatz). Die DNB-Geldbuße von EUR 2.66M gegen CCV Group B.V. ist das klarste Beispiel: Überwachungsregeln (BR0076/BR0078) waren außer Betrieb, eine „PF7-Lücke" kennzeichnete Transaktionen ein Jahr lang falsch, Händlerprofile wurden nicht aktualisiert, weil CDD-Analysten den Systemzugang verloren hatten, und 25 von 49 stichprobenartig geprüften Alarmen wurden ohne angemessene Untersuchung geschlossen — ein Problem der Datenzufuhr und Zugriffskontrolle, kein Problem der Modelloptimierung. Sanktionsscreening bleibt dem Volumen nach die kleinste Domäne (2 Befunde, 2 Einheiten, beide mit Priorität „Mittel"), verdient jedoch gerade wegen dieser Dünnheit Erwähnung: Seine einzigen zwei Auftritte in diesem Zyklus waren in zwei der größten, systemischsten Maßnahmen eingebettet (Euro Exchange, ABN AMRO) und traten nie eigenständig auf.

Das Multi-Domänen-Muster

Die Ko-Okkurrenz-Daten bestätigen, dass Untersuchungen & Berichterstattung als Bindegewebe über die Versagensfälle dieses Zyklus hinweg fungiert und nicht als isolierter Kontrollpunkt. Die Domäne tritt in 6 Maßnahmen gemeinsam mit KYC & Onboarding auf — die häufigste Domänenkombination überhaupt — und in 5 gemeinsam mit Transaktionsüberwachung. Selbst Sanktionsscreening, die Domäne mit dem geringsten Volumen, tritt in beiden ihrer 2 Auftritte gemeinsam mit Untersuchungen & Berichterstattung auf und erscheint nie allein. In der Praxis bedeutet dies, dass ein Unternehmen selten isoliert an „Screening" oder „Überwachung" scheitert; der von den Aufsichtsbehörden dokumentierte Befund lautet, dass durch schwaches KYC oder Screening erzeugte Alarme anschließend zusätzlich falsch gehandhabt, unzureichend eskaliert oder nie gemeldet wurden. Euro Exchange Securities UK Ltd ist das eindrücklichste Einzelbeispiel: gleichzeitig in allen vier Domänen beanstandet, mit 4,968 als „nicht verdächtig" geschlossenen Transaktionsüberwachungsalarmen, 3,294 ohne dokumentierte Begründung und nur einem einzigen jemals eskalierten Fall — geprüft von nur einer einzigen Person. Die Geldbuße der ABN AMRO in Höhe von EUR 8.5M (USD 9.78M), die höchste Strafe des Zyklus, zeigt dasselbe Vier-Domänen-Muster: eine zweimonatige Verzögerung bei der Erkennung eines Bargeld-Durchlaufs von EUR 500,000+, nicht bewertete Signale für eine mögliche Umgehung von Russland-Sanktionen und eine verzögerte Meldung an die FIU-NL — alles zurückzuführen auf ein einziges Grunddefizit, nämlich unzureichende laufende Sorgfaltspflichtprüfung, das sich durch den weiteren Lebenszyklus fortpflanzte. Die beiden separaten DNB-Geldbußen gegen die CCV Group, die im selben Veröffentlichungszyklus 2026 bekannt wurden (die Überwachungs-Geldbuße von EUR 2.66M und eine Geldbuße von EUR 625,000 dafür, sieben Jahre lang ohne systematische Integritätsrisikoanalyse operiert zu haben — von der DNB als „sehr schwerwiegender Verstoß" eingestuft und der andere gravierende Befund dieses Zyklus), zeigen, dass strukturelle Governance- und Prozesslücken sich über Prüfungszyklen hinweg wiederholen, statt sich aufzulösen. Im Gegensatz dazu zog die Maßnahme gegen VIP Realty — eine einzelne Domäne, ein einzelner Befund, nämlich eine versäumte zweijährige Überprüfung der Wirksamkeit des AML-Programms — die niedrigste Strafe dieses Zyklus nach sich (USD 23,529), was zu dem Muster passt, dass isolierte Lücken in nur einer Domäne finanziell und reputationsseitig deutlich weniger schwer wiegen als sich überlagernde Lücken in mehreren Domänen. Bemerkenswert ist zudem, dass keine der 12 Maßnahmen eine freiwillige Selbstanzeige beinhaltete; jeder Befund in diesem Datensatz wurde durch eine Prüfung, ein Strafverfahren oder eine zivilrechtliche Klage Dritter aufgedeckt, nicht durch das Institut selbst.

Priorisierungsempfehlungen

1. Untersuchungen & Berichterstattung als oberste aufsichtsrechtliche Priorität behandeln. Die Domäne weist die höchste Abdeckung an Einheiten, die Mehrheit der Befunde mit Priorität „Hoch" und 100% der Kultur-/Tone-Probleme-Befunde dieses Zyklus auf. Priorität sollten unabhängige QA-Stichproben zur Behandlung von Alarmen und zu SAR-/STR-Entscheidungen, die Beseitigung von Ein-Personen-Prüfungsengpässen (siehe Euro Exchange) sowie MLRO-/Vorstandsebene-Integritätsbestätigungen erhalten — die Fälle Solanki und Finch zeigen, dass Fehlverhalten auf Führungsebene, nicht Dokumentationslücken, diese Domäne zu einem gravierenden Fall eskalieren lassen.
2. KYC & Onboarding als Breitenproblem behandeln, noch nicht als Schweregradkrise. Da 90% ihrer Befunde mit „Mittel" bewertet wurden, sollten Ressourcen vorrangig in Auslöser für laufende Sorgfaltspflichtprüfungen, den Turnus periodischer Überprüfungen und die Disziplin bei der EDD-Dokumentation (siehe Euro Exchange und ABN AMRO) fließen, bevor ein kompletter Umbau der Onboarding-Systeme angegangen wird.
3. Die Datenherkunft der Transaktionsüberwachung als eigenständigen Arbeitsstrang getrennt von der Alarm-Feinabstimmung prüfen. CCVs Lücken bei Datenzufuhr und Zugriffskontrolle — nicht das Modelldesign — waren Treiber der zweitgrößten Einzelstrafe dieses Zyklus; Unternehmen sollten überprüfen, ob Überwachungssysteme tatsächlich vollständige, aktuelle Transaktions- und Händlerdaten erhalten, bevor sie in Verbesserungen der Erkennungslogik investieren.
4. Sanktionsscreening nicht allein aufgrund des Volumens herabstufen. Seine beiden Befunde in diesem Zyklus lagen beide innerhalb der größten, systemischsten Maßnahmen des Datensatzes — die Screening-Prüfung sollte in dieselbe Fallakte wie KYC/EDD integriert werden, statt sie als eigenständigen Checklistenpunkt zu behandeln.
5. Governance-, Prozess- und Kultur-Sanierung vor neuer Technologie finanzieren. Governance-Versagen (34.4% der Befunde) und Prozessgestaltungsmangel (31.3%) machen zusammen zwei Drittel aller Befunde dieses Zyklus aus, während Unzureichende Technologie und Externe Faktoren jeweils null Prozent ausmachen — die Evidenz stützt Technologielücken nicht als primären Treiber dieses Zyklus.
6. Fallakten auf vernetztes Versagen stresstesten, nicht auf isolierte Compliance. Da Untersuchungen & Berichterstattung in 6 Maßnahmen gemeinsam mit KYC & Onboarding und in 5 gemeinsam mit Transaktionsüberwachung auftritt, sollte die interne Revision gezielt prüfen, ob eine KYC-Lücke in derselben Akte auch als nicht eskalierter Alarm oder nicht eingereichter SAR erscheint — das Muster, das Aufsichtsbehörden vorfinden —, statt jede Domäne unabhängig zu prüfen.

Häufigkeit der Befunde nach Domäne

Ko-Okkurrenz mehrerer Domänen

Ursachenanalyse

Das dominante Muster: Governance und Prozesse, nicht Technologie

Von den 32 Befunden, die aus den 12 Maßnahmen dieses Monats extrahiert wurden, entfallen auf zwei Ursachen fast zwei Drittel aller Befunde: Governance-Versagen (11 Befunde, 34.4%) und Prozessgestaltungsmangel (10 Befunde, 31.3%). Kultur-/Tone-Probleme (5, 15.6%) und Datenqualitätsprobleme (4, 12.5%) liegen deutlich dahinter, wobei Ressourcenengpässe und Informations-Silobildung jeweils nur einmal auftreten (3.1%). Besonders bemerkenswert: Unzureichende Technologie und Externe Faktoren verzeichnen null Befunde in diesem Durchlauf. Nicht eine einzige der 12 Maßnahmen — die sich über britische, singapurische, kanadische und niederländische Aufsichtsbehörden erstrecken — wurde darauf zurückgeführt, dass Unternehmen die Werkzeuge zur Erkennung des zugrunde liegenden Risikos fehlten. Die ABN AMRO Bank N.V. verfügte über die Systeme, um ein Muster von Bargeld-Durchläufen von EUR 500,000+ zu erkennen; der Befund der DNB lautete, dass die Bank zwei Monate brauchte, um darauf zu reagieren, und zuließ, dass eine „inakzeptable" Risikoeinstufung ohne Begründung stillschweigend herabgestuft wurde. Die Transaktionsüberwachungsplattform von Euro Exchange Securities UK Ltd erzeugte 4,968 Alarme in einer einzigen Kundenakte — das Versagen bestand darin, dass eine einzige Person sie prüfte, 3,294 keine dokumentierte Begründung trugen und nur einer jemals eskaliert wurde. Die durchgängige Erkenntnis dieses Monats ist, dass Unternehmen über angemessene Erkennungsfähigkeiten verfügen, aber auf der darüberliegenden Governance-Ebene versagen: wer Ergebnisse prüft, wer Risikoherabstufungen hinterfragt und ob Richtlinien tatsächlich befolgt werden.

Strafgewichtetes Risiko: Prozessgestaltung verursacht die höchsten Kosten

Gewichtet man die Ursachen nach den mit jeder Maßnahme verbundenen USD-Strafen, verändert sich das Bild. Von den insgesamt USD 13,734,922 an in diesem Monat verhängten Strafen entfallen auf Prozessgestaltungsmangel USD 6,550,379 — 47.7% aller Strafdollar —, obwohl er zahlenmäßig nur 31.3% der Befunde ausmacht. Es folgt Governance-Versagen mit USD 3,069,717 (22.3%), dann Kultur-/Tone-Probleme mit USD 1,956,700 (14.2%), Datenqualitätsprobleme mit USD 1,478,715 (10.8%) und Informations-Silobildung mit USD 679,410 (4.9%). Ressourcenengpässe und Unzureichende Technologie trugen kein Strafgewicht — was dazu passt, dass der eine Ressourcenengpässe-Befund (der Ein-Personen-Prüfungsengpass bei Euro Exchange Securities UK Ltd) innerhalb einer Maßnahme lag, bei der die FCA Beschränkungen statt einer Geldbuße verhängte.

Die Konzentration der Strafdollar bei Prozessgestaltungsmangel wird von den beiden größten Geldbußen dieses Monats getrieben. Die Maßnahme der DNB gegen ABN AMRO über EUR 8.5 million (USD 9,783,500) — die größte Einzelstrafe dieses Durchlaufs — nannte Prozessgestaltungsmangel neben Governance-Versagen und Kultur-/Tone-Probleme als Ursachen: Risikoindikatoren (große Bargeldflüsse, Transaktionen mit Hochrisikoländern, Güter mit doppeltem Verwendungszweck, mögliche Signale für eine Umgehung von Russland-Sanktionen) wurden nie in Kombination bewertet — ein Gestaltungsfehler darin, wie der Sorgfaltspflichtprozess der Bank ihre eigenen Signale zusammenführte, und kein Erkennungsversagen. Die Geldbuße der DNB gegen die CCV Group B.V. in Höhe von EUR 2,656,250 (USD 3,057,344) für ihre Lücken bei der kontinuierlichen Überwachung — die „Ecom-Lücke" (2021–Juni 2023) und der „PF7-Lücke"-Kennzeichnungsfehler (Juli 2023–Juli 2024), durch die Transaktionen unüberwacht blieben, sowie 25 von 49 stichprobenartig geprüfte Alarme, die nicht angemessen untersucht wurden — legte Prozessgestaltungsmangel über Datenqualitätsprobleme und den einzigen Informations-Silobildung-Befund dieses Monats (CDD-Analysten, die den Systemzugang verloren). Bemerkenswert ist, dass die CCV bereits Wiederholungstäterin war, da sie 2020 bereits für dieselbe Wwft-Norm mit einer Geldbuße belegt worden war, und dadurch einen Verschuldenszuschlag von 25% erhielt — eine unmittelbare Veranschaulichung dafür, wie sich Prozessgestaltungsschulden im Zeitverlauf zu einem höheren Strafrisiko aufsummieren.

Wie sich Ursachen je nach Domäne unterscheiden

Die Ursachenmischung verändert sich deutlich je nachdem, welche Compliance-Domäne betrachtet wird, und das Muster gibt Aufschluss darüber, worauf jede Funktion ihre Abhilfemaßnahmen konzentrieren sollte:

• KYC & Onboarding (10 Befunde) ist überwiegend eine Governance-Geschichte: 6 der 10 Befunde sind Governance-Versagen, gegenüber 3 Prozessgestaltungsmangel und 1 Informations-Silobildung. Dies ist die Domäne, in der ABN AMROs unverifizierte Kundenangaben und unbegründete Risikoherabstufung, Euro Exchange Securities' zehn von zehn unzureichende Kundenakten und Atlantic Lotterys nicht genehmigte und veraltete Compliance-Richtlinien allesamt landen. Der rote Faden ist eine Aufsichtsdisziplin, die mit ansonsten angemessenen Onboarding-Prozessen nicht Schritt hält — oder auf diese schlicht nie angewendet wird.
• Transaktionsüberwachung (6 Befunde) ist die einzige Domäne, in der sich Ressourcenengpässe und Datenqualitätsprobleme konzentrieren (1 bzw. 2 Befunde, neben 1 Prozessgestaltungsmangel und 2 Governance-Versagen). Dies betrifft unmittelbar CCVs unbestückte Überwachungsregeln (BR0076/BR0078 für einen erheblichen Anteil der Händler außer Betrieb) und Euro Exchanges Prüfungsengpass durch eine einzelne Person bei Tausenden von Alarmen — Daten- und Personallücken, die speziell die Vollständigkeit und angemessene Ressourcenausstattung der Überwachungs-Pipelines betreffen, keine Erkennungslogik-Versagen.
• Sanktionsscreening ist die kleinste Domäne (2 Befunde), und beide sind Prozessgestaltungsmangel — was ABN AMROs Versäumnis widerspiegelt, Signale für Sanktionsumgehung neben anderen Risikoindikatoren zu gewichten, und keine Lücke im Screening-Werkzeug.
• Untersuchungen & Berichterstattung (14 Befunde, die größte Domäne) ist der Ort, an dem alle 5 Kultur-/Tone-Probleme-Befunde dieses Monats liegen, neben 4 Prozessgestaltungsmangel, 3 Governance-Versagen und 2 Datenqualitätsprobleme. Diese Domäne erfasst die Maßnahmen zu individuellem Fehlverhalten dieses Monats: Dharmendra Devji Solanki, der ein nicht genehmigtes, räuberisches Geldverleihgeschäft betrieb, während er als zugelassener MLRO tätig war; den Stufe-5-„schwerwiegenden Betrug" von Alec Finch und Robert Finch bei AFL Insurance Brokers, der falsche buchhalterische Rückstellungen und Falschdarstellungen umfasste, um einen Aktienverkauf im Wert von £2.12 million herbeizuführen; sowie den Compliance-Manager von Samlit Moneychanger, dem wegen Behinderung der Justiz im Zusammenhang mit der Einmischung in eine Ermittlung der Singapore Police Force Anklage droht. Tone-at-the-Top-Versagen auf individueller Ebene und auf Ebene des oberen Managements, nicht Prozesslücken, sind die maßgebliche Ursache, wenn Berichterstattungs- und Untersuchungsintegrität versagen.

Die Ko-Okkurrenz-Daten untermauern, dass diese Domänenversagen selten begrenzt bleiben: Untersuchungen & Berichterstattung überschneidet sich in 6 Befunden mit KYC & Onboarding und in 5 mit Transaktionsüberwachung — die höchsten Paarungen dieses Monats —, was bedeutet, dass eine Governance- oder Prozesslücke in einer Domäne regelmäßig nachgelagert als Berichterstattungs- oder Eskalationsversagen zutage tritt (z. B. ABN AMROs verspätete und nie eingereichte Meldungen ungewöhnlicher Transaktionen an die FIU-NL infolge ihrer Onboarding- und Überwachungslücken).

Strategische Empfehlungen

Governance-Architektur vor neuer Erkennungstechnologie priorisieren. Da null Befunde auf Unzureichende Technologie zurückgeführt werden und sich 70% der Strafdollar auf Prozessgestaltungsmangel und Governance-Versagen zusammen konzentrieren, lösen Institute, die ein „Mehr-Tools-kaufen"-Playbook fahren, in diesem Zyklus das falsche Problem. Die ertragreichere Investition liegt in der Kontrollschicht rund um bestehende Systeme: verpflichtende Doppelprüfungen oder Eskalationsauslöser bei der Herabstufung der Risikoeinstufung eines Kunden (genau die Lücke, die die DNB bei ABN AMRO feststellte), Anforderungen an eine dokumentierte Begründung bei geschlossenen Alarmen statt Sammelabwicklungen (die Lücke sowohl bei Euro Exchange Securities als auch bei CCV), sowie periodische, von einer leitenden Person genehmigte Richtlinienüberprüfungszyklen (die Lücke bei Atlantic Lottery und VIP Realty).

Die Eignung von MLRO und oberem Management als laufende Kontrolle behandeln, nicht als einmaliges Zulassungstor. Jeder Kultur-/Tone-Probleme-Befund dieses Monats war Untersuchungen & Berichterstattung zugeordnet, und jeder dieser Fälle wurde durch Strafverfolgung oder Zivilklage aufgedeckt, nicht durch interne Eskalation — Solankis Verurteilung, das High-Court-Urteil gegen die Finches, die Anklage wegen Behinderung der Justiz gegen den Compliance-Manager von Samlit. Unternehmen sollten kontinuierliches Verhaltensmonitoring sowie ein Screening auf externe Rechtsstreitigkeiten/Adverse Media fest in die Aufsicht über MLRO und Direktoren einbauen, statt sich allein auf die anfängliche Prüfung zugelassener Personen zu verlassen.

Prüfungen der Vollständigkeit der Überwachungs-Pipeline finanzieren, nicht nur die Alarmvolumen-Kapazität. Die für die Domäne Transaktionsüberwachung charakteristische Mischung aus Datenqualitätsproblemen und Ressourcenengpässen weist auf einen spezifischen, überprüfbaren Versagensmodus hin: Transaktionen oder Händlerprofile, die stillschweigend vom Überwachungsumfang ausgeschlossen wurden (CCVs Ecom-Lücke und PF7-Lücke), sowie Single Points of Failure bei der Alarmprüfung (Euro Exchanges einzelner Prüfer). Ein periodischer Abgleich zwischen Transaktionsvolumen und überwachtem Volumen sowie an den Alarmdurchsatz gekoppelte Mindestpersonalquoten hätten beide Lücken aufgedeckt, bevor sie zu Geldbußen führten.

Bei Onboarding und Sanktionsscreening eine kombinatorische statt sequenzielle Prüfung der Risikoindikatoren verlangen. ABN AMROs Kernversagen — einzeln bekannte Risikoindikatoren (Bargeldflüsse, Hochrisikojurisdiktionen, Güter mit doppeltem Verwendungszweck, Signale für Sanktionsumgehung), die nie gemeinsam bewertet wurden — ist eine Prozessgestaltungskorrektur, keine Technologielücke: explizite Freigabeschritte einbauen, die vor dem Abschluss von EDD-Schlussfolgerungen eine zusammengesetzte Risikosicht erzwingen, zumal dieses Muster einen überproportionalen Anteil (47.7%) am gesamten Strafrisiko dieses Monats trägt.

Auf die Kombination Governance-plus-Kultur oder Governance-plus-Prozess als Schwelle zur Gravierendheit achten. Beide in diesem Monat als gravierend eingestuften Maßnahmen — Robert Finchs Tätigkeitsverbot (Governance-Versagen plus Kultur-/Tone-Probleme) und CCVs SIRA-Geldbuße (Governance-Versagen plus Prozessgestaltungsmangel plus Datenqualitätsprobleme, von der DNB als „zeer ernstige overtreding" bezeichnet, weil sieben Jahre lang überhaupt keine Integritätsrisikoanalyse durchgeführt wurde) — verbanden Governance-Versagen jeweils mit einer zweiten Ursache, statt allein zu stehen. Institute mit einem bestehenden Governance-Versagen-Befund in einer Selbstbewertung sollten jede begleitende Prozess- oder Kulturlücke als das Durchsetzungsrisiko wesentlich erhöhend behandeln, nicht als eigenständiges, nachrangiges Problem.

Häufigkeit der Ursachen

Ursache nach Domäne

Strafe nach Ursache (prioritätsgewichtete Zuordnung: Hoch ×3, Mittel ×2, Niedrig ×1)

Prioritätsverteilung

Die Priorität spiegelt den Schweregrad-Entscheidungsbaum wider, der zum Zeitpunkt der Extraktion auf jeden Befund angewendet wird (Hoch: zurechenbare Strafe >$10M, als eklatant eingestuftes Verhalten, eine Lücke, die tatsächliche illegale Aktivität ermöglichte, oder eine strafrechtliche Anzeige als Folge; Mittel: erhebliche Kontrollschwäche mit expliziter aufsichtsrechtlicher Kritik; Niedrig: eine Dokumentations-/Verfahrenslücke ohne Nachweis einer Ausnutzung). Die untenstehende Kreuztabelle zeigt, wie sich die 32 Befunde dieses Durchlaufs auf die vier Compliance-Bereiche verteilen — Untersuchungen & Meldewesen weist sowohl das höchste Volumen als auch die höchste Konzentration an Befunden mit hoher Priorität auf, während KYC & Onboarding und Sanktionsscreening fast ausschließlich Mittel sind.

KI-Investitionsthemen

Die obigen Befunde zeigen zudem auf, wo KI-gestützte Kontrollen die Lücken dieses Zyklus am direktesten schließen könnten — nützlicher Kontext für Compliance- und Technologieteams, die ihre eigene Roadmap abwägen.

Governance-Versagen

Automatisierter Kundengeldabgleich mit ML-Anomalieerkennung über Kundenkontoflüsse

• Technologie: Automatisierter CASS-Kundengeldabgleich mit regelbasierter-plus-ML-Transaktionsanomalieerkennung
• Erwarteter Nutzen: Erkennt unrechtmäßige Abhebungen von treuhänderisch verwahrten Kundengeldern innerhalb von Tagen statt Jahren und schließt den Mechanismus der gefälschten Berechnungen (£3.51m entnommen über 25-Tage-Berechnungen), wodurch Kundengelder geschützt und das Risiko der Insolvenzverschleierung reduziert werden.
• ROI-Zeitrahmen: 6-12 Monate
• Risiken: Privilegierte Insider, die die Pipeline übersteuern oder deaktivieren — erfordert unveränderliche Protokollierung und unabhängige Aufsicht über das Monitoring selbst; Datenqualität von Hauptbuch/Bank-Feed — Garbage-in-Abgleiche erzeugen falsche Sicherheit; Alarmmüdigkeit in kleinen Unternehmen ohne dediziertes Compliance-Personal; aufsichtsrechtliches Vertrauen erfordert validierte, erklärbare Berechnungen im Rahmen der CASS/SUP-Prüfung.
• Begründung: Die Governance-Kontrolle mit der größten Wirkung in dieser Auswahl: adressiert einen prominenten Kundengeld-Diebstahl (£3.51m, 6+ Jahre unentdeckt) mit einem Abgleich hoher Umsetzbarkeit und schnellem ROI. Unterscheidet sich von den Auswahlpunkten zu Kundentransaktions- und Journalbuchungs-Anomalien durch die Datendomäne (CASS-Kunden- vs. Geschäftskontoflüsse) und den Kontrollansatz (unabhängiger Abgleich mit Eskalation an einen NED).

LLM-Copilot zur Entscheidungsprüfung für die Risikoklassifizierungs-Governance

• Technologie: LLM-basierter Copilot zur Entscheidungsprüfung, der Änderungen der Risikoeinstufung gegen die vollständige Fallakte prüft
• Erwarteter Nutzen: 100% Abdeckung der Neueinstufungsentscheidungen mit evidenzverknüpfter Prüfung, wodurch unbegründete Herabstufungen von "unacceptable" blockiert werden, die die verstärkte Überwachung deaktivieren, mit einer prüfbaren Begründungsspur für die Aufsichtsperson.
• ROI-Zeitrahmen: 12-18 Monate
• Risiken: Anforderungen an Erklärbarkeit seitens der DNB und der Hochrisiko-Entscheidungsunterstützungspflichten des EU AI Act; übermäßiges Vertrauen, das die menschliche Gegenprüfung eher untergräbt als stärkt; Halluzinationsrisiko, das eine strikte Verankerung der Abfrage in den Aktendaten erfordert.
• Begründung: Zielt auf den Kern der Governance ab — Aufsicht und Anfechtung der Entscheidungen selbst (die unbegründete Herabstufung bei Client 4) — mit 100% Abdeckung im Vergleich zu manueller Stichprobenprüfung, hohe Umsetzbarkeit. Unterscheidet sich vom Untersuchungs-Copilot im Bereich Kultur durch das Ziel: Neueinstufung der Risikobewertung versus Qualität des Untersuchungsabschlusses.

LLM-gestütztes Management regulatorischer Änderungen und Richtlinienlückenanalyse

• Technologie: LLM-Pipeline, die Gesetze, ministerielle Weisungen und Branchenleitlinien mit internen Richtlinien abgleicht, um Lücken zu markieren und Änderungsentwürfe (Redlines) zu erstellen
• Erwarteter Nutzen: Kontinuierliche Gewährleistung, dass Richtlinien mit regulatorischen Änderungen aktuell bleiben (die von FINTRAC festgestellten "missing key regulatory requirements"), drastisch verkürzte Aktualisierungszyklen und dokumentierte Rückverfolgbarkeit von jeder Pflicht zu einer Kontrolle.
• ROI-Zeitrahmen: 3-6 Monate
• Risiken: LLM-Halluzination erfordert eine rechtliche/Compliance-Prüfung der Ausgaben; der regulatorische Korpus muss maßgeblich und aktuell gehalten werden; der Genehmigungsworkflow muss in menschlicher Verantwortung bleiben, um die Anforderung der Genehmigung durch eine leitende Führungskraft zu erfüllen.
• Begründung: Deckt das Fehlermuster der Programmaktualität (veraltete/fehlende Richtlinienanforderungen) zu den geringsten Kosten und mit dem schnellsten ROI ab (3-6 Monate, hohe Umsetzbarkeit). Ein Archetyp der Zuordnung von regulatorischem Korpus zu Richtlinien, der sonst nirgends in der ausgewählten Gruppe vorkommt.

Perpetual-KYC- / ereignisgesteuerte Überprüfungs-Trigger-Engine

• Technologie: Ereignisgesteuerte Überprüfungs-Trigger-Engine über Änderungen von Kundendaten, Bewegungen der Risikoeinstufung und Indikatoren für ungewöhnliche Aktivitäten
• Erwarteter Nutzen: Überprüfungen werden ausgelöst, wenn sich das Risiko ändert, statt nie oder nur unter aufsichtsrechtlichem Druck, und ersetzen den gescheiterten kalenderbasierten Prozess, mit einem vollständigen Prüfpfad zu Zeitpunkt, Schritten und Schlussfolgerungen der Überprüfung gemäß reg 28(11)/27(8).
• ROI-Zeitrahmen: 6-12 Monate
• Risiken: Zu häufiges Auslösen von Triggern, das Überprüfungsrückstände erzeugt, die ein kleines Team nicht bewältigen kann; Abhängigkeit von bereinigten zugrunde liegenden Kundendaten; Change-Management-Last für ein Unternehmen mit schwacher Governance.
• Begründung: Adressiert das durchgängige Governance-Versagen von Überprüfungen, die selbst unter der eigenen Richtlinie des Unternehmens nie stattfanden, bei hoher Umsetzbarkeit. Unterscheidet sich vom Onboarding-IDP-Auswahlpunkt, da der Fokus auf der laufenden Trigger-Ebene für den Überprüfungsrhythmus liegt statt auf der Entscheidungsfindung bei Neukunden.

Prozessgestaltungsfehler

Intelligente Dokumentenverarbeitung mit erklärbarem Onboarding-Risiko-Scoring

• Technologie: OCR/LLM-Dokumentenextraktion plus regelbasiertes-plus-ML-Kunden-Risiko-Scoring beim Onboarding
• Erwarteter Nutzen: Konsistente, prüfbare CRA/CDD beim Onboarding — Erfassung abgelaufener Ausweisdokumente, nicht belegter Adressnachweise und nicht übereinstimmender Entitätsdatensätze, sowie Erstellung einer dokumentierten Risikobegründung, die Prüfer genehmigen, bevor Transaktionen ermöglicht werden (in allen zehn Akten fehlte dies).
• ROI-Zeitrahmen: 6-12 Monate
• Risiken: Modell- und Extraktionsfehler bei minderwertigen Altdokumenten; aufsichtsrechtliche Prüfung der Erklärbarkeit des automatisierten Risiko-Scorings — menschliche Genehmigung muss im Prozess verbleiben; Garbage-in-Risiko angesichts der bestehenden Datenqualitätsprobleme des Unternehmens.
• Begründung: Deckt die häufigste Prozesslücke ab — undokumentierte CRA und mangelhafte Identitäts-/wirtschaftlich-Berechtigten-Prüfung — bei hoher Umsetzbarkeit. Unterscheidet sich vom Datenqualität-Archivindexierungs-Auswahlpunkt durch den Zweck: vorausschauende Onboarding-Entscheidungsfindung versus rückblickende Aktenrecherche.

Transliterationssensitives Sanktionsscreening mit Adverse-Media- und Auflösung verbundener Parteien

• Technologie: Fuzzy-/phonetischer Namensabgleich Screening mit NLP-Adverse-Media-Analyse und Entitätsauflösung für verbundene Parteien
• Erwarteter Nutzen: Vollständiges, zeitnahes Screening von Kunden und ihren Direktoren/Eigentümern — wodurch das Versagen bei falsch geschriebenen Namen behoben und übersehene Adverse Media aufgedeckt werden (z. B. das mutmaßliche Geldwäscheschema/die FBI-Ermittlung) — wobei jeder potenzielle Treffer gemäß reg 28 und 35 disponiert und geprüft wird.
• ROI-Zeitrahmen: 3-9 Monate
• Risiken: Volumen an Falsch-Positiven, das ein knapp besetztes Beurteilungsteam überfordert; Grenzen bei Abdeckung und Präzision der Adverse-Media-Quellen; automatische Disposition von Treffern würde aufsichtsrechtliche Beanstandungen nach sich ziehen — menschliche Beurteilung mit QA erforderlich.
• Begründung: Der einzige Sanktionsscreening-Auswahlpunkt der Gruppe, der eine zentrale AML-Säule sowie zwei unterschiedliche Fehlerarten abdeckt (Namensabgleich sowie übersehene Medien/verbundene Parteien) bei hoher Umsetzbarkeit und schnellem ROI. Kein nahes Duplikat an anderer Stelle.

Verhaltensbasierte Transaktionsanomalieerkennung mit Netzwerkanalytik

• Technologie: Machine-Learning-Modelle auf Verhaltenssequenzen auf Kontoebene, kombiniert mit Graphanalytik zur Verknüpfung von Feeder-Entitäten
• Erwarteter Nutzen: Verkürzt die Erkennungslatenz von den beobachteten 2+ Monaten auf Tage, markiert automatisch materiell ähnliche Transaktionen, die der Bank entgangen sind, und löst Beschränkungen aus, die Aktivitäten nach der Einstufung als "unacceptable" verhindern (die EUR 130,000, die nach der Klassifizierung noch flossen).
• ROI-Zeitrahmen: 12-24 Monate
• Risiken: Volumen an Falsch-Positiven, das die Untersuchungskapazität überfordert; Last der Modellvalidierung und Governance unter aufsichtsrechtlicher Prüfung; Datenqualität der Gegenparteien, die die Genauigkeit der Netzwerkverknüpfung einschränkt.
• Begründung: Der zentrale Auswahlpunkt zum Erkennungsdesign der Transaktionsüberwachung, der langsame Erkennung und übersehene ähnliche Transaktionen adressiert. Unterscheidet sich von den Anomalie-Auswahlpunkten Kundengeldabgleich (Governance) und Journalbuchungen (Kultur) durch die Datendomäne (Kundentransaktionen/Gegenparteinetzwerke) und das Problem (übersehene verdächtige Aktivität).

Deterministische Schwellenwert-Melde-Engine mit automatisierter FIU-Einreichung und Nachweisverfolgung

• Technologie: Deterministische Regel-Engine mit automatisierter Erstellung von FIU-Meldungen zu ungewöhnlichen Transaktionen und Archivierung von Einreichungsnachweisen
• Erwarteter Nutzen: Nahezu keine verpassten oder verspäteten Meldungen zu objektiven Indikatoren mehr (fünf wurden verpasst; Lookbacks trafen 2-5 Wochen verspätet ein) sowie sofortiger, evidenzgestützter Nachweis der Einreichung, den CCV nicht belegen konnte — bei geringen Kosten, da der Indikator vollständig deterministisch ist.
• ROI-Zeitrahmen: 3-6 Monate
• Risiken: Upstream-Abhängigkeit: funktioniert nur, wenn das TM-System tatsächlich alle Transaktionen erhält (Datenqualitätskorrekturen sind eine Voraussetzung); die Erfassung beabsichtigter, aber nicht ausgeführter Transaktionen erfordert Ereignisse vor der Ausführung; Kontrollen gegen Doppelmeldungen sind erforderlich, wenn sich Lookbacks mit der laufenden Erkennung überschneiden.
• Begründung: Die günstigste, schnellste Korrektur des Melde-Workflows (3-6 Monate), die das Meldeversagen bei objektiven Indikatoren abdeckt. Bewusst nicht ML-basiert, wodurch sie sich von jedem anderen Auswahlpunkt unterscheidet und die ML-Erkennungsebenen ergänzt.

Kultur-/Tonalitätsprobleme

Kontinuierliches Adverse-Media- und Öffentliche-Register-Screening zugelassener Personen

• Technologie: NLP-basiertes fortlaufendes Adverse-Media- und Öffentliche-Register-Screening mit Entitätsauflösung
• Erwarteter Nutzen: Erkennt Strafverfahren oder nicht offengelegte Geschäftstätigkeit leitender Führungskräfte (SMF16/17) innerhalb von Tagen statt Jahren — hier lief das Fehlverhalten ~3.5 Jahre und kam erst bei der Verhaftung ans Licht — und ermöglicht so eine umgehende Suspendierung und Meldung an die Aufsichtsbehörde.
• ROI-Zeitrahmen: 6-12 Monate
• Risiken: Falsch-Positive bei gängigen Namen, die zu ungerechtfertigten arbeitsrechtlichen Maßnahmen führen; datenschutz- und arbeitsrechtliche Beschränkungen bei der Überwachung von Mitarbeitenden; schwankende Zuverlässigkeit und Abdeckung von Adverse-Media- und Gerichtsregisterquellen.
• Begründung: Zielt direkt auf das "Tone-at-the-Top"-Versagen unentdeckten Fehlverhaltens leitender Führungskräfte ab, bei hoher Umsetzbarkeit. Unterscheidet sich vom Sanktionsscreening-Auswahlpunkt durch Gegenstand und Zweck — Integritätsüberwachung von Mitarbeitenden/zugelassenen Personen statt Sanktionsscreening von Kunden.

Journalbuchungs-Anomalieerkennung mit NLP-Abgleich zwischen Hauptbuch und Kommunikation

• Technologie: ML-Anomalieerkennung auf Buchungsjournalen, kombiniert mit NLP-Abgleich von E-Mails und Vorstandsprotokollen gegen Hauptbuchbuchungen
• Erwarteter Nutzen: Erkennt fiktive Umsatzabgrenzungen und Bilanzaufblähung innerhalb von ein bis zwei Rechnungsperioden statt der hier erreichten 6+ Jahre, mit einer unabhängigen Nachweisspur, die eine Übersteuerung durch das Senior Management übersteht.
• ROI-Zeitrahmen: 12-18 Monate
• Risiken: Insider mit Administratorrechten in leitender Position können Alarme unterdrücken oder anpassen — erfordert eine unabhängige Alarmweiterleitung an den Prüfungsausschuss/externen Prüfer; Falsch-Positive bei legitimen, aber ungewöhnlichen Abgrenzungen, die zu Alarmmüdigkeit führen; datenschutz- und rechtliche Beschränkungen beim Durchsuchen von Mitarbeiterkommunikation; Anforderungen an Modell-Governance und Erklärbarkeit für die Verlässlichkeit im Rahmen der Prüfung.
• Begründung: Adressiert die klassische Kultur der Übersteuerung durch das Management / der Bilanzfälschung (eine Abgrenzung blieb bestehen, obwohl die eigene E-Mail eines Brokers besagte, das Geschäft sei "not won"). Unterscheidet sich vom Kundengeldabgleich-Auswahlpunkt durch die Betrugsart (Umsatzfälschung vs. Kundengelddiebstahl) und die Kontrolle (unabhängige Alarmweiterleitung bei Abgrenzungsanomalien).

GenAI-Untersuchungs-Copilot mit durchgesetzten Nachweisstandards

• Technologie: In das Fallmanagement eingebetteter generativer-KI-Untersuchungs-Copilot mit strukturierter Durchsetzung von Nachweisstandards
• Erwarteter Nutzen: Hebt das Mindestniveau der Untersuchungsqualität und -konsistenz an, erzeugt einen indikatorweisen, aufsichtsbereiten Prüfpfad und verweigert den Abschluss, solange Risikoindikatoren nicht disponiert sind — und institutionalisiert damit die kritische Tiefe, die die DNB in allen fünf Akten als fehlend feststellte.
• ROI-Zeitrahmen: 12-18 Monate
• Risiken: Technologie kann den durch die Befunde implizierten kulturellen Wandel hin zu mehr Skepsis nicht ersetzen — muss mit Schulungen und Anreizen kombiniert werden; Halluzinations-/Auslassungsrisiko in generierten Fallzusammenfassungen; aufsichtsrechtliche Akzeptanz KI-gestützter Untersuchungsunterlagen.
• Begründung: Verwandelt die Erwartung einer "holistic assessment" in einen durchgesetzten Workflow — die direkteste KI-Antwort auf eine Kultur schwacher Skepsis — bei hoher Umsetzbarkeit. Unterscheidet sich vom Governance-Entscheidungsprüfungs-Copilot durch das Ziel: Untersuchungstiefe/Abschlussqualität statt Neueinstufung der Risikobewertung.

Datenqualitätsprobleme

Datenvollständigkeitsabgleich mit Anomalieerkennung des Ingestionsvolumens

• Technologie: Automatisierter Abgleich von verarbeiteten gegenüber eingelesenen Daten mit ML-Anomalieerkennung bei den Ingestionsvolumen von Transaktionen und Händlerprofilen
• Erwarteter Nutzen: Beseitigt mehrjährige stille Überwachungslücken (Feed-Ausfälle über 1-3+ Jahre) durch Kennzeichnung innerhalb von Stunden und ermöglicht eine präzise Quantifizierung der Auswirkungen, die CCV der DNB zweimal nicht liefern konnte — der Hauptgrund für die EUR 2.66M-Geldstrafe.
• ROI-Zeitrahmen: 3-6 Monate
• Risiken: Alarmrauschen durch saisonale/volumenbedingte Verschiebungen, das eine Baseline-Anpassung erfordert; Abhängigkeit von einem verlässlichen Source-of-Truth-Feed für den Abgleich; blinde Flecken bei der Abdeckung, wenn neue Kanäle/Labels außerhalb der Kontrolle eingeführt werden.
• Begründung: Der herausragende Datenqualität-Auswahlpunkt — adressiert direkt den Hauptgrund für die Geldstrafe (stille Feed-/Ingestionslücken) mit dem schnellsten ROI und hoher Umsetzbarkeit. Vollständig eigenständig: Er überwacht die Vollständigkeit der Überwachungspipeline selbst statt einer kundengerichteten Kontrolle.

Intelligente Indexierung unstrukturierter Aktenarchive für die Beantwortung von Aufsichtsanfragen

• Technologie: OCR, Formatnormalisierung und LLM-Klassifizierung/Entitätsverknüpfung über unstrukturierte Dokumentenarchive
• Erwarteter Nutzen: Wandelt ein ~180,000 Dokumente umfassendes, teils unleserliches Archiv in nach Kunde und Kontrolle indexierte Datensätze um, sodass Aufsichtsanfragen fristgerecht beantwortet werden, macht Nachweislücken sichtbar und behebbar und belegt die Aufbewahrung von Unterlagen gemäß MLR reg 40 / reg 28(16).
• ROI-Zeitrahmen: 3-6 Monate
• Risiken: Klassifizierungsfehler, die Nachweise dem falschen Kunden zuordnen; tatsächlich unleserliche oder fehlende Quelldokumente können durch Tools nicht wiederhergestellt werden — Lücken erfordern weiterhin eine erneute Kontaktaufnahme mit dem Kunden; Datenschutzkontrollen erforderlich bei der Verarbeitung von Kundendatensätzen mit KI-Tools.
• Begründung: Adressiert den zweiten eigenständigen Datenqualität-Fehlermodus — nicht auffindbare/nicht vorlegbare Unterlagen bei Aufsichtsanfragen — bei hoher Umsetzbarkeit und schnellem ROI. Als rückblickende Archivrecherche/-vorlage konzipiert, wodurch er sich vom vorausschauenden Onboarding-IDP-Auswahlpunkt im Bereich Prozessgestaltung unterscheidet.

Strategische Empfehlungen

1. Wiederaufbau der Governance für periodische Sorgfaltspflichten und Risiko-Neueinstufung — der mit Abstand größte Treiber der Strafexposition in diesem Zyklus

Governance-Versagen war die am häufigsten identifizierte Grundursache (11 von 32 Befunden, 34.4%) und macht zusammen mit Prozessgestaltungsfehler (10 Befunde, 31.3%) fast zwei Drittel aller Befunde des Zyklus aus. Das deutlichste Beispiel ist die Geldstrafe der DNB in Höhe von EUR 8.5 Millionen gegen ABN AMRO (USD 9.78M, 71% des gesamten Strafwerts des Zyklus), verhängt wegen eines strukturellen Versagens bei der laufenden Sorgfaltspflichtprüfung von Retail-Kunden mit hohem Risiko: einer zweimonatigen Verzögerung bei der Erkennung eines Bargeld-Durchleitungsmusters von über EUR 500,000, das auch nach der Einstufung des Kunden als "unacceptable" fortbestand, einer unbegründeten Herabstufung von "unacceptable" auf das Risiko "medium" sowie einem Versagen, Indikatoren für Barzahlungen in großem Umfang, Hochrisikoländer, Dual-Use-Güter und Russland-Sanktionsumgehung in Kombination zu bewerten. Die DNB stellte ausdrücklich fest, dass sich Untersuchungen "decisively" auf unverifizierte Kundenaussagen stützten und dass mangelnde Kooperation keine Konsequenzen hatte. CCV Group zeigt, was geschieht, wenn diese Lücke nicht behoben wird: Ihre Geldstrafe von EUR 2.66M enthielt einen Schuldzuschlag von 25%, speziell weil CCV ein wiederholter Verstoßtäter bei derselben Wwft-Norm war, wegen der sie erstmals 2019-2020 beanstandet wurde.

Maßnahmen:

• Einsatz eines LLM-basierten Entscheidungsprüfungs-Copiloten für jede Neueinstufung der Risikobewertung (nicht nur eine Stichprobe) — die Herabstufung bei ABN AMRO, die die Überwachung aussetzen ließ, wäre bei 100% Abdeckung erkannt worden, statt der manuellen Prüfung überlassen zu bleiben (ROI in 12-18 Monaten; erfordert unveränderliche Protokollierung, damit privilegierte Insider die Prüfung selbst nicht unterdrücken können).
• Ersetzung kalenderbasierter periodischer Überprüfungen durch eine ereignisgesteuerte Trigger-Engine, die bei Bewegungen der Risikobewertung, Änderungen der Kundendaten oder Indikatoren für ungewöhnliche Aktivitäten auslöst — womit direkt das Muster der "reviews that never happened even under the firm's own policy" adressiert wird (ROI in 6-12 Monaten).
• Einbau eines expliziten, prüfbaren Schritts, der eine kombinierte (nicht isolierte) Bewertung von Risikoindikatoren erfordert — Höhe der Zahlungsströme, Geografie, Produktart, Signale für Sanktionsexposition — bevor eine Risikoherabstufung genehmigt wird.

2. Institutionalisierung von Untersuchungsqualität und Nachweisstandards — der häufigste und höchstprioritäre Fehlerbereich

Untersuchungen & Meldewesen erzeugte mehr Befunde (14) als jeder andere Bereich, betraf 9 der 11 im Zyklus einzeln erfassten Entitäten (10 von 12 Maßnahmen) und wies von allen Bereichen die meisten Befunde mit hoher Priorität auf (5, gegenüber 2 bei Transaktionsüberwachung und 1 bei KYC & Onboarding). Zudem tritt er am häufigsten gemeinsam mit anderen Bereichen auf — 6 gemeinsame Befunde mit KYC & Onboarding und 5 mit Transaktionsüberwachung — was auf eine gemeinsame Grundursache statt auf isolierte Vorfälle hindeutet. Die aufsichtsrechtliche Mitteilung der FCA gegen Euro Exchange Securities UK ist das eindrücklichste Beispiel: 4,968 Alarme wurden in einer einzigen Akte als "not suspicious" geschlossen, 3,294 davon ganz ohne dokumentierte Begründung, nur einer wurde jemals eskaliert, und die gesamte Alarmpopulation wurde von einer einzigen Person geprüft. CCV Group zeigt in ihrer Geldstrafe von EUR 2.66M dasselbe Muster — 25 von 49 stichprobenartig geprüften Alarmen wurden nicht rechtzeitig oder nicht angemessen untersucht, einschließlich undokumentierter Massenabschlüsse am Tagesende. Atlantic Lottery wurde separat mit CAD 212,025 (USD 151,174) bestraft, unter anderem wegen der versäumten Einreichung einer STR trotz mehrerer ML/TF-Indikatoren — ein Verstoß, den die FINTRAC als "Very Serious" einstufte.

Maßnahmen:

• Einbettung eines GenAI-Untersuchungs-Copiloten in das Fallmanagement, der indikatorweise Nachweisstandards durchsetzt und den Abschluss verweigert, solange Risikoindikatoren nicht disponiert sind — dies verwandelt die Erwartung der DNB an eine "holistic assessment" von einem Anspruch in einen durchgesetzten Workflow (ROI in 12-18 Monaten).
• Einsatz einer deterministischen (nicht ML-basierten) Schwellenwert-Melde-Engine für objektive STR/UTR-Indikatoren mit automatisierter FIU-Einreichung und Nachweisarchivierung — die schnellste, günstigste Korrektur im Portfolio (3-6 Monate) und die direkte Antwort auf die verpasste Einreichung von Atlantic Lottery und die verspäteten Lookbacks von CCV.
• Strukturelle Beseitigung von Engpässen durch Einzelprüfer: verbindliche unabhängige Zweitprüfungs-Weiterleitung für jede Akte, bei der eine einzelne Person alleiniger Beurteiler ist, wie bei Euro Exchange.

3. Behebung der Integrität der Transaktionsüberwachungs-Pipeline vor weiteren Investitionen in Erkennungsmodelle

Datenqualitätsprobleme verursachten 4 von 32 Befunden, waren jedoch die unmittelbare Ursache für eine der beiden dem eklatanten Bereich nahestehenden, wertmäßig höchsten Fintech-Geldstrafen des Zyklus. Die Strafe der DNB in Höhe von EUR 2.66M gegen CCV Group beruhte auf mehrjährigen stillen Überwachungslücken: Der "Ecom-gap" (2021 bis Juni 2023) und der Kennzeichnungsfehler "PF7-gap" (Juli 2023 bis Juli 2024) bedeuteten, dass ein "substantial" Anteil der Händler über längere Zeiträume keiner wirksamen Überwachung unterlag, die Überwachungsregeln BR0076/BR0078 nicht funktionsfähig waren und Händlerprofile nicht aktualisiert wurden, weil CDD-Analysten den Systemzugang verloren hatten. Erkennungsmodelle, die auf einem unzuverlässigen Feed aufsetzen, erzeugen falsche Sicherheit — genau das, was die DNB feststellte.

Maßnahmen:

• Implementierung eines automatisierten Ingestionsvolumen-Abgleichs mit Anomalieerkennung, der verarbeitete Transaktionen/Händlerprofile mit eingelesenen Transaktionen vergleicht und Feed-Ausfälle innerhalb von Stunden statt Jahren kennzeichnet (ROI in 3-6 Monaten, hohe Umsetzbarkeit — der Posten mit der schnellsten Amortisation im gesamten Portfolio).
• Korrekte Sequenzierung von KI-Investitionen: Diese Kontrolle der Pipeline-Integrität als Voraussetzung für jedes Modell zur Verhaltensanomalieerkennung oder Netzwerkanalytik behandeln, da beide nur so gut sind wie der zugrunde liegende Feed.
• Verbindliche quantifizierte Auswirkungsangaben (Volumen/Dauer/betroffene Kunden) für jede entdeckte historische Überwachungslücke — die Unfähigkeit von CCV, seine eigene Lücke gegenüber der DNB präzise zu quantifizieren, war selbst ein erschwerender Faktor.

4. Wiederaufbau von Onboarding-CDD/EDD und Vereinheitlichung von Sanktions-/Adverse-Media-Screening

KYC & Onboarding war der zweithäufigste Bereich (10 Befunde, 5 Entitäten), und Sanktionsscreening — obwohl volumenmäßig geringer (2 Befunde, 2 Entitäten) — trat in 2 Befunden in Kombination mit KYC und in 2 weiteren mit Transaktionsüberwachung auf, nie isoliert. Die Maßnahme der FCA gegen Euro Exchange ist der prominenteste Fall: alle zehn geprüften Kundenakten waren unzureichend in Bezug auf CDD, EDD/Herkunftsnachweis der Mittel sowie PEP-/Sanktions-/Adverse-Media-Screening, einschließlich eines übersehenen Open-Source-Medienberichts über ein mutmaßliches Geldwäscheschema unter FBI-Ermittlung — eine Lücke, die schwerwiegend genug war, um eine vollständige Beschränkung des Onboardings neuer Kunden auszulösen. Das Fehlermuster von ABN AMRO war ähnlich gelagert: Akzeptanz von Endkundenerklärungen ohne Verifizierung inmitten einer Verschiebung der Handelsmuster bei Umschlagländern, wobei Signale für Russland-Sanktionsumgehung übersehen wurden.

Maßnahmen:

• Einsatz von OCR/LLM-Dokumentenextraktion mit erklärbarem, regelbasiertem-plus-ML-Onboarding-Risiko-Scoring, sodass jede Akte eine dokumentierte, von einem Prüfer genehmigte Risikobegründung trägt, bevor der Kunde Transaktionen durchführen kann — keine der zehn stichprobenartig geprüften Akten von Euro Exchange wies dies auf (ROI in 6-12 Monaten).
• Kombination des Onboardings mit Fuzzy-/phonetischem Sanktionsnamensabgleich sowie NLP-Adverse-Media-Analyse und Auflösung verbundener Parteien (Direktoren/wirtschaftlich Berechtigte) — die einzige Möglichkeit, sowohl die Umgehung durch falsch geschriebene Namen als auch übersehene Medienberichterstattung wie die FBI-Ermittlungslücke zu erfassen, wobei angesichts des Falsch-Positiv-Risikos die menschliche Beurteilung beibehalten wird (ROI in 3-9 Monaten, am schnellsten in der KYC-Gruppe).
• Ausweitung der Verifizierungsanforderungen für Endkunden/Herkunft der Mittel speziell für Handels- und umschlagexponierte Kunden, wodurch die von der DNB bei ABN AMRO festgestellte Lücke geschlossen wird.

5. Integrität leitender Führungskräfte und zugelassener Personen zu einer kontinuierlichen, evidenzbasierten Kontrolle machen

Kultur-/Tonalitätsprobleme machten 5 von 32 Befunden aus (15.6%), stehen jedoch hinter zwei der schwerwiegendsten Einzelmaßnahmen dieses Zyklus. Die FCA verhängte ein Tätigkeitsverbot gegen Dharmendra Solanki, einen ehemaligen SMF17 Money Laundering Reporting Officer, nachdem dieser rund 3.5 Jahre lang (November 2018–Mai 2022) ein nicht autorisiertes, räuberisches Geldverleihgeschäft betrieben hatte — wobei er gefährdete Kreditnehmer einschüchterte — während er als zugelassener MLRO tätig war, unentdeckt für rund 3.5 Jahre bis zu seiner Verhaftung durch die Strafverfolgungsbehörden am 18. Mai 2022 (Schuldbekenntnis Oktober 2023). Getrennt davon bewerteten die Entscheidungsmitteilungen der FCA gegen Alec Finch und Robert Finch deren Verhalten mit Level 5 — der höchsten Schweregradbewertung der FCA — wegen eines "major fraud", der £3.51 Millionen aus einem gesetzlich vorgeschriebenen Kundengeld-Treuhandkonto über mehr als drei Jahre mittels gefälschter Buchhaltungsabgrenzungen abzweigte, von denen eine selbst dann noch in den Büchern stand, nachdem die eigene E-Mail eines Brokers erklärt hatte, das zugrunde liegende Geschäft sei "not won". Bemerkenswerterweise trugen alle vier UK-Maßnahmen dieses Zyklus Geldstrafen von £0 (zwei erlassen wegen nachgewiesener Härte, eine, bei der die FCA nur ein Tätigkeitsverbot ohne Geldstrafe verhängte, eine ausstehend), führten jedoch zu Tätigkeitsverboten oder einer vollständigen Zulassungsbeschränkung — die Aufsichtsbehörden ersetzen Geldstrafen durch karrierebeendende Sanktionen, wenn Unternehmen/Einzelpersonen nicht zahlen können.

Maßnahmen:

• Durchführung eines kontinuierlichen NLP-basierten Adverse-Media- und Öffentliche-Register-Screenings für zugelassene Personen und leitende Führungskräfte, nicht nur für Kunden — Solankis nicht autorisiertes Geschäft und strafrechtliche Exposition hätten innerhalb von Monaten auffallen müssen, nicht erst nach den 3.5 Jahren, die es tatsächlich dauerte (ROI in 6-12 Monaten; in Kombination mit einer arbeitsrechtlichen Prüfung angesichts des Falsch-Positiv-Risikos bei gängigen Namen).
• Einsatz von Journalbuchungs-Anomalieerkennung mit NLP-Abgleich gegen interne Kommunikation (E-Mails, Vorstandsprotokolle) — genau die Kontrolle, die eine Abgrenzung erfasst hätte, die durch die eigene E-Mail des ursprünglichen Brokers widerlegt wurde, wobei Alarme unabhängig an den Prüfungsausschuss/externen Prüfer weitergeleitet werden, damit leitende Insider sie nicht unterdrücken können (ROI in 12-18 Monaten).
• Ergebnisse mit "£0 penalty, full prohibition" als Signal behandeln, nicht als Aufschub: Sanierungspläne um das Lizenz-/Zulassungsrisiko für leitende Einzelpersonen herum aufbauen, da dies nun die maßgebliche Konsequenz ist, unabhängig von der finanziellen Zahlungsfähigkeit.

6. Neugewichtung der Programminvestitionen nach Rechtsordnung und tatsächlichem aufsichtsrechtlichem Risiko, nicht allein nach Geldstrafensummen

Drei der zwölf Maßnahmen dieses Zyklus — alle von der niederländischen DNB — machen USD 13.56 Millionen der insgesamt USD 13.73 Millionen an Geldstrafen aus (98.7%), bei einem Durchschnitt von USD 4.52 Millionen pro Maßnahme gegenüber dem FINTRAC-Durchschnitt von USD 87,351. Unternehmen mit niederländischen Banklizenzen oder Zahlungsinstitutslizenzen sollten die DNB-Exposition als den wichtigsten finanziellen Risikoposten dieses Zyklus behandeln. Doch die finanzielle Schwere zeichnet nicht das gesamte Risikobild: Keine der zwölf Maßnahmen beinhaltete eine freiwillige Selbstanzeige, und vier UK-Maßnahmen ohne jegliche Geldstrafe führten dennoch zu einer vollständigen Onboarding-Aussetzung (Euro Exchange) oder einem vollständigen Tätigkeitsverbot (Solanki, beide Finches) — Ergebnisse, die die Fortführung der Lizenz und den Franchise-Wert auf eine Weise gefährden, die eine Strafsumme nicht abbildet. Die beiden Maßnahmen dieses Zyklus, die die DNB bzw. die FCA in eklatanten Worten charakterisierten — CCVs "very serious violation" (zeer ernstige overtreding) für den Betrieb über rund sieben Jahre ohne jegliche systematische Integritätsrisikoanalyse, sowie Robert Finchs Level-5-Betrugsbefund — gehen beide auf das Fehlen einer grundlegenden Kontrolle zurück (einer SIRA; grundlegender Integrität der Kundengeldtrennung), nicht auf eine nur teilweise vorhandene.

Maßnahmen:

• Gewichtung der Sanierungsbudgets zugunsten von Rechtsordnungen mit nachweislich strengen Aufsichtsbehörden (in diesem Zyklus die DNB), ohne dabei die UK/MAS-Exposition zu vernachlässigen, wo die Konsequenz eher ein Zulassungsrisiko als ein Geldstrafenrisiko ist.
• Einführung eines ständigen Selbstanzeige-Protokolls und dessen Verfolgung als KPI — ein Zyklus mit null VSD über zwölf Maßnahmen hinweg deutet darauf hin, dass Selbstanzeige noch nicht als von Compliance-Teams genutzter Minderungshebel verankert ist.
• Durchführung einer Bestandsaufnahme grundlegender Kontrollen (SIRA/unternehmensweite Risikobewertung, Kontrollen zur Trennung von Kundengeldern, dokumentierte CRA-Methodik), bevor KI auf Erkennungsebene hinzugefügt wird — die Geldstrafen von CCV und Atlantic Lottery lassen sich beide auf ein fehlendes grundlegendes Dokument zurückführen, das keine noch so ausgefeilte nachgelagerte Überwachung hätte kompensieren können.

Methodik & Einschränkungen

Diese Analyse folgt einer festen Methodik für Extraktion, Statistik und Berichtserstellung: einer festen Compliance-Bereichs-Taxonomie (KYC & Onboarding, Transaktionsüberwachung, Sanktionsscreening, Untersuchungen & Meldewesen), einer Grundursachen-Taxonomie mit acht Kategorien und einem Prioritäts-Entscheidungsbaum, der konsistent auf jeden Befund angewendet wird. Sämtliche KI-generierten Inhalte in diesem Bericht — extrahierte Befunde, narrative Erkenntnisse und KI-Investitionsempfehlungen — wurden vor der Veröffentlichung auf Genauigkeit, Vollständigkeit und Konsistenz mit den zugrunde liegenden Quelldokumenten geprüft. Alle 12 für diesen Durchlauf gefundenen Dokumente wurden erfolgreich extrahiert; bei keinem schlug die Extraktion fehl.

Quellenabdeckung beschränkt sich auf öffentlich bekannt gemachte Durchsetzungsmaßnahmen — Vergleiche, die ohne öffentliche Bekanntmachung beigelegt wurden, informelle aufsichtsrechtliche Maßnahmen sowie Maßnahmen von Aufsichtsbehörden, die keine vollständigen Bescheide veröffentlichen, sind ausgeschlossen, sodass dieser Datensatz die gesamte Durchsetzungstätigkeit im Zeitraum unterschätzt. Extraktionsgenauigkeit hängt von der Klarheit der Dokumente ab; Befunde werden von einem KI-Modell extrahiert, das angewiesen ist, konservativ vorzugehen und Fabrikation zu vermeiden, doch stark geschwärzte oder ungewöhnlich formatierte Dokumente (mehrere Maßnahmen in diesem Durchlauf, darunter Euro Exchange Securities UK Ltd sowie die Unterlagen von ABN AMRO und CCV Group, enthielten geschwärzte Passagen) können zu einer unvollständigen Extraktion führen. Währungsumrechnung für rechtsordnungsübergreifende Strafenvergleiche verwendet Wechselkurse zum Datum des Analysedurchlaufs (2026-08-02, bezogen von exchangerate-api.com/open.er-api.com) und wird nicht für innerperiodische Schwankungen innerhalb langer, mehrere Jahre umfassender Verstoßzeiträume angepasst. Zuordnung der KI-Anwendungsfälle ordnet Anwendungsfälle Grundursachen auf Basis des jeweils adressierten Befunds zu; enthält eine einzelne Maßnahme mehrere Grundursachen innerhalb desselben Bereichs, erhält nur die am häufigsten vorkommende Grundursache die Zuordnung, sodass manche sekundären Ursachen im Abschnitt KI-Investitionsthemen unterrepräsentiert sein können. Grundursachen-Kategorisierung ordnet jeden Befund einer von acht festen Kategorien zu, die die im Quelldokument genannte oder am stärksten implizierte Hauptursache widerspiegelt, selbst wenn ein Befund plausibel mehrere mitwirkende Ursachen aufweist.

Quellen

Jede oben genannte Zahl lässt sich auf den vom jeweiligen Regulator selbst veröffentlichten Bescheid oder die Mitteilung zurückführen. Durchsuchen Sie die Listen und Programme, die wir in unserem Datenkatalog erfassen, um zu sehen, wie diese Entitäten und ihre verbundenen Unternehmen sich auf Ihr eigenes Screening-Buch abbilden.