Compliance-Kosten senken ohne Risiko: Wo Banken Effizienz gewinnen

Die Compliance-Budgets von Banken in Liechtenstein und der Schweiz steigen seit Jahren. Neue Regulierungen wie die AMLR, verschärfte Erwartungen der FMA und FINMA sowie wachsende Dokumentationspflichten treiben die Kosten nach oben. Gleichzeitig stehen viele Institute unter Margendruck, besonders im Private Banking und in der Vermögensverwaltung.

Die Reaktion ist oft dieselbe: mehr Personal, mehr Tools, mehr Aufwand. Doch höhere Ausgaben bedeuten nicht automatisch bessere Compliance. Wer Prozesse nur aufstockt, statt sie zu durchdenken, schafft Redundanzen, Reibungsverluste und im schlimmsten Fall neue Fehlerquellen. Die Aufsicht erwartet keine aufgeblähten Abteilungen, sondern funktionierende Prozesse.

Dieser Artikel zeigt sechs Bereiche, in denen Banken Compliance-Kosten reduzieren können, ohne regulatorische Risiken einzugehen.

1. Onboarding: Einmal richtig statt dreimal nachbessern

Der teuerste KYC-Prozess ist der, den man wiederholen muss. Unvollständige Kundendossiers, fehlende UBO-Nachweise oder unklare Risikoeinstufungen führen dazu, dass Fälle zwischen Front- und Backoffice hin- und herwandern. Jeder Rücklauf kostet Zeit, bindet Kapazität und verzögert die Mandatseröffnung.

Der Hebel liegt in der Qualität des ersten Durchlaufs. Banken, die ihre Onboarding-Formulare so strukturieren, dass alle regulatorisch geforderten Angaben bereits beim Erstgespräch erfasst werden, reduzieren Rückläufe deutlich. Das setzt voraus, dass die Anforderungen aus SPG, GwG und den jeweiligen FMA-Rundschreiben direkt in den Prozess eingebaut sind und nicht als nachgelagerte Checkliste existieren.

Konkret heisst das: Pflichtfelder für wirtschaftliche Berechtigung ab dem ersten Schritt, automatische Prüfung der Dokumentenvollständigkeit vor Weiterleitung, klare Eskalationswege bei Hochrisikofällen. Kein Dossier verlässt das Onboarding, bevor es prüfungstauglich ist. Banken, die dieses Prinzip konsequent umsetzen, berichten von einer Reduktion der Rückläufe um 60 bis 80 Prozent.

2. Screening: Trefferqualität statt Trefferquantität

Sanctions- und PEP-Screening gehört zu den Pflichtaufgaben jeder Bank nach GwG und SPG. Die Kosten entstehen dabei weniger durch das Screening selbst als durch die manuelle Nachbearbeitung von Treffern. Bei vielen Instituten liegt die False-Positive-Rate bei über 90 Prozent. Neun von zehn Treffern sind also irrelevant und müssen trotzdem einzeln bewertet, dokumentiert und freigegeben werden.

Die Ursache liegt häufig in zu breit konfigurierten Matching-Parametern. Wer den Schwellenwert für Namensähnlichkeit zu tief ansetzt, generiert Tausende von Treffern, die kein echtes Risiko darstellen. Wer ihn zu hoch ansetzt, riskiert, relevante Treffer zu übersehen. Beides ist regulatorisch problematisch: Das eine bindet unnötig Ressourcen, das andere gefährdet die Erkennungsrate.

Die Lösung ist eine systematische Kalibrierung. Schwellenwerte werden anhand historischer Daten optimiert. Ausschlusslisten für wiederkehrende False Positives (zum Beispiel häufige Namensübereinstimmungen bei gängigen Schweizer oder arabischen Namen) werden gepflegt. Die Screening-Ergebnisse werden regelmässig gegen tatsächliche Befunde abgeglichen, um die Treffergenauigkeit laufend zu verbessern.

Banken, die diesen Kalibrierungsprozess einführen, reduzieren den manuellen Aufwand für die Trefferbewertung um 40 bis 60 Prozent. Gleichzeitig verbessert sich die Erkennungsrate, weil die Analysten ihre Zeit auf die wirklich relevanten Fälle konzentrieren können statt in einer Flut von Fehltreffern unterzugehen.

3. Periodische Reviews: Risikoorientiert statt kalendarisch

Viele Banken überprüfen ihre Kundenbeziehungen nach starren Zyklen: Hochrisiko jährlich, Standardrisiko alle drei Jahre, Tiefrisiko alle fünf Jahre. Dieses Schema entspricht den regulatorischen Mindestanforderungen, ist aber selten effizient.

Ein Kunde mit tiefem Risiko und unverändertem Profil wird alle fünf Jahre geprüft, auch wenn es nichts zu prüfen gibt. Die Dokumentation wird erneuert, die Risikobewertung bestätigt, ein Review-Protokoll erstellt. Der Erkenntnisgewinn ist minimal, der Aufwand real. Gleichzeitig kann ein Kunde mit mittlerem Risiko drei Jahre lang Veränderungen durchlaufen (neue UBOs, geänderte Geschäftstätigkeit, PEP-Exposition), weil der nächste Review erst in 18 Monaten ansteht.

Ein risikobasierter Ansatz ergänzt kalendarische Reviews mit ereignisgesteuerten Triggern. Änderungen in der Beteiligungsstruktur, neue Screening-Treffer, ungewöhnliche Transaktionsmuster oder externe Ereignisse wie Medienbeiträge oder Sanktionslistenänderungen lösen automatisch einen Review aus. Gleichzeitig können Kunden mit nachweislich stabilem Profil seltener überprüft werden, sofern die Risikoklassifikation das zulässt und die FMA-Vorgaben eingehalten werden.

Die FMA erwartet gemäss ihren Leitlinien zur Risikoklassifizierung ausdrücklich einen risikobasierten Ansatz. Starre Zyklen ohne Berücksichtigung des tatsächlichen Risikoprofils sind regulatorisch nicht falsch, aber sie widersprechen dem Geist des risikobasierten Ansatzes, den sowohl die FATF als auch die europäischen Aufsichtsbehörden propagieren.

Das Ergebnis: Die Gesamtzahl der Reviews sinkt, aber die Qualität steigt, weil Ressourcen dort eingesetzt werden, wo tatsächlich Risiko besteht.

4. Dokumentation: Einmal erfassen, mehrfach verwenden

Compliance-Abteilungen dokumentieren viel, oft dasselbe in verschiedenen Systemen. Die Risikobewertung steht im KYC-Tool, die Screening-Ergebnisse in einer separaten Datenbank, die Review-Protokolle in Word-Dokumenten und die Audit-Nachweise in einer Excel-Tabelle. Bei einer FMA- oder FINMA-Prüfung müssen alle diese Quellen zusammengeführt werden, was Tage dauern kann.

Der Effizienzhebel liegt in der Konsolidierung. Eine zentrale Datenquelle für alle kundenbezogenen Compliance-Daten bedeutet nicht zwingend ein einziges Tool. Es bedeutet, dass alle Systeme auf dieselben Stammdaten zugreifen und Änderungen synchronisiert werden. Wenn ein Kundenberater die Adresse aktualisiert, muss diese Änderung im KYC-Dossier, im Screening-System und in der Transaktionsüberwachung gleichzeitig sichtbar sein.

Banken, die ihre Dokumentation so organisieren, sparen bei der laufenden Erfassung und besonders bei der Prüfungsvorbereitung. Statt wochenlanger Datenaufbereitung vor einer FMA-Prüfung ist das Dossier jederzeit aktuell und exportierbar. Die Prüfer erhalten konsistente Daten aus einer Quelle statt widersprüchliche Angaben aus vier verschiedenen Systemen.

Ein zusätzlicher Vorteil: Die Fehlerquote sinkt. Wenn Daten nur einmal erfasst und dann synchronisiert werden, entfällt die häufigste Fehlerquelle in der Compliance-Dokumentation, nämlich inkonsistente Daten durch Mehrfacherfassung.

Ein Beispiel aus der Praxis: Eine Bank mit 500 Kundenbeziehungen pflegt Risikobewertungen in einem KYC-Tool und parallel in einer Excel-Datei für das Reporting an die Geschäftsleitung. Bei einer Stichprobe durch die FMA stimmen die Risikoeinstufungen in 15 Prozent der Fälle nicht überein. Das führt zu Rückfragen, Nacharbeit und im schlimmsten Fall zu einem Finding im Prüfbericht. Eine konsolidierte Datenhaltung hätte dieses Problem gar nicht erst entstehen lassen.

5. Regulatorisches Monitoring: Fokussieren statt sammeln

Viele Compliance-Abteilungen betreiben regulatorisches Monitoring als Sammelaktivität. Jedes neue Rundschreiben, jede Konsultation, jede Leitlinie wird erfasst, gelesen und abgelegt. Das ist gründlich, aber aufwendig. Der Grossteil ist für das jeweilige Institut nicht direkt handlungsrelevant.

Effizienter ist ein filterbasierter Ansatz, der drei Fragen stellt: Welche Regulatoren sind für unser Institut relevant (FMA, FINMA, EBA, FATF)? Welche Themenfelder betreffen uns direkt (AML, Sanctions, Conduct, Prudential)? Welche Änderungen erfordern tatsächlich operative Anpassungen (neue Pflichten, geänderte Schwellenwerte, verschärfte Fristen)?

Ein strukturiertes Monitoring, das diese Filter konsequent anwendet, reduziert den Leseaufwand deutlich. Gleichzeitig stellt es sicher, dass handlungsrelevante Änderungen nicht in der Masse untergehen. Die AMLR-Umsetzung ab Juli 2027 ist ein gutes Beispiel: Viele Banken haben erst spät erkannt, welche konkreten Anpassungen die Verordnung erfordert, weil die relevanten Passagen in einem 120-seitigen Rechtstext verborgen waren und das interne Monitoring keinen systematischen Filter dafür hatte.

Praktisch lässt sich das über eine einfache Matrix umsetzen: Regulatoren in den Zeilen, Themenfelder in den Spalten, Relevanz als Ampel. Neue Publikationen werden einmal wöchentlich gegen diese Matrix geprüft. Nur was in eine relevante Zelle fällt, wird vertieft analysiert. Der Rest wird archiviert.

Ein konkretes Beispiel: Die EBA veröffentlicht regelmässig Guidelines zu AML/CFT-Themen. Für eine rein liechtensteinische Bank mit Fokus auf Vermögensverwaltung sind die meisten dieser Guidelines nicht unmittelbar bindend, da die FMA sie zunächst in nationales Recht oder eigene Weisungen überführen muss. Statt jede EBA-Publikation sofort im Detail zu analysieren, genügt eine Ersteinschätzung der Relevanz. Die vertiefte Analyse erfolgt erst, wenn die FMA eine entsprechende Umsetzung ankündigt oder konsultiert.

6. Governance: Klare Zuständigkeiten statt doppelte Absicherung

In vielen Banken ist Compliance eine Querschnittsfunktion, die in fast jeden Prozess involviert ist. Das führt dazu, dass Compliance-Mitarbeitende operative Aufgaben übernehmen, die eigentlich in der Linie liegen: Kundendaten prüfen, Transaktionen freigeben, Dokumente anfordern. Die Linie wiederum verlässt sich darauf, dass die Compliance-Abteilung das schon prüft, und investiert weniger in eigene Kontrollen.

Dieses Muster ist teuer und riskant zugleich. Teuer, weil Compliance-Spezialisten operative Aufgaben erledigen, statt sich auf Überwachung und Beratung zu konzentrieren. Riskant, weil die erste Verteidigungslinie (das Geschäft) ihre Verantwortung faktisch abgibt. Wenn die Compliance-Abteilung jede Kundenmutation selbst prüft, entsteht eine Scheinsicherheit: Die Linie glaubt, entlastet zu sein, und Compliance hat keine Kapazität mehr für die eigentlichen Aufgaben wie Risikoüberwachung, Regulatory Change und interne Schulungen.

Die Lösung ist ein sauberes Three-Lines-of-Defence-Modell, wie es die FMA und die FINMA in ihren Leitlinien zur Unternehmensführung erwarten. Die erste Linie (Kundenberater, Backoffice) trägt die Verantwortung für die Datenqualität und die Einhaltung der Prozesse im Tagesgeschäft. Die zweite Linie (Compliance) überwacht, berät und eskaliert, greift aber nicht ins operative Geschäft ein. Die dritte Linie (Revision) prüft unabhängig und berichtet direkt an die Geschäftsleitung oder den Verwaltungsrat.

Banken, die dieses Modell konsequent umsetzen, berichten von einer Entlastung der Compliance-Abteilung um 20 bis 30 Prozent. Die gewonnene Kapazität fliesst in Aufgaben, die tatsächlich Risiken reduzieren: bessere Schulungen, systematischere Überwachung, frühzeitige Erkennung regulatorischer Änderungen.

Fazit

Compliance-Kosten zu senken bedeutet nicht, Abstriche bei der regulatorischen Qualität zu machen. Es bedeutet, Prozesse so zu gestalten, dass sie beim ersten Mal funktionieren. Screening so zu kalibrieren, dass es relevante Treffer findet statt irrelevante zu produzieren. Reviews dort durchzuführen, wo tatsächlich Risiko besteht. Dokumentation zu konsolidieren. Monitoring zu fokussieren. Zuständigkeiten klar zu verteilen.

Keine dieser Massnahmen erfordert regulatorische Kompromisse. Die meisten verbessern die Effizienz und gleichzeitig die Qualität der Compliance. Und das ist letztlich das, was die Aufsicht erwartet: funktionierende Kontrollen statt maximalen Aufwand.